基于分层动态地址的访问控制方案设计.pptVIP

基于分层动态地址的访问控制方案设计 朱晶 刘莉莉 李丹 吴建平 2017年10月26日 背景 访问控制 非终端的 相关工作 NAT 外界难以主动访问 IPv6部署较少 应对式访问控制 控制速度/精度存在权衡 动态地址 可扩展性不足 动态地址 解决可扩展性不足： 使用IPv6地址的主机标识位来标识身份 身份地址 Win vista/OSX 10.7默认开启临时IPv6地址 主要目的为取消IP-用户身份的永久绑定，隐藏用户身份 直接应用将面临可能的扩展性问题 分层身份地址 直接让每个网络节点动态分配地址会导致ACL膨胀 A B C D 分层身份地址 身份地址进行分层分配 子节点继承父节点身份地址 每个节点仅对相邻（子）节点进行身份验证 A 分层身份地址 身份地址分配实例： 身份地址占用空间从后往前叠加 可以根据需要自行配置用以作为子网主机标识的长度和继续用于身份标识的长度 2001:1:0:0:1::1 2001:2:0:1:1::1 2001:2:1:0:1::2:1 2001:2:1:1:1::2:1 2001:2:1:1:2:3:2:1 动态地址 每个网络节点可以变动自己的身份地址 B B 动态地址 中间交换节点需要双向管理身份地址的动态情况 将自己的身份地址变更告知邻节点 B’ B’ 动态地址 中间交换节点需要双向管理身份地址的动态情况 将父节点身份地址变更告知子节点 A A A 流量过滤 在接口处设置过滤 ::2001::10:1 ::1002::2:1 ::1001::1:1 接口过滤 ::1002::2:1 ::1001::1:1 ::1002::2:1 ::1002::1:1 平滑过渡 如何应对IPv6地址发生改变 方法一：双虚拟接口 TCP TCP If.0 If.1 平滑过渡 方法二：套接字迁移 UDP不需要进行迁移 存在时间较短（DNS解析等） 存在应用层连接（RTP等） TCP有成熟的迁移方案 总结 IPv6主机标识编址成为身份地址 层级化身份地址继承/验证 动态可变的身份地址 流量过滤的实现方式 兼容性上的考虑 结束 请各位点评