ipv6实施方案

【www.scfx8.com--师德师风建设】

篇：IPV4升级到IPV6建设设计方案

IPv6全网解决方案

应用背景

IPv4协议是目前广泛部署的因特网协议，然而，随着Internet的发展，该协议在历经了20多年的实践与考验后，已逐渐暴露出设计的先天不足以及诸多局限，成为IP技术应用和未来发展的瓶颈制约。而IPv6作为下一代网络的基础以其鲜明的技术优势得到广泛的认可，为业务发展创造了机会：

IPv6的产生从根本上解决了地址短缺的问题 IPv6提供了更快捷的部署方法（即插即用）

IPv6支持流标签能力，便于QoS的实施

IPv6集成了安全特性

IPv6具备更有效的报头结构，提高处理性能

IPv6与IPv4网络之间可以平滑过渡以及相互访问

解决方案

建设IPv6网络主要应当考虑现有网络升级支持IPv6业务和采用同时支持IPv6/IPv4网络设备进行新建网络建设两种情况。 1、升级现有IPv4网络方案

隧道模式（ISATAP隧道），升级核心

组网模式：

原有IPv4局域网不进行改造，核心增加或者更换支持IPv6 业务的核心交换机。

核心交换机开启双栈，向上连接IPv6网络，向下开启ISATAP隧道功能，开启IPv6/IPv4主机可采用ISATAP隧道方式直接接入核心交换机。

网络中其余设备均无任何变化，原有IPv4业务正常运行。方案优势：

只需增加支持IPv6业务的核心设备，保护原有投资。只需简单开启ISATAP隧道功能即可，快速实现网络IPv6主机接入。

隧道模式，升级核心与部分汇聚逐步支持IPv6 组网模式：

在原有核心层改造的基础上，逐步对汇聚的三层设备进行更换，将汇聚层的原有三层交换机更换为支持IPv4/IPv6的双栈设备。

汇聚交换机与核心交换机之间会存在IPv4网络，使用IPv6 over IPv4隧道方式实现IPv6的连接。方案优势：

逐步实现对原有IPv4网络的改造，将部分汇聚与核心设备更换，为下一步实现整网IPv6网络部署奠定基础。

原有IPv4业务不产生任何变化，正常运行。双栈用户可以直接访问IPv4网络及IPv4业务。 2、新建IPv6网络方案

新建IPv6网络

组网模式：

新建核心层、汇聚层全双栈部署IPv6路由，实现全网IPv6。业务区域采用二层到桌面，接入交换机采用百兆或千兆到桌面。汇聚层连接核心层IPv4/v6双栈路由功能。方案优势：

接入层与汇聚层、汇聚层与核心层间采用双上联实现链路冗余，汇聚层、核心层设备采用双节点实现节点冗余。

新增IPv6用户可以正常访问IPv6网络及业务。双栈用户可以直接访问IPv4网络及业务。 3、IPv6网络安全规划：

IPv4协议向IPv6协议升级过渡的过程中，多种安全问题将暴露出来，构建可信任的下一代互联网，将是一项长期而艰巨的任务。在建设IPv6网络的时候，需要全面考虑网络的安全问题。IPv6网络安全问题划分为：设备级别、全网安全级别。 3.1设备级别的防护

随着IPv6在局域网中的部署，局域网的各种应用不断扩展，网络攻击的不断增多，越来越需要为IPv6交换机提供一种保护机制。对发往交换机CPU的数据流，进行流分类和优先级分级处理、CPU的带宽限速，以确保在任何情况下CPU都不会出现负载过高的状况，为用户提供一个稳定的网络环境。这种保护机制是CPU Protect Policy（CPP）。CPP作为IPv6交换机的一个功能模块，按照以下四个阶段处理数据：Claifying、Queuing、Scheduling和Shaping。

通过CPP保护策略，网络设备的安全能力有了更大的提升。在部署IPv6的局域网中，各种应用、攻击，都极大地考验着网络设备，在IPv6的校园中的部署中，应该采用具有先进的CPU Protect Policy（CPP）机制的IPv6转发平台。 3.2全局安全网络

IPv6技术在大规模应用，各种应用大规模开展，网络访问控制接入控制应运而生。网络访问控制解决方案旨在通过身份验证、主机健康性保障、网络安全性保障等多重角度，对内网用户进行有效的管理。实现内网用户身份的合法化，上网主机安全状况的健康化，网络通信的安全化以及用户网络访问行为的规范化。

部署IPv4/IPv6兼容的全网安全防御系统，通过软硬件的联动、计算机层面与网络层面的结合，从身份、主机、网络等多个角度对IPv4/IPv6的网络安全进行监控、检测、防御和处理，帮助用户共同构建身份合法、主机健康、网络安全、行为规范的全局安全网络。

第2篇：神州数码IPV6实施部署方案v2

一、XXOpenRouter功能介绍 ..2 二、新核心部署方案 ..3

2.1 实施前拓扑图 ..3 2.2 老核心配置文件 ........3 2.3 实施方案描述 ..3

2.3.1 需求分析 .3 2.3.2 替换方案 .4 2.3.3 新核心配置脚本 ..5 2.3.4 老核心修改 .....44 测试新核心工作状态 ..44

一、XXOpenRouter功能介绍

XX创新研发的OpenRouter的架构，由openrouter交换机、控制器、网络协议管理模块组成。其中最下层是交换机硬件设备，作为数据转发层，本项目中采用神州数码OpenRouter；中间为控制器，作为网络操作系统，屏蔽的底层硬件的不同，可以在上面运行不同网络协议管理模块；最上层为网络协议管理模块，它的运算结果通过控制器控制下发到底层硬件，控制其转发行为，本系统中对应的是IPv6网络管控模块OFCPF；

网络中OpenRouter交换机在端口定期采样报文，并将其接口、IPv6地址和路由信息定期发送给控制器，控制器端域内源地址验证系统通过控制器集中计算全局网络拓扑得到报文的正确传输路径（即源地址前缀，目的地址前缀，入接口），最上层的IPv6网络管控模块根据已经计算好的正确传输路径，判断报文IPv6源地址是否真实，如果发现假冒，则马上报警，并将过滤表通过控制器下发到交换机的ACL中，阻断网络中非法IPv6源地址伪造报文的传输。二、新核心部署方案 2.1 实施前拓扑图

2.2 老核心配置文件

2.3 实施方案描述

2.3.1 需求分析

本项目神码交换机按照XX OpenRouter架构的要求进行针对性的软件开发，配合硬件服务器及在它上面运行的控制器及IPV6网络管控模块OFCPF实现对发现IPV6假冒IP攻击进行立即报警，动态产生相应的ACL过滤虚假的IP源数据流，实现在攻击源头直接阻断IP欺骗攻击的目的。由于XX采购的服务器的服务器尚未到位，目前OpenRouter交换机的按照相关技术要求先行进行部署，从底层为控制器和IPV6网络管控模块提供OpenRouter功能测试所需的基本环境和必备条件。

设备部署要求：

1.交换机启三层路由功能； 2.汇聚下端有IPv6的流量；

3.交换机与XX的控制器(IPV4地址)路由可达；

XX区老核心目前启动了很多功能，且XX用户量大概两千左右，同时神码新核心交换机DCRS-7608E本项目除了业务模块外只配了一块管理引擎和一块电源模块，所以不建议作为整个XX区的核心交换机对老核心进行整机替换。

2.3.2 替换方案

根据对XX区老核心配置的分析及前面章节的考虑，实施方案采用: 1) 将老核心IPV6部分的网关地址迁移到神码OpenRouter新交换机上 2) 老核心其它部分配置包括链路连接关系都保持不变 3) 新老核心之间互联的端口设置为trunk模式 4) 新核心直接和老核心的上一级核心交换机进行互联。

5) 新核心上联端口同时配置IPV6和IPV4地址，下联用户vlan只配置IPV6地址

6) 新核心暂时启用IPV6 dhcp server功能，由于IPV6用户量比较大（1500用户以上）将会占用交换机较大CPU和内存，建议后期设置专门的DHCP SERVER，交换机只启用DHCPv6 RELAY功能以减少交换机压力。拓扑图如下：

2.3.3 新核心配置脚本

enable paword level 15 0 wlzxly_1507 username admin privilege 15 paword 0 wlzxly_1507 snmp-server enable snmp-server community ro 0 public vlan 2-220 vlan 1501-1505 vlan 600 exit interface ethernet1/1 switchport mode trunk des TO-HuaWei interface ethernet1/2 switchport acce vlan 600 des TO-SW2 exit // 全局启用dhcpv6

service dhcpv6 // 配置各vlan的ipv6 dhcp pool ipv6 dhcp pool v6pool-vlan11 network-addre 2001:DA8:5000:4C00:0:0:0:0 112