Nghiên cứu triển khai VPN trên giao thức IPv6

Playload bảo mật mã hóa

Payload bỏ mật mã hoá là phần mở rộng mà cung cấp một cách tín nhiệm và bảo vệ chống lại sự nghe lén.  Mode vận chuyển (Transport Mode): Trong mode vận chuyển một TCP hay đơn vị dữ liệu người sử dụng UDP là cái đầu tiên được mã hoá và được gói vào trong 1 gói IPv6. Mode tunnel (Tunnel Mode): Trong mode tunnel toàn bộ dữ liệu IP với những vùng Header nền tảng của nó và những vùng Header mở rộng được mã hoá và gói vào trong 1 gói IP mới sử dụng vùng Header mở rộng Paylaod bảo mật mã hoá.

 Tuỳ chọn không hoạt động (no-operetion) và kết thúc tuỳ chọn ( end- of - option) trong IPv4 được thay bằng Pad1 và PadN trong IPv6.  Tuỳ chọn nguồn tìm đường (source route) được gọi là vùng Header mở rộng tuỳ chọn nguồn tìm đường trong IPv6.  Những trường sự phân miếng (fragmentation) trong khu vực vùng Header nèn tảng của IPv4 được chuyển đến vùng Header mở rộng tuỳ chọn sự phân miếng của IPv6.

Sự chuyển tiếp từ ipv4 sang ipv6

Trong giai đoạn chuyển đổi, điều quan trọng là phải đảm bảo sự hoạt động bình thường của mạng IPv4 hiện tại. Tùy từng thời điểm trong giai đoạn chuyển đổi, mức độ sử dụng của các cơ chế chuyển đổi sẽ khác nhau. Các mạng IPv6 kết nối với nhau trên nền hạ tầng IPv4 hiện có thông qua các đường hầm IPv6 qua IPv4.

Giai đoạn giữa: Giao thức IPv4 và IPv6 được triển khai về phạm vi ngang nhau trên mạng. Các mạng IPv4 kết nối với các mạng IPv6 sử dụng các phương pháp chuyển đổi địa chỉ giao thức như NAT- PT, ALG…. Các mạng IPv4 còn lại kết nối với nhau trên hạ tầng định tuyến IPv6 thông qua các đường hầm IPv4 qua IPv6 khi chuyển hoàn toàn sang IPv6.

Các phương thức chuyển đổi

+ Việc thử nhiệm IPv6 không ảnh hưởng đến các mạng IPv4 hiện đang hoạt động. Không nhất thiết phải chuyển đổi toàn bộ các nút mạng sang giao thức mới. + Kết nối các mạng và các nút mạng IPv6 qua hạ tầng định tuyến IPv4 hiện có.

- Mối cơ chế đều có ưu, nhược điểm và phạm vi áp dụng khác nhau.

Chồng giao thức

Do hoạt động với cả hai giao thức, nút mạng kiểu này cần ít nhất một địa chỉ IPv4 và một địa chỉ IPv6. Địa chỉ IPv6 được cấu hình trực tiếp hoặc thông qua khẳ năng tự cấu hình địa chỉ. Chương trình tra cứu tên miền có thể tra cứu đồng thời cả các truy vấn kiểu A lẫn kiểu AAAA(A6).

Nếu kêt quả trả về là bản ghi AAAA(A6), ứng dụng sẽ sử dụng giao thức IPv6. Nếu cả hai kết quả trả về, chương trình sẽ lựa chọn trả về cho ứng dụng một trong hai kiểu địa chỉ hoặc cả hai. + Đây la cơ chế cơ bản nhất để nút mạng có thể hoạt động đồng thời với cả hai giao thứ do đó, nó được hỗ trợ trên nhiều nền tảng khác nhau như FreeBSD, Linux, Windows và Solaris.

Đường hầm ipv6 qua ipv4

Đặc điêm của đường hầm có cấu hình là địa chỉ điểm cuối đường hầm không được xác định tự động mà dựa trên những thông tin cấu hình trước tai điểm đầu đường hầm. Mô hình đầu tiên là dùng địa chỉ IPv6 có khuôn dạng đặc biệt: địa chỉ IPv6 tương thích IPv4 để mã hóa thông tin về địa chỉ IPv4 trong địa chỉ IPv6. Cơ chế cho phép các trạm IPv6 cô lập trên các liên kết vật lý không có các router IPv6 hoạt động dựa trên các gói tin multicast IPv4 như một liên kết cục bộ ảo.

+ Địa chỉ multicast solicited-node (239.X.C.D): Địa chỉ quản trị này được dùng để xác định địa chỉ nút láng giềng (C và D là hai byte thấp trong địa chỉ IPv4). - Các trạm 6over4 nhận cấu hình (địa chỉ liên kết cục bộ và tiền tố, địa chỉ IPv4 của router hỗ trợ IPv6) sử dụng giao thức ND trên các địa chỉ multicast IPv4. + Có nguy cơ bị tấn công theo kiểu của đường hầm tự động nếu phần địa chỉ IPv4ADDR trong địa chỉ đích của gói tin 6to4 là địa chỉ broadcast hay multicast.

Mô giới đường hầm

+ Các khách hàng của dịch vụ Tunnel broker là các nút mạng IPv6 stack kép (host hoặc router) đã kết nối vào Internet IPv4. Trước khi thiết lập đường hầm, cần có sự trao đổi thông tin giữa Tunnel broker với khách hàng như xác thực, quản lý và thông tin tài khoản. Nó cũng có thể đăng kí tên và địa chỉ IPv4 của đầu đường hầm phía họ, tên đăng kí trong DNS và đó là một trạm hay một router.

Nó chọn tiền tố cấp phát cho khách hàng (từ 0 đến 128) và cố định thời gian tồn tại của đường hầm. + Tunnel broker cấu hình đường hầm phía server và thông báo các thông tin liên quan cho khách hàng. - Sau đó, khách hàng có thể kết nối vào mạng IPv6 thông qua cơ chế đường hầm như bình thường.

Dịch địa chỉ dịch giao thức

NAT- PT cũng như NAT cũng như IPv4 không có khả năng hoạt động với các gói tin có chứa địa chỉ trong phần tải tin. - SIIT (Stateless IP/ICMP Translation Algorithm) là một chuẩn của IETF (RFC2765) mô tả bộ dịch IPv6/IPv4 không lưu trạng thái (Stateless). - Đối với quá trình chuyển đổi IPv4 sang IPv6, một địa chỉ IPv4 tạm thời được gán cho nút mạng IPv6.

- Các gói tin đến thiết bi SIIT sẽ được chuyển đổi header và địa chỉ từ IPv4 sang các địa chỉ IPv4-dịch (IPv4- translated) và IPv4- ánh xạ (IPv4- mapped). Một địac hỉ IPv4-dịch tương ứng với một nuts mạng IPv6 còn địa chỉ IPv4- ánh xạ tương ứng một nút mạng IPv4. - Do quá trình chuyển đổi không lưu trạng thái, có thể tồn tại nhiều bộ chuyển đổi giữa hai mạng IPv4 và IPv6.

Một số cơ chế khác

SIIT cũng thực hiện chuyển đổi các thông điệp điều khiển ICMP giữa hai giao thức. Đối với chiều ngược lại, các địa chỉ này sẽ được chuyển đổi ngược lại thành địa chỉ IPv4. Không có sự ràng buộc mỗi phiên truyền phải đi qua một thiết bị duy nhất như trong NAT- PT.

BIS (Bump Into the Stack)

+Phần mềm Tôlnet6 hỗ trợ BIS hạn chế với một số card mang họ 3Com, NE2000 dưới dạng driver cho card mạng do công ty Hitachi cung cấp. Chương trình hoạt động với Win9x và NT cho phép kết nối với các trạm IPv6. +Sau7 khi cài đặt phần driver của card mạng, cần cấu hình các ánh xạ địa chỉ IPv6- IPv4 trước khi có thể thực hiện kết nối thông qua chương trình NAT MAnager.

BIA (Bump Into the API

+ Phương pháp BIA chèn thêm một bộ dịch API vào giữa module socket API và module TCP/IP trên dual-stack host và dịch các hàm API socket IPv4 thành các hàm API socket IPv6 và ngược lại. + Khi một ứng dụng IPv4 giao tiếp với một host IPv6 khác, bộ dịch API phát hiện các hàm APG socket mà ứng dụng sử dụng và gọi tương ứng các hàm API socket IPv6 để giao tiếp với host IPv6 và ngược lại. Khi một ứng dụng giửi một truy vấn các bản ghi kiểu A tới name server, module này sẽ nhận truy vấn này, phân tích và tạo ra truy vấn tương ứng với tên máy đó cho cả các bản ghi kiểu A và AAAA rồi giửi cho name server.

Nếu trả lời từ name server chỉ có bản ghi kiểu AAAA, module này sẽ yêu cầu module ánh xạ địa chỉ gán một địa chỉ IPv4 tương ứng với địa chỉ IPv6 này rồi tạo ra một trả lời kiểu A chứa địa chỉ IPv4 trả về cho ứng dụng. Để tránh hiện tượng dùng hết tập địa chỉ IPv4 dẫn đến không thể tiếp tục đáp ứng các yêu cầu trao đổi với bên ngoài, BIA đưa ra các cơ chế để loại bỏ các mục tồn tại lâu nhất trong bảng để sử dụng trong các yêu càu mới. - Nếu server ứng dụng chưa hỗ trợ IPv6 nhưng chạy trên một máy có hỗ trợ IPv6 và có tên dưới kiểu bản ghi AAAA trong DNS, ứng dụng client có thể không kết nối được với server do có sự không phù hợp giữa bản ghi kết quả DNS (AAAA) với phiên bản ứng dụng server (IPv4).

Xây Dựng VPN Trên IPv6

HANOI(config)#ctypto isakmp policy 1 HANOI(config-isakmp)#encrypto 3des HANOI(config-isakmp)#hash sha. HANOI(config-interface)#ipv6 address 4000::1/64 HANOI(config-interface)#tunnel source serial2/0 HANOI(config-interface)#tunnel destination 30.0.0.2 HANOI(config-interface)#tunnel mode ipv6 ip. SAIGON(config-interface)#ipv6 address 4000::2/64 SAIGON(config-interface)#tunnel source serial2/0 SAIGON(config-interface)#tunnel destination 20.0.0.2 SAIGON(config-interface)#tunnel mode ipv6 ip.