电子政务外网IPv6端到端演进方案PPT课件

政务外网IPv6端到端演进方案及改造案例 政策要求 现状 影响 挑战 地址稀缺 分配不均 技术瓶颈多 转发效率低 IPv4面临严峻挑战 自从2012年6月6日世界IPv6启动以来 IPv6已连续四年每年增长一倍 如果按目前的趋势继续下去 四年之后 将有超过一半的互联网用户实现IPv6连接 截至2018年6月 我国IPv4地址数量达到3 39亿个 IPv6地址数量达到23555块 32地址 二者总量均居世界第二 但IPv6部署率相比其他国家差距较大 截至2018年11月 全球IPv6用户数排名前十位的国家 地区 依次是印度 美国 巴西 德国 日本 英国 法国 加拿大 比利时 马来西亚等 中国IPv6用户数排在第11位 2012年7月 美国政府更新 政府IPv6应用指南 规划路线图 明确要求到2012年末 政府对外提供的所有互联网公共服务必须支持IPv6 到2014年末 政府内部办公网络全面支持IPv6 政策要求 现状 影响 挑战 国外IPv6发展迅猛 国内IPv6发展相对落后 中国IPv6地址逐年增加 中国IPv4地址11年起基本不变 使用IPv6访问Google用户超25 Top10IPv6部署率超40 中国23 全球IPv6部署整体情况 中国IPv6用户比率仅为3 53 电子政务外网IPv6规模部署发文要求 2017 2018 应用系统 国内用户量排名前50位的商业网站及应用 省部级以上政府和中央企业外网网站系统 中央和省级新闻及广播电视媒体网站系统 工业互联网等新兴领域的网络与应用 域名托管服务企业 顶级域运营机构 域名注册服务机构的域名服务器 超大型互联网数据中心 IDC 排名前5位的内容分发网络 CDN 排名前10位云服务平台的50 云产品 管道 互联网骨干网 骨干网网间互联体系 城域网和接入网 LTE网络及业务 广电骨干网终端 新增网络设备 固定网络终端 移动终端 2019 2020 2021 2025 应用系统 新增网络地址不再使用私有IPv4地址 国内用户量排名前100位的商业网站及应用 市地级以上政府外网网站系统 市地级以上新闻及广播电视媒体网站系统 大型互联网数据中心 排名前10位的内容分发网络 排名前10位云服务平台的全部云产品 管道 广电网络 5G网络及业务 国际出入口 终端 各类新增移动和固定终端 到2025年末 我国IPv6网络规模 用户规模 流量规模位居世界第一位 网络 应用 终端全面支持IPv6 全面完成向下一代互联网的平滑演进升级 形成全球领先的下一代互联网技术产业体系 到2018年末 市场驱动的良性发展环境基本形成 IPv6活跃用户数达到2亿 在互联网用户中的占比不低于20 到2025年末 我国IPv6网络规模 用户规模 流量规模位居世界第一位 形成全球领先的下一代互联网技术产业体系 到2020年末 市场驱动的良性发展环境日臻完善 IPv6活跃用户数超过5亿 在互联网用户中的占比超过50 发展路径 遵循典型应用先行 移动固定并举 增量带动存量的发展路径 以应用为切入点和突破口 重点加强用户多 使用广的典型互联网应用的IPv6升级 强化基于IPv6的特色应用创新 带动网络 终端协调发展 政策要求 现状 影响 挑战 对政府的要求 政府引导 企业主导 加强政府的统筹协调 政策扶持和应用引领 优化发展环境 充分发挥企业在IPv6发展中的主体地位作用 激发市场需求和企业发展的内生动力 注重实效 惠及民生 贯彻以人民为中心的发展思想 紧紧围绕人民群众的期待和需求 不断提升网络服务水平 丰富信息服务内容 让亿万人民共享互联网发展成果 省部级以上政府网站IPv6改造 初步完成国家电子政务外网改造 完成中央部委 省级政府门户网站改造 新建电子政务系统 信息化系统及服务平台全面支持IPv6 市地级以上政府网站IPv6改造 继续推进既有电子政务系统升级改造 全面完成电子政务外网升级 完成市地级以上政府门户网站升级改造 完成综治 金融 医疗等领域公共管理 民生公益等服务平台改造 网络是IPv6改造的基础 建议先行开展 政策解读 现状 影响 挑战 IPv6对政府网络的实施要求 第一阶段 2018年底 第二阶段 2020年底 IPv6规模部署的技术优势 IPv6 无限的地址空间IPv6 2 128IPv4 2 32 层次化地址结构利于路由快速查找 路由聚合 缩减IPv6路由表大小 简化与扩展 简化报文头 提高效率 通过扩展包头支持新应用 即插即用无状态地址自动配置 简化终端配置 自主的DNS根服务器 雪人计划 中国境内按照1主 3辅部署了4台IPv6根服务器 在技术方面的改进使IPv6的安全性更好 根服务器是国际互联网最重要的战略基础设施 是互联网通信的中枢 IPv6下 我们的门牌自己做主 利于路由器等网络设备的转发处理 降低投资成本 终端配置简单 方便用户操作 相比较IPv4地址 IPv6地址分配的更加规范 各大洲各国区分明显 海量的地址空间 有利于后续业务拓展 增强组播和流控8BITQOS 20BIT流标签促进互联网多媒体应用提供平台 IPv6的上述优势使得在5G 物联网 大数据 云计算等场景下有自己独特价值 IPv6的核心优势契合了业务的述求 协议 编址 报文格式 技术优势 安全IPSec 真实源地址认证等保证端到端安全 安全 保留的字段 取消的字段 名字位置变化 新增字段 IPv4Header 20B 60B IPv6Header 40Bytes 使用扩展报头时 报头顺序如下 RFC2460 基本IPv6包头逐跳选项报头 所有路由器都要对其处理 例如在RSVP中的应用 目标选项报头 使用了路由选择报头路由选择报头 列出了一个或多个中间点分段报头验证报头 AH 和封装安全有效负载 ESP 报头目的选项报头上层报头 主要为TCP UDP ICMPv6等等 IP报文头部改进 取消了IP的校验 第二层和第四层的校验已经足够健壮了 因此IPv6直接取消了IP的三层校验 取消中间节点的分片功能 分片重组功能由源目端自己进行 通过PMTU机制来发现路径MTU定义最长的IPv6报头 有利于硬件的快速处理 如此一来中间节点可以避免处理而节省大量的资源安全选项的支持 IPv6提供了对IPSec的完美支持 如此上层协议可以省去许多安全选项 如OSPFv3就取消了认证增加流标签 提高QoS效率 协议 编址 报文格式 技术优势 安全 IPv6报文格式 简单之美 协议 编址 报文格式 技术优势 安全 IPv6编址 层次区划 GloballyUniqueAddresses GUA地址作为全球唯一的单播地址 需要向CNNIC申请 一般用于需要有互联网访问需求的主机通信 UniqueLocalIPv6Addresses ULA地址可以被用作路由器互联和服务器互联 一般用作内部通信 例如一个站点内部 其固定前缀为FC00 7 GUA地址 类似于IPv4公网地址在网络中一般用于具有互联网访问需求的场景 ULA地址 类似于IPv4私网地址一般用于无需访问公网的内网 1 DHCPv6 Solicit 2 DHCPv6 Advertise 3 DHCPv6 Request 4 DHCPv6 Reply OLT BRAS IPv6 DHCPv6Server HG DHCPv6Client 有状态 DHCPv6地址申请和分配四步交互法 IPv6主机自动配置 无状态 无需DHCP服务器 根据本地接口ID自动产生链路本地地址发出邻居请求 进行重复地址检测如不重复 链路本地地址生效 节点具备IP连接能力主机发送路由器请求消息 或接收到路由器定期发送的宣告消息 根据路由器回应的宣告消息 获得本链路前缀信息前缀 接口ID 主机的全局地址或网点地址 自动生成地址进行地址冲突检测自动配置的地址有生命期主机适应地址重配置 Renumber 路由器自动生成链路本地地址 路由协议 协议 编址 报文格式 技术优势 安全 IPv6地址配置即插即用 路由协议 IPv6报头 AH扩展头 IPv6数据 IPv6报头 其他扩展头 加密的IPv6数据 ESP扩展头 认证数据 明文 密文 IPv6安全 内置IPSec 说明采用IPSec安全结构将IPSec作为专用扩展头 实现端到端的安全认证报头 AH AuthenticationHeader 确保源地址真实性以及传输的完整性加密安全载荷 ESP EncapsulatingorEncryptedSecurityPayload 加密IP包数据区 确保只有目的地节点才能看懂IP包的内容AH和ESP还可以识别重发包 协议 编址 报文格式 技术优势 安全 电子政务外网是 IPv6行动计划 中明确要求在2020年底完成IPv6改造的重点行业 政务网络演进遵循的原则 保障网络质量 IPv6过渡应实现平滑过渡 保障现有IPv4业务不受影响 IPv6业务质量不低于IPv4业务质量 控制改造成本 IPv6过渡应保护现有投资 尽量降低升级成本和网络改造量 选择通用技术 IPv6过渡技术应选择符合相关国内外标准的通用技术 避免采用私有标准或非开放协议 电子政务外网IPv6升级改造的原则 根据业界通用的升级改造经验和原则 建议采取网络和安全先行 业务随后接入的策略 云端为重 管道先行 改造方案 改造原则 改造关键点 EVP方案基于网络演进的基本原则 针对三大改造关键点 通过深入科学的评估调研 积极探索合适的改造方案并进行试点验证 制定IPv6 一网 化建网标准 为IPv6改造工作提供统一的标准规范参考 电子政务外网IPv6 端到端EVP方案 IPv6 端到端EVP演进方案 实现政务外网 一网 安全 敏捷 规范 化 E2E评估网络 遵循IPv6改造的原则以及政务业务 一网 化演进需求 从网络架构 IPv6功能 规格性能等角度综合评估现网 识别网络瓶颈 解决网络 老 杂 孤 缺 四大问题 预估改造成本 是网络改造的基础 验证E2E方案 基于评估结果 系统规划 推荐 验证IPv6 演进关键方案 保障方案可行性及平稳交付 是网络改造的保障 E2E网络规划 制定面向IPv6演进的全省政务外网建网规范 构建IPv6 一网 化先进网络 最终实现政务服务 一网 化改革 是网络改造的指引 改造关键点 IPv6改造内容和关键点 业务系统 承载网 终端 运维支撑系统 IDC数据中心 对终端进行梳理 确定IPv6的支持程度 不支持的终端进行替换 梳理运维支撑系统对IPv6的支持情况 按需升级 梳理承载网相关的网络设备对IPv6相关过渡技术的支持情况 按需升级 梳理周边业务系统IPv6双栈的支持情况 按需升级 应用直接决定了IPv6的商用程度 因此对需要支持IPv6的应用业务系统进行升级 IPv6过渡技术选择IPv6接入技术选择网络承载过渡技术选择业务承载过渡技术选择IPv6业务保障技术选择 改造三大关键点 改造关键点 第一大关键点 现网评估 评估方法 端到端评估改造风险 识别网络瓶颈 评估范围 输入 评估 输出 特性评估报告 规格评估报告 网络架构信息现网业务信息网络设备信息IPv4相关表项规格周边系统版本型号 网络架构评估网络设备IPv6支持度评估网络设备IPv6性能评估周边系统IPv6满足度评估 要点 所有涉及TCP IPL3层以上的设备需要IPv6评估及改造 L2层设备基于需求进行评估改造 网络可演进性评估报告IPv6支持度评估报告网络设备IPv6规格性能满足度评估报告 互联网业务 政务外网业务 公共互联网业务 纵向网部分 横向网部分 第二大关键点 IPv6地址规划 有效路由聚合 基于地域 网络层次化结构 有效聚合路由 按地域精管理 Region字段和行政地域管理匹配 做到地址所见即所得 减少溯源难度 简单路由策略 根据业务类型 网络类型 区域位置字段 实现灵活多样的路由策略 精细业务划分 通过Service字段 实现业务精细划分 基于IP地址对不同业务进行大颗粒策略处理 IPv6地址规划总体策略 IPv6地址申请三大渠道 CNNIC ChinaInternetNetworkInformationCenter 中国互联网络信息中心 于1997年6月3日组建 现为中央网络安全和信息化领导小组办公室 国家互联网信息办公室 直属事业单位 行使国家互联网络信息中心职责 中国互联网络信息中心CNNICIPv6地址使用年费 中国互联网络信息中心CNNICIPv6地址申请办法 中国互联网络信息中心IP地址分配联盟管理办法 IPv6申请办法 可分配地址块 3 3 6 y x 64 子网 待规划的IPv6地址段 接口地址 标识网络 业务平台和用户地址等 从地址机构 CNNIC等 申请到的固定网络前缀 NP 属性 网络 地域 接口地址 可分配的使用地址 标识集团及不同区域网络 如 不同城域网络 标识独立管理的骨干网 如1平面 2平面 网络前缀 网络设备和平台地址一次分配后短期内不再规划 网络地址 各类网络设备用loopback 互联中继 网管地址等 业务平台地址 平台服务器物理地址 服务地址等 用户地址 各类业务为终端用户分配的地址预留地址作为预留 为以后特定属性地址使用 地址分配最小颗粒度为 64 小型区域和单位用户以 56颗粒度进行分配 大型区域以 48颗粒度进行分配 IPv6地址规划举例 第三大关键点 IPv6过渡技术选择 IPv6 IPv4 向IPv6迁移的三大技术方向 翻译 Translation 翻译技术用于IPv6 only网络和IPv4 only网络的互通 翻译设备位于两个网络的边界 翻译时需要将IP头的各对应字段强制转换 此外还需要将报文体中携带的地址实现转换 例如NAT64和PNAT IVI等适用情况 适用于IPv6改造各阶段的补充使用 不建议作为主流方案 在条件允许的情况下 优先采用双栈方案 其次是隧道技术 翻译技术 双栈终端 IPv4 IPv6网络 Native双栈 网关 广域核心 城域核心 城域网 广域网 政务云 IPv6应用 IPv4应用 IPv4流量 IPv6流量 双栈技术网络改造综合成本最低 承载网优先完成双栈改造 快速无缝迁移支持IPv6 基于6vPE技术进行业务逻辑隔离 双栈终端 IPv4 IPv6网络 6vPE 网关 MCE InternetVPN 政务云业务VPN MPLS 城域核心 PE IPv4流量 IPv6流量 政务外网IPv6过渡技术选型 一 双栈终端 双栈 NAT64 网关 广域核心 城域核心 城域网 广域网 政务云 IPv4应用 NAT64 DNS64 IPv4流量 IPv6流量 双栈终端 ISATAP隧道 出口防火墙 IPv6网关 部署ISATAP IPv4only IPv4流量 IPv6流量 IPv6应用 IPv4应用 IPv4 IPv6网络 IPv4 IPv6网络 政务外网IPv6过渡技术选型 二 在政务云部署NAT64技术 满足IPv6终端对IPv4业务的访问需求 对于不支持IPv6的接入网 通过ISATAP隧道封装IPv6流量转发 现有广域网一般都使用双平面结构 可以采用主备平面轮流升级的方式平滑过渡为IPv4 IPv6双栈承载网 广域网边界部署支持IPv6的MPLSL3VPN 6vPE 双栈OSPFv3 IS ISv6 双栈EBGP4 双栈EBGP4 IPv4单栈 广域网IPv6演进方案 双栈 IPv6 IPv4 6vPE 6vPE 6vPE 6vPE 6vPE 6vPE OSPFv3 IS ISv6 EBGP4 EBGP4 OSPFv3 IS ISv6 EBGP4 EBGP4 采用双栈技术完成向纯IPv6网络的平滑演进 网络边缘部署6vPE技术支持IPv6VPN业务 城域网IPv6演进方案 ASBR ASYYYYY OSPFAREAN OSPFAREA0 OSPFAREAN BGP 维持原有IGP域的划分方式 IGP域 维持原有IPv4的AS和Area划分 Area划分 IPv4发布IPv4的路由 IPv6的路由协议划分IPv6路由 路由协议的设置参考IPv4 路由发布 IGP协议 1 2 3 4 根据客户现有网络和使用习惯 现网为OSPF则部署OSPFv3 现网为ISIS则部署ISISv6 COST 定时器参考原有IPv4的参数 OSPF 新增OSPFv3协议配置ISIS 启用ISIS多拓扑 支持V6拓扑发现BGP 支持BGP4 双栈方式无需专门的隧道配置 简单高效 在进行双栈改造时 网络设备需要考虑IPv4和IPv6并存时路由器的协议性能和转发性能是否满足要求 广域 城域骨干网络IPv6迁移对路由协议改造 CE PE P PE CE IPv6Packet IPv6Packet MP BGPLabel LDPLabel IPv6Packet IPv4MPLS MP BGP IPv6 改造原则 MPLS不区分IPv4和IPv6重用现有的MPLS网络 通过IPv4MPLS隧道承载IPv6报文IGP无需改变 LDP RSVP等MPLS协议无需改变 VPN地址是IPv6 VPN相关参数可以参考IPv4 专线支持6vPE IPv6MPLSL3VPNL3VPN和传统的L3VPN划分没有任何差别 一个子接口下支持IPv4和IPv6地址 绑定同一个VPN实例PE节点支持6vPE特性 IPv6L3VPN报文通过MPLS外层隧道穿越MPLS骨干网络VPN负载分担 跨域和策略控制和IPv4的VPN完全类似 VPN业务改造 使用6vPE技术承载IPv6VPN业务 局域网IPv6演进方案 管理中心 网络出口 分支机构 WAN 数据中心 核心层 局域网边界 汇聚层 接入层 委办局B 委办局C 演进方案 VLAN透传 ND DHCPv6Snooping 双栈 OSPFv3 DHCPv6Relay 双栈 EBGP4 前期6ove4后期双栈 双栈 IPv6认证及策略 OSPFv3 DHCPv6Relay 双栈 支持DHCPv6Server 前期 在区域范围内试点 包括云 管 端的完整的一个业务流程改造数据中心部分业务 使之支持IPv6方式访问改造特定区域之接入层与汇聚层 使之支持双栈改造网管部分和核心层 使之支持双栈在网络出口部署双栈防火墙 路由器 使之能够通过隧道方式与其他分支通过IPv6互通 后期 试点范围继续扩大到园区内全部终端以及大部分的业务改造园区内所有区域支持双栈网络改造WAN 使之支持双栈 并撤销原有穿越WAN之IPv6OverIPv4隧道 IPv6overIPv4 委办局A IPv6试点 备注 802 1x认证与IPv4 6无关 MAC认证要求支持IPv6首包触发认证Portal认证要求支持IPv6 AAAA 演进步骤 DNS64 双栈方案 NAT64 双栈 业务改造 VLAN透传不需改造 双栈 OSPFv3 双栈 EBGP4 DNS双栈 AAAA NAT64网关 DNS64 DC内部不需改造 IPv6User IPv4User 双栈User IPv6 IPv4 VTEP Serverleaf Spine Serverleaf Border Leaf 裸金属 VTEP Serverleaf 裸金属 IPv4 IPv6 IPv4 IPv6 数据中心基础网络IPv6演进方案 Serverleaf 数据中心内部双栈改造 IPv6内容匮乏将导致用户很难切换到IPv6上 因此 数据中心的双栈改造是IPv6演进的重要环节 DC向IPv6演进的主流方案 双栈改造范围大 改造周期较长 数据中心出口部署NAT64方案 DC双栈方案的补充方案 主要适用于终端只支持IPv6 为可控业务或简单应用提供IPv6访问的场景 IDC内部不需改造 部署周期较短 但存在ALG问题 NAT64设备容易成为瓶颈点 同时需要DNS64设备配合 IPv4 IPv6 IPv4 IPv6 IPv6改造QOS规划 IPv4网络 IPv6网络 双栈IDC数据中心 IPv6优先级 采用和IPv4的QOS类似的机制 支持PQ WFQ和H QOS调度 TrafficClass是IPv6报文中标记优先级的字段双栈流量调度 IPv4和IPv6流量统一调度 相同类型业务的IPv4和IPv4流量共享同一QOS队列 例如 同样属于视频业务的IPv4和IPv6流量 可以配置优先级相同 共同享有带宽100M 对于宽带用户可以通过配置的方式单独占用QOS队列 DAA IPv6报头 IPv6改造可靠性规划建议 冗余备份 NSR BFD 路由优化 FRR 双栈网络 双主控多交换网多风扇多电源 单播路由NSRVPNNSRMPLNSR组播NSR 链路BFD路由BFDVPNBFDMPLSBFD IPFRRTEFRRLDPFRRVPNFRR 路由快速收敛弱策略路由ECMPIPTRUNK 冗余备份 IPv4和IPv6路由器硬件无差异NSR 部署IPv6路由和VPN的协议的路由器 和IPv4协议一样 支持NSR技术 防止主备倒换协议中断BFD IPv6和IPv4一样支持BFDforanything 单个BFD会话可以关联同一段IPv4 IPv6转发路径状态路由优化 IPv4和IPv6具备相同的网络优化能力FRR 部署IPv6路由和VPN的协议的路由器 和IPv4协议一样 支持FRR技术 链路中断后可以快速将流量收敛到备份路径 能够实现各种IPv6地址类型的识别和管理支持IPv6中DNS解析监控功能支持对IPv6设备和双栈设备的性能 资源 故障等数据采集能力 满足对IPv6设备和双栈设备的性能管理 资源管理 故障管理及分析等功能对于双栈设备能够进行IPv4及IPv6的关联 使得双栈设备的各种资源 性能 故障等数据能够与历史数据平滑关联应可以通过基于IPv4的SNMP访问相关设备IPv6MIB 通过IPv6MIB获得IPv6配置和流量等相关信息 网管系统不面向用户 IP地址需求数量不多 系统内部间通信时向IPv6演进的需求不强烈 因此可以仍保留IPv4地址不进行IPv6的改造 其他周边系统如门户网站还采用了负载均衡等技术 需确认是否支持IPv6确认网站用户认证管理系统是否已支持IPv6 网管等其他周边系统改造 Windows2003Server支持IPv6 但是默认没有安装 需要手工安装相应的软件包Windows2008Server及以后的服务器版本均以默认安装IPv6 常见Linux系统的IPv6支持度 服务器常见的操作系统包括Linux Unix和WindowsServer等 以下为各类操作系统对IPv6支持情况 如不满足版本要求 则需要对操作系统进行升级 WindowsServer对IPv6的支持度 详细的升级步骤和注意事项 需要由操作系统提供商提供 操作系统改造 常见的数据库系统对IPv6的支持度如下 如低于下列版本 则需要对系统使用到的数据进行升级 数据库系统改造 WEB服务器主要提供网上信息浏览服务 是互联网上应用最广泛的服务 目前常用的WEB服务器软件有Apache Nginx以及微软的IIS服务等 Apache自版本2 0 11以后提供对IPv6的支持微软IIS服务自2003年发布的IIS6 0以后就开始支持IPv6Nginx从0 7 36及以后的版本开始支持IPv6如客户当前使用的服务高于上述版本 客户可以通过简单的配置操作 即可启用IPv6服务确认门户前端实现中是否存在使用IP地址进行通信的代码设置 如存在需要修改为URL或绝对地址路径WEB改造需要由业务提供商提供详细的改造方案和计划 门户网站WEB系统改造 X省IPv6改造挑战及思路 省级政务外网由纵向到底 横向到边的 一纵四横 构成 委办局众多 IP地址规划不规范 政务外网IPv6部署规范不完善 需要全网顶层设计 选择xx委办局为试点单位 聚焦专网业务 互联网业务 政务外网三大类业务 端到端改造省级广域 城域骨干 委办局局域网 互联网出口 云平台网络改造 重点改造互联网区业务 委办局 X省IPv6端到端改造方案 部署双栈发布路由IPv6安全防护 试点委办局 政务云平台 部署双栈有线 无线DHCPv6认证保留IPv4方式 需放行IPv6流量网管保留IPv4方式IPv6安全防护 部署双栈 6vPE 部署双栈 NAT64IPv6安全防护 互联网区 政务外网区 流控 负载均衡 流量清洗 DWDM 建议新建互联网出口区 增加Anti Ddos设备 出口区使能IPv4 6双栈 从ISP租赁双栈线路 互联网云中心二层设备不需改造 对DNS WAF SSLVPN应用服务器改造支持双栈 综合评估现网设备 考虑改造原则 决策业务改造方案