联想网御：保障IPv6网络安全

IPv6网络时代已经到来。由于我国IPv4地址资源匮乏，除了采用CIDR、VLSM和DHCP技术缓解地址紧张问题，更多的是采用私有IP地址结合网络地址转换(NAT/PAT)技术来解决这个问题。从根本上看，互联网可信度、端到端连接特性以及非强制IPSec加密而带来的安全性等问题，使IPv4网络面临各种威胁，IPv6网络的全面升级已势在必行;与此同时，适应IPv6网络的安全产品(例如防火墙、IPS、UTM、流控产品等)少之甚少，而IPv6安全解决方案几乎为空白。联想网御公司倡导"下一代网络安全架构"先进性安全理念，掌握众多核心技术，率先进入IPv6网络安全时代。

VSP(Versatile Security Platform)安全平台是联想网御公司自主创新的高性能实时系统平台，通过将实时操作系统、网络处理、安全应用等技术完美地结合，使联想网御多款产品如防火墙、IPS、UTM、VPN等安全设备具备了高智能、高性能、高安全性、高健壮性、高扩展性等特点。与此同时，联想网御多年来一直在研究IPv6技术的演进趋势，并早在2005年就已投入IPv6在网络信息安全领域的预研技术力量。经过几年的深入研究与探索，联想网御结合VSP平台优势，完美融合IPv6技术，已经支持IPv6环境下的状态包过滤、静态路由、OSPF动态路由、FTP ALG等基本安全业务，并支持 IPv6/v4 双协议栈功能，设备在同一网络中同时支持 IPv4 和IPv6协议，联想网御VSP平台针对IPv6的特点如下：

1.Side-to-Side安全保证：在两端主机上对报文进行IPSec封装，中间安全网关设备对有IPSec扩展头的IPv6报文进行透传，实现端到端的安全;

2.Inside安全保密：当内部主机与因特网上其他主机进行通信时，通过IPv6扩展头中提供的路由头和逐跳选项头结合应用层网关技术来实现。实现方式更加灵活，完善内部网络安全;

3.Tunnel-Inside实现网络安全：通过隧道嵌套的方式可以获得多重的安全保护。当配置了IPSec的主机通过安全隧道接入到配置了IPSec网关的安全设备，并且该安全设备作为外部隧道的终结点将外部隧道封装剥除时，嵌套的内部安全隧道就构成了对内部网络的安全隔离，实现了隧道嵌套方式安全保护。

2008年8月，国家发改委在其网站上公布了下一代互联网业务试商用及设备产业化专项的通知。通知指出："为积极、稳妥推动我国下一代互联网业务应用和产业发展，将组织实施下一代互联网业务试商用及设备产业化专项。"按照CNGI项目规划，CERNET2将接入100所以上的著名高校，开展科研应用和大规模IPv6网络建设和部署实施的探索。随着高校中IPv6网络建设日趋完善，对IPv6网络的安全需求也日益迫切，支持IPv6的网络安全产品(如防火墙、UTM、IPS等)日渐得到关注。联想网御结合IPv6技术特点，及时推出IPv6高性能安全网关产品系列，在多所高校成功应用，保障了大学的IPv6网络。

随着IPv6网络安全研究和迁移工作的深入，端到端的身份识别与数据加密将是对安全的全新挑战。基于此，联想网御公司提出了"构筑IPv6网络云防御体系"的发展愿景，针对IPv6网络建设和过渡时期的网络安全风险的分析，提出了IPv6网络安全保障体系的基本架构，并给出了现阶段IPv6网络安全体系的构建策略，通过静态VSP系统平台保障以及动态网关部署安全的结合，配套完善的安全组织和策略体系，提升IPv6网络整体安全水平，达到网络安全纵深防御的目标，形成安全、可管、可控、可信的高安全IPv6网络架构。

联想网御将在IPv6过渡技术的探索和应用方面，推动互联网向IPv6的迁移早日实现，以支撑我国建立信息化的产业优势。

来源：中国计算机报