2024IPv6技术白皮书-新华三集团

IPv6技术白皮书目录概述 1IPv6技术势 1充足的地址空间 1层次化的地址结构 1简化报文头 2灵活的扩展头 2IPv6扩展头类型 2IPv6扩展头的报文格式 3强大的邻居发现协议 4内置安全性 4基于IPv6协扩展 5IPv6全球单播地址配置方式 5无状态地址自动配置 5有状态地址自动配置（DHCPv6） 8IPv6DNS 12IPv6DNS简介 12天窗问题避免 12IPv6路由 14RIPng 14OSPFv3 16IPv6IS-IS 20IPv6BGP（即BGP4+） 21IPv4和IPv6路由协议异同点总结 22双栈策略路由 22IPv6组播 22IPv6组播简介 22IPv6组播地址 23IPv6组播MAC地址 26IPv6组播协议 27网络安全 28一次认证双栈放行 28SAVI&SAVA&SMA 30微分段 36VXLAN/EVPNVXLAN支持IPv6 39过技术 41双栈技术 41隧道技术 41AFT 42AFT简介 42AFT前缀转换方式 43AFT的优缺点 444.46PE 454.56vPE 45IPv6演进——IPv6+ 47IPv6+概述 475.2SRv6 47SRv6基本概念 47SRv6技术优势 47SRv6基本转发机制 48SRv6报文转发方式 495.2.5G-SRv6 49SRv6高可靠性 52SRv6VPN 52网络切片 55网络切片概述 55网络切片的价值 55网络切片的技术方案 55基于SliceID的网络切片实现原理 56iFIT 57iFIT概述 57技术优点 58应用场景 58网络框架 59工作机制 60BIER 625.5.1概述 62网络模型 63基本概念 64三层网络架构 65报文封装格式 65BIER控制平面 68BIER转发过程 69IPv6部署案 70IPv6升级改造方案 70新建IPv6网络 70部分设备支持双栈 71网络边界进行地址翻译 71升级改造方案对比 72园区网全面IPv6化部署方案 73金融网络IPv6改造方案 74电子政务外网IPv6+应用 78SRv6应用 78网络切片应用 79可视化应用 80概述IPv6（InternetProtocol66）IPng（IPNextGeneration。IPv6IPv4IPv4IPv6IPv65GIPv6本文在讲解P6P6P6（即P6并提供几种常见的IPv6IPv6IPv6技术优势充足的地址空间IPv6128（163.4×1038IPv6层次化的地址结构IPv6IPv6IPv6IPv61IPv6InternetNetworkInformationCenter）ISP图1IPv6地址结构网络前缀省标识市标识网络前缀省标识市标识业务标识主机域子网ID

接口ID简化报文头IPv4IPv6IPv6IPv6IPv6IPv4IPv640IPv4（不图2IPv4报文头和IPv6基本报文头格式比较0 3 7

15

310

11 15 23 31VerIHLToSTotallengthIdentificationFFragmentoffsetTTLProtocolHeaderchecksumSourceaddress(32bits)Destinationaddress(32bits)OptionsPaddingVerTrafficVerTrafficclassFlowlabelPayloadlengthNextheaderHoplimitSourceaddress(128bits)Destinationaddress(128bits)BasicIPv6header灵活的扩展头IPv6IPv4IPv6IPIPv4IPv6IPv6IPv6扩展头类型IPv61IPv6IPv6不表1IPv6扩展头扩展头名称类型值处理节点用途逐跳选项头（Hop-by-HopOptionsHeader）0报文转发路径上的所有节点用于巨型载荷告警、路由器告警、预留资源（RSVP）路由头（RoutingHeader）43目的节点及报文必须经过的中间节点用来指定报文必须经过的中间节点分段头（FragmentHeader）44目的节点当IPv6报文的长度超过报文经过路径的PMTU（PathMTU，路径MTU）时，源节点将通过分段头对该IPv6报文进行分片在IPv6中，仅源节点可以对报文进行分片，中扩展头名称类型值处理节点用途间节点不可以对报文进行分片PMTU是从源节点到目的节点的报文转发路径上最小的MTU（EncapsulatingSecurityPayloadHeader，ESPHeader）50目的节点用来提供数据加密、数据来源认证、数据完整性校验和抗重放功能（AuthenticationHeader）51目的节点用来提供数据来源认证、数据完整性校验和抗重放功能，它能保护报文免受篡改，但不能防止报文被窃听，适合用于传输非机密数据AH提供的认证服务要强于ESP目的选项头（DestinationOptionsHeader）60目的节点、路由头中指定的中间节点用来携带传递给目的节点、路由头中指定中间节点的信息。例如，移动IPv6中，目的选项头可以用于在移动节点和家乡代理之间交互注册信息IPv6扩展头的报文格式IPv60个、13IPv6Nextheader基本报文头中的Nextheader43IPv6Nextheader44最后一个扩展头的Nextheader字段用来标识Payload类型。例如，取值为6，表示Payload为TCP报文；取值为17，表示Payload为UDP报文。图3IPv6扩展头的报文格式0 3 11 15 23 31Sourceaddress(128bits)Sourceaddress(128bits)BasicIPv6headerExtensionheaderExtensionheaderPayloadNextheaderNextheaderDestinationaddress(128bits)HoplimitNextheaderPayloadlengthFlowlabelTrafficclassVer强大的邻居发现协议IPv6的邻居发现协议是通过一组ICMPv6（InternetControlMessageProtocolforIPv6，IPv6互联（ResolutionICMPv4ICMPv4IPv4ARPIPv6IPv4的免费ARP功能相似。IPv6IPv6ICMPv6IPv4ICMP内置安全性IPv4（如IPsec）IPv6IPv6ESPESPIPv6IPv6IPv6IPv6的协议扩展SSHSNMP等（VRRPM-LAG等（802.1XIPv6IPv4IPv6IPv6IPv6全球单播地址配置方式节点可以通过如下方式获取IPv6全球单播地址：IPv6IPv6单播地址。DHCPv6DHCPv6IPv6IPv62所示。表IPv6地址配置方式优缺点适用场景前缀长度要求手工配置优点：无需协议报文交互缺点：手工配置工作量，且无法动态调整链路本地地址或Loopback接口地址无要求，可自定义无状态地址自动配置优点：无需额外部署服务器，实现较为简单缺点：无法精确控制为节点分配的IPv6地址对终端访问行为无强（固定为64位有状态地址自动配置优点：可以精确控制分配给节点的IPv6地址，并记录地址分配信息缺点：需要在网络中部署DHCPv6服务器，实现较为复杂对终端访问行为有强管控需求。例如校园网、办公区等无要求，可自定义无状态地址自动配置和有状态地址自动配置可以配合使用。例如，通过无状态地址自动配置获取IPv6DNS。无状态地址自动配置无状态地址自动配置通过IPv6的邻居发现协议实现，其工作过程为：（FF02::1）RA（RouterAdvertisement）消IPv6（FF02::2）RS（RouterSolicitation）消息，RS（FF02::1）RA前缀的生命期包括如下两种：RAIDIPv6RARAIPv6IPv6NS（NeighborSolicitationNSIPv6NA（NeighborAdvertisement被请求节点（Solicited-Node）多播地址主要用于获取同一链路上邻居节点的链路层地址及实现重复地址检测。每一个单播或任播IPv6地址都有一个对应的被请求节点地址。其格式为：FF02:0:0:0:0:1:FFXX:XXXX其中，FF02:0:0:0:0:1:FF为104位固定格式；XX:XXXX为单播或任播IPv6地址的后24位。IEEEEUI-64ID节点自动根据本地信息生成借口ID，不同接口的IEEEEUI-64格式接口ID的生成方法不同：所有E802VN：EEU64D是（MAC）IPv6ID64MAC地48MAC24F1DACUniversal/Local(U/L)7）ID。6图4MAC地址到EUI-64格式接口ID的转换过程MAC地址： 0012-3400-ABCD00000000000100100011010000000000101010111100110100000000000100100000000000010010001101000000000010101011110011010000000000010010001101001111111111111110000000001010101111001101插入FFFE：00000010000100100011010011111111111111100000000010101011110011010000001000010010001101001111111111111110000000001010101111001101EUI-64地址： 0212:34FF:FE00:ABCDTunnelIEEEEUI-64ID32位为TunnelIPv4隧道的接口ID的高32位为0000:5EFE，其他隧道的接口ID的高32位为全0。Serial）：IEEEEUI-64IDIDIPv6地址IPv6IEEE802VLAN接口）IDMACID具有IDIDIDIPv6IEEE802RAIDMACIDRAIDMD5ID不断变化。MD5IDIDDAD冲RAIPv60RAIPv6前缀。节点上同时存在新旧两个前缀生成的两个IPv6IPv6IPv6IPv6IPv6IPv6有状态地址自动配置（DHCPv6）DHCPv6（DynamicHostConfigurationProtocolforIPv6，支持IPv6的动态主机配置协议）针对IPv6编址方案设计，用来为主机分配IPv6前缀、IPv6地址和其他网络配置参数。DHCPv6与其他IPv6地址分配方式（手工配置、无状态地址自动配置）相比，DHCPv6具有以下优点：DHCPv6DHCPv6DHCPv6IPv6DHCPv6IPv6IPv6DNSDHCPv6地址/DHCPv6服务器为客户端分配地址/前缀的过程分为两类：图5地址/前缀快速分配过程Solicit(containsaCommitoption)ReplySolicit(containsaCommitoption)Reply如图5所示，地址/前缀快速分配过程为：DHCPv6DHCPv6服务器发送的SolicitRapidCommitDHCPv6ReplyIPv6地址/DHCPv6IPv6/图6交互四个消息的分配过程SolicitAdvertiseRequestReplyDHCPv6SolicitAdvertiseRequestReply交互四个消息分配过程的简述如表3。表3交互四个消息的分配过程步骤发送的消息说明(1)SolicitDHCPv6客户端发送该消息，请求DHCPv6服务器为其分配IPv6地址/前缀和网络配置参数(2)Advertise如果Solicit消息中没有携带RapidCommit选项，或Solicit消息中携带RapidCommit选项，但服务器不支持快速分配过程，则DHCPv6服务器回复该消息，通知客户端可以为其分配的地址/前缀和网络配置参数(3)Request如果DHCPv6客户端接收到多个服务器回复的Advertise消息，则根据消息接收的先后顺序、服务器优先级等，选择其中一台服务器，并向该服务器发送Request消息，请求服务器确认为其分配地址/前缀和网络配置参数(4)ReplyDHCPv6服务器回复该消息，确认将地址/前缀和网络配置参数分配给客户端使用地址/DHCPv6IPv6地址//DHCPv6长地址图通过RenewT1(1)Renew(2)ReplyDHCPv6client DHCPv6T1(1)Renew(2)Reply如7T1（时，DHCPv6/DHCPv6Renew//DHCPv6ReplyDHCPv6/DHCPv6器回应续约失败的Reply图通过RebindDHCPv6client DHCPv6serverT1T1(1)Renew……T2(2)Rebind(3)Reply如8T1RenewDHCPv6DHCPv60.8DHCPv6/DHCPv6功的ReplyDHCPv6/DHCPv6服务器回应续约失败的ReplyDHCPv6DHCPv6Option17Option17（Vendor-specificRFCDHCPv6（TFTPDHCPv6DHCPv6服务。Option1717个子选项内容。Option18Option18ID（InterfaceID）DHCPv6DHCPv6Option18（DHCPv6Relay-forwadOption18选项DHCPv6Option18DHCPv6IPv69Option18图9Option18选项格式0 7 15 23 31OptioncodeOptionlengthPortindexVLANIDSecondVLANID(option)DUID(variable)各字段的解释如下：Optioncode：Option18。Optionlength：OptionPortindex：DHCPv6VLANVLAN信息。SecondVLANIDVLANSecondVLANIDDHCPv6报文中不含有SecondVLANOption18SecondVLANID内容。DUIDDUIDDUIDOption37Option37ID（RemoteID）DHCPv6DHCPv6请Option37（DHCPv6中继会在Relay-forwad）DHCPv6Option37IPv610Option37图10Option37选项格式0 7 15 23 31OptioncodeOptionlengthEnterprisenumberPortindexVLANIDSecondVLANID(option)DUID(variable)各字段的解释如下：Optioncode：Option37。Optionlength：OptionEnterprisenumberPortindex：DHCPv6VLANVLAN信息。SecondVLANIDVLANSecondVLANIDDHCPv6报文中不含有SecondVLANOption37SecondVLANID内容。DUIDDUIDDUIDOption79Option79（Clientlinklayeraddress）DHCPv6DHCPv6DHCPv6MACDHCPv6DHCPv6中继生成和请求报文对应的Relay-ForwardMACOption79DHCPv6DHCPv6Option79DHCPv6MACIPv6地址/IPv611Option79图11Option79选项格式0 7 15 23 31OptioncodeOptionlengthLink-layertype(16bits)Link-layeraddress(variable)各字段的解释如下：Optioncode：Option79。Optionlength：OptionLink-layertypeLink-layeraddressIPv6DNSIPv6DNS简介DNS（DomainNameSystemTCP/IPIPIP在IPv6网络中，DNS主要使用AAAA和PTR记录来实现域名与IPv6地址的转换。AAAAIPv6PTRIPv6天窗问题避免在IPv4网络向IPv6网络迁移的过程中，IPv4网络和IPv6网络在一段时期内将共存。IPv4和IPv6共存网络中，用户访问IPv6网页时，可能会出现天窗问题。P6（IPv6IPv4IPv6IPv6如12IPv6IPv4IPv6DNSAAAAIPv4图12天窗问题产生的原因示意图双栈终端IPv6网络IPv4网站IPv4双栈终端IPv6网络IPv4网站IPv4网络DNSserverIPv6IPv6IPv4IPv4IPv6DNSIPv6AAAAIPv4DNSIPv6A如果双栈终端接收到域名服务器回复的AAAAAAAAIPv6地址IPv6AAAAAAAAIPv6AIPv4IPv4IPv6IPv6IPv6IPv6IPv4DNS服IPv6DNSDNSIPv4AAAA记LBLB如13LBIPv6IPv4DNSDNSDNSLBLBIPv6IPv6Host。IPv6Host向LocalDNSserver发送查询域名的LocalDNSserverIPv6HostDNSLBdevice。IPv6HostLBdevice发送查询域名DNS文。LBdeviceDNSIPv6HostDNSsever发送查询DNSIPv4地址。LBdeviceIPv4LBdeviceIPv6Host。浏览器解析获取到的外链资源即可将正常的网页展示给用户。图13外链代理流程图LocalDNSserver主站出口LocalDNSserver主站出口DNSserverWebseverIPv4外链网站④⑤②InternetVSIP10::10③IPv6Host⑥LBdeviceWebseverIPv6主网站 流量流量:8080IPv6路由IPv4RIP、OSPF、IS-ISBGP和扩展才能应用于IPv6RIPngIPv6IS-ISIPv6BGP。IPv4IPv6IPv6IPv6RIPngRIP有两个版本：RIP-1和RIP-2。RP1CasfloungPoolRP1A、BCRIP-1RP2lasessRoungPoocl，与RP1报文中携带掩码信息，支持路由聚合和CIDR。RTE（RouteEntries）MD5RIPngRIP-2IPv6RIPngRIP-2动。RIP-2报文中路由信息的目的地址和下一跳地址只有32比特，而RIPng均为128比特。RIP-2对报文的长度有限制，规定每个报文最多只能携带25个RTE，而RIPng对报文长度、RTE的数目都不作规定，报文的长度与发送接口设置的IPv6MTU有关。RIP-2报文结构如图14所示，由头部（Header）和多个RTE组成。图14RIP-2报文CommandVersionUnusedAFICommandVersionUnusedAFIRoutetagIPaddressSubnetmaskNexthopMetricHeaderRouteEntriesRIPng15RIP-2RIPngHeaderRTE组成。RIP-2RIPngRTEIPv6IPv6地址。IPv6IPv6前缀RIPngIPv6图15RIPng报文CommandVersionUnusedNexthopRTECommandVersionUnusedNexthopRTEIPv6prefixRTEIPv6prefixRTEIPv6prefixRTEIPv6prefixRTEHeaderRouteEntries下一跳RTE的格式如图16所示，其中，IPv6nexthopaddress表示下一跳的IPv6地址。图16RTE格式0 7 15 31IPv6nexthopaddress(16octets)MustbezeroMustbezero0xFFIPv6前缀RTE的格式如图17所示，各字段的解释如下：IPv6prefixIPv6RoutetagPrefixlenth：IPv6Metric图17IPv6前缀RTE格式0 7 15 31IPv6prefix(16octets)RoutetagPrefixlengthMetricRIP-2可以根据用户配置采用广播或组播方式来周期性地发送路由信息；RIPng使用组播方式周期性地发送路由信息。RIPng自身不提供认证功能，而是通过使用IPv6提供的安全机制来保证自身报文的合法性。因此，RIP-2RIPngRIP-2不仅能在IP网络中运行，也能在IPX网络中运行；RIPng只能在IPv6网络中运行。OSPFv3OSPFv3OSPFv2IPv6OSPFv3OSPFv2做OSPFv3OSPFv2OSPFv3在协议设计思路和工作机制与OSPFv2基本一致：Hello、DD、LSR、LSU、LSAckLSALSDBLSANBMAP2MP和P2PSFPF接口向外发送HloHelloOSPF成功交换DDLSALSDBDR选举机制相同：在NBMADRBDR。OSPFv3OSPFv2P6P6SF3对PF2OSPFv3OSPFv3与OSPFv2不同主要表现在：OSPFv2是基于网络运行的，两个路由器要形成邻居关系必须在同一个网段。OSPFv3OSPFv3OSPFv3由于链路本地地址只在本链路上有意义且只能在本链路上泛洪，因此链路本地地址只能出现在LinkLSA中。如图18所示，OSPFv3支持在同一链路上运行多个实例，实现链路复用并节约成本。图18链路支持多实例复用示意图DeviceA DeviceBInterfaceAInterfaceAInterfaceBInterfaceCInterfaceDDeviceC DeviceD Instance1 Instance2DeviceADeviceB、DeviceC和DeviceD在DeviceA的InterfaceA、DeviceB的InterfaceB、DeviceC的InterfaceC1；在DeviceA的InterfaceA、DeviceB的InterfaceB、DeviceD的InterfaceD2，DeviceADeviceB和DeviceCDeviceADeviceBDeviceD这是通过在OSPFv3报文头中添加InstanceID字段来实现的。如果接口配置的InstanceID与接收的OSPFv3报文的InstanceID不匹配，则丢弃该报文，从而无法建立邻居关系。通过RouterIDOSPFv2RouterIDNBMAIPRouterID来唯一标识邻居。OSPFv3协议除了自身可以提供认证功能外，还可以通过使用IPv6提供的安全机制来保证自身报文的合法性。StubOSPFv3LSALSAStubStubLSALSAULSA才可以向StubOSPFv3IPv616OSPFv2OSPFv3OSPFv3LSU和LSAckOSPFv2相比没有什么变化，但OSPFv3HelloOSPFv22。OSPFv2OSPFv316InstanceIDInstanceIDHelloOSPFv2HelloOSPFv3HelloInterfaceIDHelloID。Option在OSPFv2中，Option字段出现在每一个Hello报文、DD报文以及每一个LSA中。OSPFv3OptionHelloDDRouterLSANetworkLSA、InterAreaRouterLSA以及LinkLSAOSPFv2的Option字段如图19所示。图19OSPFv2Option字段格式0 8DNODCEAN/PMCEMTOSPFv3的Option字段如图20所示。图20OSPFv3Option字段格式0 18 24DCRNMCEV从上图可以看出，与OSPFv2OSPFv3的Option字段增加了RVRR0以将R0。VV0LSAOSPFv3支持七种类型的LSA。OSPFv3LSA与OSPFv2LSA的异同如表4所示。表4OSPFv3与OSPFv2LSA的异同点OSPFv2LSAOSPFv3LSA与OSPFv2LSA异同点说明RouterLSARouterLSA域的拓扑结构NetworkLSANetworkLSANetworkSummaryLSAInterAreaPrefixLSA作用类似，名称不同ASBRSummaryLSAInterAreaRouterLSAASExternalLSAASExternalLSA作用与名称完全相同无LinkLSA新增LSAIntraAreaPrefixLSA新增LSAOSPFv3新增了LinkLSA和IntraAreaPrefixLSA。RouterLSAOSPFv3LinkIPv6RouterLSA和NetworkLSALSAIntraAreaPrefixLSA来描述，该类LSA用来公告一个或多个IPv6地址前缀。LSAOSPFv3LSALSALSALSType字LSALSA。LA的泛洪范围仅仅覆盖一个单独的F3ouerSeokA、InterAreaPrefixLSA、InterAreaRouterLSAIntraAreaPrefixLSA都是区域范围泛洪LSA。LSAASExternalLSALSA。LSAOSPFv2LSALSALSType字段中增加了一个ULSA如果U1LSALSA中的LS如果U0LSALSAIPv6OSPFv3LSALSAOSPFv3IPv6IS-IS为了支持在P6P6P6SS采用NPNeokaerPooclIdentifierIPv6IS-ISIPv6IPv6IS-ISTLVLSP（LinkStateIPv6IS-ISIPv6可达性Reachability3（xP6SIPv6TLVIS-ISTLVTLV21所示。图21IPv6可达性TLV01234567890123456789012345678901Type=236LengthMetric....MetricUXSReservePrefixLengthPrefix...Sub-TLVLength(*)Sub-TLVs(*)...*:ifpresent主要字段的解释如下：236IPv6。MetricMetric0～4261412864IPv6Level-2Level-1路由器时，这个位被置为1，从而保证了该路由不会被回环。X1SVSubTVS0S1P6ReservePrefixLength：IPv6PrefixIPv6展用。IPv6232（0xE8）IPv4IPInterfaceAddressTLV32比特的IPv4128比特的IPv6IPv6接口地址TLVIS-IS中的IPv4接口地址TLV22图22IPv6接口地址TLV01234567890123456789012345678901Type=232LengthInterfaceAddress1(*)....InterfaceAddress1(*)....InterfaceAddress1(*)....InterfaceAddress1(*)..InterfaceAddress1(*)..InterfaceAddress2(*)..*:ifpresent主要字段的解释如下：232IPv6接口地址。InterfaceAddressIPv6IS-ISIPv6地址，HelloIPv6地址IPv6LSPIPv6IPv6IPv6IS-ISIS-ISHelloHelloIPv6IPv6IPv6IS-IS对HelloNLPIDIS-IS8IPv6IS-ISNLPID值为1420xEP6SSHlloIPv6。HelloIPv6接口地址AddressIPv6IS-IS功能IPv6IPv6BGP（BGP4+）IPv6BGP利用BGP的多协议扩展属性，来实现在IPv6网络中跨自治系统传播IPv6路由。BGP-4中与IPv4网络层协议相关的信息由Update消息携带，这些信息是：NLRI和NEXT_HOP属性等路径属性。IPv6IPv6BGP在NLRI和NEXT_HOPMP_REACH_NLRIMP_UNREACH_NLRIBGP-4的NLRI字段，以提供对IPv6地址前缀的BGP路由的支持。IPv6IPv6IPv6BGPMP_REACH_NLRINEXT_HOPP46P6BP提供了通过BPPX会话承载P6IPv4IPv6BGPIPv6IPv4BGPIPv4/IPv6IPv6/IPv4IPv4IPv6路由协议异同点总结IPv4和IPv6路由协议的主要异同点如所示。表5IPv4和IPv6路由协议的主要异同点协议类型相同点主要差异点RIP/RIPng路由计算思路、基本工作机制相同报文格式的差异（组播地址、UDP文格式）路由下一跳处理的差异RIPngIPv6OSPFv2/OSPFv3路由计算思路、基本工作机制相同OSPFv3LSAIPv6路由信息OSPFv3议，大大提高了可扩展性OSPFv3来扩展的适应性IS-IS/IPv6IS-IS协议架构相同IPv6IS-IS在Hello报文中新定义了支持IPv6的网NLPID（142）IPv6IS-IS新增IPv6接口地址和IPv6可达性TLVBGP-4/IPv6BGP协议架构相同IPv6BGPOpenIPv6能力协商IPv6BGPIPv6和Nexthop属性双栈策略路由ACL设置包括IPv4IPv6IPv4或IPv6IPv4IPv6在双协议栈节点使用双栈策略路由可以减少配置的复杂度，同时节省一定的驱动资源。IPv6组播IPv6组播简介P（IPIPv6IPv4IPv6IPv4IPv6的IPv6IPv4IPv6组播地址IPv6IPv61288164FEDC:BA98:7654:3210:FEDC:BA98:7654:3210。IPv6IPv60图23IPv6组播地址格式007111531GroupID(112bits)ScopeFlags0xFFTPR0如图23所示，IPv6组播地址中各字段的含义如下：0xFF8IPv6Flags：46所示。表6Flags字段各位的取值及含义位取值及含义0位保留位，必须取0R位0RPIPv61RPIPv6（P、T1）P位0IPv6组播地址1IPv6组播地址（T1）T位0IANAIPv6组播地址1IPv6Scope：4IPv67表7Scope字段的取值及其含义取值含义0、F保留（Reserved）1接口本地范围（Interface-LocalScope）2链路本地范围（Link-LocalScope）3子网本地范围（Subnet-LocalScope）4管理本地范围（Admin-LocalScope）5站点本地范围（Site-LocalScope）6、7、9～D未分配（Unassigned）8机构本地范围（Organization-LocalScope）E全球范围（GlobalScope）GroupScopeIPv6组播组，该标识可能是永久分配的或临时的，这由Flags字段的T位决定。IPv6根据RFC4291，目前已被预留的IPv6组播地址如表8所示。表IPv6名称地址说明保留组播地址FF0X::不能分配给任何组播组所有节点组播地址节点本地）链路本地）-所有路由器组播地址节点本地）链路本地）站点本地）-被请求节点组播地址FF02::1:FFXX:XXXX在被请求节点单播或任播IPv6地址的低24位前增加地址前缀FF02::1:FF00::/104而得，如4037::01:800:200E:8C6C 对 应 于FF02::1:FF0E:8C6C表8中的X代表0～F的任意一个十六进制数。IPv6RFC3306中规定了一种动态分配IPv6组播地址的方式——基于单播前缀的IPv6组播地址。这种IPv6组播地址中包含了其组播源网络的单播地址前缀，通过这种方式分配全局唯一的组播地址。图24IPv60 7 11 15 23 310xFFFlagsScopeReservedPlenNetworkprefix(64bits)GroupID(32bits)基于单播前缀的IPv6组播地址的格式如图24所示，其中各字段的含义如下：Flags：R0，P、T1Scope：如1237所示。Reserved：8。Plen：8（。Networkprefix：64Plen定。GroupID：32IPv6例如：单播前缀为3FFE:FFFF:1::/48的网络分配基于单播前缀的组播地址为FF330FEFF19（Xcpe内嵌RPIPv6RP（RendezvousPointIPv6PIMRP内嵌RPIPv6RP图25内嵌RP地址的IPv6组播地址格式0 7 11 15 19 23 310xFFFlagsScopeReservedRIIDPlenNetworkprefix(64bits)GroupID(32bits)如25RPIPv6IPv6Flags：R、PT1RPScope：如1237所示。Reserved：4。RIID：4RPID。Plen：8RP。Networkprefix：64RPPlenGroupID：32IPv6内嵌于IPv6组播地址中的RP地址的计算规则如下：IPv6NetworkprefixPlenRPIPv6RIIDRP4最后，将RP。IPv6FF7E:F40:2001:DB8:BEEF:FEED::1234RP的前缀为Neokpix字段的前Pe（x0=64bis4R0x，026图26RPMulticastaddresswithembeddedRPaddressResultingRPaddress

FF7E:0F40:2001:0DB8:BEEF:FEED:0000:12342001:0DB8:BEEF:FEED:0000:0000:0000:000F2001:DB8:BEEF:FEED::/64RP，则内嵌RP地址的IPv6组播地址为FF7X:Y40:2001:DB8:BEEF:FEED::/9632GroupRP2001:DB8:BEEF:FEED::Y/64。IPv6GroupIDRP地址前缀：譬如取Plen0x2032bitsRPIPv6FF7X:Y20:2001:DB8::/6464GroupIDRPX表示任意合法的Scope，Y代表1～F的任意一个十六进制数。IPv6SSMIPv6SSM（Source-SpecificMulticastIPv6组播PlenNetworkprefix。IPv6SSMFF3X::/32（X表示任意合法的Soe。IPv6MAC地址IPv6MAC0x3333323248播MAC地址。如图27所示，IPv6组播地址FF1E::F30E:101所对应的组播地址为33-33-F3-0E-01-01。图27IPv6组播地址的MAC地址映射举例128-bitIPv6addressFF1E00000000000000000000F30E0101… 32bits …mappeda0101F30Ea0101F30E333316-bitMACaddressprefixIPv6组播协议IPv6MLD（MulticastListenerDiscoveryProtocol、LDSnopnulicastLiseerisoeySnoopngP6P（PProtocolIndependentMulticast，IPv6）IPv6MBGP（IPv6MulticastBGP，IPv6组播BGP）LD（neetoupaagentPocoLDMLDv1源自IGMPv2，MLDv2源自IGMPv3。IGMPIP2MLDICMPv6（IP58）D30、D131、1和D2（14DPIPv6PIMPIMIPPIM模式：IPv6PIM-DM（IPv6ProtocolIndependentMulticast-DenseMode，IPv6）IPv6PIM-SM（IPv6ProtocolIndependentMulticast-SparseMode，IPv6）IPv6PIM-SSM（IPv6ProtocolIndependentMulticastSource-SpecificMulticast，IPv6协议）IPv6BIDIR-PIM（IPv6BidirectionalProtocolIndependentMulticast，IPv6IPv6PIM）IPv6PIM（PIMHelloJoin-PruneAssertBootstrapGraft、Graft-AckState-refresh报文IPv6PIM（包括RegisterRegister-Stop和C-RPAdvertisement）IPv6IPv6MSDPIPv6PIM方式：IPv6PIMIPv6PIM-SSM发起指定源组的加入。RPRPIPv6IPv6PIMRP地址，向其它域内的RPIPv6IPv6MBGPIPv4MBGPMLDSnoopingMLDSnooping与IGMPSnooping协议基本相同。IPv6PIMSnoopingIPv6PIMSnooping与PIMSnooping组播VLAN组播VLAN，对于IPv4组播和IPv6组播，处理原理相同。网络安全一次认证双栈放行概述IPv4IPv6IPv4IPv6IPoEWebPortalIPv4IPv6IPoEWebPortal（IPv4或IPv6）AAAserverPortalserverDHCPserverInternetAAAserverPortalserverDHCPserverInternet(IPv4&IPv6)双栈用户23协议栈访无需该技术为IPv6网络带来如下技术价值：AAA服务器和Portal压力。IPv4IPv6IPoEWeb在IPoEWeb双栈认证组网中，双栈用户上线的基本过程如下：IPv4）MAC（MAC根据用户两个协议栈上线方式的不同，IPoEWeb双栈认证支持如下三种典型应用场景：IPv4IPv6DHCPv4NDRSIPIPv4IPv6ARPNSNAIPIP和非固定IPIPv4IPv4IPv6IPv4IPv6IPv6DHCPv6IPv4+动IPv6PortalPortalPortalPortalIPv4PortalIPv6PortalIPv4IPv6Portal双栈用户上线的基本过程如下：（IPv4PortalPortalWebIPv4或IPv6PortalIPv4PortalIPv6PortalMACIPPortal用户（IPv6IPv4）MAC录在PortalMACIPv4IPv6PortalPortalSAVI&SAVA&SMA概述IPv6IPv6IPv6IPv6根据在网络中部署位置的不同，真实IPv6源地址验证功能分为如下三种类型：AddressImprovementIPv6AddressArchitecture网的边界设备上，在管理域内提供IPv6S（SaecineasdAnipoinS间，ASASAS图29SAVI&SAVA&SMA穿越自治系统穿越自治系统SMA自治系统间自治系统自治系统SAVA管理域内SAVI接入网络接入网络接入网内SAVIIPv6DHCPv6NDIPv6IPv6与SAVI配合使用的安全功能包括DHCPv6Snooping、NDSnooping和IPSourceGuard中IPv6静态绑定表项功能。图30SAVI原理图合法主机IP：100::1VLAN：10MAC：2-2-2

我的IPv6地址是100::1，我要访问网络合法主机信息与绑定表项匹配，允许通过IPMACIPMACVLAN接口100::12-2-210InterfaceA100::23-3-310InterfaceB

InterfaceInterfaceB

Gateway非法主机IP：100::2VLAN：10MAC：3-3-3

我的IPv6地址是100::1

非法主机信息与绑定表项不匹配，不允许通过，丢弃SAVAIPv6会为该接入网络中的所有的网络前缀生成IPv6源地址对应的IPv6IPv6以边界设备B为例，SAVA表项生成过程如图31所示，分为如下几个步骤：ABATagBATagBTagBASAVAB口绑定的SAVASAVA图31SAVA表项生成过程1路由表目的地址1路由表目的地址出接口边界设备AAA::/64 Interface1路由表目的地址 出接AA::/64 Interface1Tag100Interface1AA::1/64接入网络骨干网AA::/64BB::/64Interface1BB::1/64开启SAVA功能的接口Interface2路由表边界设备B目的地址路由表出接口1 目的地址BB::/64出接口Interface1AA::/64 Interface2Tag100同步远端路由Tag1003SAVA表项用户前缀 接口4AA::/64 Interface1BB::/64 Interface12SMASMA（StateMachinebasedAnti-spoofingIPv6IPv6SMAControlServer，ASEdgeRouter，AS）32AD1101Level1ACS4AEReLevel0EgressLevel1AD1101Level1ACS4AEReLevel0EgressLevel1sub-alliance1AD1100ACS2AERdAD1201EdgeADAD1200Level2ACS5Level2EgressLevel2IngressLevel1ACS6AERcEgressLevel2AERbAD1200子信任联盟：彼此信任的一组AD（AddreesDomain）sub-alliance。SMAADAD（AddreesDomainIPADAD1200和AD12014Level0、Level1和Level2Level0Level2（AD1201。Level0Level1Level0Level2AASConlSee，ASC，用ACS交互信息，并向本地址域内的AERACSACSIPv6地AERAASEdeoueASCSP6AERACSIngressSMAEgressAER的Egress。ACS与ACSACSAERSSL（SecureSocketsLayer，安全套接字层）的连接。SMA通过在AER上检查报文的源IPv6地址和报文标签实现对伪造源IPv6地址攻击的防御。AER33检查接收报文的接口类型是否为Ingress。Ingress。若接口类型是Egress。若属于当前地址域，则继续按照IPv6IPv6若不属于本子联盟，则继续按照IPv6若属于本子联盟，则进入步骤。IPv6IPv6e。f。若不需要，删除报文标签后，继续按照IPv6IPv6低级别地址域内的AER图33AER接收报文时的处理过程AERAER接收到报文检查接收报文的接口类型是否为Ingress？是检查报文源地址前缀是否属于当前地址域？否否是检查报文目的IPv6地址是否属于本子联盟？ 否是检查报文目的IPv6地址是否属于本子联盟？否是检查报文目的IPv6地址域内更低级别地址域？否是检查报文的子联盟内标签是否校验成功？否是检查报文是否需要向本地址域内更低级别的地址域转发？否是删除报文标签后，继续按照IPv6路由表转发该报文丢弃该报文继续按照IPv6路由表转发该报文将报文标签替换为低级别地址域标签，继续按照将报文标签替换为低级别地址域标签，继续按照IPv6路由表转发该报文当AER收到源自本地址域的报文并发往其他地址域时，处理过程如图34所示。若属于，对报文添加标签后，继续按照IPv6。若是，则需要校验标签，进入步骤。IPv6IPv6收到源自本地址域的报文并发往其他地址域检查报文源地址前缀是否属于当前地址域？否收到源自本地址域的报文并发往其他地址域检查报文源地址前缀是否属于当前地址域？否是域发往高级别地址域？否是检查报文的子联盟内标签是否校验成功？否是替换为高级别地址域标签后，继续按照IPv6路由表转发该报文继续按照IPv6路由表转发该报文微分段（进ACLVLANIP子网只能实现不同VLANVLANIP、IP降低CLCLACL图35ACL资源占用示意图ACL源IPv6目的IPv6动作10:10::210:10::3Deny10:10::310:10::2DenyDevice10:10::2Device10:10::2微分段110:10::2微分段2微分段1

HostB10:0::3微分段源微分段目的微分段动作微分段源微分段目的微分段动作12Deny21Deny如35IPv6HostA和HostB互通：ACLIPIPv6128bitsIP256bitsACL256bitsACLIDIDACL32bitsACL微分段技术中使用到以下概念：IDIP地址、IPMACIDGBP（GroupBasedPolicy）GBP，可以对GBPGBPQoS（MQC）微分段是一种源端控制策略，即在源端设备上配置微分段功能，实现对流量的安全管控。微分段功能由三部分组成：IP微分段、静态ACIDACL。QoS（MQC）IDACL在源端设备上完成上述配置，源端设备接收到报文后，根据报文所属的微分段ID，查找匹配的ACL规则，再通过ACL关联到GBP。GBP对命中ACL的报文进行流量控制。综上所述，微分段是生效在报文转发路径中的源端设备上的。当GBP判决结果为丢弃时，报文将被直接丢弃，不会再经由中间网络转发至目的端，这就避免了带宽浪费。图36源端流量控制示意图dropdropdropGBPGBP微分段可以应用在EVPNVXLANSDNACLGBP。Leaf上为VMIPIPLeaf1Leaf21192:168:1::0/120。2192:168:2::0/120。3192:168:3::0/120。BorderInternetOA（）（即BGP为了实现南北向流量管控，需要在所有Leaf上配置全网统一的静态IP微分段：由于BorderLeaf1Leaf240::0/0。由于BorderLeaf1Leaf25192:168:20::0/120。ACL和GBP则按需配置，允许或禁止各微分段间互访的流量通过。 VM VM间互访流量 VM与Internet间互访流量 BGP通告路由Internet1:静态缺省路由指向Internet或防火墙2:网段路由指向OA等192:168:20::0/120EVPNVXLANFWBorderBGP通告Spine1Spine2Leaf1Leaf2VM1VM2VM3192:168:2::2/128VM4192:168:3::2/128VM5VM6192:168:1::2/128192:168:1::3/128192:168:3::3/128192:168:3::4/128微分段1 微分段2 微分段3VXLAN/EVPNVXLAN支持VXLAN（VirtualeXtensibleIPMACin装形式的二层VPNVXLANVXLANEVPN（EthernetVirtualPrivateNetwork，以太网虚拟专用网络）VXLAN是一种二层VPN技术，控制平面采用MP-BGP通告EVPN路由信息，数据平面采用VXLAN封装方式转发报文。EVPNVXLAN通过EVPN路由自动建立VXLAN隧道。VXLAN/EVPNVXLANIPVXLANUnderlayOverlayOverlay网络通过封装技术、利用Underlay现租户二层报文跨越三层网络在不同站点间传递。对于租户来说，Underlay网络是透明的，同一租户的不同站点就像工作在一个局域网中。站点网络和Underlay网络均可以是IPv6网络。图38VXLAN/EVPNVXLAN网络模型示意图VSI/VXLAN10VSI/VXLAN10VSI/VXLAN10VSI/VXLAN20VSI/VXLAN20TerminalVXLANtunnelTerminalTerminalTerminalOverlaynetworkVTEP1VTEP2Site2PIP核心网络Site1Underlaynetwork如图38所示，VXLAN/EVPNVXLAN的典型网络模型中包括如下几部分：PC机、无线终端设备、服务器上创建的VM（VirtualMachineVXLANVXLANVXLANVANLANDVNDNIVLN24

VXLANNetworkIdentifier，VE（VNunelEdPinVLNVANLAN处理都在VTEP上进行，例如识别以太网数据帧所属的VXLANVXLANVXLANVTEPVTEPVXLANUDP头IPVXLANVTEPVTEPIP（38P设备VXLANIPVS（ialSichnsaceVP上为一个VANVSIVTEP上的一台基于VXLAN有传统以太网交换机的所有功能，包括源MACMACVSI与VXLANCircuitVTEP上，与VSI关联的三层接口或以太网服务实例（serviceinstance）称为AC。其中，以太网服过渡技术IPv6IPv4IPv6IPv4IPv6（AFT）6PE。双栈技术IPv4IPv6IPv4IPv6IPv4IPv6IPv4IPv6TCPUDPIPv6双栈技术是所有过渡技术的基础。双栈技术具有如下优点：IPv6IPv6改造工作量大，需完成整网的IPv4IPv6IPv4IPv6IPv4隧道技术IPv6overIPv4IPv4overIPv6IPv6IPv4IPv4网络IPv6IPv6overIPv439IPv6IPv4IPv6IPv4IPv6overIPv4IPv6overIPv4IPv46RDIPv4header IPv6headerIPv6IPv4header IPv6headerIPv6dataIPv6headerIPv6dataIPv6networkIPv4networkIPv6overIPv4IPv6networkDeviceA DeviceBIPv6dataIPv6headerIPv6host IPv6hostIPv4overIPv640IPv4IPv6IPv4IPv6网络进行互通。IPv6header IPv4IPv6header IPv4header IPv4dataIPv4headerIPv4dataIPv4networkIPv6networkIPv4overIPv6IPv4networkDeviceA DeviceBIPv4dataIPv4headerIPv4host IPv4host隧道技术的优点为：IPv6IPv4IPv6CPUAFTAFT简介AFT（AddressFamilyTranslation）IPv4IPv6IPv4IPv6AFTIPv4IPv6IPv4IPv6IPv6IPv4网节点不具备升级IPv6能力时，在IPv4与IPv6网络边界点增加协议转换设备，可以快速实现IPv4/IPv6节点的跨协议互访。AFT前缀转换方式AFT支持三种前缀转换方式，包括NAT64前缀转换、IVI前缀转换和General前缀转换。NAT644048566496IPv6IPv4IPv6IPv4IPv6主机通信。网络中并不存在带有主机。如4132、64和96P4P6T644048和5664～7164～71。图41IPv4NAT64IPv60

39 47 55 63 71 79

95103111119

127NAT64prefixIPv4address00AllzerosNAT64prefixv4(24)00(8)AllzerosNAT64prefixv4(16)00v4(16)AllzerosNAT64prefix(8)00v4(24)AllzerosNAT64prefix00IPv4addressAllzerosIPv4addressIPv4addressNAT64prefixAFT构造IPv4节点在IPv6网络中的地址示例如表9所示。表9IPv4地址带有NAT64前缀的IPv6地址示例IPv6前缀IPv4地址嵌入IPv4地址的IPv6地址2001:db8::/3232001:db8:c000:221::2001:db8:100::/4032001:db8:1c0:2:21::2001:db8:122::/4832001:db8:122:c000:2:2100::2001:db8:122:300::/5632001:db8:122:3c0:0:221::2001:db8:122:344::/6432001:db8:122:344:c0:2:2100::2001:db8:122:344::/9632001:db8:122:344::32.IVI前缀转换IVI32IPv6IVIIPv6IPv6IPv6IPv4IPv4IVIIVI42所示。图42IVI地址格式0

39 47 55 63 71

87 95103111

127IVIprefixFFIPv4addressSuffix3.General前缀General4048566496IPv6IPv4IPv643General64718IPv4IPv6图43IPv4GeneralIPv60

39 47 55 63 71

87 95103111

127GeneralprefixIPv4addressAllzerosGeneralprefixIPv4addressAllzerosGeneralprefixIPv4addressAllzerosGeneralprefixIPv4addressAllzerosGeneralprefixIPv4addressAllzerosIPv4addressIPv4addressGeneralprefixAFT的优缺点GeneralprefixAFT的优点为：IPv4IPv6IPv4IPv6升级改造。IPv6AFT的缺点为：AFTLevelInternet6PE如图44所示，6PE（IPv6ProviderEdge，IPv6供应商边缘）是一种过渡技术，它采用MPLS（MultiprotocolLabelSwitchingIPv4IPv6用ISPIPv4/MPLSIPv66PE图446PE组网图CECEIPv4/MPLSnetworkCEIBGPIPv6networkCustomersite6PE6PEIPv6networkCustomersiteP6PE的主要思想是：6PEIPv6MP-BGPIPv66PE6PEIPv6IPv6IPv6IPv4IPv6IPv4GREMPLSLSPMPLSTE6PEP6P6P6，再IPv66PEIPv6借助EP4P4和P6P4P6IPv4/MPLSIPv66PE技术6vPE6vPEIPv6MPLSL3VPN456vPEVPNCEPE之间运行IPv6PE和P设备之间运行IPv4PEIPv4IPv6CEIPv6IPv4PECEIPv6VPNv6路由信息发布给远端PEPEIPv4IPv6IPv6IPv4IPv6IPv6IPv4图45IPv6MPLSL3VPN应用组网图VPN1VPN1IPv6SiteVPN2IPv6Site3IPv4networkP PCECEPEPECEPPPECEIPv6Site2VPN2IPv6SiteVPN1图46IPv6MPLSL3VPN报文转发示意图Site1

CE1

CE2 Site2PPP2001:1::1/96PE1PE22001:2::1/962001:2::1Layer1Layer22001:2::1Layer22001:2::12001:2::1如图46所示，IPv6MPLSL3VPN的报文转发过程为：Site12001:2::1IPv6CE1PE1。PE1VPNMPLSPE2。PE2PE2）PE2VPNCE2。CE2IPv66vPEIPv4IPv6MPLSL3VPNIPv6演进——IPv6+IPv6+概述IPv6+5GIPIPv6+IPv6IPv6SLAIPv6+技术创新体系的发展分为三个阶段：IPv6+1.0SRv6TEVPN、FRRIPv6+2.05G不局限于iFITBIERG-SRv6SFC（servicefunctionchaining、DetNetIPv6networkingIPv6网络APN6在“IPv6+”2.0SRv6SRv6SLA目前，我司支持的IPv6+协议创新包括SRv6、网络切片、iFIT、BIER：SRSmentRoungP6，P6R6是P6IPv6SRv6G-SRv6SFC。iFiniulownfoaonemeRC上报检测结果，以实现网络可视化。IndexExplicitReplicationIPv6SRv6SRv6IPv6（SourceRouting）SLASRv6SRv6IPv6IPSRv6基本概念SRv6IPv6网络中使用SegmentIPv6地址作为节点根据SIDSRv6SIDIPv6RoutingSRv6技术优势SRv6技术具有如下优势：仅需要在源节点上控制和维护路径信息，网络中其他节点不需要维护路径信息。SRv6基于SDN架构设计，跨越了应用和网络之间的鸿沟，能够更好地实现应用驱动网络。SRv6中转发路径、转发行为、业务类型均可控。SRv6IGP和BGPMPLSSRv6DC（DataCenter，和WAN（）SRv6IPv65G5GIPv4SRv6IPv6IPv65G易于实现VPNSRv6定义了多种类型的SID，不同SID具有不同的作用，指示不同的转发动作。通过不同的SID操作，可以实现VPN等业务处理。日后，用户还可以根据实际需要，定义新的SID类型，具有很好的扩展性。SRv6基本转发机制如图47所示，将SRv6报文简化，以便于理解SRv6的转发原理，其中：IPv6DestinationAddress：IPv6报文的目的地址，简称IPv6DAIPv6DA是固定不变的。在SRv6中，IPv6DASRH(SL=n-1)<SegmentList[0]=a,SegmentList[1]=b,…,SegmentList[n-1]=x>：SRv6报文的SIDSLSegmentListIPv6DA图47SRv6报文简化示意图SRH(SL=n-1)<SegmentList[0]=a,SegmentList[1]=b,…SRH(SL=n-1)<SegmentList[0]=a,SegmentList[1]=b,…SegmentList[n-1]=x>IPv6DestinationAddress=SegmentList[n-1]SRH(SL=n-1)<SID[0]=a,SID[1]=b,…SID[n-1]=x>IPv6DA=SID[n-1]如图48所示，在SRv6中，每经过一个SRv6节点，SL字段减1，IPv6DA信息变换一次：如果SL=n-1IPv6DASID[n-1]=x。如果SL=1IPv6DASID[1]=b。如果SL=0IPv6DASID[0]=a。图48SRHSID[n-1]

...

SID[1] SID[0]IPv6DA=xSRH(SL=n-1IPv6DA=xSRH(SL=n-1)<SID[0]=a,SID[1]=b,...,SID[n-1]=x>IPv6DA=bSRH(SL=1)<SID[0]=a,SID[1]=b,...,SID[n-1]=x>IPv6DA=aSRH(SL=0)<SID[0]=a,SID[1]=b,...,SID[n-1]=x>NetworkSRv6报文转发方式SRv6报文支持SRv6BE和SRv6TEPolicy两种转发方式：SRv6BE（SRv6BestEffort）IGPLocatorSRv6LocatorSRv6BE公网BGPVPNBGPSRv6BESRv6BE路径。SRv6TEPolicyVPNSRv6TEPolicy转发。SRv6TEPolicy对应的路径为SRv6TE路径。G-SRv6SRv6TEPolicySRv6128-bitSRv6SIDSRv6TEPolicySIDTEPolicySIDSRv6SIDSRv6AS域SRv6SIDGeneralizedSRv6（G-SRv6）128-bitSR