基于MIPsec的MIPv6网络均衡控制技术探析

［柏林］

1 研究意义和背景

1.1 MIPv6 技术的现状

国家在5G 网络快速建设的同时，也积极推进着IPv6的规模部署，结合当前万物互联的需求，移动IPv6 技术（MIPv6）可很好地与现有的网络设备和协议配合使用，不改变IP 地址在不同的网络之间无缝切换，数据包直接传输到移动设备所在网络等显著优势，已成为移动传输的关键技术。MIPv6 的应用和发展，将全面提升行业数字化转型的速度，改善产业生态，突破瓶颈短板，强化安全保护，为建设数字中国、提供有力支撑。

1.2 MIPv6 的应用与需求

MIPSec 的提出，在IP 层重点解决了MIPv6 的架构安全性问题，对移动性、业务流程、策略及管理等实现了有效的提升。但安全架构的设计必然增加了整体网络的运算开销，影响了移动性能，增大了切换时延，降低了整体网络质量，造成客户满意度下降[1]。因此，MIPv6 网络环境下兼顾安全及移动性能的均衡控制技术的研究具有重要的应用价值。

2 基于MIPSec 协议的MIPv6 网络存在的问题

MIPSec 的应用，增加了接入认证、数据传输的保密与安全，有利于切换过程的安全保护[2]，当然，更可靠的安全防护也会给系统带来更大的负担，对系统性能造成一定的负面影响。

2.1 移动节点安全认证导致切换时延增大

移动节点切换过程不仅对安全性要求较高，对切换性能也有较高的要求。注册、配置、检测等一系列动作将直接引起节点的信令开销，从而成为影响网络整体性能的重要问题。为了移动节点(MN)在移动过程中的安全性，基于MIPSec 协议的MIPv6 网络安全架构还引入了安全机制，因此信令开销必然有所增加，从而增大节点切换过程中的时延。

2.2 移动子网（NEMO）复杂切换恶化了网络性能

移动子网（NEMO）作为下一级网络，其的切换相对复杂。既有移动节点相同的开销增加、时延较大的问题，也由于自身结构的层层嵌套，使得网络切换性能进一步恶化，从而造成导致正在进行的通话、数据传输或应用程序运行被中断或丢失，网络延迟增加，数据包可能会丢失或重复，消耗额外的计算和网络资源，切换过程频繁发生或不平滑等问题，影响实时应用程序的性能。

2.3 多宿移动子网存在安全路由选择问题

多宿移动子网是一种基于网络层的解决方案，用于改善移动子网切换时带来的性能问题。通过多路由器共同保障同一网络，虽然提升了系统的可靠性，但是一些副作用。包括，在选择路由和接入点时，需要验证其合法性和可信度；需要具备动态适应性，路由选择算法具备灵活性和实时性，能够及时应对网络中的安全风险[3]；更重要的是由于接受信号差异，容易造成多个移动路由器相互间反复切换，以及各路由器间吞吐量不平衡的情况，从而造成网络效果不佳。系统的开销同样会由于接入路由器的增加而增大。

3 基于MIPsec 的MIPv6 网络均衡优化

3.1 基于融合认证机制的MIPv6 安全快速切换

3.1.1 切换认证方法

为了不在认证时与网络的进行信令交互,通过数字证书机制，可以使移动节点(MN)的长期保存身份信息。对MN 进行认证的时候，接入路由器不需要与相关的认证服务器进行交互，而只需通过MN 的CA 及证书公钥，完成MN 的数字认证，完成MN 身份认证即可[4]。减少了不必要的信令交互，也减少了与代理之间的开销，缩短了时延。

根据以上情况，提出了基于融合认证机制的MIPv6安全快速切换（SeFMIPv6），实现快速、安全切换。结合MIPSec 应用下的安全架构，通过对切换时的认证信息进行快速绑定，再通过本地切换期间进行接入节点的认证，从而实现节点间的双向双重认证，有效降低切换时延。

MIPSec 为切换过程提供全程安全保护，包括：

（1）对移动节点(MN)到家乡代理(HA)、通信终端(CN)到MN、CN 到HA、MN 到接入路由器（AR）的信息，以及MN 切换后的更新信息进行加密保护。

（2）完成MN 到新接入路由器(NAR)的双向认证。

（3）在两者间重新建立IPSec 安全联盟IPSecSA。

3.1.2 切换认证步骤

在不降低网络性能情况下，保障MN 与NAR 的双向认证，可结合与切换对IKEv2 协议进行改进。

如图1 所示，切换流程步骤如下：

图1 融合认证机制的移动节点切换流程

步骤1：移动节点MN 向当前接入路由器(PAR)发送路由请求消息。

步骤2：PAR 回应一个包含第三层信息的代理路由消息。

步骤3：MN 得到转交地址后向PAR 发送快速绑定更新消息。

步骤4：PAR 向新接入路由器(NAR)发出一个包含转交地址的切换发起消息。

步骤5：NAR 获取MN 的公钥对签名信息进行验证，计算出会话密钥SK，加密后经过签名后随切换响应一同发送给PAR。

步骤6：PAR 向MN 发送绑定更新应答消息，MN 完成对NAR 的身份认证。

步骤7：MN 向HA 发送绑定更新，HA 并将发往MN的数据包重新定位到新的转交地址。

步骤8：HA 向MN 返回绑定确认消息，保证MN 在整个移动过程中的安全性。

至此，SeFMIPv6 过程全部完成，该协议实现了MN切换过程的认证。

3.2 MIPv6 移动子网安全异步切换技术

出于切换效率的考虑，可以通过异步切换方式实现[5]。即采用分离的方式对移动路由器(MR)以及移动网络节点（MNNs）进行独立操作。首先，采取融合的安全认证形式，完成MR 快速切换，随后将形成的授权前缀传送到移动子网；然后MNNs 通过上一阶段获得的前缀，进行转交地址配置，并完成HA 和CN 注册，完成切换。切换过程中，仍然通过MIPSec 对各部分之间的通信进行安全保护。

图2 为种移动子网（NEMO）域间切换和域内切换两种场景，域间切换为MR3 从AR 切换到MR1 的接入路由器的1 层嵌套；域内切换为从MR1 下切换到MR2 子网内的2 层嵌套。

图2 两种移动子网（NEMO）切换场景

（1）域间切换

MNNs 异步切换不需要MN 进行切换操作，只需判断授权前缀的变化情况来确定转交地址及注册。

步骤1：完成MR3 切换之后，MNNs 会接收MR3 向网内节点发送的授权前缀的定期广播信息。

步骤2：若授权前缀与之前不一致，MN 将需要按授权前缀来生成转交地址；转交地址由也根据授权前缀由固定节点形成。

步骤3:移动性节点向HA 发送更新后的绑定消息，由固定节点对CN 完成注册。

过程中，MNNs 自主判断切换是否执行，若不改变地址，可通过MR 完成切换，MNNs 不参与操作；否则，就执行MNNs 切换。切换期间不脱离MR 子网，则无需重新注册。

（2）域内切换

MR3 结合需要接入信息重新配置形成传输链路的转交地址，以确保网络安全连接，同时将新转交地址发送到MR1，确保数据可以从MR3 传送至MR1。

在MR3 收到消息需要进行切换前，将与MR1 进行相互的信息传送，以获得授权年前缀，此外，还会与MR2进行通信并取得链路与授权前缀。通过所获得的授权前缀对比，从而确认自身所嵌套的了网络是否发生变化，再将自身网络、转交地址以及授权前缀等信息一并传送至MR1 注册。MR3 的认证信息，通过MR1 传送到MR2,经过MR2 的身份认证后将信息传回，并向MR3 发送认证信息，MR3 完成与MR1 的绑定，同时也完成与MR2 的相互认证。在整个过程中授权前缀没有因为切换二操作成变化，所以MR3 无需再配置转交地址，无需再注册向家乡代理，其所处的MN 也不需重新配置转交地址。这就完成了不改变授权前缀状态下，MR3 的多层嵌套网络内迁移。

3.3 多宿移动子网架构下的选路算法

3.3.1 多宿移动子网架构

（n,l,*）结构的多宿移动子网，即通过n 个MR，1个HA，组建的移动网络，如图3 所示。通过信任代理（TA）扩展现有的系统网络，对移动子网的各MR 进行监测，获取其通信状态并进行存储，并以此对子网内的相关MR 进行信任值计算，同时完成个MR 的更新维护。信任代理的操作不会对网络其他节点造成影响。

图3 多宿移动子网

3.3.2 基于信任的决策模型

模型思路主要是通过多属性决策解决多宿路由选择，也就是以移动节点视角进行决策，可用的MR 作为备选，通过相关参数的获取和计算确定信任值，从而选择信任、高效的MR 接入网络之中。

（1）信任因子的选取

通过对实体行为以及实体信任信息的收集，并记录其评价结果，构成信任因子。当前可选取节点数量(N)、网络带宽(Bw)、处理时延(Dly)、数据丢包率(Plr)作为MR的信任因子。

（2）决策模型

移动节点接入的MR 分别表是为X1,X2……Xn，结合以上信任因子，构成决策矩阵P=(pij)n*m。具体表示为：

由于各信任因子的属性存在差异，数量单位也不尽相同，因此需要对决策矩阵进行规范化处理，归一化后的决策矩阵可表示为：H=(hij)n*m。

由以上矩阵H 及信任因素权重向量V=(v1,v2,...,vm)，集客计算出对应的信任指数：。上式中，Vj为第j 个因素的权重，并符合。

3.3.3 基于信任的安全均衡选路算法

通过相关移动节点，可以计算得到各MR 的信任指数，并结合自身数据类型选择适合的移动路由器进行介入。对移动子网的各MR 进行监测，获取其通信状态并进行存储，并向MR 进行周期性广播通告。路由器节点向MN 发送的初始化信息，在信任列表中添加MR 节点信息，完成信任指数计算。在此基础上，MN 进一步完成MR 的选择，根据各MR 的信任指数，结合相关信息选择更合适的MR。基于信任计算的的选路算法如图4 所示。

图4 选路算法的流程

4 仿真测试

4.1 基于融合认证机制的MIPv6 安全快速切换测试

为了验证优化方案的可行性以及所网络时延的改善情况，将采用将基于融合认证机制的MIPv6 安全快速切换（SeFMIPv6）和采用IPSec 认证的基本切换（MIPv6+认证）两种方案进行时延进行对比分析。场景由MN 通过HA 到两个不同的AR，包含本地切换和异地切换两个过程，得到的测试结果如图5 所示。

图5 切换延时比较

使用SeFMIPv6 的方式，本地切换耗时0.069 s,异地切换耗时仅为0.032 s；而采用MIPv6+认证方式，本地切换所消耗的时间为0.998 s，异步切换耗时为1.597 s。由以上数据可以看出，SeFMIPv6 方式能有效改善移动节点在切换过程中实体认证产生较大延时的问题。

4.2 移动子网安全异步切换的测试

如图2 所示，移动子网（NEMO）分别从MR3 先移至MR1，再从MR1 下切换到MR2 子网内，分别形成2层或3 层网络。期间CN 持续向VMN 发送分组数据，可以从中观察到平均传输延时随网络嵌套层数的变化情况。如图6 所示，无论是标准模式还是安全异步模式，时延都根据嵌套层数呈现出正向增长。采用标准模式下，时延因为嵌套层数增加而增加更为明显，为传送至最终目标节点，数据信息需先经多个MR 以及HA，也由此造成了网络时延的增加。

图6 两种模式传输延时对比

总的来说，采用安全认证的异步切换模式虽然与标准模式相似，平均传输时延随着嵌套层数的增加而增加，但在路由优化的作用下，通过测试得到的异步模式时延增长相对缓慢，能较好的兼顾安全与系统性能的要求，效果更为理想。

由于嵌套结构所引起的效率问题，采用异步切换方式能有效缓解，从而满足了移动子网的安全性以及切换性能的需要。

4.3 基于信任的多宿移动子网安全均衡选路算法测试

按图3 所示组建移动网络，完成三个MR 配置,分别采用DRS 算法以及TRS 算法对所述网络整体吞吐量以及丢包率进行对比。

图7 为两种算法下，仿真测试结果截取的200s 吞吐量数据，通过吞吐量对比结果可见，DSR 算法下，负载最大的MR1 的吞吐量甚至达到最小负载的MR3 的6 倍左右，各MR 之间吞吐量显现不均衡，不利于整体网络性能的发挥。而采用TRS 算法的3 个路由器的吞吐量差距不大，MR3 稍稍高出，MR1 与MR2 基本持平，呈现出相对均衡的状态。可见通过TRS 算法的应用，使网络内各MR 间的吞吐量差异显著减小，缓解了负载不均对局部路由带来的压力，实现了负载均衡，使网络性能得到了整体提升。

图7 基于两种算法的吞吐量对比

图8 为TRS 算法与DRS 算法的丢包率对比，采用TRS 算法较原来的DRS 算法，丢包率也有明显的优化，丢包率由原来的0.185%降低到0.106%，网络的整体性能得到了较明显提升。

图8：网络丢包率对比图

5 总结

移动IPv6 为移动互联网的发展提供了技术基础，它不仅支持移动设备在不同的网络环境中自由切换和通信；也可以随着物联网设备数量的增加，为各种物联网设备提供全球范围内的稳定IP 连接；还可以在不同的运营商网络中进行跨网络的无缝漫游和通信；为移动应用提供了更稳定和灵活的网络连接，改善了移动应用的用户体验。

通过系统切换及选路算法等均衡控制技术的进一步优化，移动IPv6 可以在很好地兼顾网络安全的同时，减少网络时延迟、降低数据丢包率、保障网络的吞吐量和稳定性，为用户提供更加安全、稳定和高效的移动互联网服务，提升用户对移动互联网的使用体验，为新一代移动互联网的普及和发展提供了更好的基础和条件。