IPv6网络演进整改解决方案设计Word格式.docx
- 文档编号:21232889
- 上传时间:2023-01-28
- 格式:DOCX
- 页数:7
- 大小:22.30KB
IPv6网络演进整改解决方案设计Word格式.docx
《IPv6网络演进整改解决方案设计Word格式.docx》由会员分享,可在线阅读,更多相关《IPv6网络演进整改解决方案设计Word格式.docx(7页珍藏版)》请在冰豆网上搜索。
IPv6网络的部署及演进已是必然趋势,需提前做好相应的技术规划,未雨绸缪。
3需求分析
目前,在****区交通系统的网络信息系统中,部分业务系统是通过IPV4NAT技术实现交通局和下辖单位网络的互联互通,与互联网业务的访问也是通过NAT技术实现。
拓扑网络如下图:
图2-1****系统网络拓扑图
NAT技术的使用,虽然能解决IPv4地址的紧缺和网络自治区域间的互联互通,但也为网络的使用带来消极影响;
NAT是一种救急措施而非最终解决方案。
NAT网络的弊端如下:
●破坏的IP的端到端模型,增加网络复杂性,提高网络运维成本
●地址和端口转换需要额外处理,影响网络性能,降低流媒体业务质量
●保存连接状态,存在单点失效问题,降低了网络的可靠性
●面临非NAT友好应用问题,某些新业务需升级NAT设备
由于IPv4与IPv6协议的不兼容,引入IPv6技术关键在于即要保证原有IPv4业务的应用,同时又要考虑通过IPv6引入减轻IPv4地址不足所面临的压力。
因此产生了大量的IPv6演进方案,包括双栈技术、NAT444、DS-Lite、NAT64、IVI、6to4、4over6、6RD、6PE等多种解决方案。
具体采用哪种解决方案,需要结合****区交通局网络信息系统的现有情况及今后的业务场景需求,选择对应的IPv6演进策略。
没有任何一个技术可以解决所有问题,需要具体问题具体分析。
未来网络的最终模型必然是单栈IPv6网络已成为业界共识,因此在选择IPv6演进方案时,更多的需要考虑所选择的技术架构是需要符合未来的发展趋势,同时也可以避免多次升级所带来的各种问题。
受限于应用系统或终端局限等问题,不能在短时间大规模升级到IPv6,且大量业务仍是基于IPv4的业务应用,因此在未来一段时间,网络中主要的应用还是基于IPv4的。
为加快IPv6的演进,需要加快引进IPv6业务的进度。
目前,****局网络在IPv6部署演进中主要会面临三大挑战:
业务、终端与网络边缘。
由于网络边缘设备涉及到相对复杂的网络路由管理、安全、业务感知等功能,且会存在一定数量现网设备不具备软件升级支持IPv6的能力,会面临替换的问题,但相对来讲,在三大挑战中这是最容易解决的。
对于终端和业务部分而言,终端因涉及到规模庞大、应用软件种类多、总体成本高等原因,是IPv6网络演进的主要困难。
没有创新的应用也就难以为IPv6特色业务的开发和规模提供有效平台,整个IPv6演进就难以进入良性循环。
4IPv6网络演进
当前大量的网络是IPv4网络,随着IPv6的部署,很长一段时间是IPv4与IPv6共存的过渡阶段。
通常将IPv6的部署划分为以下个阶段:
图2-2IPv6的部署方案
4.1.1IPv6发展初期阶段
在IPv6网络部署初期,IPv6站点的规模不大,因此在IPv4网络中形成了一个个“IPv6孤岛”。
业务应用上以原有的IPv4应用为主,需要保证IPv6站点与IPv4网络之间的通信,以及IPv6站点之间的互连。
4.1.2IPv6与IPv4共存阶段
随着IPv6网络规模的扩大,纯IPv6网络与纯IPv4网络并存。
基于IPv6的传统业务逐渐开始大量部署,需要保证IPv6与IPv4之间的通信。
4.1.3IPv6主导阶段
纯IPv6网络最终形成,原有的IPv4网络大部分升级为IPv6,只剩下少数的IPv4站点成为“IPv4孤岛”。
此时适用于IPv6的各种新型业务开始成为主流业务。
5需要考虑的问题
在****区交通系统部署IPv6之前,我们首先要考虑部署的总体方针和策略:
5.1.1IPv6演进模式
在交通网中部署IPv6可以有全双栈模式和隧道模式。
全双栈模式组网是最理想的方案,不必为不同类型的用户单独部署网络配置,开销小,管理简单、IPv4和IPv6的逻辑界面清晰。
隧道模式属于过渡技术,不是最终的理想方案;
隧道两端点设备需要花费额外的系统开销。
5.1.2IPv6业务支持
如:
IPv6的过渡技术有手工隧道方式,自动隧道方式,有基于MPLSVPN技术的6PE方式,有基于网络地址转换技术的NAT-PT等等,IPv6的单播路由协议有OSPFv3,ISISv6,BGP4+等等,IPv6的组播路由协议有PIM-SM,PIM-SSM等等。
5.1.3IPv6可管理性
在本次网络建设后,应充分考虑网络部署IPv6的可管理及可维护性,要能够满足日常业务的需要和网络安全管理方面的需求。
5.1.4针对不同的网络环境进行建设
主干网络设备可以考虑直接扩容为全双栈模式,适当兼顾只支持IPv4协议栈的终端;
并可根据交通局业务的的实际情况,可以先建设部分双栈网络,其他部分采用隧道模式允许用户IPv6业务,逐步将不支持IPv6的设备进行换代升级。
综上所述,本次部署IPv6网络的时候,建议有条件的网络中采用全双栈部署,完成本次驻地网的大部分改造,其次根据现有交通网的实际业务应用情况,采用部分过渡技术,在不影响现有IPv4网络主要业务的条件下,使得交通专网中需要部署IPv6网络的地方能够通过隧道技术,接入业务服务区域或CERNET2。
6解决方案
7网络建设总体要求
1、安全性
严格遵循国家安全法规,从技术、管理角度,加强网络和信息的安全防,确保涉密信息安全,实现与非专网业务——如因特网业务的严格逻辑隔离,保障三级纵向专网的安全。
2、业务承载灵活性
在保证网络及信息安全的同时,还需兼顾业务承载、系统架构和数据交换实际需要,按照“强化业务网”的思路开展网络及应用系统建设。
3、提高资源利用率
按照统筹规划、统一布署、分步实施的原则,从全局出发,打破部门界限,实现三级交通运输系统各部门的互联互通和资源共享,使交通系统已有的各类信息资源发挥出最大效益,避免重复建设,杜绝资源浪费。
8交通电子政务网络划分
根据省政府关于电子政务建设的有关要求,全省交通电子政务网络分为电子政务网和电子政务外网。
****电子政务网络结构示意图
从上图可以看出,交通电子政务网络逻辑上分为两套网络,即电子政务网和电子政务外网,物理上分为三套网络,即涉密网、交通业务专网和外网。
电子政务网与电子政务外网须物理隔离,交通行业业务专网和交通行业外网之间应采用安全等级较高设备(如防火墙、网闸)进行隔离,提高网络之间的安全性。
9方案说明
由于现有网络为IPv4网络且具备相当的用户规模,如果对全网设备进行升级将面临投资较大、网络重新规划、业务整合等一系列的问题。
针对这种情况,建议采用升级现有IPv4网络的方案。
9.1.1组网思路
在现有IPv4网络下分散着若干IPv6/IPv4双栈主机,为使这些主机接入到IPv6网络当中且对现网的原有应用的影响最小,可首先将交通网络的核心设备(核心交换机)升级为双栈,网络的其他部分保持不变。
核心设备完成升级后,可分别提供至IPv4网络和IPv6网络的出口;
IPv6/IPv4双栈主机可以采用ISATAP隧道的方式直接接入核心交换机。
对于原有的IPv4用户不造成任何影响,同时实现了IPv6用户的接入(如下图)。
核心设备应考虑节点冗余,因此建议逐步完成对所有核心设备的升级。
Ø
IPv6用户的接入方式
在节点1下,由于网络中汇聚层依然是原有的IPv4交换机,接入层是原有的IPv4交换机或L2交换机,为完成IPv6用户到核心交换机的连接,可采用ISATAP隧道的方式。
在节点2和节点3下,用户通过双栈方式或IPv6overIPv4隧道方式完成连接。
业务实现分析
通过升级,原有的IPv4网络下的IPv4用户的业务不受影响。
新增的IPv6/IPv4双栈用户可以正常访问IPv6网络和IPv6业务以及IPv4网络和IPv4业务。
在IPv6建设初期,IPv6业务资源相对较少,因此需要考虑纯IPv6用户对于现有IPv4业务资源的访问。
同时,IPv4用户也会有访问IPv6业务资源的需求。
为实现这两种可能的业务互访的需求,需要考虑如何放置NAT-PT设备。
9.1.2广域网IPv6组网
广域网组网侧重于“IPv6孤岛”之间跨越广域网的连接,如,交通局总部与下辖单位、下辖段位之间通过IPv6连接等网络情况,都可适用。
企业分支节点接入
若新建部分IPv6分支,为了实现与分支节点的IPv6连接,可将分支机构作为汇聚节点的路由器设备升级为双栈。
这样,原有的IPv4分支与交通局的连接保持不变,新建的IPv6分支节点出口设备采用双栈路由器,可接入到交通局的双栈设备上。
根据实际组网需要,分支与交通局之间可运行OSPFv3路由协议。
9.1.3IPv6地址规划
IP地址规划主要涉及到网络资源的利用的方便有效的管理网络的问题,IPv6地址有128位,其中可供分配为网络前缀的空间有64bit。
按照最新的IPv6RFC3513,IPv6地址分为全球可路由前缀和子网ID两部分,协议并没有明确的规定全球可路由前缀和子网ID各自占的bit数,目前APNIC能够申请到的IPv6地址空间为/32的地址。
IPv6的地址使用方式有两类,一类是普通网络申请使用的IP地址,这类地址完全遵从前缀+接口标识符的IP地址表示方法;
另外一类就是取消接口标识符的方法,只使用前缀来表示IP地址。
IP地址的分配和网络组织、路由策略以及网络管理等都有密切的关系,IPv6地址规划目前尚没有主流的规则,具体的IP地址分配通常在工程实施时统一规划实施,可以遵循一些分配原则:
●地址资源应全网统一分配
●地址划分应有层次性,便于网络互联,简化路由表
●IP地址的规划与划分应该考虑到网络的发展要求
●充分合理利用已申请的地址空间,提高地址的利用效率。
IP地址规划应该是网络整体规划的一部分,即IP地址规划要和网络层次规划、路由协议规划、流量规划等结合起来考虑。
IP地址的规划应尽可能和网络层次相对应,应该是自顶向下的一种规划。
IPv6的地址规划时考虑三大类地址:
1、公共服务器地址,如DNS,EMAIL,FTP等。
2、网络设备互联地址和网络设备的LOOPBACK地址。
根据IETFIPv6工作组的建议IPv6网络设备互联地址采用/64的地址块。
IPv6网络设备的LOOPBACK地址采用/128的地址。
3、用户终端的业务地址。
此外由于目前网络设备的IPv6MIB信息的获取和OSPFv3中ROUTERID等均要求即使是一个纯IPv6网络也必须要求每个网络设备拥有IPv4地址。
所以一个纯IPv6网络也必须规划IPv4地址(仅需要网络设备互联地址和网络设备的LOOPBACK地址)。
9.1.4IPv6路由规划
路由协议分为域路由协议和域间路由协议,目前主要的路由协议都增加了对IPv6的支持功能。
从路由协议的应用围来看,OSPFv3、RIPng和IS-ISv6适用于自治域部路由,为部网关协议;
BGP4+用来在自治域之间交换网络可达信息,是外部网关协议。
域路由协议选择
支持IPv6的部网关协议有:
RIPng、OSPFv3、IS-ISv6协议。
从路由协议标准化进程看,RIPng和OSPFv3协议已较为成熟,支持IPv6的IS-IS协议标准草案也已经过多次讨论修改,标准正在形成之中,而且IS-ISv6已经在主流厂家的相关设备得到支持。
从协议的应用围的角度,RIPng协议适用于小规模的网络,而OSPF和IS-IS协议可用于较大规模的网络。
对于大规模的IP网络,为了保证网络的可靠性和可扩展性,部路由协议(IGP)必须使用链路状态路由协议,只能在OSPF与IS-IS之间进行选择,下面对两种路由协议进行简单的对比。
目前在IPv4网络量使用的OSPF路由协议版本号为OSPFv2,能够支持IPv6路由信息的OSPF版本称为OSPFv3,能够支持IPv6路由信息交换的ISIS路由协议称为IS-ISv6。
OSPFv3:
OSPFv3与OSPFv2相比,虽然在机制和选路算法并没有本质的改变,但新增了一些OSPFv2不具备的功能。
OSPFv3只能用来交换IPv6路由信息,ISISv6可以同时交换IPv4路由信息和IPv6路由信息。
OSPF是基于IP层的协议,OSPFv3是为IPv6开发的一套链路状态路由协议。
大体与支持IPv4的OSPFv2版本相似。
对比OSPFv2,在OSPFv3中有以下区别:
虽然OSPFv3是为IPv6设计的,但是OSPF的RouterID、AreaID和LSALinkStateID依然保持IPv4的32位的格式,而不是指定一个IPv6的地址。
所以即使运行OSPFv3也需要为路由器分配IPv4地址。
协议的运行是按照每一条链路(Per-link)进行的,而不是按照每个子网进行的(per-subnet);
把地址域从OSPF包和一些LSA数据包中去除掉,使得成为网络层协议独立的路由协议:
与OSPFv2不同,IPv6的地址不再出现在OSPF包中,而是会在链路状态更新数据包中作为LSA的负载出现;
Router-LSA和Network-LSA也不再包含网络地址,而只是简单的表示拓扑信息;
邻居路由器的识别将一直使用RouterID,而不是像OSPFv2一样在某些使用端口会将端口地址作为标识。
Link-Local地址可以作为OSPF的转发地址。
除了Virtuallink必须使用Globalunicast地址或者使用Site-local地址。
去掉了认证信息。
在OSPFv3中不再有认证方面的信息。
如果需要加密,可以使用IPv6中定义的IPAuthenticationHeader来实现。
9.1.5基于真实IPv6源地址的用户标识和认证服务
基于真实IPv6源地址的用户标识和认证服务即保证用户的IPv6地址的使用必须是经过授权的,具体应用与场景相关,可分为路由转发流量和本地接入流量的源地址验证。
1、路由转发流量:
交通局网络转发,可采用OSPFv3或ISIS等,ISIS可以通过MD5加密,OSPF可以使用IPSEC加密,保证IPv6路由来源的可靠性,然后通过URPF或ACL来检查报文的源地址是否来源于正确的端口。
2、本地接入流量:
此环境下和接入层组网、地址分配方式、接入设备密切相关。
接入层典型的组网由客户端(主机Host)、接入设备(NAS)、AAA服务器组成。
地址分配包括无状态地址分配(ND,以及扩展的SEND、PrivacyExtensions)、有状态地址分配(DHCP)、手工配置等,采用有状态分配地址,组网中要加入DHCP服务器。
接入设备NAS有路由器、交换机、AC/AP等,对应的接入链路层包括ADSL、Ethernet、WiFi等,其上都可以直接承载IPv6数据报文。
如果二层本身就可以隔离或加密,则部署较简单,只需要在认证环节确保安全、然后将二层信息与IPv6地址进行绑定即可,否则需要考虑后续的每报文的安全性处理。
接入认证协议有802.1x、PPPoE、PORTAL、802.11i、WAPI等,可以将MAC地址、端口与IPv6地址绑定,无线协议是共享端口的,可以将IPv6地址与二层传输密钥绑定。
绑定的过程,视地址分配方式而不同,手工配置只能静态绑定,ND/DHCP则可以动态绑定。
对于ND协议,其安全性需要提高,可以采用类似ARP的方案来补充:
ND源抑制功能、ND防IP报文攻击功能、ND的主动确认、源MAC地址固定的ND攻击检测、ND报文源MAC一致性检查、ND报文限速、授权ND、NDDetection、NDProxy等。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- IPv6 网络 演进 整改 解决方案 设计
![提示](https://static.bdocx.com/images/bang_tan.gif)