1、在下一代網(wǎng)絡(luò)協(xié)議(IPv6)中，業(yè)界普遍接受的IP安全方案是IPsec。然而IPsec在設(shè)計(jì)之初僅針對(duì)有線(xiàn)網(wǎng)絡(luò)，并未考慮節(jié)點(diǎn)和網(wǎng)絡(luò)的移動(dòng)性。如果在同一個(gè)“通信會(huì)話(huà)”中某一方IP地址發(fā)生改變，原有的IPsec安全關(guān)聯(lián)(SA)將無(wú)法繼續(xù)使用，通信雙方必須重新協(xié)商新的SA，這將對(duì)IP網(wǎng)絡(luò)服務(wù)質(zhì)量產(chǎn)生嚴(yán)重影響。因此支持移動(dòng)性的IPsec對(duì)于移動(dòng)網(wǎng)絡(luò)至關(guān)重要。
　　 在全面分析IPsec、IKEv2和ESP等安全相關(guān)協(xié)議的基礎(chǔ)上，結(jié)合MI

2、Pv6和NEMO兩大移動(dòng)網(wǎng)絡(luò)場(chǎng)景，針對(duì)上述安全問(wèn)題，本文對(duì)IPsec提出一種改進(jìn)方案，即利用綁定機(jī)制維持雙方已有的IPsec SA，避免重新協(xié)商過(guò)程。
　　 對(duì)于MIPv6應(yīng)用場(chǎng)景，本文主要針對(duì)兩個(gè)關(guān)鍵環(huán)節(jié)提出IPsec改進(jìn)措施：家鄉(xiāng)代理(HA)注冊(cè)和通信對(duì)端(CN)注冊(cè)。在HA注冊(cè)過(guò)程中，移動(dòng)節(jié)點(diǎn)(MN)與HA通過(guò)“在家鄉(xiāng)網(wǎng)絡(luò)建立的IPsec SA”保護(hù)綁定消息。接收到綁定更新消息(BU)之后，HA必須將“匹配的SPD表項(xiàng)”中

3、的目的IP地址替換為MN申請(qǐng)注冊(cè)的轉(zhuǎn)交地址(CoA)；接收到BA消息后，MN必須將“匹配的SPD表項(xiàng)”中的源IP地址更新為其申請(qǐng)注冊(cè)的CoA。在CN注冊(cè)過(guò)程中，MN和CN同樣通過(guò)“在家鄉(xiāng)網(wǎng)絡(luò)建立的IPsec SA”安全傳輸綁定信令；與HA注冊(cè)不同的是，雙方并不修改原有的SA，而是以此為模板重構(gòu)一份新的SPD記錄，并將其中的“針對(duì)MN的地址”改為申請(qǐng)注冊(cè)的CoA。
　　 對(duì)于NEMO應(yīng)用場(chǎng)景，本文主要針對(duì)兩個(gè)關(guān)鍵環(huán)節(jié)提出IPsec

4、改進(jìn)措施：HA注冊(cè)和移動(dòng)路由器(MR)認(rèn)證。這里的HA注冊(cè)主要針對(duì)MR的綁定過(guò)程，具體步驟與MIPv6中的HA注冊(cè)過(guò)程一致。MR認(rèn)證則主要針對(duì)嵌套網(wǎng)絡(luò)移動(dòng)場(chǎng)景，即漫游到本地網(wǎng)絡(luò)中的外地節(jié)點(diǎn)或子網(wǎng)首先必須與MR建立IKE會(huì)話(huà)，相互認(rèn)證對(duì)方的身份，認(rèn)證通過(guò)后最終建立IPsec SA。在該SA的保護(hù)下，外地節(jié)點(diǎn)或者外地網(wǎng)絡(luò)方可采用MIPv6場(chǎng)景中的HA注冊(cè)和CN注冊(cè)過(guò)程將各自的IPsec SA平滑切換到新的CoA。
　　 通過(guò)采用改進(jìn)