通訊行業(yè)IPv6解決方案.ppt

通訊行業(yè)IPv6解決方案 2015年1月 目錄 行業(yè)IPv6需求行業(yè)網(wǎng)絡IPv6演進方案行業(yè)網(wǎng)絡IPv6關鍵技術(shù) IPv4地址枯竭將制約行業(yè)發(fā)展 3 RemainingIPv4addressspace 2000 2011 IANA 2011 02 IANA分配最后的IPv4地址給RIRs 2011 04 APNIC用光了為成立新網(wǎng)絡運營商而儲備的IPv4地址 IPv4黑暗時代即將到來 技術(shù)發(fā)展帶來地址需求劇增 4 海量地址需求 現(xiàn)有業(yè)務規(guī)模持續(xù)膨脹 物聯(lián)網(wǎng) 3G LTE移動互聯(lián)網(wǎng)新業(yè)務涌現(xiàn) 需要海量IP地址支撐 安全生產(chǎn) 監(jiān)控器 傳感器 報警器等 需要IP地址 智能生產(chǎn) 控制器 處理器 遙控器等 需要IP地址 多元辦公 PC機 智能機 PAD等 需要IP地址 科技越發(fā)達 生產(chǎn) 辦公越便捷 終端數(shù)量越龐大 IP地址需求越旺盛 智能電網(wǎng)發(fā)展需要IPv6平臺的支撐 智能電網(wǎng)的發(fā)展 在輸電方面需要對全網(wǎng)輸電線路狀態(tài)進行檢測 在用電方面需要建立用電信息的采集 這些都需要海量IP地址的支撐 智能電網(wǎng)增加的節(jié)點和終端數(shù)以億計 IP地址需求龐大 智能電網(wǎng)的發(fā)展迫切需要IPv6平臺的支撐 智能油田的建設需要海量地址的支撐 油田跨域大 范圍廣 運用先進的信息技術(shù)和管理理念構(gòu)建一個智能油田運作模式 實現(xiàn)智慧工作 智慧流程 智慧業(yè)務和智慧管理 智能油田各個業(yè)務板塊的信息化建設模式和需求不盡相同 需要海量的設備和終端的互聯(lián) 對IP地址的需要巨大 采用IPv6技術(shù)可滿足智能油田對IP地址的需求 更好的發(fā)揮IPv6的優(yōu)勢 化工與銷售 煉油與銷售 天然氣與管道 勘探生產(chǎn)與開發(fā) 目錄 行業(yè)IPv6需求行業(yè)網(wǎng)絡IPv6演進方案行業(yè)網(wǎng)絡IPv6關鍵技術(shù) IPv6網(wǎng)絡演進原則 8 兼顧產(chǎn)業(yè)鏈現(xiàn)狀兼顧網(wǎng)絡現(xiàn)狀選擇增量式部署方案 低成本和低風險建網(wǎng)保護現(xiàn)網(wǎng)投資兼顧新業(yè)務開展的成本 保障現(xiàn)網(wǎng)業(yè)務無影響充分繼承IPv4業(yè)務豐富性保障IPv4 IPv6業(yè)務互訪促進IPv6業(yè)務快速發(fā)展 兼顧現(xiàn)網(wǎng) 保障業(yè)務和降低成本是IPv6網(wǎng)絡演進的三大基本原則 網(wǎng)絡IPv6演進路線圖 9 1 網(wǎng)絡規(guī)劃2 試點選擇 1 網(wǎng)絡改造2 過渡技術(shù) 1 網(wǎng)絡改造2 過渡技術(shù)3 IPv6增強 1 網(wǎng)絡改造2 IPv6完善 IPv4和IPv6共存的過渡階段是網(wǎng)絡IPv6演進的必由之路 網(wǎng)絡IPv6規(guī)劃步驟 10 網(wǎng)絡評估 網(wǎng)絡設計 集成測試 業(yè)務遷移 業(yè)務驗證 網(wǎng)絡優(yōu)化 信息收集與需求調(diào)研網(wǎng)絡IPv6能力評估 網(wǎng)絡演進方案設計雙棧 隧道 翻譯技術(shù)的選擇 IPv6實驗室測試 IOT IPv6Pilot測試 IPv6特性使能 軟硬件 配置 IPv4toIPv6業(yè)務與數(shù)據(jù)遷移 基礎網(wǎng)絡驗收擴展網(wǎng)絡驗收IPv6業(yè)務驗證 故障協(xié)查IPv6業(yè)務發(fā)布協(xié)助方案變更與驗證技能傳遞 1 2 3 4 5 6 預估影響兼顧現(xiàn)網(wǎng)選擇最優(yōu)方案 選擇合適的過渡技術(shù)進行商用環(huán)境部署選擇符合條件的網(wǎng)絡區(qū)域進行推廣和部署提供典型商用業(yè)務服務 完善擴展業(yè)務類型 對成熟業(yè)務進行規(guī)模部署完善網(wǎng)絡規(guī)模 對老用戶網(wǎng)絡進行升級改造 擴大用戶群體 網(wǎng)絡優(yōu)化運營模式完善 選擇合適的技術(shù)和部署方案是IPv6規(guī)劃的重中之重 行業(yè)IPv6網(wǎng)絡過渡技術(shù) 11 隧道Tunnel 翻譯Translation 雙棧Dualstack 網(wǎng)絡架構(gòu) 單網(wǎng)絡平面使用場景 IPv4現(xiàn)網(wǎng)設備具有升級IPv4 IPv6雙棧能力方案特點 網(wǎng)絡設備進行升級改造 充分利用現(xiàn)網(wǎng)資源 運維和管理要實現(xiàn)IPv4 IPv6雙平面 網(wǎng)絡架構(gòu) 單網(wǎng)絡平面使用場景 維持網(wǎng)絡單協(xié)議部署 同時承載IPv4 IPv6業(yè)務方案特點 單協(xié)議網(wǎng)絡設備維持不變 新增IPv6inIPv4隧道網(wǎng)關設備 運維和管理關注單協(xié)議平面 網(wǎng)絡架構(gòu) 雙網(wǎng)絡平面使用場景 IPv4和IPv6雙網(wǎng)絡平面場景中實現(xiàn)業(yè)務互訪方案特點 IPv4或IPv6網(wǎng)絡設備維持不變 在網(wǎng)絡邊界部署翻譯網(wǎng)關設備 雙網(wǎng)絡平面運維和管理相互獨立 依行業(yè)網(wǎng)絡的發(fā)展規(guī)劃和業(yè)務需求 選擇雙棧 隧道或翻譯方案進行IPv6演進 行業(yè)IPv6網(wǎng)絡演進方案 12 純IPv4網(wǎng)絡 純IPv6網(wǎng)絡 雙棧 隧道 純IPv4網(wǎng)絡 純IPv6網(wǎng)絡 純IPv4網(wǎng)絡 純IPv6網(wǎng)絡 單網(wǎng)絡架構(gòu) 雙網(wǎng)絡架構(gòu) 類型 現(xiàn)網(wǎng)改造技術(shù) 雙?；蛩淼兰夹g(shù)特點 利用已有投資 維護復雜 現(xiàn)網(wǎng)升級雙?；虿渴鹚淼兰夹g(shù)承載IPv4和IPv6業(yè)務 現(xiàn)網(wǎng)維持IPv4業(yè)務承載 新建IPv6網(wǎng)絡承載IPv6業(yè)務 類型 新建IPv6網(wǎng)絡技術(shù) 純IPv6協(xié)議特點 建網(wǎng)投資大 維護簡單 行業(yè)IPv6網(wǎng)絡演進部署方式1 雙棧 13 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE CE 總部 分局 分局 業(yè)務及管理平臺可升級的進行雙棧升級不可升級的需要建設IPv6獨立服務器 網(wǎng)絡層 骨干網(wǎng)IP骨干網(wǎng) 逐步進行設備的雙棧升級MPLS骨干網(wǎng) 升級PE支持6PE 6vPE P設備保持IPv4單棧 網(wǎng)絡層 駐地網(wǎng)CE設備需要進行雙棧升級二層接入設備透傳IPv6 IPv4報文 逐步部署IPv6Snooping 終端PC采用win7 vista等雙棧能力的OS移動終端選擇支持雙棧的智能終端 IPv6 IPv4 IPv6 IPv4 6PE 6vPE IPv6 IPv4 IPv4 IPv4 新增 升級 端到端IPv4 IPv6雙棧部署 行業(yè)IPv6網(wǎng)絡演進部署方式2 IPv6 in IPv4隧道 14 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE CE 總部 分局 分局 業(yè)務及管理平臺管理平臺維持IPv4單棧業(yè)務平臺需要新建IPv6服務器 網(wǎng)絡層 骨干網(wǎng)網(wǎng)絡設備維持IPv4單棧新建IPv6 in IPv4隧道網(wǎng)關設備 CGN 主流技術(shù) 6rd 網(wǎng)絡層 駐地網(wǎng)CE設備或網(wǎng)關設備需要進行升級或新建支持IPv6 in IPv4隧道發(fā)起功能二層接入設備透傳IPv6 IPv4報文 終端IPv6用戶采用支持IPv6的操作系統(tǒng)IPv4用戶維持不變 IPv6 CGN 隧道 IPv4 IPv4 新增 升級 IPv6 in IPv4 網(wǎng)絡IPv4單棧部署 端到端IPv4 IPv6訪問 行業(yè)IPv6網(wǎng)絡演進部署方式3 IPv4 in IPv6隧道 15 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE CE 總部 分局 分局 業(yè)務及管理平臺管理平臺升級為IPv6單棧業(yè)務平臺升級或新建支持IPv4和IPv6 網(wǎng)絡層 骨干網(wǎng)骨干網(wǎng)升級為IPv6網(wǎng)絡新增IPv4 in IPv6隧道網(wǎng)關 CGN 主流技術(shù) DS Lite 網(wǎng)絡層 駐地網(wǎng)CE設備或網(wǎng)關設備需要進行升級或新建支持IPv4 in IPv6隧道發(fā)起功能二層接入設備透傳IPv6 IPv4報文 終端IPv6用戶采用支持IPv6的操作系統(tǒng)IPv4用戶維持不變 IPv6 CGN IPv6 IPv6 新增 升級 IPv4 in IPv6 P PE IPv6 網(wǎng)絡IPv6單棧部署 端到端IPv4 IPv6訪問 隧道 行業(yè)IPv6網(wǎng)絡演進部署方式4 新建IPv6網(wǎng)絡 16 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE 分局 總部 新建端到端IPv6平面 IPv6 IPv6 IPv6 雙網(wǎng)絡平面 獨立提供端到端IPv4 IPv6訪問 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE CE 總部 分局 分局 IPv4 IPv4 行業(yè)IPv6網(wǎng)絡演進部署方式5 翻譯技術(shù) 17 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE 分局 總部 IPv6 IPv6 IPv6 業(yè)務服務器 管理平臺 認證平臺 PE PE PE PE CE CE CE 總部 分局 分局 IPv4 IPv4 IPv4 網(wǎng)絡邊界部署翻譯網(wǎng)關 實現(xiàn)IPv4與IPv6網(wǎng)絡的互訪 翻譯網(wǎng)關設備 目錄 行業(yè)IPv6需求行業(yè)網(wǎng)絡IPv6演進方案行業(yè)網(wǎng)絡IPv6關鍵技術(shù)IPv6接入技術(shù)IPv6過渡技術(shù)6PE 6vPE技術(shù) IPv6單棧用戶接入認證 業(yè)務流程 1 用戶從DHCPv6服務器獲取IPv6地址 也可以通過PE內(nèi)置DHCPv6服務器分配IP地址 2 用戶通過PORTALServer輸入認證的帳號 密碼 3 PORTALServer將用戶的認證賬號 密碼發(fā)送給PE進行認證 4 PE將用戶的認證賬號 密碼發(fā)送給認證服務器進行認證鑒權(quán) 19 IPv6雙棧用戶接入認證 業(yè)務流程 1 用戶從DHCPv4和DHCPv6服務器獲取IPv4和IPv6地址 兩個獨立的過程 2 用戶通過PORTALServer輸入認證的帳號 密碼 3 PORTALServer將用戶的認證賬號 密碼發(fā)送給PE進行認證 4 PE將用戶的認證賬號 密碼發(fā)送給認證服務器進行認證鑒權(quán) 20 IPv6SAVI安全接入技術(shù) 1 NDPSnooping技術(shù) 2 DHCPv6Snooping技術(shù) NDPSnooping利用CPS機制 通過源IPv6地址和MAC信息綁定的方式 對端口接入報文進行合法性檢測 放行匹配綁定的報文 丟棄不匹配報文 通過使用DHCPv6SNOOPING在交換機上綁定用戶 只有完全匹配IPv6Address MAC PORT的IPv6報文和本地鏈路報文才允許轉(zhuǎn)發(fā) 部署 ACCSW上全局啟用NDPSnooping AGGSW配置無狀態(tài)地址自動配置協(xié)議 公告prefix 64前綴結(jié)果 攻擊主機B采用與A相同的源地址發(fā)包 由于沒有綁定信息 交換機不會轉(zhuǎn)發(fā)該報文 部署 接入Switch上部署DHCPv6Snooping 上聯(lián)DHCPv6服務器 Switch在用戶動態(tài)獲取地址過程中獲取 IPv6Address MAC Port 綁定信息結(jié)果 攻擊主機B采用與A相同的源地址發(fā)包 由于沒有綁定信息 交換機不會轉(zhuǎn)發(fā)該報文 場景 IPv6安全日益嚴重 大多與非法主機接入有關 需從源頭上控制非法主機的接入IPv6SAVI 解決IPv6主機的合法接入 包括NDPSnooping和DHCPv6Snooping技術(shù) 21 目錄 行業(yè)IPv6需求行業(yè)網(wǎng)絡IPv6演進方案行業(yè)網(wǎng)絡IPv6關鍵技術(shù)IPv6接入技術(shù)IPv6過渡技術(shù)6PE 6vPE技術(shù) IPv6過渡技術(shù) 業(yè)界對從IPv4向IPv6過渡的終極目標已經(jīng)達成一致 為端到端的IPv6單棧 從總體而言 IPv4向IPv6過渡技術(shù)可以分為三大類 雙棧技術(shù) 隧道技術(shù)和協(xié)議翻譯技術(shù) 雙棧技術(shù)是引入IPv6服務最直接的方法 將整個網(wǎng)絡升級到支持IPv6路由和轉(zhuǎn)發(fā) 具有良好的擴展性和全局性的IPv6連接隧道技術(shù)是實現(xiàn)同種協(xié)議客戶端跨越不同的網(wǎng)絡的技術(shù) 根據(jù)所跨越網(wǎng)類型不同 可分為IPv4 in IPv6的隧道和IPv6 in IPv4的隧道 如DS Lite和6rd協(xié)議翻譯技術(shù)是將IPv4和IPv6數(shù)據(jù)包根據(jù)不同的協(xié)議建立起映射關系 實現(xiàn)不同協(xié)議的轉(zhuǎn)換與互通 業(yè)界重點關注的是網(wǎng)絡側(cè)協(xié)議翻譯技術(shù) 包括有狀態(tài)地址翻譯和無狀態(tài)地址翻譯 23 雙棧協(xié)議部署 思路全網(wǎng)部署雙棧 實現(xiàn)IPv4 IPv6流量的各自轉(zhuǎn)發(fā)部署在骨干網(wǎng)全網(wǎng)升級部署IPv6 實現(xiàn)IPv4 IPv6雙棧的支持能力分析IPv4 IPv6雙棧技術(shù)簡單成熟 轉(zhuǎn)發(fā)效率高 需全網(wǎng)升級部署 改造難度大 投資大 24 6rd部署 部署 在用戶側(cè)和網(wǎng)絡側(cè)分別部署支持雙棧的6rdCPE和6rdBR CPE和BR之間為IPv4網(wǎng)絡 通過擴展的DHCP選項 CPE可以獲得網(wǎng)絡側(cè)IPv4地址 公網(wǎng)或私網(wǎng)地址 IPv6前綴以及BR的IPv4地址 CPE用戶側(cè)接口通過將6rd前綴和IPv4地址相拼接構(gòu)造出用戶的IPv6前綴 分析 6rd是一種快速靈活的為終端用戶提供IPv6業(yè)務的方案 對已有的IPv4核心網(wǎng)絡影響很小 整個過程無狀態(tài) 用戶IPv6地址前綴受CPEIPv4地址的影響 存在地址欺騙缺點 場景 IPv6演進初期 在IPv4網(wǎng)絡中快速部署IPv6服務 為IPv6用戶提供穿越IPv4網(wǎng)絡的IPv6服務6rdCE 6rdBR 搭建一個穿越IPv4網(wǎng)絡的隧道 傳輸用戶IPv6報文 DS Lite部署 部署 用戶側(cè)部署B(yǎng)4設備 負責管理用戶IPv4地址的分配 IPv6和IPv4網(wǎng)絡之間部署AFTR路由器 B4和AFTR為雙棧設備 B4收到數(shù)據(jù)包后封裝到IPv6數(shù)據(jù)包內(nèi)部 通過隧道傳輸?shù)紸FTR AFTR解封裝并執(zhí)行NAT44轉(zhuǎn)換 分析 適用于IPv4單棧和IPv6雙棧用戶 網(wǎng)絡中僅需要一次NAT轉(zhuǎn)換 簡化了用戶IPv4地址的分配與管理 對IPv6地址格式無限制 在AFTR上需維護大量NAT表項 用戶側(cè)CPE需要做改進 26 6rd和DS Lite比較 27 NAT64和DNS64部署方案 部署 在IPv6網(wǎng)絡和IPv4網(wǎng)絡之間部署雙棧的NAT64路由器和雙棧的DNS64服務器 DNS64可以采用64 FF9B 96知名前綴進行IPv4到IPv6地址的合成 也可以采用NSP格式的前綴 表示為pref64 n 進行地址合成 NAT64將匹配pref64 n的流量做NAT64轉(zhuǎn)換分析 只支持IPv6側(cè)發(fā)起的訪問 NAT64需要維護大量動態(tài)狀態(tài)綁定信息 部分解決了DNS ALG問題 場景 新建IPv6網(wǎng)絡 純IPv6用戶穿越IPv6網(wǎng)絡訪問IPv4服務平臺NAT64 DNS64 NAT64實現(xiàn)IPv6 IPv4NAT轉(zhuǎn)換 DNS64實現(xiàn)基于A記錄合成AAAA記錄 28 NAT64 DNS64業(yè)務流程 DNSQuery IPv6Host IPv4Server DNS64 DNS66 DNS44 NAT64 1 2 3 4 5 6 7 8 9 AAAA AAAA DNSQuery DNSResponse Empty DNSQuery A DNSResponse A 192 0 2 1 DNSResponse AAAA 2001 db8 cdef 192 0 2 1 TCPoverIPv6 D 2001 db8 cdef 192 0 2 1 80 S 2001 db8 1 1234 TCPoverIPv4 D 192 0 2 1 80 S 203 0 113 1 4567 TCPoverIPv4 D 203 0 113 1 4567 S 192 0 2 1 80 TCPoverIPv6 D 2001 db8 1 1234 S 2001 db8 cdef 192 0 2 1 80 29 NAT64IPv6地址格式 1 WKP Well knownPrefix 嵌入IPv4地址的IPv6地址格式 2 NSP Network specificPrefix 嵌入IPv4地址的IPv6地址格式 例如 64 ff9b 192 0 2 1 withWKP 64 ff9b 96 2001 db8 cdef 192 0 2 1 withNSP 2001 db9 cdef 96 30 IVI翻譯技術(shù)的部署方案 場景 新建IPv6網(wǎng)絡 純IPv6用戶和純IPv4用戶的互訪IVI DNS IVI實現(xiàn)IPv4和IPv6地址的映射 DNS實現(xiàn)基于A記錄合成AAAA記錄 部署 在IPv6網(wǎng)絡和IPv4網(wǎng)絡之間部署雙棧的IVI路由器和雙棧的IVIDNS服務器 IPv6主機通過靜態(tài)配置或DHCPv6選項得到IVI6地址 默認網(wǎng)關及DNS服務器地址信息分析 能夠?qū)崿F(xiàn)無狀態(tài)協(xié)議翻譯 可以實現(xiàn)IPv4和IPv6的互訪 具有較好的擴展性 由于IVI地址格式要求 1 NIVI時需要更改用戶側(cè)CPE 31 IVIIPv6地址格式 IVI通過定義自己的地址格式來實現(xiàn)無狀態(tài)地址映射 IVI有兩種地址編址方式 根據(jù)RFC4291對于IPv6地址內(nèi)嵌IPv4地址的要求 u為全1為IVI的標識符 IPv4 convertedAddress IVI6地址中僅內(nèi)嵌了IPv4地址 沒有Port信息 即16位的coding字段全為0 可以實現(xiàn)IPv4和IPv6地址的1 1映射ExtendedIPv4 translatableAddress IVI6地址中不僅內(nèi)嵌了IPv4地址 16位的coding字段用來表示Port信息 可以實現(xiàn)IPv4和IPv6地址的1 N映射 其中coding的高4位表示復用率 之后的12位表示主機的索引號 32 IVI流程 IPv6訪問IPv4 DNSQuery IPv6Host IPv4Server DNS64 DNS66 DNS44 IVI 1 2 3 4 5 6 7 8 9 AAAA AAAA DNSQuery DNSResponse Empty DNSQuery A DNSResponse A IVI4D DNSResponse AAAA IVI6D TCPoverIPv6 D IVI6D 80 S IVI6S 1234 TCPoverIPv4 D IVI4D 80 S IVI4S 1234 TCPoverIPv4 D IVI4S 1234 S IVI4D 80 TCPoverIPv6 D IVI6S 1234 S IVI6D 80 IVI6D IVI4D 映射配置 IVI6 IVII4 33 S IVI6S 無狀態(tài)地址映射表IVI6D D Port IVI4D D PortIVI6S S Port IVI4S S Port S IVI4D IVI流程 IPv4訪問IPv6 DNSQuery IPv4Host IPv6Server DNS IVI 1 2 3 4 5 A DNSQuery TCPoverIPv4 D IVI4D 80 S IVI4S 1234 TCPoverIPv6 D IVI6D 80 S IVI6S 1234 TCPoverIPv6 D IVI6S 1234 S IVI6D 80 TCPoverIPv4 D IVI4S 1234 S IVI4D 80 DNS添加IVI6的A記錄 或者升級支持DNS46 目前沒有標準 A IVI4D 34 S IVI4SD IVI4D S IVI6D 無狀態(tài)地址映射表IVI4D D Port IVI6D D PortIVI4S S Port I