IP地址空間耗盡問(wèn)題

人們對(duì)IP地址需求的持續(xù)增長(zhǎng)，給有類編址模型帶來(lái)了沉重壓力。大多數(shù)公司之所以申請(qǐng)B和主機(jī)數(shù)之間較為均衡，能夠最大限度地滿足需求。A類地址則太過(guò)“慷慨”，一個(gè)網(wǎng)絡(luò)便可容納1600萬(wàn)臺(tái)主機(jī)；而C類地址又太過(guò)“吝嗇”，每個(gè)網(wǎng)絡(luò)所能容納的主機(jī)數(shù)太少。時(shí)至1991年，事態(tài)已然明朗，B類地址消耗并無(wú)減緩跡象，必須采取措施來(lái)阻止其消耗。這些措施包括采用創(chuàng)造性的IP地址分配技術(shù)，并鼓勵(lì)那些無(wú)需具備全球Internet連通性的公司使用私有地址。其他措施則催生了像ROAD(路由和編址工作組)及IPng(下一由(CIDR)，以擺脫有類IP編址技術(shù)。與此同時(shí)，IPng委員會(huì)正在致力開(kāi)發(fā)一種新的改進(jìn)型IP編址方案——使用IP版本6來(lái)最終解決IPv4編址所面臨的地址使用問(wèn)題。應(yīng)對(duì)IP地址空間耗盡問(wèn)題的措施可分為下列4類。?創(chuàng)造性的IP地址分配技術(shù)。?無(wú)類別域間路由(CIDR)。?私有IP地址和網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)。?IP版本6(IPv6)。IPIP轉(zhuǎn)變只由一個(gè)中心注冊(cè)機(jī)構(gòu)來(lái)分配IP地址的流程。最初，IANA和IR(Internet注冊(cè)機(jī)構(gòu))完全控制了IP些組織與Internet的對(duì)接方式和地點(diǎn)。這種地址分配方法的效果無(wú)異于老鼠打洞——零散的或小規(guī)模地址塊將IP地址空間弄的“千瘡百孔”，也毀掉了大量連續(xù)的網(wǎng)絡(luò)地址塊。后來(lái)，在分配IP地址時(shí)就另辟蹊徑，先將大量的連續(xù)地址塊分配給各個(gè)管理機(jī)構(gòu)(比如服務(wù)提供商)，這些服務(wù)提供商再?gòu)淖约旱牡刂穳K中依次為客戶分配地址。一般來(lái)說(shuō)，這種沙漏式的(funnel-down)地址分配方法，也預(yù)示著該地址分配方案在可控性和層次化上都更進(jìn)一步。在某種程度上，這類似于電話號(hào)碼的分配方案——區(qū)號(hào)與地區(qū)級(jí)電信分公司關(guān)聯(lián)(提供商網(wǎng)絡(luò))，局向號(hào)與電信分公司支局關(guān)聯(lián)(小型提供商網(wǎng)絡(luò))，電話號(hào)碼尾數(shù)則與客戶關(guān)聯(lián)(主機(jī))。3.2.1IP地址分配表3-4C類地址分配情況匯總某些地區(qū)性的Internet地址分配機(jī)構(gòu)，例如，美國(guó)Internet編號(hào)注冊(cè)中心(ARIN)，已開(kāi)始考慮是否直接將公網(wǎng)IP地址直接分配給終端用戶網(wǎng)絡(luò)。要從ARIN直接獲得IP地址空間，網(wǎng)絡(luò)至少要擁有16個(gè)C類地址，或4096臺(tái)主機(jī)，用戶還須說(shuō)明其正當(dāng)理由。即便理由正當(dāng)，仍然鼓勵(lì)網(wǎng)絡(luò)管理員向自己的服務(wù)提供商申請(qǐng)此類規(guī)模的地址空間。在ARINWeb站點(diǎn)(/)可以找到用戶申請(qǐng)IP地址的指南、現(xiàn)行地址分配策略、申請(qǐng)模板以及其他相關(guān)信息。現(xiàn)在來(lái)說(shuō)一下地址空間在地理上的分配，全球分為4大區(qū)域：歐洲、北美和非洲撒哈拉以間。分配區(qū)域跨地區(qū)則表示有網(wǎng)絡(luò)號(hào)在實(shí)施該方案前已被分配出去。表3-5各個(gè)主要地理區(qū)域的地址空間分配情況~APNIC環(huán)太平洋地區(qū)月~RIPENCC區(qū)月~N月~N月~月~月~RIPENCC區(qū)月~月~ARIN—北美地區(qū)月~~~~~~~~~區(qū)APNIC環(huán)太平洋地區(qū)ARIN—北美地區(qū)ARIN—北美地區(qū)ARIN—北美地區(qū)ARIN—北美地區(qū)ARIN—北美地區(qū)APNIC環(huán)太平洋地區(qū)月月月月月月月月~~~~APNIC環(huán)太平洋地區(qū)月月月RIPENCC區(qū)RIPENCC區(qū)ARIN—北美地區(qū)3.2.2無(wú)類別域間路由(CIDR)近年來(lái)，全球IP路由表規(guī)模不斷增長(zhǎng)，導(dǎo)致路由器的處理能力和內(nèi)存分配趨于飽和。增長(zhǎng)率預(yù)測(cè)和統(tǒng)計(jì)數(shù)據(jù)表明，在1991年~1995年期間，每隔10個(gè)月路由表的規(guī)模就會(huì)翻一翻；自1998年后，增長(zhǎng)更趨顯著。圖3-9所示為路由表規(guī)模的增長(zhǎng)情況。如果沒(méi)有任何規(guī)劃，在1995年路由表的規(guī)模就會(huì)增長(zhǎng)到近80000條路由。而2000年初的實(shí)際數(shù)據(jù)表明，路由表規(guī)模僅為76000條左右。路由表規(guī)模增速放緩要?dú)w功于上節(jié)探討CIDR邁出了發(fā)展性的一步，擺脫了傳統(tǒng)的有類IP地址(即A、B、C類網(wǎng)絡(luò))。對(duì)CIDR來(lái)說(shuō)，IP網(wǎng)絡(luò)的表示形式是：一個(gè)前綴——即網(wǎng)絡(luò)的IP地址，緊跟一個(gè)“/”，最后再緊跟一個(gè)數(shù)字，該數(shù)字與“/”前網(wǎng)絡(luò)地址的網(wǎng)絡(luò)掩碼相對(duì)應(yīng)，用來(lái)表征最左側(cè)的連續(xù)有效 (置1)位數(shù)。例如，帶有/16的網(wǎng)絡(luò)，記為/16。/16表示從最左側(cè)開(kāi)始計(jì)數(shù)的掩碼位數(shù)為16。這等同于網(wǎng)絡(luò)掩碼為的IP網(wǎng)絡(luò)。圖3-9Internet路由表規(guī)模的增長(zhǎng)情況當(dāng)某個(gè)前綴掩碼邊界所含位數(shù)少于該網(wǎng)絡(luò)原配掩碼位數(shù)時(shí)，就稱其為超網(wǎng)(supernet)。而和的表示方法同樣可以記做/16，兩者的掩碼位數(shù)都小于其原配掩碼(16<24)；因而將這樣的網(wǎng)絡(luò)稱為超網(wǎng)。圖3-10描繪了這一地址方這一表示方法提供了一種機(jī)制，可以輕易將/16旗下所有的明細(xì)路由(比如、、等)歸并為一條路由通告，人們稱之為聚合路由 (aggregate)。起混淆，尤其是聚合路由、CIDR以及超網(wǎng)之類的術(shù)語(yǔ)經(jīng)常交替使用。一般來(lái)說(shuō)，上述術(shù)語(yǔ)都可用來(lái)表示：將一組相鄰IP網(wǎng)絡(luò)匯聚為一條路由通告。確切地說(shuō)，CIDR由<前綴/長(zhǎng)度>標(biāo)記來(lái)表示，超網(wǎng)的前綴長(zhǎng)度總是短于原配掩碼，而聚合路由示匯聚到一起的路由。圖3-10基于CIDR的編址方案通常，將作為聚合路由或CIDR地址塊子集的所有網(wǎng)絡(luò)稱為明細(xì)路由，因?yàn)檫@樣的路由為網(wǎng)絡(luò)定位提供了更詳細(xì)的信息。與聚合路由相比，多數(shù)明細(xì)路由的前綴長(zhǎng)度要更長(zhǎng)一些。?/16是一條長(zhǎng)度為16的聚合路由。?/20是一條長(zhǎng)度20的路由前綴，更為精確。相對(duì)于傳統(tǒng)的有類路由進(jìn)程域，支持CIDR的路由進(jìn)程域被稱為無(wú)類路由進(jìn)程域 asslessCIDRInternetIP都取自于其直接上級(jí)。在路由傳播方面，極大地節(jié)省了網(wǎng)絡(luò)資源，尤其是在靠近葉或末梢 (stub)網(wǎng)絡(luò)的位置執(zhí)行路由聚合時(shí)。葉或末梢網(wǎng)絡(luò)是全球性網(wǎng)絡(luò)的末端，因而也不會(huì)再向其他網(wǎng)絡(luò)提供Internet接入。支持眾多末梢網(wǎng)絡(luò)的ISP會(huì)將自身子網(wǎng)進(jìn)一步細(xì)分為更小的地址塊，再提供給客戶。路由聚合允許ISP通告一個(gè)IP網(wǎng)絡(luò)，通常以超網(wǎng)的形式，而非單獨(dú)通告多個(gè)零碎的子網(wǎng)，從而使得路由的傳播和路由策略更為高效，也保障了路由通告的穩(wěn)定。圖3-11所示為路由匯聚的功效。本例中，分配給ISP3的公網(wǎng)地址塊為~55(/15)。ISPISPISPISP的地址范圍為~55(/17)，ISP2的地址范圍為~55(.0/17)。采用同樣的方式，ISP1和ISP2在各自的地址范圍中為各自的客戶分配地址塊。圖3-11左例所示為不使用CIDR的情形：ISP1和ISP2通告所有來(lái)自客戶的子網(wǎng)，ISP3則會(huì)將所有路由通告給外部世界。這導(dǎo)致了全球IP路由表規(guī)模的急速增長(zhǎng)。圖3-11右例所示為應(yīng)用了CIDR的同一場(chǎng)景。ISP1和ISP2針對(duì)各自的客戶子網(wǎng)執(zhí)行路由聚合，ISP1通告聚合路由/17，ISP2通告聚合路由/17。ISP3以同樣的方式對(duì)自己的客戶子網(wǎng)(ISP1和ISP2)執(zhí)行路由匯聚，并且只向其對(duì)等網(wǎng)絡(luò)通告聚合路由/15。這會(huì)極大地降低全球IP路由表規(guī)模的增長(zhǎng)速度。圖3-11有類編址Vs.CIDR編址正如讀者所見(jiàn)，路由聚合的執(zhí)行位置越靠近網(wǎng)絡(luò)葉節(jié)點(diǎn)，成效就越顯著，這是由于聚合子網(wǎng)中的大多數(shù)都部署于客戶網(wǎng)絡(luò)。在網(wǎng)絡(luò)架構(gòu)的更高層再執(zhí)行路由聚合，比如在ISP3，會(huì)進(jìn)一步提高效率，因?yàn)锳S3學(xué)自下游客戶的網(wǎng)絡(luò)數(shù)減少了，需要處理的也就少了。如果每個(gè)客戶只通過(guò)單條鏈路接入提供商——這也被稱為單宿主連接方式(single-homing)，并且假設(shè)客戶的IP地址取自于提供商的CIDR地址塊，那么執(zhí)行路由聚合的效果最佳。不幸的是，現(xiàn)實(shí)并非總是如此。例如，如果客戶的IP地址并非來(lái)自于其提供商的地址空間，這就出問(wèn)題了。此外，一些客戶(可能自己就是提供商)需要同時(shí)連接到多個(gè)提供商，即所謂多宿主(multihoming)場(chǎng)景。以上情形都會(huì)使聚合更趨復(fù)雜，靈活度降低。路由設(shè)備將數(shù)據(jù)包路由至任何目的地時(shí)，總是遵循最長(zhǎng)匹配這一基本原則：為轉(zhuǎn)發(fā)數(shù)據(jù)包，路由器在面對(duì)兩條通往同一網(wǎng)絡(luò)但長(zhǎng)度不同的前綴(路由)時(shí)，總會(huì)選擇掩碼位數(shù)較長(zhǎng)的那條前綴。讓我們舉例說(shuō)明，假定一臺(tái)路由器的路由表中有以下兩條路由。/24viapath1(路徑1)/16viapath2(路徑2)在本例中，當(dāng)路由器試圖將流量交付給主機(jī)時(shí)，會(huì)設(shè)法匹配擁有最長(zhǎng)前綴的那條路由，即選擇路徑1來(lái)交付流量。圖3-12描述了路由選擇的最長(zhǎng)匹配原則。網(wǎng)域C收2條路由更新/24和/16，并選擇路徑1來(lái)轉(zhuǎn)發(fā)目的地址為若路徑1因某種原因而不能使用，網(wǎng)域C會(huì)利用路由表中下一條與目的地址最為匹配的路由來(lái)轉(zhuǎn)發(fā)流量，在本例中會(huì)選擇路徑2來(lái)交付流量。若網(wǎng)域C從網(wǎng)域A和B分別收到等長(zhǎng)掩碼的相同路由更新時(shí)，網(wǎng)域C會(huì)任選其一，或者同時(shí)選擇兩條路徑，這取決于網(wǎng)域中運(yùn)行的具體路由實(shí)現(xiàn)所提供的負(fù)載均衡技術(shù)。最長(zhǎng)匹配原則意味著：對(duì)于連接到多個(gè)網(wǎng)域的目的網(wǎng)絡(luò)，必須總是由這些網(wǎng)域明確宣告其域B沒(méi)有顯式通告路由/24，由客戶發(fā)往該主機(jī)()的流量必定遵循最長(zhǎng)匹配原則，一直優(yōu)選路徑1，即與網(wǎng)域A互連的路徑。這一路由配置必然會(huì)令網(wǎng)域A不堪重負(fù)。圖3-12遵循最長(zhǎng)匹配原則本地網(wǎng)絡(luò)聚合路由中的非明細(xì)路由為了防止路由環(huán)路，路由選擇規(guī)則特別規(guī)定：當(dāng)數(shù)據(jù)包的目的地址匹配本地生成的聚合路由時(shí)，該網(wǎng)絡(luò)絕不能遵循非明細(xì)路由轉(zhuǎn)發(fā)該目的地址的數(shù)據(jù)包。當(dāng)流量在網(wǎng)元(網(wǎng)絡(luò)設(shè)備)之間“打轉(zhuǎn)”時(shí)，便會(huì)發(fā)生路由環(huán)路，流量也絕不會(huì)抵達(dá)其最終目的地。該規(guī)則的一個(gè)特例是默認(rèn)路由/0。當(dāng)目的地址落在自己所通告的聚合前綴范圍內(nèi)時(shí)，該網(wǎng)絡(luò)就不應(yīng)該遵循默認(rèn)路由去轉(zhuǎn)發(fā)相應(yīng)的流量。正因如此，對(duì)于處理聚合路由的路由協(xié)議來(lái)說(shuō)，應(yīng)該總是為聚合路由本身保留位桶(bitbucket)(按Cisco的說(shuō)法，這叫Null0路由)。發(fā)送到位桶的流量將會(huì)被丟棄，從而預(yù)防潛在的路由環(huán)路。提提示：在配置默認(rèn)路由的同時(shí)，利用位桶來(lái)避免路由環(huán)路。圖3-13所示為ISP1將本網(wǎng)域中的路由聚合為單條路由/13。圖3-13遵循本地網(wǎng)絡(luò)聚合路由中的非明細(xì)路由轉(zhuǎn)發(fā)流量，勢(shì)必會(huì)導(dǎo)致環(huán)路現(xiàn)假定ISP1與其客戶Foonet(網(wǎng)絡(luò)/24所在地)之間的鏈路發(fā)生故障。此外，還假定ISP1設(shè)有一條指向ISP2的默認(rèn)路由/0，用來(lái)轉(zhuǎn)發(fā)目的地址不為ISP1所知的流量。目的地地址為的流量(由ISP2所發(fā))遵循ISP1通告的聚合路由送達(dá)ISP1，此時(shí)，(因ISP1與Fonnet之間的鏈路故障)而遵循默認(rèn)路由原路返回ISP2。這樣，流量就會(huì)在ISP1和ISP2之間來(lái)回打轉(zhuǎn)。為了防止這樣的路由環(huán)路，需要在ISP1的路由器上安裝一條聚合路由/13的空條目(nullentry)。這條null路由條目會(huì)令路由器丟棄所有目的地址匹配聚合路由的數(shù)據(jù)包，避免因目的網(wǎng)絡(luò)不可達(dá)轉(zhuǎn)而去匹配非明細(xì)路由1。一旦使用不當(dāng)，路由聚合會(huì)導(dǎo)致路由環(huán)路或路由黑洞(blackholes)。當(dāng)流量抵達(dá)并停留于非既定目的地，且無(wú)法被繼續(xù)轉(zhuǎn)發(fā)時(shí)，就會(huì)產(chǎn)生路由黑洞。隨著讀者學(xué)習(xí)了多種地址分配方案，并了解了這些方案如何與路由聚合交互之后，這樣或那樣的路由選擇難題才會(huì)愈發(fā)突出。一個(gè)網(wǎng)絡(luò)能否聚合路由，如何聚合路由？前面討論了選路原則，再結(jié)合網(wǎng)絡(luò)地址空間性質(zhì)以及網(wǎng)絡(luò)的連接方式(單宿主或多宿主連接)，答案已經(jīng)依稀可見(jiàn)了。以下幾節(jié)會(huì)討論幾在這一單宿主場(chǎng)景中，客戶連接到單個(gè)提供商，且IP地址與提供商完全不同。當(dāng)客戶更換了提供商并保留了先前提供商的IP地址時(shí)，就會(huì)發(fā)生這樣的情況。在這種情況下，提供商通常會(huì)鼓勵(lì)或迫使客戶啟用新的網(wǎng)絡(luò)地址空間。若客戶拒絕重新編址，新提供商則無(wú)法聚合客戶的IP地址。此外，原提供商也無(wú)法像以前那樣進(jìn)行有效的地址聚合，因?yàn)樽约旱牡刂房臻g被“鉆了個(gè)洞”。客戶使用原提供商地址空間的后果是，需要在全球Internet路由。以后的章節(jié)中會(huì)對(duì)本場(chǎng)景做深入討論，但目前，網(wǎng)絡(luò)管理員一定要有這樣的認(rèn)識(shí)：只要是以單宿主方式連接到提供商，路由選擇方案越簡(jiǎn)單越好。在單宿主的情況下，設(shè)置一條指向提供商的默認(rèn)路由，再讓提供商回指一條靜態(tài)路由(目的網(wǎng)絡(luò)為本方地址空間)，往往考慮更加復(fù)雜的解決方案。KISS(KeepItSimple，Stupid[盡量簡(jiǎn)單])原則是每個(gè)網(wǎng)絡(luò)架構(gòu)師、設(shè)計(jì)師、工程師以及管理員都應(yīng)該奉行的原則，最簡(jiǎn)單的解決方案通常也是最佳解決方案。在本場(chǎng)景中(如圖3-14所描繪的情形)，客戶連接多個(gè)提供商。客戶的網(wǎng)絡(luò)規(guī)模不大，P仔細(xì)觀察圖中那2個(gè)ISP(ISP1和ISP2))及它們各自的客戶：Onenet、Twonet、Stubnet。表3-6列出了與每個(gè)網(wǎng)域(包括提供商)相對(duì)應(yīng)的聚合路由的IP地址范圍。表3-6客戶和相應(yīng)提供商的IP地址分配列表198.24.0~~~~~商請(qǐng)注意，Onenet和Twonet的地址都取自ISP1的地址范圍，又以多宿主的方式連接ISP1和ISP2(如圖3-14所示)。圖3-14通告錯(cuò)誤的聚合路由導(dǎo)致了路由黑洞通告聚合路由可不能有絲毫大意?？蛻艉虸SP都必須關(guān)注聚合路由所覆蓋的IP地址范圍。除非路由的聚合方通告的網(wǎng)絡(luò)是被聚合方網(wǎng)絡(luò)的超網(wǎng)，或雙方達(dá)成了協(xié)定，否則任何一方都不得聚合他方路由。接下來(lái)，讀者會(huì)看見(jiàn)由于聚合了Onenet和Twonet的路由，ISP2路由黑洞的。提提示：路由黑洞是錯(cuò)誤地聚合了他人路由而導(dǎo)致的。如圖3-14所示，只要ISP2通告一條匯聚了Onenet和Twonet網(wǎng)絡(luò)的路由更新 (/18)，就會(huì)形成路由黑洞。例如，對(duì)于作為ISP1客戶的Stubnet而言，其IP地址空間被包括在了這條聚合路由/18中。假如ISP2通告了這條聚合路由，發(fā)往Stubnet的流量便會(huì)遵循最長(zhǎng)匹配原則而選用聚合路由/1，并最終流ISPISP2必須明確通告其每個(gè)下游客戶網(wǎng)絡(luò)的地址范圍，這些網(wǎng)絡(luò)并不屬于ISP2自身的地址空間，卻是ISP1地址空間的子集(在本例中，ISPISPOnenet.0/20，以及Twonet的網(wǎng)絡(luò)/21)。除此以外，ISP2還必須通告其自身的地址空間/13。3-15所示為正確通告聚合路由的方式。現(xiàn)在，ISP2已顯式通告了Onenet和Twonet的聚合路由。這樣，發(fā)往Stubnet的流量就絕不會(huì)誤入ISP2了。請(qǐng)注意，圖3-15中ISP1也顯式通告了Onenet和Twonet的聚合路由。假如ISP1只通告非明細(xì)聚合路由/13，那么發(fā)往Onenet和Twonet的所有流量會(huì)遵循最長(zhǎng)匹配原則，而優(yōu)選更為精確的聚合路由(/20和/21)，這樣的流ISP了。對(duì)大型網(wǎng)域而言，很有可能會(huì)根據(jù)地理位置，從不同的提供商獲取地址。以圖3-16為。ISP1會(huì)通告聚合路由/13，ISP2會(huì)通告聚合路由/13。以上兩者都是分配給LargenetIP地址塊的超網(wǎng)。圖3-15正確通告聚合路由，防止路由黑洞ISP告屬于自己的地址塊，不會(huì)通告Largenet取自ISP1的地址塊。只要ISP1出現(xiàn)問(wèn)題，聚合路由/13丟失，發(fā)往Largenet/20的流量就會(huì)受到影響，原因是ISP2沒(méi)有通告/20。這一推理同樣適用于Largenet取自ISP2的地址/20。如果通往ISP2的鏈路中斷，發(fā)往/20的流量必然會(huì)受到影響。想彌補(bǔ)這一缺憾，ISP1和ISP2必須分別通告/20和/20。圖3-16地址取自不同提供商的多宿主環(huán)境多宿主場(chǎng)景——地址不從提供商地址獲取在如圖3-17所示的場(chǎng)景中，客戶采用了與提供商ISP1和ISP2完全不同的地址范圍。在此情形，ISP1和ISP2除了通告各自的地址范圍(/13和/13)之外，還要通告精確的聚合路由(/20)。這一設(shè)計(jì)的缺點(diǎn)是，Internet上的所有路由器都必須針對(duì)新引入的地址范圍設(shè)置明細(xì)路由。如果這樣的設(shè)計(jì)出現(xiàn)的太多，全球Internet路由表的規(guī)模也就可想而知了。圖3-17地址取自ISP地址空間之外路由聚合的建址總而言之，每個(gè)獲取了地址范圍的網(wǎng)域都有獨(dú)有的權(quán)利(和義務(wù))來(lái)聚合自己的地址。執(zhí)行路由聚合時(shí)，網(wǎng)域應(yīng)該在精確的基礎(chǔ)上盡可能地聚合自己的路由(即便在多宿主環(huán)境下也是可行的)。場(chǎng)景不同，設(shè)計(jì)也就不同。對(duì)路由聚合而言，沒(méi)有“萬(wàn)能鑰匙”。建議單宿主客戶從自己的直連提供商處獲取單塊連續(xù)的地址空間，并且盡可能地配置指向提供商的默認(rèn)靜態(tài)路由，從而避免由復(fù)雜而又多余的配置所帶來(lái)的潛在問(wèn)題。若單宿主客戶執(zhí)意更換提供商，就應(yīng)該規(guī)劃向新提供商地址空間遷移。對(duì)于多宿主客戶，服務(wù)商在為其分配地址時(shí)，應(yīng)以聚合盡量最大化作為指導(dǎo)原則。一旦聚合影響了冗余，即便要付出通告明細(xì)路由的代價(jià)，也應(yīng)首先確保冗余。在過(guò)去幾年中，CIDR的引入對(duì)抑制全球Internet路由表規(guī)模的迅猛增長(zhǎng)幫助極大。邊界網(wǎng)關(guān)協(xié)議版本4(BGP-4)成為Internet上域間路由的首選協(xié)議，這很大程度上要?dú)w功于其在應(yīng)對(duì)路由聚合和域間路由傳播上的高效表現(xiàn)。繼續(xù)閱讀本書(shū)，更多示例會(huì)揭示CIDR在控制流量行為和穩(wěn)定性方面的重要作用。關(guān)于CIDR、Internet路由表規(guī)模的當(dāng)前和歷史情況，以及其他趣聞的更多信息請(qǐng)參考附3.2.3私有地址和網(wǎng)絡(luò)地址轉(zhuǎn)換要想放慢IP地址的分配速度，就要識(shí)別不同的連通性需求，并據(jù)此分配IP地址，這是重絕大多數(shù)組織的連通性需求不外乎以下兩種。?公網(wǎng)連通性。?私網(wǎng)連通性。公網(wǎng)連通性是指組織內(nèi)部的主機(jī)能夠同時(shí)訪問(wèn)Internet和internal(內(nèi)聯(lián)網(wǎng))主機(jī)。在此情形，主機(jī)就必須配置對(duì)組織內(nèi)外都具有全局唯一性的IP地址。要求公網(wǎng)連通性的組織必ATM機(jī)、零售店收銀機(jī)以及任何其他無(wú)需連接公司之外主機(jī)的機(jī)器。私網(wǎng)主機(jī)的IP地址需在組織內(nèi)唯一。為滿足這種連通性需求，IANA專門預(yù)留了以下三塊IP地址空間，并將其稱為“私有互聯(lián)網(wǎng)地址(privateinternets)”。?~55(單個(gè)A類網(wǎng)絡(luò)號(hào))。?~55(16個(gè)連續(xù)的B類網(wǎng)絡(luò)號(hào))。?~55(256個(gè)連續(xù)的C類網(wǎng)絡(luò)號(hào))。與上述地址用途以及其他預(yù)留網(wǎng)絡(luò)號(hào)有關(guān)的其他信息，可參閱RFC1918。任何企業(yè)都可以從上述地址范圍中挑選地址，無(wú)需獲得IANA或Internet注冊(cè)機(jī)構(gòu)的準(zhǔn)許。配置了私有地址的主機(jī)可以與組織內(nèi)的任何其他主機(jī)通信，但是如果沒(méi)有網(wǎng)關(guān)代理設(shè)備的“幫助”，這樣的主機(jī)就無(wú)法訪問(wèn)組織之外的網(wǎng)絡(luò)。原因是，從內(nèi)向外發(fā)送的數(shù)據(jù)包所攜帶的源IP地址對(duì)組織以外的網(wǎng)絡(luò)來(lái)說(shuō)不具備唯一性，因此外部世界的網(wǎng)絡(luò)無(wú)法將回程流量送回內(nèi)部網(wǎng)絡(luò)。因?yàn)楣局灰獦?gòu)建私有網(wǎng)絡(luò)，大都會(huì)啟用相同的私網(wǎng)IP地址，故而可以減少對(duì)全球唯一的公網(wǎng)IP地址的需求。存。圖3-18顯示了這樣一個(gè)環(huán)境。圖3-18私網(wǎng)連通的一般環(huán)境公司可以選擇為絕大多數(shù)主機(jī)配置私有地址，并仍然為某些特定網(wǎng)段上的主機(jī)配置公網(wǎng)地址。配置了公網(wǎng)地址的主機(jī)可以照常訪問(wèn)Internet。對(duì)于那些使用私有地址但仍要訪問(wèn)Internet的公司來(lái)說(shuō)，他們有義務(wù)去執(zhí)行路由過(guò)濾，以阻止將私有地址泄露到Internet。無(wú)論如何，服務(wù)提供商都應(yīng)該對(duì)來(lái)自客戶的入站路由施以策略——只接受來(lái)自公網(wǎng)地址空上述做法的缺點(diǎn)是，如果有一天公司決定讓所有主機(jī)訪問(wèn)Internet，那么就必須對(duì)網(wǎng)絡(luò)重新編址——使用新的公網(wǎng)地址替代私網(wǎng)地址。隨著引入像DHCP(動(dòng)態(tài)主機(jī)配置協(xié)議)這DHCP了一種向使用TCP/IP協(xié)議簇的主機(jī)傳輸配置參數(shù)的機(jī)制(包括IP地址)。只要支持DHCP，主機(jī)就能夠從中央服務(wù)器動(dòng)態(tài)另一種方案是：安裝一臺(tái)堡壘(bastion)主機(jī)，在公網(wǎng)和私網(wǎng)之間擔(dān)當(dāng)網(wǎng)關(guān)。如圖3-19可以首先登陸主機(jī)B，然后再?gòu)闹鳈C(jī)B上執(zhí)行對(duì)外的Telnet操作。現(xiàn)在，發(fā)往公司外部世種方案是啟用網(wǎng)絡(luò)地址轉(zhuǎn)換器。圖3-19配置了私有地址的主機(jī)訪問(wèn)Internet資源地址轉(zhuǎn)換借助于網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)(NAT)，公司就可以從私有地址空間過(guò)渡到公網(wǎng)地址空間。NAT技術(shù)能夠在IP地址無(wú)須重新編址的情況下讓私有網(wǎng)絡(luò)連接到Internet。當(dāng)內(nèi)部主機(jī)需要與Internet上的目的網(wǎng)絡(luò)通信時(shí)，可在網(wǎng)域邊界放置NAT路由器，該路由器會(huì)將私網(wǎng)地址和公網(wǎng)地址相互轉(zhuǎn)換。如圖3-20所示，主機(jī)A和B分別配置了私網(wǎng)地址和。圖3-20網(wǎng)絡(luò)地址轉(zhuǎn)換示例若主機(jī)A和B想要訪問(wèn)公司以外的網(wǎng)絡(luò)，NAT設(shè)備會(huì)根據(jù)自身NAT表中預(yù)定義(或動(dòng)態(tài))的映射來(lái)轉(zhuǎn)換數(shù)據(jù)包的源IP地址。由主機(jī)A所發(fā)的數(shù)據(jù)包抵達(dá)外部目的網(wǎng)絡(luò)時(shí)，數(shù)據(jù)包的源地址已被替換為128.213.x.y。外部主機(jī)對(duì)數(shù)據(jù)包中地址的轉(zhuǎn)換一無(wú)所知，并以xy網(wǎng)地址為目的地來(lái)發(fā)送回程流量。NAT設(shè)備會(huì)將外部主機(jī)所發(fā)回程數(shù)據(jù)包的目的地址(128.213.x.y)再轉(zhuǎn)換回內(nèi)部主機(jī)的私網(wǎng)地址。對(duì)NAT設(shè)備的深入討論超出了本書(shū)的范圍，這主要是因?yàn)镹AT設(shè)備處理的情況許多屬于極端情況(cornercase)，或是非常復(fù)雜。胡亂使用公網(wǎng)地址作為私網(wǎng)地址的企業(yè)就是其中一例。在這種情況下，地址注冊(cè)機(jī)構(gòu)可能已將該公司所濫用的公網(wǎng)地址分配給了其他公司。分配給公司的公網(wǎng)地址數(shù)量少于內(nèi)部主機(jī)實(shí)際數(shù)量是另外一例。在這種情況下，就必須使用NAT將私網(wǎng)地址映射為一小塊公網(wǎng)地址。并不總是需要部署專用設(shè)備來(lái)行使NAT功能，網(wǎng)絡(luò)中的路由器軟件一般都支持NAT功能。Cisco公司早已將NAT功能集成進(jìn)了Cisco互聯(lián)網(wǎng)絡(luò)操作系統(tǒng)(IOS)。3.2.4IP版本6IP版本6(Ipv6)亦稱為下一代IP(Ipng)，是對(duì)現(xiàn)有Ipv4實(shí)現(xiàn)的重大改進(jìn)。IPng提案于1992年7月在波士頓舉行的IETF(Internet工程任務(wù)組)會(huì)議上發(fā)布，隨IPv，主要包括IP地址耗盡、服務(wù)質(zhì)量能力、節(jié)點(diǎn)自動(dòng)配置以及認(rèn)證和安全性能等。IPv6尚處于實(shí)驗(yàn)階段。對(duì)于那些在IPv4架構(gòu)中投入頗多的公司和管理員來(lái)說(shuō)，遷移到一個(gè)嶄新的架構(gòu)絕非易事。針對(duì)IPv6刻意去攻克的所有主要問(wèn)題，只要IPv4的實(shí)現(xiàn)還能不斷地提供工具和技術(shù)(盡管看似笨拙)加以應(yīng)付，對(duì)許多公司來(lái)說(shuō)，采用IPv6的愿望就不會(huì)那么強(qiáng)烈。何時(shí)會(huì)遷移到IPv6還尚未可知。本書(shū)只是略微提及IPv6編址方案的部分內(nèi)相較于IPv4的32位，IPv6的長(zhǎng)度為128位。這應(yīng)該能夠提供充足的地址空間，以應(yīng)對(duì)IPv6地址類型由一個(gè)名為格式前綴(FormatPrefix(FP))的可變長(zhǎng)度字段來(lái)表示，該字段起始于地址的最左邊一位(見(jiàn)圖3-21)。圖3-21IPv6前綴和地址格式提供商的單播地址，以及用于公司的與IPv4一起使用的本地地址。表3-7IPv6前綴的分配0001100001未分配0001未分配00101基于運(yùn)營(yíng)商的單播地址010未分配011為地理單播地址預(yù)留100未分配101未分配110未分配1110商的單播地址基于提供商的單播地址與IPv4公網(wǎng)地址類似。其格式如圖3-22所示2。圖3-22IPv6：基于提供商的單播地址格式對(duì)基于提供商的單播地址各字段的描述如下所示。?格式前綴——地址的前3位為010，用來(lái)表示基于提供商的單播地址。?注冊(cè)機(jī)構(gòu)ID——標(biāo)識(shí)分配了提供商ID的注冊(cè)機(jī)構(gòu)。?提供商ID——標(biāo)識(shí)管理地址的提供商。?用戶ID——標(biāo)識(shí)了連接到提供商的用戶。?子網(wǎng)ID——標(biāo)識(shí)了地址所屬的物理鏈路。?接口ID——標(biāo)識(shí)了屬于子網(wǎng)ID的具體接口。例如，該字段可以是傳統(tǒng)的48位IEEE-802介質(zhì)訪問(wèn)控制(MAC)地址。圖3-23所示，每個(gè)實(shí)體都從上一層實(shí)體獲取自己的地址塊。圖3-24本地使用地址的格式本地使用的地址與在RFC1918中定義的IPv4私有地址類似，分為以下兩種類型。?本地鏈路地址(前綴FE80::/10)3——特定物理網(wǎng)段所使用的私有地址。圖3-23IPv6地址分配層級(jí)?本地站點(diǎn)地址(前綴FEC0::/10)——特定站點(diǎn)所使用的私有地址。4描述了上述兩種本地使用地址的格式。3.1.1IP編址基礎(chǔ)知識(shí)本地使用的地址只具有本地意義。這也就是說(shuō)，本地鏈路地址只作用于特定的網(wǎng)段，本地站點(diǎn)地址只作用于特定的站點(diǎn)。沒(méi)有連接到Internet的公司可以輕易分配屬于自己的地址，而無(wú)需從公網(wǎng)地址空間中申請(qǐng)前綴。若該公司稍后決定連接到全球Internet，那么該公司在獲取了注冊(cè)機(jī)構(gòu)ID、提供商ID、用戶ID之后，再加上自己早已分配好的本地地址，就可以訪問(wèn)Internet了。較之于IPv4編址方案中以公網(wǎng)地址替換所有私網(wǎng)地址，或者使用NAT表來(lái)完成地址轉(zhuǎn)換，這是1本例中的默認(rèn)路由0/0?！g者注2這種地址類型如今已不復(fù)存在，此類地址如今已更名為Globalunicast(全球單播)地址，以“001”打頭，記為2000::/3?！g者注3但該地址塊目前已被重新預(yù)留，當(dāng)然，這遭到了多方反對(duì)?！g者注當(dāng)今在用的Internet編址方案基于Internet協(xié)議版本4，一般簡(jiǎn)稱為IP。本節(jié)會(huì)討論如下主題。?IP編址基礎(chǔ)知識(shí)。?IP子網(wǎng)劃分基礎(chǔ)知識(shí)。?可變長(zhǎng)子網(wǎng)掩碼(VLSM)。IP地址是一個(gè)獨(dú)一無(wú)二的4個(gè)字節(jié)值(32位)，以點(diǎn)分十進(jìn)制(以點(diǎn)號(hào)連接的4個(gè)小于255的數(shù)字[dotted-quad])來(lái)表示，形式為W.X.Y.Z，IP地址的每個(gè)字節(jié)都用“.”隔開(kāi) (例如)。這個(gè)32位的字段由兩部分組成：網(wǎng)絡(luò)或鏈路號(hào)(表示地址的網(wǎng)絡(luò)部分)以及主機(jī)號(hào)(標(biāo)識(shí)網(wǎng)段上的主機(jī))。傳統(tǒng)上，都是根據(jù)IP地址類別來(lái)定義網(wǎng)絡(luò)和主機(jī)邊界，總共定義有5種類別(其中3類表3-1IP地址類別及功能~~~255.255.255~255.255.255~255.255.2550ABCDE87A類編址留。每種類別中，都預(yù)留了若干地址，用于特殊用途。表3-2列出了其中的一部分。表3-2特殊功用的IP地址圍用途未知網(wǎng)絡(luò)；常用來(lái)表示默認(rèn)路由~55預(yù)留以作私用(RFC1918)~55預(yù)留為loopback/本機(jī)地址~55預(yù)留以作私用(RFC1918)~55預(yù)留以作私用(RFC1918)55受限廣播通常將這種基于類別編址(尋址)的方案稱為有類模型。取決于所需的網(wǎng)絡(luò)數(shù)與主機(jī)數(shù)之比，不同的地址類別適用于不同的網(wǎng)絡(luò)配置。隨著本章的深入，各種地址類別的完整內(nèi)涵會(huì)愈發(fā)清晰。以下幾節(jié)會(huì)著重介紹各個(gè)類別的基本定義。圖3-2B類地址的通用格式IP地址的最左邊1位固定為0表示A類網(wǎng)絡(luò)。IP地址的第1個(gè)字節(jié)(位0~位7，從最左邊的那1位開(kāi)始)表示網(wǎng)絡(luò)號(hào)，其余的3個(gè)字節(jié)(位8~位31)表示該網(wǎng)絡(luò)上的主機(jī)號(hào)。便是一個(gè)A類網(wǎng)絡(luò)地址的例子，其中代表網(wǎng)絡(luò)號(hào)，主機(jī)號(hào)為1。如圖3-1所示，如此表示可以得到128(27)個(gè)可用的A類網(wǎng)絡(luò)號(hào)。然而，并非有效的網(wǎng)絡(luò)號(hào)，因此A類網(wǎng)絡(luò)地址只有127(27–1)個(gè)可能的網(wǎng)絡(luò)號(hào)。圖3-1A類地址的通用格式網(wǎng)絡(luò)一經(jīng)定義，該網(wǎng)絡(luò)中的首尾兩個(gè)主機(jī)地址就要行使特殊職能。首地址(如上例的)用來(lái)表示網(wǎng)絡(luò)號(hào)，尾地址用來(lái)表示本網(wǎng)絡(luò)的定向廣播地址 (55)。因此，每個(gè)A類網(wǎng)絡(luò)的主機(jī)數(shù)為16777214(224–2)，而非16777216(224)。IP地址的最左邊2位固定為1和0表示B類網(wǎng)絡(luò)。地址的前2個(gè)字節(jié)(位0~位15)表示地址的網(wǎng)絡(luò)部分，其余2個(gè)字節(jié)(位16~位31)表示該網(wǎng)絡(luò)中的主機(jī)號(hào)。如圖3-2所示，如此表示可以得到16384(214)個(gè)可用的B類網(wǎng)絡(luò)號(hào)，每個(gè)網(wǎng)絡(luò)擁有65534(216–IP地址的最左邊3位固定為110表示C類網(wǎng)絡(luò)。前3個(gè)字節(jié)(位0~位23)表示網(wǎng)絡(luò)號(hào)，第4個(gè)字節(jié)表示該網(wǎng)絡(luò)中的主機(jī)號(hào)。如圖3-2所示，如此表示可以得到2097152 (221)個(gè)網(wǎng)絡(luò)號(hào)，每個(gè)網(wǎng)絡(luò)有254(28–2)臺(tái)主機(jī)。便是一個(gè)C類地址例子，其中是網(wǎng)絡(luò)號(hào)，主機(jī)號(hào)為1。圖3-3C類地址的通用格式DIP1111就表示E類網(wǎng)絡(luò)。當(dāng)前，E類地址空間為實(shí)驗(yàn)用途而預(yù)3.1.2IP子網(wǎng)劃分基礎(chǔ)知識(shí)最基本的IP子網(wǎng)劃分和可變長(zhǎng)子網(wǎng)常為人們所誤解。本節(jié)會(huì)簡(jiǎn)要介紹子網(wǎng)如何劃分，下一節(jié)會(huì)討論變長(zhǎng)子網(wǎng)掩碼(VLSM)。ABC絡(luò)的子集。為了更好地理解子網(wǎng)劃分的原理，讓我們先來(lái)仔細(xì)觀察一下還沒(méi)有被劃分為子網(wǎng)的IP地址。如前所述，IP地址由網(wǎng)絡(luò)部分和主機(jī)部分組成——表現(xiàn)為一個(gè)靜態(tài)的雙層分級(jí)編址模型(網(wǎng)絡(luò)和主機(jī))。IP子網(wǎng)劃分引入了具有網(wǎng)絡(luò)掩碼或子網(wǎng)掩碼概念的第三層級(jí)別。網(wǎng)絡(luò)掩碼起位掩碼(bitmask)作用，其中各位 (bit)置1，部分與有類IP網(wǎng)絡(luò)號(hào)的使用位相對(duì)應(yīng)，其余與子網(wǎng)號(hào)相對(duì)應(yīng)。在圖3-4中，子網(wǎng)掩碼應(yīng)用于網(wǎng)絡(luò)。該掩碼的二進(jìn)制表現(xiàn)形式是一串串連續(xù)的0。全為1的部分表示IP地址的網(wǎng)絡(luò)號(hào)，全為0的部分表示地址的主機(jī)號(hào)。這樣，子網(wǎng)掩碼就提供了一種機(jī)制，將主機(jī)的IP地址分割成了網(wǎng)。圖3-4基本的網(wǎng)絡(luò)掩碼A、B、C類地址各自都有原配掩碼(naturalmask)，創(chuàng)建這種掩碼，是依據(jù)各類地址中?A類地址原配掩碼：。?C類地址原配掩碼：。通過(guò)將IP地址的網(wǎng)絡(luò)和主機(jī)部分相分離，則可以很容易地根據(jù)掩碼來(lái)劃分子網(wǎng)。如果沒(méi)有子網(wǎng)掩碼，網(wǎng)絡(luò)號(hào)的用途會(huì)非常有限。每個(gè)物理網(wǎng)段，例如以太網(wǎng)令牌環(huán)網(wǎng)，或FDDI網(wǎng)0.0這樣的A類網(wǎng)絡(luò)僅供一個(gè)物理網(wǎng)段使用，而這個(gè)物理網(wǎng)段上的主機(jī)數(shù)卻有1600萬(wàn)臺(tái)之多，如圖3-5圖3-5未劃分子網(wǎng)的A類地址空間利用掩碼可以將地址的網(wǎng)絡(luò)部分延伸到主機(jī)部分，從而把一個(gè)大型網(wǎng)絡(luò)劃分為多個(gè)小型子網(wǎng)。子網(wǎng)劃分技術(shù)在削減單個(gè)網(wǎng)絡(luò)中主機(jī)數(shù)量的同時(shí)，大大提高了子網(wǎng)數(shù)。在圖3-6中，將的掩碼應(yīng)用于網(wǎng)絡(luò)。這就將IP地址劃分為三部分：以10表示的網(wǎng)絡(luò)號(hào)，以0表示的子網(wǎng)號(hào)，以1表示主機(jī)位。掩碼借用部分主機(jī)地址空間，并將其應(yīng)用于網(wǎng)絡(luò)地址空間。于是，有類網(wǎng)絡(luò)10(classfulten-network)從一個(gè)單一巨型網(wǎng)絡(luò)一變而為256個(gè)較小的子網(wǎng)，子網(wǎng)范圍為~。同時(shí)，網(wǎng)絡(luò)中每子網(wǎng)的主機(jī)數(shù)也從原先的16777214減為65534。圖3-6基本的子網(wǎng)劃分注意：注意：3.1.3VLSM術(shù)語(yǔ)可變長(zhǎng)子網(wǎng)掩碼(VLSM)，是指可以為一個(gè)網(wǎng)絡(luò)配置不同掩碼。VLSM的基本意圖有二：首先是在將網(wǎng)絡(luò)劃分為多個(gè)子網(wǎng)時(shí)提供更大的靈活性；此外，還能以最優(yōu)方式在子網(wǎng)間分配數(shù)量可變的主機(jī)地址空間。若是沒(méi)有VLSM，就只能將一種子網(wǎng)掩碼應(yīng)用于一個(gè)網(wǎng)絡(luò)。這樣一來(lái)，所需的子網(wǎng)數(shù)一旦確定，就會(huì)嚴(yán)格限制主機(jī)數(shù)。即便選定了某個(gè)掩碼可以獲得足量的子網(wǎng)數(shù)，每個(gè)子網(wǎng)中可分配的主機(jī)數(shù)也未必就夠。反之亦然，就算選定了某個(gè)掩碼，獲得了足量的主機(jī)數(shù)，但在子網(wǎng)數(shù)方面可能又無(wú)法得到保證。VLSM提供了按可變數(shù)量(數(shù)量不等)的主機(jī)來(lái)分配子網(wǎng)的能力，從而使得網(wǎng)絡(luò)管理員能更為合理地利用地需要100臺(tái)主機(jī)，另外兩個(gè)子網(wǎng)各需要50臺(tái)主機(jī)。不考慮一頭一尾兩端的限制，即0 (網(wǎng)絡(luò)號(hào))和255(定向廣播地址)，理論上有256個(gè)主機(jī)號(hào)可用，從~55。如下所示，沒(méi)有VLSM，就無(wú)法劃分出所需的子網(wǎng)。例中該傳統(tǒng)C類網(wǎng)絡(luò)掩碼為(前3個(gè)字節(jié)全是1)?？梢岳?55.255.255.X形式的若干子網(wǎng)掩碼將C類網(wǎng)絡(luò)劃分為多個(gè)子網(wǎng)。掩碼從最左邊第一位開(kāi)注意：注意：地址的主機(jī)部分，用低位來(lái)標(biāo)識(shí)子網(wǎng)。這種靈活性為網(wǎng)絡(luò)管理員帶來(lái)的益處寥寥無(wú)幾，還使路由選擇的復(fù)雜度大為增加。人們因而對(duì)規(guī)范做了更新，只允許掩碼起始于一組連續(xù)的表3-3列出了可能的掩碼，將256個(gè)可用地址分割為更多子網(wǎng)。表3-3可能的C類子網(wǎng)主機(jī)數(shù)248852111111004注注意：主機(jī)數(shù)一欄包括了網(wǎng)絡(luò)號(hào)和定向廣播地址。VLSM誕生之前，傳統(tǒng)網(wǎng)絡(luò)只能用單個(gè)連續(xù)的子網(wǎng)掩碼進(jìn)行劃分。在本例中，可以選擇使用子網(wǎng)掩碼28將