基于IPV6的企業(yè)網(wǎng)絡(luò)規(guī)劃與設(shè)計(jì)1.前言IPv4協(xié)議是目前廣泛部署的因特網(wǎng)協(xié)議。在因特網(wǎng)發(fā)展初期，IPv4以其協(xié)議簡單、易于實(shí)現(xiàn)、互操作性好的優(yōu)勢而得到快速發(fā)展。但隨著因特網(wǎng)的迅猛發(fā)展，IPv4設(shè)計(jì)的不足也日益明顯，IPv6的出現(xiàn)，解決了IPv4的一些弊端。相比IPv4，IPv6具有如下優(yōu)勢：表1-1IPv6、IPv4對比表問題IPv4的缺陷IPv6的優(yōu)勢地址空間IPv4地址采用32比特標(biāo)識，理論上能夠提供的地址數(shù)量是43億。針對IPv4的地址短缺問題，比較有代表性的是無類別域間路由CIDR（ClasslessInter-DomainRouting）和網(wǎng)絡(luò)地址轉(zhuǎn)換NAT（NetworkAddressTranslator）。但是CIDR和NAT都有各自的弊端和不能解決的問題，由此推動了IPv6的發(fā)展。IPv6地址采用128比特標(biāo)識。128位的地址結(jié)構(gòu)使IPv6理論上可以擁有（43億×43億×43億×43億）個(gè)地址。近乎無限的地址空間是IPv6的最大優(yōu)勢。報(bào)文格式IPv4報(bào)頭包含可選字段Options，內(nèi)容涉及Security、Timestamp、Recordroute等，這些Options可以將IPv4報(bào)頭長度從20字節(jié)擴(kuò)充到60字節(jié)。IPv6和IPv4相比，去除了IHL、Identifier、Flag、FragmentOffset、HeaderChecksum、Option、Padding域，只增加了流標(biāo)簽域，因此IPv6報(bào)文頭的處理較IPv4更為簡化，提高了處理效率。路由聚合由于IPv4發(fā)展初期的分配規(guī)劃問題，造成許多IPv4地址分配不連續(xù)，不能有效聚合路由。日益龐大的路由表耗用大量內(nèi)存，對設(shè)備成本和轉(zhuǎn)發(fā)效率產(chǎn)生影響，這一問題促使設(shè)備制造商不斷升級其產(chǎn)品，以提高路由尋址和轉(zhuǎn)發(fā)性能。巨大的地址空間使得IPv6可以方便的進(jìn)行層次化網(wǎng)絡(luò)部署。層次化的網(wǎng)絡(luò)結(jié)構(gòu)可以方便的進(jìn)行路由聚合，提高了路由轉(zhuǎn)發(fā)效率。對QoS（QualityofService）的支持隨著網(wǎng)絡(luò)會議、網(wǎng)絡(luò)電話、網(wǎng)絡(luò)電視迅速普及與使用，客戶要求有更好的QoS來保障這些音視頻實(shí)時(shí)轉(zhuǎn)發(fā)。IPv4并沒有專門的手段對QoS進(jìn)行支持。IPv6新增了流標(biāo)記域，提供QoS保證。2.需求分析2.1功能需求（1）網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)等）應(yīng)選用主流廠商的品牌，一方面保證企業(yè)網(wǎng)的穩(wěn)定性，不易出現(xiàn)硬件問題；另外一方面能夠支持企業(yè)網(wǎng)所需要用到的協(xié)議（如IPv6協(xié)議、NAT協(xié)議等）。（2）IP地址通過設(shè)備能夠進(jìn)行自動地分配，不需要手工進(jìn)行配置，方便企業(yè)網(wǎng)用戶的使用網(wǎng)絡(luò)資源。（3）部署相應(yīng)安全策略，保證企業(yè)內(nèi)涉密區(qū)域和部門的數(shù)據(jù)安全，不允許其他區(qū)域的主機(jī)在沒有得到授權(quán)下非法地訪問涉密的資源。（4）在網(wǎng)絡(luò)設(shè)備出現(xiàn)單點(diǎn)故障的時(shí)候，能夠通過冗余和容錯(cuò)機(jī)制（如VRRP），不影響企業(yè)員工正常使用。（5）企業(yè)網(wǎng)總體設(shè)計(jì)能夠職工日常的工作、開發(fā)和辦公需求

3.規(guī)劃與設(shè)計(jì)3.1VLAN和地址劃分表3-1是企業(yè)網(wǎng)地址大致的分配。表3-1企業(yè)網(wǎng)VLAN和地址劃分部門VlanIP規(guī)劃網(wǎng)關(guān)行政102001::/162001::1/16財(cái)務(wù)202002::/162002::1/16開發(fā)302003::/162003::1/16后勤402004::/162004::1/16502011::/162011::1/16602022::/162022::1/16702021::/162021::1/16802012::/162012::1/16服務(wù)器1002024::/162024::1/163.2企業(yè)網(wǎng)拓?fù)鋱D圖3-1企業(yè)網(wǎng)簡化拓?fù)鋱D結(jié)合企業(yè)網(wǎng)應(yīng)用需求及其結(jié)構(gòu)特點(diǎn)，畫出企業(yè)網(wǎng)簡化的拓?fù)鋱D（圖3-1）。圖整篇統(tǒng)一運(yùn)用IPV6地址，從圖中可直觀看出，接入層、匯聚層、核心層的網(wǎng)絡(luò)分層結(jié)構(gòu)，使用冗余鏈路保證數(shù)據(jù)傳輸?shù)目煽啃院头€(wěn)定性。最終通過出口路由器接入外網(wǎng)，實(shí)現(xiàn)對Internet的訪問。4.主要相關(guān)技術(shù)4.1VLAN協(xié)議VLAN（VirtualLocalAreaNetwork）是虛擬局域網(wǎng)的英語簡稱。作用是隔離大量終端設(shè)備產(chǎn)生的廣播風(fēng)暴、提高內(nèi)部網(wǎng)絡(luò)的穩(wěn)定性和安全性。由于學(xué)校有不同用途的建筑物以及多個(gè)職能部門，通過VLAN的劃分，可對其進(jìn)行有效的網(wǎng)絡(luò)管理，減輕維護(hù)企業(yè)網(wǎng)所帶來的工作量。圖4-1sw1的VLAN分配圖4-2sw2的VLAN分配4.2OSPFv3協(xié)議開放最短路徑優(yōu)先（OSPF）是一個(gè)基于鏈路狀態(tài)的路由協(xié)議。OSPFv2協(xié)議使用在IPv4網(wǎng)絡(luò)中，而OSPFv3協(xié)議則使用在IPv6網(wǎng)絡(luò)中。OSPFv3包含IPv6接口的前綴、網(wǎng)絡(luò)掩碼、網(wǎng)絡(luò)連接的類型的接口信息傳播在各種類型的鏈路狀態(tài)通告（LSA）中。OSPF廣泛用于企業(yè)網(wǎng)、園區(qū)網(wǎng)、校園網(wǎng)等網(wǎng)絡(luò)中。4.2.1通過OSPFv3協(xié)議實(shí)現(xiàn)三層設(shè)備的互聯(lián)要實(shí)現(xiàn)企業(yè)網(wǎng)用戶對Internet的訪問，三層設(shè)備必須有去往Internet的路由，就必須配置路由協(xié)議實(shí)現(xiàn)之間互聯(lián)，這是關(guān)鍵的一步。現(xiàn)使用動態(tài)路由協(xié)議OSPFv3，保證三層設(shè)備之間能夠正常的轉(zhuǎn)發(fā)不同網(wǎng)段的數(shù)據(jù)包，實(shí)現(xiàn)相互之間的通信[10]。圖4-3在三層設(shè)備上配置OSPFv3首先分別在三層設(shè)備上配置OSPF協(xié)議，宣告直連網(wǎng)段，如圖5.5所示。圖4-4確定OSPF鄰居關(guān)系建立圖4-5在路由器上看到OSPF鄰居建立4.3EUI-64EUI-64是IEEE制定出來的64位擴(kuò)展唯一標(biāo)識符。EUI-64通過對48位MAC地址拓展構(gòu)成。在MAC地址的中間加入二進(jìn)制數(shù)“1111111111111110”（即FFFE）。再對形成的EUI-64開頭修改，把從左數(shù)起的第7位二進(jìn)制數(shù)進(jìn)行反轉(zhuǎn)。（從0反轉(zhuǎn)成1，從1反轉(zhuǎn)成0），得到最終的EUI-64。通過“IPv6前綴+EUI-64”的方式來構(gòu)建一個(gè)新的IPv6地址。接口標(biāo)識可通過三種方法生成：手工配置、系統(tǒng)通過軟件自動生成或IEEEEUI-64規(guī)范生成。其中，EUI-64規(guī)范自動生成最為常用。但因模擬器問題，統(tǒng)一采用人工分配配置。4.4VRRP協(xié)議VRRP是虛擬路由冗余協(xié)議（VirtualRouterRedundancyProtocol），是基于IP層的容錯(cuò)協(xié)議。它可以把一個(gè)虛擬路由器的網(wǎng)關(guān)通過動態(tài)的方式分配到局域網(wǎng)上的已運(yùn)行VRRP路由器中的一臺。控制虛擬路由器IP地址的已運(yùn)行VRRP協(xié)議的路由器稱為主路由器，它負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包到虛擬IP地址。一旦企業(yè)網(wǎng)內(nèi)VRRP主路由器發(fā)生故障等導(dǎo)致無法訪問時(shí)觸發(fā)故障轉(zhuǎn)移機(jī)制，VRRP將啟用備份路由器，及時(shí)把數(shù)據(jù)包發(fā)送另一臺備份路由器上，使得一個(gè)企業(yè)網(wǎng)內(nèi)的網(wǎng)絡(luò)不會中斷，用戶依然可以正常使用企業(yè)網(wǎng)，確保了通信的可靠性和連續(xù)性。圖4-6vlan10vrrp6配置，以此類推4.5鏈路聚合技術(shù)隨著企業(yè)網(wǎng)的規(guī)模不斷地?cái)U(kuò)大，用戶對主干鏈路的帶寬和可依賴性提出了更高的要求。過去通常使用更高速率的接口和線纜或者使用高速率的板卡的方式來增加帶寬。不過這樣會帶來成本過高的問題，同時(shí)沒有冗余備份機(jī)制。現(xiàn)在的網(wǎng)絡(luò)設(shè)計(jì)多數(shù)采用鏈路聚合技術(shù)，可把多個(gè)物理接口聚合成一個(gè)邏輯上的接口。這樣不僅能提高網(wǎng)絡(luò)的帶寬，同時(shí)也能增加備份鏈路實(shí)現(xiàn)冗余備份，提高鏈路的可靠性。在相同鏈路聚合的組內(nèi)實(shí)現(xiàn)負(fù)載均衡，各成員在運(yùn)行流量鏈路上避免了主干鏈路形成瓶頸擁塞，造成網(wǎng)絡(luò)質(zhì)量下降等問題。圖4-7交換機(jī)鏈路聚合和優(yōu)先級配置4.6ACLACL是訪問控制列表的簡稱。通過設(shè)置ACL的相關(guān)策略，能夠?qū)ζ髽I(yè)網(wǎng)出入的數(shù)據(jù)包流量進(jìn)行有效的控制，對存在安全漏洞的地址和端口號進(jìn)行有效的封堵，從而保障企業(yè)網(wǎng)內(nèi)部整體的安全。同時(shí)ACL結(jié)合NAT技術(shù)使用，用于動態(tài)NAT轉(zhuǎn)換，把一個(gè)ACL和NAT中的地址池關(guān)聯(lián)起來，實(shí)現(xiàn)公網(wǎng)地址和私網(wǎng)地址在出口設(shè)備上進(jìn)行相應(yīng)的轉(zhuǎn)換。4.6.1設(shè)置ACL禁止外網(wǎng)和子公司訪問總公司財(cái)務(wù)部圖4-8財(cái)務(wù)部ACL配置4.7MSTP協(xié)議如果企業(yè)交換機(jī)使用冗余結(jié)構(gòu)保障鏈路穩(wěn)定性，那么就一定會出現(xiàn)環(huán)路的情況，即引起廣播風(fēng)暴、多幀拷貝以及MAC地址表不穩(wěn)定的問題，這樣使得企業(yè)網(wǎng)無法正常的使用。這時(shí)候就需要使用MSTP（多生成樹協(xié)議），解決上述這些問題，多生成樹協(xié)議使得具有冗余結(jié)構(gòu)的企業(yè)網(wǎng)能夠正常穩(wěn)定地運(yùn)行，同時(shí)能夠?qū)崿F(xiàn)流量的負(fù)載均衡。圖4-9MSTP端口配置圖4-10MSTP交換機(jī)配置4.8BGP協(xié)議邊界網(wǎng)關(guān)協(xié)議BGP（BorderGatewayProtocol）是一種實(shí)現(xiàn)自治系統(tǒng)AS（AutonomousSystem）之間的路由可達(dá)，并選擇最佳路由的距離矢量路由協(xié)議BGP，MP-BGP在IPv6單播網(wǎng)絡(luò)上的應(yīng)用稱為BGP4+。圖4-11PE1BGP配置圖4.8.1PE2BGP配置5.企業(yè)網(wǎng)絡(luò)實(shí)現(xiàn)以VLAN10為例，配置并進(jìn)行驗(yàn)證。首先在PC1的IPV6上配置靜態(tài)地址圖5-1主機(jī)PC配置在加入到VLAN10的一臺PC機(jī)上測試，在PC1的基礎(chǔ)配置的“IPv6配置”和其他VLAN的PC機(jī)進(jìn)行互ping，成功地連通了圖5-2主機(jī)配置圖5-3，ping通效果附錄：<SW1>sysnameSW1ipv6vlanbatch102030405070stpinstance0priority0stpinstance1rootprimarystpinstance2rootsecondarystppathcost-standardlegacylacppriority100stpregion-configurationregion-nameipv6instance1vlan1020instance2vlan3040activeregion-configurationospfv31router-id3.3.3.3interfaceVlanif1interfaceVlanif10ipv6enableipv6address2001::1/16ospfv31area0.0.0.0interfaceVlanif20ipv6enableipv6address2002::1/16ospfv31area0.0.0.0interfaceVlanif30ipv6enableipv6address2003::1/16ospfv31area0.0.0.0interfaceVlanif40ipv6enableipv6address2004::1/16ospfv31area0.0.0.0interfaceVlanif50ipv6enableipv6address2011::2/16ospfv31area0.0.0.0interfaceVlanif70ipv6enableipv6address2021::2/16ospfv31area0.0.0.0interfaceMEth0/0/1interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionmodelacp-staticmaxactive-linknumber2interfaceGigabitEthernet0/0/1eth-trunk1lacppriority100interfaceGigabitEthernet0/0/2eth-trunk1lacppriority100interfaceGigabitEthernet0/0/3portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionportlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/6portlink-typeaccessportdefaultvlan50interfaceGigabitEthernet0/0/7portlink-typeaccessportdefaultvlan70interfaceGigabitEthernet0/0/8eth-trunk1interfaceLoopBack0ipaddress3.3.3.3255.255.255.255<SW2>sysnameSW2ipv6vlanbatch102030406080stpinstance0priority4096stpinstance1rootsecondarystpinstance2rootprimarystppathcost-standardlegacystpregion-configurationregion-nameipv6instance1vlan1020instance2vlan3040activeregion-configurationospfv31router-id4.4.4.4interfaceVlanif1interfaceVlanif10ipv6enableipv6address2001::1/16ospfv31area0.0.0.0interfaceVlanif20ipv6enableipv6address2002::1/16ospfv31area0.0.0.0interfaceVlanif30ipv6enableipv6address2003::1/16ospfv31area0.0.0.0interfaceVlanif40ipv6enableipv6address2004::1/16ospfv31area0.0.0.0interfaceVlanif60ipv6enableipv6address2022::2/16ospfv31area0.0.0.0interfaceVlanif80ipv6enableipv6address2012::2/16ospfv31area0.0.0.0interfaceMEth0/0/1interfaceEth-Trunk1portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectionmodelacp-staticinterfaceGigabitEthernet0/0/1eth-trunk1interfaceGigabitEthernet0/0/2eth-trunk1interfaceGigabitEthernet0/0/3portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/4portlink-typetrunkporttrunkallow-passvlan2to4094stproot-protectioninterfaceGigabitEthernet0/0/6portlink-typeaccessportdefaultvlan80interfaceGigabitEthernet0/0/7portlink-typeaccessportdefaultvlan60interfaceGigabitEthernet0/0/8eth-trunk1interfaceLoopBack0ipaddress4.4.4.4255.255.255.255<R1>sysnameR1aclipv6number2000rule10permitsource2001::/16rule20permitsource2003::/16rule30permitsource2004::/16ipv6ospfv31router-id1.1.1.1import-routebgpinterfaceGigabitEthernet0/0/0ipv6enableipv6address2011::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/1ipv6enableipv6address2013::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/2ipv6enableipv6address2022::1/16ospfv31area0.0.0.0interfaceLoopBack0ipv6enableipaddress1.1.1.1255.255.255.255bgp200router-id1.1.1.1peer2013::2as-number100ipv4-familyunicastundosynchronizationipv6-familyunicastundosynchronizationfilter-policy2000exportnetwork2013::16import-routeospfv31peer2013::2enable<R2>sysnameR2ipv6ospfv31router-id2.2.2.2import-routebgpinterfaceGigabitEthernet0/0/0ipv6enableipv6address2012::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/1ipv6enableipv6address2021::1/16ospfv31area0.0.0.0interfaceGigabitEthernet0/0/2ipv6enableipv6address2014::1/16ospfv31area0.0.0.0interfaceGigabitEthernet4/0/0ipv6enableipv6address2024::1/16ospfv31area0.0.0.0interfaceLoopBack0ipv6enableipaddress2.2.2.2255.255.255.255bgp200peer2014::2as-number100ipv4-familyunicastundosynchronizationipv6-familyunicastundosynchronizationnetwork2014::16import-routeospfv31peer2014::2enable<PE1>sysnamePE1ipv6isis1is-levellevel-1network-entity10.0000.0000.0001.00ipv6enabletopologystandardinterfaceGigabitEthernet0/0/0ipv6enableipv6address2222::1/16isisipv6enable1interfaceGigabitEthernet0/0/1ipv6enableipv6address2013::2/16interfaceGigabitEthernet0/0/2ipv6enableipv6address2014::2/16bgp100router-id10.10.10.10peer2013::1as-number200peer2014::1as-number200peer2222::2as-number100ipv4-famil