Palomuurien IPv6-migraatio

Abstract

Tämän työn tarkoituksena on ollut tutkia Cisco ASA -palomuurien IPv6-ominaisuuksia ja sitä, mitä pitää ottaa huomioon IPv6-osoitteisiin siirtyessä, erityisesti Cisco ASA 5510 -palomuureissa. Työssä selvitettiin, miten saatiin käytössä olevaan IPv4-palomuuriin lisättyä IPv6-liikenne ja mitä eri IPv6-tunneleita voitiin toteuttaa eri Cisco ASA –käyttöjärjestelmäversioilla. Työssä selvitettiin myös miten natiivi IPv6-palomuuri liitettiin verkkoon. Työ on tehty Optimiratkaisut Oy:n toimeksiantona ja toteutettu Kymenlaakson ammattikorkeakoulun SimuNet-ympäristössä sekä puhtaassa laboratorioympäristössä.

Työ aloitettiin selvittämällä IPv4- ja IPv6-protokollien tietoturvaeroja ja kertaamalla IPv6-osoitteiden rakennetta. Teoriaosuudessa esiteltiin myös Cisco ASA -palomuurien eri IPv6-perustoimintoja, kuten pääsylistoja, reititystä sekä liityntäporttien eri IPv6-osoitetyyppejä. Teoriaosuuden lopussa selvennettiin IPv6-tunneleiksi soveltuvien VPN-tunnelityyppien toimintaa.

Käytännön kokeissa lisättiin SimuNetin toiminnassa oleviin palomuureihin Dual-Stack-ominaisuus eli lisättiin IPv6-liikenne IPv4-liikenteen rinnalle. IPv6-yhteyksiä ja palomuurien IPv6-pääsylistoja testattiin eri palvelimien avulla SimuNetissä. Tunneleiden käytännön kokeet tehtiin erillisillä palomuureilla, koska SimuNetin palomuurit eivät tukeneet VPN-tunneleita käytetyssä toimintatilassa. IPv6 SSL VPN -tunneli saatiin muodostettua liikennöimällä IPv6-osoitteilla IPv4-verkon läpi suojattuun IPv6-testiverkkoon. IPv6 LAN-to-LAN VPN –tunneli saatiin muodostettua täysin natiivina IPv6-tunnelina viimeisimmällä käyttöjärjestelmäversiolla. Viimeiseksi SimuNetin reunalle lisättiin natiivi IPv6 Cisco ASA -palomuuri, jonka kautta yhdistettiin Kymenlaakson ammattikorkeakoulun ICLAB-ympäristön "tuotantoverkko" julkiseen IPv6-Internettiin. Tämän palomuurin läpi toimi muun muassa ICTLAB-ympäristön IPv6-kotisivut.

Cisco ASA 5510 -palomuuri todettiin toimivaksi IPv6-liikenteen kanssa Dual-Stackiä käyttämällä SimuNetissä. Eri IPv6-tunnelit onnistuivat laboratorioympäristössä mutta ympäristöt näissä testeissä olisivat voineet ehkä olla vielä haastavampia. Natiivi IPv6-palomuuri oli SimuNetin ensimmäisiä natiiveja IPv6-laitteita ja oli tärkeä lisä SimuNetille.

The purpose of this work was to study the Cisco ASA firewall's IPv6 features and what matters have to be taken into consideration in the transition to IPv6 addresses, in particular, the Cisco ASA 5510 firewalls. This thesis work was commissioned by Optimiratkaisut Oy and all the practical tests were made in Kymenlaakso University of Applied Sciences' laboratory called SimuNet and also in the separated pure laboratory environment.

This thesis work was started by exploring the security differences between the IPv4 and IPv6 protocols, investigating the structure of the IPv6 protocol and clarifying the ways to add IPv6 traffic to a firewall. The theory section of this work includes the basic IPv6 features of the Cisco ASA firewall such as IPv6 access-list, IPv6 routing and different types of IPv6 addresses which can be assigned to an interface. At the end of the theory section, different VPN tunnels are also introduced, which are implemented in the practical section of this thesis work.

In the practical tests of this thesis work, the Dual-Stack feature was added to the SimuNet laboratory's firewalls. IPv6 connections and access-lists were verified with the different types of servers in the SimuNet network. Practical tests of the VPN tunnels were made with separated Cisco ASA firewalls, because SimuNet's firewalls did not support VPN tunnels in the multiple context mode. IPv6 SSL VPN tunnel was established with IPv4 addresses and IPv6 traffic was sent through that tunnel. IPv6 LAN-to-LAN IPSec VPN tunnel was established only with the IPv6 addresses, using the latest OS version. Finally, the native IPv6 firewall was added to the edge of the SimuNet network, which connected the ICTLAB's “production network” to the IPv6 Internet. ICTLAB's web server was also connected to the public IPv6 Internet with that firewall.

Cisco ASA 5510 firewall was verified fully functional with the IPv6 traffic using the Dual-Stack feature in SimuNet. The two different types of VPN tunnels were established successfully in the pure laboratory environment but there could have been slightly more difficult environments for these tests. The native IPv6 firewall was one of the first components of the SimuNet network which worked natively with the IPv6 addresses and it was an important addition to SimuNet.