IPV4升级到IPV6建设设计方案.docxVIP

IPv6 全网解决方案 应用背景 IPv4 协议是目前广泛部署的因特网协议，然而，随着 Internet 的发 展，该协议在历经了 20 多年的实践与考验后，已逐渐暴露出设计的 先天不足以及诸多局限，成为 IP 技术应用和未来发展的瓶颈制约。 IPv6 作为下一代网络的基础以其鲜明的技术优势得到广泛的认可，为业务发展创造了机会： IPv6 的产生从根本上解决了地址短缺的问题 IPv6 提供了更快捷的部署方法（即插即用） IPv6 支持流标签能力，便于 QoS的实施 IPv6 集成了安全特性 IPv6 具备更有效的报头结构，提高处理性能 IPv6 与 IPv4 网络之间可以平滑过渡以及相互访问 解决方案 建设 IPv6 网络主要应当考虑现有网络升级支持 IPv6 业务和采用 同时支持 IPv6/IPv4 网络设备进行新建网络建设两种情况。 1、升级现有 IPv4 网络方案 隧道模式（ ISATAP 隧道），升级核心 组网模式： 原有 IPv4 局域网不进行改造，核心增加或者更换支持 IPv6 业 务的核心交换机。 核心交换机开启双栈， 向上连接 IPv6 网络，向下开启 ISATAP隧 道功能，开启 IPv6/IPv4 主机可采用 ISATAP隧道方式直接接入核心 交换机。 网络中其余设备均无任何变化，原有 IPv4 业务正常运行。 方案优势： 只需增加支持 IPv6 业务的核心设备，保护原有投资。 只需简单开启 ISATAP隧道功能即可，快速实现网络 IPv6 主机接 入。 隧道模式，升级核心与部分汇聚逐步支持 IPv6 组网模式： 在原有核心层改造的基础上，逐步对汇聚的三层设备进行更换， 将汇聚层的原有三层交换机更换为支持  IPv4/IPv6  的双栈设备。 汇聚交换机与核心交换机之间会存在  IPv4  网络，使用 IPv6 over IPv4  隧道方式实现  IPv6  的连接。 方案优势： 逐步实现对原有 IPv4 网络的改造，将部分汇聚与核心设备更换， 为下一步实现整网 IPv6 网络部署奠定基础。 原有 IPv4 业务不产生任何变化，正常运行。双栈用户可以直接 访问 IPv4 网络及 IPv4 业务。 2、新建 IPv6 网络方案 新建 IPv6 网络 组网模式： 新建核心层、汇聚层全双栈部署 IPv6 路由，实现全网 IPv6 。 业务区域采用二层到桌面，接入交换机采用百兆或千兆到桌面。 汇聚层连接核心层 IPv4/v6 双栈路由功能。 方案优势： 接入层与汇聚层、汇聚层与核心层间采用双上联实现链路冗余， 汇聚层、核心层设备采用双节点实现节点冗余。 新增 IPv6 用户可以正常访问 IPv6 网络及业务。双栈用户可以直 接访问 IPv4 网络及业务。 3、IPv6 网络安全规划： IPv4 协议向 IPv6 协议升级过渡的过程中，多种安全问题将暴露 出来，构建可信任的下一代互联网，将是一项长期而艰巨的任务。在 建设 IPv6 网络的时候，需要全面考虑网络的安全问题。 IPv6 网络安 全问题划分为：设备级别、全网安全级别。 3.1 设备级别的防护 随着 IPv6 在局域网中的部署，局域网的各种应用不断扩展，网络攻击的不断增多，越来越需要为 IPv6 交换机提供一种保护机制。对发往交换机 CPU的数据流，进行流分类和优先级分级处理、 CPU的带宽限速，以确保在任何情况下 CPU都不会出现负载过高的状况， 为用户提供一个稳定的网络环境。这种保护机制是 CPUProtect Policy （CPP）。CPP作为 IPv6 交换机的一个功能模块，按照以下四个阶段处理数据： Classifying 、Queuing、Scheduling 和 Shaping。 通过 CPP保护策略，网络设备的安全能力有了更大的提升。 在部 IPv6 的局域网中，各种应用、攻击，都极大地考验着网络设备，在 IPv6 的校园中的部署中，应该采用具有先进的 CPUProtect Policy （CPP）机制的 IPv6 转发平台。 3.2 全局安全网络 IPv6 技术在大规模应用，各种应用大规模开展，网络访问控制 接入控制应运而生。 网络访问控制解决方案旨在通过身份验证、 主机 健康性保障、网络安全性保障等多重角度， 对内网用户进行有效的管 理。实现内网用户身份的合法化，上网主机安全状况的健康化，网络 通信的安全化以及用户网络访问行为的规范化。 部署 IPv4/IPv6 兼容的全网安全防御系统，通过软硬件的联动、 计算机层面与网络层面的结合，从身份、主机、网络等多个角度对 IPv4/IPv6 的网络安全进行监控、检测、防御和处理，帮助用户共同 构建身份合法、主机健康、网络安全、行为规范的全局安全网络。