일반기술

IPv4/IPv6 연동 방화벽 패킷 필터링 기술

(1) 개요 IPv4/IPv6 연동환경을 지원하는 패킷 필터링 기술 - 리눅스 커널 기반 IPv6 확장 헤더 필터링 기술 - 리눅스 커널 기반 IPv6 주소 및 제어 프로토콜(ICMPv6) 필터링 기술 - 리눅스 커널 기반 IPv4/IPv6 전환 메커니즘 필터링 기술 (2) 목적 및 필요성 본 기술이전은 IPv6 및 IPv4/IPv6 연동을 지원하는 방화벽/IPS 개발을 위하여 필요한 패킷 필터링 기술에 대한 내용을 포함한다. IPv6가 IPv4에 비하여 많은 장점을 가지고 있지만, 기존의 모든 IPv4 망들을 단시간 내에 IPv6로 대체하는 것은 불가능하며, 필연적으로 IPv4와 IPv6 망이 공존하는 기간이 존재하게 된다. IPv4와 IPv6가 혼재된 상황에서는 각각의 프로토콜 기반의 보안에는 문제가 없으나 IPv4와 IPv6의 연동에 따른 보안상의 문제가 발생할 것으로 예측된다. 현재, IPv4와 IPv6는 IPsec 보안 프로토콜을 사용하여 네트워크 계층에서 메시지들을 보호한다. 그러나 IPv6의 도입 과정에서 기존의 IPv4 망과의 연동이 필요하고, 연동 지점에서 주소나 세션의 변환이 필요하다. 그러나 기존 보안 프로토콜의 SA(Security Association) 정의가 이러한 변환을 수용하지 못하면 상호연동이 불가능하다. 또한 NAT를 사용하거나 SGW(Security Gateway)기반 VPN을 적용하는 경우, 프로토콜 헤더의 변경이 수반됨에 따라 보안 적용에 문제가 발생할 수 있다. 따라서 IPv6의 도입 과정에서 발생하는 다양한 보안 위협에 대한 분석 및 해결 방안에 대해 연구가 필요하다. 따라서, 본 문서에서는 기존의 IPv4망을 IPv6로 전환함에 따라 IPv6 방화벽이 추가적으로 고려해야 할 패킷 필터링 기술에 대한 것으로, 본 기술은 IPv4/IPv6 연동 환경을 지원하는 방화벽/IPS 개발을 위한 목적으로 활용될 수 있다.(1) 활용방안 및 기대성과 본 기술은 IPv6 및 IPv4/IPv6 연동을 지원하는 리눅스 기반의 방화벽 개발을 위하여 방화벽의 필터링 기술에 관한 것이다. 현재 리눅스에서 제공하고 있는 넷필터 기반의 IPv6 방화벽은 IP 주소 및 포트를 이용한 상태 비보존형 필터링 기능만 제공하고 있으며, IPv6 확장헤더 등에 대한 단순한 검사 및 필터링 기능을 제공하고 있다. 그러나, IPv4/IPv6 연동 기술에 대한 방화벽의 패킷 검사 및 필터링 기능은 제공되지 않고 있다. 따라서, IPv6의 도입이 점차 활발해지는 현재 시점에서 IPv4/IPv6 연동 기술을 지원하는 방화벽의 개발이 시급하다. 본 기술에서는 리눅스 기반으로 IPv6 방화벽을 개발함에 있어 필요한 패킷 검사 및 필터링 규칙을 분석 및 설계한다. 본 문서는 IPv6를 지원하는 방화벽의 구현 시 필터링 규칙을 수립하기 위한 목적으로 활용될 수 있다. (2) 기술이전범위 ① 리눅스 커널 기반 IPv6 확장 헤더 필터링 기술 ② 리눅스 커널 기반 IPv6 주소 및 제어 프로토콜 (ICMPv6) 필터링 기술 ③ 리눅스 커널 기반 IPv4/IPv6 전환 메커니즘 필터링 기술