基于IPv6的企業(yè)網絡規(guī)劃與設計

基于IPV6的企業(yè)網絡規(guī)劃與設計1.前言IPv4協議是目前廣泛部署的因特網協議。在因特網發(fā)展初期，IPv4以其協議簡單、易于實現、互操作性好的優(yōu)勢而得到快速發(fā)展。但隨著因特網的迅猛發(fā)展，IPv4設計的不足也日益明顯，IPv6的出現，解決了IPv4的一些弊端。相比IPv4，IPv6具有如下優(yōu)勢：表1-1IPv6、IPv4對比表問題IPv4的缺陷IPv6的優(yōu)勢地址空間IPv4地址采用32比特標識，理論上能夠提供的地址數量是43億。針對IPv4的地址短缺問題，比較有代表性的是無類別域間路由CIDR（ClasslessInter-DomainRouting）和網絡地址轉換NAT（NetworkAddressTranslator）。但是CIDR和NAT都有各自的弊端和不能解決的問題，由此推動了IPv6的發(fā)展。IPv6地址采用128比特標識。128位的地址結構使IPv6理論上可以擁有（43億×43億×43億×43億）個地址。近乎無限的地址空間是IPv6的最大優(yōu)勢。報文格式IPv4報頭包含可選字段Options，內容涉及Security、Timestamp、Recordroute等，這些Options可以將IPv4報頭長度從20字節(jié)擴充到60字節(jié)。IPv6和IPv4相比，去除了IHL、Identifier、Flag、FragmentOffset、HeaderChecksum、Option、Padding域，只增加了流標簽域，因此IPv6報文頭的處理較IPv4更為簡化，提高了處理效率。路由聚合由于IPv4發(fā)展初期的分配規(guī)劃問題，造成許多IPv4地址分配不連續(xù)，不能有效聚合路由。日益龐大的路由表耗用大量內存，對設備成本和轉發(fā)效率產生影響，這一問題促使設備制造商不斷升級其產品，以提高路由尋址和轉發(fā)性能。巨大的地址空間使得IPv6可以方便的進行層次化網絡部署。層次化的網絡結構可以方便的進行路由聚合，提高了路由轉發(fā)效率。對QoS（QualityofService）的支持隨著網絡會議、網絡電話、網絡電視迅速普及與使用，客戶要求有更好的QoS來保障這些音視頻實時轉發(fā)。IPv4并沒有專門的手段對QoS進行支持。IPv6新增了流標記域，提供QoS保證。2.需求分析2.1功能需求（1）網絡設備（路由器、交換機等）應選用主流廠商的品牌，一方面保證企業(yè)網的穩(wěn)定性，不易出現硬件問題；另外一方面能夠支持企業(yè)網所需要用到的協議（如IPv6協議、NAT協議等）。（2）IP地址通過設備能夠進行自動地分配，不需要手工進行配置，方便企業(yè)網用戶的使用網絡資源。（3）部署相應安全策略，保證企業(yè)內涉密區(qū)域和部門的數據安全，不允許其他區(qū)域的主機在沒有得到授權下非法地訪問涉密的資源。（4）在網絡設備出現單點故障的時候，能夠通過冗余和容錯機制（如VRRP），不影響企業(yè)員工正常使用。（5）企業(yè)網總體設計能夠職工日常的工作、開發(fā)和辦公需求

3.規(guī)劃與設計3.1VLAN和地址劃分表3-1是企業(yè)網地址大致的分配。表3-1企業(yè)網VLAN和地址劃分部門VlanIP規(guī)劃網關行政102001::/162001::1/16財務202002::/162002::1/16開發(fā)302003::/162003::1/16后勤402004::/162004::1/16502011::/162011::1/16602022::/162022::1/16702021::/162021::1/16802012::/162012::1/16服務器1002024::/162024::1/163.2企業(yè)網拓撲圖圖3-1企業(yè)網簡化拓撲圖結合企業(yè)網應用需求及其結構特點，畫出企業(yè)網簡化的拓撲圖（圖3-1）。圖整篇統一運用IPV6地址，從圖中可直觀看出，接入層、匯聚層、核心層的網絡分層結構，使用冗余鏈路保證數據傳輸的可靠性和穩(wěn)定性。最終通過出口路由器接入外網，實現對Internet的訪問。4.主要相關技術4.1VLAN協議VLAN（VirtualLocalAreaNetwork）是虛擬局域網的英語簡稱。作用是隔離大量終端設備產生的廣播風暴、提高內部網絡的穩(wěn)定性和安全性。由于學校有不同用途的建筑物以及多個職能部門，通過VLAN的劃分，可對其進行有效的網絡管理，減輕維護企業(yè)網所帶來的工作量。圖4-1sw1的VLAN分配圖4-2sw2的VLAN分配4.2OSPFv3協議開放最短路徑優(yōu)先（OSPF）是一個基于鏈路狀態(tài)的路由協議。OSPFv2協議使用在IPv4網絡中，而OSPFv3協議則使用在IPv6網絡中。OSPFv3包含IPv6接口的前綴、網絡掩碼、網絡連接的類型的接口信息傳播在各種類型的鏈路狀態(tài)通告（LSA）中。OSPF廣泛用于企業(yè)網、園區(qū)網、校園網等網絡中。4.2.1通過OSPFv3協議實現三層設備的互聯要實現企業(yè)網用戶對Internet的訪問，三層設備必須有去往Internet的路由，就必須配置路由協議實現之間互聯，這是關鍵的一步。現使用動態(tài)路由協議OSPFv3，保證三層設備之間能夠正常的轉發(fā)不同網段的數據包，實現相互之間的通信[10]。圖4-3在三層設備上配置OSPFv3首先分別在三層設備上配置OSPF協議，宣告直連網段，如圖5.5所示。圖4-4確定OSPF鄰居關系建立圖4-5在路由器上看到OSPF鄰居建立4.3EUI-64EUI-64是IEEE制定出來的64位擴展唯一標識符。EUI-64通過對48位MAC地址拓展構成。在MAC地址的中間加入二進制數“1111111111111110”（即FFFE）。再對形成的EUI-64開頭修改，把從左數起的第7位二進制數進行反轉。（從0反轉成1，從1反轉成0），得到最終的EUI-64。通過“IPv6前綴+EUI-64”的方式來構建一個新的IPv6地址。接口標識可通過三種方法生成：手工配置、系統通過軟件自動生成或IEEEEUI-64規(guī)范生成。其中，EUI-64規(guī)范自動生成最為常用。但因模擬器問題，統一采用人工分配配置。4.4VRRP協議VRRP是虛擬路由冗余協議（VirtualRouterRedundancyProtocol），是基于IP層的容錯協議。它可以把一個虛擬路由器的網關通過動態(tài)的方式分配到局域網上的已運行VRRP路由器中的一臺?？刂铺摂M路由器IP地址的已運行VRRP協議的路由器稱為主路由器，它負責轉發(fā)數據包到虛擬IP地址。一旦企業(yè)網內VRRP主路由器發(fā)生故障等導致無法訪問時觸發(fā)故障轉移機制，VRRP將啟用備份路由器，及時把數據包發(fā)送另一臺備份路由器上，使得一個企業(yè)網內的網絡不會中斷，用戶依然可以正常使用企業(yè)網，確保了通信的可靠性和連續(xù)性。圖4-6vlan10vrrp6配置，以此類推4.5鏈路聚合技術隨著企業(yè)網的規(guī)模不斷地擴大，用戶對主干鏈路的帶寬和可依賴性提出了更高的要求。過去通常使用更高速率的接口和線纜或者使用高速率的板卡的方式來增加帶寬。不過這樣會帶來成本過高的問題，同時沒有冗余備份機制。現在的網絡設計多數采用鏈路聚合技術，可把多個物理接口聚合成一個邏輯上的接口。這樣不僅能提高網絡的帶寬，同時也能增加備份鏈路實現冗余備份，提高鏈路的可靠性。在相同鏈路聚合的組內實現負載均衡，各成員在運行流量鏈路上避免了主干鏈路形成瓶頸擁塞，造成網絡質量下降等問題。圖4-7交換機鏈路聚合和優(yōu)先級配置4.6ACLACL是訪問控制列表的簡稱。通過設置ACL的相關策略，能夠對企業(yè)網出入的數據包流量進行有效的控制，對存在安全漏洞的地址和端口號進行有效的封堵，從而保障企業(yè)網內部整體的安全。同時ACL結合NAT技術使用，用于動態(tài)NAT轉換，把一個ACL和NAT中的地址池關聯起來，實現公網地址和私網地址在出口設備上進行相應的轉換。4.6.1設置ACL禁止外網和子公司訪問總公司財務部圖4-8財務部ACL配置4.7MSTP協議如果企業(yè)交換機使用冗余結構保障鏈路穩(wěn)定性，那么就一定會出現環(huán)路的情況，即引起廣播風暴、多幀拷貝以及MAC地址表不穩(wěn)定的問題，這樣使得企業(yè)網無法正常的使用。這時候就需要使用MSTP（多生成樹協議），解決上述這些問題，多生成樹協議使得具有冗余結構的企業(yè)網能夠正常穩(wěn)定地運行，同時能夠實現流量的負載均衡。圖4-9MSTP端口配置圖4-10MSTP交換機配置4.8BGP協議邊界網關協議BGP（BorderGatewayProtocol）是一種實現自治系統AS（AutonomousSystem）之間的路由可達，并選擇最佳路由的距離矢量路由協議BGP，MP-BGP在IPv6單播網絡上的應用稱為BGP4+。圖4-11PE1BGP配置圖4.8.1PE2BGP配置5.企業(yè)網絡實現以VLAN10為例，配置并進行驗證。首先在PC1的IPV6上配置靜態(tài)地址圖5-1主機PC配置在加入到VLAN10的一臺PC機上測試，在PC1的基礎配置的“IPv6配置”和其他VLAN的PC機進行互ping，成功地連通了圖5-2主機配置圖5-3，ping通效果附錄：<SW1>sysnameSW1ipv6vlanbatch102030405070stpinstance0priority0stpinstance1rootprimarystpinstance2rootsecondarystppathcost-standardlegacylacppriority100stpregion-configurationregion-nameipv6instance1vlan1020instance2vlan3040activeregion-configurationospfv31router-id3.3.3.3interfaceVlanif1interfaceVlanif10ipv6enableipv6address2001::1/16ospfv31area0.0.0.0interfaceVlanif20ipv6enableipv6address2002::1/16ospfv31area0.0.0.0interfaceVlanif30ipv6enableipv6address2003::1/16ospfv31area0.0.0.0interfaceVlanif40ipv6enableipv6address2004::1/16ospfv31area0.0.0.0interfaceVlanif50ipv6enableipv6address2011::2/16ospfv31area0.0.0.0interfaceVlanif70ipv6enableipv6address2021::2/16ospfv31area0.0.0.0interfaceMEth0/0/1interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionmodelacp-staticmaxactive-linknumber2interfaceGigabitEthernet0/0/1eth-trunk1lacppriority100interfaceGigabitEthernet0/0/2eth-trunk1lacppriority100interfaceGigabitEthernet0/0/3portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionportlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/6portlink-typeaccessportdefaultvlan50interfaceGigabitEthernet0/0/7portlink-typeaccessportdefaultvlan70interfaceGigabitEthernet0/0/8eth-trunk1interfaceLoopBack0ipaddress3.3.3.3255.255.255.255<SW2>sysnameSW2ipv6vlanbatch102030406080stpinstance0priority4096stpinstance1rootsecondarystpinstance2rootprimarystppathcost-standardlegacystpregion-configurationregion-nameipv6instance1vlan1020instance2vlan3040activeregion-configurationospfv31router-id4.4.4.4interfaceVlanif1interfaceVlanif10ipv6enableipv6address2001::1/16ospfv31area0.0.0.0interfaceVlanif20ipv6enableipv6address2002::1/16ospfv31area0.0.0.0interfaceVlanif30ipv6enableipv6address2003::1/16ospfv31area0.0.0.0interfaceVlanif40ipv6enableipv6address2004::1/16ospfv31area0.0.0.0interfaceVlanif60ipv6enableipv6address2022::2/16ospfv31area0.0.0.0interfaceVlanif80ipv6enableipv6address2012::2/16ospfv31area0.0.0.0interfaceMEth0/0/1interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionmodelacp-staticinterfaceGigabitEthernet0/0/1eth-trunk1interfaceGigabitEthernet0/0/2eth-trunk1interfaceGigabitEthernet0/0/3portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/4portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/6portlink-typeaccessportdefaultvlan80interfaceGigabitEthernet0/0/7portlink-typeaccessportdefaultvlan60interfaceGigabitEthernet0/0/8eth-trunk1interfaceLoopBack0ipaddress4.4.4.4255.255.255.255<R1>sysnameR1aclipv6number2000rule10permitsource2001::/16rule20permitsource2003::/16rule30permitsource2004::/16ipv6ospfv31router-id1.1.1.1import-routebgpinterfaceGigabitEthernet0/0/0ipv6enableipv6address2011::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/1ipv6enableipv6address2013::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/2ipv6enableipv6address2022::1/16ospfv31area0.0.0.0interfaceLoopBack0ipv6enableipaddress1.1.1.1255.255.255.255bgp200router-id1.1.1.1peer2013::2as-number100ipv4-familyunicastundosynchronizationipv6-familyunicastundosynchronizationfilter-policy2000exportnetwork2013::16import-routeospfv31peer2013::2enable<R2>sysnameR2ipv6ospfv31router-id2.2.2.2import-routebgpinterfaceGigabitEthernet0/0/0ipv6enableipv6address2012::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/1ipv6enableipv6address2021::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/2ipv6enableipv6address2014::1/16ospfv31area0.0.0.0interfaceGigabitEthernet4/0/0ipv6enableipv6address2024::1/16ospfv31area0.0.0.0interfaceLoopBack0ipv6enableipaddress2.2.2.2255.255.255.255bgp200peer2014::2as-number100ipv4-familyunicastundosynchronizationipv6-familyunicastundosynchronizationnetwork2014::16import-routeospfv31peer2014::2enable<PE1>sysnamePE1ipv6isis1is-levellevel-1network-entity10.0000.0000.0001.00ipv6enabletopologystandardinterfaceGigabitEthernet0/0/0ipv6enableipv6address2222::1/16isisipv6enable1interfaceGigabitEthernet0/0/1ipv6enableipv6address2013::2/16interfaceGigabitEthernet0/0/2ipv6enableipv6address2014::2/16bgp100router-id10.10.10.10peer2013::1as-number200peer2014::1as-number200peer2222::2as-number100ipv4-famil