IPV升级到IPV建设设计专项方案.docxVIP

IPv6全网处理方案

应用背景

IPv4协议是现在广泛布署因特网协议，然而，伴随Internet发展，该协议在历经了20多年实践和考验后，已逐步暴露出设计先天不足和很多局限，成为IP技术应用和未来发展瓶颈制约。

而IPv6作为下一代网络基础以其鲜明技术优势得到广泛认可，为业务发展发明了机会：

?IPv6产生从根本上处理了地址短缺问题

IPv6提供了愈加快捷布署方法（即插即用）

?IPv6支持流标签能力，便于QoS实施

?IPv6集成了安全特征

?IPv6含有更有效报头结构，提升处理性能

?IPv6和IPv4网络之间能够平滑过渡和相互访问

处理方案

建设IPv6网络关键应该考虑现有网络升级支持IPv6业务和采取同时支持IPv6/IPv4网络设备进行新建网络建设两种情况。

1、升级现有IPv4网络方案

隧道模式（ISATAP隧道），升级关键

组网模式：

原有IPv4局域网不进行改造，关键增加或更换支持IPv6业务关键交换机。

关键交换机开启双栈，向上连接IPv6网络，向下开启ISATAP隧道功效，开启IPv6/IPv4主机可采取ISATAP隧道方法直接接入关键交换机。

网络中其它设备均无任何改变，原有IPv4业务正常运行。

方案优势：

只需增加支持IPv6业务关键设备，保护原有投资。

只需简单开启ISATAP隧道功效即可，快速实现网络IPv6主机接入。

隧道模式，升级关键和部分汇聚逐步支持IPv6

组网模式：

在原相关键层改造基础上，逐步对汇聚三层设备进行更换，将汇聚层原有三层交换机更换为支持IPv4/IPv6双栈设备。

汇聚交换机和关键交换机之间会存在IPv4网络，使用IPv6overIPv4隧道方法实现IPv6连接。

方案优势：

逐步实现对原有IPv4网络改造，将部分汇聚和关键设备更换，为下一步实现整网IPv6网络布署奠定基础。

原有IPv4业务不产生任何改变，正常运行。双栈用户能够直接访问IPv4网络及IPv4业务。

2、新建IPv6网络方案

新建IPv6网络

组网模式：

新建关键层、汇聚层全双栈布署IPv6路由，实现全网IPv6。

业务区域采取二层到桌面，接入交换机采取百兆或千兆到桌面。汇聚层连接关键层IPv4/v6双栈路由功效。

方案优势：

接入层和汇聚层、汇聚层和关键层间采取双上联实现链路冗余，汇聚层、关键层设备采取双节点实现节点冗余。

新增IPv6用户能够正常访问IPv6网络及业务。双栈用户能够直接访问IPv4网络及业务。

3、IPv6网络安全计划：

IPv4协议向IPv6协议升级过渡过程中，多个安全问题将暴露出来，构建可信任下一代互联网，将是一项长久而艰巨任务。在建设IPv6网络时候，需要全方面考虑网络安全问题。IPv6网络安全问题划分为：设备等级、全网安全等级。

3.1设备等级防护

伴随IPv6在局域网中布署，局域网多种应用不停扩展，网络攻击不停增多，越来越需要为IPv6交换机提供一个保护机制。对发往交换机CPU数据流，进行流分类和优先级分级处理、CPU带宽限速，以确保在任何情况下CPU全部不会出现负载过高情况，为用户提供一个稳定网络环境。这种保护机制是CPUProtectPolicy（CPP）。CPP作为IPv6交换机一个功效模块，根据以下四个阶段处理数据：Classifying、Queuing、Scheduling和Shaping。

经过CPP保护策略，网络设备安全能力有了更大提升。在布署IPv6局域网中，多种应用、攻击，全部极大地考验着网络设备，在IPv6校园中布署中，应该采取含有优异CPUProtectPolicy（CPP）机制IPv6转发平台。

3.2全局安全网络

IPv6技术在大规模应用，多种应用大规模开展，网络访问控制接入控制应运而生。网络访问控制处理方案意在经过身份验证、主机健康性保障、网络安全性保障等多重角度，对内网用户进行有效管理。实现内网用户身份正当化，上网主机安全情况健康化，网络通信安全化和用户网络访问行为规范化。

布署IPv4/IPv6兼容全网安全防御系统，经过软硬件联动、计算机层面和网络层面结合，从身份、主机、网络等多个角度对IPv4/IPv6网络安全进行监控、检测、防御和处理，帮助用户共同构建身份正当、主机健康、网络安全、行为规范全局安全网络。