DB32T-電子政務(wù)外網(wǎng) 5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范 第3部分：IPv6部署要求

DB32/TXXXXX—XXXXICS?35.240.01FORMTEXTCCSL67DBFORMTEXT32DB32/TFORMTEXTXXXXX—FORMTEXTXXXXFORMTEXT電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范第3部分：IPv6部署要求FORMTEXTE-governmentnetwork—Technicalspecificationsof5GplaneandIPv6networkplatform—Part3:IPv6deploymentrequirementFORMDROPDOWNFORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX發(fā)布FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX實(shí)施FORMTEXT江蘇省市場監(jiān)督管理局???發(fā)布電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范第3部分：IPv6部署要求范圍本文件規(guī)定了電子政務(wù)外網(wǎng)（以下簡稱“政務(wù)外網(wǎng)”）IPv6部署的網(wǎng)絡(luò)結(jié)構(gòu)、技術(shù)要求、安全要求、管理系統(tǒng)要求、支撐系統(tǒng)要求等。本文件適用于政務(wù)外網(wǎng)管理機(jī)構(gòu)、接入部門、設(shè)計(jì)單位對(duì)IPv6網(wǎng)絡(luò)進(jìn)行規(guī)劃、建設(shè)、管理等。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239 信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求YD/T2139IPv6網(wǎng)絡(luò)域名服務(wù)器技術(shù)要求YD/T2296IPv6動(dòng)態(tài)主機(jī)配置協(xié)議技術(shù)要求DB32/T3514.1電子政務(wù)外網(wǎng)建設(shè)規(guī)范第1部分：網(wǎng)絡(luò)平臺(tái)術(shù)語和定義DB32/T3514.1界定的以及下列術(shù)語和定義適用于本文件。網(wǎng)絡(luò)切片networkslicing為用戶提供特定網(wǎng)絡(luò)能力和網(wǎng)絡(luò)特征(如資源隔離、SLA保障特性等)，以及多種業(yè)務(wù)屬性的邏輯網(wǎng)絡(luò)。隨流檢測in-situflowinformationtelemetry一種直接對(duì)業(yè)務(wù)報(bào)文進(jìn)行端到端測量，從而得到網(wǎng)絡(luò)的真實(shí)丟包率、時(shí)延等性能指標(biāo)的檢測方式，具有部署方便、統(tǒng)計(jì)精度高等突出優(yōu)點(diǎn)。縮略語下列縮略語適用于本文件。APN6：應(yīng)用感知的IPv6網(wǎng)絡(luò)（Application-awareIPv6Networking）AS：自治系統(tǒng)

（AutonomousSystem）

DHCPv6：動(dòng)態(tài)主機(jī)配置協(xié)議版本6（DynamicHostConfigurationProtocolVersion6）EBGP：外部邊界網(wǎng)關(guān)協(xié)議（ExternalBorderGatewayProtocol）IGP：內(nèi)部網(wǎng)關(guān)協(xié)議（InteriorGatewayProtocol）IPv4：互聯(lián)網(wǎng)協(xié)議-第4版（InternetProtocolVersion4）IPv6：互聯(lián)網(wǎng)協(xié)議-第6版（InternetProtocolVersion6）IPv6+：基于IPv6下一代互聯(lián)網(wǎng)的升級(jí)（InternetProtocolVersion6Plus）MSTP：多業(yè)務(wù)傳送平臺(tái)（Multi-ServiceTransferPlatform）MTU：最大傳輸單元（MaximumTransmissionUnit）OTN：光傳送網(wǎng)（OpticalTransmissionNet）PE：運(yùn)營商邊緣（ProviderEdge）SDH：同步數(shù)字系列（SynchronousDigitalHierarchy）SLA：服務(wù)等級(jí)協(xié)議（ServiceLevelAgreement）SLAAC：無狀態(tài)地址自動(dòng)配置（StatelessAddressAutoconfiguration）SRv6：基于IPv6的段路由（SegmentRoutingoverIPv6）VLAN：虛擬局域網(wǎng)（VirtualLocalAreaNetwork）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）網(wǎng)絡(luò)結(jié)構(gòu)政務(wù)外網(wǎng)由省、市、縣三級(jí)組成，具體如下：省級(jí)政務(wù)外網(wǎng)包含省級(jí)廣域網(wǎng)、省級(jí)城域網(wǎng)、省級(jí)部門接入網(wǎng)；市級(jí)政務(wù)外網(wǎng)包含市級(jí)廣域網(wǎng)、市級(jí)城域網(wǎng)、市級(jí)部門接入網(wǎng)；縣級(jí)政務(wù)外網(wǎng)包含縣級(jí)城域網(wǎng)、縣級(jí)部門接入網(wǎng)、鄉(xiāng)（鎮(zhèn)、街道）接入網(wǎng)、村（社區(qū)）接入網(wǎng)。政務(wù)外網(wǎng)IPv6網(wǎng)絡(luò)實(shí)行統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、分級(jí)建設(shè)、分級(jí)管理。技術(shù)要求總體要求政務(wù)外網(wǎng)建設(shè)應(yīng)向IPv6單棧模式發(fā)展演進(jìn)。IPv6單棧演進(jìn)應(yīng)遵循廣域網(wǎng)/城域網(wǎng)、政務(wù)云、管理與支撐系統(tǒng)先行建設(shè)，部門接入網(wǎng)（含終端）和應(yīng)用系統(tǒng)協(xié)同跟進(jìn)原則。IPv6單棧建設(shè)應(yīng)采用SRv6、網(wǎng)絡(luò)切片、隨流檢測等技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)路徑的靈活調(diào)度和網(wǎng)絡(luò)質(zhì)量的確定性保障。IPv6網(wǎng)絡(luò)應(yīng)不使用地址轉(zhuǎn)換技術(shù)。IPv6設(shè)備應(yīng)符合自主可控相關(guān)要求。廣域網(wǎng)/城域網(wǎng)應(yīng)采用SRv6技術(shù)為IPv6業(yè)務(wù)承載提供網(wǎng)絡(luò)路徑可編程能力，結(jié)合鏈路資源使用情況，實(shí)時(shí)動(dòng)態(tài)調(diào)整流量路徑。過渡期內(nèi)可通過SRv6VPN技術(shù)統(tǒng)一承載IPv4、IPv6業(yè)務(wù)。應(yīng)采用網(wǎng)絡(luò)切片技術(shù)為IPv6業(yè)務(wù)提供確定性帶寬保障，具體要求如下：常用以太網(wǎng)接口（如10G接口、40G接口、100G接口等）應(yīng)支持網(wǎng)絡(luò)切片；網(wǎng)絡(luò)應(yīng)具備不同層次的切片能力，如1G、2G、5G、10G等；網(wǎng)絡(luò)切片技術(shù)應(yīng)與IGP技術(shù)解耦，不同的網(wǎng)絡(luò)切片可共用相同的接口地址和IGP路由協(xié)議。應(yīng)采用隨流檢測技術(shù)為IPv6業(yè)務(wù)提供狀態(tài)實(shí)時(shí)感知和故障快速定界能力，檢測粒度應(yīng)細(xì)化到單個(gè)部門或具體業(yè)務(wù)。應(yīng)根據(jù)業(yè)務(wù)需要進(jìn)行帶寬實(shí)時(shí)保障和網(wǎng)絡(luò)質(zhì)量監(jiān)控，宜采用APN6技術(shù)對(duì)IPv6業(yè)務(wù)進(jìn)行識(shí)別。政務(wù)外網(wǎng)通信鏈路應(yīng)為IPv6業(yè)務(wù)提供專用的二層點(diǎn)對(duì)點(diǎn)鏈路，如OTN、MSTP、SDH、IP切片專線、裸光纖等。鏈路帶寬應(yīng)滿足IPv6部署需求。應(yīng)對(duì)鏈路使用情況進(jìn)行實(shí)時(shí)監(jiān)測，并根據(jù)實(shí)際帶寬流量動(dòng)態(tài)擴(kuò)縮容，同時(shí)不影響業(yè)務(wù)正常使用。IPv6設(shè)備MTU值設(shè)置應(yīng)大于等于2000字節(jié)。網(wǎng)絡(luò)設(shè)備的IPv6功能應(yīng)符合附錄A要求。部門接入網(wǎng)部門接入網(wǎng)的IPv6部署具體要求如下：應(yīng)建設(shè)IPv6單棧網(wǎng)絡(luò)，過渡期內(nèi)可采用IPv4/IPv6雙棧；應(yīng)通過VLAN、網(wǎng)絡(luò)切片等技術(shù)，對(duì)視頻會(huì)議、政務(wù)服務(wù)等不同業(yè)務(wù)進(jìn)行邏輯隔離；應(yīng)通過DHCPv6協(xié)議為終端統(tǒng)一分配IPv6地址，地址分配記錄應(yīng)至少保存6個(gè)月；與政務(wù)外網(wǎng)邊界設(shè)備對(duì)接應(yīng)采用靜態(tài)路由或動(dòng)態(tài)路由，當(dāng)采用動(dòng)態(tài)路由時(shí)，僅發(fā)布規(guī)劃中的部門政務(wù)外網(wǎng)地址段；接入政務(wù)外網(wǎng)時(shí)，應(yīng)按照國家和行業(yè)相關(guān)安全標(biāo)準(zhǔn)進(jìn)行邊界防護(hù)。政務(wù)云政務(wù)云的IPv6部署具體要求如下：應(yīng)建設(shè)IPv6單棧資源池滿足業(yè)務(wù)部署要求，過渡期內(nèi)可通過地址轉(zhuǎn)換技術(shù)實(shí)現(xiàn)IPv6單棧應(yīng)用與存量IPv4應(yīng)用或用戶之間的互訪；應(yīng)采用靜態(tài)路由或動(dòng)態(tài)路由與政務(wù)外網(wǎng)網(wǎng)絡(luò)對(duì)接，當(dāng)采用動(dòng)態(tài)路由時(shí)，僅發(fā)布規(guī)劃中的政務(wù)云地址段。應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)應(yīng)基于IPv6進(jìn)行部署，具體要求如下：新建應(yīng)用系統(tǒng)應(yīng)采用IPv6單棧部署，過渡期內(nèi)存在IPv4用戶訪問的，可通過地址轉(zhuǎn)換技術(shù)訪問IPv6應(yīng)用系統(tǒng)；原有應(yīng)用系統(tǒng)應(yīng)進(jìn)行IPv6單棧改造。業(yè)務(wù)承載所有業(yè)務(wù)應(yīng)使用SRv6VPN進(jìn)行承載，具體要求如下：應(yīng)將城域網(wǎng)接入設(shè)備作為PE，部署VPN實(shí)例，滿足不同業(yè)務(wù)的邏輯隔離要求；應(yīng)根據(jù)業(yè)務(wù)需求進(jìn)行SRv6VPN規(guī)劃，過渡期內(nèi)VPN規(guī)劃應(yīng)兼容原有IPv4業(yè)務(wù)。AS域間對(duì)接AS域間IPv6網(wǎng)絡(luò)對(duì)接應(yīng)采用OptionA方式，當(dāng)前采用OptionB方式對(duì)接的，可通過在域間設(shè)備增加業(yè)務(wù)互聯(lián)接口，配置靜態(tài)路由或EBGP進(jìn)行業(yè)務(wù)路由交換，實(shí)現(xiàn)OptionA方式。安全要求總體要求IPv6網(wǎng)絡(luò)建設(shè)應(yīng)符合GB/T22239、GB/T25070等網(wǎng)絡(luò)安全等級(jí)保護(hù)相關(guān)要求，省市兩級(jí)IPv6網(wǎng)絡(luò)建設(shè)應(yīng)滿足網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)要求。IPv6網(wǎng)絡(luò)安全防護(hù)能力應(yīng)滿足業(yè)務(wù)需求。存量網(wǎng)絡(luò)進(jìn)行IPv6改造后，其安全防護(hù)能力不應(yīng)低于原有網(wǎng)絡(luò)。安全設(shè)備應(yīng)具備“IPv6+”技術(shù)能力，其功能應(yīng)符合附錄B的要求。安全準(zhǔn)入IPv6網(wǎng)絡(luò)安全準(zhǔn)入具體要求如下：應(yīng)對(duì)IPv6用戶接入實(shí)施身份鑒別、認(rèn)證，并基于角色進(jìn)行應(yīng)用訪問控制；應(yīng)對(duì)IPv6用戶地址進(jìn)行溯源管理；應(yīng)對(duì)終端環(huán)境進(jìn)行持續(xù)檢測和評(píng)估，并根據(jù)評(píng)估情況，按最小授權(quán)原則動(dòng)態(tài)調(diào)整其應(yīng)用訪問權(quán)限。安全防護(hù)IPv6網(wǎng)絡(luò)安全防護(hù)具體要求如下：應(yīng)對(duì)政務(wù)云、部門接入網(wǎng)等的業(yè)務(wù)流量進(jìn)行安全防護(hù)，包括安全訪問控制、入侵防御、防病毒等，宜采用集中部署安全資源池的方式；應(yīng)加強(qiáng)IPv6終端安全防護(hù)，實(shí)時(shí)監(jiān)測終端流量，對(duì)非授權(quán)訪問、異常流量等行為進(jìn)行管控；廣域網(wǎng)/城域網(wǎng)等關(guān)鍵節(jié)點(diǎn)處應(yīng)具備主動(dòng)檢測和威脅阻斷能力，對(duì)重要時(shí)期網(wǎng)絡(luò)安全進(jìn)行保障；應(yīng)采用SRv6技術(shù)對(duì)網(wǎng)絡(luò)和安全設(shè)備進(jìn)行統(tǒng)一路徑編排，實(shí)現(xiàn)網(wǎng)絡(luò)流量的按需防護(hù)；使用加密算法對(duì)數(shù)據(jù)進(jìn)行加密時(shí)，應(yīng)符合密碼應(yīng)用相關(guān)要求。安全監(jiān)測和管理IPv6網(wǎng)絡(luò)安全監(jiān)測和管理具體要求如下：應(yīng)采集IPv6業(yè)務(wù)流量、網(wǎng)絡(luò)和安全設(shè)備日志、系統(tǒng)運(yùn)行數(shù)據(jù)等信息，通過關(guān)聯(lián)分析實(shí)現(xiàn)風(fēng)險(xiǎn)識(shí)別、威脅發(fā)現(xiàn)、通報(bào)預(yù)警、態(tài)勢呈現(xiàn)、威脅處置等能力；安全監(jiān)測數(shù)據(jù)應(yīng)至少保存6個(gè)月；應(yīng)對(duì)安全策略進(jìn)行統(tǒng)一管理，包括安全策略的配置、下發(fā)、導(dǎo)出、導(dǎo)入、備份等；應(yīng)將安全事件、脆弱性、配置、可用性等安全監(jiān)測結(jié)果進(jìn)行可視化展現(xiàn)；應(yīng)對(duì)資產(chǎn)進(jìn)行統(tǒng)一管理，包括資產(chǎn)名稱、IP地址、類型、責(zé)任人以及資產(chǎn)屬性等的采集、記錄、變更；應(yīng)提供標(biāo)準(zhǔn)外部通信與數(shù)據(jù)接口，與上下級(jí)平臺(tái)和第三方系統(tǒng)實(shí)現(xiàn)互聯(lián)。管理系統(tǒng)要求總體要求管理系統(tǒng)應(yīng)支持對(duì)IPv6單棧網(wǎng)絡(luò)進(jìn)行統(tǒng)一管理，具備資源管理、運(yùn)行監(jiān)控、智能分析等功能。資源管理資源管理具體要求如下：應(yīng)采用基于YANG模型的NETCONF等模式對(duì)設(shè)備進(jìn)行配置管理；應(yīng)支持對(duì)IPv6網(wǎng)絡(luò)中的設(shè)備進(jìn)行配置下發(fā)、配置檢查、配置文件備份等；應(yīng)對(duì)IPv6網(wǎng)絡(luò)的SRv6VPN、隧道、網(wǎng)絡(luò)切片等資源進(jìn)行管理，包含資源創(chuàng)建、發(fā)放、回收和刪除，以及路徑和帶寬等的動(dòng)態(tài)調(diào)整。運(yùn)行監(jiān)控運(yùn)行監(jiān)控主要包括態(tài)勢監(jiān)控、拓?fù)浔O(jiān)控和IPv6發(fā)展情況監(jiān)測，具體要求如下：應(yīng)對(duì)IPv6網(wǎng)絡(luò)的網(wǎng)絡(luò)態(tài)勢、安全態(tài)勢進(jìn)行統(tǒng)一監(jiān)控，包括設(shè)備和鏈路的健康度、資源和負(fù)載的使用情況、資產(chǎn)安全態(tài)勢、威脅事件態(tài)勢等；應(yīng)對(duì)本級(jí)及所轄下級(jí)網(wǎng)絡(luò)的IPv6網(wǎng)絡(luò)拓?fù)溥M(jìn)行統(tǒng)一監(jiān)控、呈現(xiàn)，包括物理網(wǎng)絡(luò)拓?fù)?、SRv6VPN拓?fù)?、網(wǎng)絡(luò)切片拓?fù)涞?；?yīng)對(duì)IPv6就緒度進(jìn)行監(jiān)測管理，監(jiān)測指標(biāo)參見附錄C。智能分析智能分析主要包括質(zhì)量分析、故障分析、網(wǎng)絡(luò)異常檢測、容量預(yù)測，具體要求如下：應(yīng)采用隨流檢測技術(shù)對(duì)網(wǎng)絡(luò)中業(yè)務(wù)服務(wù)質(zhì)量進(jìn)行實(shí)時(shí)檢測和質(zhì)量分析，支持隨真實(shí)業(yè)務(wù)流的丟包率和時(shí)延檢測；應(yīng)具備網(wǎng)絡(luò)的故障感知、故障業(yè)務(wù)路徑還原和故障定界定位能力，支持本級(jí)及所轄下級(jí)網(wǎng)絡(luò)的跨域協(xié)同故障分析能力；應(yīng)對(duì)業(yè)務(wù)流量進(jìn)行采集、安全分析和威脅溯源，聯(lián)動(dòng)網(wǎng)絡(luò)、安全設(shè)備執(zhí)行威脅隔離、阻斷動(dòng)作；應(yīng)對(duì)網(wǎng)絡(luò)的設(shè)備資源、網(wǎng)絡(luò)流量、帶寬利用率等指標(biāo)進(jìn)行異常檢測，宜支持Telemetry高精度采集；應(yīng)具備網(wǎng)絡(luò)的容量預(yù)測能力，包括設(shè)備資源容量預(yù)測和網(wǎng)絡(luò)流量預(yù)測。支撐系統(tǒng)要求總體要求IPv6網(wǎng)絡(luò)應(yīng)具備域名服務(wù)、地址分配、地址管理等系統(tǒng)服務(wù)能力。域名服務(wù)域名服務(wù)應(yīng)符合YD/T2139的要求，此外還應(yīng)滿足以下要求：解析記錄類型同時(shí)支持AAAA、A記錄；支持純IPv6、IPv6/IPv4雙棧的混合解析。地址分配地址分配應(yīng)符合YD/T2296的要求，此外還應(yīng)滿足以下要求：支持無狀態(tài)地址自動(dòng)配置（SLAAC）；支持IPv6地址分配、續(xù)租、回收；支持IPv6地址溯源功能。地址管理地址管理具體要求如下：應(yīng)根據(jù)類型域、區(qū)劃域、部門域等自定義語義標(biāo)識(shí)進(jìn)行IPv6地址的規(guī)劃；應(yīng)對(duì)IPv6地址進(jìn)行可視化的生命周期管理，包括IP地址批量分配、預(yù)留和回收等；應(yīng)對(duì)IPv6地址子網(wǎng)進(jìn)行管理，包括IP子網(wǎng)的監(jiān)測、創(chuàng)建、導(dǎo)入、編輯、刪除；應(yīng)與地址分配系統(tǒng)進(jìn)行聯(lián)動(dòng)，自動(dòng)下發(fā)子網(wǎng)信息到地址分配系統(tǒng)；應(yīng)對(duì)全網(wǎng)IPv6地址使用數(shù)、在線數(shù)、使用率、分配率進(jìn)行統(tǒng)計(jì)；應(yīng)具備基于IPv6地址的資產(chǎn)管理功能，包括終端資產(chǎn)、設(shè)備資產(chǎn)和應(yīng)用資產(chǎn)等；應(yīng)能夠?qū)Pv6地址進(jìn)行分權(quán)分域管理。A

（規(guī)范性）

網(wǎng)絡(luò)設(shè)備功能要求網(wǎng)絡(luò)設(shè)備IPv6功能應(yīng)符合表A.1要求。表A.1網(wǎng)絡(luò)設(shè)備功能要求功能分類要求二層功能VLAN路由協(xié)議靜態(tài)IPv6路由、OSPFv3、IS-ISIPv6、BGP4+、MP-BGP業(yè)務(wù)承載L3VPNv6、EVPN，支持MPLSLDP、6vPE、SRv6隧道質(zhì)量保障QoS、網(wǎng)絡(luò)切片、APN6可靠性硬件支持部件冗余，設(shè)備系統(tǒng)軟件支持Ti-LFA、VPNFRR、BFD等快速收斂協(xié)議網(wǎng)絡(luò)管理支持NTP/1588v2/1588ATR等時(shí)鐘服務(wù)，支持SNMP/YANG等管理協(xié)議，支持NQA、Twamp、隨流檢測等技術(shù)B

（規(guī)范性）

安全設(shè)備功能要求安全設(shè)備IPv6功能應(yīng)符合表B.1要求。表B.1安全設(shè)備功能要求功能分類要求安全檢測能力支持對(duì)IPv4/IPv6流量的安全威脅的檢測，支持SRv6、網(wǎng)絡(luò)切片等IPv6+場景下業(yè)務(wù)流量安全檢測安全防護(hù)能力支持對(duì)IPv4/IPv6流量的安全防護(hù)，支持SRv6、網(wǎng)絡(luò)切片等IPv6+場景下業(yè)務(wù)流量安全防護(hù)網(wǎng)絡(luò)兼容支持IPv4/IPv6雙棧網(wǎng)絡(luò)管理支持IPv4/IPv6雙棧的SNMP/YANG等管理協(xié)議可靠性支持雙機(jī)熱備、硬件冗余部署

（資料性）

IPv6發(fā)展監(jiān)測指標(biāo)IPv6發(fā)展監(jiān)測指標(biāo)見表C.1。表C.1IPv6發(fā)展監(jiān)測指標(biāo)監(jiān)測維度監(jiān)測指標(biāo)指標(biāo)說明活躍用戶IPv6物聯(lián)網(wǎng)終端活躍連接數(shù)和占比已經(jīng)獲得IPv6地址，且在30天內(nèi)具備有效IPv