Thiết kế mạng trên nền IPV6 an toàn nhờ phân tích, đánh giá đặc điểm của giao thức IPV6 - Nguyễn Thị Dung

Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 85 THIẾT KẾ MẠNG TRÊN NỀN IPV6 AN TOÀN NHỜ PHÂN TÍCH, ĐÁNH GIÁ ĐẶC ĐIỂM CỦA GIAO THỨC IPV6 Nguyễn Thị Dung, Lê Hoàng Hiệp*, Phạm Thị Liên, Trần Duy Minh Trường Đại học Công nghệ thông tin & Truyền thông – ĐH Thái Nguyên TÓM TẮT Nhu cầu thiết yếu với các doanh nghiệp hiện nay luôn cần có một hệ thống mạng hoạt động 24/24 giờ liên tục với hiệu năng tốt nhất nhưng phải đảm bảo độ an toàn cao nhất có thể. Với các mạng sử dụng giao thức IPv4 như trước đây đang có xu thế chuyển dịch hoặc chuyển hẳn sang sử dụng giao thức IPv6 vì nhiều lợi ích của nó. Tuy nhiên, bên cạnh đó các mạng doanh nghiệp vừa và nhỏ tại Việt Nam hiện nay khi được thiết kế trên nền giao thức IPv6 cũng luôn có những tiềm tàng hoặc rủi do bị kẻ xấu lợi dụng một số điểm yếu của IPv6 để thực hiện tấn công hoặc những hành động, mục đích không có lợi cho hệ thống mạng doanh nghiệp hiện nay. Do đó, khi bắt tay vào thiết kế một dự án mạng mới nhà thiết kế cần hiểu rõ và đánh giá đặc điểm của giao thức IPv6 một cách nghiêm túc nhất. Từ khóa: IPv6, IPv6 Security, IPv6 Attacks, IPv6 Threats, IPv6 Issues GIỚI THIỆU* Khi thiết kế một hệ thống mạng an toàn, nhà thiết kế cần phải xem xét và phân tích thực hiện một số yếu tố có ảnh hưởng liên đới sau này khi sử dụng chẳng hạn như phân tích cấu trúc sơ đồ mạng (topology) hoặc vị trí đặt các host (máy chủ, Router, tường lửa,) như thế nào để đảm bảo hiệu năng nhưng người quản trị vẫn có thể kiểm soát và hiểu rõ, thực thi tốt nhất hệ thống mà mình đang quản lý. Hình 1. Sơ đồ mạng an toàn cơ bản Một số vấn đề, thách thức bảo mật thường thấy trong khi thiết kế mạng doanh nghiệp cỡ vừa và nhỏ (số lượng node mạng <1000) điển hình như: - Bảo vệ hệ thống khỏi các mối đe dọa, tấn công từ mạng Internet. - Bảo vệ cho các máy chủ Web, DNS và Mail trên mạng Internet. * Tel: 0984 666500; Email: lhhiep@ictu.edu.vn - Phòng ngừa thiệt hại, rủi do cho các hệ thống và ngăn chặn tấn công nội bộ. - Đảm bảo tài nguyên nội bộ quan trọng trong các doanh nghiệp như hồ sơ lưu trữ, dữ liệu tài chính, cơ sở dữ liệu khách hàng, bí mật kinh doanh, - Xây dựng một nền tảng (Framework) tốt cho kỹ sư quản trị hệ thống để quản lý hệ thống được an toàn. - Cung cấp cho các hệ thống khả năng lưu/ghi lại nhật ký cũng như xây dựng hệ thống phát hiện xâm nhập. Hơn nữa nhà thiết kế cần tập trung nghiên cứu/phân tích một mô hình mạng hợp lý, phù hợp cho đối tượng doanh nghiệp mà mình sẽ thiết kế như việc phân biệt rõ ràng giữa các vùng mạng theo chức năng và thiết lập các chính sách an toàn thông tin riêng cho từng vùng mạng theo yêu cầu thực tế. Chẳng hạn phân biệt vùng mạng nội bộ (là nơi đặt các thiết bị mạng, máy trạm và máy chủ thuộc mạng nội bộ của đơn vị); vùng mạng máy chủ Server (hay Server Farm là nơi đặt các máy chủ không trực tiếp cung cấp dịch vụ cho mạng Internet. Các máy chủ triển khai ở vùng mạng này thường là Database Server, LDAP Server,) và vùng mạng Internet (còn gọi là mạng ngoài, kết nối với mạng Internet toàn cầu). Việc tổ chức mô hình mạng hợp lý đảm Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 86 bảo bảo mật có ảnh hưởng lớn đến sự an toàn cho các hệ thống mạng và các cổng thông tin điện tử. Đây là cơ sở đầu tiên cho việc xây dựng các hệ thống phòng thủ và bảo vệ. Ngoài ra, việc tổ chức mô hình mạng hợp lý có thể hạn chế được các tấn công từ bên trong và bên ngoài một cách hiệu quả [1]. Đối với mỗi tổ chức, doanh nghiệp tất cả hệ thống máy móc, thiết bị mạng đều được liên kết/kết nối với nhau thông qua mạng nội bộ hoặc mạng diện rộng. Với tính chất liên kết đó, mỗi khi một máy bị tấn công sẽ ảnh hưởng đến cả hệ thống mạng của công ty, tuy nhiên hầu hết các doanh nghiệp Việt Nam đều đang lơ là và chưa thực sự quan tâm đến vấn đề bảo mật hệ thống an ninh mạng của công ty mình như: Yêu cầu sử dụng phần mềm bản quyền chưa được tuân thủ nghiêm ngặt, chưa tiến hành rà quét, đánh giá an ninh định kì, chưa được tăng cường các biện pháp chủ động phòng ngừa các nguy cơ an ninh, biết điểm yếu an ninh nhưng chưa chủ động khắc phục hoặc khắc phục một phần chưa triệt để.Đặc biệt nếu hệ thống mạng của doanh nghiệp hiện nay được thiết kế sử dụng hoàn toàn nền tảng IPv6 thì bên cạnh nhiều lợi ích to lớn sẽ luôn có các mối đe dọa an ninh là rất lớn tồn tại song song. Khi đó, vai trò then chốt và quan trọng ở khâu thiết kế ngay từ đầu sẽ có ảnh hưởng xuyên suốt tới quá trình vận hành, sử dụng sau này đòi hỏi nhà thiết kế cần có những phân tích kỹ càng và thấu đáo các yêu cầu/quy chuẩn thiết kế đúng chuẩn mực, tránh các điểm yếu và tận dụng lợi thế của giao thức IPv6 để hệ thống mạng hoạt động với hiệu năng cao nhất [2]. NHẬN DIỆN ƯU ĐIỂM TRONG CÁC ĐẶC ĐIỂM CỦA CÔNG NGHỆ IPV6 Công nghệ IPv6 mang đến rất nhiều ưu điểm so với công nghệ tiền nhiệm của nó (IPv4). Khả năng mở rộng địa chỉ của IPv6 cho phép cung cấp khoảng 340 tỷ tỷ (trillion) địa chỉ duy nhất, trong khi IPv4 chỉ có khả năng cung cấp tối đa khoảng 4 tỷ địa chỉ. Số lượng không gian địa chỉ mà IPv6 có khả năng cung cấp được dự trù là vô cùng lớn, có thể đáp ứng được thoải mái cho tất cả các thiết bị đã và đang được kết nối vào mạng theo cấp số nhân như hiện nay. IPv6 sẽ kết thúc sứ mệnh của các thiết bị có chức năng "dịch địa chỉ” (NAT), và chúng ta không phải đầu tư cũng như mất chi phí vận hành cho những thiết bị kiểu như vậy như hiện nay đang làm. Tập giao thức an ninh IP đã được dựng và đưa luôn vào kiến trúc của IPv6, do đó tạo ra phương thức triển khai cơ chế an ninh ngay từ bên trong khi dùng IPv6. Các cơ chế đảm bảo an ninh an toàn đồng nhất trong tất cả các ứng dụng của doanh nghiệp sẽ đơn giản hóa công tác quản trị an toàn an ninh. Giao thức mạng với tính năng an toàn an ninh tốt hơn sẽ mở đường cho việc triển khai các ứng dụng truyền tin an toàn. Cấu trúc có thể mở rộng của phần đầu IPv6 (header) còn cho phép cung cấp các đặc tính mới. IPv6 đảm bảo chất lượng tốt hơn IPv4 do phần đầu của IPv6 chứa một trường trong đó cho phép các gói tin được bắt đầu từ một trạm và hướng tới một trạm khác một cách cụ thể, để các gói được nhìn thấy và được xử lý một cách nhanh chóng và hiệu quả bởi các bộ định tuyến. Việc ứng dụng IPv6 sẽ mang lại lợi ích cho rất nhiều khu vực, như chính quyền, quốc phòng, viễn thông, điện lực, giao thông, hậu cầu, trò chơi, bất động sản, chăm sóc sức khỏe và giáo dục [2]. Có thể tóm tắt một số lợi ích của mạng IPv6 như sau [1], [2],[3]: - Không gian địa chỉ lớn hơn và dễ dàng quản lý không gian địa chỉ: Tăng từ 32bit lên 128bit. - Khôi phục lại nguyên lý kết nối đầu cuối- đầu cuối của Internet và loại bỏ hoàn toàn công nghệ NAT - Quản trị TCP/IP dễ dàng hơn: IPv6 được thiết kế với khả năng tự động cấu hình mà không cần sử dụng máy chủ DHCP, hỗ trợ hơn nữa trong việc giảm cấu hình thủ công. Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 87 - Cấu trúc định tuyến tốt hơn: Định tuyến IPv6 được thiết kế hoàn toàn phân cấp. - Tự động cấu hình không trạng thái (Plug and Play). - Dễ dàng thực hiện Multicast. - Khả năng bảo mật kết nối từ thiết bị gửi đến thiết bị nhận. - Hỗ trợ tốt hơn cho di động: Thời điểm IPv4 được thiết kế, chưa tồn tại khái niệm về thiết bị IP di động. Trong thế hệ mạng mới, dạng thiết bị này ngày càng phát triển, đòi hỏi cấu trúc giao thức Internet có sự hỗ trợ tốt hơn. NHẬN DIỆN MỘT SỐ ĐIỂM YẾU, NGUY CƠ, LỖ HỔNG TẤN CÔNG TRONG MẠNG IPV6 Không chỉ có không gian địa chỉ lớn hơn, IPv6 còn cải thiện tốt hơn những vấn đề bảo mật tồn tại trong giao thức IPv4 như tấn công từ chối dịch vụ (DOS), tấn công chèn mã độc (Malicious Code), tấn công Man-in-the- middle, tấn công phân mảnh, các tấn công quét cổng và tấn công thăm dò, tấn công chuyển hướng ICMP và nhiễm độc ARPVì thế chuyển sang sử dụng địa chỉ IPv6 được xem như là một cách để an toàn hơn trong môi trường mạng [4]. Hơn nữa, ngoài rất nhiều lợi ích, tính năng bảo mật được kế thừa, cải thiện và phát huy của bộ giao thức IPv6 so với IPv4 như: Ngăn chặn được một số kiểu tấn công nhờ không gian địa chỉ lớn; Bảo mật hơn nhờ tính năng tự động cấu hình và phát hiện thiết bị hàng xóm; Hỗ trợ IPsec trong tất cả các node mạng; Liên kết bảo mật (SA); Hỗ trợ hai giao thức bảo mật: Tiêu đề xác thực (AH) và ESP (Encapsulating Security Payload); Tính xác thực và Tính toàn vẹn dữ liệu (Authentication and data integrity);công nghệ IPv6 vẫn luôn tồn tại những điểm yếu, rủi do, lỗ hổng và nguy cơ tấn công từ Hacker. Cụ thể một số vùng của IPv6 nơi mà bảo mật vẫn là một vấn đề cần quan tâm, nghiên cứu thực nghiệm để khắc phục bao gồm [4],[5]: Các vấn đề liên quan đến Dual-stack: Vấn đề chính của Dual-stack trên các máy chủ IPv6 được kích hoạt một cách mặc định trên một số hệ điều hành (Windows, Linux,). Thế nhưng các chính sách bảo mật và an ninh không được kích hoạt một cách mặc định. Nếu nhà quản trị không có nhiều kinh nghiệm hoặc không chú trọng cấu hình bảo mật thì sẽ tạo ra một lỗ hổng bảo mật lớn. Mối đe dọa tiềm ẩn của kỹ thuật này có thể xuất hiện khi một thiết bị hay phần mềm bảo mật không hỗ trợ IPv6 hoặc có hỗ trợ nhưng không được cấu hình IPv6 với tính năng an toàn. Hình 2. Dual Stack IPv4/IPv6 Trong khi đó, một số hình thức chuyển đổi dual-stack sẽ được sử dụng. Việc sử dụng ngăn xếp hai giao thức IPv6-IPv4 sẽ làm tăng khả năng bị tấn công, đây là một hệ quả của việc có hai cơ sở hạ tầng với các vấn đề bảo mật khác nhau. Tuy nhiên, hầu hết các vấn đề này không phải là kết quả trực tiếp của lỗi trong thiết kế IPv6, mà là kết quả của sự không tương thích và của việc cấu hình sai. Các vấn đề liên quan đến việc sử dụng Header: Việc sử dụng các tiêu đề mở rộng (Extension Headers) và IPSec có thể ngăn chặn một số nguồn tấn công phổ biến. Việc sử dụng này được thực hiện bằng cách sử dụng tiêu đề IPv6. Tuy nhiên, thực tế là Extension Headers phải được xử lý bởi tất cả các thiết bị, đây có thể là một nguồn gốc của các tấn công, ví dụ một chuỗi dài Extension Headers hoặc một số các gói có kích thước lớn đáng kể có thể được sử dụng để làm tràn ngập các node mạng nào đó (ví dụ: các bức tường lửa, thiết bị mạng,) hoặc giả mạo một cuộc tấn công. Giả mạo (snoofing): tiếp tục là một nguy cơ trong mạng IPv6. Tuy nhiên, snoofing chỉ có Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 88 thể xảy ra cho các node mạng trên cùng một phân đoạn mạng. Hình 3. Ví dụ về tấn công Spoofing DNS Để truy cập vào hệ thống mạng của bạn, máy tính bên ngoài phải “giành” được một địa chỉ IP tin cậy trên hệ thống mạng. Vì vậy kẻ tấn công phải sử dụng một địa chỉ IP nằm trong phạm vi hệ thống mạng của bạn. Hoặc cách khác là kẻ tấn công có thể sử dụng một địa chỉ IP bên ngoài nhưng đáng tin cậy trên hệ thống mạng của bạn. Các địa chỉ IP có thể được hệ thống tin tưởng là bởi vì các địa chỉ này có các đặc quyền đặc biệt trên các nguồn tài nguyên quan trọng trên hệ thống mạng. Các vấn đề về làm tràn bộ đệm: Việc quét các địa chỉ và các dịch vụ hợp lệ là khó khăn hơn trong các mạng IPv6. Như đã đề cập ở trên, để có thể quét hiệu quả một phân đoạn IPv6 có thể mất đến 580 tỷ năm, vì không gian địa chỉ sử dụng 128 bit. Tuy nhiên, không gian địa chỉ lớn hơn không có nghĩa là IPv6 là hoàn toàn bất khả xâm phạm trong các kiểu tấn công này. Cũng không thiếu các địa chỉ quảng bá làm cho IPv6 an toàn hơn. Các đặc tính mới như các địa chỉ multicast cũng làm cho IPv6 mất an toàn. Kiểu tấn công Smurf vẫn có thể xảy ra đối với lưu lượng multicast. Tấn công DDoS trong mạng IPv6: Tấn công từ chối dịch vụ (DoS) đã trở thành cơn ác mộng với không ít hệ thống mạng IPv4. Nó có thể làm tê liệt hoạt động của một trang Web, máy chủ hoặc tài nguyên mạng. Đối với IPv6, nguy cơ tấn công DoS có liên quan đến phần header mở rộng (Extension Headers). Những trường (field) được yêu cầu xử lý bởi tất cả các node trên đường đi của gói tin mới được duy trì trong header IPv6 . Các trường còn lại chứa thông tin có thể hoặc không liên quan đến gói tin IP được chuyển đến phần header mở rộng IPv6. Và chính phần header mở rộng này vừa là điểm mạnh nhưng cũng đang trở thành điểm yếu mà tin tặc có thể lợi dụng trong các cuộc tấn công DoS. Hình 4. Tấn công DoS IPv6 không giới hạn các header mở rộng (không vượt quá kích thước gói tin IPv6) và quá trình thực hiện là xử lý hoàn toàn các trường theo thứ tự chúng xuất hiện trong header. Vì vậy, tin tặc có thể thực hiện giả mạo header mở rộng để tiến hành tấn công. Chúng có thể tạo ra một gói tin IPv6 có số lượng header mở rộng tối đa cho phép và liên kết với nhau trong một danh sách lớn. Ví dụ như gửi lặp bản tin hop-by-hop option header nhiều lần khiến cho việc xác định đường đi của các node trong mạng bị cản trở hoặc làm tắc nghẽn băng thông. THIẾT KẾ MẠNG IPV6 AN TOÀN NHỜ CHỌN LỰA PHƯƠNG PHÁP THIẾT KẾ PHÙ HỢP VÀ XÂY DỰNG TIÊU CHÍ THIẾT KẾ CHUẨN MỰC Như đã phân tích, trình bày bên trên mặc dù có nhiều tính năng bảo mật được tăng cường, nhưng IPv6 không thể giải quyết tất cả các tồn tại trong IPv4. Giao thức IPv6 không thể ngăn được các cuộc tấn công ở lớp trên lớp mạng (Network Layer). Các cuộc tấn công có thể là [5]: - Tấn công ở lớp ứng dụng: các cuộc tấn công ở lớp 7 thuộc mô hình OSI như tràn bộ đệm (Buffer Overflow), Virus, mã độc, tấn công ứng dụng Web, Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 89 - Tấn công Brute-force hay dò mật khẩu trong các mô-đun xác thực - Thiết bị giả (Rogue Device) : các thiết bị đưa vào mạng nhưng không được phép. Các thiết bị này có thể là một máy PC, một thiết bị chuyển mạch (Switch), định tuyến (Router), Server DNS, DHCP hay một thiết bị truy cập mạng không dây (Wireless Access Point), - Tấn công từ chối dịch vụ: vẫn tiếp tục tồn tại trong IPv6 - Tấn công sử dụng quan hệ xã hội (Social Engineering): lừa lấy mật khẩu, ID, Email Spamming, Phishing, Với các mạng doanh nghiệp tại Việt Nam hiện nay, nên học hỏi, kế thừa và phát huy các kinh nghiệm triển khai mạng IPv6 từ các nước đã ứng dụng trước đó, khi thiết kế hệ thống mạng IPv6 nhà thiết kế nên nhận diện các phương pháp thiết kế và bộ tiêu chí gợi ý có lợi và bảo đảm an toàn mạng. Cụ thể: Lựa chọn phương pháp thiết kế - Phương pháp thiết kế mạng điển hình là PPDIOO (Prepare, Plan, Design, Implement, Operate, Optimize). Thiết kế mạng hợp lý, vận hành hiệu quả cũng làm tăng tính sẵn sàng của hệ thống. Với phương pháp này phù hợp với các mạng IPv6 có quy mô lớn, cần chuẩn bị thời gian và xem xét yếu tố hiệu năng lớn. - Thiết kế mạng từ trên xuống (Top-Down) là một phương pháp thiết kế mạng bắt đầu ở các lớp trên của mô hình tham chiếu OSI trước khi chuyển sang các lớp thấp hơn. Phương pháp thiết kế từ trên xuống tập trung vào các lớp: ứng dụng (Application), phiên (Session), và vận chuyển (Transport) trước khi chọn lựa các bộ định tuyến, các thiết bị chuyển mạch và môi trường hoạt động ở các lớp dưới. Trong phương pháp này sẽ hạn chế được các vấn đề liên quan đến việc sử dụng Header; kiểm soát tốt hơn các cuộc tấn công DDOS trong mạng IPv6, vì khi thiết kế theo từng tầng, nhà quản trị đã có sự lựa chọn kỹ càng các thiết bị mạng đáp ứng được các vấn đề này. - Thiết kế mạng theo mô hình phân cấp sử dụng các lớp để đơn giản nhiệm vụ kết nối mạng, mỗi lớp có thể chỉ tập trung vào một chức năng cụ thể, cho phép chúng ta lựa chọn các tính năng và các hệ thống thích hợp cho mỗi lớp. Với phương pháp này khi thiết kế mạng IPv6 sẽ hạn chế được các vấn đề liên quan tới Dual-stack và vấn đề tràn bộ đệm, bởi kỹ thuật này “chia để trị”, chia mạng lớn thành các cấp độ khác nhau để từ đó có thiết kế phù hợp. Kết luận: trong một hệ thống hoạt động tốt, ổn định, an toàn cao, đặc biệt là với các mạng phức tạp chạy trên nền IPv6, việc chọn lựa được một phương pháp thiết kế hiệu quả sẽ đem tới nhiều lợi ích tốt, đồng thời kiểm soát và hạn chế được các yếu điểm mà mạng IPv6 đang tồn tại. Xác định và xây dựng bộ tiêu chí thiết kế: Với bất kỳ phương pháp thiết kế mạng nào đã được lựa chọn, nhà thiết kế vẫn rất cần xây dựng bộ tiêu chí kỹ càng và có sự phản biện cao. Với mạng IPv6 cần có các tiêu chí dưới đây để tăng độ an toàn cho hệ thống [4],[5],[6]: Nên đặt các máy chủ Web, máy chủ thư điện tử (Mail Server) cung cấp dịch vụ ra mạng Internet trong vùng mạng DMZ, nhằm tránh các tấn công mạng nội bộ hoặc gây ảnh hướng tới an toàn mạng nội bộ nếu các máy chủ này bị tấn công và chiếm quyền kiểm soát. Chú ý không đặt máy chủ Web, Mail Server hoặc các máy chủ chỉ cung cấp dịch vụ cho nội bộ trong vùng mạng này. Các máy chủ không trực tiếp cung cấp dịch vụ ra mạng ngoài như máy chủ ứng dụng, máy chủ cơ sở dữ liệu, máy chủ xác thực nên đặt trong vùng mạng Server Network để tránh các tấn công trực diện từ Internet và từ mạng nội bộ. Đối với các hệ thống thông tin yêu cầu có mức bảo mật cao, hoặc có nhiều cụm máy chủ khác nhau có thể chia vùng Server Network thành các vùng nhỏ hơn độc lập để nâng cao tính bảo mật. Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 90 Nên thiết lập các hệ thống phòng thủ như tường lửa (Firewall) và thiết bị phát hiện/phòng chống xâm nhập (IDS/IPS) để bảo vệ hệ thống, chống tấn công và xâm nhập trái phép. Khuyến cáo đặt Firewall và IDS/IPS ở các vị trí như sau: đặt Firewall giữa đường nối mạng Internet với các vùng mạng khác nhằm hạn chế các tấn công từ mạng từ bên ngoài vào; đặt Firewall giữa các vùng mạng nội bộ và mạng DMZ nhằm hạn chế các tấn công giữa các vùng đó; đặt IDS/IPS tại vùng cần theo dõi và bảo vệ. Nên đặt một Router ngoài cùng (Router biên) trước khi kết nối đến nhà cung cấp dịch vụ internet (ISP) để lọc một số lưu lượng không mong muốn và chặn những gói tin đến từ những địa chỉ IP không hợp lệ. KẾT LUẬN Trong khi rõ ràng là IPv6 và IPv4 sẽ tiếp tục cùng tồn tại nhiều năm nữa, tiềm năng thực sự của nền kinh tế số và các dịch vụ thế hệ mới chỉ có thể được nhận thức một khi các nhà cung cấp đặt kế hoạch cho việc chuyển đổi sang IPv6. Thêm nữa, chuyển đổi sang IPv6 là tiến trình nhạt nhẽo và phức tạp, và vì IPv6 không tương thích ngược, nên các công ty cần rất cẩn trọng khi lên kế hoạch chuyển đổi để bảo đảm việc sản xuất kinh doanh không bị gián đoạn. Điều tối quan trọng cần quan tâm là các yếu tố về phần cứng và phần mềm đều phải được đánh giá trước khi thực sự chuyển đổi, do bất cứ sự lệch lạc nào cũng có thể ảnh hưởng trực tiếp đến độ sẵn sàng của các dịch vụ trọng yếu [6], [7]. - Việc chuẩn bị nên làm sao để khâu thiết kế và xây dựng không trở thành tốn kém - Thiết kế, xây dựng và chuyển đổi cần được thực hiện với độ ảnh hưởng tối thiểu. Để đạt được điều đó, một công ty nên có nhiều kinh nghiệm trong xây dựng và quản trị các mạng IP phức tạp ở mức độ toàn cầu. Khi đó, sẽ dễ dàng ở vị thế có thể cung cấp dịch vụ chuyển đổi IPv6 cho các doanh nghiệp, nhà cung cấp dịch vụ và các nhà sản xuất thuộc các cỡ khác nhau ở bất cứ đâu trên thế giới. Tốc độ phát triển của các thiết bị kết nối và Internet đã làm cho việc chuyển đổi sang IPv6 cho các nhà cung cấp dịch vụ và các doanh nghiệp là không thể đảo ngược. Một sự thật rõ ràng là IPv6 và IPv4 sẽ cùng tồn tại trong quá trình quá độ, làm cho mọi việc trở nên phức tạp và khó quản lý hơn, và làm kéo dài quá trình chuyển sang IPv6. Tuy nhiên, thách thức lớn hơn của các nhà cung cấp dịch vụ và các doanh nghiệp lớn là làm sao vẽ được lộ trình đúng đắn, phù hợp để chuyển đổi sang IPv6, trong khi đương nhiên vẫn phải đảm bảo tính liên tục của hoạt động sản xuất kinh doanh cũng như các mục tiêu chiến lược. Và vấn đề then chốt đó là nhà thiết kế cần nghiên cứu, phân tích đánh giá, hiểu rõ nhất ưu nhược điểm của công nghệ IPv6 để từ đó đưa ra các khuyến nghị tốt nhất cho khách hàng khi thiết kế một hệ thống mạng chạy hoàn toàn trên nền công nghệ IPv6 hoặc kết hợp cả hai công nghệ IPv4 và IPv6 song song như hiện nay. TÀI LIỆU THAM KHẢO 1. https://www.vnnic.vn/ipv6/ 2. Minoli, D. Kouns, J, 2009, Security in an IPv6 Environment, CRC Press, USA. 3. E. Durdaugi and A. Buldu, 2010, IPV4/IPV6 security and threat comparisons, Procedia-Social and Behavioral Sciences, vol. 2(2): pp. 5285–5291. 4. S. Deering, Cisco, R. Hinden, and Nokia, “RFC” 2460, 1998, Internet Protocol, Version 6 (IPv6) Specification. 5. Hogg, S. Vyncke, E. 2009, IPv6 Security, Cisco Press, USA. 6. R.K.Murugesan, and S.Ramadass, 2012, Review on IPv6 Security Vulnerability Issue and Mitigation Methods, International Journal of Network Security & Its Applications, 4 (6). 7. J. Ullrich, K. Krombholz, H. Hobel, A. Dabrowski, and E. Weippl, 2014, IPv6 security: Attacks and Countermeasures in a Nutshell, in Proceedings of the 8th USENIX conference on Offensive Technologies, pp. 5–5. Nguyễn Thị Dung và Đtg Tạp chí KHOA HỌC & CÔNG NGHỆ 188(12/2): 85 - 91 91 SUMMARY NETWORK DESIGN OF IPV6 SAFETY BASED ON ANALYSIS, FEATURE ASSESSMENT OF IPV6 PROTOCOL Nguyen Thi Dung, Le Hoang Hiep * , Pham Thi Lien, Tran Duy Minh University of Information and Communication Technology - TNU The focus of the paper is on design choices where there are differences between IPv4 and IPv6, either in the range of posible alternatives (e.g. the extra possibilities introduced by link-local addresses in IPv6) or the recommended alternative. The paper presents the alternatives and discusses the pros and cons in detail. Where consensus currently exists around the best practice, this is documented; otherwise the paper simply summarizes the current state of the discussion. Thus this paper serves to both to document the reasoning behind best current practices for IPv6, and to allow a designer to make an intelligent choice where no such consensus exists. Keywords: IPv6, IPv6 Security, IPv6 Attacks, IPv6 Threats, IPv6 Issues Ngày nhận bài: 17/8/2018; Ngày phản biện: 09/10/2018; Ngày duyệt đăng: 12/10/2018 * Tel: 0984 666500; Email: lhhiep@ictu.edu.vn 92