行业动态
教育系统IPv6部署及应用浅析
作者:赛尔网络有限公司河南分公司     来源:河南教育信息化     发布时间:2019-06-27     文章点击数:

IPv6是互联网演进升级的必然趋势。自2017年11月中共中央办公厅、国务院办公厅印发《推进互联网协议第六版(IPv6)规模部署行动计划》,我国互联网正式迎来了全面部署IPv6的新时代。一年多来,我国出台了多项政策措施推动IPv6规模部署和快速发展,IPv6部署也取得了重要的阶段性成果。

2018年9月,教育部办公厅发布了《关于贯彻落实<推进互联网协议第六版(IPv6)规模部署行动计划>的通知》,对教育系统的IPv6规模部署从系统升级和人才培养方面提出了两大目标,从基础网络设施升级改造、应用系统和服务升级、网络安全管理和防护以及IPv6技术的支撑保障四个方面明确了重点任务。

本文将重点介绍中国教育和科研计算机网CERNET(以下简称“CERNET”)IPv6的最新部署情况、河南省教育系统IPv6部署的最新进展,以及在IPv6部署过程中可能遇到的问题和解决办法,希望能为广大教育用户在IPv6升级部署的实际工作中,提供帮助。

 

一、我国IPv6最新部署和应用情况

“中国IPv6产业发展研讨会”上公布的信息显示,我国推进IPv6规模部署工作一年来工作取得了积极进展,成效显著。

在网络设施IPv6改造方面,三大基础电信企业全国30省移动宽带接入(LTE)网络均完成端到端IPv6改造,开启IPv6业务承载功能;骨干网设备全部支持IPv6,全国13个骨干直联点中有5个直联点开通IPv6互联互通;截至2018年11月,基础电信企业分配IPv6地址的LTE和固定宽带接入网络用户总数超8.65亿。

在重点互联网应用的IPv6升级方面,截至2018年11月,中国大陆93家省部级政府网站中可通过IPv6访问的网站共有63家,97家中央企业网站中已有92家;同时,互联网企业对于IPv6升级改造的积极性和主动性也进一步增强。

 

二、教育网IPv6最新部署和应用情况

CERNET在推动下一代互联网技术的发展、促进我国下一代互联网的普及和应用等方面,一直发挥着积极的作用。

1、从网络建设情况来看,2018年8月,CNGI-CERNET2二期升级建设圆满完成。升级之后的CERNET2覆盖我国36个城市,主干网总带宽达2950G,核心节点数量41个,主干线路带宽实现10G-100G。

2、从网络整体情况来看,CERNET2网络运行稳定,流量相对平稳,核心节点可用率达99%以上,主干线路故障率均值0.33%。

3、从IPv6用户规模来看,截至2019年1月,CERNET已接入IPv6的高校用户达1789个,用户超千万人。

4、在国内互联互通方面,截至2018年底,CERNET与三大运营商及科技网开通IPv6网间带宽共计153.5G。

在我省,河南省教育厅于2018年11月发布了《关于加快推进全省教育系统IPv6规模部署和应用工作的通知》,各级高校教育系统积极推进IPv6的规模部署。截至2019年1月24日,河南省内开通IPv6的高校已达105所。17个省辖市基础教育城域网也依托IVI技术实现了IPv4/IPv6互通;省电化教育馆作为省基础教育资源服务中心节点,也接入了省网IPv6网络;26所河南省高校门户网站实现对IPv6的支持;各个高校也正在积极建设支持IPv6的各类信息资源和业务系统。

图1高校网站IPv6支持情况(来源http://ipv6c.cn/mainPage.do

 

三、IPv6部署和应用中存在的问题

部署IPv6不能以舍弃原有的IPv4网络为代价,IPv6部署升级应该是循序渐进的过程。在从IPv4向IPv6演进的过程中,将经历以下三个阶段:

第一阶段:纯IPv4阶段,即纯IPv4网络,IPv4终端和IPv4资源互访。

第二阶段:IPv4向IPv6过渡阶段。终端和资源端需要从IPv4阶段过渡到IPv6阶段,可通过双栈技术或者外挂翻译设备来实现。如果使用翻译设备,可分为两个子阶段:前期是IPv4网络,主要技术策略是IPv4加挂“v4转v6”翻译设备,支持IPv6的访问;后期建立的是IPv6网络,对于少量IPv4的访问,可外挂一台“v6转v4”翻译设备,支持IPv4的访问。

第三阶段:纯IPv6阶段。IPv6终端和IPv6资源互访。

图2 IPv4向IPv6演进的三个阶段

 

在一段时间内,终端网络将会处于纯IPv4网络、双栈网络和纯IPv6网络并存的时期。其中,双栈网是基于现有网络的升级,能直接为用户提供便捷的IPv4/IPv6双栈网接入、认证和管理功能;新建的纯IPv6网是基于现有网络的扩展升级,通过IPv6过渡技术能够与IPv4网互通互联。

在实际的IPv6部署过程中,可能会遇到一些典型问题,例如:

1、设备的支持性

虽然IPv6在CERNET2中已经测试运行多年,但很多学校的现网设备仍然不支持IPv6。对此,CERNET运营单位赛尔网络有限公司(以下简称“赛尔网络”)结合各地分公司在开展工作中遇到的实际情况,总结出IPv6支持度不高的设备列表。在部署的前期,首先明确学校基础设备可用性,协助对不支持IPv6的设备进行最新固件升级,对于过于老旧的硬件设备则提出更换设备的建议。

2、认证、计费、审计问题

目前,大部分高校对于校园网的使用都有认证和计费机制,且大多支持IPv6。很多高校校园网使用BRAS进行认证的大二层架构,偶尔会出现IPv4和IPv6认证冲突和重复认证的情况,在与厂商进行沟通后,将BRAS升级到最新版本即可解决此类问题。

3、IPv6地址规划及分配的合理性,以及地址溯源问题

由于IPv6地址空间极大,很多高校在部署IPv6的时候地址空间划分的太碎片化,导致极难管理。因此,建议在部署IPv6之前,首先要对IPv6的地址有一个良好的顶层设计,充分考虑各种情况,制定好分配标准及原则。

地址空间过大同时带来了地址溯源的问题。IPv6的地址分配分为两种:无状态的地址分配(stateless),有状态的地址分配(stateful)。

无状态的地址分配使用ND(RFC2461)协议,通过路由宣告的方式自动配置IPv6地址,这种地址分配方式支持所有终端,配置简单,因此在部署前期,很多高校采用的是无状态的方式来进行地址分配。但是,该方式对于校园网管理来说比较困难,因为无状态随机分配的地址变化频繁,很难进行管理和溯源。

而有状态的地址分配方式使用DHCPv6协议,虽然可以解决溯源和管理的问题,但对于某些终端以及设备的支持度不够。

因此,在地址分配方面,建议如果使用无状态的分配方式,就需要有其他的采集交换机信息及radius记账信息等方式来保证溯源。

 

四、关于IPv6安全措施

IPv6因地址空间巨大,在应对部分安全攻击方面具有天然优势,在可溯源性、反黑客嗅探能力、邻居发现协议、安全邻居发现协议以及端到端的IPSec安全传输能力等方面可提升网络安全性。

然而,IP协议只是网络层的协议,其安全性设计得再好,也只能保证本功能层的安全,其他功能层如应用层的网页服务、邮件服务及文件传输等服务的安全,仍难以保证。所以,在安全方面,IPv6相对IPv4,对当前网络的各种安全风险的防范并没有太大的提高。

此外,当高校网络升级IPv6之后,便会面临来自IPv4和IPv6网络的双重嗅探和攻击,既可能有网络层、应用层的攻击,也可能出现其它不可预期的攻击形式。因此,IPv6升级工作也必须预先考虑安全防护问题。

一方面,要改进完善技术手段。

一是改进防火墙的策略,应对拒绝服务攻击。IPv6相对IPv4在数据报头上有了很大的改变,要求防火墙必须解析整个数据包才能进行过滤操作,这对防火墙的处理性能会有很大的影响。因此,必须采取各种技术手段,提高防火墙的性能,适应IPv6的需要。

二是完善入侵检测系统的配置,严格用户限制。IPv6引入了网络层的加密技术,未来网络数据通信的保密性将会越来越强,要求入侵检测系统在任何网络状况、任何服务器、任何客户端、任何应用环境都能进行适当的自转换和自适应,以严格控制访问用户的身份认证和权限验证等内容。

三是采用安全迁移设计,保障快速平稳过渡。目前,IPv4正在向IPv6过渡,与采用其他任何一种新的网络协议一样,其安全措施必须经过慎重的考虑和测试,避免产生新的技术漏洞。

另一方面,要建立健全防护机制。

尽管IPv6还不是当前网络通信的主流协议,但从长远看,有必要开展超前研究,从健全安全防范制度和建立防范体系两个方面,制定下一代互联网的系统安全机制和信息安全机制。

一是要健全安全防范制度,保障网络系统安全。为加强网络系统安全,在管理上要建章立制来强化相关人员的安全意识及规范其处置行为。例如,建立安全检查制度,定期和不定期相结合进行安全保密检查,排查安全隐患,杜绝网络违规操作,减少人为纰漏;建立网络值勤制度,不断强化网络值勤人员的保密意识、责任意识及服务意识,明确人员的职责划分和操作规程,建立完善的值勤登记统计,使网络值勤管理精细化、正规化。

二是要建立具有主动性的网络安全防范体系,确保网络信息安全。采取加密、认证、数字签名、访问控制、安全代理、安全审计和监督控制等多种安全防护机制,实现信息储存保密、传输保密和浏览保密,进行实体认证、操作员认证和信息认证,从运行机制上保证网络信息的安全。

 

五、CERNET IPv6服务

为进一步推动教育用户的IPv6部署及应用,CERNET及赛尔网络出台了一系列优惠政策和有效举措,以实现教育领域IPv6全覆盖为目标,优先发展IPv6用户,以全面领先的IPv6服务,促进IPv6在国内教育科研领域的规模部署以及以IPv6为基础的教学和科研发展,推动IPv6创新应用。具体如下:

1、IPv6升级服务

基于清华大学的技术优势,以及丰富的网络规划设计、建设实施、运营管理等经验,赛尔网络形成了较为完备的网络建设整体解决方案,针对不同网络的实际情况,配合接入用户部署和应用校园网内的IPv6,量身打造校园网IPv6升级和网站的IPv6升级方案。特别是基于清华大学IVI技术自主研发的IVI翻译系统,已在100多个校园网进行验证部署,并在河南、天津、南京、云南、吉林等地实现商业部署,实现了IPv4与IPv6的无缝链接。

在部署和应用IPv6的过程中,主要遵循以下的部署原则:

(1)尽量不改变现有网络拓扑;

(2)不影响用户的上网体验;

(3)可平稳演进到纯IPv6互联网;

(4)尽量对用户无感知;

(5)充分考虑可持续发展性和可管理性。

2、网络安全运维服务

赛尔网络拥有遍布全国的营销服务体系,设立31个分公司,打造了一支稳定的网络安全技术队伍,形成了“以总部为中心、以分公司为支撑”的网络安全应急服务体系,可实现对网络安全问题的及时响应和处置。依托专业的安全技术服务团队,赛尔网络可为高校提供全面的网络安全运维服务,为学校的重大活动提供网络安保,为高校所属资产进行7*24小时的监测及预警,对发现的安全问题进行跟进处理和及时修复等等。

3、下一代互联网产业服务

发挥CERNET创新平台的作用,搭建下一代互联网重大应用技术工程研究中心、网络空间安全创新中心、创新孵化基地、专利服务平台、成果转化基金以及产业资源中心六大业务平台。积极争取国家政策支持,全力支持高校创新创业,鼓励并推动高校在网络基础设施、IPv6关键技术研发、网络安全等科研项目的参与,为高校的创新创业提供实验平台和支撑保障基础。

此外,赛尔网络下一代互联网技术创新项目和下一代互联网创新大赛面向CERNET会员高校开展,旨在鼓励并扶持高校师生开展下一代互联网软硬件技术及应用研究,培养适应现代社会发展需求的高层次专业技术人才。

4、其他服务

面向会员高校,CERNET与赛尔网络还将根据实际需求,不定期组织各类技术培训、论坛等活动,促进校际学术交流与沟通,提供专业技术指导、咨询和网络测试等全方位服务,帮助高校全面部署IPv6网络,提升高校IPv6技术水平,真正实现校园网有线网络、无线网络IPv6的全覆盖。

自互联网传入中国以来,CERNET始终发挥着示范先行和创新领先的作用,为我国互联网及下一代互联网的发展,以及与国际接轨作出了重要贡献。教育领域在IPv6技术的研发以及规模部署和创新应用等方面,也一直是我国IPv6发展的先锋。

以政策为基础,以科技为先导,以创新为动力。今后,CERNET将继续服务广大教育用户,不忘初心,为我国教育领域的IPv6规模部署和应用、教育信息化的健康发展竭尽全力,为我国网络强国伟大战略的早日实现保驾护航!



地址:长江大学东八号教学楼附楼一层103室     邮编:434023

版权所有:长江大学 鄂ICP备05003301号

站点建设与维护:互联网与信息中心