ipv6過渡技術(shù)研究

ipv6過渡技術(shù)研究

基于ip鏡像協(xié)議的網(wǎng)絡(luò)極大地促進(jìn)了科技的發(fā)展和社會(huì)進(jìn)步。但是,隨著互聯(lián)網(wǎng)用戶數(shù)量不斷增加以及對(duì)互聯(lián)網(wǎng)應(yīng)用要求的不斷提高,IPv4地址緊缺與分配不均成為制約互聯(lián)網(wǎng)發(fā)展的突出問題。IPv6協(xié)議采用128位地址解決IPv4地址資源不足的問題。長期來說,IPv6作為地址緊缺問題的最終解決方案已經(jīng)得到了廣泛的認(rèn)同。IPv6網(wǎng)絡(luò)也是現(xiàn)階段ISP發(fā)展的目標(biāo)網(wǎng)絡(luò)。現(xiàn)階段,在對(duì)IPv6過渡問題研究中,對(duì)過渡技術(shù)的研究又是其他過渡研究的基礎(chǔ)。對(duì)于IPv6過渡而言,將設(shè)備升級(jí)為雙棧是最為直觀的解決方案。然而雙棧對(duì)于IPv4地址的依賴以及性能上的開銷決定了雙棧在很大程度上并不適合現(xiàn)階段ISP過渡的需求。因此,本文主要關(guān)注在單棧前提下,過渡過程中涉及的挑戰(zhàn)以及解決方案中涉及的過渡技術(shù)。眾所周知,IPv4網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、規(guī)模巨大。部署過程中的挑戰(zhàn)來自方方面面。本文關(guān)注的重點(diǎn)是過渡過程中技術(shù)層面挑戰(zhàn):新建IPv6網(wǎng)絡(luò)與原有IPv4網(wǎng)絡(luò)的共存問題以及二者的互聯(lián)互通問題。所謂互聯(lián)互通,是指IPv4/v6網(wǎng)絡(luò)間的通信問題:在過渡過程中,ISP必須保證IPv6主機(jī)能夠訪問IPv4業(yè)務(wù),也要盡可能使得IPv4主機(jī)能夠訪問IPv6業(yè)務(wù)。這個(gè)場(chǎng)景貫穿整個(gè)過渡過程。在第二章我們會(huì)對(duì)翻譯技術(shù)進(jìn)行詳細(xì)分析;所謂共存,是指在相當(dāng)長一段時(shí)間內(nèi)IPv4/v6主機(jī)、IPv4/v6應(yīng)用同時(shí)存在。在IPv6發(fā)展初期,互聯(lián)網(wǎng)以運(yùn)行IPv4的網(wǎng)絡(luò)為主,但I(xiàn)SP又有在IPv4網(wǎng)絡(luò)上傳輸IPv6流量的需求。十幾年來,針對(duì)此類問題的過渡技術(shù)得到研究人員以及ISP的廣泛關(guān)注1ipv4報(bào)文的傳輸目前,過渡過程中的共存問題和互通問題主要通過隧道技術(shù)與翻譯技術(shù)予以解決。翻譯技術(shù)的核心思想是通過IPv4/v6報(bào)文格式和信息的轉(zhuǎn)換,實(shí)現(xiàn)運(yùn)行不同協(xié)議棧網(wǎng)絡(luò)設(shè)備的互通。典型的翻譯場(chǎng)景是在IPv4/v6網(wǎng)絡(luò)連接處添加翻譯設(shè)備,使只理解IPv4協(xié)議的終端與只理解IPv6協(xié)議的終端能夠進(jìn)行通信。IPv4與IPv6報(bào)文之間的翻譯需要進(jìn)行地址映射并且根據(jù)協(xié)議重新組織報(bào)文;而隧道技術(shù)應(yīng)用場(chǎng)景有所不同,以IPv6overIPv4隧道為例,在典型的隧道場(chǎng)景下,在隧道入口處為IPv6報(bào)文添加IPv4協(xié)議頭,而原報(bào)文變?yōu)镮Pv4報(bào)文的凈荷。新的報(bào)文可以在IPv4網(wǎng)絡(luò)上進(jìn)行傳輸,直至到達(dá)隧道出口處。在隧道出口處,網(wǎng)絡(luò)設(shè)備對(duì)報(bào)文進(jìn)行解封裝,提取凈荷獲得原來的IPv6報(bào)文,遞交給目的主機(jī)。雖然翻譯技術(shù)與隧道技術(shù)具體的應(yīng)用場(chǎng)景有所差別,但都共同面臨諸如地址語義如何轉(zhuǎn)換,報(bào)文轉(zhuǎn)發(fā)如何控制等問題:首先是地址映射問題。無論翻譯技術(shù)還是隧道技術(shù),由于涉及IPv4/v6兩種協(xié)議報(bào)文之間的映射,因而也都面臨如何建立地址映射的問題。通過較為直觀的NAT方式保存記錄會(huì)帶來可擴(kuò)展性、性能等方面的問題。而使用特殊的IPv6地址格式,能夠使網(wǎng)絡(luò)設(shè)備能夠據(jù)此進(jìn)行地址抽取,同時(shí)保持通信的無狀態(tài),但需要完善可行的路由方案以及實(shí)際可行的部署方案進(jìn)行支持;此外IPv6地址前綴也需加以考慮:使用統(tǒng)一前綴,將其當(dāng)作一項(xiàng)通用的服務(wù)還是使用SP各自的前綴用以加強(qiáng)控制等等;另外在IPv4地址極為緊缺的背景下,地址利用率也是過渡技術(shù)是否可行的重要方面;隨之而來的是控制層面的路由配置問題。保證通信正確性很重要的方面就是如何進(jìn)行路由:如何保證IPv6報(bào)文準(zhǔn)確的被路由到隧道入口或者翻譯裝置;如何將經(jīng)過處理的報(bào)文發(fā)送到”理想的”出口以及應(yīng)答報(bào)文如何能夠經(jīng)過隧道或者翻譯裝置回送給源端;第三,需要考慮數(shù)據(jù)轉(zhuǎn)發(fā)層面的問題。諸如數(shù)據(jù)轉(zhuǎn)發(fā)流程、報(bào)文overhead大小、分片機(jī)制等;此外,安全以及部署問題也是對(duì)過渡技術(shù)的重要挑戰(zhàn):在安全方面,需要考慮如何防止攻擊,如何加強(qiáng)對(duì)設(shè)備的控制;隧道端點(diǎn)或者翻譯裝置位置的選擇、是否利于過渡部署對(duì)于過渡技術(shù)而言也十分重要。筆者結(jié)合上述分析,根據(jù)適用場(chǎng)景與待解決問題的不同,分別對(duì)翻譯技術(shù)、IPv6overIPv4隧道技術(shù)以及IPv4overIPv6隧道技術(shù)進(jìn)行分析,并針對(duì)其中最具發(fā)展前景的、有代表性的技術(shù)進(jìn)行分析對(duì)比。2ipv/v翻譯在翻譯技術(shù)中,IVI翻譯技術(shù)目前而言最具部署前景。IVI技術(shù)是一種基于特殊地址前綴的、無狀態(tài)的IPv4/v6翻譯技術(shù)。一般情況下,應(yīng)用IVI技術(shù)的ISP的接入網(wǎng)絡(luò)為IPv6網(wǎng)絡(luò)。IVI技術(shù)也可以在ISP的IPv4接入網(wǎng)絡(luò)進(jìn)行應(yīng)用,幫助IPv4主機(jī)與IPv6Internet進(jìn)行通信。但是這種場(chǎng)景下,IVI技術(shù)通常只能支持由IPv6主機(jī)發(fā)起的通信。與NAT64ipv6地址映射IVI地址映射保持了通信的無狀態(tài)且地址利用率高。IVI定義了特殊的地址格式(ISPPrefix:FF:IPv4ADDR::),從IPv6地址中取出一段與IPv4地址進(jìn)行映射。而NAT64等技術(shù)進(jìn)行地址映射時(shí),由于NAT的使用,需要維護(hù)大量的NAT表項(xiàng)。這對(duì)狀態(tài)同步以及可擴(kuò)展性會(huì)有不良影響。相關(guān)研究也通過定量分析進(jìn)行了證實(shí)ipv6局域網(wǎng)的控制與NAT64等翻譯技術(shù)僅支持單向發(fā)起通信不同,IVI技術(shù)支持雙向發(fā)起通信。這是由IVI地址映射以及路由機(jī)制決定的:對(duì)于IPv4網(wǎng)絡(luò)發(fā)起通信的情況,配置了下一跳指向IVI翻譯裝置的IPv4路由器向IPv4網(wǎng)絡(luò)宣告地址前綴a。其中,a為參與IVI地址映射的IPv4地址塊前綴。而翻譯裝置與目的IPv6主機(jī)之間通過IPv6網(wǎng)絡(luò)路由進(jìn)行通信;而對(duì)于IPv6網(wǎng)絡(luò)發(fā)起通信的情況,配置了下一跳指向IVI翻譯裝置的IPv6路由器向ISP的IPv6網(wǎng)絡(luò)宣告ISPprefix:FF::/40前綴,使需要經(jīng)過翻譯到達(dá)IPv4網(wǎng)絡(luò)的IPv6流量到達(dá)IVI翻譯裝置。翻譯裝置與目的主機(jī)之間通過IPv4網(wǎng)絡(luò)中的路由進(jìn)行通信。這種路由機(jī)制下,IVI的雙向通信是有條件的:ISP接入網(wǎng)支持IPv6。如果ISP網(wǎng)絡(luò)為IPv4網(wǎng)絡(luò),由于發(fā)起通信時(shí),翻譯裝置無法獲取對(duì)端ISPprefix合成IVI的IPv6地址,因而不能完成通信需求。3rd機(jī)制與6to4技術(shù)對(duì)于IPv6overIPv4隧道的研究較多,其中6to4和6rd技術(shù)具有代表性。6rd(IPv6RapidDevelopment)技術(shù)應(yīng)用場(chǎng)景主要包括6rdCE(customeredgerouters)設(shè)備以及一個(gè)或多個(gè)邊界中繼路由器(BR),如圖1所示。6rd機(jī)制的主要思想是通過CE與BR之間的隧道,實(shí)現(xiàn)6rd孤島網(wǎng)絡(luò)通過ISP的IPv4主干網(wǎng)與外界IPv6網(wǎng)絡(luò)的通信;而6to4技術(shù)的應(yīng)用場(chǎng)景如圖2所示,涉及的設(shè)備包括6to4路由器以及用作6to4孤島與純IPv6Internet之間跨越IPv4Internet的通信的6to4中繼路由器。6rd技術(shù)與6to4技術(shù)的接入網(wǎng)環(huán)境均為IPv4網(wǎng)絡(luò),都是無狀態(tài)的隧道技術(shù),都支持雙向發(fā)起的通信,部署代價(jià)較小,有利于向IPv6的過渡。在隧道建立方面,二者都采用了特殊地址格式來自動(dòng)建立隧道。轉(zhuǎn)發(fā)流程、上層協(xié)議字段設(shè)置等也較為類似。二者應(yīng)用場(chǎng)景類似同時(shí)有所區(qū)別。6rd技術(shù)相比于6to4技術(shù)在地址映射、隧道建立、安全等方面進(jìn)行了改進(jìn),如表2所示。ipv6著各網(wǎng)絡(luò)間的通信場(chǎng)景區(qū)別對(duì)待與6rd支持跨越ISPIPv4網(wǎng)絡(luò)通信場(chǎng)景不同,6to4技術(shù)使用全球統(tǒng)一的6to4地址前綴,根據(jù)目標(biāo)地址前綴,將跨越IPv4Internet的6to4子網(wǎng)之間的通信場(chǎng)景和跨越IPv4Internet的6to4子網(wǎng)與純IPv6網(wǎng)絡(luò)的通信場(chǎng)景區(qū)別對(duì)待:在6to4路由器之間建立隧道實(shí)現(xiàn)跨越IPv4Internet的6to4孤島之間通信;通過6to4路由器與6to4中繼路由器建立隧道實(shí)現(xiàn)6to4孤島與IPv6Internet的通信。ipv6的應(yīng)用6to4技術(shù)使用的是特定前綴2002::/16,側(cè)重于將6to4看作全球性的服務(wù),運(yùn)營商在未獲得IPv6前綴的情況下也可以應(yīng)用6to4技術(shù);6rd技術(shù)使用的是SP特定前綴;而6rd在域內(nèi)CE,BR設(shè)備IPv4地址可聚合的時(shí)候可以使用更短的地址前綴,增加了靈活性;to4網(wǎng)絡(luò)與ipv6局域網(wǎng)的問題由于地址映射機(jī)制的不同,在路由發(fā)現(xiàn)方面兩者有著很大的區(qū)別。對(duì)于IPv6孤島間通信,6to4路由器在提取隧道對(duì)端IPv4地址后,通過IPv4網(wǎng)絡(luò)路由與隧道對(duì)端進(jìn)行通信;對(duì)于IPv6孤島網(wǎng)絡(luò)與IPv6Internet通信的情況,6to4路由器通過任播的方式,尋找中繼路由器。這種路由發(fā)現(xiàn)方式會(huì)導(dǎo)致IPv6Internet在與6to4網(wǎng)絡(luò)通信的過程中,無法將報(bào)文送到目標(biāo)地址所在ISP的中繼路由器。進(jìn)而由于脫離了SP的控制,將會(huì)導(dǎo)致6to4技術(shù)成為一種盡力而為的服務(wù);而對(duì)于6rd技術(shù),CE路由配置下一跳指向隧道對(duì)端的6rdBR,而6rdBR到6rdCE的通信則通過IPv4網(wǎng)絡(luò)中的動(dòng)態(tài)路由進(jìn)行。在報(bào)文回送過程中,ISP地址前綴的使用保證了報(bào)文能夠到達(dá)ISP控制范圍內(nèi)的中繼路由器,大大提高了通信的可靠性。過渡部署可能會(huì)造成攻擊在安全方面,由于6to4中繼路由器不在ISP的控制區(qū)域內(nèi),很容易受到攻擊,安全得不到保障。這種情況也會(huì)在過渡部署方面產(chǎn)生不利影響:運(yùn)營商對(duì)于部署和提高服務(wù)質(zhì)量缺乏動(dòng)力。而6rd通過使用ISP前綴,加強(qiáng)了運(yùn)營商的控制,更容易部署以及保障服務(wù)質(zhì)量。4ipv6隧道隨著近年來運(yùn)營商考慮建設(shè)純IPv6接入網(wǎng),需要IPv4overIPv6隧道提供與外界(IPv4Internet)的通信。目前而言,相關(guān)研究尚處于起步階段。本文重點(diǎn)結(jié)合發(fā)展較為迅速的DS-lite技術(shù)以及具有CERNET實(shí)際部署經(jīng)驗(yàn)的dIVI技術(shù)對(duì)IPv4overIPv6隧道技術(shù)進(jìn)行分析。DS-lite(DualStackLite)是IPv4overIPv6隧道技術(shù)與NAT技術(shù)的結(jié)合。DS-lite通過IPv4overIPv6隧道使IPv4報(bào)文穿越IPv6網(wǎng)絡(luò)到達(dá)一個(gè)位于骨干路由器的IPv4-IPv4的NAT,而不是通過級(jí)連的NAT或NAT-PT,如圖3所示。根據(jù)B4實(shí)現(xiàn)位置的不同,DS-lite可分為基于網(wǎng)關(guān)的DS-lite和基于主機(jī)的DS-lite。AFTR(theDS-LiteAddressFamilyTransitionRouterelement)實(shí)現(xiàn)在運(yùn)營商CGN等設(shè)備上,是隧道終點(diǎn)與運(yùn)營商級(jí)別的IPv4-IPv4的NAT的結(jié)合。用戶的IPv6流量通過IPv6網(wǎng)絡(luò)直接進(jìn)行轉(zhuǎn)發(fā),不需要經(jīng)過轉(zhuǎn)換;而用戶的IPv4流量通過DS-lite機(jī)制進(jìn)行轉(zhuǎn)發(fā),對(duì)用戶實(shí)現(xiàn)了輕量級(jí)雙棧。而dIVI技術(shù)則巧妙的利用了IVI技術(shù)進(jìn)行兩次翻譯實(shí)現(xiàn)跨越IPv6網(wǎng)絡(luò)的通信。在此,我們將dIVI技術(shù)的兩次翻譯等效為兩個(gè)翻譯裝置之間的IPv4overIPv6隧道。在dIVI應(yīng)用場(chǎng)景中,如圖4所示,IPv4用戶端系統(tǒng)與IPv6網(wǎng)絡(luò)之間,部署家庭網(wǎng)關(guān)IVI翻譯器,采用1:1無狀態(tài)的方式,將IPv4報(bào)文翻譯為IPv6報(bào)文;而在IPv6網(wǎng)絡(luò)與IPv4Internet之間部署1:N無狀態(tài)的IVI翻譯裝置,將IPv6報(bào)文二次翻譯,完成與IPv4主機(jī)的通信。dIVI技術(shù)和DS-lite技術(shù)都適用于ADSL、Ethernet、無線等場(chǎng)合,也都在一定程度上破壞了網(wǎng)絡(luò)端到端的設(shè)計(jì)原則。同時(shí),如表3所示,二者在地址映射、隧道建立方式、隧道端點(diǎn)位置等方面各具特點(diǎn)。ds-lite算法在隧道建立方式方面,DS-lite具有更強(qiáng)的靈活性,可擴(kuò)展性較好。DS-lite通過配置可以靈活設(shè)置隧道端點(diǎn),便于進(jìn)行負(fù)載平衡,能夠更好的控制隧道運(yùn)行;dIVI機(jī)制由于翻譯裝置部署位置等原因,大部分情況下要求所有流量都通過單一的結(jié)點(diǎn),而且翻譯裝置也容易成為性能的瓶頸;基于ds-lite機(jī)制的ipv地址規(guī)劃dIVI地址映射與IVI特點(diǎn)類似,節(jié)約地址空間的同時(shí),保證無狀態(tài)通信是其一大優(yōu)勢(shì);而DS-lite機(jī)制對(duì)于IPv6地址格式?jīng)]有做特殊的要求,通過骨干路由器上NAT的使用,根據(jù)記錄進(jìn)行公有IPv4地址的復(fù)用以及隧道對(duì)端地址的映射。AFTR需要維護(hù)大量的NAT表項(xiàng),對(duì)狀態(tài)同步以及可擴(kuò)展性會(huì)有不良影響通信方向在控制層的支持由于在地址映射機(jī)制中引入了NAT,DS-lite僅支持單向發(fā)起通信,而dIVI機(jī)制支持雙向發(fā)起的通信;簡化應(yīng)用層網(wǎng)關(guān)翻譯在數(shù)據(jù)轉(zhuǎn)發(fā)層面,DS-lite技術(shù)結(jié)合了隧道技術(shù)和NAT技術(shù)使得IPv4主機(jī)能夠跨越IPv6網(wǎng)絡(luò)與IPv4Internet進(jìn)行通信。DS-lite不進(jìn)行協(xié)議族之間的翻譯,簡化了應(yīng)用層網(wǎng)關(guān)的翻譯工作。dIVI機(jī)制是擴(kuò)展的IVI機(jī)制,通過IPv4/IPv6/IPv4兩次翻譯,使得不同的IPv4網(wǎng)絡(luò)能夠跨越IPv6網(wǎng)絡(luò)進(jìn)行通信的同時(shí)也能夠?qū)崿F(xiàn)IPv4與IPv6網(wǎng)絡(luò)之間的互通,大大提高了運(yùn)行效率,節(jié)約了成本。5ipv6過渡技術(shù)的應(yīng)用筆者對(duì)具有代表性的過渡技術(shù)的應(yīng)用場(chǎng)景、特色進(jìn)行了分類對(duì)比分析。在實(shí)際應(yīng)用中,對(duì)過渡技術(shù)的特點(diǎn)有充分的認(rèn)識(shí)是十分必要的,而更重要的是應(yīng)該以聯(lián)系與發(fā)展的眼光看待過渡技術(shù)。一方面過渡技術(shù)不應(yīng)被孤立的看待:過渡技術(shù)的采用需要考慮到過渡階段特點(diǎn)以及運(yùn)營商自身情況,不同種類過渡技術(shù)的應(yīng)用往往也是相互關(guān)聯(lián)的;另一方面,尚未成熟的過渡技術(shù)在部署中涉及許多需要解決的問題。在過去的十余年時(shí)間里,各個(gè)運(yùn)營商不斷嘗試采用不同種類的過渡技術(shù)以解決IPv6部署過程遇到的挑戰(zhàn)。這些過渡技術(shù)的應(yīng)用都與當(dāng)時(shí)的過渡需求以及運(yùn)營商自身特點(diǎn)密切相關(guān)。筆者以法國電信和CERNET為例,結(jié)合二者較為成功的部署經(jīng)驗(yàn)對(duì)過渡階段過渡技術(shù)的運(yùn)用進(jìn)行進(jìn)一步闡釋。ipv6子網(wǎng)互通CERNET擁有全球規(guī)模最大的純IPv6骨干網(wǎng)CNGI-CERNET2,但目前校園網(wǎng)還是以IPv4網(wǎng)絡(luò)為主。CERNET校園網(wǎng)子網(wǎng)為IPv6網(wǎng)絡(luò)。CERNET校園網(wǎng)過渡存在共存問題和互通問題。如圖5所示,CERNET針對(duì)IPv6用戶訪問IPv4資源(GlobalIPv4Internet)的應(yīng)用場(chǎng)景,通過校園IVI翻譯技術(shù),實(shí)現(xiàn)校園網(wǎng)內(nèi)純IPv6子網(wǎng)用戶與校園網(wǎng)內(nèi)純IPv4子網(wǎng)的應(yīng)用互通;通過主干IVI翻譯技術(shù),實(shí)現(xiàn)校園網(wǎng)內(nèi)純IPv6子網(wǎng)用戶與校園網(wǎng)外IPv4網(wǎng)絡(luò)(GlobalIPv4Internet)的應(yīng)用互通;通過校園IVI和主干IVI兩次翻譯的dIVI技術(shù)也可實(shí)現(xiàn)校園網(wǎng)內(nèi)純IPv4子網(wǎng)用戶跨越IPv6CERNET2與校園網(wǎng)外IPv4網(wǎng)絡(luò)(GlobalIPv4Internet)的應(yīng)用相互通信,解決共存問題。實(shí)現(xiàn)了采用IVI解決互聯(lián)互通問題的同時(shí),采用dIVI技術(shù)高效地解決共存問題。CERNET認(rèn)識(shí)到IPv4網(wǎng)絡(luò)上通過隧道技術(shù)支持少量IPv6接入已經(jīng)不能滿足網(wǎng)絡(luò)發(fā)展的需要。作為科研網(wǎng)絡(luò)運(yùn)營商的CERNET新建IPv6主干網(wǎng),并采用4over6技術(shù)ds-lite在部署階段的問題法國電信IP骨干網(wǎng)采用MPLS技術(shù),引入IPv6的主要業(yè)務(wù)驅(qū)動(dòng)為Internet、VOIP、移動(dòng)互聯(lián)網(wǎng)、IPTV等業(yè)務(wù)。法國電信采用DS-Lite技術(shù)結(jié)合6PE結(jié)合以上分析與實(shí)例,可以看出IPv6過渡技術(shù)需要結(jié)合過渡階段特點(diǎn)以及運(yùn)營商自身特點(diǎn)。而過渡技術(shù)的運(yùn)用往往也是互相關(guān)聯(lián)的。認(rèn)為對(duì)于現(xiàn)階段ISP而言,在考慮自身特點(diǎn)這一最為重要的前提下,跳過6over4階段,使骨干網(wǎng)支持IPv6此外,在運(yùn)行商實(shí)際部署過程中,也可以清晰的注意到各個(gè)過渡技術(shù)本身在部署方面存在很多問題。比