IPv6过渡技术详解精心原创.docx

IPv6过渡技术详解精心原创.docx

《IPv6过渡技术详解精心原创.docx》由会员分享，可在线阅读，更多相关《IPv6过渡技术详解精心原创.docx（44页珍藏版）》请在冰豆网上搜索。

IPv6过渡技术详解精心原创

IPv6过渡技术详解

一、双协议栈技术

二、隧道技术

2.2TunnerBroker

三、翻译技术

3.4PNAT（BIH）

3.6NAT-PT和NAT64

四、延缓IPv4地址枯竭的方案

4.1CGN（NAT444）

4.2DUAL-STACKLITE（DS-Lite）

4.3Public4over6

4.4AplusP

IPv4互联网经过多年的开展和完善，取得了巨大的成功，然而随着Internet的快速持续开展，当前IPv4存在的地址空间缺乏、路由表急剧膨胀、缺乏网络层安全、缺乏对移动和网络服务质量的支持等缺陷和不足使得它不能满足这种日渐增长的需要。

IPv6正是为解决IPv4中存在的问题而产生的，其优越的特性为互联网的进一步开展提供了更好的支持。

在当前IPv4网络环境下部署IPv6网络，IPv4/v6过渡机制是必然和必须的，其过渡过程是复杂和困难的，因此充分研究过渡机制是非常重要的。

在IPv4/v6过渡研究中，已经诞生了很多方案，这些方案的提出都是适应某种实际场景的，但是，到目前为止，仍没有一种方案可以解决所有的通信场景问题，这是该技术报告需要解决的根本问题，通过对现有方案的技术调研和跟踪，融合各类技术的特色，为特定的网络需求指定方案做参考。

IPv4/v6过渡思想一诞生，很多组织和个人就为之不停的奋斗，涌现了大量的技术方案。

总结起来，现有技术主要可以归结为三类，即双协议栈技术、隧道技术和翻译技术，在这两年中，又出现了一些融合技术，主要利用翻译技术和隧道技术解决IPv4地址枯竭问题，扩大IPv4私有地址的使用空间，节省IPv4公有地址的使用X围，从而暂时解决IPv4地址濒临枯竭的问题，但是，这类方案只是一种缓冲机制，而最根本的解决方式就是部署IPv6网络，解决46网络的平滑过渡问题。

1.双协议栈技术

1.1DSTM

DSTM〔DualStackTransitionMechanism〕的目标在于解决纯IPv6网络中的主机与其他IPv4主机或应用的连接问题，它的出发点是提供IPv6节点一个获得IPv4地址的方式，从而使之能够与纯IPv4节点或者IPv4应用程序通信。

DSTM技术通过使用IPv4-over-IPv6隧道，实现了IPv4流量在纯IPv6网上的传输，同时也提供一个为IPv6/IPv4双栈节点分配临时IPv4地址的方法。

使用DSTM机制的节点必须是双栈节点，而且这种机制还必须要结合隧道技术进展应用。

DSTM目前已经过期。

〔ExpiresDecember2002〕

图2-1DSTM体系结构

DSTM的体系结构中包括三个主要组成局部：

DSTM服务器、网关和DSTM节点。

DSTM域应在Intranet中。

其中，DSTM服务器负责为客户机节点分配IPv4地址，还可以提供一个端口X围作为地址分配功能的扩展。

IPv4地址分配的协议有多种选择〔比如DHCPv6〕，并提供所需网关的IPv6地址；网关作为隧道端点承当纯IPv6域与外部的IPv4Internet的边界路由器的角色；DSTM节点执行封装/解封装数据包，完成收发过程。

DSTM节点必须是双栈节点；网关需要直接与IPv4连接并需要一个永久IPv4地址。

DSTM通信过程如下：

DSTM节点与IPv4通信的过程如下：

●DSTM节点向DSTM服务器请求一个临时的IPv4地址。

●DSTM服务器在地址池中为该DSTM节点保存一个IPv4地址，并在应答消息中将该地址和地址的有效时间以与有关DSTM网关的信息发送给DSTM节点。

●DSTM节点使用申请来的地址配置其IPv4堆栈，并将所有IPv4包都通过IPv4overIPv6隧道送到DSTM网关。

●DSTM网关将包拆封成IPv4包发送出去。

DSTM网关保存一个含有intranet主机IPv4和IPv6地址的映射表，并利用此映射表来执行IPv4包的封装和拆封。

为保证双向通信，IPv4路由必须要确保目的地的任何包都经过原来的DSTM网关。

DSTM适用性：

DSTM适用于IPv6域内的节点需要与域外IPv4节点通信的情况。

通过使用DSTM技术，拥有IPv4应用的双栈主机在纯IPv6网内可以到达全球Internet上的相应的纯IPv4节点。

DSTM网络只需要配置IPv6。

不需要配置IPv4的地址和路由。

任何类型的协议和应用都被透明地转发，无需采用NAT技术即可实现。

DSTM安全性：

DSTM在安全方面还有许多问题值得探讨。

比如对DSTM服务器的DOS攻击问题和对隧道的监控问题等。

由于多种因素，DSTM技术已经过期，但DSTM技术的很多思想〔比如服务器分配地址、上层应用被透明转发以与采用端口扩展地址X围的方法〕在其他方案中已经被借鉴使用。

2.隧道技术

2.1SIT

IPv6配置隧道（也称IPv6-over-IPv4隧道，SIT：

Internet简单过渡机

图2-2IPv6配置隧道

制或者IPv6-in-IPv4隧道|SimpleInternetTransition）是一种应用最早、最简单、成熟的过渡技术，通过手工配置隧道的出口和入口地址，在入口节点处对IPv6分组封装在IPv4分组中，在出口节点进展解封装，实现IPv6间通过IPv4网络达到互通。

IPv6配置隧道入口节点必须保存所有隧道的出口端地址，这些隧道是点到点连接并且是手工配置的〔如图2-2〕，因此，需要隧道数量越多，管理隧道的负担就越大。

IPv6配置隧道适用于通过IPv4连接孤立的IPv6网络，是IPv4向IPv6过渡的初期最易于采用的技术。

IPv6配置隧道目前是6Bone所采用最多的技术。

IPv6配置隧道技术的要求是配置隧道的出口和入口至少要具有一个全球唯一的IPv4地址，出口和入口路由器需要支持双栈，站点中每个主机都至少需要支持IPv6，需要合法的IPv6地址。

IPv6配置隧道的优点在于隧道的透明性，IPv6主机之间的通信可以忽略隧道的存在，隧道只起到物理通道的作用，甚至可以在此隧道上传输组播、设置BGP对等端等；它不需要大量的IPv6专用路由器设备和专用链路，可以明显地减少投资。

其缺点是：

在IPv4网络上配置IPv6隧道是一个比拟麻烦的过程，而且一旦隧道端点的IP地址发生变化，必然影响隧道配置；无法穿越NAT设备，因此隧道路径中不能有NAT设备；如果隧道穿越防火墙，如此需要保证协议41〔IPv6〕不被过滤掉；不能实现IPv4主机和IPv6主机之间的通信。

目前这种隧道已经获得了广泛的支持，的支持IPv6的平台都支持配置隧道，包括主机和路由器。

在安全方面，需要同时保护隧道免受IPv4和IPv6的攻击，具体的方法是一个隧道连接的两个端点和其连接的IPv6网络是确定的，因此对这些所有穿越隧道封装的业务使用同时使用IPv4/v6过滤规如此。

可以分别、同时实施这两种规如此。

此外，对于保护数据隐私的情况下，可以采用在隧道端点使用IPv4IPSec来实现，也可以在IPv6端实现IPv6IPSec。

由于IPSec对性能有负面影响，因此在性能和安全之间需要做折中的设计和处理。

2.2TunnerBroker

图2-3隧道代理技术

隧道代理〔TunnelBroker〕不是一种隧道机制，而是一种方便构造隧道的机制或者服务。

配置隧道需要繁重的管理和配置，而网络操作管理员无法承当，连接到IPv6网络对初级用户来说不是一件容易的事情。

隧道代理机制就是解决这样的问题的。

根本的要求就是用户必须是双栈的，并且IPv4地址是全球唯一的。

图2-3显示了隧道代理的根本的工作机制〔1〕用户通过认证，向隧道代理服务器请求建立到IPv6网络的隧道；〔2〕隧道代理服务器在多个隧道服务器中选择一个，为用户分配适宜的IPv6地址、设定隧道生存时间〔3〕向DNS注册用户端的IPv6地址〔4〕请求隧道服务器建立隧道。

隧道代理的优点是可以简化隧道的配置过程，适用于小型IPv6网络或者单个主机获取IPv6连接的情况，可以使IPv6的ISP可以很容易对用户执行接入控制，并按照策略对网络资源进展分配；缺点是无法穿越NAT设备，经过NAT设施的情况下隧道代理失效。

在隧道代理体系中，所有功能单元之间〔包括客户和TB之间、TB和隧道服务器之间以与TB和DNS之间〕都需要使用安全机制保护。

隧道代理还存在以下安全问题：

〔1〕如果用户端的配置是通过TB提供的脚本实现的话，在执行这些脚本时就需要实现对一些接口的配置管理，所以必须给这些脚本很高的权限，这种做法存在安全漏洞。

同时存在最终用户真实身份不确定的问题；〔2〕如果用户使用不是静态IPv4地址的连接（如拨号），就要慎重地自动切断隧道以防不必要地使用资源。

因为用户的连接如果非正常中断了，隧道服务器会继续发送IPv6的隧道包到用户原来的IPv4地址，而这个地址可能已经被分配给另一个主机使用，这样就发生了数据泄露问题。

这个问题可以通过用户端发送某类Keep-alive消息来解决，但是这样可能需要在用户操作系统中安装专门的软件，用起来比拟困难；（3）恶意用户可能同时申请大量的隧道连接耗尽隧道服务器的资源；（4）多宿主主机时还没有适宜的过滤策略。

2.36to4

6to4隧道技术解决的问题是：

孤立的IPv6站点如何在没有Internet服务提供商提供IPv6互连服务的条件下，与其他孤立站点以与与IPv6主干网内部各站点之间进展通信。

它不需要像配置隧道那样以6bone为中介，而只是利用了现有的IPv4路由体系，从而大大改善了路由效率。

6to4过渡技术也是一种自动构造隧道的机制，这种机制要求站点采用特殊的IPv6地址〔2002:

IPv4ADDR:

:

/48〕，这种地址是自动从站点的IPv4地址派生出来的。

所以每个采用6to4机制的节点至少必须具有一个全球唯一的IPv4地址。

由于这种机制下隧道端点的IPv4地址可以从IPv6地址中提取，所以隧道的建立是自动的，而对于接收端的6to4路由器来说，可以自动地区分隧道接收端点是否在本域内。

6to4不会在IPv4的路由表中引入新的条目，在IPv6的路由表中只增加一条表项。

6to4过渡机制技术适合于IPv4/v6共存的初始阶段，与防火墙、NAT共存时，要求必须具有全球唯一的IPv4地址，并具备6to4机制和路由功能，管理和维护负担小。

6to4要求隧道中至少有两台路由器支持双栈和6to4，主机要求至少支持IPv6协议栈。

6to4技术的优点是不需要向网络运营商申请IPv6地址，所有IPv6地址从公有v4地址产生并通过6to4中继路由器于全球IPv6网络互通；自动建立隧道，能够保证端对端的特性。

其缺点是一旦IPv4地址发生变化，整个站点的IP地址需要重新分配，因此很难使用在动态IPv4地址分配的情形下，如拨号访问、xDSL接入、DHCP等；存在单点失效问题，如果边界6to4路由器故障，如此整个站点与其他IPv6通信中断。

图2-46to4实际示例

图2-4显示了一个实际的6to4示例。

采用6to4机制的IPv6出口6to4路由器A与其它的IPv6孤岛〔6to4-B〕之间建立隧道连接。

由于站点的IPv4地址包含在IPv6的地址前缀中，因此IPv4隧道的末端地址〔202.112.10.37〕可从IPv6域的地址前缀〔2002:

ca70:

0a25....〕中自动提取。

此地址前缀由一个唯一的16bit长度的6to4前缀〔2002〕和一个标识转换的出口路由器的32位IPv4地址域〔202.112.10.37:

ca70:

0a25〕构成。

6to4将IPv4隧道地址〔202.112.10.37〕嵌入IPv6前缀〔2002:

ca70:

0a25〕中，使边界路由器可以自动为IPv6找到终点。

6to4机制通过中继路由器（6to4RelayRouter）与纯IPv6站点之间进展通信，如图2.5中的6to4路由器C，中继路由器负责6to4和纯V6网络之间的路由，建议运行BGP4+。

安全性方面，在6to4隧道终点，任何从正常IPv4链路传来的6to4数据流都可以被承受和解封装。

为了防止IPv6欺骗，可采用附加的基于源地址的包过滤技术。

一种方法就是检查用于封装的IPv4地址是否与被封装的IPv6某某地址一致。

这种检查要在中继路由器〔relayrouter〕中设置。

在任何情况下，6to4数据流中的源和目的地址嵌入的V4地址必须是以全球唯一单播地址格式，否如此这些数据包将会在不被警告的情况被丢弃。

如果IPv4地址被欺骗，任何人都可以向隧道内注入任意多的流量。

如果已经使用了6to4路由器或中继，还需要防止对6to4伪接口的攻击、本地广播攻击以与业务盗用，详细安全性分析和解决方法在中有详细的阐述。

2.46rd

目前，运营商的骨干网以IPv4为主，升级到IPv6网络需要时间和本钱，需要一种技术能够在现有网络架构上快速提供IPv6站点之间的互通。

6rd就是这样一种方案。

它由法国运营商FREE提出，现已成为IETF标准[RFC5569]，FREE采用该方案在5周内为超过150万户居民提供了IPv6服务。

思科公司进一步改良与扩展了6rd，目前已形成提案标准[RFC5969]。

6rd是一种IPv6-in-IPv4隧道技术，部署场景如图4-5所示，6rdCE（customeredge）与6rdBR（borderrealy）都是双栈设备，它们之间保持IPv4网络。

通过扩展的DHCP选项，6rdCE的WAN接口可得到运营商为其分配的IPv6前缀、IPv4地址〔公有或私有〕以与6rdBR的IPv4地址等参数。

CE在LAN接口上通过将上述6rdIPv6前缀与IPv4地址相拼接构造出用户的IPv6前缀。

当用户开始发起IPv6会话，IPv6报文到达CE后，CE用IPv4某某将其封装进隧道，被封装的IPv6报文通过IPv4某某进展路由，中间的设备对其中的IPv6报文不感知。

BR作为隧道对端，收到IPv4数据包后进展解封装，将解封装后的IPv6报文转发到全球IPv6网络中，从而实现终端用户对IPv6业务的访问。

6rd技术是基于6to4隧道技术，能够为有IPv4网络接入的用户快速部署IPv6的单播业务。

6rd使用无状态的地址映射，将IPv6分组封装在IPv4报文中穿越IPv4根底网络。

与6to4机制不同的是，6rd业务提供商使用自己已获得的实际长度可变的IPv6地址前缀来代替6to4机制特定的2002前缀，因此其作用域局限在运营商的管理域内。

如图4所示，发送的IPv6分组在CPE/主机进展封装，其封装源地址为从IPv6源地址中取出的IPv4地址，目的地址为6rd-relay的IPv4地址，分组到达6rd-relay后经解封装，由于是无状态映射所以可直接转发。

图2-56rd图例

使用6rd技术升级后的网络在原有提供IPv4传输的根底上可以支持IPv6的传输。

为实现46互通，相应的IPv4〔或IPv6〕节点需要升级为IPv6〔或IPv4〕capable。

6rd使用的是无状态的地址映射，在6rd-relay上无需维护映射表，管理简单。

升级IPv4接入网支持6rd机制需要：

在IPv4网络与IPv6网络边界运行一个或者多个6rd的网关〔6rd-relay〕；用户本身或CPE路由器需能够支持6rd的功能而接入网内部的路由器仍是IPv4单栈无需改动。

使用6rd能够满足对IPv4接入网进展升级的需求。

2.56over4

6over4过渡技术通过IPv4组播自动建立隧道的机制，6over4隧道通过组播机制，将一个网络内部、位于不同子网且没有IPv6路由器直接相连的IPv6主机连接到一个虚拟的链路上，形成逻辑上的同一子网。

其核心思想是将IPv6多播地址映射成IPv4多播地址，通过邻居发现中的路由器请求/宣告、邻居请求/宣告过程完成其他IPv6主机的IPv4地址的发现和边界路由器IPv4的发现。

对于IPv6而言，整个IPv4组播域就是一个虚拟以太网（virtualEthernet）。

6over4过渡技术与6to4隧道和自动IPv4兼容隧道不同的是它不需要特殊格式的IPv6地址，IPv4组播域可以是采用全球唯一的IPv4地址的网络，或是一个私有的IPv4网络的一局部，IPv6可以独立于底层的链路而且可以跨越IPv4的子网。

但是采用这种机制的前提就是IPv4网络根底设施必须支持IPv4组播。

这种机制适用于IPv6路由器没有直接连接的物理链路上的孤立的IPv6主机，使得它们能够将IPv4组播域作为它们的虚拟链路，成为功能完全的IPv6站点。

6OVER4隧道适用于具备双协议栈的主机之间通信，是利用IPv4的组播机制创建虚拟链路而不是显式的隧道技术。

然而由于支持组播的IPv4网络的缺乏，且6over4相对于6to4和ISATAP并没有太多的优势，实际中6over4极少使用。

在安全性方面，6over4技术除了需要考虑可能有IPv6攻击之外，还应该考虑对IPv4攻击的安全防X。

即使是有IPv4安全保证，仍然需要有IPv6安全保证。

6over4还有可能受到地址欺骗攻击，外部伪造的6over4包有可能侵入6over4域内。

这样，边界路由器必须要丢弃组织本地X围内的源和目的多播地址的IPv4包〔如果它们到达这个X围以外的物理接口的话〕。

为了防止单播6over4包的地址欺骗攻击，边界路由器还必须要丢弃来自于未知源的协议类型为41的IPv4包，只承受可信任来源的数据。

除非是IPSec认证可用，否如此最好将边界路由器配置成只承受来自于可信任X围内的源地址的协议类型为41的包。

2.6ISATAP

ISATAP技术的工作机制类似6to4过渡技术，都把IPv4网络看作一个NMBA〔非广播多点访问〕线路，以实现在IPv4网络中孤立的IPv6节点实现IPv6渐进部署，区别是地址格式不同。

不管站点使用的是全局还是内部IPv4地址，均可在站点内使用IPv6-in-IPv4自动隧道技术。

新的接口标识格式既可使用本地单播IPv6前缀，也可使用全局单播IPv6前缀，从而支持局域和全局的IPv6路由。

图2-6ISATAP与6to4过渡技术结合使用

图2-5ISATAP过渡技术

ISATAP技术工作机制如图2-5所示。

ISATAP双协议栈主机1向服务器发送路由请求，得到一个64位的IPv6地址前缀，再加上64位的接口标识符:

:

0:

5EFE:

192.168.2.1，构成一个ISATAP地址，双栈主机配置了ISATAP地址后，就成为一个ISATAP客户机，可以和IPv4域内的其他ISATAP客户机进展通信了。

通信过程如下，ISATAP双栈主机1获得双栈主机2的ISATAP地址后向其发送数据包，根据目的地址该数据包被交给ISATAP接口进展发送，ISATAP从数据包的IPv6源地址和目的地址从提出相应的IPv4源和目的地址，并对该数据包用IPv4头部进展封装，封装后数据包的目的地址为双栈主机2的IPv4地址，这样就建立了一条从主机1到主机2的隧道。

数据包最后到达主机2，主机2对其解封装，得到一个IPv6数据包。

由于ISATAP隧道的优点是它不要求隧道端节点必须具有全球唯一的IPv4地址，因此可用于内部私有网中各双栈主机之间进展IPv6通信。

ISATAP过渡技术于6to4隧道技术相结合（图2-6），还可以使内部网的双栈主机接入IPv6主干网。

这种结合使用过渡技术解决目前普遍存在的使用IPv4私有地址的内部网络向IPv6网络过渡的问题。

安全性方面，，由于站点内的所有ISATAP主机都在同一个IPv6上，尽管可以像通常一样在ISATAP路由器处监控流量，但是ISATAP链路上主机之间的包并不经过该路由器，因此没有方法监控和排除出现内部攻击的可能性。

所以，路由器需要在ISATAP接口上启用缓解欺诈攻击的安全机制，防止发自ISATAP站点内的源IPv6地址欺诈攻击，至少ISATAP站点的边界网关必须记录欺诈源地址的来源还是有好处的。

ISATAP技术使用一个内嵌IPv4地址的IPv6地址通过IPv6-in-IPv4自动隧道为IPv4站点内的双栈节点提供到IPv6路由器的接入，它允许与IPv6路由器不共享同一物理链路的双栈节点通过IPv4自动隧道将数据包送达IPv6下一跳。

IPv6邻居发现信任模型也适用于ISATAP。

使用ISATAP技术时必须要考虑地址过滤问题，站点边界路由器和防火墙必须执行IPv6入口过滤、IPv4入口过滤和协议类型为41的包过滤。

2.76PE/6VPE

6PE是基于MPLS的隧道技术，其核心思想是借助成熟的BGPMPLSVPN技术平台实现在启用MPLS的IPv4骨干网上传输IPv6数据报文，为IPv6网络孤岛提供互联能力。

6PE隧道技术的VPN路由发布和报文转发原理与常见的IPv4骨干网上的MPLSL3VPN类似。

6PE路由器与同处于IPv6网络内的CE路由器之间通过IPv6IGP路由协议交换路由信息。

6PE路由器为IPv6路由加上私网标签〔由MP-IBGP协议随机自动生成，被传递到对端6PE并保存到转发表中〕，并将此路由的“Next-hop〞属性更改为映射后的自身Loopback地址〔为与CE的路由保持一样的地址族，6PE的IPv4Loopback地址被映射成IPv6地址，地址形式为：

“:

:

FFFF:

IPv4-Address〞〕，然后加上MPLS外层标签通过MPLSLSP隧道发布给对端6PE设备，对端6PE接收并保存私网标签，然后将路由的下一跳属性改变为映射后的自身Loopback地址，再以IPv6普通路由的形式发布给自己一侧的IPv6CE设备，两个IPv6网络的路由通过这种方式就完成了交互。

如图2-7所示。

图2-76PE网络示意图

IPv6报文转发时，CE设备根据报文的目的地址发送给6PE设备，6PE设备在IPv6路由表中进展查找，得到该数据报文对应IPv6路由的下一跳地址〔即对端6PE的Loopback地址〕和私网标签，在IPv6报文外先封装私网标签，再根据MPLSLSP标签转发表中与其下一跳对应的标签封装外层标签，然后将MPLS报文通过LSP上各个P路由器逐跳转发，倒数第二跳P路由器弹出外层标签并继续转发给相应6PE路由器，在6PE路由器上根据内层标签将IPv6数据包转发至目的CE设备。

传统的6PE技术实质上相当于将所有通过6PE连接的IPv6网络都放在一个VPN内，无法进展逻辑隔离，因此只能用于开放的、无保护的IPv6网络互联，如果需要对所连接的IPv6网络做逻辑隔离，即实现IPv6VPN，就需要进一步借助于6VPE技术。

6VPE技术是MPLSVPN技术对IPv6所作的扩展，可以在IPv4/IPv6MPLS骨干网上承载任意的IPv6/IPv4的VPN业务。

与6PE技术相比，6VPE技术增加了VPN-IPv6地址族和VRF-IPv6的概念，实现了不同VRF-IPv6网络之间的逻辑隔离，提高了IPv6网络的安全性。

6VPE的路由传递和报文转发原理与传统IPv4下的MPLSVPN根本一致，如图2-8所示。

图2-86VPE网络示意图

6PE/6VPE技术比拟好地解决了孤立的IPv6网络之间多点对多点互联的问题，6VPE还可以进一步提供IPv6网络逻辑隔离和有选择互通的问题。

鉴于目前MPLS技术已经普遍应用，且采用6PE/6VPE技术实现IPv6网络互联时只需对PE设备做升级即可，IPv6网络内的设备和节点以与IPv4网内的P设备均无须做任何改动，可见6PE/6VPE技术是一类本钱较低、应用方便、适合大规模部署的隧道技术。

2.8SoftWire

清华大学提出的，按照IETFSoftwire工作组的定义，“Softwire〞是一种动态隧道，这种隧道建立在隧道两端之间的共享点到点或多点到点状态的控制协议之上。

软线的目