DS-Lite協(xié)議講解及報文分析

1、DS-Lite協(xié)議講解及報文分析文檔摘要：本文檔主要介紹DS-Lite原理及在IPv6測試用例中如何測試DS-Lite相關用例關鍵字：DS-Lite、IPv6、IPv4 over IPv6隧道、AFTR、CGN1DS-Lite 簡介眾所周知，推動IPv6最根本的動力就是IPv4地址匱乏。IPv6演進技術(shù)的考慮點：如何引入IPv6既要繼續(xù)提供原有IPv4業(yè)務，又要考慮IPv4地址當前的壓力業(yè)界涌現(xiàn)了多種IPv6演進方案（雙棧+ NAT44/NA T444、DS-Lite、6RD和NAT64等），具體采用哪種方案，取決于運營商自身情況和IPv6演進策略，但對于一點業(yè)內(nèi)已達成共識：DS-Lite是I

2、Pv6演進方案的最終模型。原因是DS-Lite方案在IPv6網(wǎng)絡中不僅 可以提供IPv4和IPv6雙棧業(yè)務，而且可提單棧IPv6業(yè)務；隨著IPv6業(yè)務的增長，IPv4業(yè)務會逐漸變成“孤島”，IPv6業(yè)務則成為主流；因此，DS-Lite技術(shù)架構(gòu)是符合未來的發(fā)展趨勢，為IPv6演進方案的最終模型。DS-Lite技術(shù)的本質(zhì)是在IPv6的網(wǎng)絡中部署IPv4-in-IPv6隧道完成IPv4業(yè)務傳輸， 而IPv6業(yè)務則直接通過IPv6網(wǎng)絡傳輸。這里先介紹下AFTR這個新名詞，AFTR全稱為DS-Lite Address Family Transition Router elemento該網(wǎng)元終結(jié)了IPv4

3、-in-IPv6隧道，并且實現(xiàn)了NAT IPv4-IPv4的功能。其中，AFTR在運營商網(wǎng)絡中為CGN ;該CGN可為獨立CGN設備，也可以為插卡式CGN（將CGN單板插在業(yè)務控制節(jié)點）。目前中國電信4.0技術(shù)規(guī)范已經(jīng)將DS-Lite作為電信運營商推廣IPv6的過渡技術(shù)，隨著 時間的推移，運營商主干網(wǎng)絡將逐步升級為支持IPv6的設備，但是某些服務器以及用戶終端設備可能還來不及切換到支持IPv6的設備，那時候用戶終端想要和服務器進行通信就需要穿越IPv6網(wǎng)絡，所以必須使用DS-Lite技術(shù)來實現(xiàn)過渡。2DS-Lite 協(xié)議講解對于我們公司生產(chǎn)的家庭網(wǎng)關來說， 家庭網(wǎng)關充當了一個B4的角色，那什么

4、叫B4呢？B4全稱為Base Bridging BroadBand Elemento因為該名稱中有4個B,所以簡稱為B4, B4設置應具備雙棧的功能以及向AFTR創(chuàng)建IPv4-in-IPv6的隧道。家庭網(wǎng)關在DS-Lite業(yè)務模型中會通過DHCPv6 Option64字段獲取到AFTR服務器的域名，然后通過DNS解析到AFTR的地址，當解析到AFTR的IPv6地址后，家庭網(wǎng)關在收到一個IPv4到IPv4的請求后，會在這個IPv4報文頭部前加上一個IPv6報文頭，IPv6報文頭的源IPv6地址為家庭 網(wǎng)關WAN連接的IPv6地址， 目的IPv6地址則為AFTR IPv6地址， 這樣這個報文就可以

5、在IPv6網(wǎng)絡中傳輸了， 當AFTR接收到這個報文后，會把IPv6報文頭剝離掉，此時這個報文 就是當初用戶端主機發(fā)送的IPv4請求報文，該請求報文的源IPv4地址為用戶端主機的IPv4地址，是一個由家庭網(wǎng)關分配的私網(wǎng)IPv4地址，既然家庭網(wǎng)關沒有對這個私網(wǎng)IPv4地址進行轉(zhuǎn)換， 那么就需要AFTR服務器對這個私網(wǎng)IPv4地址進行轉(zhuǎn)換，AFTR將私網(wǎng)IPv4地址 轉(zhuǎn)換為公網(wǎng)IPv4地址后發(fā)送到IPv4網(wǎng)絡中，這樣對端的IPv4服務器就能正常接收并處理 這個報文了，而且還不知道這個報文其實已經(jīng)穿越了IPv6網(wǎng)絡了，具體的原理圖如圖1所示。( HPv4-iin-IPv6 Tunnel IPv4流垃；

6、 IPv6流量3 DS-Lite 配置既然家庭網(wǎng)關在DS-Lite業(yè)務模型中充當了B4的角色，那么家庭網(wǎng)關就需要知道AFTR服務器的地址，怎么獲取AFTR服務器地址呢？通過在DHCPv6 Solicit報文中添加一個Option64字段，如圖2所示。IPv6 HeaderIPv6 HeaderIPv4 HeaderIPv4 HeaderIPv4 HeaderIPv4 HeaderIPv4 PayloadIPv4 PayloadIPv4 PayloadIPv4 PayloadIPv6 InternetIPv4 Internet圖14 L_屈ffi Franwe 6S: 156 bytes on

7、wi re bits)F13 bytes captured (lOSg bits)町葉i nt er face 0l Ethernet II, Src： Alcatel-_S9：76：M (e0：30：05：89：76：54)FDsrt IPv6mcast_00 ：01 ：D0 ：02 (33:33:00:01:00:02)ffi S02.1Q Virtual LAH. PRI： 0 CFI： 0, ID： 3331ffi internet Protfiieeil Vers ion 6、Sre : f&O: :23O:5f f:f eB97654 (fe&O: : e23D:5

8、ff :f 7654)sDsT : ffO2 : :1:2 (1(一 二) User Ddragram Protocolpsrc Port: dhpv6-cliem (546)sDst Ports dhcpve-server547)E DHCPv6type: solicit (1)Transaction! ID： 0 x251487)client idgntif ier Identity Association for Non-temporary Addressn Elapsed timea Option Requestopt tom: opr loci Request (6)Length:

9、10value: 0017004ooonooif0017Requested Option code DNS recursive name server 23)苗建里色自q opt J質(zhì)七仁口?。篋um siLaK：k上卜宅 及FR(54)Requested OptliJH cocfeT vendor-eclflironriatTon (17jRequested Option code; Simple Network Time Protocol Server CJ1)Requested Optigrii todle: IDN5 recursive name SErver (23)*i Ident

10、ify Association for Prefix DelegaiionDS-Lite服務器在Adversite報文中回復了AFTR服務器的域名AFTR服務器的IPv6地址，此時還需要家庭網(wǎng)關通過址，解析出來的IPv6地址為“2111:133:133:133:1”，如圖3和圖4所示。DestinationProtocoi Length Infoff02;:1:2DHCPvG136Solicit XJfe30;：230:5ff：fe8SDHCPv6373AdvertiseffOJ:12DHCPv6223Request XJfe&O: : e230: 5ff:fe&?DHCPv6

11、315Reply XID：1 0. 00C2111 :a2111: 5c:lQNS 100 Standard query 0 x578AAAA aftr. ds-lite, com2 0.002111:5 2111:6105150 Standard query response 0 x56781:133:133:133:1a Frame 2: 150 bytes on wire (120C bits)s150 bytes captured (1200 bits)a Ethernet IIdSrc: vmwaref1:fa*6a (00:0c:29:f1:fa:6a)Dst: Alcatel-_

12、89-76:54 CeO:30:05:89：76+ Frame 69：373 byreson wire 29B4 bits), 373 byrescaptured2984 bits) on interface I Ether net IItSr c : Vnv;are_f 1:fa: 6a (00:0c :29 :fl:ftOst i Alcatel -_89:76i 54 (eO: 30: 05 :89+ SD2.1Q Virtual LAM, PRI: 0, CFI: 0, ID： 3331+ inter netprorocol version 6, src: feBQ：zoc：29ff:

13、fefl:faea ffeBOt：20c：29ff:fefl:faea)post+ User Datagram ProtocolhSrc Port: dhcpv6-server (547)hDst Part: dhcpv6-client (546)三DFKPV6Message type: Advertise (2)Transact!on TO： 0 x25147由idenxiry Association for Nan-remporary AddressEidenftity Associ ation for PrefiKDelegation闈Server identifiers C11erti

14、dentifierE Preference二iDN5 recursive name serverF 0 Dual-Stack LireAFTRNameIOption： Dual-Stck Lite AFTR Name (64)Length: 18Value: 04616674720764732d6c6974650363f6d00ID5-Lite AFTR Hame: aftrBds-aftr.ds-,而不是DNS解析到AFTR服務器的IPv6地Na. Time6S 20.0641B20CO6920.a665170007221.06B5540007321.069802000SourcefeSO:

15、e230;5ff:fe39:7654feso ； :20c ： 29ff:fefl ； fa6afeflO:e23O:5ff:feS9:7654fe80:20c:29ff:fefl:fa6a72 21,O6iS54O0O fe80e230：5ff:fefi:7654ffO2：l：20HCPv6223 Reques-t )0。：Ox4aM62 ve315 Reply XID： 0X435462田802BIQ VirtualLAN.PRI：0.CFI： 0aID： 3331+i internet Proiocol version 6, src: 2111:Sc:100:0:calS C2111:5

16、c:100:0:c:135:a:al5). Ds田user Daragram ProtocolB5rc Pore: domain (5M). Dst Pore: 46S67 (40867)s Domain Name System (response)氐eciu史烏吭rn: 11Tiniet oa0096B0000 secondsTransaction ID； 0 x567SS Flags: 0 x8500 Standard query resporise, No errorQuestions: 1Answer RR5: 1AuthorityRRs:1Additianall fills: 0SI

17、 Querieslnswer?-ffl aftrj.ds-Hite.5om：jtypeAAAA, clkass IN. addr 2111133:133:133: ;1_ Jftur nor圖43D S Lite D HCPv6.pcap在家庭網(wǎng)關上開啟DS-Lite功能如圖5所示，由于使用的VLAN 3331是DHCPv6+PD ,所以需要在WAN連接頁面勾上獲取地址和獲取前綴，而且IP模式應該選擇IPv6單棧模式，如果選擇了IPv4/IPv6雙棧模式，那么WAN連接就會獲取到IPv4和IPv6地址，如果WAN連接獲取到IPv4地址，那么PC訪問IPv4地址的時候就直接通過WAN連接IPv4

18、地址訪問了，不會加上IPv6報文頭。EDS LiteDN S.p cap破中國電信歡皿 5 睥C*nNA演志國增安全應用甘理訖所幫聃Intern/ii接 我式Rnute、WAN連接創(chuàng)建完成且獲取到IPv6地址后，就可以在連接家庭網(wǎng)關的PC上訪問IPv4資源了，本文檔以Ping 182.16.100.100講解，在WAN口鏡像抓包查看IPv4報文在IPv4報 文頭前加了一個IPv6報文頭，且源IPv6地址為WAN連接IPv6地址，目的IPv6地址為AFTRIPv6地址，如圖6所示。4 DS-Lite 報文分析1 ir覆式IPv6 *# DMCT從1甥處自動同至1-個IP地址O輕I即處EK置一個I

19、F部態(tài)地址。若1ST使用腫骯瑞送將比弱mi14W白月叮5VI IB即1瞄.而查網(wǎng)關IP祀地妣1妾取地址 74 bytes capiured (5?2 bits)E) Ethernet II, 5rc; V*iwar_9Q:lJf ;02 C0O;0c:29;9O:Sf ;02J. Cat: E11 teqrcuf 1;2b;19 : 33312111:aal:258:icac:e4e:257:2b4：iaa3 (zin:aeal:253：icac:ec4e:q wi rwri. I nyirf，p4m header:】PIP (4)】源IPv6地址為WAN連接IPv6地址2111 !3631九

20、5丹：1七甘企巴?。?7!21346:0日曠(9111:且F?5丹。IcEcT:世Source GeoiP： unknown_fD5t i nat i on GeolF：unknown internetProtocolversion4fsrc:internetcontrolMessage Proicocol68.1.2 (192.168.1.2), Dst: 182.16.100.211 (182.16.100.211)目的IPv6地址為AFTR IPv6地址HDpWTT： t4rootDS-Llte:#deFmtu 1420 defmsson deFtoobig oFfcat /aFtr/aftr.conFAFTR IPv6地扯ac