29、网络技术：IPsec、Mobile IPv6与QoS详解

网络技术：IPsec、Mobile IPv6与QoS详解

1. IPsec相关要点

在设置IPsec的数据包过滤器时，操作相对简单。我们需要允许端口500/UDP的IKE流量通过，部分情况下还能依据AH和ESP头进行过滤。不同系统在这方面有不同表现：
| 系统 | 过滤特点 |
| ---- | ---- |
| Debian Sarge | ip6tables数据包过滤器支持esp匹配扩展，可按安全参数索引（SPIs）过滤 |
| FreeBSD 6.1 | pf文档中未提及按IPsec头过滤的功能，但似乎可使用proto关键字 |

若要确保数据包经过身份验证，可能需在目标节点使用合适的策略。若数据包过滤器采用加密，便无法再按端口号甚至协议进行过滤，也不能通过“深度检查”或应用层网关对数据包内容进行过滤。

另外，使用基于签名的X.509证书在本地网络中部署IPsec较为繁琐。Debian Sarge和Solaris 10完全不支持IKEv2。Solaris 10会忽略X.509证书中存储的IP地址，若节点持有受信任CA签名的证书，便可将其用于任意地址。

2. Mobile IPv6基本概念

传统的TCP/IP栈设计时，计算机体积庞大难以移动，网络连接也被认为是静态的。但如今智能手机、PDA等设备的网络连接频繁变化，Mobile IPv6应运而生，它能让移动节点在改变网络连接时保持IP地址不变。不过目前其实现尚处于实验阶段甚至不存在，且存在诸多安全问题未解决。

2.1 基本Mobile IPv6原理

移动节点（MN）可暂时离开其归属网络（HN），连接到互联网的其他位置，