企業(yè)IPv6 網(wǎng)絡架構演進方案

1、企業(yè)IPv6 網(wǎng)絡架構演進方案目 錄TOC o 1-3 h z u HYPERLINK l _TOC_250017 需求說明4 HYPERLINK l _TOC_250016 設計思路4 HYPERLINK l _TOC_250015 傳統(tǒng) IPV4 網(wǎng)絡中B/S 應用訪問流程4 HYPERLINK l _TOC_250014 演進到 IPV6 網(wǎng)絡面臨的挑戰(zhàn)及解決方案5 HYPERLINK l _TOC_250013 場景一： IPv4 客戶端訪問 IPv6 內容5 HYPERLINK l _TOC_250012 場景二：IPv6 客戶端訪問 IPv4 內容7 HYPERLINK l _TO

2、C_250011 方案原理及面臨的挑戰(zhàn)9 HYPERLINK l _TOC_250010 NAT46/DNS46 方案部署建議11 HYPERLINK l _TOC_250009 網(wǎng)絡部署拓撲及說明11 HYPERLINK l _TOC_250008 主要功能的實現(xiàn)方式說明12 HYPERLINK l _TOC_250007 DNS46 在 AX 上的實現(xiàn)方式12 HYPERLINK l _TOC_250006 NAT46 在 AX 上的實現(xiàn)方式13 HYPERLINK l _TOC_250005 當前方案存在的問題及解決方案13 HYPERLINK l _TOC_250004 NAT64/D

3、NS64 方案部署建議16 HYPERLINK l _TOC_250003 網(wǎng)絡部署拓撲及說明16 HYPERLINK l _TOC_250002 主要功能的實現(xiàn)方式說明17 HYPERLINK l _TOC_250001 DNS64 在 AX 上的實現(xiàn)方式17 HYPERLINK l _TOC_250000 NAT64 在 AX 上的實現(xiàn)方式18需求說明根據(jù)與東方有線技術交流的情況，我們了解到目前東方有線計劃開始向 IPv6 演進。在目前階段，需要解決兩種場景下演進到 IPv6 時遇到的問題。解決 IDC 數(shù)據(jù)中心中部分內容服務 IPv6 化后，傳統(tǒng) IPv4 客戶端訪問 IPv6 互聯(lián)網(wǎng)內

4、容的問題；解決接入用戶 IPv6 化后，IPv6 客戶端訪問傳統(tǒng) IPv4 互聯(lián)網(wǎng)時遇到的問題。本方案從這兩個需求出發(fā)，詳細說明了在實現(xiàn)這兩種場景互訪時所面臨的問題并提出了相應的解決方案。設計思路傳統(tǒng) IPv4 網(wǎng)絡中 B/S 應用訪問流程在傳統(tǒng) IPv4 網(wǎng)絡中，典型的 B/S 應用訪問流程如下圖所示。我們以客戶端訪問 HYPERLINK / 網(wǎng)站為例，說明客戶端的整個訪問過程：Client 打開瀏覽器，在地址欄中輸入要訪問的域名： HYPERLINK / 。然后， 客戶端會將對域名 HYPERLINK / 的 DNS 查詢請求，轉發(fā) LDNS（本地 DNS 服務器）。LDNS 服務器一般在

5、客戶端接入運營商網(wǎng)絡中時，由運營商提供。LDNS 服務器在收到域名的查詢請求后，會將域名查詢請求轉發(fā)至 Root DNS。Root DNS 根據(jù)查詢請求，會返回所要查詢的域名對應的 ADNS（授權 DNS服務器）地址。LDNS 將域名查詢請求發(fā)送至 ADNS 服務器。ADNS 將域名 HYPERLINK / 的 DNS 查詢結果返回至 LDNS。6） LDNS 將域名 HYPERLINK / 對應的 DNS 查詢結果返回 Client。7） Client 發(fā)起對Web Server 的 TCP 連接，并發(fā)送 HTTP 請求8） 最終，Web Server 將 HTTP 應答內容返回客戶端。至此

6、，客戶端成功打開 HYPERLINK / 對應的頁面。演進到 IPv6 網(wǎng)絡面臨的挑戰(zhàn)及解決方案當整個網(wǎng)絡演進到 IPv6 的過程中，東方有線網(wǎng)絡可能會面臨兩種不同的網(wǎng)絡場景，由于 IPv4 和 IPv6 之間無法兼容，因此，需要解決這兩種場景面臨的挑戰(zhàn)。場景一： IPv4 客戶端訪問 IPv6 內容在第一種場景中，客戶端位于 IPv4 網(wǎng)絡中，而需要訪問內容位于 IPv6 網(wǎng)絡。在 IPv4 網(wǎng)絡中，客戶端發(fā)起的 DNS 查詢類型為 A 記錄查詢，DNS 服務器返回的查詢結果為 IPv4 地址；而在 IPv6 網(wǎng)絡中，客戶端發(fā)起的 DNS 查詢類型為 AAAA 記錄查詢，DNS 服務器返回的

7、查詢結果為 IPv6 地址。因此，在場景一中，我們需要解決兩個主要的問題：需要將客戶端發(fā)出的 DNS 查詢請求，由 A 記錄類型修改為 AAAA 記錄類型， 并重新封裝為 IPv6 的數(shù)據(jù)包，轉發(fā)至 ADNS，即下圖中的 DNS46；需要將客戶端發(fā)起的 IPv4 的 TCP 連接請求，轉換為 IPv6 的 TCP 連接請求并轉發(fā)至 IPv6 網(wǎng)絡中的 Web 服務器，即下圖中的 NAT46。如上圖所示，在場景一中，當服務內容遷移至 IPv6 網(wǎng)絡中后，客戶端通過瀏覽器訪問服務器的過程發(fā)生如下變化：客戶端打開瀏覽器，在地址欄中輸入要訪問的網(wǎng)站的域名，如： HYPERLINK / 。客戶端會將對該

8、域名的查詢請求轉發(fā)至 LDNS 服務器，此過程與傳統(tǒng) IPv4 網(wǎng)絡一致，不發(fā)生任何變化；LDNS 在收到客戶端的域名查詢請求后，會按照規(guī)則進行轉發(fā)過濾，如：將所有對 的子域域名的查詢請求，均轉發(fā)至 DNS46 代理進行處理，而未匹配規(guī)則的請求則仍轉發(fā)至互聯(lián)網(wǎng)的 DNS 系統(tǒng)（如圖中虛線所示）；DNS46 將收到的 DNS 查詢請求從 A 記錄類型轉換至 AAAA 記錄類型，然后通過 IPv6 網(wǎng)絡轉發(fā)至 ADNS 服務器；ADNS 返回對域名的 AAAA 查詢結果，其對應的 AAAA 記錄結果為 IPv6 地址；DNS46 將查詢結果從 AAAA 記錄類型轉換至 A 記錄類型，并將 IPv6

9、 地址轉換為對應的 IPv4 地址，并通過 IPv4 網(wǎng)絡將查詢結果轉發(fā)至 LDNS；LDNS 將 DNS 查詢結果返回給客戶端；客戶端將根據(jù)返回的 DNS 查詢結果中給定的 IPv4 地址，與目標 IPv4 地址建立 TCP 連接；NAT46 將接收到的 IPv4 數(shù)據(jù)包轉換至 IPv6 并轉發(fā)至目標Web Server； 9）Web Server 返回數(shù)據(jù)包；10）NAT46 將接收到的 IPv6 數(shù)據(jù)包轉換至 IPv4 并轉發(fā)回客戶端。在整個訪問過程中，為了完成 IPv4 客戶端到 IPv6 服務器的訪問，主要通過以下兩個功能實現(xiàn)：DNS46：實現(xiàn) DNS 查詢請求在 IPv4 和 IP

10、v6 網(wǎng)絡之間的轉換。NAT46：實現(xiàn)客戶端與服務器之間的 IP 數(shù)據(jù)流在 IPv4 和 IPv6 網(wǎng)絡之間的轉換。場景二：IPv6 客戶端訪問 IPv4 內容在第二種場景中，客戶端直接接入 IPv6 網(wǎng)絡，客戶端的訪問目的可能存在于 IPv4 和IPv6 兩個網(wǎng)絡中。與場景一中面臨的問題類似，客戶端通過域名訪問時，仍然需要解決兩個問題：無論訪問的目的地在 IPv4 還是 IPv6 網(wǎng)絡，需要返回客戶端一個合法的 DNS AAAA 類型查詢結果；如果客戶端訪問的目的地在 IPv4 網(wǎng)絡中，需要利用 NAT 解決 IPv6 與 IPv4 之間的地址轉換問題。如下圖所示，我們通過 DNS64 來解

11、決域名訪問時的轉換問題，通過 NAT64 來解決地址訪問時的翻譯問題。如上圖所示，在場景二中，當客戶端位于 IPv6 網(wǎng)絡中時，利用 NAT64/DNS64 技術實現(xiàn)的整個訪問過程如下：客戶端打開瀏覽器，在地址欄輸入要訪問的網(wǎng)站的域名，如： HYPERLINK / 。客戶端會向 DNS 服務器發(fā)送 AAAA 記錄類型的查詢請求。這個請求可能會經(jīng)過轉發(fā)或直接發(fā)送至 DNS64；DNS64 會將該域名查詢請求同時轉發(fā)至 IPv4 和 IPv6 兩個網(wǎng)絡中的 DNS 服務器；發(fā)送至 IPv6 DNS 服務器的請求不做任何變動，直接轉發(fā)；發(fā)送至 IPv4 DNS 服務器的請求會轉換至 A 記錄類型后再

12、轉發(fā)DNS64 會根據(jù)收到的 DNS 查詢結果做如下處理：如果收到了 IPv6 網(wǎng)絡中 DNS 服務器的 AAAA 記錄類型查詢結果，則直接將該結果返回客戶端，客戶端則直接在 IPv6 網(wǎng)絡中進行服務器的訪問；如果未收到 IPv6 網(wǎng)絡中 DNS 服務器的 AAAA 記錄類型查詢結果，而收到了IPv4 網(wǎng)絡中服務器對應的 A 記錄類型查詢結果，DNS64 會將查詢到的結果轉換至 AAAA 記錄類型，并將查詢到的 IPv4 地址，按照一定規(guī)則嵌入 IPv6 地址中，并轉發(fā)至客戶端；客戶端根據(jù) DNS 返回的查詢結果，發(fā)起對目標的連接，根據(jù)實現(xiàn)設置的策略， 這個數(shù)據(jù)包會轉發(fā)至 NAT64；NAT6

13、4 收到數(shù)據(jù)包后，從訪問的目標地址中剝離出 IPv4 地址，并完成 IPv6 數(shù)據(jù)包至 IPv4 數(shù)據(jù)包的轉換，然后轉發(fā)至目標；目標返回 IPv4 數(shù)據(jù)包；NAT64 收到數(shù)據(jù)包后，完成 IPv4 至 IPv6 的數(shù)據(jù)包轉換，并轉發(fā)回客戶端。在整個訪問過程中，為了完成 IPv6 客戶端到 IPv4 服務器的訪問，主要通過以下兩個功能實現(xiàn)：DNS64：實現(xiàn) DNS 查詢請求在 IPv4 和 IPv6 網(wǎng)絡之間的轉換。NAT64：實現(xiàn)客戶端與服務器之間的 IP 數(shù)據(jù)流在 IPv4 和 IPv6 網(wǎng)絡之間的轉換。方案原理及面臨的挑戰(zhàn)NAT46/DNS46 和 NAT64/DNS64 兩個方案在實現(xiàn)方

14、式上看起來極為類似。首先，這兩個方案都是都需要對 DNS 記錄的查詢類型及返回的結果進行 IPv4 和 IPv6 之間的轉換。其次，這兩個方案都需要采用 NAT 地址轉換技術，實現(xiàn)客戶端和服務器之間訪問的 IP 協(xié)議轉換。但是，在實際的實現(xiàn)過程中，由于 IPv6 的地址空間要遠遠多于 IPv4，NAT64/DNS64 的實現(xiàn)方式要比 NAT46/DNS46 要簡單的多，并且功能的完善性上，NAT64/DNS64 也要完善的多。在 NAT64/DNS64 方案中，由于 IPv6 具有充足的地址空間，可以將整個 IPv4 地址空間映射到一段 IPv6 地址中（IPv6 前綴小于/96 即可），因此

15、，在進行 DNS 轉換時，任何IPv4 地址，都可以嵌入一個 IPv6 地址中，并返回客戶端。目前 DNS64 已經(jīng)成為 IETF 的正式標準RFC6147。如下圖所示，當 NAT64 采用/32 前綴時，目的 IPv4 地址將采用如下方式，封裝至 IPv6 地址中。當該 IPv6 地址作為 DNS 的 AAAA 查詢結果返回客戶端后，客戶端會將該 IPv6 地址作為目的地址發(fā)起會話請求，而網(wǎng)絡中的路由設備會將該數(shù)據(jù)包路由至 NAT64 設備。當 IPv6 數(shù)據(jù)包到達 NAT64 設備后，NAT64 會從這個 IPv6 地址中解析出目的 IPv4 地址（上圖中的 3），并將數(shù)據(jù)包轉換后發(fā)送到

16、IPv4 網(wǎng)絡。與 NAT64/DNS64 方案所不同的是，在 NAT46/DNS46 方案中，由于 DNS 的查詢結果為 IPv6 地址，無法像 DNS64 那樣將地址封裝至 IPv4 地址中，因此，必須采用某種方法來同步 DNS46 和 NAT46 中 IPv4 和 IPv6 映射關系。NAT46/DNS46 方案部署建議網(wǎng)絡部署拓撲及說明NAT46/DNS46 方案的部署方式如上圖所示：東方有線的 IDC 機房核心網(wǎng)絡已經(jīng)實現(xiàn) IPv4/IPv6 雙棧方式部署；PPTV 的 Web 服務器、DNS 服務器等采用純 IPv6 的方式接入 IDC 的核心網(wǎng)絡， 而用戶接入網(wǎng)絡則采用 IPv4

17、 的方式與 IDC 的核心網(wǎng)絡相連；本方案中，我們建議采用 2 臺 AX2500 旁路接入 IDC 的核心網(wǎng)絡，分別實現(xiàn)NAT46 和 DNS46 的功能；在用戶接入網(wǎng)絡的 LDNS 上配置策略，將需要疏導至 IPv6 網(wǎng)絡中流量對應的DNS 域名查詢請求（如本例中的 ）轉發(fā)至 IDC 中的 DNS46 設備客戶端訪問 IPv6 服務器的流量，將會疏導至 IDC 的 NAT46 設備，經(jīng)由該設備實現(xiàn) IPv4 至 IPv6 的數(shù)據(jù)包轉換。主要功能的實現(xiàn)方式說明DNS46 在 AX 上的實現(xiàn)方式在 AX 上配置 VIP，作為 LDNS 服務器轉發(fā) DNS 請求的目標地址：slb server p

18、ptv-dns-1 01 port 53udp!slb service-group pptv-dns udp member pptv-dns-1:53!slb virtual-server vip-pptv-dns 25 port 53dns-udpname _25_DNS-UDP_53source-nat pool p1 service-group pptv-dns aflex dnswhen DNS_REQUEST #log = DNS_REQ Start =set type_mark 0if DNS:question type equals A #log DNS type is A, t

19、hen change to AAAADNS:question type AAAA set type_mark 1#log = DNS_REQ EOF =when DNS_RESPONSE #log - DNS_RESP Startif $type_mark set rrs DNS:answerset name DNS:question nameDNS:question type A DNS:answer clearset i 0foreach rr $rrs switch DNS:rdata $rr 利用 AX 獨有的 aFleX 腳本功能，實現(xiàn) DNS 請求的轉換要求，具體腳本內容如下：24

20、01:800:8000:153 #log DNS_answer insert ipv4, 153DNS:answer insert DNS:rr $name 601 IN A 9 2401:800:8000:154 #log DNS_answer insert Ipv6, 154 DNS:answer insert DNS:rr $name 601 IN A 00incr ilog =DNS_RESP EOF=NAT46 在 AX 上的實現(xiàn)方式nat46-stateless prefix 2401:800:a000:/96nat46-stateless static-dest-mapping

21、9 2401:800:8000:153nat46-stateless static-dest-mapping 00 2401:800:8000:154AX 設備的功能中，已經(jīng)支持 NAT46 功能，只需要簡單的在 AX 上配置 IP 地址映射關系，即可實現(xiàn) NAT46 功能：當前方案存在的問題及解決方案由于目前 AX 不支持在 aFleX 中調用 AX 的 aXAPI 接口，當前的方案只能通過手工的方式來指定 DNS46 和 NAT46 上 IPv4 與 IPv6 地址間的對應關系。盡管這種方式配置簡單， 但如果內容服務商進行服務器地址調整或增加新的域名解析后，AX 無法自動感知并進行配置的自

22、動調整。因此，存在后續(xù)維護工作量較大的問題。解決的方案主要思路是實現(xiàn) ADNS 的 AAAA 應答后進行感知并實現(xiàn)與 NAT46 配置的聯(lián)動處理。具體的思路如下：與場景一中的介紹類似，步驟 1-4 的處理方式不變，當 DNS46 接入到 ADNS 返回的域名查詢結果時，執(zhí)行上圖所示的步驟 5。我們以 HYPERLINK / 的域名解析情況，來說明整個步驟的邏輯處理過程：DNS46 在本地會維護一張“DNS 域名及 IP 地址對照表”，用于記錄 ADNS 返回的查詢結果及 IPv4/IPv6 地址對應關系表，在系統(tǒng)初始運行時，這張表是空的，同時 NAT46 上沒有任何 IPv4/IPv6 地址映

23、射關系的配置；當上圖中步驟 4 返回的 ADNS 查詢結果時，DNS46 會查詢“本地 DNS 域名及IP 地址對照表”：如果未查詢到匹配的對應關系，則從配置的 IPv4 地址池中選擇一個可用地址，與查詢結果中的 IPv6 地址建立映射關系，并將該映射關系記錄在“DNS 域名及 IP 地址對照表”中，同時，將該映射關系推送至 NAT46 設備。如果查詢到匹配的對應關系，則繼續(xù)下一步處理根據(jù)“DNS 域名及 IP 地址對照表”中域名及 IP 地址的映射關系，修改 DNS查詢請求為 A 記錄類型，并用對應的 IPv4 地址替換原有 IPv6 地址；完成修改后，將請求轉發(fā)至 LDNS。在步驟 6-8

24、 中，客戶端根據(jù)接收到的 DNS 查詢結果，發(fā)起對目標 IPv4 地址的數(shù)據(jù)流， 而此時，NAT46 會根據(jù) DNS46 推送過來的配置，完成 IPv4 至 IPv6 的 NAT46 轉換，實現(xiàn)了 NAT46/DNS46 方案的自動配置聯(lián)動處理。此方案的優(yōu)勢在于，在完成內容服務商的初始化接入配置后，該方案會根據(jù) ADNS 的域名查詢結果，自動實現(xiàn) NAT46 中 IPv4 到 IPv6 地址映射關系的管理，減少由于內容服務商應用服務調整帶來的維護工作量，減少人工維護帶來的差錯。NAT64/DNS64 方案部署建議網(wǎng)絡部署拓撲及說明NAT64/DNS64 的部署方式如上圖所示：建立純 IPv6

25、網(wǎng)絡，用于 IPv6 客戶端的接入；核心網(wǎng)絡采用 IPv4/IPv6 雙棧方式部署；采用 1 臺 AX2500 旁路接入核心網(wǎng)絡中，并啟用 DNS64 和 NAT64 功能；AX 上的 DNS64 可以作為 IPv6 接入網(wǎng)絡中客戶端的 LDNS 服務器；通過以上方式部署，客戶端訪問互聯(lián)網(wǎng)資源的方式如下：客戶端的 DNS 請求發(fā)送至 DNS64 后，會同時向 IPv4 和 IPv6 兩個網(wǎng)絡中的DNS 系統(tǒng)進行轉發(fā)；如果要訪問的資源在 IPv6 網(wǎng)絡中，則客戶端直接通過 IPv6 網(wǎng)絡進行訪問；如果要訪問的資源在 IPv4 網(wǎng)絡中，則 DNS64 會將 DNS 查詢結果轉換成 AAAA 記錄類

26、型，并將目標在 IPv4 網(wǎng)絡中的地址封裝至 IPv6 地址中?？蛻舳藙t根據(jù)這個地址進行訪問，而 NAT64 則會從該 IPv6 地址中解析出目標的 IPv4 地址， 從而實現(xiàn) NAT64 轉換。主要功能的實現(xiàn)方式說明DNS64 在 AX 上的實現(xiàn)方式配置 IPv4 和 IPv6 地址池AX(config)#ipv6 nat pool ipv6-pool1 4629:50 4629:50 netmask 64 AX(config)#ip nat pool ipv4-pool1 00 00 netmask /24配置 DNS 模板，啟用 DNS64 功能AX(config)#slb templa

27、te dns dns64-temp AX(config-dns)#dns64配置 DNS 服務器，用于為 IPv6 網(wǎng)絡中的客戶端提供 DNS 解析功能AX(config)#slb server localdns-rs1 4629:1000 AX(config-real server)#port 53 udpAX(config-real server-node port)#exit AX(config-real server)#exit!AX(config)#slb server localdns-rs2 0 AX(config-real server)#port 53 udpAX(config-real server-node port)#exit AX(config-real server)#exitAX(config)#slb service-group dns53 udp AX(config-slb svc group)#member localdns-rs1:53 AX(config-slb svc group)#member localdns-rs2:53 AX(config-s