電子政務(wù)外網(wǎng) 5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范 IPv6部署要求

電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范IPv6部署要求范圍本文件規(guī)定了電子政務(wù)外網(wǎng)（以下簡稱“政務(wù)外網(wǎng)”）IPv6部署的網(wǎng)絡(luò)結(jié)構(gòu)、技術(shù)要求、安全要求、管理系統(tǒng)要求、支撐系統(tǒng)要求等。本文件適用于政務(wù)外網(wǎng)管理機構(gòu)、接入部門、設(shè)計單位對IPv6網(wǎng)絡(luò)進行規(guī)劃、建設(shè)、管理等。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239 信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求YD/T2139IPv6網(wǎng)絡(luò)域名服務(wù)器技術(shù)要求YD/T2296IPv6動態(tài)主機配置協(xié)議技術(shù)要求DB32/T3514.1電子政務(wù)外網(wǎng)建設(shè)規(guī)范第1部分：網(wǎng)絡(luò)平臺術(shù)語和定義DB32/T3514.1界定的以及下列術(shù)語和定義適用于本文件。網(wǎng)絡(luò)切片networkslicing為用戶提供特定網(wǎng)絡(luò)能力和網(wǎng)絡(luò)特征（如資源隔離、SLA保障特性等），以及多種業(yè)務(wù)屬性的邏輯網(wǎng)絡(luò)。隨流檢測in-situflowinformationtelemetry一種直接對業(yè)務(wù)報文進行端到端測量，從而得到網(wǎng)絡(luò)的真實丟包率、時延等性能指標的檢測方式，具有部署方便、統(tǒng)計精度高等突出優(yōu)點。縮略語下列縮略語適用于本文件。APN6：應(yīng)用感知的IPv6網(wǎng)絡(luò)（Application-awareIPv6Networking）AS：自治系統(tǒng)

（AutonomousSystem）

DHCPv6：動態(tài)主機配置協(xié)議版本6（DynamicHostConfigurationProtocolVersion6）EBGP：外部邊界網(wǎng)關(guān)協(xié)議（ExternalBorderGatewayProtocol）IGP：內(nèi)部網(wǎng)關(guān)協(xié)議（InteriorGatewayProtocol）IPv4：互聯(lián)網(wǎng)協(xié)議-第4版（InternetProtocolVersion4）IPv6：互聯(lián)網(wǎng)協(xié)議-第6版（InternetProtocolVersion6）IPv6+：基于IPv6下一代互聯(lián)網(wǎng)的升級（InternetProtocolVersion6Plus）MSTP：多業(yè)務(wù)傳送平臺（Multi-ServiceTransferPlatform）MTU：最大傳輸單元（MaximumTransmissionUnit）OTN：光傳送網(wǎng)（OpticalTransmissionNet）PE：運營商邊緣（ProviderEdge）SDH：同步數(shù)字系列（SynchronousDigitalHierarchy）SLA：服務(wù)等級協(xié)議（ServiceLevelAgreement）SLAAC：無狀態(tài)地址自動配置（StatelessAddressAutoconfiguration）SRv6：基于IPv6的段路由（SegmentRoutingoverIPv6）VLAN：虛擬局域網(wǎng)（VirtualLocalAreaNetwork）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）網(wǎng)絡(luò)結(jié)構(gòu)政務(wù)外網(wǎng)由省、市、縣三級組成，具體如下：省級政務(wù)外網(wǎng)包含省級廣域網(wǎng)、省級城域網(wǎng)、省級部門接入網(wǎng)；市級政務(wù)外網(wǎng)包含市級廣域網(wǎng)、市級城域網(wǎng)、市級部門接入網(wǎng)；縣級政務(wù)外網(wǎng)包含縣級城域網(wǎng)、縣級部門接入網(wǎng)、鄉(xiāng)（鎮(zhèn)、街道）接入網(wǎng)、村（社區(qū)）接入網(wǎng)。政務(wù)外網(wǎng)IPv6網(wǎng)絡(luò)實行統(tǒng)一規(guī)劃、統(tǒng)一標準、分級建設(shè)、分級管理。技術(shù)要求總體要求政務(wù)外網(wǎng)建設(shè)應(yīng)向IPv6單棧模式發(fā)展演進。IPv6單棧演進應(yīng)遵循廣域網(wǎng)/城域網(wǎng)、政務(wù)云、管理與支撐系統(tǒng)先行建設(shè)，部門接入網(wǎng)（含終端）和應(yīng)用系統(tǒng)協(xié)同跟進原則。IPv6單棧建設(shè)應(yīng)采用SRv6、網(wǎng)絡(luò)切片、隨流檢測等技術(shù)，實現(xiàn)網(wǎng)絡(luò)路徑的靈活調(diào)度和網(wǎng)絡(luò)質(zhì)量的確定性保障。IPv6網(wǎng)絡(luò)應(yīng)不使用地址轉(zhuǎn)換技術(shù)。IPv6設(shè)備應(yīng)符合自主可控相關(guān)要求。廣域網(wǎng)/城域網(wǎng)應(yīng)采用SRv6技術(shù)為IPv6業(yè)務(wù)承載提供網(wǎng)絡(luò)路徑可編程能力，結(jié)合鏈路資源使用情況，實時動態(tài)調(diào)整流量路徑。過渡期內(nèi)可通過SRv6VPN技術(shù)統(tǒng)一承載IPv4、IPv6業(yè)務(wù)。應(yīng)采用網(wǎng)絡(luò)切片技術(shù)為IPv6業(yè)務(wù)提供確定性帶寬保障，具體要求如下：常用以太網(wǎng)接口（如10G接口、40G接口、100G接口等）應(yīng)支持網(wǎng)絡(luò)切片；網(wǎng)絡(luò)應(yīng)具備不同層次的切片能力，如1G、2G、5G、10G等；網(wǎng)絡(luò)切片技術(shù)應(yīng)與IGP技術(shù)解耦，不同的網(wǎng)絡(luò)切片可共用相同的接口地址和IGP路由協(xié)議。應(yīng)采用隨流檢測技術(shù)為IPv6業(yè)務(wù)提供狀態(tài)實時感知和故障快速定界能力，檢測粒度應(yīng)細化到單個部門或具體業(yè)務(wù)。應(yīng)根據(jù)業(yè)務(wù)需要進行帶寬實時保障和網(wǎng)絡(luò)質(zhì)量監(jiān)控，宜采用APN6技術(shù)對IPv6業(yè)務(wù)進行識別。政務(wù)外網(wǎng)通信鏈路應(yīng)為IPv6業(yè)務(wù)提供專用的二層點對點鏈路，如OTN、MSTP、SDH、IP切片專線、裸光纖等。鏈路帶寬應(yīng)滿足IPv6部署需求。應(yīng)對鏈路使用情況進行實時監(jiān)測，并根據(jù)實際帶寬流量動態(tài)擴縮容，同時不影響業(yè)務(wù)正常使用。IPv6設(shè)備MTU值設(shè)置應(yīng)大于等于2000字節(jié)。網(wǎng)絡(luò)設(shè)備的IPv6功能應(yīng)符合附錄A要求。部門接入網(wǎng)部門接入網(wǎng)的IPv6部署具體要求如下：應(yīng)建設(shè)IPv6單棧網(wǎng)絡(luò)，過渡期內(nèi)可采用IPv4/IPv6雙棧；應(yīng)通過VLAN、網(wǎng)絡(luò)切片等技術(shù)，對視頻會議、政務(wù)服務(wù)等不同業(yè)務(wù)進行邏輯隔離；應(yīng)通過DHCPv6協(xié)議為終端統(tǒng)一分配IPv6地址，地址分配記錄應(yīng)至少保存6個月；與政務(wù)外網(wǎng)邊界設(shè)備對接應(yīng)采用靜態(tài)路由或動態(tài)路由，當采用動態(tài)路由時，僅發(fā)布規(guī)劃中的部門政務(wù)外網(wǎng)地址段；接入政務(wù)外網(wǎng)時，應(yīng)按照國家和行業(yè)相關(guān)安全標準進行邊界防護。政務(wù)云政務(wù)云的IPv6部署具體要求如下：應(yīng)建設(shè)IPv6單棧資源池滿足業(yè)務(wù)部署要求，過渡期內(nèi)可通過地址轉(zhuǎn)換技術(shù)實現(xiàn)IPv6單棧應(yīng)用與存量IPv4應(yīng)用或用戶之間的互訪；應(yīng)采用靜態(tài)路由或動態(tài)路由與政務(wù)外網(wǎng)網(wǎng)絡(luò)對接，當采用動態(tài)路由時，僅發(fā)布規(guī)劃中的政務(wù)云地址段。應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)應(yīng)基于IPv6進行部署，具體要求如下：新建應(yīng)用系統(tǒng)應(yīng)采用IPv6單棧部署，過渡期內(nèi)存在IPv4用戶訪問的，可通過地址轉(zhuǎn)換技術(shù)訪問IPv6應(yīng)用系統(tǒng)；原有應(yīng)用系統(tǒng)應(yīng)進行IPv6單棧改造。業(yè)務(wù)承載所有業(yè)務(wù)應(yīng)使用SRv6VPN進行承載，具體要求如下：應(yīng)將城域網(wǎng)接入設(shè)備作為PE，部署VPN實例，滿足不同業(yè)務(wù)的邏輯隔離要求；應(yīng)根據(jù)業(yè)務(wù)需求進行SRv6VPN規(guī)劃，過渡期內(nèi)VPN規(guī)劃應(yīng)兼容原有IPv4業(yè)務(wù)。AS域間對接AS域間IPv6網(wǎng)絡(luò)對接應(yīng)采用OptionA方式，當前采用OptionB方式對接的，可通過在域間設(shè)備增加業(yè)務(wù)互聯(lián)接口，配置靜態(tài)路由或EBGP進行業(yè)務(wù)路由交換，實現(xiàn)OptionA方式。安全要求總體要求IPv6網(wǎng)絡(luò)建設(shè)應(yīng)符合GB/T22239、GB/T25070等網(wǎng)絡(luò)安全等級保護相關(guān)要求，省市兩級IPv6網(wǎng)絡(luò)建設(shè)應(yīng)滿足網(wǎng)絡(luò)安全等級保護第三級要求。IPv6網(wǎng)絡(luò)安全防護能力應(yīng)滿足業(yè)務(wù)需求。存量網(wǎng)絡(luò)進行IPv6改造后，其安全防護能力不應(yīng)低于原有網(wǎng)絡(luò)。安全設(shè)備應(yīng)具備“IPv6+”技術(shù)能力，其功能應(yīng)符合附錄B的要求。安全準入IPv6網(wǎng)絡(luò)安全準入具體要求如下：應(yīng)對IPv6用戶接入實施身份鑒別、認證，并基于角色進行應(yīng)用訪問控制；應(yīng)對IPv6用戶地址進行溯源管理；應(yīng)對終端環(huán)境進行持續(xù)檢測和評估，并根據(jù)評估情況，按最小授權(quán)原則動態(tài)調(diào)整其應(yīng)用訪問權(quán)限。安全防護IPv6網(wǎng)絡(luò)安全防護具體要求如下：應(yīng)對政務(wù)云、部門接入網(wǎng)等的業(yè)務(wù)流量進行安全防護，包括安全訪問控制、入侵防御、防病毒等，宜采用集中部署安全資源池的方式；應(yīng)加強IPv6終端安全防護，實時監(jiān)測終端流量，對非授權(quán)訪問、異常流量等行為進行管控；廣域網(wǎng)/城域網(wǎng)等關(guān)鍵節(jié)點處應(yīng)具備主動檢測和威脅阻斷能力，對重要時期網(wǎng)絡(luò)安全進行保障；應(yīng)采用SRv6技術(shù)對網(wǎng)絡(luò)和安全設(shè)備進行統(tǒng)一路徑編排，實現(xiàn)網(wǎng)絡(luò)流量的按需防護；使用加密算法對數(shù)據(jù)進行加密時，應(yīng)符合密碼應(yīng)用相關(guān)要求。安全監(jiān)測和管理IPv6網(wǎng)絡(luò)安全監(jiān)測和管理具體要求如下：應(yīng)采集IPv6業(yè)務(wù)流量、網(wǎng)絡(luò)和安全設(shè)備日志、系統(tǒng)運行數(shù)據(jù)等信息，通過關(guān)聯(lián)分析實現(xiàn)風險識別、威脅發(fā)現(xiàn)、通報預(yù)警、態(tài)勢呈現(xiàn)、威脅處置等能力；安全監(jiān)測數(shù)據(jù)應(yīng)至少保存6個月；應(yīng)對安全策略進行統(tǒng)一管理，包括安全策略的配置、下發(fā)、導(dǎo)出、導(dǎo)入、備份等；應(yīng)將安全事件、脆弱性、配置、可用性等安全監(jiān)測結(jié)果進行可視化展現(xiàn)；應(yīng)對資產(chǎn)進行統(tǒng)一管理，包括資產(chǎn)名稱、IP地址、類型、責任人以及資產(chǎn)屬性等的采集、記錄、變更；應(yīng)提供標準外部通信與數(shù)據(jù)接口，與上下級平臺和第三方系統(tǒng)實現(xiàn)互聯(lián)。管理系統(tǒng)要求總體要求管理系統(tǒng)應(yīng)支持對IPv6單棧網(wǎng)絡(luò)進行統(tǒng)一管理，具備資源管理、運行監(jiān)控、智能分析等功能。資源管理資源管理具體要求如下：應(yīng)采用基于YANG模型的NETCONF等模式對設(shè)備進行配置管理；應(yīng)支持對IPv6網(wǎng)絡(luò)中的設(shè)備進行配置下發(fā)、配置檢查、配置文件備份等；應(yīng)對IPv6網(wǎng)絡(luò)的SRv6VPN、隧道、網(wǎng)絡(luò)切片等資源進行管理，包含資源創(chuàng)建、發(fā)放、回收和刪除，以及路徑和帶寬等的動態(tài)調(diào)整。運行監(jiān)控運行監(jiān)控主要包括態(tài)勢監(jiān)控、拓撲監(jiān)控和IPv6發(fā)展情況監(jiān)測，具體要求如下：應(yīng)對IPv6網(wǎng)絡(luò)的網(wǎng)絡(luò)態(tài)勢、安全態(tài)勢進行統(tǒng)一監(jiān)控，包括設(shè)備和鏈路的健康度、資源和負載的使用情況、資產(chǎn)安全態(tài)勢、威脅事件態(tài)勢等；應(yīng)對本級及所轄下級網(wǎng)絡(luò)的IPv6網(wǎng)絡(luò)拓撲進行統(tǒng)一監(jiān)控、呈現(xiàn)，包括物理網(wǎng)絡(luò)拓撲、SRv6VPN拓撲、網(wǎng)絡(luò)切片拓撲等；應(yīng)對IPv6就緒度進行監(jiān)測管理，監(jiān)測指標參見附錄C。智能分析智能分析主要包括質(zhì)量分析、故障分析、網(wǎng)絡(luò)異常檢測、容量預(yù)測，具體要求如下：應(yīng)采用隨流檢測技術(shù)對網(wǎng)絡(luò)中業(yè)務(wù)服務(wù)質(zhì)量進行實時檢測和質(zhì)量分析，支持隨真實業(yè)務(wù)流的丟包率和時延檢測；應(yīng)具備網(wǎng)絡(luò)的故障感知、故障業(yè)務(wù)路徑還原和故障定界定位能力，支持本級及所轄下級網(wǎng)絡(luò)的跨域協(xié)同故障分析能力；應(yīng)對業(yè)務(wù)流量進行采集、安全分析和威脅溯源，聯(lián)動網(wǎng)絡(luò)、安全設(shè)備執(zhí)行威脅隔離、阻斷動作；應(yīng)對網(wǎng)絡(luò)的設(shè)備資源、網(wǎng)絡(luò)流量、帶寬利用率等指標進行異常檢測，宜支持Telemetry高精度采集；應(yīng)具備網(wǎng)絡(luò)的容量預(yù)測能力，包括設(shè)備資源容量預(yù)測和網(wǎng)絡(luò)流量預(yù)測。支撐系統(tǒng)要求總體要求IPv6網(wǎng)絡(luò)應(yīng)具備域名服務(wù)、地址分配、地址管理等系統(tǒng)服務(wù)能力。域名服務(wù)域名服務(wù)應(yīng)符合YD/T2139的要求，此外還應(yīng)滿足以下要求：解析記錄類型同時支持AAAA、A記錄；支持純IPv6、IPv6/IPv4雙棧的混合解析。地址分配地址分配應(yīng)符合YD/T2296的要求，此外還應(yīng)滿足以下要求：支持無狀態(tài)地址自動配置（SLAAC）；支持IPv6地址分配、續(xù)租、回收；支持IPv6地址溯源功能。地址管理地址管理具體要求如下：應(yīng)根據(jù)類型域、區(qū)劃域、部門域等自定義語義標識進行IPv6地址的規(guī)劃；應(yīng)對IPv6地址進行可視化的生命周期管理，包括IP地址批量分配、預(yù)留和回收等；應(yīng)對IPv6地址子網(wǎng)進行管理，包括IP子網(wǎng)的監(jiān)測、創(chuàng)建、導(dǎo)入、編輯、刪除；應(yīng)與地址分配系統(tǒng)進行聯(lián)動，自動下發(fā)子網(wǎng)信息到地址分配系統(tǒng)；應(yīng)對全網(wǎng)IPv6地址使用數(shù)、在線數(shù)、使用率、分配率進行統(tǒng)計；應(yīng)具備基于IPv6地址的資產(chǎn)管理功能，包括終端資產(chǎn)、設(shè)備資產(chǎn)和應(yīng)用資產(chǎn)等；應(yīng)能夠?qū)Pv6地址進行分權(quán)分域管理。A

（規(guī)范性）

網(wǎng)絡(luò)設(shè)備功能要求網(wǎng)絡(luò)設(shè)備IPv6功能應(yīng)符合表A.1要求。表A.1網(wǎng)絡(luò)設(shè)備功能要求功能分類要求二層功能VLAN路由協(xié)議靜態(tài)IPv6路由、OSPFv3、IS-ISIPv6、BGP4+、MP-BGP業(yè)務(wù)承載L3VPNv6、EVPN，支持MPLSLDP、6vPE、SRv6隧道質(zhì)量保障QoS、網(wǎng)絡(luò)切片、APN6可靠性硬件支持部件冗余，設(shè)備系統(tǒng)軟件支持Ti-LFA、VPNFRR、BFD等快速收斂協(xié)議網(wǎng)絡(luò)管理支持NTP/1588v2/1588ATR等時鐘服務(wù)，支持SNMP/YANG等管理協(xié)議，支持NQA、Twamp、隨流檢測等技術(shù)B

（規(guī)范性）

安全設(shè)備功能要求安全設(shè)備IPv6功能應(yīng)符合表B.1要求。表B.1安全設(shè)備功能要求功能分類要求安全檢測能力支持對IPv4/IPv6流量的安全威脅的檢測，支持SRv6、網(wǎng)絡(luò)切片等IPv6+場景下業(yè)務(wù)流量安全檢測安全防護能力支持對IPv4/IPv6流量的安全防護，支持SRv6、網(wǎng)絡(luò)切片等IPv6+場景下業(yè)務(wù)流量安全防護網(wǎng)絡(luò)兼容支持IPv4/IPv6雙棧網(wǎng)絡(luò)管理支持IPv4/IPv6雙棧的SNMP/YANG等管理協(xié)議可靠性支持雙機熱備、硬件冗余部署

（資料性）

IPv6發(fā)展監(jiān)測指標IPv6發(fā)展監(jiān)測指標見表C.1。表C.1IPv6發(fā)展監(jiān)測指標監(jiān)測維度監(jiān)測指標指標說明活躍用戶IPv6物聯(lián)網(wǎng)終端活躍連接數(shù)和占比已經(jīng)獲得IPv6地址，且在30天內(nèi)具備有效IPv6流量記錄的物聯(lián)網(wǎng)終端數(shù)和占比IPv6辦公終端活躍連接數(shù)和占比已經(jīng)獲得IPv6地址，且在30天內(nèi)具備有效IPv6流量記錄（不包含Ping和域名解析流量）的辦公終端數(shù)量和占比IPv6流量城域網(wǎng)IPv6流量和占比城域網(wǎng)每天的平均IPv6流量和占比數(shù)據(jù)中心IPv6流量和占比數(shù)據(jù)中心每天的平均IPv6流量和占比網(wǎng)絡(luò)就緒度IPv6網(wǎng)絡(luò)時延部門接入網(wǎng)到數(shù)據(jù)中心入口，發(fā)送測試報文，計算多個報文平均時延IPv6平均丟包率部門接入網(wǎng)到數(shù)據(jù)中心入口，發(fā)送測試報文，計算報文丟包率IPv6網(wǎng)絡(luò)抖動部門接入網(wǎng)到數(shù)據(jù)中心入口，發(fā)送測試報文，計算多個報文平均抖動廣域網(wǎng)IPv6能力廣域網(wǎng)采用IPv6網(wǎng)絡(luò)承載IPv6業(yè)務(wù)城域網(wǎng)IPv6能力城域網(wǎng)采用IPv6網(wǎng)絡(luò)承載IPv6業(yè)務(wù)數(shù)據(jù)中心網(wǎng)絡(luò)IPv