（计算机系统结构专业论文）ipv4+over+ipv6隧道系统的研究与实现.pdf

i p v 4o v 口i p v 6 隧道系统的研究与实现 摘要 i p v 4o v e “p v 6 隧道系统的研究与实现 周渔。焚俭东南人学 i p v 6 协议为克服现有叭4 协议的请多不足而诞生但从i p v 4 剑r p v 6 的过渡是一个漫长的过 拌如何在此过稃中保证一：者兼释f i 通并充分利用箨白特性来更有效地j f 展备类廊川足比较热 rj 的研究内容。c e r n e t 2i p v 6 主干网的开通以及a m s 0 2 项目扯全球的实施为开展这些研究提供 了良好的平台。在a m s 项日的传输平台中数据传输需要的高带宽与目前拥挤的i p v 4t 十网络 构成j ，矛盾，冈此论文以此为背景设计并实现j ，一个i p v 4a v e r i p v 6 隧道系统f o x ，将i p 、，4 报文 封装在口v 6 报文中通过相对空闲的m v 6 主干进行传输，并且充分保证隧道的性能、效率及可符 理性。并且由于l i n 慨操作系统的开放性和灵活性。论文将l i n 作为研究和实现该隧道系统的 平台 f o x 隧道系统逻辑上分为隧道驱动、隧道管理子系统与q o s 子系统二块，而隧道驱动是系统 运作的核心。论文分析了l i n u x 内核网络协议栈的实现机制以及已有的隧道实现技术枉考虑q o s 功能的基础上选扦r 内饮态驱动与j j 户态驱动f o x 隧道驱动的i l i i 种实现方式，前者是小带额外 q o s 功能的通川m v 4o v e ri p v 6 隧道实现，而q o s 机制则侄专用的_ i 户态驱动中实现。对丁内核 态驱动，论文给出r 驱动中重婴实体的内核态表示，分析幕i 确定r 隧道m t u 的选取方式、隧道 报头宿地址的处理方式以及递l 门封装的解决方法，并对隧道错误的处理以及隧道配置接几等关键 问题进行了研究，拿出了可行的设计方案并且予以实现。对r j j 户态驱动，论文首先确定r 报文 从内核态剑州户态的拷贝方法片以此为毖础设计了用户态驱动的总体结构与各功能模块。论文 发现内核态驱动所使j l j 的内核功能无法席削丁刚户态驱动，冈此獭外设计r f j | 核i p 协议栈路山功 能的模拟机制以及隧道信息统计模块。论文还使_ h ! i 进种问通信机制实现了隧迸的配置接几，月且 针对使川原始套接口发送报文时的m 1 u 错误尝试r 二种方案，通过试验和分析，展终通过山驱 动进稃实现报文分段的方法解决了该问题。 论文为川户态驱动设计，f 实现r 一个可选的o o s 子系统。该子系统与州户态驱动是一个尤缝 的整体，管理员能够灵活的决定是否启用q o s 机制在q o s 子系统的总体框架中重点部件足 报文分类策略库、报文分类器嗣i 队列调度器，论文研究了报文分类算法和队列调度算法，并针对 f o x 隧道系统的实际情况分别采用了二层多义树算法和w r r 调度算法。 此外，论文针对f o x 隧道的内核态驱动与h j 户态驱动综合设计并实现，一个隧道管理子系 统。该子系统王二要包拓管珲客户端、隧道采集平台与隧道监控拌序_ 三个逻辑模块，它能使符珲必 对辂个f o x 隧道系统的运行状态有实时弗清晰的r 解，并能灵活地对系统中的所有隧道进行控 制。竹坪子系统能满足p 述管理要求：动态显示_ l l j 5 个隧道系统的拓扑结构包拓隧道服务器、服 务器之间的所有隧道连接以及隧道的活跃状态；动态显示特定隧道的出入流域、收发报文数、收 发报文错谡数以及收发丢包数；提供一个幽形化管理接门，使管理员能方便地配置和创建隧道。 论文晟后在实验室环境_ 手i i 实际州络环境中对f o x 隧道系统进行了j j ! 确性验证与性能测试，测 试结粜体现了该系统的实h j 价值。 【天键7 】隧道，i p v 6 ，i p v 4o v 日i p v 6 ，l i n u 内核。设备驱动，q o s i p v 4o v c ri p v 6 隧道系统的研究与实现 a b s t r a c t 1 1 l er e s e a r c ha n di m p l e f n e n 诅t i o f i p v 4o v c ri p v 6 t u n n e ls y s t e m z h o u bg o n gj j 柚s o u l l l e a s tu n i v e r s 时 i p v 6i sd i g n e dt 0o v e r 啪et i l ed c 成i e i l c i 嚣o fi p 、，4 ，b i i ti tw - l it a l ( cal o n gt i l l 他f o rt l l e 锄s i t i o no f i p v 4t 0i p v 6 n 圮c u r m n tt l o ts p o t si n 廿l i sn e l df b c 噼o nh o wt o 雒s 哪t 量l cc 】【i s t e r l c ca n dc o m p a t i l ，i i i t y o f t l et w op m t o c o l s 锄dh o wt 0d e p i o y 印p i i c a t i o 鹏b e t l 盯b y 懈i n gt l l ec h a r a c t e r i s t i c so f t l l 锄t 、v o t h e o p e no fc e r n e ，r 2l p v 6b k b o 锄da m s 0 2p r o j e c tp v i d ea 伊e a tb 黜f 研t i i e 辩f e a r c h 嚣i n a m sn 卸s f c ri n 仔船竹u c n j r e ，t t i cd e m 锄df b rh i g i lb 锄d w i d t i ic o n f l i c 拓w i t l lm em o 他柚dm o 他c o n g e s 伽 i p v 4b k b o n c 1 钛i n gl t 船b k g r o 硼咄n d s 他s i sd 嚣i g m 勰di m p i 砌e n 协卸i p v 4o v 盯i p v 6 ( f o x ) t i | n n ds y s t e mt o 即c a p s u l a 把i p 、，4p 越i 【c ti ni p v 6h 翰d e r 卸d 仃锄s f 打i tj ni p 、，6b 北k l 0 岫e 邪w e l l 豳 勰s 埘n gt h et i l n 鹏i sp c 哝釉啪c ea i l dm 柚a g e a b i l i 批b a u o fm e 矗e x i b i l 埘o fl n l i 】【s y s 幢m ，t l i i s m e s j st a l c 船“私也c v i 啪m e n tt o 他s e a m ha n di m p l 鲫e n tt l l ef o xt i l m i e ls ”t e m 1 、l n l w l 嘶v e ri s t i i ek e yp a r to ff o xn m n e ls y s t e m t h et l 】屺s i sc h o o sk e m e ld r i v e ra n du rs p a c c “v c r 罄t t 忙t w of o n m n c ld f i v 盯i m p l e m e n t a t i o nm e c h 锄i s m s t h ef o m i 盯i sa ng e n e m ji p 、，4o v 盯 i p v 6t i l n n e li m p i e m 印t a t i w i t i l o i i tq o s 白n 娟。璐w h i l em el a l e ri sw i 协q o sa n di ss p i a lf o ra m s p r o j e c t f o rk e m e l 鲥v e r m et t l 髂i sa i l a l y 珊柏dd e 咖i sm e i e c t i o nm e t l l o do ft i l n n e lm 1 1 j ，t i i c p a c k e th c a d e rd c 硝n a t i 朋a d d 佗s sp r o o 船sm c t i l o d 柚d 咖es o i u t i f b r c u 培i v e 明c a p s u i 撕o nw h i l e 怕s e 孤c h i n gt u 咖c lc 们rp r o c e s s i n ga n dn 砌e lo o n f i g i i r 砒j 彻i m 嘲i c e 锄dg i v i n gf e 站b i es o i u t i o 雌f o r u fs p a c ed 打 lt l l et 1 1 i sd e s i p 皿st i i co 、删ls 抽k t i l 旭锄da l lm o d u l 器b a s c do nt l l ed e t e m l i n a l i o no f p a c k e tc o p ym e t i i o d 疗o ml 【i m ”l t ou s 盯s p a u s 盯s p a c cd r i v e r 啪n o tu 辩k 啪c l 如n c 6 0 n s s o d e s j 印st h ei m i t a l i 伽m h a n j 蜘o fk 踟e jj p5 协c k 删n gf b n c t i 彻粕dt i i l l n e js 硎s l i c a jj n f o j l n 州 m o d u i e f i y 懈i n gi l i t e r _ l 竹口s sc 啪m u n i c a t i o n ，他t l i e s i si m p l e m e n t s 舳e j n f i g 删o nj n t e r f a mt t i e s i s i v c st 量l em t u 洲o f n d i i l gp 粒k e t 憾i n gr 删c k e tb yp a c k e t 舭帅n n 昏 1 kt i l e s i sd 嚣i g n s 锄。砸a lq o s 跚b 夥s t e mf o ru s 盯s p a c ed r i v e lt h ek e yp a mo f t h eq o ss u b s y s t c m a 地p k c tc i a s s 讯c a t i o ns 仃a l e g yb a ，p a c k c tc l s m c a 士i o nb o x 锄dq h 酣u 1 r 船髓r c 瞄 c l 勰s 狮c 砒i a i 酬l m s 锄d h e d u l i n ga i g o r i m m s 。a d o p 协t l l 旭e l a y 盯仃i 髑a i g o t i l m 锄dw r r 砒| o t l l ma c c o r d j i l gt o 圮”e a ls t a l i i so f f o xn i n 1 夥咖m 1 1 l cm 伪i sd e s i g 啮锄di m p l 锄t san m n e lm 锄a g c m e ms y s t e mw h c hi l l c l u d 髓m 锄a g e m c n tc l j 朋 t i l 衄e 1 n 向砒i 伽n e 咖r 锄d 饥u l 肥lm 蚰i t o la d i i i i n i s n 丑m o r 伽lg e tn e a l t i m ea i l dc l e 盯k w i e d g co f 邝蚰i n g s 雠吣o f t l l ew l l o l ef o x t l i 彻e ls y s t e l l l 锄dc 卸n e x i b l y n 仃o l a n t u n l s i n t h e 叫s t e m a t l a 瓯 t t l et i i c s i s 州f i e s ”c o r 僦m e s so f t h ef o x 咖n e is y s t c ma i l dp 盯f o r m sap c r f b r m 锄t c s to nni ni a b 蜘v i r o n m 锄t 卸dr e a in e t l r l ( e n v j f o 啪c 吨t i l cf e s u l ts h o w st l l 砒m i s 山n is y s t c mi so f g f e a ti i t i n 劬 【k e y 帅r d 】t 啪e l 伊v 6 ，m v 4o v e ri p v 6 ，l i n l l ) 【融釉e l ，d e “c ed r i v q o s i i 东南大学学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研 究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已 经发表或撰写过的研究成果，也不包含为获得东南大学或其它教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明 确的说明并表示了谢意。 研究生签名：膨 期：诬：堕。 东南大学学位论文使用授权声明 东南大学、中国科学技术信息研究所、国家图书馆有权保留本人所送交学位论文 的复印件和电子文档，可以采用影印、缩印或其他复制手段保存论文。本人电子文档 的内容和纸质论文的内容相一致。除在保密期内的保密论文外，允许论文被查阅和借 阅，可以公布( 包括刊登) 论文的全部或部分内容。论文的公布( 包括刊登) 授权东 南大学研究生院办理。 豸份 日 i p v 4o v c ri p v 6 隧道系统的研究与实现 第一章绪论 随着i n t 鲫1 e t 的迅速膨胀和新型网络应用的蓬勃开展，现有的i p v 4 协议已经难以满足需求， 地址枯竭、安全性、q o s 等诸多因素促使了下一代互联网协议i p v 6 的出现。从i p v 4 到i p v 6 的过 渡是一个漫长的过程，以二者为通讯协议的网络及应用系统将共存相当长一段时问，如何在这段 时间内保证他们之间的兼容互通，并且充分利用各自的特性来更有效地开展各类应用是目前这一 领域比较热门的研究内容。国内c e r n f r 2i p v 6 主干网的开通以及丁肇中教授领导的a m s 0 2 项 目为我们开展这些研究提供了良好的平台。 本章主要进行相关背景知识介绍，包括i p v 6 协议的概述以及隧道技术的基础知识，并给出论 文的研究背景、主要研究内容以及论文的组织结构。 1 1 玎p v 6 协议 现在人们广泛使用的i p v 4 协议已有近2 0 年的历史，多年的成功应用证明了其设计的合理性 并具有相当程度的可扩展性。但最初的设计者远未料到互联网有如此迅猛的发展，l p v 4 协议开始 遇到无法逾越的障碍：它所提供的地址数远不能满足互联网上新增主机的需求：其设计时在安全 性方面的缺乏阻碍了电子商务等新型业务的广泛应用；它对q o s 的支持不够使得众多业务尤其是 实时业务不能很好的开展，等等。为了克服这些缺陷，早在2 0 世纪9 0 年代初，互联网工程任务 组( 1 e t f ) 便开始着手下一代互联网协议( i p l l g ) 的制定工作，并最终于1 9 9 8 年颁布了协议标准 c 2 4 6 0 i ij 。这一新的协议称为i p v 6 。 1 1 1i p v 6 协议基本特点 i p v 6 协议相比i p v 4 协议主要做出了如下几个方面的改进： 寻址能力的扩展吲 i p v 6 的地址长度从i p v 4 的3 2 位增加到1 2 8 位，由此提供几乎无限的地址空间，彻底解决了 i p v 4 地址不足的问题。它为每一台网络设备提供全球唯一i p v 6 地址的能力，使得用于解决地址 匮乏问题的网络地址转换( n a t ) 技术成为历史，消除了n a t 带来的众多负面影响，恢复了网络 的端到端透明性。 i p v 6 的寻址结构是层次化的，这不但使得地址的分配更加灵活和方便，而且能够有效地进行 地址前缀的聚合，减小了互联网路由表的大小，从而路由处理更加高效虽然i p v 4 的无类域问路 由( c i d r ) 技术达到了同样的目的，但它效率不高且扩展性不强。 在i p v 6 协议中不再使用广播这个概念，取而代之的是i p v 6 组播。i p v 6 提供了大量的组播地 址，因此组播地址的分配不像i p v 4 一样由于数量稀少而受限；同时，i p v 6 协议在组播地址中增 加了一个“s c o p e ”域，提高了组播路由的可扩展性。另外，除了组播与单播地址，i p v 6 协议定 义了一种新的地址类型，称为任播( a n y c a s t ) 地址，其被定义为一组网络接口( 通常属于不同节 点) 的标识，发往一个任播地址的分组将被转发到由该地址标识的“最近”的一个网络接口，而 “最近”的定义一般基于路由协议中的距离度量。 地址自动配置功能也是l p v 6 寻址架构中的个重要特征。i p v 6 网络设备可以自动发现所属 的网络并且获取全球唯一的地址，免去了人工配置或服务器配置( 如d h c p 服务器) 的负担，实 现了设备在网络中的即插即用。 i p v 4o v 日r p “隧道系统的研究与实现 报头格式的简化i l i 虽然i p v 6 地址长度的增加导致了整个i p v 6 报头长度的增加，但i p v 6 报头格式相对于i p v 4 来说大大简化了i p v 4 基本头部大小为2 0 字节，但l p 选项域长度可变，增加了路由器对报头例 行处理的开销。相反，i p v 6 头部大小为固定的4 0 字节，它舍弃了m v 4 报头1 2 个字段中的6 个， 并将一些字段改名后保留，同时还增加了一些新的字段以提高效率并引入新特性。i p v 4 报头和 i p v 6 报头格式的比较可参见图1 1 i 4 报头 v n l l h l 筐船。f 一一铡 颍目r i t 目 m 目m 晒_ h 凡m o f f 醅t ! ? 。王，i h 出f a - 啦蛐 s e d c h d “_ 拙 0 i m _ d 慨 口未变张 含弃张 匡茎i 名称椰位戤衰孵段医= 习新增字袅 i 讯头 v c f n 石赫赫= r w n 嘲 。 i 嘶趣毒二圭爹a 。酊 脚腑l s o m t ea 删珥$ d e t _ - 呐 d 击c 曩 图卜i 报头和6 报头比较 如图1 1 所示，i p v 4 报头中的报头长度、报文分段、校验和、伊选项字段已被i p v 6 报头舍弃。 原因分别在于：1 帆6 报头长度固定为4 0 字节；2 i p v 6 协议规定只在源点进行报文分段，中问 路由器无需进行分段处理；3 绝大多数链路协议已经做了校验和与差错控制，而链路层的可靠性 亦相对较高，加之在传输层亦要做校验和处理，i p 层的校验和处理已无必要；4 i p 选项已被脚6 扩展头部功能所代替。 增强的安全性 是否实现并使用i p s 在i p v 4 协议中是可选项，但对于i p v 6 协议则是必须的，i p s e c 本身就 是i p v 6 协议族的一部分。因此，可以在i p v 6 网络上的每个节点上使能i p s ，大大增强了网络的 安全性。 i p v 6 协议定义了安全扩展头部a h 与e s p ，由此可以方便地实现加密、认证等功能。同时由 于i p v 6 提供全球唯一地址，恢复了网络透明性，因此可在不使用额外防火墙的基础上提供端到端 的安全服务，如访问控制、私密性及数据完整性等，消除了防火墙可能带来的负面影响，如性能 瓶颈等。 更好的移动性【4 j 与i p s 一样，移动性在i p v 4 中是额外增加的新特性，而在i p v 6 中则是必选项，任何可移动 m v 6 节点都可使用这一功能在不断开原有连接的基础上实现漫游。相对于移动i p v 4 ，移动i p v 6 主要有如下的改进：一是定义了四个新的目的地选项：绑定更新、绑定通告、绑定请求以及家乡 地址。藉由家乡地址与转交地址的绑定缓存，送往移动节点的报文可被透明路由至其转交地址， 实现了路由优化，避免了移动i p v 4 中的三角路由问题：二是在移动m v 6 中，当移动节点位于外 地网络且必须通过本地代理中转时，传输给它的报文使用i p v 6 路由扩展头，而不使用移动i p v 4 中的封装技术，从而减小了数据包长度，降低了传输开销；三是由于移动i p v 6 节点在外地网络上 的i 临时转交地址可通过地址自动配置实现，因此移动i p v 4 中的外部代理实体在移动i p v 6 中被省 2 i p v 4o v c ri p v 6 隧道系统的研究与实现 略了，简化了系统模型。 1 1 2 i p v 4 到i p v 6 的迁移与共存 目前的i n t e m c t 上有成千上万的i p v 4 朗络和数以百万计的i p v 4 主机，要使i p v 6 协议能成功 被市场和h j 户接受，必须首先在不破坏当前服务的基础上让其与现有i p v 4 基础设施充分集成，然 后逐步进行迁移，并让这样的集成和迁移措施尽可能对终端朋户透明。 i e l r f 的i p v 6 j ：作小组对此进行了广泛研究并针对不同的情景和要求提出了相应的迁移技 术与集成策略。目前存在的迁移技术可分为两类l ，l ：一类是隧道机制，致力于穿越i p v 4 主干实现 m v 6 h j 的通讯；一类是协议翻译以及双栈技术致力于i p v 4 与i p v 6 之间的且操作 隧道机制的基本思想是| i ii p v 4 报头对原始i p v 6 报文进行封装以穿越i p v 4 土干，按照建立方 式町分为以卜- 三种。 手l ：配置隧道州这是一种静态隧道，需在隧道两端服务器上进行手动配置。配管参数 较简单除了本方隧道接口地址之外只要额外提供对方隧道接口的i p v 4 地址。使_ h j 手 1 ：配置隧道很容易实现多个i p v 6 站点之间的互联，但由丁每一对站点之间都配有隧道 当站点增多时。隧道数艇就会急剧增加，人人加重了管理配置的压力。j 1 ：盹如粜枉隧 道主体沿途有n a t 设备，隧道就小能起作j 。 卜臼动隧道。典璎的如t h e lb m k e r 服务1 7 j ，它通过某种机制实现隧道配置的卜自动化。 i l j 柬减轻由于静态隧道增多所带来的配置管理压力但由其建立的隧道同样是静态的， 田此严格来说仅仅是一种辅助机制而不是独立的隧道技术。 全自动隧道荆这是一种动态建立隧道的机制隧道蚺端暇务器并术需要静态配簧对方 的i p v 4 地址。相反，该地址町通过需封装的i p v 6 报文的目的地址得剑。由丁其配置和 管理负担小冈此适川丁人规模部署i p v 6 的情形。现有的全自动隧道技术很多，典喇的 有6 t 0 4 伟l ，i s a 了a p p l 等。 权栈技术征w 点的i p 层完全实现i p v 6 和i p v 4 ，使其能同时处理两种报文是i p v 4 和i p v 6 屉简单的共存方式。般栈终端町以运行i p v 6 和i p v 4 戍用稃序同时访问两种网络。使符种应张 序的过渡更加平滑；而使_ i j 取栈主干路山器可以保证i p v 6 和i p v 4 嘲络的共存，但山丁婴同时配 置两种地址和两种不同类砸的路由协议。增加了管理负担。在实际应心中，般栈终端币j 1 f 1 三f 路 由器最为普遍，一般删丁隧道配簧，而舣栈土干路由器划较少。 隧道雨l 般栈都不能让纯i p v 4 耵点和纯i p v 6 带点进行通信，此时需使圳协议翻泽它实现网 络层、传输层或麻j i j 层的协议转换。从而让纯i p v 6 主机能访问日前| i i 绝对优辨的i p v 4 资源同 时让众多i p v 4 应h j 科序能运行丁- i p v 6 环境。主要的协议翻译技术有n a t p 寸”l ，b i s 等。 人多数蚓络譬家认为，i p v 6 的部署席该从嘲络边缘剑核心依次进行，以减小迁移的代价幕i 影 响i ，l 。而目前的实际情况也是如此，全球范雨内的纯i p v 6 主十网较稀少，人多数的i p v 6 网络都 集中乜边缘，闪此町f 所提出的迁移策略均以此为基础尤其是隧道机制，主张将i p v 6 报文封 装侄i p v 4 报头中穿越i p v 4 主1 二，因此上述的隧道特指i p v 6a v 日i p v 4 隧道。 而对丁存在纯i p v 6 主干网络( 如中国f 一代互联网项目纯i p v 6 核心罔之一c e r n f r 2 ) 的情 况，i e l 限并术考虑很多。毕竟这并不是当前的主流形势尤其像中国教育科研网j f 行戏| 三f c e l u q e t 与c e r n e ，1 2 共存的情形。此时可以考虑使朋【p v 4o v 口r p v 6 隧道，将i p v 4 报义封装 在l p v 6 报头内，以充分利用纯i p v 6 主干的资源来开展或改善再种麻用。而这止足本论文的i 湄； 研究内窬之一。但不论是哪一类型的隧道，其基本思想都是封装与解封装，f 一1 ，将弧点介耋“隧 道技术的基础知识。 i p v 4o v “i p v 6 隧道系统的研究与实现 1 2 隧道技术 隧道技术是一种通过互联网络的基础设施在网络之问传递数据的方式。它主要应用在如下两 种情形： 互相通信的两个网络与它们之问的传输网络基础设施异构。譬如，两个i p x 网络要进行 通信，但必须穿越一个l p 网络才能互访。 为避开失效的路由器或达成某种特殊应用目的，需要绕开传统的路由机制，让报文在 传输过程中经过指定的主机或路由器 可以有多种途径来满足上述要求，譬如特定主机路由或者源路由技术，但经实践证明，简单、 可扩展、使用最广泛的方法为隧道技术。使用隧道传递的数据可以是不同协议的数据帧或包，隧 道协议将它们封装在新的报头中进行发送。新的报头所使用的协议必须和中间网络协议同质，并 且提供了路由信息，从而使被封装的载荷能够被路由至特定主机或路由器，被封装的载荷在中间 网络上传递时所经过的逻辑路径就称为隧道。注意隧道技术是指数据封装，传输以及解封装的组 合，如图l - 2 所示。 1 2 1 隧道技术分类 圈1 2 隧道技术示意 隧道在物理上是由两个端点设备所构成，这两个端点设备必须使用相同的隧道协议进行工作 在网络发展史上出现过多种隧道技术，目前成熟且应用广泛的也有很多，如p p l 甲、l 2 t p 、i pi n 口、 i p s 等等。我们可以以o s i 参考模型为基础，按照隧道协议在o s i 模型中所属的层次对隧道进 行分类。主要可分为下述三种： 第二层隧道协议 第二层对应o s i 模型的数据链路层，以帧为单位交换数据。这一层的隧道协议将载荷首先封 装在p p p ( p o i m t o p o i n t p t o c o i ) 1 1 动帧中，并以隧道协议再次封装后通过网络进行传送，p p t p 【l ”、 l 2 f l 、l 2 t p 【”j 均属于第二层隧道协议。 创建第二层隧道的过程类似于在双方之间建立会话，隧道的两个端点必须同意创建隧道并协 商隧道各种配置变量，如地址分配，加密或压缩等参数。绝大多数情况下，使用基于数据报的协 议( 如l p ) 作为隧道传输协议，而另有单独的隧道维护协议用来进行隧道管理工作。 对于上述的几种第二层隧道协议，p 盯p 和l 2 t p 使用相对较广。虽然它们都使用p p p 协议对 数据进行初始封装但彼此存在诸多差异，具体表现在： 1 1p p l 阳要求传输网络为m 网络；l 2 t p 只要求传输媒介提供面向数据包的点对点连接。因 此，l 2 t p 可以在舻、帧中继、x 2 5 或删网络上使用，而p p r p 只能在i p 网络上使 用 4 i p v 4o v 日i p v 6 隧道系统的研究与实现 2 1p p r r p 只能在两端点问建证单一隧道；l 2 t p 支持在两端点问使埘多隧道。冈此，使_ l j l ，丌p ，h j 户可以针对不同的服务质域创建不同的隧道。 3 ) l 2 t p 可以提供隧道验证，而p p t p 则不支持 这些第一二层隧道协议均可作为实现虚拟专_ i l 网( 悄) 的摹础技术，但不属j ：奉论文所要研 究的内容，闪此不再做详细论述 第二层隧道协议 第一! 层对庸o s i 模喇的网络层，以数据撤为单位交换数据。i pa v e r 删”i 和i p c ”1 隧道模式就 是典刑的第二层隧道协议这些协议会先将i p 数据包作可能的处理( 如压缩、加密) 然历使用 新的i p 报头进行封装并通过i p 网络进行传输。 第二层隧道技术通常会假定好所有关j ：隧道配置方面的问题并预先以手动方式进 r 处理， 而不是在通讯过群中由隧道维护协议协商。闪此对f 这砦协议来说，通常就没仃单独的隧道维 护协议进行隧道管理，隧道的创建、更新和删除操作一般由管理员使用额外的隧道管理稃序米进 行。 i p s e c 实际l 二是一套协议的集合，除了对口数据流加密和完移性鉴别算法进i r 规定之外，还 制定了单独的隧道数据报头格式( 如a h 和e s p ) 与封装机制，统称为i p 辩c 隧道模式一个l p s 隧道南隧道客户币i 隧道服务器组成，采州协商加密机制。隧道客户使用安全方式封装和加密整个 l p 包，然后将加密的负载再次封装在明文i p 撤头内通过网络发送剑隧道服务器端。隧道服务 器对收剑的数据报进彳，处理在去除明文i p 报头，对负载进彳j 解密之后，将原始i p 包发送至目 的地。 i p s 需要考虑安全策略协商、加密算法各方面，相对而言mo v 盯m 则比较简单。它直接将 一个i p 数据包作为另外一个伊数据包的净荷从而形成具有两个m 报头的新数据包 本论文的研究内容集中在坤o v 盯i p 隧道模式，1 2 2 小耵将对其进行详细描述。 通州路由封装( g r e ) i l ” 和第_ 二层、第二层隧道协议不同通刚路由封装协议允许任何一种协议的数据包( 载荷包) 作为载荷封装在其他任何一种协议的数据包( 传输包) 中。按煦通常的封装机制，如粟m 种不同 协议的载荷包封装在n 种传输包中需要有m n 种转换协议米处理；f f i l 在通川路由封装中则先将 m 种载荷包封装进g r e 撒头中，再把g r e 报头封装到传输包中，这样只需要m + n 种转换协议 来处理。通h j 路由封装虽然通过这种方式减小了复杂性但它需要在载荷包与传输报头之间安装 g r e 撤头增加了处理开销，牺牲了效率 i 2 2i p o v c ri p 隧道技术 l l ：如1 2 1 小侈所述，i po v 盯i p 隧道是最简单的隧道封装技术它不使月j 加密。也没有中间 报头仅红作为载荷的| p 数据包外添加新的i p 报头即町。最初这里的i p 特指i p v 4 t 口现在由 于i p v 6 协议也逐渐成为主流。因此m o v 盯i p 隧道包括了i p v 4 0 埘i p v 4 、m v 4 0 v 盯i p v 6 ，i p v 6 0 v 嚣 i p v 4 ，i p v 6o v e r 【p v 6 在内的所有网种情况。虽然这四类隧道之问有细1 ，上的差别，但其封装、解 封装的基本原理都一样，如幽l - 3 所示。 i p v 4o v 盯i p v 6 隧道系统的研究与实现 一鲺始撒文寸 上 旧激晦赫载i 争一 隧道撤文 i p 报文的封装 圈i - 3i p 报文舶封装与解封装 争一原始撒文7 r p 撒文的解封装 mo v 盯口隧道可以看作虚拟的点到点迕接它是一种单向机制因此隧道端点自j 隧道入u 和 出口的区别。原始报文在隧道入口被封装，在隧道出口破解封装。添加在原始报文之前的i p 头部 称为隧道撒头，它的源地址和宿地址分别是隧道入口与隧道出u 的i p 地址：而原始报头的源宿地 址分别是真止的源主机与目的士机的i p 地址。 侄进行i p 报文的封装与解封装时需要考虑如f 几个问题： 报头字段处理 对丁原始报头，绝人多数字段在封装、传输和解封装的过程中保持不变但由丁原始报文将 隧道报头当作数据链路层看待，并将从隧道入口剑隧道出口的路径看作一跳，冈此唯+ + 需要改变 的趋：若原始报头为i p v 4 ，则1 - r l 字段值在封装时减一 若原始报头为i p v 6 。则h 叩l i m n 字段 值在封装时减一。而对下：隧道报头，其备字段的值均在创建隧道时由创建者指定，或者在根据需 要对原始报文进行处理时由稃序计算而得。 隧道m 1 u 对丁隧道撤头来讲，从隧道入u 劁隧道出u 的路径上可能有多跳，每一跳都仃相心的m t u 这条路径的p a t l l 删定义为各跳舢中的最小值而隧道m ny 定义为不需要分段i i l i 可以通过 隧道传输军隧道出u 的隧道撤文载荷的最人值因此其值应该楚p a 抽m 1 u 减女隧道撤火k 度m i 由j ：p 甜lm t u 是动态的，因此隧道删也是动态确定。通常隧道入口应该执 ，p a l i lm t u 发 现，但仃时为减小复杂性，可以选择标准协议所规定的最小m ”，。 隧道筹错处理 和止常报文一样隧道报文在隧道内传输时可能会发生错误，这样的错误可能源臼隧道搬又， 如h o pl i m i te x c d e d 或p 猢e t e rp r o b l 锄；也有可能源臼整个隧道报文，如p a c k e t1 b ob i g 这 些错误信息会以i c 伊报文为载体发送给隧道入口节点，然后由隧道入口节点负责中继给产生原 始报文的i 辕主机。无论隧道报头与原始报头所采h ；i 的i p 协议是否相同，都需要先将原始i c m p 报 文所挺供的错误信息翻译成恰当的、从源士机角度出发的错误状态然后再按照原始报文协议类 犁米构造j 上= 确的i c m p 报文并发送至源主机 防i 卜递归封装 由j ：隧道参数配置错误或者不合理的嵌套封装导致路由循环，使得隧道报文在离开隧道前义 重新进入该隧道进行封装这一过程称为递pl 封装。这将使得数据包越来越庞人，升且在网络内 部循环造成虚假流鼙，危害性较大为防1 1 ：递门封装的发生，可通过两种方法进j r 削断： 是 比较要进行封装的数据包的源i p 地址与隧道入口节点的p 地址若相同，划认为数据包l 经坎 封装过，此时席丢弃该数据包：- 二是比较要进 r 封装的数据包的游i p 地址与隧道入口处路南农指 示的隧道出u 伊地址，若相同。划认为出现了递pi 封装，此时也应该丢方该分组。如果不是这两 种情况则认为可以进 ，止常的封装动作 6 i p v 4o v 日i p v 6 隧道系统的研究与实现 1 3 论文研究背景 c e 鼢4 f r 2 是中国下一代互联网项目c n g i 最大的核心网，其主干网络协议为纯r p v 6 ，传输 速率2 5 1 0 g b p s ，实现2 0 0 余所高校1 1 0 g 的高速i p v 6 接入。这样的网络环境为开展各种新的科 学研究提供了便利。而a m s 0 2 项目的一些需求，如大规模视频会议、高速海量数据传输等，正 属于c n g i 的典型应用，可以利用c e r n e 他主干进行研究和部署。 a m s 实验是由丁肇中教授领导的大型空间物理实验，该实验将研制一个能精密测量高能量带 电原子核和粒子的磁谱仪，放置在国际空间站进行3 5 年的实验，来探测来自宇宙深处的反物质 和暗物质。该实验将持续产生大量的实验数据，这些数据首先从国际空间站( i s s ) 送往美国n a s a 的地面中心，然后由n a s a 送往位于瑞士c e r n 的科学处理中心( s o c ) ，并分发至全球各个地 区数据中心( r c ) ，其中包括东南大学( s e u ) 1 1 q 。实验数据处理的完整流程如图l - 4 所示。s 叫 需要通过互联网传输和镜像来自c e r n s o c 的全部数据( 总量5 5 0 t b ) 并提供分析和计算能力。 经计算。数据传输需要的网络带宽近2 6 6 m b n s s 。需要具有高国际带宽的网络支持。 圈1 4 m s 实验数据的处理流程 除了s e u 国内还有多所高校参与了a m s 项目，包括上海交大、中山大学、山东大学等。 为保证这些大学之问以及与c e r n 的合作顺利进行，需要一个大规模的视频会议系统。根据c e r n 的提议，拟采用由美国加州理工大学开发的s 视频会议系统l l 埘。目前该系统只支持i p 、，4 ，如 果在c e r n e t 上运行将受到带宽约束，不能充分保证视频会议质量。与此同时，各高校问亦有共 享a m s 实验数据的需求，同样需要高带宽的网络支持。另外，s e u 还承担了a m s 0 2 地面备份和 故障诊断与仿真的任务，在a m s 0 2 升空之后，它在国际空间站的运行状态也将通过视频图像经 c e r n 同步发送至s e u ，这意味着s e u 到c e r n 之间的网络信道要同时支持数据传输和多条视 频流的传送。 7 i p v 4o v 口i p v 6 隧道系统的研究与实现 鉴1 二上述情况。将数据和视频传输运行丁c e l n e 亿的6 土干将晟大稃度上解决带宽阳题。 由r 现有的视频传输和数据传输系统均摹r i p v 4 ，i i i i 且a m s 0 2 其他各国的课题组萆奉都在i p 、，4 网上所以备课题组端系统之问仍然是墓丁i p v 4 的交互，冈此孺构造一个隧道系统。将i p v 4 报 文封装在i p v 6 报文中通过i p v 6 主干进行传输，并保证隧道韵性能、效率及可管理性。 l i m x 操作系统由于其开放性和灵活性而被，“泛应朋，因此本论文将“n h 作为研究和实现 该系统的平台。目前，高效且可管理的l p v 4 0 w i p v 6 隧道系统尚未在l i n “操作系统内核中实现 和测试，从而。依托a m s 0 2 的项目需求在l i n “平台上进行i p v 4o v 日i p v 6 隧道系统的研究与实 现具有舣重意义 从而，本论文的i ：作将嗣绕一个针对a m s 0 2 项目数据及视频传输高带宽需求，满足系统管 理功能并提供一定q o s 控制，基r l i n i l 】【平台的i p v 4o v e r i p v 6 隧道系统的研究和实现f i i 展开。 为方便起见论文的以f 部分简称i p v 4o v 钟i p v 6 ( f o wo v e rs i x ) 隧道为f o x 隧道。 1 4 论文的研究目标与主要内容 i 4 1 研究目标 本论文以a m s 原有数据传输体系以及s 原有视频传输体系为基础，根据实际需求。设 计一个基丁l i n i | ) 【平台的f o x 隧道系统。使得基丁i p v 4 的传输戍刖能通过该隧道系统运行于衅v 6 主干上并提供一定的q o s 功能，保证传输的可控性和效率。对隧道系统的一些笑键技术进行研 究。完成系统中各模块的实现和系统的测试分析。同时。设计并实现一个隧道管理子系统执行 远程和本地的隧道配簧管理，并能对f o x 隧道系统的总体拓扑与运行情况进行监控，以确保其i l ： 常运转。 i 4 2 主要研究内容 本论文的研究内徉将硐绕f o x 隧道系统的总体结构设计、在“n h 操作系统内核中隧道服务 的提供与建立，本地配置以及远程监控管理的实现、q o s 功能的设计与实现等问题展开具体内 容包括： f o x 隧道系统的总体结构设计 芹先以对现有a m s 传输系统的影响稃度和合理性为指标，分析与现有系统町能的衔接方式， 并选择展可行的一种；其次在此基础上制定系统的运行流程，设计隧道系统的基本结构，井对 其做出分析评价。 隧道端系统基本功能研究 隧道的基本功能是封装和解封装。首先，比较多种“j 能的方法，以对原有i j i 核协议栈功能产 生的影响以及执行效率为指标，考虑相麻q o s 机制，从中选抒i i i i 种特定的实现方式：针对每种方 式确定报文在内核网络堆栈以及在朋户畚的处理流程。 其次详细分析两种实现方式各自所涉及剑的数据结构和算法，以及与内核原有协议栈发生 交j 的部分对这些关键部什的具体实现方式进行探索和优化，f 。分别对其做出分析和评价。同 时对- 二者共同所需考虑的问题包括隧道p a m m l u 的获得和选取方式，i c ，报文中继时的解 析方式进行探讨。 本地配簧及远料监控管理 存明确监控内容及管理日杯的基础上。首先分析隧道属性在内核态和h j 户态的数据结构表示。 ，f 设计数据采集、存储、显示的流样；其次设计本地和远程两种j f j 户操作界面以及二者与内核、 8 i p v 4o v c ri p v 6 隧道系统的研究与实现 用户态隧道数据结构的通信手段，确定用户命令的传递方式；最后综合成一个完整的监控管理功 能部件。 o o s 功能研究 为保证数据流经封装后进行传输的可控性和效率，须提供相应的q o s 控制。首先，分析q o s 所要达成的目标，可行的实施手段，同时分析本系统所在的环境等实际情况，从区分服务的角度 出发，选择适合本系统的q o s 机制：其