IPv6駐地網(wǎng)建設(shè)方案研究

知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 IPv6 駐地網(wǎng)建設(shè)方案研究 王迎春，高光平，曾 睿 （中國聯(lián)通有限公司北京分公司 北京 100038） 摘 要 本文通過對 IPv6 駐地網(wǎng)建設(shè)進行技術(shù)分析，結(jié)合具體的駐地網(wǎng)節(jié)點情況，得出了一套 IPv6 駐地網(wǎng)建設(shè)的方案。方案既不影響現(xiàn)有的 IPv4 網(wǎng)絡(luò)業(yè)務(wù)，又可滿足駐地網(wǎng)節(jié)點對 IPv6 網(wǎng)絡(luò)業(yè)務(wù)的需求，同時還可使 IPv4 用戶平滑升級到 IPv6 網(wǎng)絡(luò)上，實現(xiàn)了駐地網(wǎng)吸納業(yè)務(wù)和網(wǎng)絡(luò)增值的作用。 關(guān)鍵詞 CNGI； IPv6；駐地網(wǎng)；建設(shè)方案；組播業(yè)務(wù) 1 概述 為了應(yīng)對當(dāng)前互聯(lián)網(wǎng)面臨的各種挑戰(zhàn)，給下一代網(wǎng)絡(luò)服務(wù) 提供具有更高性能、更高質(zhì)量、更加可靠、安全、經(jīng)濟與開放的平臺，國家發(fā)展與改革委員會（簡稱“國家發(fā)改委”）提出了建設(shè)“中國下一代互聯(lián)網(wǎng) CNGI 示范網(wǎng)絡(luò)”的發(fā)展戰(zhàn)略。駐地網(wǎng)（ CPN）作為連接用戶終端與 CNGI 主干接入節(jié)點之間的網(wǎng)絡(luò)，是 CNGI 網(wǎng)絡(luò)的有機組成部分。只有制定好科學(xué)合理的駐地網(wǎng)建設(shè)方案，在各個企業(yè)及住宅小區(qū)內(nèi)部建好駐地網(wǎng)，才能使用戶真正享受到下一代網(wǎng)絡(luò)所提供的豐富業(yè)務(wù)， CNGI 的各種業(yè)務(wù)才能得到順利開展和實施。 雖然目前 IPv6 網(wǎng)絡(luò)暫時不能為運營商帶來直接收入，但是作為通信運營企業(yè)，積極開展 IPv6 駐 地網(wǎng)的建設(shè)和試驗首先是履行推動國家信息化發(fā)展的企業(yè)社會責(zé)任；其次，能夠為企業(yè)和社會培養(yǎng)鍛煉一批熟悉掌握 IPv6 的技術(shù)人才隊伍；再次，可以從網(wǎng)絡(luò)運營的角度探索互聯(lián)網(wǎng)從 IPv4 向 IPv6 平滑演進的策略；最后，還能與駐地網(wǎng)建設(shè)單位共同試驗眾多的新興業(yè)務(wù)。 2 建設(shè)模式與原則 鑒于目前 IPv6 的業(yè)務(wù)應(yīng)用相對較少，而以 IPv4 的業(yè)務(wù)應(yīng)用為主，因而純 IPv6 駐地網(wǎng)與 IPv4 網(wǎng)絡(luò)的互聯(lián)互通將付出較大的成本，而且網(wǎng)絡(luò)協(xié)議的轉(zhuǎn)換點可能成為網(wǎng)絡(luò)的性能瓶頸，所以采取 IPv4/IPv6 雙棧的駐地網(wǎng)更加符合現(xiàn)狀需求。 IPv6 駐地網(wǎng) 的建設(shè)可采用“ IPv4 可運營、 IPv6 可試驗”的原則，既通過 IPv4 保證用戶的業(yè)務(wù)體驗，原有業(yè)務(wù)不受影響，又保證 IPv6 可試驗，未來實現(xiàn) IPv6 的可運營，并且可以讓 IPv4 平滑地過渡到 IPv6。 3 建設(shè)方案分析 3.1 項目背景 北京聯(lián)通積極參與了 CNGI 核心網(wǎng)的建設(shè)，并得到國家發(fā)改委的批復(fù)建設(shè) 4 個 IPv6 駐地網(wǎng)。駐地網(wǎng)建設(shè)工程將 1 000 數(shù)量級的實際用戶接入到北京聯(lián)通已建成的 CNGI核心網(wǎng)中，進行 IPv6 的各項網(wǎng)絡(luò)功能測試、性能指標(biāo)測試、各種互通性測試和新業(yè)務(wù)部署試驗。本次建設(shè)的 4 個駐地網(wǎng)節(jié)點的具體情況 如表 1 所示。 3.2 駐地網(wǎng)建設(shè)方案分析 具體的駐地網(wǎng)建設(shè)方案需要結(jié)合上述節(jié)點的實際環(huán)境和業(yè)務(wù)需求，下面著重從以下 4個方面進行分析：拓?fù)浣Y(jié)構(gòu)、 IPv6 地址規(guī)劃、路由規(guī)劃、安全性等。 .2.1 拓?fù)浣Y(jié)構(gòu) 知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 駐地網(wǎng)可選用雙?；蛘咚淼赖姆绞綄崿F(xiàn)同一駐地網(wǎng)內(nèi)部的 IPv4/IPv6 用戶順利訪問IPv4/IPv6 網(wǎng)絡(luò)。 （ 1） 方式一：“雙鏈路 +雙?！苯M網(wǎng)方式 其組網(wǎng)方式見圖 1。 駐地網(wǎng)路由器雙鏈路分別上聯(lián)到 IPv4 和 IPv6 兩張網(wǎng)絡(luò)上，同時開啟 IPv4/IPv6 雙棧，對 IPv4 用戶和 IPv6 用戶的流量通過不同物理 端口轉(zhuǎn)發(fā)。 （ 2） 方式二：“單鏈路 +隧道”組網(wǎng)方式 其組網(wǎng)方式見圖 2。 通過新增 IPv4 與 IPv6 核心網(wǎng)之間的鏈路，并在駐地網(wǎng)路由器上設(shè)置 IPv6-in-IPv4 類或者 IPv4-in-IPv6 類的隧道，以保證 IPv6 用戶的網(wǎng)絡(luò)流量通過 IPv4 網(wǎng)絡(luò)透傳到 CNGI 網(wǎng)絡(luò)，或者 IPv4 用戶的網(wǎng)絡(luò)流量通過 IPv6 透傳到 IPv4 網(wǎng)絡(luò)，實現(xiàn)原有用戶正常上網(wǎng)。 兩種不同組網(wǎng)方式的技術(shù)對比如表 2 所示。 知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 基于表 2 所述原因優(yōu)選“雙鏈路 +雙?！蓖?fù)浣Y(jié)構(gòu)作為最終拓?fù)浣Y(jié)構(gòu)。 3.2.2 IPv6 地址規(guī)劃 IP地址規(guī)劃主要涉及 到網(wǎng)絡(luò)資源的有效利用，屬于網(wǎng)絡(luò)管理的問題。 IPv6地址有 128 bit，其中可供分配為網(wǎng)絡(luò)前綴的空間有 64 bit，按照 RFC35131， IPv6 地址分為全球可路由前綴和子網(wǎng) ID 兩部分，協(xié)議并沒有明確地規(guī)定全球可路由前綴和子網(wǎng) ID 各自占的比特數(shù)。 根據(jù) 4 個駐地網(wǎng)的建設(shè)規(guī)模，充分考慮設(shè)備 loopback 地址、設(shè)備互聯(lián)地址和用戶業(yè)務(wù)地址 3 類地址需求，分配原則如下： 全網(wǎng) IPv6 地址保證惟一性和可聚合性，同時對部分地址段提前規(guī)劃預(yù)留； 每臺設(shè)備分配一個 /64 的地址空間，使用 /126 的地址作為設(shè)備 loopback 地址； 專門分配一個 /64 的地址空間作為設(shè)備互聯(lián)地址空間，使用 /126 的地址段作為互聯(lián)端口地址段； 每個 VLAN 用戶分配一個 /64 的地址段，用戶地址分配時，保證地址連續(xù)性和可聚合性。 IPv6 地址可以采取兩種方案獲?。?由中國聯(lián)通 CNGI 的地址段中分配獲得； 向 CNNIC 或者 APNIC 新申請地址。 由于采用第一種方法不需要額外付費，分配速度快，成功率高，也便于延續(xù) CNGI 核心網(wǎng)的 IPv6 地址分配策略，故選用第一種方案。 3.2.3 路由規(guī)劃 根據(jù)駐地網(wǎng)建設(shè)規(guī)模及網(wǎng)絡(luò)內(nèi)部的結(jié)構(gòu)，合理 地選擇駐地網(wǎng)的路由協(xié)議，原則如下。 對于規(guī)模較小，用戶數(shù)量較少，內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)相對簡單的駐地網(wǎng)，采用靜態(tài)路由。 對于規(guī)模較大，用戶數(shù)量較多，內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)相對復(fù)雜的駐地網(wǎng)，采用動態(tài)路由協(xié)議。既可選用 IS-IS 也可選用 OSPF，這兩種協(xié)議均屬于鏈路狀態(tài)路由協(xié)議，網(wǎng)絡(luò)建設(shè)復(fù)雜度基本相當(dāng)，并均已獲得較為廣泛的應(yīng)用。 但由于以下原因，選用 IS-IS 作為域內(nèi)路由協(xié)議。 目前 CNGI 核心網(wǎng)已采用 IS-IS 協(xié)議作為域內(nèi)路由協(xié)議。 IS-IS 具有很好的分層分域能力，可擴展性強，利于以后的擴容。 IS-IS wide metric 功能將端口 Metric cost 的支持由原來的最大 6 bit 擴展到 24 bit，端到端的 Metric 由原來的最大 10 bit 增加到 32 bit，增強了路由調(diào)整和優(yōu)化的粒度。 OSPF 有很多類型的 LSA，比較復(fù)雜并占用資源，而 IS-IS 的 LSP 要少很多，所以在處理路由更新等方面， IS-IS 對資源的占用更少。 IS-IS 的快速收斂技術(shù)和更細(xì)粒度的定時器可以提高收斂速度。 OSPF 數(shù)據(jù)格式不容易擴展，而 IS-IS 可以很容易地通過增加 TLV 進行擴展，包括對 IPv6 等的支持。 IS-IS 在一個層次內(nèi)應(yīng)用 SPF 計算有效路由，而 OSPF 只能在一個區(qū)域內(nèi)用 SPF 計算有效路由， IS-IS 的路由計算更加準(zhǔn)確。 知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 OSPF 協(xié)議是基于 IP 層的，所以只能支持 IP 網(wǎng)絡(luò)，且網(wǎng)絡(luò)上一些基于 IP 的攻擊會影響到 OSPF 的正常運行。 IS-IS 是直接運行在鏈路層上的，可以承載多種網(wǎng)絡(luò)類型，且在預(yù)防網(wǎng)絡(luò)攻擊方面也有一些天然的優(yōu)勢。 綜上所述，最終選擇在 CNGI 4 個駐地網(wǎng)節(jié)點均部署 IS-ISv6 協(xié)議，并且從未來網(wǎng)絡(luò)規(guī)模不斷發(fā)展的角度考慮，為便于網(wǎng)絡(luò)演進和擴展，駐地網(wǎng)路由器啟用的 IS-IS 路由協(xié)議也運行在 L2 上 。另外，駐地網(wǎng)與核心網(wǎng)處于同一自治域中，駐地網(wǎng)路由器不需要啟用域間路由協(xié)議。 3.2.4 安全性 網(wǎng)絡(luò)安全大體上分為兩個層次：網(wǎng)絡(luò)層面安全和業(yè)務(wù)層面安全。網(wǎng)絡(luò)層面安全主要側(cè)重網(wǎng)絡(luò)數(shù)據(jù)的安全傳送、網(wǎng)絡(luò)資源的合法使用；后者主要側(cè)重網(wǎng)絡(luò)業(yè)務(wù)的合法授權(quán)、使用和監(jiān)管。 （ 1） 網(wǎng)絡(luò)層面安全措施 網(wǎng)絡(luò)結(jié)構(gòu)：全網(wǎng)從骨干拓?fù)浣Y(jié)構(gòu)到連接鏈路均應(yīng)考慮路由的備份，采用分層的拓?fù)浣Y(jié)構(gòu)，支持動態(tài)迂回路由。大型駐地網(wǎng)節(jié)點設(shè)備與核心節(jié)點設(shè)備之間通過動態(tài)路由協(xié)議保證網(wǎng)絡(luò)可達，通過流量工程合理規(guī)劃流量，通過快速重路由保證連續(xù)轉(zhuǎn)發(fā)。 網(wǎng)絡(luò)設(shè)備 ：城域網(wǎng)核心節(jié)點設(shè)備的主控板、交換網(wǎng)板、時鐘板、電源等部件都具有冗余配置能力，線路板支持在線熱插拔而不會丟失數(shù)據(jù)，能夠保證設(shè)備的不間斷運行。 安全設(shè)備：通過部署防火墻、 IDS、漏洞掃描器等安全設(shè)備，實時監(jiān)控網(wǎng)絡(luò)運行狀況，查詢分析網(wǎng)絡(luò)安全隱患和漏洞，并對網(wǎng)絡(luò)攻擊實施堵截。 （ 2） 業(yè)務(wù)層面安全措施 安全管理：關(guān)鍵數(shù)據(jù)采用身份認(rèn)證與授權(quán)，通過訪問權(quán)限限制，加密保存，加密傳輸，同時網(wǎng)絡(luò)和系統(tǒng)中各種重要數(shù)據(jù)進行及時有效的備份。此外，與用戶共同制定完善的管理規(guī)范，通過良好的手段達到防微杜漸的目的。 應(yīng)用系統(tǒng)： 可采用 HA（高可用）技術(shù)來達到計費系統(tǒng)及用戶數(shù)據(jù)庫系統(tǒng)應(yīng)用的相互切換及備份。同時利用數(shù)據(jù)庫服務(wù)器外接的磁帶機備份文件系統(tǒng)、數(shù)據(jù)庫、網(wǎng)管信息。 除此之外， IPv6 的部分功能對駐地網(wǎng)節(jié)點設(shè)備來說不是完全必要的，如果被惡意攻擊者利用，會增加網(wǎng)絡(luò)的危險，因此在實際建網(wǎng)時可考慮關(guān)閉部分功能，舉例如下。 （ 1） IPv6 路由選項頭 2開關(guān) 在 IP 路由技術(shù)中，通常一個 IP 報文總是沿著網(wǎng)絡(luò)中的每個路由器所選擇的路徑轉(zhuǎn)發(fā)分組。 IPv6 協(xié)議中提供了路由選項頭（ routing header），它的含義是允許源站明確指定一條從源 到目的地的路由，覆蓋掉中間路由器的路由選擇。路由選項頭可用于指定網(wǎng)絡(luò)路徑的故障診斷和某種特殊業(yè)務(wù)的臨時傳送。此功能可能被惡意攻擊者利用于刺探網(wǎng)絡(luò)結(jié)構(gòu)，或者繞過網(wǎng)絡(luò)安全設(shè)備 3等。 （ 2） 重定向開關(guān) 網(wǎng)絡(luò)設(shè)備向同一個子網(wǎng)的主機發(fā)送 ICMP 重定向報文，請求主機改變路由。一般情況下，設(shè)備僅向主機而不向其他設(shè)備發(fā)送 ICMP 重定向報文。此功能可能被惡意攻擊者用于干擾某網(wǎng)內(nèi)主機的正常 IP 報文轉(zhuǎn)發(fā)。 （ 3） 定向廣播報文轉(zhuǎn)發(fā)開關(guān) 惡意攻擊者可以偽造 IPv6 報文，以受害者的 IPv6 地址作為源地址，以特定的 IPv6 多播地 址（例如 DHCP 服務(wù)器多播地址 FF05 3）作為目的地址，發(fā)起 Smurf 攻擊。因此為了防止攻擊發(fā)生，建議在接口上進行配置，禁止目的地址為子網(wǎng)多播地址的報文從該接口轉(zhuǎn)發(fā)。 （ 4） 限制 ICMP 協(xié)議報文的轉(zhuǎn)發(fā) ICMP 協(xié)議允許網(wǎng)絡(luò)設(shè)備中間節(jié)點（路由器）向其他設(shè)備節(jié)點和主機發(fā)送差錯或控制報文，主機也可用 ICMP 協(xié)議與網(wǎng)絡(luò)設(shè)備或另一臺主機通信。很多常見的網(wǎng)絡(luò)攻擊均利用了知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 ICMP 協(xié)議的功能。對 ICMPv6 協(xié)議的防護比較復(fù)雜，易實施的方法包括限制 ICMPv6 錯誤報文的最大速率、慎重處理來自用戶網(wǎng)段的 ICMPv6 報文等方 法 3。 4 駐地網(wǎng)建設(shè)方案的應(yīng)用 4.1 組網(wǎng)方案 根據(jù) 3 的分析結(jié)論，北京聯(lián)通 CNGI 駐地網(wǎng)工程最終選用了如下的建設(shè)方案（如圖 3所示）。 其中接入路由器作為駐地網(wǎng)出局設(shè)備，下掛 IPv6/IPv4 混合組網(wǎng)用戶，之間通過物理接口實施隔離，同時路由器雙上聯(lián)到 CNGI 骨干網(wǎng)和北京聯(lián)通 165 網(wǎng)絡(luò)上，根據(jù)下端的端口情況實施分流。 IPv6 的實驗網(wǎng)用戶訪問 CNGI 網(wǎng)絡(luò)時，原有的辦公網(wǎng)絡(luò)或企業(yè)大客戶業(yè)務(wù)網(wǎng)絡(luò)不受影響，保持原有的行為狀態(tài)不變，這種組網(wǎng)情況下能夠保持現(xiàn)網(wǎng)狀態(tài)，同時達到進行IPv6 試點的能力，很好地結(jié)合現(xiàn) 網(wǎng)情況開展 IPv6 試驗。 同時考慮到網(wǎng)絡(luò)的擴展能力，原有 IPv4 用戶可以平滑升級到 IPv6 網(wǎng)絡(luò)上，而上端僅需在出口實施一定的策略來完成 IPv6 的改造能力。這種情況下可以繼續(xù)發(fā)展現(xiàn)有的大客戶業(yè)務(wù)，在進行 IPv6 試點的同時繼續(xù)利用駐地網(wǎng)的附加能力，達到網(wǎng)絡(luò)增值的目的。 loopback 地址、互聯(lián)地址以及業(yè)務(wù)地址均從中國聯(lián)通已經(jīng)獲得的 IPv6 地址空間 20010E88 /32 中獲取。 4 個駐地網(wǎng)路由器與上聯(lián)的 CNGI 核心網(wǎng)路由器以及 IPv4 網(wǎng)絡(luò)中的路由器之間運行 IS-ISv6 動態(tài)路由協(xié)議， CNGI 核心網(wǎng)和駐地網(wǎng)路由 器的 IS-IS 路由協(xié)議均工作在L2 上。 本期工程考慮到駐地網(wǎng)網(wǎng)絡(luò)位置相對較低，目前又處于試驗階段，所以在網(wǎng)絡(luò)建設(shè)過程中沒有城域網(wǎng)結(jié)構(gòu)的情況下暫時將 DNS 部署在省核心層，即采用 CNGI 統(tǒng)一的 DNS 服務(wù)器部署。 4.2 業(yè)務(wù)部署方案 另外，在 CNGI 網(wǎng)內(nèi)部署了多種支持 IPv6 的業(yè)務(wù)應(yīng)用服務(wù)器，比如 Web 服務(wù)器、 FTP服務(wù)器、 E-mail 服務(wù)器、組播服務(wù)器等。由于目前用戶訪問量相對不大，業(yè)務(wù)流量相對較小，大部分服務(wù)器采取在省核心層集中放置的部署方式，可以滿足駐地網(wǎng)用戶的基本需求。此外，在 CNGI 省核心層與 165 網(wǎng) 省網(wǎng)之間放置了 NAT-PT，能夠滿足部分 IPv4 用戶和 IPv6 用戶分別對 IPv6 資源和 IPv4 資源的訪問需求，以及 IPv4 用戶和 IPv6 用戶之間的互通需求。 針對駐地網(wǎng)節(jié)點的業(yè)務(wù)需求，還量身定制了多套技術(shù)方案，能夠提供移動 IP 業(yè)務(wù)、組播業(yè)務(wù)、 VPN 業(yè)務(wù)、 Web 業(yè)務(wù)、 FTP 業(yè)務(wù)、 E-mail 業(yè)務(wù)等。下面以組播業(yè)務(wù)為例，介紹此業(yè)務(wù)的部署方案。 CNGI 駐地網(wǎng)在同一個自治系統(tǒng)內(nèi)，在開通組播業(yè)務(wù)時啟用域內(nèi)協(xié)議。目前， PIM-SM 協(xié)知識水壩（豆丁網(wǎng) pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下 知識水 壩 議是域內(nèi)組播的公認(rèn)標(biāo)準(zhǔn)。對于由一個自治域組成的網(wǎng)絡(luò)，或者組播僅在域內(nèi)進行時，僅需在網(wǎng) 絡(luò)中運行 PIM-SM 協(xié)議即可。為了增強 PIM-SM 中 RP 節(jié)點的可靠性，及對網(wǎng)絡(luò)中的組播流量進行分擔(dān)，需要選取駐地網(wǎng)核心路由器作為 RP 來分發(fā)組播流量，可選取核心路由器作為 RP。其網(wǎng)絡(luò)協(xié)議部署如圖 4 所示。 在用戶側(cè)的不同終端用戶根據(jù)自身的地址棧向上訪問本協(xié)議棧的網(wǎng)絡(luò)，在駐地網(wǎng)核心層出口設(shè)備與上聯(lián)設(shè)備之間運行 PIM-SM 協(xié)議即可，但需要上端設(shè)備完成組播控制信息的推送，即 CNGI 需要運行 PIM 協(xié)議，向下采用純二層網(wǎng)絡(luò)，采用組播 VLAN 的方式向下進行復(fù)制，既可以選擇路由器設(shè)備作為組播復(fù)制和控制點，也可 以選擇接入交換機作為組播復(fù)制和控制點。 由于本工程選用的接入交換機支持 IPv6 且支持 IGMPv6，因此為提高網(wǎng)絡(luò)的整體性能，分散對組播流量的處理開銷，采用在接入交換機上進行組播復(fù)制