IPv6过渡解决方案.ppt

1 IPv6过渡解决方案 nIPv6过渡技术需求分析 n传统IPv6过渡技术 n热点IPv6过渡技术 nH3C行业IPv6解决方案 nH3C的IPv6产品规格 nH3C的IPv6实践应用 2 NATs necessary for IPv6, says IETF chair Housley holds out hope that NATs wont be in the Internet forever (Network World)22 July, 2008 09:28 For the Internet to continue growing, the bigger address space offered by IPv6 is needed. The original designers of IPv6 expected every host and router to begin running both IPv4 and IPv6 several years ago. This strategy would have resulted in a gradual transition, with all hosts and routers being able to use IPv6 long before IPv4 address allocations became a problem. However, the economic incentives were not in place to encourage IPv6 implementation and deployment. As a result, we need the capability to translate between IPv4 and IPv6 until every host and router supports IPv6. IPv6过渡技术的重要性 理想与现实之间的差距： 理想： 设计不兼容； “双栈”平滑演进; 实际： “双栈”非强制执行的技术标准； 4/6转换技术必不可少； 3 在过渡到IPv6之前：首先要解决IPv4地址马上要枯竭的问题： 目前，全球43 亿IPv4 地址只剩下2.5 亿(6%)，并以每年2 亿的速度锐减，预计在2011 年底前耗尽。 中国电信现有上亿规模的宽带和移动用户，但仅有7000 余万的IPv4地址. 紧迫性 2010.06.30 2010.04.30 可用IPv4地址资源池的消耗速度正在加快。 4 IPv4IPv6 双栈网 络 双栈终 端 双栈 Internet 消耗IP地址的三大类设备： 终端规模； 【 TechSpot 】 报道，1月22日，全球网络 监控服务公司平道姆（Pingdom）发布了 一份2009年全球互联网活动情况报告。截 至2009年9月，全球共有17.3亿亿互联联网用户户 ，比2008年增长了18%。 CP/SP规模; 【赛迪网讯】2010年1月26日消息，据国外 媒体报道，瑞典互联网流量监测机构 Pingdom近日公布的数据显示，截至2009 年，全球网站数量已经经达到2.34亿亿家，而 .com域占8180万个。 网络规模； 按照每个终端用户1001000的比例收敛 ，Internet网络设备络设备 的规规模在百万/千万的 量级级； 解决IPv4短缺问题如何着手 终端用户消耗了最大数量的IPv4地址，并且最不可控， 是过渡技术关注的重点; 5 目录 nIPv6过渡技术需求分析 n传统IPv6过渡技术 n热点IPv6过渡技术 nH3C行业IPv6解决方案 nH3C的IPv6产品规格 nH3C的IPv6实践应用 6 IPv6的部署阶段 IPv6孤岛 IPv6孤岛 IPv6孤岛 协议转换 IPv4 Internet IPv6 Internet IPv4孤岛 IPv4孤岛 IPv4 Internet IPv6孤岛 IPv6孤岛 IPv6 Internet IPv6的部署阶段可以大致分为三个阶段 ： lIPv6发展初期阶段： IPv4占主导地位，IPv6以“孤岛”的形 式存在，采用IPv6 over IPv4隧道技术将 IPv6孤岛互连。 lIPv6与IPv4共存阶段： IPv6规模扩大，出现IPv6骨干网络， IPv4的业务依然大量存在，IPv6与IPv4 间的互访需要协议转换技术。 lIPv6占主导地位阶段： Internet的骨干全部为IPv6，IPv4成为“ 孤岛”，需要IPv4 over IPv6隧道实现 IPv4孤岛互连。 7 IPv6孤岛互联技术 采用隧道技术来完成互通 IPv6报文作为IPv4的载荷，或由 MPLS承载 主要隧道技术包括： 手工隧道 GRE隧道 自动隧道 6to4隧道 ISATAP隧道 6PE l优点 充分利用现有网络 骨干网内部设备无须升级 l缺点 额外的隧道配置 效率降低 8 GRE隧道技术 GRE隧道技术 IPv6报文被包含在GRE报文中作为GRE的载荷 优点 通用性好 技术成熟，易于理解 缺点 维护复杂 IPv4报头IPv6报头IPv6有效数据 IPv4有效数据 GRE 报头 9 GRE隧道技术的流程 发送方与接收方都是双栈设备 隧道已预先建立好 发送方封装报文，接收方解封装 IPv6孤岛IPv6孤岛 IPv4网络 隧道 双栈 双栈 IPv6主机IPv6主机 IPv6报头+数据 IPv6报头+数据 IPv6报头+数据 IPv4报头 源： 目的： GRE报头 10 手动隧道技术 手动隧道技术 IPv6报文被包含在IPv4报文中作为IPv4的载荷 同GRE隧道有类似的优缺点 IPv4报头IPv6报头IPv6有效数据 IPv4有效数据 11 自动隧道技术 自动隧道技术 目的地址为IPv4兼容IPv6地址，包含的IPv4地址即为隧道末端 IPv4兼容IPv6地址: 0:0:0:0:0:0:a.b.c.d 适用于不经常性的IPv6节点连接需求 优点 不需要为每条隧道预先配置 维护方便 缺点 目的地址要求是IPv4兼容IPv6地址 12 自动隧道技术的流程 发送方与接收方都是双栈设备 发送方在发送时根据目的地址建立隧道 发送方封装报文，接收方解封装 IPv4网络 隧道 双栈设备 双栈设备 IPv6报头+数据IPv6报头+数据IPv4报头 IPv4地址： IPv6地址：: 源： 目的： 源：: 目的：: IPv4地址： IPv6地址：: 13 6to4隧道技术 6to4隧道技术 目的地址为6to4地址，包含的IPv4地址即为隧道末端 6to4地址: 2002:a.b.c.d:xxxx:xxxx:xxxx:xxxx:xxxx 可通过6to4中继路由器，使6to4网点连接到大的纯IPv6网络 优点 不需要为每条隧道预先配置，维护方便 缺点 整个IPv6网点使用特殊的6to4地址 6to4地址 14 6to4隧道技术的流程 6to4网络 IPv4网络 隧道 6to4边缘 IPv6主机 IPv6主机 IPv6报头+数据 IPv6报头+数据 IPv6报头+数据 IPv4报头 6to4网络 6to4边缘 2002:0901:0203:/48 2002:8001:0203:/48 纯IPv6网络 6to4中继 3FFE:ABCD:/48 源： 目的： 同自动隧道技术类似 6to4中继 通往纯IPv6网络的网关 15 ISATAP隧道技术 ISATAP隧道技术 连接IPv4网点内部的IPv6主机和IPv4/IPv6双栈路由器 将IPv4网点作为一个NBMA链路，在IPv4报文中封装IPv6报文 优点 IPv4网点内部的IPv6主机可自动获得IPv6前缀 IPv6网络 IPv4网络 双栈 v4/v6主机IPv6主机 IPv4地址： IPv6地址：1:5EFE: ND协议可跨网段进行 IPv4地址： IPv6地址：1:5EFE: 16 6PE/6VPE 通过IPv4或MPLS网络连接多个IPv6 孤岛，使用BGP交换IPv6可达信息 6PE中，IPv6网络可被看作类似IPv4 VPN的一个网络，多个IPv6孤岛属于同一VPN； 6VPE中，多个IPv6网络可以划分到不同IPv6 VPN中。利用VPN机制在PE之间建立隧道 连接,可以充分利用已有MPLS或VPN网络 在BGP进行路由交换时，6VPE比6PE多了VPN标记。 MPLS/IPv4网络 IPv4 VPN 纯IPv6网络 IPv6 VPN IPv6 VPN IPv6 IPv4 VPN IPv6 17 NAT-PT原理 NAT-PT的工作原理 类似于传统NAT，但是将IPv6地址和IPv4地址互相转换，另加上协议 转换 通过中间的NAT-PT协议转换服务器，实现纯IPv6节点和纯IPv4节点间 的互通 NAT-PT服务器分配IPv4地址来标识IPv6主机 NAT-PT服务器向相邻IPv6网络宣告96位地址前缀信息，用于标识IPv4 主机 优点 只需设置NAT-PT服务器 缺点 资源消耗较大，服务器负载重，NAT-PT设备是性能瓶颈 18 NAT-PT种类 静态NAT-PT NAT-PT服务器提供一对一的IPv6地址和IPv4地址的映射 配置复杂，使用大量的IPv4地址 动态NAT-PT NAT-PT服务器提供多对一的IPv6地址和IPv4地址的映射 采用上层协议复用的方法 NAT-PT DNS ALG 动态NAT-PT与DNS ALG联合使用，转换DNS请求 可利用原有的DNS服务器 19 静态NAT-PT转换过程 IPv6网络 IPv6主机IPv4主机 IPv4网络 映射地址： =1:1 2:2 = IPv6报头+数据IPv4报头+数据 1:1 NAT-PT转换服务器 源： 1:1 目的：2:2 源： 目的： 源： 目的： 源 ： 2:2 目的： 1:1 20 动态NAT-PT转换过程 IPv6网络 IPv6主机 IPv4主机 IPv4网络 IPv4地址池 - 映射地址：1:1 = =prefix: IPv6报头+数据IPv4报头+数据 1:1 NAT-PT转换服务器 源： 1:1 目的：prefix: 源： 目的： 源： 目的： 源：prefix: 目的： 1:1 21 NAT-PT DNS ALG转换过程 IPv6网络 IPv6主机 IPv4主机 IPv4网络 IPv4地址池 - 映射地址：1:1 = =prefix: =prefix: Pc1:1:1 Pc2: NAT-PT转换服务器 源： 1:1 目的：prefix: 源： 目的： 源： 目的： 源：prefix: 目的： 1:1 IPv4 DNS Server 源： 1:1 目的：prefix: Whos Pc2(type AAAA) 源： 目的： Whos Pc2(type A) 源： 目的： Pc2 is (type A) 源：prefix: 目的： 1:1 Pc2 is prefix: (type AAAA) 22 目录 nIPv6过渡技术需求分析 n传统IPv6过渡技术 n热点IPv6过渡技术 nH3C行业IPv6解决方案 nH3C的IPv6产品规格 nH3C的IPv6实践应用 23 过渡技术汇总 序号HostNetworkCP/SP技术分类具体技术 分析 14/64/64/6双栈双栈 无法解决运营商IPv4地址短 缺问题 2444X424 NAT/NAPT NAT444 临时措施，无法过渡到IPv6 3446X426 NAT-PT(RFC2766)建议有访问IPv6资源的 IPv4主机强制转换到IPv6； 4466 5644X624 有状态类： NAT64(IETF) 无状态： AFT(IVI) 过渡必须技术； 分有状态与无状态两大类别 ； 6664 7646 X646 各种6over4隧道技术 6rd（IETF ） 基于IPv4网络快速部署 IPv6业务; 8464 X464 孤岛互联： 4over6隧道 转换技术： DS-Lite（IETF） 纯4 over 6的隧道技术节省 不了IP地址; NAT464转换技术目前大家 关注重点； 9666无 24 转换技术分析NAT444 优点：临时解决IPv4短缺问题； 缺点：运营商网络IPv4地址规划， IPv4路由昏乱，不好管理； 对运营商来说，无法过渡到IPv6； X424类技术 25 转换技术分析有状态AFT(NAT64) 优点： 缺点：有状态连接，NAT64网关需要保留6、4地址池以及映射关系; 其它技术：NAT-PT X624类技术 26 IVI技术背景 IVI使用实现了IVI功能的IVI路由器连接IPv4与IPv6网络，并在IVI路由器上进行IPv4与IPv6数据包的对 译，以实现互访，同时又不对原IPv4和IPv6网络造成影响。在IVI路由器上实现的IVI功能主要有两个 ： 一个是地址映射， 即通过统一的规则实现IPv4地址与IPv6地址的一一映射，以进行地址的翻译； 另一个是协议翻译， 即根据标准规定，实现IPv4/ICMPv4协议和IPv6/ICMPv6协议各字段的对译，同时更新 TCP/UDP协议的相关字段，完成完整的数据包翻译操作。 IVI的初衷是解决IPv4孤岛通过IPv6骨干网的互联问题； 27 IVI地址映射 (1) 根据IPv6地址的分配办法，绝大部分服务提供商均有大于或等于/32 的IPv6地址前缀，IVI机制即以该/32地址前缀作为翻译过程中的地址 前缀。 (2) 3239的8个bit为全1。 (3) 4072为32位IPv4地址的1：1映射； (4) 72127全零； 28 转换技术分析无状态AFT(IVI) 优点：X64网关无状态，不用保留地址映射关系，规模容易扩展； 缺点：对IPv6的主机有严格的地址规划要求， 要求内嵌公网IP地址 ，无法解决IPv4地址短缺的问题。 X624类技术 29 1:N IVI技术 优点：与1:1的IVI技术相比，能达到节省IPv4地址的目的； 缺点：IPv6主机地址规划比较复杂; 非IVI IPv6主机还需要在接入侧部署第二个IVI网关（dIVI）; 1：N XLATE网关没有映射池，但还要进行4/6协议转换; 主机通过 A+P地址池 共享同一个 公网IP地址 dIVI 转换网关 30 IVI技术总结 1、IVI技术核心内容较少， 主要就是地址映射规则的定义； 2、IVI并不能独立组网： 协议翻译部分遵从SIIT； 没有解决ALG问题，在部署时仍然需要ALG； 3、IVI地址浪费严重： 实际上只有前32位可以给IPv6网络使用。32位是从APNIC申请的，其它8位 运营商是全F， IVI地址后面全部为0，地址空间浪费严重; 4、在X624地址转换中的缺陷： 1：1的IVI技术， 能做到无状态，但需预先规划IPv6地址，管理工作量大； 1：N的IVI技术， 需要在IPv6接入侧再增加一个针对IPv6地址的转换网关， 是有状态的，丧失了优势； 31 DS-Lite组网技术 CPE CPE CPE N-PE IPv6接入网 IPv4 InternetIPv6 Internet IPv4 over IPv6 tunnel IPv4/IPv6主机 IPv6主机IPv4主机 解隧道封装后N- PE对私网报文做 NAPT转换，转成 公网IPv4 私网IPv4报文 封装进入IPv6 隧道 X464类技术 先基于NAPT,将公网 IPv4转化为私网IPv4， 再将报文转发至CPE的 隧道 解除IPv6隧道 ，报文转发至 用户 如何节约IPv4？ IPv4主机采用私网IP地址规划； 接入网采用IPv6， 网络设备不需要跑双栈; N-PE设备下所有的C-PE可以共享同一个NAPT地址池; NAPT Tunnel Tunnel 32 DS-Lite(A+P) X464类技术 区别： 把N-PE上做的NAPT转换功能分散到下面各个CPE设备上; 本方案相比DS-Lite的优点： N-PE设备无状态，负担轻，容易实现高性能；方便做备份与负载分担； 下行IPv4流量 基于Address + Port的策略 路由进入IPv6 隧道 对私网IPv4做 NATPT转为公 网IPv4地址后 再入IPv6隧道 CPE CPE CPE N-PE IPv6接入网 IPv4 InternetIPv6 Internet IPv4 over IPv6 tunnel IPv4/IPv6主机 IPv6主机IPv4主机 解除IPv6隧道 ，做NAPT,把 公网IPv4转为 私网IPv4 上行流量直接 转往公网 Tunnel NAPT Tunnel 33 DNS/DHCP Server NPE 1. CPE上电，从NPE获取设备WAN口IPv6地址， 以及 用于IPv4地址转换的公网IPv4 A+P地址池; NPE同时创 建一条基于IPv4A+P地址策略的4over6隧道到CPE设备 IPv4 Host 私网IPv4 IPv6 TUNNELIPv4公网 IPv4主机访问IPv4应用: DS- Lite(A+P) X464转换场景 PE-AGG CPE IPv6城域网 IPv4 Internet 2. Host完成DNS解析（DNS可任意部署， 过程忽略）， 向CPE发送一个IPv4报文 3. CPE首先进行NAPT转化；把Host的私网IPv4地址与 端口号修改为A+P地址池中的数值,并保留映射关系; CPE把报文封装进入IPv6隧道，并发送至NPE 4. NPE剥掉IPv6隧道，将报文转发至IPv4 Internet 5. IPv4应用的回应报文 6. NPE基于A+P的策略进行策略路由，进IPv6隧道 7. CPE剥掉IPv6隧道， 根据映射表， 对IPv4进行A+P地址转换 34 DS-Lite(A+P)如何减少连接状态 CPE A CPE B CPE C N-PE IPv6接入网 IPv4 InternetIPv6 Internet IPv4/IPv6主机 IPv4主机IPv4主机 N-PE对下行流量需要维护的表项（可事先 创建）： ACL1: if source IP = 0 AND 0= port = 255; Forward IPv4 to IPv6 tunnel to CPEA ACL2: if source IP = 0 AND 256= port = 511; Forward IPv4 to IPv6 tunnel to CPEB ACL3: if source IP = 0 AND 512= port = 767; Forward IPv4 to IPv6 tunnel to CPEC CPE A NAPT地址池： IPv4：0 Port 范围（0255） CPE B NAPT 地址池： IPv4：0 Port 范围（256511） CPE C NAPT 地址池： IPv4：0 Port 范围（512767） N-PE入tunnel的表项根据CPE设备来建立 ，N-PE不需要像NAPT设备那样为每个 Host发起的连接建立连接状态表： 无状态好处： 设备冗余保护与负载分担容易实现； 可实现高性能处理; 不容易遭到针对状态连接的攻击，安全 性较高; 35 运营商过渡技术总结 过渡技术必不可少； 传统过渡技术分类： 双栈、孤岛互联、转换； 热点过渡技术： 好的过渡技术要结合运营商实际业务场景， 综合考虑过渡技术； 目前为止，没有一种过渡技术解决所有问题， 运营商也在抓紧试点； DS-Lite， IVI ，NAT444, NAT64等被关注； 36 目录 nIPv6过渡技术需求分析 n运营商IPv6过渡技术介绍 nH3C运营商IPv6解决方案 nH3C行业IPv6解决方案 nH3C的IPv6产品规格 nH3C的IPv6实践应用 37 IPv6网络升级建议 评估现有网络中的产品制定迁移计划 评估需要升级到IPv6 的服务 制定地址分配方案 部署后进行后续 必要的培训 建立IPv6的测试环境 IPv6的 网络部署 预先计划，逐步升级预先计划，逐步升级 38 数据中心IPv6建设方案 数据中心虚拟化 数据中心存储与灾备 数据中心应用优化 数据中心高可用 数 据 中 心 运 维 管 理 前 端 网 络络 后 端 网 络络 核心交换机FirewallIPS汇聚交换机接入交换机 WAN优化 防毒卡 应用优 化 安全管理 网管监控日志分析磁盘阵列 存储 应用优化网络 虚拟化平台 数据中心安全 u核心层设备升级为双栈，IPv4/IPv6服务器/双栈服务器分区部署 u采用IRF技术整合核心层和接入层设备，提高网络的可靠性 u使用IPS/FW/LB板卡提高安全性，通过安全虚拟化特性控制业务 u支持自动部署和配置，服务器即连即用 H3C数据中心解决方案 39 双栈数据中心建设 n应用部署方式1：从WEB层到数据库层建 设端到端的IPv6服务器 n应用部署方式2：仅升级前端WEB层，与 后端的中间件及数据库通信仍然采用IPv4， 这是一种过渡的服务器部署方式 IPV4应用 IPV6应用 IPV4应用 IPV6应用 n高性能：双栈设备组网，建设高性能 的双栈数据中心 n高安全：使用双栈防火墙配合双栈应 用的隔离 n高可靠：使用H3C的IRF2技术满足数 据中心建设的高可靠性要求 H3C S12500H3C S12500 双栈数据中心双栈数据中心 核心交换机核心交换机 40 园区网IPv6建设方案 H3C虚拟园区网解决方案 u网络 u用户侧采用双栈建设 u网络承载层从接入层，汇聚层到核心层采用IRF技术横向整合 u采用MPLS VPN及6VPE技术纵向隔离，实现网络路径虚拟化 u业务 u终端准入认证，智能联动安全管理 u用户、资源、业务统一管理 41 园区网IPv6建设方案 双栈核心交换机 CERNET CERNET2 双栈汇聚交换机 接入层交换机 IPv4服务器区 NAT-PT IPv6服务器区 IPv6服务器一般 用于纯IPv6用户 或双栈用户访问 可以不部署NAT-PT IPv4提供服务占 大多数，需要保 证所有的用户都 能够进行访问 双栈出口路由器 双栈用户进行接入 从出口/核心/汇聚 满足用户接入要求 无线用户通过无线 控制器接入IPv6 汇聚层交换机上通 过扩展无线控制器 插卡接入无线用户 汇聚层交换机上扩 展防火墙插卡提升 园区网安全水平 42 广域网IPv6建设方案 面向业务的网络 精细化QoS HQoS、TE、VOQ 广域EAD准入控制 网络融合安全插卡 广域网加速 组件化的统一管理平台 基于TR069的分支管理 SLA，iAR智能报表 面向业务的架构 模型可持续发展 扁平化、区域中心、双 平面 面向业务的应 用可持续发展 IPv4/v6，单播/组播 面向业务的广域 网虚拟化 L3/L2 MPLS VPN、VPE 面向业务的网 络高可靠性 BFD、GR、NQA H3C 广域网 解决方案 一体化业务安全和智能 IPv4/V6互联的网络 面向业务的统一管理 u使用双栈、NAT以及隧道等技术实现IPv4和IPv6网点的互联互通 u运营级IPv4地址转换技术，有效减少IPv4公网地址的使用 43 目录 nIPv6过渡技术需求分析 n运营商IPv6过渡技术介绍 nH3C运营商IPv6解决方案 nH3C行业IPv6解决方案 nH3C的IPv6产品规格 nH3C的IPv6实践应用 44 H3C的IPv6技术发展 MSR系列路由器 获得信产部IPv6入网证 S9500通过 IPv6 Phase II认证 MSR系列、 S7500E通过 IPv6 Phase II认证 S5500/S5510/S3610 通过 IPv6 Phase II认证 开始Comware V5 IPv6软件平台开发 发布Comware V5 IPv6软件平台 30余个高校 陆续开通IPv6 S9500获得信产部IPv6入网证 MSR IPv6路由器发布 S7500E 获得 信产部IPv6入网证 全系列网络产品 通过Tolly测试 CERNET2驻地网 S7500E成功部署 2003.112003.11 2006.62006.6 2006.72006.7 2006.92006.9 2006.112006.11 2007.12007.1 2007.32007.3 2007.42007.4 2007.122007.12 20082008 20092009 全国高校IPv6 驻地网项目份额 近60% 2010 2010 集成H3C的IRF,多业务 设备提供更加智能，可靠 弹性的IPv6网络 45 H3C的IPv6核心技术 u硬件加速技术：ASIC/NP/FPGA 专利号专利中文名称 200610142815.9一种支持IPv6业务的方法及其应用的交换设备 200710119887.6建立IPv6隧道的方法、IPv6隧道通信方法及IPv4边缘设备 200710121819.3防止IPv6报文攻击的方法及网络设备 200810000774.9实现隧道边缘设备IPv6路由信息自动学习的方法的系统 200810147001.3防止IPv6数据报文攻击的方法、装置和交换路由设备 200810224468.3在6to4网络间转发IPv6组播报文的方法及6to4设备 200910085817.2IPv6 over IPv4隧道切换方法及设备 200910086128.3IPv6网络中邻居表保护方法及邻居表保护装置 200910143921.2一种防止邻居发现协议报文攻击的方法及装置 200910086572.5一种防止伪造报文攻击的方法和中继设备 200910162577.1一种IPv6网络中发送IPv4流量的方法和装置 。 。 。 uIPv6专利申请数超过50件 46 H3C的IPv6规格-路由器 基本功能IPv6 ND、IPv6 PMTU、双栈转发、 IPv6 ACL、ICMPv6、DHCPv6 Server/Proxy 隧道技术IPv6手动隧道、IPv6-over-IPv4 、 GRE隧道、IPv4兼容IPv6自动隧道、 6to4隧道、ISATAP隧道、6PE、DS- Lite NATNATPT，NAT64 、IVI(1:1) 路由静态路由，RIPng，OSPFv3，IS-ISv6 ，BGP4+ 组播协议MLDv1/v2、PIM6-DM、PIM6-SM、 PIM6-SSM SR & MSR系列