高校IPv6网络技术应用实践

1、高校IPv6网络技术应用实践技术创新，变革未来目录高校校园网络简介省教育科研网简介校园网IPV6应用与管理1. 高校校园网络简介网络信息中心定位校园网络拓扑校园网络特点一流的基础设施支撑一流大学建设20余年建设校园网络 覆盖校园各个角落直接服务科学研究过程文献访问同行交流科研协作应用保障超算服务高速安全智能稳定10余年建设超算设施 服务重点科研方向加大平台建设，增强服务能力校园网络承载上网流量、一卡通、视频监控、能源监控等10余套业务7X24保障全校师生正常使用，保障谷歌学术一直可用大陆高校第一家全面开通eduroam学术无线网络漫游服务提供学术带宽，近代物理系与CERN的带宽使用在国内前列参

2、与北京、上海、苏州校区以及先研院的网络规划设计和对接省教育和科研计算机网覆盖16个城市，连接教育厅、考试院和省内近80所高校保障历年高招录取、视频会议等关键应用超算中心“研究组校级共享国家级”三级超算服务模式支持的高水平科研成果不断涌现，发表在nature等一流期刊全校约10%的高水平论文使用超算平台教育网CERNET网络信息中心东校区西校区南校区服务器群超算平台联通CUNET下一代教育网CERNET2(IPv6)电信CHINANET加速器力三楼力二楼力一楼软件学院MBA中心 南区教学楼 南区办公楼南区实验楼南区图书馆南区学生宿舍西区学生宿舍力四楼南区汇聚节点东区学生宿舍行政办公楼理化中心大楼

3、理化一号楼物理楼东区活动中心教一楼 教二楼 化学楼 艺术楼公共事务学院图书馆教三楼 电四楼生命科学学院电子工程与信息系 计算机科学系信息学院西区活动中心高性能计算中心 火灾科学实验室计算中心汇聚节点 微尺度大礼堂数学楼无线网1.7G科技网 CSTNET10G1.2G3G2G移动 CMNET1G西区核心网络中心核心先研院核心校园网络拓扑示意图千兆到桌面 网络资源丰富 用户自主性高IPv6/v4全支持高校校园网特点充足的网络资源1个自治域号 ASN 450812B IPv4地址，其中1B+32C直接从CNNIC申请，目前使用了约40%/32 IPv6地址多样的网络出口和丰富的可用带宽2个学术网络出

4、口：中国教育和科研计算机网、中国科技网3个商业网络出口：移动、联通、电信实际使用带宽约13G（2万用户）IP协议全支持2005年5月起全校（含OpenVPN用户）网络支持IPv4+IPv6双栈，稳定运行13年目前超过1/2的用户使用IPv62层为主的校园网自2000年从FDDI改造为千兆以太网后，2层VLAN通达所有位置2层VLAN覆盖合肥的校区和上海研究院40%60%IPv4地址已用 空余18%11%21%15%22%13%带宽教育网 科技网 移动 联通 电信 IPv6异地研究院VLAN透传合肥 路由 器B上海 路由 器B合肥城域 网核心交 换机科大先研 院交换机科大东区 交换机某项目网络科

5、大先研院科大上海研究院科大隧道 虚拟机Eth0 10.255.34 Eth1 172.16.21.*(电信)Eth2 数据口上海隧道 虚拟机Eth0 10.255.34Eth1 218.22.21.*(电信)Eth2 数据口无线AC VLAN200 VLAN XPOE及AP VLAN200 VLAN X8个IP8个IP UDP透传以太网包 1G带宽为主线路电信公网为备用线路主用线路故障时,3秒钟切换开通的业务：无线上网，包含eduroam，跟科大 本部完全相同一卡通服务，跟科大本部采用无线连接上海研究院有线网络用户访问科大本部上海城域 网核心交 换机上海研究 院交换机主备用户自主选择出口路由，

6、随时可以更改用户9种出口组合 VIP用户+4种教育网出口电信出口NAT1联通出口NAT2Linux服务器3台Linux服务器并行实现认证、 路由控制功能，处理约10Gbps流量用户可以随时选择策略，使用不同的出口组合移动出口NAT3科技网NAT4校园网络出口拓扑图其中一台Linux机器 连续运行超过11年校内 网络2. 省教育和科研计算机网络简介省教育和科研计算机网络拓扑省教育和科研计算机NOC省教育和科研计算机网主干省级教育行业主干网 连接近80所高校支持IPv4/IPv6协议省教育和科研计算机网主干线路与协议合肥部分高校10G+1G线路省内各城市1G线路+VPN备用线路 部分学校VPN线路

7、接入支持IPv6/IPv4双栈路由协议内部主干使用OSPF+OSPFv3协议 BGP承载用户路由对外：CERNET静态路由CERNET2 BGP冗余性主干线路1G+VPN备用线路 合肥局部光纤环网部分高校双路由裸光纤，动态路由或port channel备用IPv4总流量IPv6总流量省教育和科研计算机网NOC省教育和科研计算机网LOOKING GLASSIPV6流量合肥工业大学安徽大学安徽农业大学安徽师范大学滁州学院中国科学技术大学IPV6技术培训每期40人，分8组OSPF/OSPFv3/BGP配置3小时 Nginx/Letsencrypt配置3小时3期，112人参加培训参加培训后， 15所学

8、校开通了 IPv6服务3. 校园网IPV6应用与管理IPV6发展历史IPV6用户接入IPV6服务提供IPV6运行监测IPV6安全措施高校校园网IPV6历史2000年采用纯IPv6链路 和隧道技术相结 合的组网技术， 建成校内IPv6测 试网2005年校园网改造为万兆 主干，校内全面支 持IPv6，包括 OpenVPN的远程用户 均支持IPv61999年2004年2017年李津生教授承担863CNGI-CERNET2中国反向代理支持IPv6，课题高校IPv6科学技术大学节点600余个网站正式提示范网建成供IPv6服务网络管理理念支持 技术探究以用户 为中心开放的 校园网络接入方式丰富，满足各种用

9、户需要 使用方便快捷，尽量少设置障碍使用标准协议，只要是TCP/IP系统，都可以接入只要不违反法律法规、不影响网络运行，都应该支持如支持LUG(学生Linux协会)开展PXE启动、 开源软件镜像等技术探究/Debian、Ubuntu、Fedora、Archlinux、CentOS等多个 发行版的官方源大陆高校访问量最大、收录最全的两个开源软件镜像之一IPV6主干路由协议万兆主干3台三层交换机和1台BRAS处理3层路由其他设备仅作二层交换机使用IPv4/IPv6双栈4台三层设备之间路由协议为OSPFv3BGP协议与CNGI-CERNET2接入设备互通部分静态路由科大自治域 2400:B600:/

10、32CERNET2合肥节点自治域CERNET2核心网自治域沃达丰IIJ HECNGI-IX自治域用户IPV6接入校内接入无认证校内办公区、宿舍区、无线网络直接接入无状态地址分配使用无状态方式分配IPv6地址只要安装IPv6协议就能分到地址，最大程度方便用户校外用户OpenVPN，通过电信、联通、移动网络出口提供用户接入VLAN接口配置interface Vlan167ip address 54/25ip verify unicast source reachable-via rx ipv6 address 2001:da8:d800:81:1/64 ipv6 verify unicast so

11、urce reachable-via rx ip dhcp relay address BRAS接口配置interface Route-Aggregation1.500vlan-type dot1q vid 500 second-dot1q 51 to 900 dhcp select relayipv6 address 2001:DA8:D800:500:1/64 ipv6 address auto link-localipv6 nd autoconfig other-flag undo ipv6 nd ra haltipv6 nd ra router-lifetime 9000ipv6 su

12、bscriber l2-connected enable ipv6 subscriber initiator ndrs enableipv6 subscriber initiator unclassified-ip enable ipv6 subscriber user-detect nd retry 5 interval 60 ipv6 subscriber unclassified-ip domain ustcipv6 ipv6 subscriber ndrs domain ustcipv6开发一个简单的radius服务器， 仅仅允许特定的地址段上线子网用户的IPV6接入子网很普遍，有接入

13、IPv6需求不少实验室/办公室建立子网，通过地址转换设备连接到校园网可以将IPv6数据包桥接到内网，让内部用户使用IPv6也可以分配独立网段，设置静态路由子网用户的独立网段IPV6接入给子网分配IPv6 /64前缀，核心交换机设置静态路由子网管理员在子网的网关设备上设置如下信息内外接口IPv6地址，默认路由设备内部的RA广播启用路由功能中科大校园网IPV6应用服务基础IPv6环境DNS、OpenVPN现有应用的IPv6原生支持BBS/IPTV/FTP/个人主页/高性能计算等网站的大规模服务支持使用nginx反向代理服务器，对外统一提供IPv6+SSL支持0msf j30ms a b c d e

14、 g i k l m300ms h这个不在教育网内互联网根DNS服务器30ms以内的延迟，在教育网内13个 a. m./domain/named.root每个有IPv4、IPv6地址13个的原因是DNS数据包最大512字节的限制实际上远远不止13个很多服务器在13个IP地址上提供服务(AnyCast)/ 公布有官方的，大约几百个真实的服务器数量没有人能准确知道教育网内的根域名服务器测量到根域名服务器的IPv4地址延迟，可以判断教育网内有12个根域名服务器互联网根DNS服务器任何人都可以做根域名服务器任何人只要下载 https:/domains/root/files配置好bind，就可以提供根域

15、名服务要想使用方便，需要劫持相关的路由教育网劫持了12个根域名服务器的IPv4路由我校自己提供根域名服务劫持了13个根域名服务器的IPv6路由和1个IPv4路由相关说明/bg6cq/ITTS/blob/master/app/dns/root/README.md校园网劫持的路由# show ip route3/32, ubest/mbest: 1/0*via 2, 20/0, 8w0d, bgp-45081, external, tag 65500 # show ipv6 route2001:500:1:53/128, ubest/mbest: 1/0*via 2001:da8:d800:12,

16、 Vlan640, 20/0, 8w0d, bgp-45081, external, tag 65500 2001:500:2:c/128, ubest/mbest: 1/02001:500:12:d0d/128, ubest/mbest: 1/0 2001:500:2d:d/128, ubest/mbest: 1/0 2001:500:2f:f/128, ubest/mbest: 1/02001:500:9f:42/128, ubest/mbest: 1/0 2001:500:a8:e/128, ubest/mbest: 1/0 2001:500:200:b/128, ubest/mbest

17、: 1/0 2001:503:c27:2:30/128, ubest/mbest: 1/0 2001:503:ba3e:2:30/128, ubest/mbest: 1/0 2001:7fd:1/128, ubest/mbest: 1/0 2001:7fe:53/128, ubest/mbest: 1/0 2001:dc3:35/128, ubest/mbest: 1/0知名学校主网站特性对比学校IPv6SSLHTTP/2Harvard UniversityMITStanford UniversityUC BerkeleyUniversity of OxfordCalifornia Insti

18、tute of TechnologyUniversity of CambridgeColumbia UniversityPrinceton UniversityYale UniversityC9学校主网站特性对比学校教育网电信联通移动鹏博士IPv6SSLHTTP/2中科大北大清华浙大南大上交复旦西交哈工大https:/ 每个VLAN对应一个出口1台反向代理服务600个网站 统一申请SSL证书+IPv6支持反向代理服务器有6个入口 解决访问速度问题WAF倒置统一拦截各类WEB攻击LANWAFWEB防火墙WANLinux虚拟机 反向代理服务器IPv4/IPv6增加HTTP 头： Host:X-Re

19、al-IP:X-Forwarded-Proto:两种SSL证书 L*.独立域名证书 自动更新nginx开源软件 免费证书 HTTP2支持用户的跟踪与日志记录采集交换机上的信息来跟踪用户收集3层交换机用户的IPv6地址和MAC地址对应表show ipv6 nei通过snmp协议收集2层交换机的MIB信息可以得到某个MAC地址是在哪个接口下的BRAS使用radius记账消息提供IPv6地址和MAC地址、2层VLAN的信息使用这些信息，可以任给IPv6地址，可以查出某个时间段对应的MAC地址对于宿舍用户，根据内层VLAN号可以直接定位到宿舍房间任给MAC地址，可以查出接在哪个交换机的哪个接口下用户的跟踪与日志记录校园网IPV4/IPV6活动机器数据IPv6机器数IPv4机器数月年一天内IPv4机器数IPv4机器数IPv6机器数一天内4万3万一周内6.9万6.2万反向代理状态测速网站网站访问SSL测试网站访问统计网站访问统计/web/网站监测与测试/IP黑名单系统直接封禁IP核心交换机IP黑名单校园网BGP动态注入手工添加 日志分析 蜜罐捕获 东北大学 其他原理：ip route /32 Null0ipv6 route 2001:d