【正文】 由于 IPv4 和 IPv6 是兩個功能相近的網(wǎng)絡(luò)協(xié)議，基本的物理平臺也相同，其上的傳輸層協(xié)議也沒有區(qū)別，而支持雙協(xié)議棧的節(jié)點可分別與支持 IPv4 協(xié)議和 IPv6 協(xié)議的節(jié)點通信。這樣，基本配置就完成，可以開始做仿真實驗了。 本論文中，所有實驗都運行在 Windows 操作系統(tǒng)下，仿真軟件如下： 軟件版本： 。在絕大部分的 IPv6 過渡實驗中，人們都使用了 Linux 操作系統(tǒng)。主要是利用不同的波長來分別承載 IPv6 和 IPv4 的流量。 （ 4）校園網(wǎng)可以實現(xiàn)各種新業(yè)務(wù)的擴展和應(yīng)用。這一階段不僅要用隧道技術(shù)，還要采用協(xié)議轉(zhuǎn)換技術(shù)。網(wǎng)絡(luò)的代替需要分步驟進行，但宏觀上必須協(xié)調(diào)一致，否則會造成核心網(wǎng)完成了過渡，應(yīng)用卻沒有跟上的問題。該協(xié)議分為兩個版本：分別基于 IPv4 和 IPv6，稱為移動IPv4 和移動 IPv6。 [28]（ IKE Inter Key Exchange）是一個密鑰交換協(xié)議，它提供給要通信的數(shù)據(jù)各方一致的安全設(shè)置和一套安全密鑰，使其在不安全的網(wǎng)絡(luò)中，建立或刷新公共密鑰。 IPsec 模塊化結(jié)構(gòu) [25]如圖 215 所示。 IPv6 的安全性 IPv4 協(xié)議在設(shè)計之初沒有系統(tǒng)的考慮其安全性，主要是用來保證可以連通，使用該協(xié)議的人，都是熟識的人，因此沒有過多的強調(diào)安全問題。根據(jù)作用范圍，路由協(xié)議可分為兩種：內(nèi)部網(wǎng)關(guān)協(xié)議和外部網(wǎng)關(guān)協(xié)議。在 IPv6 的鄰居發(fā)現(xiàn)協(xié)議中，該功能不但代替了 IPv4 的 ARP 協(xié)議，同時還啟用了 NUD（鄰居不可達檢測）維護鄰居節(jié)點間的可到達性狀態(tài)信息。 ICMPv6 報文結(jié)構(gòu)如圖 25 所示。封裝安全載荷報頭：提供數(shù)據(jù)加密，實現(xiàn)端到端加密，并提供無連接的完整性服務(wù)與抗重發(fā)服務(wù)，還可限制通信流機密性。任意播地址只能作為 IPv6 數(shù)據(jù)包的目的地址，并且只能分配給路由器。在 IPv6 中，地址是給網(wǎng)絡(luò)接口的，而非節(jié)點，并且每個端口可同時擁有和使用多個地址。分析了 IPv6 校園網(wǎng)的建網(wǎng)需求，以及接入 Cer2 網(wǎng)的策略和主要的接入方式。 IPv6 臺灣論壇創(chuàng)建于 2020 年 4 月，由產(chǎn)業(yè)技術(shù)研究學(xué)會組織，以會員資格的組織形式向?qū)?IPv6 問題感興趣的人們開放。目前使用的是IPv4 協(xié)議，采用 32 位編碼地址，可提供大約 40 多億個 IP 地址，其中 70%[2]已分配光，全球面臨 IP 地址枯竭的問題。 IPv6 的新特點將會為網(wǎng)絡(luò)的應(yīng)用及發(fā)展提供廣闊的前景。通過雙協(xié)議棧技術(shù)的仿真，實現(xiàn) IPv6 節(jié)點與 IPv4 節(jié)點間的互通。 CERNET2 是目前世界上規(guī)模最大的采用純 IPv6 技術(shù)的 互聯(lián)網(wǎng)主干網(wǎng)之一，它的開通引起世界各國的高度關(guān)注。同時也涉及到很多網(wǎng)絡(luò)方面的知識，包括網(wǎng)絡(luò)的規(guī)劃、組網(wǎng)、網(wǎng)絡(luò)的調(diào)試、路由器的配置、動態(tài)路由和靜態(tài)路由的配置、隧道技術(shù)的使用、 NATPT 技術(shù)的使用、網(wǎng)絡(luò)的測試、仿真軟件 GNS3 的熟練使用等，本文的章節(jié)安排如下： 第 1 章 緒論。地址表示形式一般分為三種 [13]： （ 1）首選 IPv6 地址表示：是由冒號分開的 8 個 16 比特字段組成，每個字段由 4 個 十 六 進 制 字 符 組 成 ， 表 示 形 式 為 ：3FFE:0C10:0000:1236:FB00:1812:FE80:25FF。組播是指一臺或多臺主機同時發(fā)送單一數(shù)據(jù)包到多臺主機的網(wǎng)絡(luò)技術(shù)。因為大多數(shù)數(shù)據(jù)包只需要簡單處理，用基本報頭信息就足夠了，如果在網(wǎng)絡(luò)層需要用到額外信息的數(shù)據(jù)包，只要把這些數(shù)據(jù)包的信息編碼放到擴展報頭中即可。對攜帶路由頭數(shù)據(jù)報文的響應(yīng)：考慮到安全性，規(guī)定當(dāng)回應(yīng)帶路由報頭的數(shù)據(jù)報文時，上層協(xié)議所發(fā)的回應(yīng)報文不允許攜帶與之相應(yīng)的路由頭，除非接收到的報文的源地址和路由頭的完 整性與真實性可以確認。 回送請求：主要用來發(fā)送到目的節(jié)點，以使目標(biāo)節(jié)點立刻發(fā)回回送應(yīng)答消息。重定向報文的格式如圖 212 所示。 OSPFv2 中每個 OSPF 接口必須配置全局的 IPv4 地址， OSPFv3 的協(xié)議報文源地址使用鏈路本地地址，這樣不僅可以節(jié)省全局 IPv6 地址的資源，還便于分配 、管理 IPv6 地址。 為了保證網(wǎng)絡(luò)通信的安全， IETF 著手研究制定了一套保護通信的 IPsec 協(xié)議 [24]。 圖 216 認證頭協(xié)議格式 認證頭可在隧道模式或傳輸模式下使用，同時可為數(shù)據(jù)包在兩節(jié)點間傳送提供保護及身份認證，也可封裝安全性網(wǎng)關(guān)發(fā)出和接收的數(shù)據(jù)包流。 IPv6 協(xié)議 14 圖 217 ISAKM 的協(xié)議結(jié)構(gòu) ACL 和 IPv4 協(xié)議一樣，在 IPv 網(wǎng)絡(luò)中也會存在 DNS 服務(wù)器，而 DNS 服務(wù)器又是比較容易被找到。移動 IPv6 的組成如圖 218 所示 [16]。 IPv6 過渡技術(shù) 16 如上圖所示，過渡主要可分為三個階段： 發(fā)展的初級階段 圖 31 中最底層是初級階段。協(xié)議轉(zhuǎn)換技術(shù)是指源節(jié)點和目的節(jié)點分別使用不同的協(xié)議，這種情況下要使用協(xié)議轉(zhuǎn)換，使其首部進行轉(zhuǎn)換，從而 使兩協(xié)議網(wǎng)之間可以通信 [2930]。 （ 3）可通過 NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）技術(shù)實現(xiàn) IPv6 主干網(wǎng)下純 IPv4 網(wǎng)接入，實現(xiàn) IPv4 網(wǎng)絡(luò)的資源共享以及互相連通。 校園網(wǎng)的 IPv6 過渡方案 20 圖 45 網(wǎng)絡(luò)層復(fù)用 2. 隧道接入 目前許多高校主要是通過隧道技術(shù)實現(xiàn)與 Cer2 網(wǎng)的相連，我校也可以通過這種技術(shù)連接到 Cer2 網(wǎng)。簡單說它是 dynamips 的圖形前端，比直接使用 dynamips 軟件更容易并且更具有可操作性。由于我使用的是 Cisco3725，需要將該設(shè)備的 IOS 預(yù)先加入到仿真器中。校園網(wǎng)過渡技術(shù)的仿真與實現(xiàn) 25 圖 56 PC1 本地端口配置截圖 其中， PC1 的 IPv6 地址為： 2020:da8::1。這就要求在網(wǎng)絡(luò)邊緣路由器的接口同時配置 IPv4 地址 和 IPv6 地址以及與之相關(guān)的路由協(xié)議，那么這個接口將被認為是雙協(xié)議棧接口。 校園網(wǎng)過渡技術(shù)的仿真與實現(xiàn) 24 圖 54 IPv6 局域網(wǎng)連通拓撲圖 [主機配置 ]： 1. 在 PC1 上做以下操作： 在 PC1 主機的 DOS 對話框中手動裝載 IPv6，使用命令“ ipv6 install”開啟 Windows 操作系統(tǒng)上的 IPv6 功能，如圖 55 所示。該界面主要分為六大部分，包括 1 菜單欄、 2 命令欄、 3 虛擬設(shè)備區(qū)、 4 繪圖區(qū)、 5 控制臺區(qū)、 6 狀態(tài)顯示區(qū)。比較后我選擇 GNS3 為仿真平臺，模擬設(shè)備用 Cisco 的 IOS。這樣就利 用了 Cer 的現(xiàn)有設(shè)備和線路通過雙協(xié)議棧技術(shù)將校園網(wǎng)與 Cer2 網(wǎng)相連。 （ 1）當(dāng)純 IPv6 網(wǎng)絡(luò)與 Cer2 網(wǎng)互聯(lián)時，可通過 BGP+路由協(xié)議或者是靜態(tài)路由的方法實現(xiàn)全球 IPv6 網(wǎng)絡(luò)的訪問。雙協(xié)議棧技術(shù)主要是在一個節(jié)點上配置兩種協(xié)議，使得該節(jié)點既可以同 IPv4 主機通信也可以和 IPv6 主機通信。根據(jù)網(wǎng)絡(luò)發(fā)展的情況，不同時期要有不同的過渡策略，并在不中斷目前業(yè)務(wù)的情況下實現(xiàn)平滑的過渡。本地地址可以永久標(biāo)識移動節(jié)點，保證移動節(jié)點對上層網(wǎng)絡(luò)的移動性是透明的。 SKEME 協(xié)議是一種通用的密鑰交換協(xié)議，它提供了匿名、否認以及快速密鑰更新的功能。 第二，提供 IP 數(shù)據(jù)報的完整性服務(wù)，驗證數(shù)據(jù)報承載的數(shù)據(jù)。 （ 5）路由攻擊。 在協(xié)議框架、網(wǎng)絡(luò)類型、鄰居發(fā)現(xiàn)和建立機制、協(xié)議狀態(tài)和協(xié)議報文類型等方面與 OSPFv2 基本一致，但也有不同之處： OSPFv2 協(xié)議運行主要基于子網(wǎng)， OSPFv3 是基于鏈路運行，不受網(wǎng)段限制。接收到此消息的節(jié)點根據(jù)路由器提 供的消息，修改本地路由表項。 圖 26 目標(biāo)不可達消息結(jié)構(gòu) 圖 27 數(shù)據(jù)報文超長消息結(jié)構(gòu) 圖 28 超時消息結(jié)構(gòu) IPv6 協(xié)議 9 圖 29 參數(shù)問題消息結(jié)構(gòu) 信息消息 ICMPv6 的信息消息有很 多種，這里主要介紹回送請求消息和回送應(yīng)答消息。最大的報文生存時間： IPv6 報文中沒有“生存時間”字段，因此 IPv6 的網(wǎng)絡(luò)層不再記錄報文存在于網(wǎng)上的時間。 IPv6 擴展報頭 IPv6 數(shù)據(jù)包中包含著零個或多個長度不同的擴展報頭。但同時也增大了服務(wù)器的流量，使得服務(wù)器超負荷工作，并浪費了網(wǎng)絡(luò)帶寬。IPv6 協(xié)議 4 2 IPv6 協(xié)議 IPv6 地址 IPv6 采用的是 128 位編碼地址，理論地址共有 2128 個，遠遠大于 IPv4 的232 個理論地址，它的地址表示不同于 IPv4 的“ .”結(jié)構(gòu)，而是采用“：”來表示。 主要內(nèi)容及章節(jié)安排 論文主要以校園網(wǎng)由 IPv4 網(wǎng)絡(luò)向 IPv6 網(wǎng)絡(luò)過渡為研究背景，針對過渡階段出現(xiàn)的問題，在研究了 IPv6 協(xié)議、過渡原因、過渡技術(shù)以及在本校醫(yī)學(xué)部實際需要的基礎(chǔ)上，利用 Windows XP 系統(tǒng)和 GNS3 模擬器構(gòu)建了仿真平臺，設(shè)計并仿真實現(xiàn)了醫(yī)學(xué)部 IPv6 網(wǎng)絡(luò)過渡方案。該項目主要支持 IPv6 核心技術(shù)的研究、網(wǎng)絡(luò)建設(shè)及技術(shù)應(yīng)用示范和推廣。 最后，在該方案 的基礎(chǔ)上，通過在 Windows XP 系統(tǒng)上運行 GNS3 仿真軟件建立的仿真平臺，自行設(shè)計并實現(xiàn)了一系列仿真實驗：靜態(tài) NATPT 仿真實驗、動態(tài) NATPT 仿真實驗，實現(xiàn)了校園網(wǎng)中 IPv4 主機訪問 IPv6 網(wǎng)絡(luò)或者是 IPv6 主機訪問 IPv4 網(wǎng)絡(luò)的情況。 本文首先介紹了國內(nèi)外研究 IPv6 的現(xiàn)狀，介紹了 IPv6 協(xié)議的新特點，網(wǎng)絡(luò)地址及數(shù)據(jù)包與 IPv4 相比的優(yōu)勢，安全性與移動性的加強，鄰居發(fā)現(xiàn)協(xié)議及路由協(xié)議的實現(xiàn)等。而新的互聯(lián)網(wǎng)協(xié)議 IPv6 則采用 128 位的編碼地址，可以提供 2128個近乎無限的 ip 地址，移動更方便，安全性更強 [3]，是最理想的解決 IP 地址缺乏的方式。如設(shè)計了基于 IPv6 的千兆轉(zhuǎn)換處理器，并且建立了包括所有 IPv6 網(wǎng)絡(luò)和移動 IPv6 的當(dāng)?shù)?IPv6 主干網(wǎng)應(yīng)用程序 [9]。 第 5 章 校園網(wǎng)過渡技術(shù)的仿真與實現(xiàn)。取消了 IPv4 中的廣播地址，用組播地址來代替。 圖 21 組播網(wǎng)絡(luò)模型 IPv6 數(shù)據(jù)包 IPv6 協(xié)議 6 IPv6 基本報頭 圖 22 IPv6 數(shù)據(jù)包結(jié)構(gòu) IPv6 的數(shù)據(jù)包由一個 IPv6 基本報頭、多個 IPv6 擴展報頭及一個上層協(xié)議數(shù)據(jù)單元構(gòu)成。 上層協(xié)議數(shù)據(jù)單元 上層協(xié)議數(shù)據(jù)單元由上層協(xié)議報頭及其有效載荷構(gòu)成。常見的消息有：目標(biāo)不可達、超時、數(shù)據(jù)報文超長以及參數(shù)IPv6 協(xié)議 8 問題。當(dāng)一節(jié)點想得到同一鏈路上的另一節(jié)點的鏈路層地址時，需要進行相關(guān)的地址解析。根據(jù)所使算法的不同，又可分為距離矢量協(xié)議和鏈路狀態(tài)協(xié)議。網(wǎng)絡(luò)中所謂的安全問題，主要是指各種網(wǎng)絡(luò)的攻擊，常見的攻擊主要有以下幾種。 IPsec 由三部分組成：認證頭（ AH）、封裝安全有效載荷 （ ESP）及 Inter密鑰交換（ IKE）。主要用于通過公共網(wǎng)絡(luò)進行密鑰交換的情況。也就是說，在改變網(wǎng)絡(luò)的連接點時，運行在該節(jié)點的應(yīng)用程序不需要修改或者是配置仍可以使用。 （ 2）在過渡時期要保證 IPv4 主機和 IPv6 主機可以互通，彼此間可以互操作，而兩個網(wǎng)絡(luò)間要相互滲透并可以長期共存。在這一階段中，大量的業(yè)務(wù)都在 IPv6上運行， IPv6 網(wǎng)成了骨干網(wǎng)， IPv4 只在很少部分應(yīng)用，成了孤島。 校園網(wǎng)接入 Cer2 網(wǎng)的策略 CNGI 其核心網(wǎng) Cer2 是采用純 IPv6 的骨干網(wǎng)，連接著全國 25 個核心節(jié)點，并為國內(nèi)上百所高校及科研單位提供高速 IPv6 的接入，并通過下一代互聯(lián)網(wǎng)交換中心連接到國內(nèi)外下一代互聯(lián)網(wǎng)。物理層復(fù)用如圖 43 所示。 目前各網(wǎng)絡(luò)產(chǎn)品公司如 Cisco、華為、中興等推出的路由器、交換機等主要的組網(wǎng)設(shè)備都可以支持 IPv6。 IOS： 。主要通過對網(wǎng)絡(luò)中 IPv6 主機間的聯(lián)通測試，實現(xiàn)網(wǎng)絡(luò)最基本的功能。在通信時，根據(jù) DNS 的返回記錄，判斷節(jié)點的協(xié)議類型，再用地址選擇規(guī)則 [33]使 IPv4/IPv6 節(jié)點與相應(yīng)節(jié)點通信 [3436]。 校園網(wǎng)過渡技術(shù)的仿真與實現(xiàn) 26 圖 58 PC1 上對 PC2 連通性測試 [實驗結(jié)果 ]測試通過，本地 IPv6 能正常通信，發(fā)送 4 個數(shù)據(jù)包，接收到了 4 個數(shù)據(jù)包，說明 IPv6 地址加載成功，并且兩個主機可以相互通信。打開仿真軟件，從模擬設(shè)備類型中將所要模擬的路由器設(shè)備拖到工作區(qū)中， 右鍵點擊工作區(qū)的路由器，將路由器激活，再選擇“ IdlePC”選項，點擊“ Idle PC”選項后，出現(xiàn) Idle PC 的值，如圖 53 所示，將帶星號的那個 idlepc 值復(fù)制到前面的 IDLE PC 選項中，需要重復(fù)多次 idlepc 值選擇，選擇 CPU 利用率最 低的那個 idlepc 值。 Pemu： PIX 防火墻設(shè)備模擬器。但是， Linux 操作系統(tǒng)很少裝在普通的 PC 機中，它們大多使用在機房的服務(wù)器中，并且要求使用者有一定的專業(yè)知識。但一般情況下，接入單位不會用單個 光纖只實現(xiàn)一個功能，這樣會造成資源的浪費。目前許多高