互联网安全协议IPsec-IPv4的缺陷

先从IPv4的缺陷讲起，然后讲述IPv6的核心是IPsec协议，并详细讲述IPsec协议的原理与实现技术。

随着Internet的发展尤其是规模爆炸式的增长，IPv4固有的一些缺陷也逐渐暴露出来，主要集中于以下几个方面。

（1）地址枯竭。IPv4使用32位长的地址，地址空间超过40亿。但由于地址类别的划分不尽合理，目前地址分配效率系数H约为0.22～0.26，即只有不到5%的地址得到利用，已分配的地址尤其是A类地址大量闲置，但可用来分配的地址所剩无几。另外，目前占有互联网地址的主要设备早已由大型机变为PC机，并且在将来，越来越多的其他设备也会连接到互联网上，包括PDA、汽车、手机、各种家用电器等。特别是手机，为了向第四、五代移动通信标准靠拢，几乎所有的手机厂商都在向因特网地址管理机构ICANN申请，要给它们生产的每一部手机都分配一个IP地址。而竞争激烈的家电企业也要给每一台带有联网功能的电视、空调、微波炉等设置一个IP地址。IPv4显然已经无法满足这些要求。

（2）路由瓶颈。Internet规模的增长也导致路由器的路由表迅速膨胀，路由效率特别是骨干网络路由效率急剧下降。IPv4的地址归用户所有，这使得移动IP路由复杂，难以适应当今移动业务发展的需要。在IPv4地址枯竭之前，路由问题已经成为制约Internet效率和发展的瓶颈。

（3）安全和服务质量难以保障。电子商务、电子政务的基础是网络的安全性和可靠性，语音视频等新业务的开展对服务质量（QoS）提出了更高的要求。而IPv4本身缺乏安全和服务质量的保障机制，很多黑客攻击手段（如DDoS）正是利用了IPv4的缺陷。

（4）IPv4地址结构有严重缺陷。如果一个组织分配了A类地址，大部分的地址空间被浪费了；如果一个组织分配了C类地址，地址空间又严重不足，而且D类和E类地址都无法利用。虽然出现了子网和超网这样的弥补措施，但是使得路由策略十分复杂。

（5）IPv4协议的设计没有考虑音频流和视频流的实时传输问题，不能提供资源预约机制；不能保证稳定的传输延迟。

（6）IPv4没有提供加密和认证机制，不能保证机密数据资源的安全传输。

尽管NAT（网络地址转换）、CIDR（无类别域间路由，Classless Inter-DomainRouting）等技术能够在一定程度上缓解IPv4的危机，但都只是权宜之计，同时还会带来费用、服务质量、安全等方面的新问题。因此，新一代网络层协议IPv6就是要从根本上解决IPv4的危机。

什么是CC攻击： CC攻击可以归为DDoS攻击的一种。他们之间的原理都是一样的，即发送大量的请求数据来导致服务器拒绝服务，是一种连接攻击。CC攻击又可分为代理CC攻击，和肉鸡CC攻击。代理CC攻击是黑客借助代理服务器生成指向受害主机的合法网页请求，实现DDoS，和伪装就叫：cc（Challenge Collapsar）。而肉鸡CC攻击是黑客使用CC攻击软件，控制大量肉鸡，发动攻击，相比来后者比前者更难防御。因为肉鸡可以模拟正常用户访问网站的请求。伪造成合法数据包。

防御CC攻击可以通过多种方法，禁止网站代理访问，尽量将网站做成静态页面，限制连接数量，修改最大超时时间等。

取消域名绑定

一般CC攻击都是针对网站的域名进行攻击，比如网站域名是“xxx”，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。

对于这样的攻击措施是在ⅡS上取消这个域名的绑定，让CC攻击失去目标。具体操作步骤是：打开“ⅡS管理器”定位到具体站点右键“属性”打开该站点的属性面板，点击IP地址右侧的“高级”按钮，选择该域名项进行编辑，将“主机头值”删除或者改为其它的值（域名）。

实例模拟测试，取消域名绑定后Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不便，另外，对于针对IP的CC攻击它是无效的，就算更换域名攻击者发现之后，他也会对新域名实施攻击。

更改Web端口

一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行ⅡS管理器，定位到相应站点，打开站点“属性”面板，在“网站标识”下有个TCP端口默认为80，我们修改为其他的端口就可以了。

ⅡS屏蔽IP

我们通过命令或在查看日志发现了CC攻击的源IP，就可以在ⅡS中设置屏蔽该IP对Web站点的访问，从而达到防范ⅡS攻击的目的。在相应站点的“属性”面板中，点击“目录安全性”选项卡，点击“IP地址和域名现在”下的“编辑”按钮打开设置对话框。在此窗口中我们可以设置“授权访问”也就是“白名单”，也可以设置“拒绝访问”即“黑名单”。比如我们可以将攻击者的IP添加到“拒绝访问”列表中，就屏蔽了该IP对于Web的访问。

IPSec封锁

IPSec是优秀的系统防火墙，在排除其他还有别的类型的DDOS攻击时，针对CC攻击可以用设置IP策略来对付攻击。以219.128.*.43这个IP为例子，笔者实际操作对该IP的访问封锁。

第一步：“开始→管理工具”，打开“本地安全设置”，右键点击“IP安全策略，在本地机器”选择“创建IP安全策略”，然后点击“下一步”，输入策略“名称”和“描述”。然后默认一路“下一步”创建了一个名为“封CC攻击”的IPSec策略。

第二步：右键点击“IP安全策略，在本地机器”选择“管理IP筛选器表和筛选器操作”，在打开的窗口中点“添加”，在“IP 筛选器列表”窗口添入同第一步的名称和描述信息。取消“使用添加向导”的勾选，然后点击“添加”。在“IP 筛选器 属性”窗口的“地址”选项下设置“源地址”为“192.168.1.6”，目标地址为“我的IP地址”，取消对“镜像”的勾选；点击“协议”选项卡，设置“协议类型”为“TCP”，设置“协议端口”为“从任意端口”到“此端口80”最后确定退出。

第三步：在“新规则 属性”窗口中点选刚才创建的“封CC攻击”规则，点击“筛选器操作”选项卡下的“添加”，点选“安全措施”下的“阻止”，在“常规”选项卡下为该筛选器命名为“阻止CC攻击”然后确定退出。

第四步：点选刚才创建的“阻止CC攻击”筛选器，一路“确定”退出IP策略编辑器，可以看到在组策略窗口的中创建成功一个名为“封CC攻击”的策略，然后右键点击该策略选择“指派”。这样就实现了对该IP的封锁。

海腾数据中心防御cc攻击，是技术手动开启防御低级别和高级别，目前CC防御都是手动操作，所以24小时的技术非常重要。防CC服务器租用

1、分析网络现状。对网络系统进行安全评估和安全加固，设计安全的网络解决方案；

2、在出现网络攻击或安全事件时，提高服务，帮助用户恢复系统及调查取证；

3、针对客户网络架构，建议合理 的网络安全解决方案；

4、负责协调解决方案的客户化实施、部署与开发，推定解决方案上线；

5、负责协调公司网络安全项目的售前和售后支持。这些基本上都是一个合格的网络工程师要掌握的。

另外还有一些对于就业的要求：

1、计算机应用、计算机网络、通信、信息安全等相关专业本科学历，三年以上网络安全领域工作经验；

2、精通网络安全技术：包括端口、服务漏洞扫描、程序漏洞分析检测、权限管理、入侵和攻击分析追踪、网站渗透、病毒木马防范等。

3、熟悉tcp/ip协议，熟悉sql注入原理和手工检测、熟悉内存缓冲区溢出原理和防范措施、熟悉信息存储和传输安全、熟悉数据包结构、熟悉ddos攻击类型和原理有一定的ddos攻防经验，熟悉iis安全设置、熟悉ipsec、组策略等系统安全设置；

4、熟悉windows或linux系统，精通php/shell/perl/python/c/c++ 等至少一种语言；

5、了解主流网络安全产品{如fw（firewall）、ids（入侵检测系统）、scanner（扫描仪）、audit等}的配置及使用；

6、善于表达沟通，诚实守信，责任心强，讲求效率，具有良好的团队协作精神；

---