IPv6全网解决方案
IPv6全网解决方案
应用背景
IPv4 协议作为目前大规模部署于互联网的主要因特网协议,在其经历了近二十年的实际运行和发展积累后,逐渐显现出了设计基础性缺陷以及明显局限性,已成为了当前 IP 技术发展面临的关键性障碍。
而 IPv6 作为下一代互联网的基础性协议凭借其显著的技术优势获得了普遍认可,为其未来发展提供了重要机遇：
创新地解决了地址资源短缺问题
提供了更为便捷的部署方法
增强了流量标签能力以实现 QoS（服务质量）控制
集成了安全性机制
优化了报头构造以提升处理效能
支持 IPv6 与 IPv4 网络间的平滑过渡以及相互访问
解决方案
采用 ISATAP 隧道模式作为升级的核心方案，在原有 IPv4 网络架构基础上无需进行任何改动即可完成核心组网优化
现有 IPv4 网络架构无需进行任何改动即可完成核心组网优化
现有 IPv4 网络架构无需进行任何改动即可完成核心组网优化
支持现有 IPv6 需求的交换机设备需进行更换或升级以满足新增业务需求
启用双层架构以确保现有 IPv6 网络部署能够快速达到预期效果
通过配置特定接口参数即可实现现有 IPv6/IPv4 终端设备直接接入到核心交换机
该方案的优势在于：升级策略仅需针对现有 IPv6 需求配备相关硬件设备；同时可有效保护原有投资
无需额外复杂配置即可完成相关设置以实现现有 IPv6 网络部署目标
确保现有 IPv6 网络部署能够快速达到预期效果
组网模式：
在原有核心层改造的基础上，逐步对汇聚的三层设备进行更换，将汇聚层的原有三层交换机更换为支持IPv4/IPv6的双栈设备。
汇聚交换机与核心交换机之间会存在IPv4网络，使用IPv6 over IPv4隧道方式实现IPv6的连接。
方案优势：
逐步实现对原有IPv4网络的改造，将部分汇聚与核心设备更换，为下一步实现整网IPv6网络部署奠定基础。
原有IPv4业务不产生任何变化，正常运行。双栈用户可以直接访问IPv4网络及IPv4业务。
2、新建IPv6网络方案
新建IPv6网络
组网模式：
新建核心层、汇聚层全双栈部署IPv6路由，实现全网IPv6。
业务区域采用二层到桌面，接入交换机采用百兆或千兆到桌面。汇聚层连接核心层IPv4/v6双栈路由功能。
方案优势：
接入层与汇聚层、汇聚层与核心层间采用双上联实现链路冗余，汇聚层、核心层设备采用双节点实现节点冗余。
新增IPv6用户可以正常访问IPv6网络及业务。双栈用户可以直接访问IPv4网络及业务。
3、IPv6网络安全规划：
IPv4协议向IPv6协议升级过渡的过程中，多种安全问题将暴露出来，构建可信任的下一代互联网，将是一项长期而艰巨的任务。在建设IPv6网络的时候，需要全面考虑网络的安全问题。IPv6网络安全问题划分为：设备级别、全网安全级别。
3.1设备级别的防护
随着IPv6在局域网中的部署，局域网的各种应用不断扩展，网络攻击的不断增多，越来越需要为IPv6交换机提供一种保护机制。对发往交换机CPU的数据流，进行流分类和优先级分级处理、CPU的带宽限速，以确保在任何情况下CPU都不会出现负载过高的状况，为用户提供一个稳定的网络环境。这种保护机制是CPU Protect Policy（CPP）。CPP作为IPv6交换机的一个功能模块，按照以下四个阶段处理数据：Classifying、Queuing、Scheduling和Shaping。
通过CPP保护策略，网络设备的安全能力有了更大的提升。在部署IPv6的局域网中，各种应用、攻击，都极大地考验着网络设备，在IPv6的校园中的部署中，应该采用具有先进的CPU Protect Policy（CPP）机制的IPv6转发平台。
3.2全局安全网络
IPv6技术在大规模应用，各种应用大规模开展，网络访问控制接入控制应运而生。网络访问控制解决方案旨在通过身份验证、主机健康性保障、网络安全性保障等多重角度，对内网用户进行有效的管理。实现内网用户身份的合法化，上网主机安全状况的健康化，网络通信的安全化以及用户网络访问行为的规范化。
部署IPv4/IPv6兼容的全网安全防御系统，通过软硬件的联动、计算机层面与网络层面的结合，从身份、主机、网络等多个角度对IPv4/IPv6的网络安全进行监控、检测、防御和处理，帮助用户共同构建身份合法、主机健康、网络安全、行为规范的全局安全网络。