分三階段向IPv6演進

在一段時間內，終端網絡將會處于純IPv4網絡、雙棧網絡和純IPv6網絡并存的時期。

IPv6是互聯網演進升級的必然趨勢。自2017年11月中共中央辦公廳、國務院辦公廳印發《推進互聯網協議第六版（IPv6）規模部署行動計劃》，我國互聯網正式迎來了全面部署IPv6的新時代。一年多來，我國出臺了多項政策措施推動IPv6規模部署和快速發展，IPv6部署也取得了重要的階段性成果。

2018年中，教育部辦公廳發布了《關于貫徹落實〈推進互聯網協議第六版（IPv6）規模部署行動計劃〉的通知》，對教育系統的IPv6規模部署從系統升級和人才培養方面提出了兩大目標，從基礎網絡設施升級改造、應用系統和服務升級、網絡安全管理和防護以及IPv6技術的支撐保障四個方面明確了重點任務。

本文將重點介紹中國教育和科研計算機網CERNET（以下簡稱“CERNET”）IPv6的最新部署情況、河南省教育系統IPv6部署的最新進展，以及在IPv6部署過程中可能遇到的問題和解決辦法，希望能為廣大教育用戶在IPv6升級部署的實際工作中提供幫助。

我國IPv6最新部署和應用情況

“中國IPv6產業發展研討會”上公布的信息顯示，我國推進IPv6規模部署，一年來工作取得了積極進展，成效顯著。

在網絡設施IPv6改造方面，三大基礎電信企業全國30省移動寬帶接入（LTE）網絡均完成端到端IPv6改造，開啟IPv6業務承載功能；骨干網設備全部支持IPv6，全國13個骨干直聯點中有5個直聯點開通IPv6互聯互通；截至2018年11月，基礎電信企業分配IPv6地址的LTE和固定寬帶接入網絡用戶總數超8.65億。

圖1 高校網站IPv6支持情況（來源：http://ipv6c.cn/mainPage.do）

在重點互聯網應用的IPv6升級方面，截至2018年11月，中國大陸93家省部級政府網站中可通過IPv6訪問的網站共有63家，97家中央企業網站中已有92家；同時，互聯網企業對于IPv6升級改造的積極性和主動性也進一步增強。

教育網IPv6最新部署和應用情況

CERNET在推動下一代互聯網技術的發展、促進我國下一代互聯網的普及和應用等方面，一直發揮著積極的作用。

1.從網絡建設情況來看，2018年8月，CNGICERNET2二期升級建設圓滿完成。升級之后的CNGI-CERNET2覆蓋我國36個城市，主干網總帶寬達2950G，核心節點數量41個，主干線路帶寬實現10G～100G。

2.從網絡整體情況來看，CNGI-CERNET2網絡運行穩定，流量相對平穩，核心節點可用率達99%以上，主干線路故障率均值0.33%。

3.從IPv6用戶規模來看，截至2019年1月，CERNET已接入IPv6的高校用戶達1789個，用戶超千萬人（如圖1所示）。

4.在國內互聯互通方面，截至2018年底，CERNET與三大運營商及科技網開通IPv6網間帶寬共計153.5G。

河南省教育廳于2018年11月發布了《關于加快推進全省教育系統IPv6 規模部署和應用工作的通知》，各級高校教育系統積極推進IPv6的規模部署。截至2019年1月24日，河南省內開通IPv6的高校已達105所。17個省轄市基礎教育城域網也依托IVI技術實現了IPv4/IPv6互通；省電化教育館作為省基礎教育資源服務中心節點，也接入了省網IPv6網絡；26所河南省高校門戶網站實現對IPv6的支持；各個高校也正在積極建設支持IPv6的各類信息資源和業務系統。

IPv6部署和應用中存在的問題

部署IPv6不能以舍棄原有的IPv4網絡為代價，IPv6部署升級應該是循序漸進的過程。在從IPv4向IPv6演進的過程中，將經歷以下三個階段（如圖2所示）：

第一階段：純IPv4階段，即純IPv4網絡，IPv4終端和IPv4資源互訪。

第二階段：IPv4向IPv6過渡階段。終端和資源端需要從IPv4階段過渡到IPv6階段，可通過雙棧技術或者外掛翻譯設備來實現。如果使用翻譯設備，可分為兩個子階段：前期是IPv4網絡，主要技術策略是IPv4加掛“IPv4轉IPv6”翻譯設備，支持IPv6的訪問；后期建立的是IPv6網絡，對于少量IPv4的訪問，可外掛一臺“IPv6轉IPv4”翻譯設備，支持IPv4的訪問。

第三階段：純IPv6階段。IPv6終端和IPv6資源互訪。

在一段時間內，終端網絡將會處于純IPv4網絡、雙棧網絡和純IPv6網絡并存的時期。其中，雙棧網是基于現有網絡的升級，能直接為用戶提供便捷的IPv4/IPv6雙棧網接入、認證和管理功能；新建的純IPv6網是基于現有網絡的擴展升級，通過IPv6過渡技術能夠與IPv4網互通互聯。

在實際的IPv6部署過程中，可能會遇到一些典型問題，例如：

圖2 IPv4向IPv6演進的三個階段

1.設備的支持性

雖然IPv6在CNGI-CERNET2中已經測試運行多年，但很多學校的現網設備仍然不支持IPv6。對此，CERNET運營單位賽爾網絡有限公司（以下簡稱“賽爾網絡”）結合各地分公司在開展工作中遇到的實際情況，總結出IPv6支持度不高的設備列表。在部署的前期，首先明確學校基礎設備可用性，協助對不支持IPv6的設備進行最新固件升級，對于過于老舊的硬件設備則提出更換設備的建議。

2.認證、計費、審計問題

目前，大部分高校對于校園網的使用都有認證和計費機制，且大多支持IPv6。很多高校校園網使用BRAS進行認證的大二層架構，偶爾會出現IPv4和IPv6認證沖突和重復認證的情況，在與廠商進行溝通后，將BRAS升級到最新版本即可解決此類問題。

3.IPv6地址規劃及分配的合理性，以及地址溯源問題

由于IPv6地址空間極大，很多高校在部署IPv6的時候，地址空間劃分的太碎片化，導致極難管理。因此，建議在部署IPv6之前，首先要對IPv6的地址有一個良好的頂層設計，充分考慮各種情況，制定好分配標準及原則。

地址空間過大同時帶來了地址溯源的問題。IPv6的地址分配分為兩種：無狀態的地址分配（stateless）和有狀態的地址分配（stateful）。

無狀態的地址分配使用ND（RFC2461）協議，通過路由宣告的方式自動配置IPv6地址，這種地址分配方式支持所有終端，配置簡單，因此在部署前期，很多高校采用的是無狀態的方式來進行地址分配。但是，該方式對于校園網管理來說比較困難，因為無狀態隨機分配的地址變化頻繁，很難進行管理和溯源。

而有狀態的地址分配方式使用DHCPv6協議，雖然可以解決溯源和管理的問題，但對于某些終端以及設備的支持度不夠。

因此，在地址分配方面，如果使用無狀態的分配方式，就需要有其他的采集交換機信息及radius記賬信息等方式來保證溯源。

關于IPv6安全措施

IPv6因地址空間巨大，在應對部分安全攻擊方面具有天然優勢，在可溯源性、反黑客嗅探能力、鄰居發現協議、安全鄰居發現協議以及端到端的IPSec安全傳輸能力等方面可提升網絡安全性。

然而，IP協議只是網絡層的協議，其安全性設計的再好，也只能保證本功能層的安全，其他功能層如應用層的網頁服務、郵件服務及文件傳輸等服務的安全，仍難以保證。所以，在安全方面，IPv6相對IPv4來說，對當前網絡的各種安全風險的防范并沒有太大的提高。

此外，當高校網絡升級IPv6之后，便會面臨來自IPv4和 IPv6網絡的雙重嗅探和攻擊，既可能有網絡層、應用層的攻擊，也可能出現其它不可預期的攻擊形式。因此，IPv6升級工作也必須預先考慮安全防護問題。

一方面，要改進完善技術手段。

一是改進防火墻的策略，應對拒絕服務攻擊。IPv6相對IPv4在數據報頭上有了很大的改變，要求防火墻必須解析整個數據包才能進行過濾操作，這對防火墻的處理性能會有很大的影響。因此，必須采取各種技術手段，提高防火墻的性能，適應IPv6的需要。

二是完善入侵檢測系統的配置，嚴格限制用戶。IPv6引入了網絡層的加密技術，未來網絡數據通信的保密性將會越來越強，要求入侵檢測系統在任何網絡狀況、任何服務器、任何客戶端、任何應用環境都能進行適當的自轉換和自適應，以嚴格控制訪問用戶的身份認證和權限驗證等內容。

三是采用安全遷移設計，保障快速平穩過渡。目前，IPv4正在向IPv6過渡，與采用其他任何一種新的網絡協議一樣，其安全措施必須經過慎重的考慮和測試，避免產生新的技術漏洞。

另一方面，要建立健全防護機制。

盡管IPv6還不是當前網絡通信的主流協議，但從長遠看，有必要開展超前研究，從健全安全防范制度和建立防范體系兩個方面，制定下一代互聯網的系統安全機制和信息安全機制。

一是要健全安全防范制度，保障網絡系統安全。為加強網絡系統安全，在管理上要建章立制來強化相關人員的安全意識及規范其處置行為。例如，建立安全檢查制度，定期和不定期相結合來進行安全保密檢查，排查安全隱患，杜絕網絡違規操作，減少人為紕漏；建立網絡值勤制度，不斷強化網絡值勤人員的保密意識、責任意識及服務意識，明確人員的職責劃分和操作規程，建立完善的值勤登記統計，使網絡值勤管理精細化、正規化。

二是要建立具有主動性的網絡安全防范體系，確保網絡信息安全。采取加密、認證、數字簽名、訪問控制、安全代理、安全審計和監督控制等多種安全防護機制，實現信息儲存保密、傳輸保密和瀏覽保密，進行實體認證、操作員認證和信息認證，從運行機制上保證網絡信息的安全。

CERNET IPv6服務

為進一步推動教育用戶的IPv6部署及應用，CERNET及賽爾網絡出臺了一系列優惠政策和有效舉措，以實現教育領域IPv6全覆蓋為目標，優先發展IPv6用戶，以全面領先的IPv6服務，促進IPv6在國內教育科研領域的規模部署以及以IPv6為基礎的教學和科研發展，推動IPv6應用創新。具體如下：

1.IPv6升級服務

基于清華大學的技術優勢，以及豐富的網絡規劃設計、建設實施、運營管理等經驗，賽爾網絡形成了較為完備的網絡建設整體解決方案，針對不同網絡的實際情況，配合接入用戶部署和應用校園網內的IPv6，量身打造校園網IPv6升級和網站IPv6升級方案。特別是基于清華大學IVI技術自主研發的IVI翻譯系統，已在100多個校園網進行驗證部署，并在河南、天津、南京、云南、吉林等地實現商業部署，實現了IPv4與IPv6的無縫鏈接。

在部署和應用IPv6的過程中，主要遵循以下的部署原則：

（1）盡量不改變現有網絡拓撲；

（2）不影響用戶的上網體驗；

（3）可平穩演進到純IPv6互聯網；

（4）盡量對用戶無感知；

（5）充分考慮可持續發展性和可管理性。

2.網絡安全運維服務

賽爾網絡擁有遍布全國的營銷服務體系，設立31個分公司，打造了一支穩定的網絡安全技術隊伍，形成了“以總部為中心、以分公司為支撐”的網絡安全應急服務體系，可實現對網絡安全問題的及時響應和處置。依托專業的安全技術服務團隊，賽爾網絡可為高校提供全面的網絡安全運維服務，為學校的重大活動提供網絡安保，為高校所屬資產進行7×24小時的監測及預警，對發現的安全問題進行跟進處理和及時修復等。

3.下一代互聯網產業服務

發揮CERNET創新平臺的作用，搭建下一代互聯網重大應用技術工程研究中心、網絡空間安全創新中心、創新孵化基地、專利服務平臺、成果轉化基金以及產業資源中心六大業務平臺。積極爭取國家政策支持，全力支持高校創新創業，鼓勵并推動高校在網絡基礎設施、IPv6關鍵技術研發、網絡安全等科研項目的參與，為高校的創新創業提供實驗平臺和支撐保障基礎。

此外，賽爾網絡下一代互聯網技術創新項目和下一代互聯網創新大賽面向CERNET會員高校開展，旨在鼓勵并扶持高校師生開展下一代互聯網軟硬件技術及應用研究，培養適應現代社會發展需求的高層次專業技術人才。

4.其他服務

面向會員高校，CERNET與賽爾網絡還將根據實際需求，不定期組織各類技術培訓、論壇等活動，促進校際學術交流與溝通，提供專業技術指導、咨詢和網絡測試等全方位服務，幫助高校全面部署IPv6網絡，提升高校IPv6技術水平，真正實現校園網有線網絡和無線網絡IPv6的全覆蓋。

自互聯網傳入中國以來，CERNET始終發揮著示范先行和創新領先的作用，為我國互聯網及下一代互聯網的發展，以及與國際接軌作出了重要貢獻。教育領域在IPv6技術的研發以及規模部署和創新應用等方面，也一直是我國IPv6發展的先鋒。

以政策為基礎，以科技為先導，以創新為動力。今后，CERNET將繼續服務廣大教育用戶，不忘初心，為我國教育領域的IPv6規模部署和應用、教育信息化的健康發展竭盡全力，為我國網絡強國偉大戰略的早日實現保駕護航！