基于分层动态地址的访问控制方案设计课件.pptVIP

. . . . . . . 基于分层动态地址的访问控制方案设计 朱晶 刘莉莉 李丹 吴建平 2017年10月26日 . * 背景 流量本身造成损失：DDOS 访问控制 非终端的 终端防御漏洞：蠕虫 . * 相关工作 NAT 外界难以主动访问 IPv6部署较少 应对式访问控制 控制速度/精度存在权衡 动态地址 可扩展性不足 . * 动态地址 解决可扩展性不足： 使用IPv6地址的主机标识位来标识身份 子网前缀 主机标识 身份地址 Win vista/OSX 10.7默认开启临时IPv6地址 主要目的为取消IP-用户身份的永久绑定，隐藏用户身份 直接应用将面临可能的扩展性问题 . * 分层身份地址 直接让每个网络节点动态分配地址会导致ACL膨胀 A B C D . * 分层身份地址 身份地址进行分层分配 子节点继承父节点身份地址 每个节点仅对相邻（子）节点进行身份验证 A B C D C’ B’ A C’ B A . * 分层身份地址 身份地址分配实例： 身份地址占用空间从后往前叠加 可以根据需要自行配置用以作为子网主机标识的长度和继续用于身份标识的长度 2001:1:0:0:1::1 2001:2:0:1:1::1 2001:2:1:0:1::2:1 2001:2:1:1:1::2:1 2001:2:1:1:2:3:2:1 3 2 1 . * 动态地址 每