一種IPv4/IPv6雙棧校園網(wǎng)統(tǒng)一身份認(rèn)證技術(shù)研究

◆曾煒

（南京曉莊學(xué)院江蘇 210017）

在互聯(lián)網(wǎng)的發(fā)展過程中，IPv4向IPv6的演進(jìn)已經(jīng)成為必然選擇。目前，IPv4網(wǎng)絡(luò)面臨著地址消耗殆盡、服務(wù)質(zhì)量難以保證等一系列問題，另一方面，互聯(lián)網(wǎng)的規(guī)模仍在快速增長，特別是在用戶端，移動設(shè)備的數(shù)量增長迅速，這又導(dǎo)致了對新IP地址分配的不斷需求。IPv6是對IPv4的重新設(shè)計，它不但可提供幾乎取之不盡的IP地址，還具有可控可管可溯源等優(yōu)勢，解決了IPv4中存在的問題，可以提供更好的IP服務(wù)。因此，IPv6是全球公認(rèn)的下一代互聯(lián)網(wǎng)最成熟、最可行的解決方案。

IPv6沒有內(nèi)置向下兼容性，這意味著IPv6網(wǎng)絡(luò)無法直接與IPv4網(wǎng)絡(luò)通信。本質(zhì)上，IPv6已經(jīng)被創(chuàng)建為一個與IPv4共存的、并行的獨立網(wǎng)絡(luò)。因此，IPv4和IPv6將以雙協(xié)議棧網(wǎng)絡(luò)的形式長期共存，過渡的過程也將是漸進(jìn)式的。在此期間，我們需要同時管理IPv4和IPv6的可用性，并解決在IPv4/IPv6雙棧環(huán)境下身份認(rèn)證與網(wǎng)絡(luò)溯源問題，以最終安全穩(wěn)定地過渡到純IPv6的生態(tài)環(huán)境。

1 IPv4/IPv6雙棧校園網(wǎng)的產(chǎn)生與發(fā)展

2004年，中國第一個下一代互聯(lián)網(wǎng)主干網(wǎng)CERNET2正式開通，它既是我國建成的最大的純IPv6互聯(lián)網(wǎng)，又是唯一的學(xué)術(shù)性主干網(wǎng)。CERNET2的建成與開通，推動著我國進(jìn)入了IPv6與IPv4網(wǎng)絡(luò)共存時代。如今越來越多的高校已經(jīng)完成了接入，開展大規(guī)模IPv6網(wǎng)絡(luò)建設(shè)部署實施以及科研應(yīng)用和探索。各高校實現(xiàn)接入CERNET2的關(guān)鍵技術(shù)問題就是要對原先的純IPv4校園網(wǎng)進(jìn)行IPv4/IPv6雙棧升級改造。

1.1 雙協(xié)議棧的定義

雙協(xié)議棧是一種最簡單直接的過渡機制，能夠?qū)崿F(xiàn)IPv4向IPv6的過渡。它是指在業(yè)務(wù)終端、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)中可以同時收發(fā)IPv4與IPv6報文。雙協(xié)議棧方案，理論上可以在不增加基礎(chǔ)網(wǎng)絡(luò)設(shè)備，不變更基礎(chǔ)網(wǎng)絡(luò)結(jié)構(gòu)的情況下，實現(xiàn)對IPv4/IPv6訪問的同時支持。雙協(xié)議棧技術(shù)適合 IPv 4網(wǎng)絡(luò)/節(jié)點之間或者 IPv6網(wǎng)絡(luò)/節(jié)點之間通信，它不僅可以用于建設(shè)雙協(xié)議棧網(wǎng)絡(luò)，還是所有過渡技術(shù)的基礎(chǔ)。

1.2 雙棧改造的內(nèi)容

采用IPv4/IPv6雙棧技術(shù)方案，需完成如下工作：

（1）需要定制IPv6升級規(guī)劃。

（2）接入IPv6網(wǎng)絡(luò)，獲取IPv6公網(wǎng)地址，定制內(nèi)部IPv6地址路由策略。

（3）所有網(wǎng)絡(luò)、安全設(shè)備和安全防護系統(tǒng)進(jìn)行雙棧化改造，使其支持IPv6協(xié)議棧。

（4）所有應(yīng)用服務(wù)器和業(yè)務(wù)系統(tǒng)均需找原開發(fā)廠家進(jìn)行改造及開發(fā)，使其支持IPv6協(xié)議棧。

1.3 三層架構(gòu)校園網(wǎng)的雙棧升級

三層架構(gòu)校園網(wǎng)是指采用了層次化模型設(shè)計的網(wǎng)絡(luò)，每個層次著重于實現(xiàn)特定的功能，具體分成三個層次：核心層（網(wǎng)絡(luò)的高速交換主干）、匯聚層（提供基于策略的連接）、接入層（將工作站接入網(wǎng)絡(luò)）。

三層架構(gòu)網(wǎng)只能滿足最基本的互聯(lián)互通需求，它存在很多無法解決的網(wǎng)絡(luò)安全問題。如只要用戶獲得了網(wǎng)絡(luò)的使用權(quán)，在整個通信期間不會產(chǎn)生相應(yīng)的記錄、審計和控制，容易造成網(wǎng)絡(luò)的無序使用；用戶之間存在互相影響，網(wǎng)絡(luò)中的攻擊泛濫；由于沒有實施實名制，用戶的通信行為沒有存檔，后期當(dāng)然也無法追溯問題；缺乏必要的流量控制手段，網(wǎng)絡(luò)帶寬易被低效應(yīng)用大量占用，重要應(yīng)用反而得不到帶寬的有效保障；存在未經(jīng)授權(quán)的訪問，難以實現(xiàn)按用戶的身份分配相應(yīng)的權(quán)限等等。

三層架構(gòu)網(wǎng)絡(luò)能否實現(xiàn)雙棧升級，取決于老的核心設(shè)備是否能夠通過軟件升級支持雙棧。如果不能，則需要置換支持雙棧的新核心設(shè)備。匯聚層和接入層使用原有的普通IPv4交換機即可，核心層負(fù)責(zé)處理所有的IPv6三層功能。

1.4 扁平化架構(gòu)校園網(wǎng)的雙棧升級

扁平化的網(wǎng)絡(luò)是在運營商網(wǎng)絡(luò)發(fā)展的經(jīng)驗基礎(chǔ)上產(chǎn)生的，由業(yè)務(wù)控制層與用戶接入層組成。其中業(yè)務(wù)控制層成為核心，承擔(dān)用戶接入認(rèn)證，IPv4/IPv6雙棧轉(zhuǎn)發(fā)、邏輯控制等復(fù)雜功能。而傳統(tǒng)三層結(jié)構(gòu)中的匯聚與接入層合并為用戶接入層，僅保留用戶接入與VLAN隔離功能。

扁平化減少的不是物理層的數(shù)量，而是網(wǎng)絡(luò)邏輯層的數(shù)量，它提高了網(wǎng)絡(luò)通信的效率，還有利于擴展。扁平化的網(wǎng)絡(luò)架構(gòu)中，功能強大的核心設(shè)備直接負(fù)責(zé)對用戶和業(yè)務(wù)的管理，既有利于新業(yè)務(wù)的部署，又有利于新功能的增加。核心設(shè)備具備的高性能、高可靠性、高穩(wěn)定性等優(yōu)勢，保障了其能夠為用戶提供更加可靠的服務(wù)。同時，在扁平化的網(wǎng)絡(luò)架構(gòu)下，用戶接入層僅需提供二層的功能，因此會更變得更加穩(wěn)定和利于維護，還能夠降低投資。

“集中化智能，簡單化邊緣”是扁平化網(wǎng)絡(luò)架構(gòu)的特性，業(yè)務(wù)控制層集中處理所有的業(yè)務(wù)，用戶接入層只需完成VLAN 隔離和用戶接入，在扁平化的網(wǎng)絡(luò)架構(gòu)中，核心能夠直接控制如動態(tài)邏輯接口、業(yè)務(wù)、用戶等要素，從而為精細(xì)化網(wǎng)絡(luò)管理的實現(xiàn)奠定了基礎(chǔ)。

基于以上的優(yōu)勢，目前扁平化網(wǎng)絡(luò)已經(jīng)成為高校網(wǎng)的主流架構(gòu)。原先的三層網(wǎng)絡(luò)核心普遍迭代升級為BRAS，代表產(chǎn)品為Juniper Mx960，并且由于BRAS可以提供IPv4/IPv6雙棧的終結(jié)和控制功能，從而在硬件層面支持了純IPv4網(wǎng)絡(luò)向IPv4/IPv6雙棧網(wǎng)絡(luò)升級，下文中討論的雙棧網(wǎng)絡(luò)均指扁平化的雙棧網(wǎng)絡(luò)。

2 IPv4/IPv6雙棧校園網(wǎng)面臨的安全挑戰(zhàn)

目前，以互聯(lián)網(wǎng)為代表的信息技術(shù)正深刻改變著各個領(lǐng)域，有力推動著經(jīng)濟社會發(fā)展。與此同時，網(wǎng)絡(luò)空間的威脅和風(fēng)險也在逐步滲透。尤其近年來，網(wǎng)絡(luò)安全問題日益突出。

IPv4/IPv6雙棧網(wǎng)絡(luò)雖然是過渡時期的選擇，但其安全防護體系仍需符合信息安全保障體系的要求。由于IPv4/IPv6雙棧網(wǎng)絡(luò)改造主要影響網(wǎng)絡(luò)及應(yīng)用，因此主要從網(wǎng)絡(luò)安全及應(yīng)用安全等層面設(shè)計并實施信息安全防護的策略、措施和技術(shù)手段以適配雙棧協(xié)議的安全需求，全面開啟雙協(xié)議棧，來承載雙棧流量和防護，確保升級改造后的安全防護能力仍然達(dá)到國家信息安全等級保護要求。

高校的網(wǎng)絡(luò)安全事關(guān)國家安全、事關(guān)教育事業(yè)改革發(fā)展、事關(guān)廣大師生切身利益。因此，作為擁有重要信息系統(tǒng)的高校行業(yè)，必須要符合《網(wǎng)絡(luò)安全法》第二十一條和第二十四條的規(guī)定，同時也要滿足國家信息安全等級保護制度的合規(guī)性要求。其中，最需要優(yōu)先解決的就是IPv6用戶的身份識別及安全溯源問題。

3 IPv4/IPv6雙棧校園網(wǎng)中的身份認(rèn)證需求

身份認(rèn)證是網(wǎng)絡(luò)安全中極其重要的環(huán)節(jié)，可以說它構(gòu)成了其他安全機制的基礎(chǔ)。只有有效的用戶身份得到確認(rèn),繼而才能開展包括訪問控制、入侵檢測、安全審計等其他安全措施。隨著網(wǎng)上選課、辦公自動化、校內(nèi)一卡通、網(wǎng)上繳費等業(yè)務(wù)的陸續(xù)上線，必須杜絕用戶賬號被盜用的事件發(fā)生,一旦用戶對使用校園網(wǎng)進(jìn)行教學(xué)和支付缺乏安全感，勢必會造成數(shù)字化校園業(yè)務(wù)系統(tǒng)難以推廣和向縱深發(fā)展。因此只有找到直接、安全、準(zhǔn)確的身份認(rèn)證方法才能夠解除用戶的后顧之憂。

校園網(wǎng)中的用戶包括教職工、學(xué)生、機房、臨時用工人員、訪客等多種身份，這些用戶對校園網(wǎng)的使用權(quán)限有著顯著的差異，身份認(rèn)證的安全需求也就各有不同。例如：在辦公區(qū)使用校園網(wǎng)絡(luò)時，通常允許教職員工24小時在線，然而學(xué)生原則上超過23點后就不能上互聯(lián)網(wǎng)；在學(xué)生宿舍，學(xué)生只能使用已申請的運營商出口，按相應(yīng)的運營商套餐提供上網(wǎng)服務(wù)，但查寢的輔導(dǎo)員則可以使用教職工的身份，使用校園網(wǎng)帶寬。用戶身份、接入時間、接入地點構(gòu)成了多元的組合，校園網(wǎng)必須及時、準(zhǔn)確地為其匹配相應(yīng)的上網(wǎng)策略，使得不同身份角色在校園網(wǎng)中的權(quán)限得以完整體現(xiàn)。

4 IPv6/IPv4雙棧校園網(wǎng)統(tǒng)一身份認(rèn)證方法的實現(xiàn)

4.1 網(wǎng)絡(luò)架構(gòu)設(shè)計

從外到內(nèi)由防火墻、BRAS、匯聚層交換機、接入層交換機、接入認(rèn)證管理系統(tǒng)五部分構(gòu)成，如圖1所示。

組網(wǎng)上，兩臺BRAS路由器采用串接方式虛擬化部署，分別通過萬兆接口連接上下游的防火墻和匯聚交換機，接入認(rèn)證管理系統(tǒng)采用旁路方式部署。

防火墻負(fù)責(zé)對接各運營商出口鏈路，并為校內(nèi)用戶訪問互聯(lián)網(wǎng)提供NAT地址轉(zhuǎn)換，以及對校園網(wǎng)邊界的安全防護。

兩臺BRAS（JuniperMX960）路由器作為核心，它支持多種認(rèn)證方式，并具備IPV6接入認(rèn)證功能，能夠支持有線以太網(wǎng)接入和無線WLAN接入等。BRAS負(fù)責(zé)用戶接入，終結(jié)QinQ，給用戶分配地址、下發(fā)訪問策略，將用戶的認(rèn)證信息轉(zhuǎn)發(fā)到Radius服務(wù)器。

自建一套接入認(rèn)證管理系統(tǒng)，它主要包含Radius服務(wù)器、Portal服務(wù)器、D-NAT服務(wù)器等，負(fù)責(zé)用戶信息的收集和整理，生成報表，用戶計費，同時根據(jù)用戶登錄信息，通知BRAS下發(fā)對應(yīng)的訪問策略。

匯聚層交換機負(fù)責(zé)外層vlan標(biāo)簽，進(jìn)行vlan擴展，同時匯聚端口，將接入交換機的多個千兆接口，匯聚成1-2個萬兆端口，與BRAS互連。

接入層交換機負(fù)責(zé)通過每端口1個vlan的方式進(jìn)行用戶隔離，保證不同端口下的用戶在不同的廣播域內(nèi)，避免1個端口產(chǎn)生的ARP攻擊、廣播風(fēng)暴影響接入交換機上的所有用戶。

圖1 網(wǎng)絡(luò)架構(gòu)

4.2 認(rèn)證方案概述

有線、無線用戶統(tǒng)一采用IPoE方式進(jìn)行接入，首先用戶會被添加guest身份，獲取到一對IPv6/IPv4地址，Radius服務(wù)器將該雙棧地址與Session-ID、Demux用戶動態(tài)接口進(jìn)行映射，并下發(fā)限權(quán)策略給guest用戶，使其僅能訪問內(nèi)網(wǎng)中特定的極少量資源；其次，當(dāng)用戶繼續(xù)訪問任意一個IPv4（或IPv6）Internet網(wǎng)頁時，將被D-NAT服務(wù)器重定向到portal頁面上，用戶需要在portal頁面上輸入用戶名和口令，當(dāng)認(rèn)證成功后，Radius服務(wù)器即可正確識別出用戶的真實身份（教職工、學(xué)生、機房、臨時用工人員、訪客）并反饋給BRAS，最后BRAS重新下發(fā)策略，調(diào)用定義好的授權(quán)用戶訪問策略，同時對用戶的Demux端口進(jìn)行控制，開放用戶訪問Internet的權(quán)限。

4.3 認(rèn)證系統(tǒng)構(gòu)建

4.3.1 雙棧統(tǒng)一DHCP服務(wù)器

雙棧用戶是通過DHCP服務(wù)器獲得雙棧IP地址的，因此我們首先要將DHCP4和DHCP6服務(wù)器同時設(shè)置在BRAS（MX960）本地，再定義好其向用戶分發(fā)的IPv4和IPv6地址池，并分別命名為poolDHCPv4和poolDHCPv6，代碼示例：

接著在BRAS上面創(chuàng)建一個雙棧復(fù)用DHCPserver，目的是讓其在分配IPv6/IPv4地址的同時，只產(chǎn)生唯一的一個Session-ID，此Session-ID與BRAS后期分配的Demux用戶動態(tài)接口，共同構(gòu)成了任一雙棧用戶身份的唯一標(biāo)識符。代碼示例：

4.3.2 接入認(rèn)證管理系統(tǒng)

自建一套接入認(rèn)證管理系統(tǒng)，主要由Radius服務(wù)器、D-NAT服務(wù)器、Portal服務(wù)器、管理平臺服務(wù)器等組成。

（1）認(rèn)證用戶數(shù)據(jù)源分本地數(shù)據(jù)服務(wù)和外部LDAP兩種，先完成Radius與LDAP的對接。當(dāng)臨時用工人員和訪客請求身份認(rèn)證時，在Radius本地即可進(jìn)行；而教職工、學(xué)生、機房這幾種身份認(rèn)證則需要將用戶名和密碼發(fā)到外部LDAP進(jìn)行驗證。

（2）在管理平臺上為不同身份用戶創(chuàng)建相應(yīng)的認(rèn)證域。如學(xué)生可根據(jù)所處位置選擇學(xué)生域，宿舍域、機房域；教職工可選擇教職工域、機房域。

（3）在設(shè)備策略中為不同身份的用戶配置相應(yīng)策略，以控制其對網(wǎng)絡(luò)的合理訪問。每種身份需對應(yīng)至少4條策略：DHCP階段下發(fā)的IPv4、IPv6策略；認(rèn)證階段下發(fā)的IPv4、IPv6策略。

（4）D-NAT服務(wù)器負(fù)責(zé)將用戶訪問Internet的目標(biāo)IP改變?yōu)镻ortal服務(wù)器的IP。

（5）Portal服務(wù)器負(fù)責(zé)定義好認(rèn)證前后推送給用戶的交互界面。

4.3.2雙棧用戶獲取內(nèi)網(wǎng)權(quán)限的過程

雙棧用戶、BRAS（集成了DHCP4和DHCP6本地服務(wù)器）與Radius服務(wù)器的交互流程如圖2所示。

圖2 雙棧用戶獲取內(nèi)網(wǎng)權(quán)限的過程

（1）雙?？蛻舳讼駾HCPv4 服務(wù)器發(fā)送discover 報文，向DHCPv6 服務(wù)器發(fā)送Solicit 報文，請求為其分配IPv4和IPv6地址和網(wǎng)絡(luò)配置參數(shù)。

（2）BRAS將此雙?？蛻舳说腟ession-ID（會話號）、缺省用戶身份guest，缺省密碼guest送Radius認(rèn)證服務(wù)器驗證。

（3）Radius認(rèn)證服務(wù)器授權(quán)給這個guest用戶有限的內(nèi)網(wǎng)權(quán)限，使其獲得IPv4用戶的進(jìn)方向策略pbr，出方向策略1M；IPv6用戶的進(jìn)方向策略pbrv6，出方向策略1Mv6。

（4）BRAS（集成了DHCP4和DHCP6本地服務(wù)器）為雙棧客戶分配IPv4及IPv6地址，Demux用戶動態(tài)接口，并將上述4個策略匹配這個Demux用戶動態(tài)接口。

（5）Session-ID（會話號）和用戶雙棧IP進(jìn)行綁定，計費報文開始生產(chǎn)在線記錄。

（6）在Radius認(rèn)證服務(wù)器上產(chǎn)生映射表，添加這個guest用戶的雙棧IP地址、Session-ID、Demux用戶動態(tài)接口號等信息。

4.3.3 雙棧用戶獲取外網(wǎng)權(quán)限的過程

雙棧用戶、BRAS與D-NAT（目的NAT）、Radius（集成了Portal）服務(wù)器的交互流程如圖3所示。

圖3 雙棧用戶獲取外網(wǎng)權(quán)限的過程

（1）獲有限內(nèi)網(wǎng)授權(quán)的用戶請求訪問一個IPv4（或IPv6）Internet網(wǎng)頁。

（2）BRAS將用戶請求傳遞給目的NAT服務(wù)器。

（3）目的NAT服務(wù)器將用戶訪問目標(biāo)IP改變?yōu)镻ortal服務(wù)器的IP。

（4）Portal服務(wù)器將認(rèn)證頁面推送到用戶瀏覽器。

（5）用戶將用戶名及密碼送至Radius服務(wù)器進(jìn)行驗證。如果認(rèn)證通過，Radius服務(wù)器登記IP地址、Session-ID，上線時間。

（6）Radius服務(wù)器通知BRAS，認(rèn)證通過的Session-ID要依據(jù)其身份（教職工、學(xué)生、機房、臨時用工人員、訪客）變更為相應(yīng)的雙棧訪問策略。

（7）BRAS對相應(yīng)的Demux用戶動態(tài)接口進(jìn)行策略改變。

（8）BRAS通知Radius服務(wù)器已完成策略改變。

（9）授權(quán)用戶被允許按照相應(yīng)身份（教職工、學(xué)生、機房、臨時用工人員、訪客）雙棧策略訪問Internet。

4.3.4 實現(xiàn)與評估

具體實驗中使用到的主要硬件設(shè)備包括：防火墻—山石網(wǎng)科（SG-6000），核心BRAS000到的主要硬件設(shè)備包括：，匯聚—華為12708，自建接入認(rèn)證系統(tǒng)一套（含Radius，D-NAT，Portal、管理平臺），雙棧復(fù)用DHCPserver服務(wù)器（BRAS本地集成）。

無論上網(wǎng)用戶是有線還是無線、持有的是何種類型終端，操作系統(tǒng)是何種版本，訪問的是IPv4網(wǎng)頁或IPv6網(wǎng)頁，都可以全兼容、無條件的完成認(rèn)證過程，因此是一種真正意義上的統(tǒng)一身份認(rèn)證。

實驗時間在1年以上，每日平均在線設(shè)備數(shù)16000，認(rèn)證次數(shù)3萬次，用戶填入正確認(rèn)證域、用戶名、密碼前提下認(rèn)證成功率100%。

5 雙棧校園網(wǎng)實現(xiàn)安全溯源

經(jīng)過認(rèn)證系統(tǒng)對用戶賬號進(jìn)行校驗，并依據(jù)用戶身份查找匹配到新的授權(quán)認(rèn)證策略，Radius 服務(wù)器可將 IPv4和IPv6認(rèn)證后的策略規(guī)則同時下發(fā)至用戶終端。同時開始授權(quán)用戶上線時間登記。此后，該授權(quán)用戶的所有上互聯(lián)網(wǎng)的行為，都百分百雙向經(jīng)過出口防火墻。只要出口防火墻及日志審計系統(tǒng)支持雙棧，那么，用戶的所有雙棧在線行為都將被逐條記錄在案。通過日志審計系統(tǒng)、Radius 服務(wù)器、出口防火墻三者進(jìn)行網(wǎng)絡(luò)對接后，就能夠?qū)崿F(xiàn)上網(wǎng)用戶的實名制以及對上網(wǎng)日志進(jìn)行統(tǒng)一、有效的留存、監(jiān)管和挖掘，并能通過用戶名、訪問時間、用戶轉(zhuǎn)換前后的IP地址、用戶MAC地址、用戶訪問的URL地址等信息進(jìn)行快速查詢定位，形成一鍵溯源的整體解決方案，全面覆蓋所有監(jiān)管需要的字段，確保任何一個人、在校內(nèi)任何一個地方、任何時間、訪問任何IPv4或IPv6資源都可以得到記錄、審計、溯源，不折不扣地滿足《網(wǎng)絡(luò)安全法》和國家信息安全等級保護制度的合規(guī)性要求。IPv6溯源記錄如圖4所示。

圖4 IPv6溯源記錄

6 結(jié)束語

本文提出了一種全新的BRAS+IPoE+Protal雙棧統(tǒng)一身份認(rèn)證解決方案。當(dāng)校園網(wǎng)雙棧有線、無線用戶打開任意一個外網(wǎng)IPv6或者IPv4網(wǎng)頁，重定向至Portal頁面，只需認(rèn)證一次，即可獲得IPv6、IPv4雙棧授權(quán)，這一方案是雙棧校園網(wǎng)理想化的身份認(rèn)證模式，可以在確保安全的前提下帶給上網(wǎng)用戶極佳的認(rèn)證體驗，同時解決了安全溯源的需求。IPv6安全目前還屬于新生事物，尚存在很多的監(jiān)管盲區(qū)，在國家大力推動下一代互聯(lián)網(wǎng)發(fā)展的今天，IPv6安全一定要奮起直追，爭取早日和IPv4安全一起形成雙輪驅(qū)動，兩翼齊飛，為國家信息化建設(shè)的宏圖偉業(yè)保駕護航。