集团客户数据业务IPv6商用环境验证

1、研发项目结题报告项目名称及编号集团客户ipv6网络商用环境验证主要研究单位及负责人（联系方式）其他研究单位及负责人（联系方式）是否集团级重点项目(是/否)是是否联合研发项目（是/否）； 是项目经费（万元）30项目起止时间 专业类别ip研究类别超前研究关键词索引（35个）ipv6 双栈 安全该项目在研究单位内部的评审结果（按填写说明3）该项目在研究单位内部的评审意见：描述评审专家组对该项目在技术先进性，创新性，取得的总体效益，可推广性等方面的评价。项目研究成果简介：1、简要总结该项目的目的和意义，解决的问题、解决方案、项目研究成果、专利、标准、新技术试验等方面目标及其承担单位的完成情况。2、若项

2、目输出无软件成果，则填“无”；若有软件成果，则填写软件名称，并对软件总体情况、软件版权归属情况、软件版权登记号、后续推广对象（不限于公司内部）、应用前景等情况予以说明。该项目的专利情况：1、没有的话填“无”，有的话填写专利名称及申请号或授权号。2、对于我公司自有专利，请对专利的应用价值及应用前景予以说明。如：（1）对外许可的可能性及潜在的许可对象；（2）在保障公司业务正常开展方面及增强公司选择供应商/合作商自主性方面的具体作用。3、对该项目涉及领域的专利风险予以介绍。并对项目实施过程中为降低专利侵权风险采取的必要措施予以介绍（如，因专利风险或其他相关知识产权问题已进行的方案调整或规避设计、重要

3、讨论会结论、合作方承诺等）。该项目研究中发现的问题及今后工作建议：如研究中发现的新问题、对现有企业标准规范的符合度，即在现有的企业标准（企业标准的名称和编号）基础上所需新增的功能要求（如业务流程的改变、设备新增的功能要求等）。 项目研究成果的主体内容（3000字以上，可附在表格后）：1、研究成果主体内容：1 背景信息由于历史的原因，中国在ipv4的发展中处于后进的状态，在国际上发言权不多，导致在ip地址的供需上严重失衡。截止2002年8月，拥有13亿人口的中国，只有大约2502万个ip地址，b类地址不足200个，a类地址一个都没有（数据来源：来自arin 和apnic互联网地址分配机构apni

4、c（亚洲/大洋州），arin（北美/南美）。不言而喻，中国应该是全球最需要ip地址的国家之一。同时，中国作为一个互联网和移动通信大国，理应要在下一代互联网标准和资源分配中力争更大的发言权。随着因特网的迅猛发展，ipv4设计的不足也日益明显，主要有以下几点：1、 ipv4地址空间不足ipv4地址采用32比特标识，理论上能够提供的地址数量是43亿。但由于地址分配的原因，实际可使用的数量不到43亿。另外，ipv4地址的分配也很不均衡：美国占全球地址空间的一半左右，而欧洲则相对匮乏；亚太地区则更加匮乏。与此同时，移动ip和宽带技术的发展需要更多的ip地址。ipv4地址资源紧张直接限制了ip技术应用的进

5、一步发展。2、 骨干路由器维护的路由表表项数量过大由于ipv4发展初期的分配规划问题，造成许多ipv4地址分配不连续，不能有效聚合路由。日益庞大的路由表耗用较多内存，对设备成本和转发效率产生影响，这一问题促使设备制造商不断升级其路由器产品，以提高路由寻址和转发性能。3、 不易进行自动配置和重新编址由于ipv4地址只有32比特，并且地址分配不均衡，导致在网络扩容或重新部署时，经常需要重新分配ip地址。因此需要能够进行自动配置和重新编址以减少维护工作量。4、 不能解决日益突出的安全问题随着因特网的发展，安全问题越来越突出。ipv4协议制定时并没有仔细针对安全性进行设计，因此固有的框架结构并不能支持

6、端到端的安全。ipv6技术从根本上解决了ip地址短缺的问题；且易于部署，能够兼容当前的各种应用，方便用户的平滑过渡；同时可实现与ipv4网络的共存和互通。由于ipv4存在以上种种弊端和不足，ipv6技术的优越性显而易见，因此ipv6技术得以迅猛发展。对中国而言，ipv6的发展将给我们带来巨大机遇。作为互联网和移动通信大国，基于ipv6的互联网将在我国从基础设施、服务与应用、媒体与内容、设备制造等层面形成新的巨大产业，拉动经济的发展。从全局观点看，ipv6也许是比3g更为重要的一次机遇。2 技术特点分析ipv6（internet protocol version 6）是网络层协议的第二代标准协议

7、，也被称为ipng（ip next generation）。它是ietf（internet工程任务组）设计的一套规范，是ipv4（internet protocol version 4）的升级版本。ipv6和ipv4之间最显著的区别就是ip地址长度从原来的32位升级为128位。ipv6以其简化的报文头格式、充足的地址空间、层次化的地址结构、灵活的扩展头、增强的邻居发现机制将在未来的市场竞争中充满活力。1、层次化的地址结构ipv6的地址空间采用了层次化的地址结构，利于路由快速查找，同时借助路由聚合，可减少ipv6路由表的大小，提高路由设备的转发效率。2、地址自动配置为了简化主机配置，ipv6支持

8、有状态地址配置（stateful address autoconfiguration）和无状态地址配置（stateless address autoconfiguration）。1）对于有状态地址配置，主机通过服务器获取地址信息和配置信息。2）对于无状态地址配置，主机自动配置地址信息，地址中带有本地路由设备通告的前缀和主机的接口标识。如果链路上没有路由设备，主机只能自动配置链路本地地址，实现与本地节点的互通。3、支持qosipv6报头的新字段定义了流量应该被如何标识和处理。通过报文头里的流标签（flow label）字段完成流量标识，允许路由设备对某一流中的报文进行识别并提供特殊处理。由于ip

9、v6报头可对流量进行识别，即使是带有ipsec加密的报文载荷也可对其qos进行保证。4、内置安全性ipv6将ipsec作为它的扩展报头实现，提供端到端的安全特性。这一特性为解决网络安全问题提供了标准，并提高了不同ipv6实现的互操作性。5、灵活的扩展报文头ipv4报头只能支持40字节的选项，而ipv6扩展报头的大小只受到ipv6报文大小的限制。ipv6取消了ipv4报头中的选项字段，并引入了多种扩展报文头，在提高处理效率的同时还增强了ipv6的灵活性，为ip协议提供了良好的扩展能力。3 标准化情况ipv6（internet protocol version 6）是网络层协议的第二代标准协议，也

10、被称为ipng（ip next generation）。它是ietf（internet工程任务组）设计的一套规范，是ipv4（internet protocol version 4）的升级版本。目前相关的rfc文档有：rfc793transmission control protocolrfc768user datagram protocolrfc1981path mtu discovery for ip version 6rfc2461neighbor discovery for ip version 6 (ipv6)rfc2463internet control message proto

11、col for the internet protocol version 6 specificationrfc2465management information base for ip version 6:textual conventions and general grouprfc2466management information base for ip version 6:icmpv6 grouprfc2893transition mechanisms for ipv6 hosts and routersrfc3056connection of ipv6 domains via i

12、pv4 cloudsrfc4214intra-site automatic tunne，l addressing protocol(isatap)4 技术发展趋势ipv6产业链基本成熟，基本满足向ipv6网络过渡所需，目前网络设备的主流厂商也已经研发了大量的ipv6产品，截至09年底400余款设备通过ipv6论坛认证。各主流运营商也在开展ipv6接入能力的测试，对ipv6接入方案逐步清晰。ipv6演进技术包括：双栈技术、隧道技术和nat技术。1、 双栈技术是ipv6演进基础，针对不同阶段、不同场景下双栈可以和隧道、转换技术组合使用。2、 隧道技术 包括手工配置隧道和gre隧道、6to4隧道、l

13、2tp隧道、isatap隧道、softwire以及6pe等其他隧道技术。3、 nat 包括无状态的ip/icmp翻译、有状态的nat-pt和nat64和其他的一些转换技术。5 引入策略分析在ipv4向ipv6演进初期，只有少量ipv6用户时，可以采用6rd方式。在ipv6用户逐步增加的过程中采用dual+stack方式。在ipv6用户大量存在时，可采用ds-lite方式。在网络中只存在少量的ipv4用户或者用户只支持ipv6单栈时，采用nat64方式。在不同的时期，采用不同的技术，可以实现平滑的从ipv4向ipv6的网络演进。6 项目测试内容1、 ipv6基础协议测试1.1 nd协议dad功能

14、测试内容测试步骤(1)在设备和pc相连的接口上使能ipv6，把相同的ipv6地址（如2001:1/64）配置到直接互联的被测设备端口;(2)手动配置互连接口的link-local地址，将两端地址配置一致(3)显示被测接口的接口状态，检查接口信息及log信息等测试结论：后配置ipv6地址的一端,显示地址重复(后配置的link-local地址,在接口下显示地址冲突)，测试通过。1.2 nd协议slaac功能测试测试步骤：(1)被测设备接口启用ipv6，并采用nd方式为终端下发前缀；(2)终端通过交换机接入网络设备，检查终端是否正确获得ipv6前缀，并能否ping通被测设备；抓包记录终端设备与网络设

15、备之间的协议交互过程测试结论：被测设备的无状态地址自动配置功能成功，终端可以正确获得ipv6前缀并可以ping通被测设备。2、 ipv6路由功能测试2.1 静态路由有效性测试过程：(1)双栈节点使能ipv6,配置各互联链路两端ipv6地址；(2)配置各节点ipv6静态路由并指定ipv6缺省路由,配置原则是pe节点(bras)的ipv6缺省路由指向最近的p节点(城域cr),2个p节点缺省路由互相指向对端；(3)查看各节点配置ipv6地址的端口状态和各节点ipv6路由表；(4)各节点间互相进行ipv6 ping测试。测试结论：各台设备之间可以ping通 (1)ipv6地址使用有效;(2)ipv6静

16、态路由有效 2.2 ospfv3路由协议有效性测试过程：(1)双栈节点使能ipv6,配置各互联链路两端ipv6地址;(2)配置各节点启动ospfv3,并在接口上使能ospfv3,配置cr节点为area0;(3)配置me60节点为stub area,设置default-cost,查看其ospfv3路由表和ipv6路由表;(4)配置me60节点为nssa area,在me60节点将ipv6 静态路由引入ospfv3,通过ipv6-prefix过滤器配置路由过滤策略,允许发布2011:/64地址,禁止发布2012:/64地址.查看各节点学习到该段ipv6 静态路由是否正确;(5)配置me60节点为a

17、rea0,me60节点配置最大负载均衡2,查看该节点ospfv3路由表(6)在me60节点引入直连路由,并过滤部分引入的路由.查看各节点学习到的引入路由;(7)配置me60节点为area2并作区域认证,配置为area3并 接口认证.在口令一致和不一致情况下查看ospfv3 peer建立情况;(8)重启个别节点ospfv3进程,查看该节点ospfv3 peer和ospfv3路由表.然后再全局使能ospfv3 gr,重启个别节点查看该节点ospfv3 peer和ipv6 fib表。测试结论：除配置验证的area和接口,口令一致的情况下才能建立ospfv3 peer因目前设备版本原因以外，其余测试满

18、足ospf v3的各项功能。2.3 isisv6路由协议有效性测试过程：(1)双栈节点使能ipv6,配置各互联链路两端ipv6地址;(2)各节点使能is-is路由协议,配置进程号,网络实体名,level,并在接口下使能is-is进程;(3)配置cr节点为level-2,me60节点为level-1-2,另一me60节点为level-1,查看各节点isisv6路由表和ipv6路由表;(4)配置cr节点发布level-2 ipv6缺省路由,并配置缺省cost.查看其它节点是否学习到指向p节点的ipv6缺省路由及ipv6缺省路由cost;(5)配置cr节点引入直连ipv6路由,查看各节点是否学习到该

19、节点引入的直连路由;(6)配置me60节点上将level-2的ipv6路由引入level-1,并配置路由过滤,查看另一me60节点是否学习到level-2路由。测试结论：在使用ipv6 import-route isis level-2 into level-1 filter-policy route-policy 命令过滤路由时不成功，后续补丁解决。其余各项功能验证都通过。2.4 策略路由有效性测试过程：(1)me60和另一me60节点作为pe使能ipv6,并配置互联链路的ipv6地址。(2)测试pc使能ipv6并配置ipv6地址。(3)在测试用pc和2台pe之间使能ospfv3路由协议 ,

20、查看me60的ipv6路由表，并ping ipv6测试pc的地址1和地址2地址。(4)在me60上配置策略路由,配置策略路由拒绝来自另一me60的流量。验证结论：验证测试通过：(1)aclv6有效;(2)策略路由有效3、 ipv6过渡功能测试 测试内容(1)园艺me60和高水me60节点作为pe使能ipv6,并配置互联链路的ipv6地址;(2)园艺me60,高水me60节点和cr(a),cr(b)节点间使能isis路由协议并使能mpls;(3)各双栈pe节点和ipv4 p节点建立mpls ibgp ipv4peer,两个p节点作rr;(4)2台测试用ce节点分别园艺me60,高水me60节点间

21、运行ospfv3路由协议;(5)园艺me60,高水me60节点分别启动6pe功能,将ospfv3路由引入bgp ipv6路由表.验证结论： (1) 6pe隧道成功建立，两台me60可以互相学习到对方引入的路由。(2)在园艺me60上引入ospfv3路由协议，在高水me60上可以学习到引入的ospfv3路由。4、 ipv6接入功能测试4.1 双栈pppoe接入有效性测试内容：(1)全局使能ipv6,配置ipv6节点互联链路的ipv6地址及相应的ipv6路由设置;(2)高水me60节点配置静态用户上线,包含地址池,认证域,上线端口,静态地址绑定,win7服务器采用不认证不计费方式静态双栈地址上线,

22、win7服务器开启web和ftp服务;(3)园艺me60节点配置pppoe用户上线,配置地址池,认证模板,计费模板,认证域,bas端口和本地帐户等信息.配置园艺me60下挂s9312交换机透传用户vlan;(4)在win7客户端上进行pppoe双栈上线测试,上线成功后访问win7服务器web和ftp服务.验证结论：1、 客户端可以成功获取到ipv6地址和ipv4地址2、 在客户端和服务器路由可达后，客户端可以成功从服务器端下载数据。4.2 双栈静态接入有效性测试步骤：(1)全局使能ipv6,配置ipv6节点互联链路的ipv6地址及相应的ipv6路由设置;(2)高水me60节点配置静态用户上线,

23、包含地址池,认证域,上线端口,静态地址绑定,win7服务器采用不认证不计费方式静态双栈地址上线,win7服务器开启web和ftp服务;(3)园艺me60节点配置静态用户上线,配置地址池,认证模板,计费模板,认证域,bas端口和本地帐户等信息.配置园艺me60下挂s9312交换机透传用户vlan;(4)在win7客户端上进行静态双栈上线测试,上线成功后访问win7服务器web和ftp服务.验证结论：该测试版本需要在v6r3c05版本才支持。4.3 双栈dhcp接入有效性(1)全局使能ipv6,配置ipv6节点互联链路的ipv6地址及相应的ipv6路由设置;(2)高水me60节点配置静态用户上线,

24、包含地址池,认证域,上线端口,静态地址绑定,win7服务器采用不认证不计费方式静态双栈地址上线,win7服务器开启web和ftp服务;(3)园艺me60节点配置dhcp双栈用户上线,配置地址池,认证模板,计费模板,认证域,bas端口和本地帐户等信息.配置园艺me60下挂s9312交换机透传用户vlan;(4)win7客户端自动获取双栈地址上线测试,上线成功后访问win7服务器web和ftp服务.测试结论：双栈dhcp上线有效，可以ping通服务器，并可以从服务器通过ftp下载数据。5 安全功能测试5.1 ipv4到ipv6过渡双栈功能测试测试步骤：正确配置pc、清洗设备、server上的ipv

25、4和ipv6地址1、 配置pc和server的ipv4和ipv6缺省网关；2、在pc上分别ping server上的ipv4和ipv6地址，有结果13、在pc上分别使用ipv4和ipv6的方式使用web方式访问server上的http服务，有结果2在pc上使用ipv4和ipv6的方式使用ftp下载server上是文件，有结果3测试结论：1、使用ipv4/ipv6方式均能ping成功2、使用ipv4/ipv6方式均能访问web页面成功3、使用ipv4/ipv6方式均能ftp下载成功 测试通过.5.2 ipv4到ipv6过渡双栈功能测试测试步骤：1、设置被测设备接口的ipv6地址，将接口1和接口2

26、加入不同的清洗设备域。2、pc和server配置ipv6地址，通过pc访问server，在清洗设备上配置ipv6 acl，将规则应用到清洗设备的域间，拒绝pc对server的ipv6流量访问。 3、通过访问情况，验证域间包过滤规则是否生效。测试结论：命中域间规则的流量不能通过。测试通过。5.3 syn flood攻击防御功能测试测试步骤1、关闭清洗系统的ipv6 syn flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6协议的syn flood攻击；3、使用客户端访问web服务器的网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6 syn flood攻击

27、防御功能； 5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开，server端无攻击报文透过。测试通过。5.4 syn-ack flood攻击防御功能测试测试步骤：1、关闭清洗系统的ipv6 syn-ack flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6协议的syn-ack flood攻击；3、使用客户端访问web服务器的网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6 sy

28、n-ack flood攻击防御功能； 5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开，server端没有攻击报文透过。测试通过。5.5 udp flood攻击防御功能测试测试步骤：1、关闭清洗系统的ipv6 udp flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6协议的udp flood攻击；3、使用客户端访问web服务器的网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6

29、udp flood攻击防御功能； 5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开，server端没有攻击报文透过。测试通过。5.6 icmp flood攻击防御功能测试1、关闭清洗系统的ipv6 icmp flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6协议的icmp flood攻击；3、使用客户端访问web服务器的网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6 icmp

30、 flood攻击防御功能； 5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开。测试通过。5.7 dns flood攻击防御功能测试测试步骤：1、关闭清洗系统的ipv6 dns query flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6协议的dns query flood攻击；3、使用客户端访问web服务器的网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6 dns query

31、 flood攻击防御功能；5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开，server端没有攻击报文透过。测试通过。5.8 混合攻击防御功能测试1、关闭清洗系统的ipv6 syn flood、ipv6 udp flood、ipv6 dns flood攻击防御功能；2、使用攻击流量测试仪对目标web服务器进行ipv6 协议的syn flood、udp flood、dns flood攻击；3、使用客户端访问web服务器的

32、网页；通过ftp下载文件，出现结果1；4、打开清洗设备的ipv6 syn flood、ipv6 udp flood、ipv6 dns flood攻击防御功能；5、使用客户端重新访问web服务器的网页；ftp重新下载文件，出现结果2。测试结论：结果1：此时网页应无法访问或者访问延迟很大，ftp无法下载或下载速率很低。结果2：客户端可以正常访问web页面，ftp下载正常，文件能正常打开，server端没有攻击报文透过。测试通过。2、请项目负责人填写“项目对企业绩效贡献的量化路径图”和“项目特征指标的年度预期数值表”：1）项目对企业绩效贡献的量化路径图项目特征指标（pav）指标名称项目应用前指标现状

33、值：pavc项目应用1年后指标预期值：pave1此项目带来的指标变动量：pav企业特征指标网络及生产类（eav-ps）指标名称项目应用前指标现状值（eavc）项目应用1年后指标预期值（eave）此项目应用带来的指标变动量（eav）企业特征指标市场及财务类（eav-mf）指标名称项目应用前指标现状值（eavc）项目应用1年后指标预期值（eave）此项目应用带来的指标变动量（av）企业绩效指标（epv）指标名称项目应用前指标现状值：eavc项目应用1年后指标预期值：eave此项目应用带来的指标变动量：eav营运收入营运支出资本开支注：1） 填写各项指标数值时，请在数值后一并填写指标数值的度量单位（

34、如rmb万元、万人、%等）和指标数值对应的应用范围（如xx地市、x省全省、31省全网等）。2） 项目特征指标是本项目应用后产生的主要可量化成效，最多不超过3个。如传输灾难性设备故障抢修系统项目应用的可量化直接成效表现为“缩短故障处理时间”，此即项目特征指标。其eavc为小时，其eave为分钟，其eav=eave eavc。3） 企业特征指标是本项目应用后对企业生产（产品及服务）和经营（市场及财务）带来的可量化成效，分为“网络及生产类（eav-ps）”和“市场及财务类（eav-mf）”，指标清单请见本模板附件1。如传输灾难性设备故障抢修系统通过缩短故障定位时间，使“客户网络类投诉解决及时率”从小时降低到小时，使设备故障抢修时间缩短，由原来需要投入人耗时小时降低为人耗时小时，全省每年节省人工成本万元。其中“客户网络类投诉解决及时率”为eav-ps指标，“人工成本”就属于eav-mf指标。4） 以上指标中，项目特征指标和企业特征指标的名称和数值都为必填项。企业绩效指标为选填项。建议项目经理尽量填全以更好地体现本项目对企业的贡献。2）项目特征指标的年度预期数值表项目特征指标（pav）