（通信与信息系统专业论文）翻译网关natpt及协议翻译模块的设计与实现.pdf

摘要 i p v 6 是i e t f 制定的新一代网际协议，以取代目前地址日渐短缺的i p v 4 协 议。尽管p v 6 能够解决地址匮乏的问题，但是从i p v 4 过渡到i p v 6 还需要很长 一段时间，在此期间，所有新增的球v 6 网络都需要与现存的d v 4 网络通信， 而n a t - p t 就是一种解决纯i p v 6 网络与纯i p v 4 网络相互通信的过渡机制。 n a t - p t 既要执行地址翻译，还要进行协议翻译，其中n a t 对i p v 4 地址和 i p v 6 地址进行相互翻译，p t 按照语义等价的原则对d v 4 报文和i p v 6 报文进行 相互翻译，另外，n a t - p t 与相应的a l g 结合使用，使得口v 4 和i p v 6 应用程 序之间可以通信，例如d n s 和f t p 等。 使用n a t - p t 作为过渡机制的一个优点是，现有主机无需任何改变，因为 n a t - p t 的配置都是在n a t - p t 网关上进行的。i p v 4 用户可以组建一个i p v 6 网 络，通过使用n a t - p t ，无需对现有网络进行任何改变就可以相互通信。 本课题着力于对n a t p t 基本功能的实现，包括地址翻译、协议翻译和 d n s a l g ，并在实现的过程中，对基于s i i t 的协议翻译算法中的疏漏进行了 完善，同时，对n a t - p t 的安全性问题进行了分析并提出改进的建议。 本文首先介绍了几种i p v 6 的过渡技术，并对各自的性能进行了分析和对 比，然后仔细分析了n a t - p t 技术的原理和通信过程，并在此基础上提出 n a t - p t 的实现方案，文章最后详细介绍了本人在课题中所作的工作，即协议 翻译模块的实现，其中包括i p 口v 6 报文的翻译、i c m p i c m p v 6 报文的翻译以 及对上层协议报文头部的修改。通过这一部分的介绍，读者可以全面了解网络 流量通过n a t - p t 网关时，报文从数据链路层到传送层过程中的改变，从而理 解n a t - p t 如何使得口v 4 主机与口v 6 主机之间能相互通信。 关键词：i p v 6 ，过渡机制，n 加印t ，d n s a l g ，协议翻译，s i i t 。 a b s t r a c t l p v 6i st h en e w g e n e r a t i o ni n t e r n e tp r o t o c o ld e s i g n e db y t h ei e t ft or e p l a c et h e c u r r e n tv e r s i o no ft h ei n t e m e tp r o t o c o l ，i p v 4 m o s to ft o d a y 7 sn e t w o r k su s ei p “， b u ti ti s b e g i n n i n g t oh a v ep r o b l e m s ，e s p e c i a l yi t s g r o w i n gs h o r t a g e o fi p v 4 a d d r e s s e s ，a l t h o u g h p v 6s o l v e sa d d r e s s i n gi s s u e sf o rc u s t o m e r s ，al o n gt r a n s i t i o n p e r i o di sl i k e l yb e f o r ec u s t o m e r sm o v e t oa ne x c l u s i v ei p v 6n e t w o r ke n v i r o n m e n t d u r i n gt h et r a n s i t i o np e r i o da n yn e wi p v 6 - o n l yn e t w o r k sw i l l n e e dt oc o n t i n u et o c o m m u n i c a t ew i t he x i s t i n gi p v 4n e t w o r k s n a t - p ti sat r a n s i t i o nm e c h a n i s mt ob e d e s i g n e d t oa l l o wd i r e c tc o m m u n i c a t i o nb e t w e e n i p v 6 一o n l y n e t w o r k sa n d p v 4 - o n l yn e t w o r k s t h et e r mn a t _ p ts t a n d sf o rn e t w o r ka d d r e s st r a n s l a t i o na n dp r o t o c o l t r a n s l a t i o n n a tr e f e r st ot r a n s l a t i o no fa ni p v 4a d d r e s si n t oa ni p v 6a d d r e s sa n d v i c e - v e r s aa n dp ts t a n d sf o rt h et r a n s l a t i o no ft h ei p v 4p a c k e ti n t oas e m a n t i c a l l y e q u i v a l e n ti p v 6p a c k e ta n dv i c e v e r s a i n t e g r a t e dw i t ha p p r o p r i a t ea l g s ，n a t - p t a l l o w sn a t i v ei p v 6h o s t sa n da p p l i c a t i o n st oc o m m u n i c a t ew i t hn a t i v ei p v 4h o s t s a n d a p p l i c a t i o n s ，a n dv i c e - v e r s a ，e g d n sa n d f t p o n eo f t h eb e n e f i t so f n a t - p ti st h a tn oc h a n g e sa r er e q u i r e dt oe x i s t i n gh o s t s b e c a u s ea l lt h en a t - p tc o n f i g u r a t i o n s8 1 - e p e r f o r m e d a tt h en a t - p tg a t e w a y c u s t o m e r sw i t he x i s t i n gs t a b l e 口v 4n e t w o r k sc a l ls e t u pa n1 p v 6n e t w o r ka n du s e n a t - p tt oa l l o wc o m m u n i c a t i o nw i t h o u t d i s r u p t i n g t h ee x i s t i n gn e t w o r k t h i sp r o j e c t e m p h a s i z e so nt h ei m p l e m e n to f e s s e n t i a lf u n c t i o no fn a t - p t , i n c l u d i n gn e t w o r ka d d r e s s e st r a n s i t i o n ，p r o t o c o lt r a n s l a t i o n a n dd n s a p p l i c a t i o n l e v e lg a t e w a y s o m eo m i s s i o n so f p r o t o c o lt r a n s l a t i o na l g o r i t h m i ns i l ta r ev e r i f i e d f i r s to fa l l ，t h i sa r t i c l ei n t r o d u c e ss o m ei p v 6t r a n s i t i o nm e c h a n i s m s ，t h e n d e s c f i b e 5p a r t i c u l a r l yt h ep r i n c i p l eo fn a t - p ta n di t sc o m m u n i c a t i o np r o c e d u r e t h i r d l y , t h e a r t i c l ei ss t r e s so nt h ei m p l e m e n to f p r o t o c o lt r a n s l a t i o n i nt h i ss e c t i o n ， y o uc a ns e et h ec h a n g e so fp a c k e tf r o md a t al i n kl a y e rt ot r a n s p o r tl a y e ra n dh o w i p v 4 - o n l yh o s tc o m m u n i c a t e s w i t hi p v 6 一o n l yh o s tu s i n gn a t - p tl a s t l y , i ta n a l y s e s t h es e c u r i t yp e r f o r m a n c eo f n a t - p ta n dp r o p o s e sam e n d i n gs c h e m e k e y w o r d s ：1 p v 6 ，t r a n s i t i o nm e c h a n i s m ，n a t - p t ，d n s - a l g ，p r o t o c o lt r a n l a t i o n s i i t u 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的 研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含 其他人已经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教 育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任 何贡献已在论文中作了明确的说明并表示谢意。 签名： 盏! 整翌日期：d 移年f 月d 目 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定， 有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅 和借阅。本人授权电子科技大学可以将学位论文的全部或部分内容编入有关数 据库进行检索，可以采用影印、缩印或扫描等复印手段保存、汇编学位论文。 ( 保密的学位论文在解密后应遵守此规定) 日期：文，眵年岁月虞j 日 f n a t _ p t s i i t a l g d n s p i p v 6 i c n 伊 l c m p v 6 t c p m s s u d p n ，l s l s p v p n d s t m n a t - t b i s t r t b i a a h e s p 缩略字表 n e t w o r ka d d r e s s e st r a n s l a t o ra n dp r o t o c 0 1t r a n s l a t o r s t a t e l e s si pa n di c m 旷t r a n s l a t o r a p p l i c a t i o n l e v e l g a t e w a y d o m a i nn a m es e r v e r i n t e m e tp r o t o c 0 1 i n t e r n e tp r o t o c o lv e r s i o n6 i n t e r n e tc o n t r o lm e s s a g ep r o t o c o l i n t e r n e tc o n t r o l m e s s a g e p r o t o c o v e r s i o n6 t r a n s m i s s i o nc o n t r o lp r o t o c o l m a x i m u m s e g m e n ts i z e u s e r d a t a g r a mp r o t o c o l m u l t i - p r o t o c o ll a b e ls w i t c h i n g l a b e ls w i t c h i n gp a t h v i r t u a lp r i v a t en e t w o r k d h a ls t a c kt r a n s i t i o nm e c h a n i s m n a tt r a n v e r s e b u m p i nt h es t a c k t r a n s p o r tr e l a yt r a n s l a t o r b u m p i n t h e a p l a u t h e n t i c a t i o nh e a d e r e n c a p s u l a t i n gs e c u r i t yp a y l o a d i i 翻译网关n a t - p t 及协议翻译模块的设计与实现 1 1 研究背景 第一童引言 当前计算机技术的飞速发展带动了人们对网络通信的巨大需求，而曾经一 度被认为足以应付将来网络互联的p v 4 协议随之暴露出其很多的缺陷，面对数 以亿计的i n t e r n e t 用户的各种服务需求显得力不从心。 首先，口v 4 协议将地址定为3 2 b i t 长，这引发了地址空间危机。在过去的 数十年间，i n t e r n e t 经历了迅猛的发展，连接到i n t e r n e t 的网络数量每隔不到一 年的时间就会增加一倍。期间，网络工作者己经意识到危机的存在，他们试图 采取技术措施来缓解甚至解决这个问题，这些技术包括：使用划分子网的方法 来提高网络地址的使用效率：使用无类域间路由( c i d r ) 技术来增强网络地址 分配的效率和缩短日渐膨胀的路由表；而网络地址翻译( n a t ) 真正提供了一 种可以减少地址需求的方法，但它使用起来具有很大的随意性，在重新对专用 1 p 网络编制时将花费更多的时间和昂贵的代价，同时为原本安全性就先天不足 的p 网络带来了隐患，需要对地址加密的安全载荷将无法通过n a t 。但是， 所有这些技术都只是暂时缓解了地址空间不足的问题，它们并不能根本解决讲 地址匮乏的问题。 其次，由于长久以来人们认为安全性在网络协议栈的低层并不重要，所以 口v 4 协议只设计了较少的安全选项，而是将安全性问题交给了应用层，但是， 在应用层进行加密，使得很多信息被公开，尽管应用层数据本身是加密的，但 是携带它的d 数据仍然会泄露参与处理的进程和系统信息，针对安全产生的虚 拟专用网技术和安全隧道机制都或多或少存在这样的问题。 最后，i p v 4 对主机移动性以及自动配置的支持较差，而【p 主机移动性的 增强要求当主机在不同网络间移动和使用不同的网络接入点时能提供更好的配 置支持。人们试图采用适当的技术来解决这对矛盾，比如动态主机配置协议 d h c p ，但由于d h c p 与状态相关的特性而无法实现真正的自动配置。 针对这些问题，i e t f 从1 9 9 0 年开始着手制定新版本的p 协议，试图能解 决口v 4 出现的各种问题，同时具备更好的灵活性和高效性。 第一章引言 1 2 课题研究目的 基于口v 4 的上述缺陷以及i p v 6 协议标准的成熟，i p v 6 协议取代i p v 4 在现 有i n t e m e t 中的位置成为必然趋势，但是由于以下一些原因，取代的过程将不 会在一夜之间发生，其间必然会经历一个相对漫长的过程。 尽管i e t f 在设计i p v 6 的时候已经充分考虑了和口v 4 的兼容性，但是这两 个版本不是完全兼容的，这主要是由于二者之间存在的差别造成的，包括：地 址结构的巨大差别；i p 报文头部的不同；口v 6 定义的扩展头与i p v 4 的选项头 的不完全兼容等等。 另外，尽管i p v 6 标准早已成熟，但是基于i p v 6 的应用还是显得很少，这 极大的阻碍了运营商将其投入商业应用的步伐。同时，针对i p v 4 和i p v 6 共存 的各种机制都尚不完善。 i p v 4 向i p v 6 过渡的目标是： 渐近地、无伤害地、由基于邛v 4 的网络过渡到基于i p v 6 的网络； 尽可能减少过渡的成本； 过渡初期要解决的是小规模i p v 6 网络之间的通信，随后是i p v 6 网络与大 规模的口v 4 网络之间的通信。随着隧道技术的成熟和成功应用，过渡初期的 问题已经得到有效的解决，但是i p v 4 和i p v 6 互联互通的过渡机制还没有一 个统一而完善的技术标准。 基于上述原因，本课题将着力于对i p v 4 和i p v 6 互联互通的过渡机制的研 究，并对其中的n a t - p t 重点研究，力图在l i n u x 系统下面实现其功能并做到 以下几点： 能够很好的适应现有i p v 4 网络，对于i p v 4 主机不需要增加额外的软件， 不改变现有的网络配置方式； 尽可能的利用现有l i n u x 中的i p v 6 协议栈； 对现有网络应用程序不作任何修改( 包括服务器和客户机) ： 不影响网络性能； 有灵活的翻译策略； 便于配置和管理。 2 翻译网关n a t - p t 及协议翻译模块的设计与实现 1 3 论文后续章节介绍 在论文的第二章将简单介绍几种i p v 4 网络向m v 6 网络过渡的机制，重点 介绍了i p v 4 和i p v 6 互联互通的过渡机制，并通过对各自的性能分析让大家对 互联互通的过渡机制有一个全面的了解；论文的第三章将着重对n a t - p t 机制 进行全面概括的分析，并介绍其基本的原理，为后面的实现建立基本的模型； 第四章是论文的重点部分，也是作者在本课题中所作的工作，即协议翻译算法 的研究和实现，在这一章里，首先简要介绍了实现平台l i n u x 系统的网络系统， 并对l i n u x 系统下的口和p v 6 协议栈实现进行了分析，这是作者所作工作中 的一部分，也是协议翻译模块实现的前提，然后详细介绍了协议翻译模块的实 现。这一章的最后部分分析了n a t - p t 安全性方面的缺陷，并提出一种建议， 以期对课题的改进以及后续工作指明方向。通过这一章的介绍，力图使大家对 协议翻译模块的功能有深入的理解。第五章介绍了本课题的实验平台、实验内 容以及实验结果，最后一章对n a t - p t 的实现进行总结。 第二章i p v 4 向i p v 6 过渡的机制 第二章i p v 4 向i p v 6 过渡的机制 i n t e r n e t 由1 p v 4 向i p v 6 过渡需要一个相当长的时间才能完成，在过渡的初 期，i n t e r n e t 由运行i p v 4 的庞大网络和运行i p v 6 的零星小网络组成，随着时间 的推移，会形成越来越多的i p v 6 小网络，并逐渐形成i p v 6 的庞大网络，与此 同时，i p v 4 的庞大网络逐渐退化为些i p v 4 的零星小网络，并最终消失，形 成最终的纯i p v 6 网络。在过渡期间，i p v 4 和i p v 6 的不完全兼容性对平稳过渡 的影响将会很突出，因此，研究从印v 4 向p v 6 的过渡问题将变得十分重要。 2 1 碑v 6 协议的新特征 i p v 6 1 1 协议具有很多i p v 4 所不具备的新特性： 巨大的地址空间和灵活的寻址机制：将地址长度由原来的3 2 b i t 扩展为 1 2 8 b i t ，极大的增加了地址空间，同时支持更多的层次结构，使地址分配具有 更大的灵活性； 更高效的包转发：简化了i p 头部，同时邛头部定长，各种选项扩展头以 链表的形式放在口头部后面； 更高的安全性：i p v 6 协议集成了i p s e c ，增加了对安全认证的支持； 更好地支持q o s ：i p v 6 提供了多种对q o s 的支持，如i p 头部的流标签； 更好的支持移动性； 主机地址自动配置：每个主机和网络设备可以通过邻居发现协议自动配置 i p v 6 地址，不需要任何手工操作； 增强的选项：同i p v 4 样，i p v 6 允许数据报包含可选的控制信息，i p v 6 还定义了新的选项，提供i p v 4 所不具备的新功能； 对协议扩展的保障：i p v 6 协议允许新增特性，允许i e t f 为使协议适应底层 网络或新的应用程序而作的变化。 2 2i p v 6 的域名系统 域名系统( d n s ) 是i n t e r n e t 的基础架构，众多的网络服务( 如h t t p 、f t p 、 e m a i l 等) 都是建立在d n s 体系基础之上的，i p v 6 的新特性也需要d n s 的支 持。d n s 的主要功能是通过域名和口地址之间的相互对应关系来精确定位网 4 翻译网关n a t - p t 及协议翻译模块的设计与实现 络资源，即：根据域名查询l p 地址，反之亦然。 i p v 6 网络中的d n s t 2 】与i p v 4 的d n s 在体系结构上是一致的，都是采用树 型结构的域名空间。i p v 4 协议与i p v 6 协议的不同并不意味着需要单独两套i p v 4 d n s 体系和i p v 6d n s 体系，相反，d n s 的体系和域名空间必须是一致的，即， 口v 4 和i p v 6 共同拥有统一的域名空间。在i p v 4 到i p v 6 的过渡阶段，域名可以 同时对应于多个i p v 4 和p v 6 的地址。以后随着i p v 6 网络的普及，i p v 6 地址将 逐渐取代i p v 4 地址。 i p v 4 的地址解析的资源记录是“a ”记录，i p v 6 地址的解析目前有两种资 源记录，即“a a a a ”和“a 6 ”记录。其中，“a a a a ”较早提出，它是对“a ” 记录的简单扩展，由于d 地址由3 2 位扩展到1 2 8 位，扩大了4 倍，所以资源 记录由“a ”扩大成4 个“a ”。“a a a a ”用来表示域名和i p v 6 地址的对应关 系，并不支持地址的层次性。“a 6 ”是将一个m v 6 地址与多个“a 6 ”记录建立 联系，每个a 6 记录都只包含了i p v 6 地址的一部分，结合后拼装成一个完 整的i p v 6 地址，即一个i p v 6 地址可能对应一个和多个“a 6 ”记录链。“a 6 ” 记录支持一些“a a a a ”所不具备的新特性，如地址聚合、地址更改等。目前， “a 6 ”记录标准尚待完善。 2 3 口p 、r 6 一d v 6 的通信机制 2 3 1 双协议栈技术 双协议栈技术可以单独使用，也可以与隧道技术结含使用。根据具体实 现的方式又分为完全双栈模型和有限双栈模型： 驴坩脯 a p p l i c a t i o n sa p p l i c a t i o n s s o c k e t sa p i u d p ，r c pv 4u d p 仃pv 6 1 1 ：押4m v 6 、 t d 2 - - - ，： l 1 ， 图2 i 双协议栈 完全双栈模型 在完全双栈模型中，所有的节点( 包括主机和路由器) 都具有双协议栈 第二章i p v 4 向i p v 6 过渡的机制 实际上这样就不存在i p v 4 节点和i p v 6 节点之分了。通过这种方式，与i p v 4 节 点的通信发生在坤v 4 协议栈中，同i p v 6 节点的通信则通过i p v 6 协议栈来实现。 这种方法的一个局限性是需要给每一个支持i p v 6 的新设备分配一个i p v 4 地址， 这无助于解决i p v 4 地址空间耗尽的问题。 有限双栈模型 在这种模型下，服务器和路由器仍然是双栈的，而非服务器的主机只需要 支持i p v 6 。这种机制可以节省大量的i p v 4 地址，但是不支持纯i p v 4 节点和纯 i p v 6 节点之间的通信，要支持这种通信就要安装代理。 2 3 2 隧道机制 隧道机制p 用于在口v 4 网络之上连接i p v 6 的站点或者在i p v 6 网络之上连 接印v 4 的站点，站点可以是一台主机，也可以是多个主机。隧道技术将i p v 6 的报文封装到口v 4 的报文中，封装后的i p v 4 报文将通过i p v 4 的路由体系传输， 口v 4 报头的“协议”域设置为4 1 ，指示这个报文的负载是一个i p v 6 报文，以 便在适当的地方恢复出被封装的i p v 6 报文并传送给目的站点。反之亦然。 根据封装解封装操作发生位置的不同，隧道可以分为四种： ( 1 ) 路由器到路由器( r o u t e r - t o - r o u t e r ) ：双协议栈路由器通过i p v 4 网络建 立隧道，并在它们之间传递口v 6 分组。 ( 2 ) 主机到路由器( h o s t t o - r o u t e r ) ：双协议栈主机通过i p v 4 网络与双协 议栈路由器建立隧道，这种隧道是i p v 6 分组所通过的整个路径的第一段。 ( 3 ) 主机到主机( h o s t q o h o s t ) ：两个双协议栈主机通过i p v 4 网络建立隧 道，这种隧道是i p v 6 分组经过的整个路径。 ( 4 ) 路由器到主机( r o u t e r t o h o s t ) ：双协议栈路由器通过i p v 4 网络与双 协议栈的主机建立隧道，这种隧道是i p v 4 分组所经过的最后一段。 根据建立方式的不同，隧道又可以分成两类：( 手工) 配置的隧道 ( c o n f i g u r e d t u n n e l ) 和自动配置的隧道( a u t o c o n f i g u r e d t u n n e l ) ，它们的差别 主要在于如何指定隧道端点的地址。 隧道技术很好地利用了现有的i p v 4 网络，其意义在于提供了一种使i p v 6 节点之间能在过渡期间通信的方法，适用于过渡时期的早期i p v 6 网络之间的通 信以及晚期i p v 4 网络之间的通信，但它不能解决i p v 6 节点与i p v 4 节点之间相 互通信的问题，这样隧道技术就把整个i n t e r n e t 划分为i p v 4 网络和i p v 6 网络两 6 翻译网关n a t - p t 及协议翻译模块的设计与实现 个互不相通的网络，另外，在隧道当中不允许存在独立管理的n a t 设备。 由于隧道机制可以采用不同的传输隧道，所以根据采用隧道方式的不同 i e t f 又提出了两种过渡方法： 2 3 2 16 t 0 4 机制 6 t 0 4 机制【4 是目前应用最广泛的动态隧道配置技术，它适用于站点之间通 信，每个站点内部可以只配置i p v 6 协议栈，但是每个站点必须至少有一台“6 t 0 4 ” 网关作为出入口。这种机制将i p v 6 报文封装在v 4 报文中，沿一个独立的6 t 0 4 网络进行传输，每一个6 t 0 4 网络都有一个专用的i p v 6 前缀，格式为：2 0 0 2 ：i p v 4 地址：4 8 ，其中i p v 4 地址为此网络的6 t 0 4 网关的i p v 4 地址。支持全球统一的 6 t 0 4 t l a 前缀格式，并实施特殊的封装和转发机制。 23 226 0 v e r 4 机制 6 0 v e r 4 机制p 1 适用于具备双协议栈的主机之间通信，它利用i p v 4 的组播机 制创建虚拟链路而不是显式的隧道技术。6 0 v e r 4 将i p v 4 网络当作具有组播功能 的一条链路，通过i p v 6 组播地址和i p v 4 组播地址的映射关系实现i p v 6 协议的 邻居发现功能，它要求i p v 4 网络支持组播功能。这种机制保留了i p v 6 的所有 特性，比如端到端的安全性和无状态自动配置等。 23 23t u n n e lb r o k e r t u n n e lb r o k e r 6 】是一种方便构造隧道的机制，可以自动分配i p v 6 地址和域 名，可以自动的建立隧道并修改相应的路由配置。它通过向隧道代理发送隧道 请求，由隧道代理将相应配置下发到相应的路由器。 隧道代理是一个外部系统，而不是路由器，它在i p v 4 网络中作为服务器， 并接受双栈节点的隧道建立请求。一般，双栈节点在i p v 4 网络上使用h t t p 向 隧道代理发送请求，终端用户可以填写一个网页来给他们的双栈节点请求配置 一个隧道。然后，隧道代理会返回在双栈路由器上建立配置隧道所需要的1 p v 4 地址、i p v 6 地址和默认的i p v 6 路由。一个隧道代理可以选择向双栈节点提供 一个脚本来简化操作系统上配置隧道的配置。最后，璐道代理在双栈路由器上 使用远程命令启用配置隧道。双栈路由器必须连接到i p v 6 域。在隧道代理规范 中，隧道代理和双栈路由器使用不同的i p v 4 地址。 232 , 4 双栈转换机制d s t m d s t m l 7 1 机制适用于i p v 6 网络中的双协议栈主机同纯i p v 4 站点之间通信。 1 p v 6 网络中的双协议栈主机将会得到一个l 临时 p v 4 地址，既可用来同i p v 4 主 7 第二章1 p v 4 向i p v 6 过渡的机制 机通信，也可使邛v 4 应用程序无需改动就可以在i p v 6 节点上运行。这种机制 需要d s t ms e r v e r ( d h c p v 6 或r p c v 6 可用于i p v 4 地址的分配) 的支持以动 态分配p v 4 地址，采用d s t m 技术的站点内部使用i p v 6 的路由体系，在i p v 6 网络内部采用动态隧道技术来传送i p v 4 流量，i p v 4 的数据报将会被封装到i p v 6 数据报中传输。这将简化i p v 6 的网络管理，因为路由器只需配置矾6 路由表。 图2 - 2d s t m 模型 d s l m 的工作过程( 如图2 2 ) ： ( 1 ) d s t m 主机( 采用双协议栈) 发起通信，这触发d h c p v 6 服务器分配一 个临时i p v 4 地址并指定隧道端点( 如d s t m 边界路由器) ； ( 2 ) 9 b 部网络的i p v 4 主机发起通信并进行d n s 查询，触发i p v 4 地址的分配； ( 3 ) d s t m 主机把要发送的i p v 4 包封装在d v 6 包中并转发给边界路由器； ( 4 ) 接收包从边界路由器经隧道到达d s t m 主机，并由d s t m 主机解封装； ( 5 ) d s t m 边界路由器从i p v 4 网络中转发和接收m v 4 包。 d s t m 不是一种协议，而是使用现有协议的一种方法。目前的d s t m 不支 持纯i p v 4 站点主动发起的与d s t m 主机的通信。 由以上分析可以看出，隧道的基础仍然是双栈，没有双栈就不可能使用隧 道，所以与双栈有关的限制在隧道机制中同样存在。 2 3 _ 3 基于m p l sv p n 的d v 6 过渡机制 这种过渡技术通过对现有的支持d v 4 协议的m p l s 技术进彳亍部分扩展，使 得其网络中的p e 设备能够实现对i p v 6 数据包的转发和标签分发、交换等工作。 这样，i p v 6 网络的c e 路由器就可以穿过i p v 4 网络的p e 路由器进行相互通信。 i s p 可以利用已有的i p v 4 骨干网为分散的i p v 6 网络用户提供接入服务。 翻译网关n a t - p t 及协议翻译模块的设计与实现 图2 3 基于m p l sv p n 的过渡机制 该技术的主要思想是：用户的i p v 6 路由信息转换为带有标签的i p v 6 路由 信息，并且通过i b g p 会话扩散到i s p 的i p v 4 骨干网中。在转发i p v 6 报文时， 当流量在进入骨干网的隧道时，首先会被打上标签。璐道通常采用m p l sl s p 。 c e 和p e 之间交换路由信息可以采用静态路由、i g p 或e b g p 协议。 i p v 6 v p n 要求p e 路由器支持双协议栈和b g p 协议。这样的p e 路由器 要完成如下工作； 利用b g p 协议，通过i p v 4 骨干网与其b g p 对等p e 交换i p v 6 路由信息。 将自己通告为b g p 的下一跳。 p e 根据i p v 6v p n 的路由信息分配和发布m p l s 标签。一旦m p l s 隧道建 立，i p v 6 和l l 】v 4 数据报就通过m p l s 隧道，沿m p l sl s p 进行高速转发。 基于m p l sv p n 的l p v 6 过渡机制具有无可比拟的优点： 可用于已有的大型i p 骨干网络中，而传统的过渡机制在这样的环境中扩展 性通常是个大问题； 这种过渡方案代价非常小，并晟大限度地保护和利用已有的资源，它只要 求i p v 4 骨干网络的p e 路由器支持双栈，无需对接入网络或用户驻地网做任何 改动，也无须增加额外的服务器； 这种方案的性能非常高。基于m p l s 的高速交换其吞吐率要远优于i p v 4 或 d v 6 的路由转发，其开销也小于传统的i p v 4 隧道方式。 2 3 4i p v 6 一p v 6 过渡机制的比较 表2 1v 6 v 6 过渡机制的比较 对主机路由器 适用范围对地址的要求 的要求 i 手动配用于经常通信的 站点通过i p v 4 互联，每个站点路由器必须是 多于1 个i p v 4 地址。端节点 p v 4 i p v 6 双协 l 置隧道站点之间 需要一个i p v 6 地址。议栈 9 第二章i p v 4 向i p v 6 过渡豹机制 自动配 单个i p v 6 主机站点通过i p v 4 互联，每个站点 i p v 4 p v 6 双协 之间或偶尔交换多于1 个l p v 4 地址。i p v 6 地址 置隧道 议栈 数据的站点之间是口v 4 兼容地址 口v 4 广域网中的 站点通过i p v 4 互联，每个站点 孤立i p v 6 站点之路由器是 6 t 0 4 间的通信，特别 多于1 个p v 4 地址，每个站点 i p v 4 i p v 6 双协 适于外部网和虚 至少有一台6 t 0 4 路由器。i p v 6 议栈和6 t 0 4 拟专用网络 地址必须是全局6 t 0 4 前缀 用于通过d v 4 内 部网的i p v 6 节点主机通过i p v 4 组播互联，每个r p v 4 i p v 6 双协 6 0 v e r 4 之间的单点或多主机1 个i p v 4 地址议栈和6o v e r 4 点连接 t u n n e l 适于单个主机获i p v 4 佃v 6 双协 取l t ) v 6 连接的情需要1 个口v 4 地址议栈，i p v 4 w e b b r o k e r 况浏览器 i p v 6 网络中的双 d s t m 主机是 d s t m协议栈主机同纯需要1 个临时坤v 4 地址 双协议栈 口v 4 站点通信 用于i p v 6v p n n 口l s中的节点跨过站点通过m p l s 口v 4 互联，不 p e 路由器为双 v p nm p l sp v 4 网络需要i p v 6 地址协议栈 进行通信 2 4i p v 4 一p v 6 的通信机制协议翻译器 由于当前基于口v 6 协议的应用太少，因此，对于纯i p v 6 网络，它们更需 要与i p v 4 网络通信以共享i p v 4 网络的丰富资源，而上述的双协议栈和隧道机 制都无法实现异构地址网络之间的通信，所以必须寻求另外的方案来实现i p v 4 和i p v 6 网络之间的通信，协议翻译器就是这样的机制。协议翻译根据协议的层 次分为：网络层翻译器、传送层翻译器和应用层翻译器。 2 4 ，l 网络层翻译器 2 41 1s i i t ( 无状态i p 1 c m p 翻译) 2 , 4 1 1 1s i l t 算法简介 s i i t l 8 1 提供了一个在i p v 4 和i p v 6 之间、i c m p v 4 和i c m p v 6 之间的积向翻 译的一种算法，它是n a t - p t l 9 】年口b i s l l 0 1 的基础。 s i i t 适用的情形如图2 4 和2 5 所示。 使用s l i t 翻译器的i p v 6 节点必须有一个i p v 4 t r a n s l a t e dl p v 6 地址( 格式为 1 0 翻译网关n a t - p t 及协议翻译模块的设计与实现 o ：f f f f ：0 ：a b c d 的i p v 6 地址) ，用于与纯p v 4 节点通信。s i i t 算法假定有一个 i p v 4 地址池，用于产生口v 4 一t r a n s l a t e di p v 6 地址。 当纯i p v 6 节点通过s i l t 翻译器与纯口v 4 节点通信时，它发出的数据包的 目的地址用一个i p v 4 m a p p e d ( 格式为：f f f f ：a b c d 的i p v 6 地址) i p v 6 地址来 表示纯口v 4 节点，源地址为一个 p v 4 - t r a n s l a t e d 地址。当s l i t 收到这个数据包 时，通过p v 4 m a p p e d 地址确定包需要翻译。当i p v 4 节点发送数据包时，这些 包需要s i i t 将其翻译成用邛v 6 t r a n s l a t e d 地址作为目的地址的数据包。 s i i t 捌译器 图2 4 单个纯i p v 6 网络的情形 图2 5 包含纯l p v 6 主机的双协议栈网络的情形 s i l t 一般只是要求翻译邛或者i p v 6 头部，无需修改t c p 、u d p 头部，唯 一例外的是未分段的i p v 4u d p 包，由于i p v 6 协议标准规定，u d p 的校验和需 要将伪头部计算在内，所以它们需要重新计算u d p 校验和。而且，i c m p v 6 包 含一个伪头部校验和而i c m p v 4 则没有，这样，翻译器需要对i c m p 报文的校 验和进行修改。另外，i c m p 差错报文包含一个i p 头作为负载的一部分，那么 翻译器需要重写包的这些部分以伎接收方能理解所包含的地址。 s l i t 不翻译任何i p v 4 选项以及i p v 6 选路头、h o p b y h o p 扩展头和目的选 项头。翻译器不更改任何邛层( i p 头、i p v 6 分段头及i c m p 报文) 以上的头， 第二章i p v 4 向i p v 6 过渡的机制 所以i p s e c 可以通过，但是可能无法让端到端的a h 通过。在实践中，只有e s p 的传输模式容易通过翻译器。 所有s l i t 翻译器的操作，包括p m t u 发现，都是无状态意义上的，即翻 译器不相干地操作各个包，且不会把状态从一个包保持到另一个包。这就允许 有很多没有任何相干的翻译器，一个给定的t c p 连接可以有两个方向的包通过 不同的翻译器。 翻译器不对分段的、校验和域的值为0 的口v 4u d p 数据包进行翻译。 使用本算法对i p 层以外的影响：对于一个纯i p v 6 节点的网络层，当应用 程序以一个i p v 4 地址或i p v 4 映射的i p v 6 地址为目的地址时，可能会丢包或返 回错误信息给应用程序。因此，节点应该发送i p v 6 包，其目的地址为i p v 4 映 射的i p v 6 地址、源地址为节点的临时分配的口v 4 t r a n s l a t e d 地址。这些对没有 配置i p v 4 地址的双协议栈节点同样适用。 24 112s t 算法的局限性 在采用网络层加密和有数据完整性保护的环境下这种技术不可用； 由于两个版本的邛协议的兼容性问题，在翻译过程中可能会丢失一些有用 的信息，例如某些i p v 6 选项扩展头以及l p v 4 选项； p v 4 的组播地址不能映射成i p v 6 的组播地址，因此这种技术不能用于组播 业务； 当互联网中大多数网络都是i p v 6 网络而只有小规模的口v 4 网络时，s l i t 可能不适用，因为那样会要求i p v 6 节点从一个很远的、由一个不同的管理机构 操作的s i l t 获取一个临时i p v 4 地址，或者要求i p v 6 路由为i p v 6 一m a p p e d 地址 保留路由，由于以i p v 4 m a p p e d 地址的方式嵌入i p v 6 路由中的i p v 4 路由表的 大小，这被公认为是一种非常糟糕的方法。 2412n a t - p t ( 网络地址翻译与协议翻译) 2 4 1 2 1 概述 通过结合使用s i l t 的协议翻译算法和n a t 的