徐贵宝
摘要：首先叙述了站内自动隧道寻址协议ＩＳＡＴＡＰ过渡技术原理，指出了该技术在网络从ＩＰｖ４向ＩＰｖ６过渡过程中的作用，分析了该技术所存在的网络安全问题，并提出了相应的应对策略。
关键词：ＩＳＡＴＡＰ，因特网，网络安全
由于从ＩＰｖ４向ＩＰｖ６过渡已经是大势所趋，所以目前有许多人在积极探索从ＩＰｖ４向ＩＰｖ６过渡的技术。这些技术从实现方式上可以分为双栈、翻译和隧道三种，也可以从实现的网络层次上分为核心网、企业网和主机三种。站内自动隧道寻址协议（ＩＳＡＴＡＰ：Ｉｎｔｒａ－ｓｉｔｅ Ａｕｔｏｍａｔｉｃ Ｔｕｎｎｅｌ Ａｄｄｒｅｓｓｉｎｇ Ｐｒｏｔｏｃｏｌ）过渡技术就是采用了双栈和隧道技术，并基于企业网和主机的一种从ＩＰｖ４向ＩＰｖ６过渡的技术。
一、ISATAP技术原理
ＩＳＡＴＡＰ过渡技术基本原理如图１所示。
图1 ISATAP技术基本原理
双栈主机在与其他主机或路由器通信之前，首先要获得一个ＩＳＡＴＡＰ地址。双栈主机先向ＩＳＡＴＡＰ服务器发送路由请求，得到一个６４位的ＩＰｖ６地址前缀，然后再加上６４位的接口标识符∷０：５ＥＦＥ：Ｘ．Ｘ．Ｘ．Ｘ（这里的Ｘ．Ｘ．Ｘ．Ｘ是双栈主机的ＩＰｖ４单播地址），这样就构成一个ＩＳＡＴＡＰ地址。双栈主机配置了ＩＳＡＴＡＰ地址后，就成了一个ＩＳＡＴＡＰ客户机，进而就可以在ＩＰｖ４域内和其他的ＩＳＡＴＡＰ客户机进行通信了。一般来说，ＩＳＡＴＡＰ地址的配置既支持无状态地址自动配置方式，也支持手工配置方式。
１．同一个ＩＰｖ４域内ＩＳＡＴＡＰ主机间的通信过程
在同一个ＩＰｖ４域内，两台ＩＳＡＴＡＰ客户机的通信过程如下：
①双栈主机１获得双栈主机２的ＩＳＡＴＡＰ地址后，将需要发送的数据包交给ＩＳＡＴＡＰ接口进行发送；
②ＩＳＡＴＡＰ从该数据包的ＩＰｖ６源地址和目的地址中提取出相应的ＩＰｖ４源和目的地址，并对该数据包用ＩＰｖ４头部进行封装；
③封装后的数据包按照其ＩＰｖ４目的地址被发送到双栈主机２；
④双栈主机２接收到该数据包后对其解封装，得到原始ＩＰｖ６数据包；
⑤双栈主机２通过与上述过程类似的过程将应答数据返回给双栈主机１。
从上面的通信过程中我们可以看出，ＩＳＡＴＡＰ实际上是将ＩＰｖ４网络作为一个承载平台，通过在其上面建立一个ＩＰｖ６－ｉｎ－ＩＰｖ４自动隧道来完成ＩＰｖ６通信的。
２． ＩＳＡＴＡＰ主机与其他网络之间的通信过程
ＩＳＡＴＡＰ主机除了可以在ＩＳＡＴＡＰ域内与其他ＩＳＡＴＡＰ主机通信外，还可以通过ＩＳＡＴＡＰ路由器实现与其他网络的通信。比如，ＩＳＡＴＡＰ主机就可以通过ＩＳＡＴＡＰ路由器与ＩＰｖ６网络中的ＩＰｖ６服务器进行通信，其通信原理如图２所示，通信过程如下：
图2 ISATAP主机与IPv6网络中的IPv6服务器之间的通信过程
①ＩＳＡＴＡＰ主机获得ＩＳＡＴＡＰ地址（站点本地地址），并将下一跳跃点ｎｅｘｔ ｈｏｐ设为ＩＳＡＴＡＰ 路由器的ＩＳＡＴＡＰ地址（站点本地地址）；
②当ＩＳＡＴＡＰ主机送出目的地为所在子网络以外的地址时，ＩＳＡＴＡＰ先将ＩＰｖ６数据包进行ＩＰｖ４封装，然后以隧道方式送到ＩＳＡＴＡＰ 路由器的ＩＰｖ４地址；
③ＩＳＡＴＡＰ 路由器除去ＩＰｖ４包头后，将ＩＰｖ６ 数据包转送给ＩＰｖ６网络中的目的ＩＰｖ６服务器；
④ＩＰｖ６服务器直接将应答的ＩＰｖ６数据包发回给ＩＳＡＴＡＰ网络；
⑤在应答ＩＰｖ６数据包经过ＩＳＡＴＡＰ路由器时，ＩＳＡＴＡＰ路由器先将应答ＩＰｖ６数据包进行ＩＰｖ４封装，然后再转发给ＩＳＡＴＡＰ主机；
⑥ＩＳＡＴＡＰ主机收到应答数据包后，将数据包去掉ＩＰｖ４包头，恢复成原始ＩＰｖ６数据包。
通过上述步骤，ＩＳＡＴＡＰ主机与ＩＰｖ６网络中的ＩＰｖ６服务器完成了一次完整的数据通信过程。
二、ISATAP地址解析相关机制
ＩＳＡＴＡＰ过渡技术通过ＩＰｖ６的邻居发现机制（参见ＩＥＴＦ ＲＦＣ ２４６１）来实现路由重定向、邻居不可达检测（ＮＵＤ）和路由下一跳选择。
ＩＳＡＴＡＰ地址的获得是由链路层ＩＰｖ４地址通过静态计算得到的。在获得了ＩＳＡＴＡＰ地址之后，主机通过发送邻居请求和接收邻居宣告消息来确认邻居是否可达。另外，主机还需要执行邻居不可达检测。因为是在某一个ＩＳＡＴＡＰ域内实现的，所以它假设ＩＰｖ４地址是不重复的，这样ＩＳＡＴＡＰ地址也就不需要进行重复地址检测。
ＩＳＡＴＡＰ节点在执行路由器和前缀发现时，除了使用邻居发现中的数据结构前缀列表和默认路由器列表外，ＩＳＡＴＡＰ链路还增加了一个新的数据结构——潜在路由器列表（ＰＲＬ），以及一个新的配置变量ＰｒｌＲｅｆｒｅｓｈＩｎｔｅｒｖａｌ。潜在路由器列表列出潜在的、可供ＩＳＡＴＡＰ节点使用的路由器；变量ＰｒｌＲｅｆｒｅｓｈＩｎｔｅｒｖａｌ用来设置初始化之后连续两次ＰＲＬ重新刷新的间隔秒数。
三、ISATAP技术的优点
ＩＳＡＴＡＰ过渡技术具有如下优点：
①ＩＳＡＴＡＰ过渡技术所使用的ＩＰｖ６地址前缀可以是任何合法的ＩＰｖ６ 单点传播的６４ 位前缀，包括全球性地址前缀（以２００１：，２００２：，３ｆｆｅ：开头）、链路本地前缀（以ｆｅ８０：开头）和站点本地前缀（以ｆｅｃ０： 开头）等等，这使得该项技术很容易与其他过渡技术结合起来使用，尤其是在和６ ｔｏ ４隧道技术相结合使用时，可以使内部网的双栈主机非常容易地接入ＩＰｖ６主干网；
②ＩＳＡＴＡＰ过渡技术不要求隧道端节点必须具有全球惟一的ＩＰｖ４地址，只要双栈主机具有ＩＰｖ４单播地址即可，不管该地址公有的还是私有的都可以。这样也就有效地避免了ＩＰｖ４地址不足的问题；
③ＩＳＡＴＡＰ过渡技术不需要站点提供特殊的ＩＰｖ４服务（例如多播等），实现起来简便易行；
④使用ＩＳＡＴＡＰ过渡技术时，在边界网关上不影响聚合范围的情况下，能够在ＩＰｖ４站点内部署新的ＩＰｖ６主机，因此可用于内部私有网中各双栈主机之间进行ＩＰｖ６通信。
四、ISATAP网络安全问题及应对策略
由于ＩＳＡＴＡＰ使用隧道技术，所以隧道技术所面临的网络安全问题也同样是ＩＳＡＴＡＰ所面临的网络安全问题，它最容易受到的攻击就是地址欺骗攻击。如果不加防范，可以很容易地通过地址欺骗攻击将大量的协议类型为４１的数据包注入到ＩＳＡＴＡＰ链路中。
ＩＳＡＴＡＰ 网络所受到的地址欺骗攻击可能来自于ＩＳＡＴＡＰ 网络外部。由于在整个ＩＰｖ４ 站点中都使用ＩＳＡＴＡＰ链路，所以对于来自于站点外的攻击可以通过严格限制对站点的访问来限制对链路的访问，也就是要考虑在网络入口处的数据过滤问题，通过在站点的边界路由器入口处执行ＩＰｖ４数据过滤、ＩＰｖ６数据过滤和协议类型为４１的数据包过滤来保证。
ＩＳＡＴＡＰ 网络所受到的地址欺骗攻击也可能来自于ＩＳＡＴＡＰ 网络内部。站点内的地址欺骗攻击可以通过一个伪装成路由器的节点来进行，ＩＳＡＴＡＰ网络内部所有的ＩＳＡＴＡＰ主机都处于相同的链路上，这种来自于相同链路上的攻击很难防止，尤其是在ＩＳＡＴＡＰ网络内部存在大量主机的时候。考虑到在ＰＲＬ中提供了路由器ＩＳＡＴＡＰ 公布的ＩＰｖ４接口地址，所以可以将这些地址用在安全防范的策略之中。可是，这种防范方法需要保证随时更新ＰＲＬ数据，这个操作通过手工实现几乎是不可能的，而目前还没有更好的自动实现的解决方案，这也就成了ＩＳＡＴＡＰ技术的最大弱点。
再有，由于站点内的所有ＩＳＡＴＡＰ主机都在同一个ＩＰｖ６链接上，尽管可以像通常一样在ＩＳＡＴＡＰ路由器处监控流量，但是由于ＩＳＡＴＡＰ路由器处于站点的边缘，而且在站点内的主机之间通过ＩＳＡＴＡＰ链路传输的包并不经过该路由器，因此根本没有办法监控和排除出现内部攻击的可能性。为了有效地防止来自于ＩＳＡＴＡＰ站点内源ＩＰｖ６地址欺骗的攻击，需要在路由器的ＩＳＡＴＡＰ接口上启用缓解地址欺骗攻击的安全机制，至少ＩＳＡＴＡＰ站点的边界网关必须记录地址欺骗源地址的来源。这样，一旦出现了地址欺骗攻击，还可以利用这些记录进行分析，并能够很快地找出产生地址欺骗攻击的源头。
由于ＩＳＡＴＡＰ技术使用ＲＦＣ ２４６１所述的邻居发现协议，而邻居发现协议最容易受到的攻击是拒绝服务（ＤｏＳ）攻击。因此，这方面的安全问题也需要加以考虑。有关这方面的具体防范措施可参考ＩＥＴＦ ＲＦＣ ２４６１中的“安全考虑（Ｓｅｃｕｒｉｔｙ Ｃｏｎｓｉｄｅｒａｔｉｏｎｓ）”一节。
五、结语
ＩＳＡＴＡＰ过渡技术使用一个内嵌ＩＰｖ４地址的ＩＰｖ６地址，无论站点使用的是全球还是私有的ＩＰｖ４地址，都可以在站点内使用ＩＰｖ６－ｉｎ－ＩＰｖ４的自动隧道技术。ＩＳＡＴＡＰ地址格式既可以使用站点单播ＩＰｖ６地址前缀，也可以使用全局单播ＩＰｖ６地址前缀，即可以支持站点和全局的ＩＰｖ６路由。通过ＩＳＡＴＡＰ过渡技术，可以使ＩＰｖ４站点内的双栈节点通过自动隧道接入到ＩＰｖ６路由器，并且允许双栈节点不必使用与ＩＰｖ６路由器共享同一物理链路就可以通过ＩＰｖ４自动隧道将数据包送达ＩＰｖ６下一跳。ＩＳＡＴＡＰ过渡技术把ＩＰｖ４网络视为ＩＰｖ６的链路层，而把其他网络节点视为潜在的ＩＰｖ６主机或路由器，它不必使用任何ＩＰｖ６ 路由器，也不需为网络中的所有成员重新做地址分配和规划，甚至可以支持私有ＩＰｖ４ 地址或是在ＮＡＴ环境中运行。这种技术非常适合于在一个企业网、校园网和３ＧＰＰ／３ＧＰＰ２无线网中使用，尤其在ＩＰｖ４仍然是网络主宰的今天。
虽然ＩＳＡＴＡＰ技术仍处于ＩＥＴＦ草案阶段，但是由于其非常适用于在从ＩＰｖ４向ＩＰｖ６过渡的初期使用，所以很快就被众多的设备厂商和测试仪表厂商乃至软件供应商们所接受。目前，许多大型设备制造商都在其产品中提供ＩＳＡＴＡＰ支持（包括思科等）；许多大型测试仪表制造商也已经在其产品中提供有关ＩＳＡＴＡＰ的测试（包括思博伦、安捷伦、Ｉｘｉａ等）；此外，在终端操作系统方面，ＲｅｄＨａｔ从版本７．２就已经开始支持ＩＳＡＴＡＰ，微软也已经在其Windows XP／２００３中提供了ＩＳＡＴＡＰ支持。随着ＩＳＡＴＡＰ技术逐步完善，其网络域内的地址欺骗问题得到解决之后，我们有理由相信它会在网络由ＩＰｖ４向ＩＰｖ６过渡的过程中发挥其应有的作用。
摘自 泰尔网