金融業(yè)IPv6部署和應用評估方法探索研究報告

方法探索研究報告I版權(quán)聲明本報告版權(quán)屬于北京金融科技產(chǎn)業(yè)聯(lián)盟，并受法律保護。轉(zhuǎn)違反上述聲明者，將被追究相關(guān)法律責任。編制委員會編委會成員：聶麗琴張海燕編寫組成員：趙春華李紅曼張倩倩馬超徐曉宇陳耿傅正李洪波王晨張強程鋒章平慶瑞葉官青編審：黃本濤周豫齊參編單位：北京金融科技產(chǎn)業(yè)聯(lián)盟秘書處北京國家金融科技認證中心有限公司中國農(nóng)業(yè)銀行股份有限公司華為技術(shù)有限公司網(wǎng)聯(lián)清算有限公司新華三技術(shù)有限公司北京凝思軟件股份有限公司銳捷網(wǎng)絡股份有限公司中鈔信用卡產(chǎn)業(yè)發(fā)展有限公司推動IPv6規(guī)模部署是建設網(wǎng)絡強國的重要國家戰(zhàn)略。在中國人民銀行等金融管理部門的統(tǒng)籌指導下，金融行業(yè)IPv6規(guī)模部署和應用創(chuàng)新取得了顯著成效，IPv6支持率持續(xù)提升，創(chuàng)新應用不斷涌現(xiàn)。中國人民銀行發(fā)布的《金融科技發(fā)展規(guī)劃（2022—2025年）》提出“架設安全泛在的金融網(wǎng)絡”的重點任務，明確“全面推進互聯(lián)網(wǎng)協(xié)議第六版（IPv6）技術(shù)創(chuàng)新與融合應用，實現(xiàn)從能用向好用轉(zhuǎn)變、從數(shù)量到質(zhì)量轉(zhuǎn)變、從外部推動向內(nèi)生驅(qū)動轉(zhuǎn)變”的任務目標。為匹配跟蹤IPv6最新政策要求和技術(shù)發(fā)展方向，積極研究新技術(shù)對評估認證技術(shù)和方法提出的新課題，特編制本研究報告，以期為金融機構(gòu)持續(xù)深入推進IPv6及IPv6+發(fā)展提供參考。本報告首先對IPv6評估驗證體系現(xiàn)狀進行回顧，隨后圍繞IPv6規(guī)模部署和應用創(chuàng)新兩個維度，系統(tǒng)化分析關(guān)鍵評估指標體系，并對評估實施方法進行探討，最后對未來研究方向進行展望。 （二）IPv6金融認證服務已在行業(yè)落地 （一）總體要求 2 17 1一、IPv6評估驗證體系現(xiàn)狀概述《關(guān)于金融行業(yè)貫徹〈推進互聯(lián)網(wǎng)協(xié)議第六版（IPv6）規(guī)模部署行動計劃〉的實施意見》（銀發(fā)〔2018〕343號以下簡稱《實施意見》）中明確提出，金融服務機構(gòu)面向公眾服務的互聯(lián)網(wǎng)應用系統(tǒng)和門戶網(wǎng)站要支持IPv6鏈接訪問。為貫徹落實《實施意見》要求，中國人民銀行從全局著眼，統(tǒng)籌規(guī)劃IPv6評估驗證方法體系并積極實踐，穩(wěn)步推進IPv6規(guī)模部署和應用。（一）IPv6規(guī)模部署已初步具備驗證指標體系2019年11月，中國人民銀行科技司印發(fā)《金融行業(yè)IPv6規(guī)模部署技術(shù)驗證指標體系V1.0》，提出涵蓋應用、網(wǎng)絡、安全、保障措施和運維五大類11個驗證項58個驗證指標，全面覆蓋了IPv6規(guī)模部署的場景，奠定了金融業(yè)IPv6指標體系的基石，為金融服務機構(gòu)自查和總結(jié)提供了參照。北京國家金融科技認證中心有限公司（以下簡稱“北京國金支持評測指標》，覆蓋金融互聯(lián)網(wǎng)應用系統(tǒng)、安全、運維以及管理制度等7大模塊，細化多個量化考核指標，并根據(jù)評測得分將認證結(jié)果分為不同級別，形成差異化、階梯化的評估體系，以樹立標桿，推進行業(yè)示范。（二）IPv6金融認證服務已在行業(yè)落地中國人民銀行建設金融行業(yè)IPv6發(fā)展監(jiān)測平臺。監(jiān)測平臺從網(wǎng)站2IPv6改造度、網(wǎng)站IPv6和IPv4的一致性、網(wǎng)站二三級鏈接IPv6支持率等7個方面對金融機構(gòu)網(wǎng)站和應用進行動態(tài)監(jiān)測，通過分地區(qū)、分類型的展示功能為全面客觀掌握IPv6規(guī)模部署和改造情況提供支撐。第三方檢測認證專業(yè)機構(gòu)積極協(xié)助政策落地。北京國金認證推出IPv6金融認證服務和國推認證服務，覆蓋門戶網(wǎng)站、面向公眾服務的互聯(lián)網(wǎng)應用系統(tǒng)和金融APP。（三）IPv6行業(yè)標準研制規(guī)范驗證方法2022年《金融標準化“十四五”發(fā)展規(guī)劃》提出制定IPv6應用推廣、檢測評價等配套標準的目標，產(chǎn)業(yè)上下游進一步凝聚共識。中國人民銀行組織研制的IPv6技術(shù)金融應用行業(yè)標準，面向金融服務機構(gòu)門戶網(wǎng)站、APP、B/SWeb應用及C/SAPP應用，從應用、網(wǎng)絡、安全、保障措施和運維五大類方面，對IPv6連接訪問的支持度和網(wǎng)絡質(zhì)量進行驗證，針對IPv6環(huán)境下路由協(xié)議、地址、NAT等網(wǎng)絡安全防護能力制定明確的驗證指標。二、新階段IPv6部署和應用評估指標體系研究（一）總體要求當前IPv6評估指標體系重點面向互聯(lián)網(wǎng)應用系統(tǒng)，覆蓋應用、網(wǎng)絡、安全、保障措施和運維等多層面，有效支撐金融服務機構(gòu)自評估、第三方機構(gòu)評估、行業(yè)監(jiān)測等工作開展。新階段金融業(yè)加快推進IPv6規(guī)模部署和應用、實現(xiàn)從能用向好用演進的目標要求，對現(xiàn)有的IPv6評估指標體系也提出了新的要求。3一是對IPv6驗證對象和范圍會進一步擴展。在金融機構(gòu)門戶網(wǎng)站和業(yè)務系統(tǒng)相關(guān)指標基礎(chǔ)上，IPv6的驗證對象會從針對網(wǎng)絡和應用向網(wǎng)絡、終端、應用及安全多維度擴展，其中IPv6網(wǎng)絡范圍會包括廣域網(wǎng)、分支機構(gòu)網(wǎng)絡、數(shù)據(jù)中心等多個領(lǐng)域。二是對IPv6技術(shù)體系支持度會進一步細化。隨著IPv6+創(chuàng)新技術(shù)，例如分段路由、隨流檢測、網(wǎng)絡切片等技術(shù)的演進及加速部署，針對該新技術(shù)領(lǐng)域的部署實施情況需完善相應的評估手段和評估標準。（二）IPv6規(guī)模部署關(guān)鍵評估指標研究圍繞“深入推進金融機構(gòu)廣域網(wǎng)、分支機構(gòu)網(wǎng)絡、數(shù)據(jù)中心的IPv6改造，持續(xù)提高金融服務機構(gòu)面向公眾服務的互聯(lián)網(wǎng)應用系統(tǒng)IPv6支持能力”的總目標，基于量質(zhì)并重、分級分類原則，全面設計新階段IPv6評估指標體系。一方面是指標覆蓋網(wǎng)絡范圍擴展，另一方面新增指標定義項，涵蓋了IPv6覆蓋度、IPv6活躍度、IPv6網(wǎng)絡質(zhì)量、IPv6網(wǎng)絡可靠性、IPv6安全防護能力和IPv6運維支撐體系。1.信息基礎(chǔ)設施的IPv6覆蓋度指標本指標用于評估各類金融信息基礎(chǔ)設施IPv6部署的總體完成情況，具體指標如表1所示。4部署IPv6/IPv4雙棧的網(wǎng)絡設備數(shù)量/說明：（1）終端與應用系統(tǒng)的IPv6部署度，可通過IPv6活躍度指標進行有效評估。（2）評估過程建議與《實施意見》中演進路線相匹配，具體如下：（a）自階段一起，新采購信息基礎(chǔ)設施均需滿足IPv6支持度要求。（b）在階段一和階段二期間，新部署的網(wǎng)絡及安全設備優(yōu)5選IPv6單棧方式部署，如需與IPv4存量適配，須通過IPv6/IPv4雙棧方式部署，以逐步提升IPv6占比。（c）至階段三實現(xiàn)IPv6單棧全面部署的目標。2.網(wǎng)絡基礎(chǔ)設施的IPv6活躍度指標本指標用于評估各網(wǎng)絡領(lǐng)域IPv6業(yè)務流量的占比情況，以間接評估終端和應用系統(tǒng)的IPv6部署情況。具體指標如表2所示。6說明：（1）IPv6業(yè)務流量占比計算公式如下：業(yè)務流量+IPv6出業(yè)務流量）。（b）IPv6入業(yè)務流量占比=IPv6入業(yè)務流量/（IPv4入業(yè)務流量+IPv6出業(yè)務流量）。（2）計算公式適用于廣域骨干網(wǎng)絡、廣域分支網(wǎng)絡、數(shù)據(jù)中心網(wǎng)絡、園區(qū)網(wǎng)絡。其中出流量可體現(xiàn)IPv6業(yè)務連接情況及活躍度，入流量可體現(xiàn)IPv6業(yè)務被訪問及應用狀態(tài)。（3）評估過程建議與《實施意見》中實施步驟相匹配，具體如下：（a）在階段一和階段二期間，本指標數(shù)據(jù)逐步提升。（b）至階段三各領(lǐng)域網(wǎng)絡IPv6活躍度數(shù)據(jù)全面提升，以實現(xiàn)IPv6單棧全面部署的目標。本指標通過時延、抖動、丟包等關(guān)鍵業(yè)務指標，以綜合評估IPv6部署后網(wǎng)絡總體質(zhì)量，指導達成“網(wǎng)絡好用”的發(fā)展目標。具體指標如表3所示。7量量量量綜合評估網(wǎng)絡質(zhì)量。說明：（1）IPv6網(wǎng)絡質(zhì)量通過IPv6業(yè)務相比IPv4業(yè)務在時延、抖動、丟包綜合劣化的結(jié)果進行呈現(xiàn)，計算公式如下：（a）IPv6業(yè)務時延劣化結(jié)果=（IPv6業(yè)務時延-IPv4業(yè)務時延）/IPv4業(yè)務時延，若小于0則取用結(jié)果0。IPv6業(yè)務時延=檢測網(wǎng)絡中N個IPv6業(yè)務時延之和/N。IPv4業(yè)務時延=檢測網(wǎng)絡中N個IPv4業(yè)務時延之和/N。8（b）IPv6業(yè)務丟包結(jié)果=（IPv6業(yè)務丟包率率）/IPv4業(yè)務丟包率，若小于0則取用結(jié)果0。IPv6業(yè)務丟包率=檢測網(wǎng)絡中N個IPv6業(yè)務丟包率之和/N。IPv4業(yè)務丟包率=檢測網(wǎng)絡中N個IPv4業(yè)務丟包率之和/N。（c）IPv6業(yè)務抖動結(jié)果=（IPv6業(yè)務抖動-IPv4業(yè)務抖動）/IPv4業(yè)務抖動，若小于0則取用結(jié)果0。IPv6業(yè)務抖動=檢測網(wǎng)絡中N個IPv6業(yè)務抖動之和/N。IPv4業(yè)務抖動=檢測網(wǎng)絡中N個IPv4業(yè)務抖動之和/N。（d）IPv6網(wǎng)絡質(zhì)量=IPv6業(yè)務時延劣化結(jié)果*權(quán)重30%+IPv6業(yè)務丟包結(jié)果*權(quán)重40%+IPv6業(yè)務抖動結(jié)果*權(quán)重30%。（2）IPv6網(wǎng)絡質(zhì)量指標是IPv6規(guī)模部署演進中一個重要的衡量標準，在三個演進階段均需關(guān)注參考。（3）IPv6轉(zhuǎn)換技術(shù)NAT64、NAT66的質(zhì)量情況通過轉(zhuǎn)換成功率進行計算衡量，即：IPv6轉(zhuǎn)換技術(shù)質(zhì)量=檢測網(wǎng)絡中IPv6NAT轉(zhuǎn)換成功數(shù)/網(wǎng)絡NAT轉(zhuǎn)換總數(shù)。4.網(wǎng)絡基礎(chǔ)設施的IPv6網(wǎng)絡可靠性指標本指標通過對IPv6網(wǎng)絡可靠性進行綜合評估，支撐IPv6業(yè)務連續(xù)不中斷的目標達成。具體指標如表4所示。9性說明：（1）網(wǎng)絡可靠性通過網(wǎng)絡基礎(chǔ)設施的鏈路及設備冗余化部署得到支撐，本指標判定鏈路或設備冗余化部署是否滿足。（2）基礎(chǔ)設施的IPv6網(wǎng)絡可靠性，是IPv6規(guī)模部署演進中的基礎(chǔ)衡量標準，在三個演進階段均需關(guān)注參考。5.信息基礎(chǔ)設施的IPv6安全防護能力指標本指標用于評估IPv6業(yè)務端到端的安全體系化能力，與前述IPv6覆蓋度指標中IPv6安全能力指標互為補充。以是否部署為判定條件，具體能力要求可根據(jù)總體評估目標詳細設定。具體指標如表5所示。護級說明：本指標是IPv6規(guī)模部署演進中最重要的衡量標準之一，在三個演進階段均需關(guān)注參考。6.網(wǎng)絡基礎(chǔ)設施的IPv6運維支撐體系健全度指標本指標用于評估網(wǎng)絡運維支撐的綜合能力，實現(xiàn)IPv6更高效、智能的管理，指導達成“網(wǎng)絡好用”的發(fā)展目標。以是否部署為判定條件，具體能力要求可根據(jù)總體評估目標詳細設定。具體指標如表6所示。撐說明：本指標是IPv6規(guī)模部署演進中必不可少的衡量標準。評估建議如下：（1）在階段一，網(wǎng)絡運維系統(tǒng)、網(wǎng)絡監(jiān)控系統(tǒng)作為IPv6運維基礎(chǔ)要求，相關(guān)指標均應滿足。（2）從階段二至階段三，需逐步達成網(wǎng)絡分析系統(tǒng)和開放可編程的對應指標，以滿足IPv6單棧全面部署的目標達成后的運維支撐要求。（三）IPv6技術(shù)和應用創(chuàng)新關(guān)鍵評估指標研究IPv6+技術(shù)體系為金融業(yè)IPv6融合應用創(chuàng)新奠定了基礎(chǔ)，也是金融業(yè)IPv6部署演進的重要課題。新階段的IPv6評估指標體系應匹配技術(shù)創(chuàng)新演進的方向和節(jié)奏，充分驗證新技術(shù)引入能力和部署規(guī)模和實施效果，驗證IPv6網(wǎng)絡“從能用向好用轉(zhuǎn)變”的能力水平。1.面向IPv6演進階段一，深入推進SRv6技術(shù)創(chuàng)新，評估金融機構(gòu)骨干網(wǎng)及分支網(wǎng)絡設備的IPv6+網(wǎng)絡可編程能力。具體指標如表7所示。用2.面向IPv6演進階段二，加強網(wǎng)絡切片、隨流檢測、新型組播等創(chuàng)新技術(shù)應用，評估金融機構(gòu)骨干網(wǎng)及分支網(wǎng)絡設備的IPv6+業(yè)務體驗保障水平。具體指標如表8所示。用支持iFIT的網(wǎng)絡設備數(shù)目/域內(nèi)所部署iFIT的網(wǎng)絡設備數(shù)目/域內(nèi)所是否支持通過控制器實現(xiàn)iFIT業(yè)是否支持通過iFIT方式實現(xiàn)VPN、是否支持通過iFIT方式對業(yè)務時支持切片的網(wǎng)絡設備/域內(nèi)所有網(wǎng)部署切片的網(wǎng)絡設備/域內(nèi)所有網(wǎng)切片網(wǎng)絡業(yè)務時延與承諾時延的支持Bierv6的網(wǎng)絡設備/域內(nèi)所有部署B(yǎng)ierv6的網(wǎng)絡設備/域內(nèi)所有3.面向IPv6演進階段三，推進應用驅(qū)動網(wǎng)絡APN6技術(shù)應用部署，實現(xiàn)應用感知和網(wǎng)絡自治，評估金融機構(gòu)相關(guān)網(wǎng)絡領(lǐng)域內(nèi)網(wǎng)絡設備的IPv6+應用感知水平。具體指標如表9所示。用三、新階段IPv6評估實施方法探索金融業(yè)IPv6部署和應用評估指標的不斷豐富，對具體的評估驗證方法、技術(shù)、工具、環(huán)境、平臺、機制等多方面也提出了新的課題，需要在發(fā)展中深入研究。圍繞各階段的目標要求，通過多種創(chuàng)新技術(shù)和方法逐步落地。新階段IPv6評估驗證主要提出兩方面要求：一方面，IPv6的評估驗證范圍更廣泛，即從原有針對數(shù)據(jù)中心出口網(wǎng)絡及應用的IPv6監(jiān)測，擴展到數(shù)據(jù)中心網(wǎng)絡（外網(wǎng)及DMZ、內(nèi)網(wǎng)）、安全、終端及應用，廣域網(wǎng)絡及安全，園區(qū)網(wǎng)絡、安全及終端。另一方面，IPv6評估驗證的指標更全面，包括從IPv6覆蓋度、活躍度、網(wǎng)絡質(zhì)量、可靠性、安全、運維等部署程度評估指標，以及多種應用創(chuàng)新技術(shù)指標。上述要求對IPv6監(jiān)測數(shù)據(jù)的采集、評估和呈現(xiàn)等全流程均提（一）IPv6監(jiān)測數(shù)據(jù)采集多維度的IPv6指標需要采取差異化、創(chuàng)新性的監(jiān)測技術(shù)和手段實現(xiàn)。需要結(jié)合指標要求、業(yè)務特點、場景差異等因素綜合考慮。以IPv6網(wǎng)絡質(zhì)量指標為例，針對廣域網(wǎng)絡的監(jiān)測和數(shù)據(jù)中心網(wǎng)絡的監(jiān)測，數(shù)據(jù)采集過程中可能采用不同的技術(shù)。例如，數(shù)據(jù)中心網(wǎng)絡可以考慮采用鏡像、撥測等技術(shù)，廣域網(wǎng)絡可以考慮采用NetStream、Telemetry等數(shù)據(jù)采集上報技術(shù)。同時，可以采用更多的創(chuàng)新監(jiān)測手段。例如，針對網(wǎng)絡設備和終端、應用系統(tǒng)，可以針對數(shù)據(jù)采集的數(shù)據(jù)類別、取樣時間、取樣范圍、取樣頻度等嘗試更多創(chuàng)新性的采集方法。新階段IPv6評估驗證數(shù)據(jù)采集的范圍、數(shù)據(jù)內(nèi)容、數(shù)據(jù)量、工作量都將不斷增長。同時，為提升監(jiān)測質(zhì)量及結(jié)果準確性，需要提高數(shù)據(jù)采集頻度。然而，傳統(tǒng)數(shù)據(jù)采集以部分工具采樣為基礎(chǔ)、人工核查作為補充，這種方式將面臨新的挑戰(zhàn)。因此，同樣需要推動IPv6數(shù)據(jù)采集在工具化、自動化方面的技術(shù)創(chuàng)新，以解決數(shù)據(jù)采集覆蓋范圍擴大帶來的效率和準確性的平衡性問題。數(shù)據(jù)采集方法需要探針、采集、篩選等工具或平臺支持。當前相關(guān)研究仍處于起步階段，尚有大量課題需要深入研究。對于采集到的原始數(shù)據(jù)，需要進行大量的數(shù)據(jù)量化和分析，并進行是否達標的判定，以提供商業(yè)機構(gòu)自測自檢，以及金融管理部門管理監(jiān)測。在研究IPv6監(jiān)測數(shù)據(jù)采集的基礎(chǔ)上，可進一步探索IPv6監(jiān)測結(jié)果評估的工具化和自動化。數(shù)據(jù)分析和評估可借助大數(shù)據(jù)分析、人工智能等創(chuàng)新性技術(shù)，以提升評估結(jié)果的準確性和時效性。探索金融管理部門和商業(yè)機構(gòu)的采集評估工具進行雙向協(xié)同，以充分釋放金融數(shù)字化轉(zhuǎn)型技術(shù)紅利?，F(xiàn)有的監(jiān)測數(shù)據(jù)結(jié)果的呈現(xiàn)能力不斷提升，進一步優(yōu)化和完善金融業(yè)多領(lǐng)域網(wǎng)絡、安全、終端擴展呈現(xiàn)范圍到全IPv6網(wǎng)絡領(lǐng)域、安全等。同時進一步完善呈現(xiàn)類別，例如IPv6可靠性、IPv6體驗等。其次，實現(xiàn)監(jiān)測平臺數(shù)據(jù)來源自動化。在IPv6監(jiān)測數(shù)據(jù)采集及IPv6監(jiān)測結(jié)果評估均實現(xiàn)工具化、自動化的基礎(chǔ)上，監(jiān)測平臺可根據(jù)標準化要求與采集、評估工具對接，周期性進行數(shù)據(jù)自動化獲取及呈現(xiàn)。四、未來研究方向當前，IPv6及IPv6+在金融網(wǎng)絡的應用，仍是技術(shù)創(chuàng)新研究的重要方向，對于評估驗證體系也需要與時俱進，匹配國家和金融行業(yè)IPv6及IPv6+的整體發(fā)展目標和技術(shù)能力，進行更完善同時，IPv6及IPv6+部署和應用評估驗證，仍面臨著新的研究課題，需要打破網(wǎng)絡通信層的邊界，進行更廣泛深入的研究。一方面，在信息基礎(chǔ)設施的IPv6覆蓋度指標評估方面