第1章IPv6安全引言

1.1重溫IPv6

1.2IPv6知識更新

1.3IPv6弱點

1.4黑客經驗

1.5IPv6安全緩解技術

1.6小結

1.7推薦讀物和資料

第2章IPv6協議安全弱點

2.1IPv6協議

2.1.1ICMPv6

2.1.2多播安全

2.2擴展威脅

2.2.1擴展綜述

2.2.2擴展的弱點

2.2.3逐跳選項和目的地選項

2.2.4路由

2.2.5分段

2.2.6未知的選項

2.2.7上層

2.3IPv6網絡勘察

2.3.1掃描並評估目標

2.3.2加速掃描過程

2.3.3應對勘察攻擊

2.4三層和四層欺騙

2.5小結

2.6參考文獻

第3章IPv6 Internet安全

3.1大型Internet威脅

3.1.1數據包泛洪

3.1.2Internet蠕蟲

3.1.3分布式拒絕服務和機撲網(Botnets)

3.2進/出過濾

3.2.1過濾IPv6流量

3.2.2對被分配地址的過濾

3.2.3虛假地址過濾

3.2.4虛假地址過濾挑戰和過濾自動化

3.3保障BGP會話安全

3.3.1顯式配置的BGP對端

3.3.2使用BGP會話共享秘密

3.3.3利用一條IPSec隧道

3.3.4在BGP對端上使用環回地址

3.3.5在BGP數據包上控制存活時間(TTL)

3.3.6在對端關繫接口上實施過濾

3.3.7使用鏈路本地對端關繫

3.3.8防止長的AS路徑

3.3.9限制接收到的前綴數量

3.3.10防止包含私有AS號碼的BGP更新

3.3.11化BGP對端的可用性

3.3.12對BGP鄰居活動記錄日志

3.3.13保障IGP安全

3.3.14保障BGP對端之間通信安全的措施

3.4MPLS上的IPv6安全

3.4.1在PE路由器之間IPv4隧道上使用靜態IPv6

3.4.2使用6PE

3.4.3使用6VPE產生支持IPv6的VRF

3.5客戶前端設備

3.6前綴委派威脅

3.6.1SLAAC

3.6.2DHCPv6

3.7多宿問題

3.8小結

3.9參考文獻

第4章IPv6邊緣安全

4.1IPv6防火牆

4.1.1過濾IPv6未分配地址

4.1.2其他的過濾考慮

4.1.3防火牆和NAT

4.2Cisco IOS路由器ACL

4.2.1隱式IPv6 ACL規則

4.2.2Internet ACL範例

4.2.3IPv6反射性的ACL

4.3Cisco IOS防火牆

4.3.1配置IOS防火牆

4.3.2IOS防火牆範例

4.3.3IOS防火牆的IPv6端口到應用映射

4.4Cisco PIX/ASA/FWSM防火牆

4.4.1配置防火牆接口

4.4.2管理接入權限

4.4.3配置路由

4.4.4安全策略配置

4.4.5對像組策略配置

4.4.6分段保護

4.4.7檢查流量統計信息

4.4.8鄰居發現協議保護

4.5小結

4.6參考文獻

第5章局域網安全

5.1二層是重要的原因

5.2IPv6的ICMPv6二層弱點

5.2.1無狀態地址自動配置問題

5.2.2鄰居發現的問題

5.2.3重復地址檢測問題

5.2.4重定向問題

5.3ICMPv6協議保護

5.3.1安全鄰居發現

5.3.2在Cisco IOS中實現CGA地址

5.3.3理解采用SEND的挑戰

5.4ICMPv6攻擊的網絡檢測

5.4.1檢測偽造的RA消息

5.4.2檢測NDP攻擊

5.5針對ICMPv6攻擊的網絡應對措施

5.5.1Rafixd

5.5.2降低目標範圍

5.5.3IETF工作

5.5.4擴展IPv4交換機的IPv6安全

5.6私有擴展地址的優劣

5.7DHCPv6的威脅和應對

5.7.1針對DHCPv6的威脅

5.7.2應對DHCPv6攻擊

5.8點到點鏈路

5.9端點安全

5.10小結

5.11參考文獻

第6章加固IPv6網絡設備

6.1針對網絡設備的威脅

6.2Cisco IOS版本

6.3禁止不必要的網絡服務

6.4限制路由器訪問

6.4.1物理訪問安全

6.4.2保障控制臺訪問的安全

6.4.3保障口令的安全

6.4.4VTY端口訪問控制

6.4.5路由器的AAA

6.4.6HTTP訪問

6.5IPv6設備管理

6.5.1環回和Null接口

6.5.2管理接口

6.5.3保障SNMP通信的安全

6.6針對內部路由協議的威脅

6.6.1RIPng安全

6.6.2EIGRPv6安全

6.6.3IS-IS安全

6.6.4OSPF版本3安全

6.7跳冗餘協議安全

6.7.1鄰居不可達性檢測

6.7.2HSRPv6

6.7.3GLBPv6

6.8控制資源

6.8.1基礎設施ACL

6.8.2接收ACL

6.8.3控制平面監控

6.9QoS威脅

6.10小結

6.11參考文獻

第7章服務器和主機安全

7.1IPv6主機安全

7.1.1ICMPv6的主機處理

7.1.2偵聽端口的服務

7.1.3檢查鄰居緩存

7.1.4檢測不希望出現的隧道

7.1.5IPv6轉發

7.1.6地址選擇問題

7.2主機防火牆

7.2.1Microsoft Windows防火牆

7.2.2Linux防火牆

7.2.3BSD防火牆

7.2.4Sun Solaris

7.3采用Cisco安全代理6.0保障主機的安全

7.4小結

7.5參考文獻

第8章IPSec和SSL虛擬專網

8.1IPv6的IP安全

8.1.1IPSec擴展

8.1.2IPSec操作模式

8.1.3Internet密鑰交換(IKE)

8.1.4IPsec和網絡地址轉換一起使用

8.1.5IPv6和IPSec

8.2主機到主機的IPSec

8.3站點到站點的IPSec配置

8.3.1IPv4之上的IPv6 IPSec例

8.3.2IPv6 IPSec示例

8.3.3動態多點VPN

8.4采用IPSec的遠端訪問

8.5SSL VPN

8.6小結

8.7參考文獻

第9章IPv6移動性安全

9.1移動IPv6操作

9.2MIPv6消息

9.2.1間接模式

9.2.2家鄉代理地址確定

9.2.3直接模式

9.3與MIPv6有關的威脅

9.3.1保護移動設備軟件

9.3.2偽造的家鄉代理

9.3.3移動媒介安全

9.3.4中間人威脅

9.3.5連接截獲

9.3.6偽造MN到CN綁定

9.3.7DoS攻擊

9.4在MIPv6中使用IPSec

9.5針對MIPv6的過濾

9.5.1CN處的過濾器

9.5.2在MN/異地鏈路處實施過濾

9.5.3在HA處實施過濾

9.6其他IPv6移動性協議

9.6.1其他IETF移動IPv6協議

9.6.2網絡移動性(NEMO)

9.6.3IEEE 802.16e

9.6.4移動Ad-Hoc網絡

9.7小結

9.8參考文獻

第10章保障遷移機制的安全

10.1理解IPv4到IPv6的遷移技術

10.1.1雙棧

10.1.2隧道

10.1.3協議轉換

10.2實現雙棧安全

10.2.1利用雙棧環境

10.2.2保護雙棧主機

10.3對隧道實施破壞

10.3.1安全的靜態隧道

10.3.2保障動態隧道的安全

10.3.3保障6VPE的安全

10.4攻擊NAT-PT

10.5針對IPv4網絡的IPv6潛在威脅

10.6小結

10.7參考文獻

第11章安全監視

11.1管理和監視IPv6網絡

11.1.1路由器接口性能

11.1.2設備性能監視

11.1.3路由器Syslog消息

11.1.4準確時間的益處

11.2管理IPv6隧道

11.3使用法醫證據方法

11.4使用入侵檢測和防御繫統

11.4.1Cisco IPS版本6.1

11.4.2測試IPS簽名

11.5采用CS-MARS管理安全信息

11.6管理安全配置

11.7小結

11.8參考文獻

第12章IPv6安全結論

12.1比較IPv4和IPv6安全

12.1.1IPv4和IPv6之間的相似性

12.1.2IPv4和IPv6之間的差異

12.2變化的安全邊緣

12.3生成一項IPv6安全策略

12.3.1網絡邊緣

12.3.2擴展

12.3.3LAN威脅

12.3.4主機和設備安全加固

12.3.5遷移機制

12.3.6IPSec

12.3.7安全管理

12.4保持警醒狀態(On the Horizon)

12.5建議的合並列表

12.6小結

12.7參考文獻