理性看待IPv6
中国互联网络信息中心发布的报告中显示,截至2003年12月31日,我国的上网用户总人数为7950万人,和去年同期相比增长34.5%;上网计算机总数为3089万,和去年同期相比增长48.3%。
中国互联网产业美好的未来,却掩盖不住其中潜在的危险,那就是地址的缺乏。我国所享有的IPv4地址只有3000多万,不及美国普林斯顿大学一家享有的IPv4地址数量,更不到IBM公司占有的一半。并且根据预测,IPv4地址将于2005年用尽。也就是说到中国举办奥运会的2008年,如果我们还用现在的互联网协议IPv4的话,我们将没有足够的互联网地址来支撑众多的PC设备、移动终端上网。
地址的缺乏是业界对IPv6研究和建设的最主要的推动力。无可否认IPv6如黄沙一样浩瀚的地址对解决这个问题的有效性。但是,除了这之外,许多人又赋予了IPv6更多的“任务”:解决安全问题、服务质量问题、多网络融合问题等等,仿佛现在IP网存在的所有问题,一上v6就全部OK了。事实上真的是这样吗?
IPv6虽然内在具有一些安全的特性,但并不表明用了IPv6就安全了。
安全一定是一个体系,光靠一两项单纯技术并不能解决问题
IPv6的安全特性是其主要特点之一。IPv6协议内置安全机制,并已经标准化。即使终端用户用“总是在线”接入企业网,这种安全机制也是可行的,这种“总是在线”的服务类型在IPv4技术中是无法实现的。IPv6同IP安全性(IPSec)机制和服务一致。除了必须提供网络层安全这一强制性机制外,IPSec还提供两种服务。认证报头(AH)用于保证数据的一致性,而封装的安全负载报头(ESP)用于保证数据的保密性和数据一致性。在IPv6包中,AH和ESP都是扩展报头,可以同时使用,也可以单独使用其中一个。这是IPv6在技术上的安全优势。
但北京邮电大学网络中心主任、CNGI项目(中国下一代互联网示范工程)组组长马严接受记者采访时说,从技术上看,并不认为由于使用了IPv6,就一定能带来好处。因为IPv6虽然内在具有一些安全的特性,但是应用系统、各种各样的基础设施,要充分利用这些特性才行,并不能说天然的只要用了IPv6 就安全了。而且,这个世界永远是矛和盾的关系,IPv6的特性会让以前给人们带来头疼的东西克服掉,但是不能保证不出现新的问题。比如说,IPv6在协议栈里强制执行了IPSec,启动IPSec做通道,安全加密访问时的确比纯Ipv4时的安全性有所改善,但是IPSec并不是自动启动,也不是唯一的,所以光IPSec不够,还要增加一些安全的其他设施,比如认证体系、安全加密体系、密钥分发体系等。另外,IPSec是一个网络层协议。它只负责其下层的网络安全,并不负责其上层应用的安全,如Web、电子邮件和文件传输等。所以安全一定是个体系,光靠一两项单纯技术并不能解决问题。
马严强调说,大家关注IPv6是件好事,但是千万不要认为有了IPv6就一定是安全的。
IPv6的一个重要特性是它的移动性,但是IPv6在移动终端上的完全应用还需要很长的路要走。
3G,也不会成为IPv6的杀手级应用。
移动IPv6(MIPv6)在新功能和新服务方面可提供更大的灵活性。每个移动设备设有一个固定的家乡地址(home address),这个地址与设备当前接入互联网的位置无关。当设备在家乡以外的地方使用时,通过一个转交地址(care-of address)来提供移动节点当前的位置信息。移动设备每次改变位置,都要将它的转交地址告诉给家乡地址和它所对应的通信节点。在家乡以外的地方,移动设备传送数据包时,通常在IPv6报头中将转交地址作为源地址。这是IPv6的移动特性。
在IPv4协议里面,移动特性是作为可选的扩展协议出现的,IPv6则从一开始制定标准时就考虑了进去。这种特性使IPv6在移动通信领域获得广泛应用具有了极大的优势,但是IPv6在移动终端上的完全应用还需要很长的路要走。原因是,在主流的网络设备厂商里面,只有少数几家支持IPv4的移动特性,而且运营商即使购买了具有这些功能的设备,也没有开通这个功能。比如现在的PDA手机,内置的只是IPv4的协议栈,并不支持其移动特性。况且,中国的两家移动运营商都没有采购支持MIP(无论是v6还是v4)的设备,所以,现在的手机,借助GPRS、CDMA1X为媒介上网,使用的都是专网地址。未来的3G网络部署以后,情况也不会有大的改变。3G也不会成为IPv6的杀手级应用。
IPv6的标准,特别是流标签标准还有待完善,而它是IPv6体现QoS的重要内容
服务质量(QoS)包含几个方面的内容。从协议的角度看,IPv6与目前的IPv4提供相同的QoS,但是IPv6的优点体现在能提供不同的服务。这些优点来自于IPv6报头中新增加的字段流标签。有了这个20位长的字段,在传输过程中,中国的各节点就可以识别和分开处理任何IP地址流。但这个流标签的准确应用还没有制定出有关标准。
Bii公司总裁刘东介绍说,IPv6协议制定已经有10年的历史了,但从协议本身来看,除了流标签协议还没有明确外,其它都已经得到了明确的定义。但是,流标签是IPv6协议构造上优于IPv4的主要方面,将在一直困扰着IP技术发展的QoS方面进行重大改进。迄今为止,传统的路由器仅仅进行包转发操作,这是一种无状态的操作,即使对同一会话的连续的数据流,路由器不会进行识别,而是逐包进行操作。目前美国一家厂商研制出基于流转发的产品,它是一种有状态的操作,借鉴了防火墙中状态检测的一部分思想,既它对同一会话的连续的数据流,进行同一策略的处理,而不会出现传统路由器对同一会话的连续的数据流可能采取不同策略的情况。这对于基于UDP的多媒体数据特别有用,将大大改善IP的QoS。但可惜的是,这种基于流转发的产品不是基于协议实现,而是基于厂家的特定的产品实现,这就大大限制了这种技术的应用与推广。
此外,除了IPv6协议本身的定义外,IPv6相关的协议标准,如路由协议、MPLS等目前还有需要完善的地方。
IPv6的主要应用方式是端到端的应用,让每一个家庭电子设备都拥有IP地址、把每一个家庭设备都接入网络是IPv6的目标,但是安全成本是在家庭设备中普及IPv6的绊脚石。
业界普遍认为,IPv6在家庭设备中才能真正发挥出其威力。因为IPv6比IPv4更容易进行端对端的通信,人们在外出时利用家中的打印机打印数码相机所拍摄到的图像、实现家庭自动化以及用网络照看宠物和婴幼儿等,这些需要由外面来控制家中设备的应用,正好是IPv6的优势所在。但安全问题是最令人担心的,目前存在着两种家庭IPv6网络安全模式,如图1所示,一种是各种产品分别对需要连接的对象进行认证,以便进行访问控制的模式。这种模式在IPv6领域被称为保险柜模;另一种是与目前绝大多数的网络一样,利用防火墙等在子网的入口处进行认证,进行访问控制的模式,这种模式称为入口模式。 这两种模式都不能让人满意:作为IPv6最好是采用保险柜模式,但一些专家则认为,在各种产品中嵌入安全功能是相当困难的,另外,还存在着如何交换密钥的课题。保险柜模式的成本比较高,而入口模式则不适合IPv6的特性。
IPv6并不能完成互联网、电信网、移动网的融合任务
3G标准化组织3GPP在R5版本中规定了以IPv6为基础构筑下一代移动通信网络,这似乎预示着IPv6将完成互联网、电信网、移动网的融合壮举。尽管网络的融合是运营商和网络专家孜孜以求的目标,但是依靠IPv6来完成这个任务,至少从目前来看还是不现实的。“3G并不是互联网的骨干技术之一,它是传统业务的进一步延伸,CNGI并没有包容3G的项目,目前的IPv6是为IP网准备的,而不是为3G的传输网准备的。”马严老师说。IPv6是下一代互联网的技术,和电信网的NGN项目、移动网的3G项目在某种程度上是互补关系,而不是替代关系。如果IPv6能够使这三种网络融合,那么我们岂不只需要研究一种就行了吗?从业务上来看,电信网的所有业务并不能全部转到IP网上。而且,下一代网络的基础是不是基于IP,还存在很大的争议。
IPv6部署中的障碍
IPv4是相当成功的,它在全世界已拥有2亿多用户。这样的网络基础不可能一下子全部都转到IPv6。这就决定了IPv6的部署只能是缓慢的,而且要避免影响IPv4的业务流。
在互联网中有这样一个概念,即Robert Metcalfe准则:一个网络的价值与它的节点数目的平方成正比。如果一个网络的应用和服务不够好,就不能吸引用户,因此就不如一个成熟的、建设好了的网络有吸引力。
根据Metcalfe准则,IPv6现在的价值就不高,因为IPv4有很多用户,而IPv6的用户较少。网络管理员很自然就会碰到这样一个问题,当别人都还不支持IPv6时,为什么我要转到一个支持IPv6的网络上。
另外一个阻碍IPv6广泛部署的因素是,没有所需协议部署的基础设施。硬件、操作系统、中间软件和管理工具的支持,以及合格的技术人员等,都是不可缺少的。IPv6每一个缺少的部分都代表了在时间、资源方面的巨大的投资。例如,高速路由器要求某些硬件升级,以便可以像处理IPv4分组一样来对IPv6分组进行高速处理。现在商家都希望能够在升级前收回他们的投资。如果软件商的投资不能得到明确的回报,他们也不愿意增强对IPv6的支持。
尽管从IPv4到IPv6是一个直接向前的过程,但是的确有很多潜在的问题。例如,第三方的应用软件就很少在目标操作系统的最新版本上编译。而其早期的版本,可能都已被用户广泛使用。操作系统一般是向下兼容的,因此,将新的应用软件在操作系统的最新版本上运行一般没有问题。但是,为了能够在IPv6上运行,一个应用软件必须在支持IPv6的操作系统版本上编译。今天,这意味着,在操作系统的最新版本上编写应用软件,常常不只一个版本。因此,第三方应用软件的业务提供商,如果想提供可容纳IPv6的业务,就得作出选择,要么迫使其用户升级其操作系统到支持IPv6的版本,要么支持两种版本的应用软件:一种在新的操作系统上运行IPv4和IPv6,一种仅在旧版本上运行IPv4。
但IPv6的需求是确确实实的,它的优势也是业界一致认同的。有关专家说,IPv6是不亚于3G的一个重大机遇。国家设立CNGI项目,运营商纷纷开展IPv6的试验网络就说明了这一点。但是我们应该理性地看待IPv6,以避免像几年前欧洲的3G牌照那样,出现不必要的损失。
图1家庭网络安全的两种模式
亚太地区IPv6地址申请数量(/32和/35)
|