IPV4升級(jí)到IPV6建設(shè)設(shè)計(jì)方案說(shuō)課講解

1、精品文檔ipv6 全網(wǎng)解決方案應(yīng)用背景ipv4 協(xié)議是目前廣泛部署的因特網(wǎng)協(xié)議，然而，隨著 internet 的發(fā)展，該協(xié)議在歷經(jīng)了 20 多年的實(shí)踐與考驗(yàn)后，已逐漸暴露出設(shè)計(jì)的先天不足以及諸多局限，成為 ip 技術(shù)應(yīng)用和未來(lái)發(fā)展的瓶頸制約。而 ipv6 作為下一代網(wǎng)絡(luò)的基礎(chǔ)以其鮮明的技術(shù)優(yōu)勢(shì)得到廣泛的認(rèn)可， 為業(yè)務(wù)發(fā)展創(chuàng)造了機(jī)會(huì)：ipv6 的產(chǎn)生從根本上解決了地址短缺的問(wèn)題ipv6 提供了更快捷的部署方法（即插即用）ipv6 支持流標(biāo)簽?zāi)芰?，便?qos 的實(shí)施ipv6 集成了安全特性ipv6 具備更有效的報(bào)頭結(jié)構(gòu)，提高處理性能ipv6 與 ipv4 網(wǎng)絡(luò)之間可以平滑過(guò)渡以及相互訪問(wèn)解決方案

2、建設(shè) ipv6 網(wǎng)絡(luò)主要應(yīng)當(dāng)考慮現(xiàn)有網(wǎng)絡(luò)升級(jí)支持 ipv6 業(yè)務(wù)和采用 同時(shí)支持 ipv6/ipv4 網(wǎng)絡(luò)設(shè)備進(jìn)行新建網(wǎng)絡(luò)建設(shè)兩種情況。1、升級(jí)現(xiàn)有 ipv4 網(wǎng)絡(luò)方案精品文檔精品文檔隧道模式（isatap 隧道），升級(jí)核心組網(wǎng)模式：原有 ipv4 局域網(wǎng)不進(jìn)行改造，核心增加或者更換支持 ipv6 業(yè) 務(wù)的核心交換機(jī)。核心交換機(jī)開(kāi)啟雙棧，向上連接 ipv6 網(wǎng)絡(luò)，向下開(kāi)啟 isatap 隧道功能，開(kāi)啟 ipv6/ipv4 主機(jī)可采用 isatap 隧道方式直接接入核心 交換機(jī)。網(wǎng)絡(luò)中其余設(shè)備均無(wú)任何變化，原有 ipv4 業(yè)務(wù)正常運(yùn)行。 方案優(yōu)勢(shì)：只需增加支持 ipv6 業(yè)務(wù)的核心設(shè)備，保護(hù)原有

3、投資。只需簡(jiǎn)單開(kāi)啟 isatap 隧道功能即可，快速實(shí)現(xiàn)網(wǎng)絡(luò) ipv6 主機(jī)接 入。精品文檔精品文檔隧道模式，升級(jí)核心與部分匯聚逐步支持 ipv6組網(wǎng)模式：在原有核心層改造的基礎(chǔ)上，逐步對(duì)匯聚的三層設(shè)備進(jìn)行更換，將匯聚層的原有三層交換機(jī)更換為支持 ipv4/ipv6 的雙棧設(shè)備。匯聚交換機(jī)與核心交換機(jī)之間會(huì)存在 ipv4 網(wǎng)絡(luò)，使用 ipv6 over ipv4 隧道方式實(shí)現(xiàn) ipv6 的連接。方案優(yōu)勢(shì)：逐步實(shí)現(xiàn)對(duì)原有 ipv4 網(wǎng)絡(luò)的改造，將部分匯聚與核心設(shè)備更換， 為下一步實(shí)現(xiàn)整網(wǎng) ipv6 網(wǎng)絡(luò)部署奠定基礎(chǔ)。原有 ipv4 業(yè)務(wù)不產(chǎn)生任何變化，正常運(yùn)行。雙棧用戶(hù)可以直接 訪問(wèn) ipv4

4、網(wǎng)絡(luò)及 ipv4 業(yè)務(wù)。精品文檔精品文檔2、新建 ipv6 網(wǎng)絡(luò)方案新建 ipv6 網(wǎng)絡(luò)組網(wǎng)模式：新建核心層、匯聚層全雙棧部署 ipv6 路由，實(shí)現(xiàn)全網(wǎng) ipv6。業(yè)務(wù)區(qū)域采用二層到桌面，接入交換機(jī)采用百兆或千兆到桌面。 匯聚層連接核心層 ipv4/v6 雙棧路由功能。方案優(yōu)勢(shì)：接入層與匯聚層、匯聚層與核心層間采用雙上聯(lián)實(shí)現(xiàn)鏈路冗余， 匯聚層、核心層設(shè)備采用雙節(jié)點(diǎn)實(shí)現(xiàn)節(jié)點(diǎn)冗余。新增 ipv6 用戶(hù)可以正常訪問(wèn) ipv6 網(wǎng)絡(luò)及業(yè)務(wù)。雙棧用戶(hù)可以直 精品文檔精品文檔接訪問(wèn) ipv4 網(wǎng)絡(luò)及業(yè)務(wù)。3、ipv6 網(wǎng)絡(luò)安全規(guī)劃：ipv4 協(xié)議向 ipv6 協(xié)議升級(jí)過(guò)渡的過(guò)程中，多種安全問(wèn)題將暴露出來(lái)，

5、構(gòu)建可信任的下一代互聯(lián)網(wǎng)，將是一項(xiàng)長(zhǎng)期而艱巨的任務(wù)。在建設(shè) ipv6 網(wǎng)絡(luò)的時(shí)候，需要全面考慮網(wǎng)絡(luò)的安全問(wèn)題。ipv6 網(wǎng)絡(luò)安 全問(wèn)題劃分為：設(shè)備級(jí)別、全網(wǎng)安全級(jí)別。3.1 設(shè)備級(jí)別的防護(hù)隨著 ipv6 在局域網(wǎng)中的部署，局域網(wǎng)的各種應(yīng)用不斷擴(kuò)展，網(wǎng)絡(luò)攻擊的不斷增多，越來(lái)越需要為 ipv6 交換機(jī)提供一種保護(hù)機(jī)制。對(duì)發(fā)往交換機(jī) cpu 的數(shù)據(jù)流，進(jìn)行流分類(lèi)和優(yōu)先級(jí)分級(jí)處理、cpu 的帶寬限速，以確保在任何情況下 cpu 都不會(huì)出現(xiàn)負(fù)載過(guò)高的狀況，為用戶(hù)提供一個(gè)穩(wěn)定的網(wǎng)絡(luò)環(huán)境。這種保護(hù)機(jī)制是 cpu protect policy（cpp）。cpp 作為 ipv6 交換機(jī)的一個(gè)功能模塊，按照以下四

6、個(gè)階段處理數(shù)據(jù)：classifying、queuing、scheduling 和 shaping。通過(guò) cpp 保護(hù)策略，網(wǎng)絡(luò)設(shè)備的安全能力有了更大的提升。在部署 ipv6 的局域網(wǎng)中，各種應(yīng)用、攻擊，都極大地考驗(yàn)著網(wǎng)絡(luò)設(shè)備，在 ipv6 的校園中的部署中，應(yīng)該采用具有先進(jìn)的 cpu protect policy （cpp）機(jī)制的 ipv6 轉(zhuǎn)發(fā)平臺(tái)。3.2 全局安全網(wǎng)絡(luò)精品文檔精品文檔ipv6 技術(shù)在大規(guī)模應(yīng)用，各種應(yīng)用大規(guī)模開(kāi)展，網(wǎng)絡(luò)訪問(wèn)控制接入控制應(yīng)運(yùn)而生。網(wǎng)絡(luò)訪問(wèn)控制解決方案旨在通過(guò)身份驗(yàn)證、主機(jī)健康性保障、網(wǎng)絡(luò)安全性保障等多重角度，對(duì)內(nèi)網(wǎng)用戶(hù)進(jìn)行有效的管理。實(shí)現(xiàn)內(nèi)網(wǎng)用戶(hù)身份的合法化，上網(wǎng)主機(jī)安全狀況的健康化，網(wǎng)絡(luò) 通信的安全化以及用戶(hù)網(wǎng)絡(luò)訪問(wèn)行為的規(guī)范化。部署 ipv4/ipv6 兼容的全網(wǎng)安全防御系統(tǒng)，通過(guò)軟硬件的聯(lián)動(dòng)