基于分层动态地址的访问控制方案设计学习课件.pptVIP

基于分层动态地址的访问控制方案设计 朱晶 刘莉莉 李丹 吴建平 2017年10月26日 . 背景 流量本身造成损失：DDOS 访问控制 非终端的 终端防御漏洞：蠕虫 . 相关工作 NAT 外界难以主动访问 IPv6部署较少 应对式访问控制 控制速度/精度存在权衡 动态地址 可扩展性不足 . 动态地址 解决可扩展性不足： 使用IPv6地址的主机标识位来标识身份 子网前缀 主机标识 身份地址 Win vista/OSX 10.7默认开启临时IPv6地址 主要目的为取消IP-用户身份的永久绑定，隐藏用户身份 直接应用将面临可能的扩展性问题 . 分层身份地址 直接让每个网络节点动态分配地址会导致ACL膨胀 A B C D . 分层身份地址 身份地址进行分层分配 子节点继承父节点身份地址 每个节点仅对相邻（子）节点进行身份验证 A B C D C’ B’ A C’ B A . 分层身份地址 身份地址分配实例： 身份地址占用空间从后往前叠加 可以根据需要自行配置用以作为子网主机标识的长度和继续用于身份标识的长度 2001:1:0:0:1::1 2001:2:0:1:1::1 2001:2:1:0:1::2:1 2001:2:1:1:1::2:1 2001:2:1:1:2:3:2:1 3 2 1 . 动态地址 每个网络节点可以变动自己的身份地址 初始信息：身份地址+可用空间 占用地址空间+身份地址 A A B 回复 B 新身份地址 回复 . 动态地址 中间交换节点需要双向管理身份地址的动态情况 将自己的身份地址变更告知邻节点 启用新地址 回复 通知 回复 A B A B A C B’ B’ . 动态地址 中间交换节点需要双向管理身份地址的动态情况 将父节点身份地址变更告知子节点 通知 回复 通知 回复 A B A B A C A A A . 流量过滤 在接口处设置过滤 ::2001::10:1 ::1002::2:1 ::1001::1:1 接口过滤 ::1002::2:1 ::1001::1:1 ::1002::2:1 ::1002::1:1 .