首页               中心简介              组织机构              规章制度               技术文档               网络安全       
  
          mg娱乐城主页>现代教育技术中心>IPv6专栏>

大话IPv6的隧道技术

 发布:2018-12-18 08:53 来源:未知 作者:管理员

IPv6最开始设计并没有隧道技术,但IPv4实在应用太普及了,IPv6的网络改造不可能将IPv4的网络弃之不用,这样就要让IPv4和IPv6两种协议在同一个网络中共存。使用中,有些地方IPv6和IPv6之间,或者IPv4和IPv4之间的网络是隔离的,就需要将经过IPv4网络的IPv6打通,将经过IPv6网络的IPv4打通,IPv6隧道技术应运而生。隧道技术绝对是一种为了网络融合设立的标准,本质上就是报文头的多层叠加,这样极大地降低网络转发效率,因为以太网报文的最大长度是固定的,报文头长度占比越大,转发效率越低。不管是IPv6-Over-IPv4还是IPv4-Over-IPv6,其报文内容都要包含两个报文头,而且IPv6报文头本来就长,IPv4若本身就是MPLS网络,报文头的内容就更多了。

IPv6隧道已有不少种,比如:基于MPLS网络跑IPv6的6PE技术;基于GRE的IPv6隧道技术,其可以在IPv4的GRE隧道上承载IPv6数据报文;基于UNDP的IPv6隧道技术,其解决了传统NAT不能够支持IPv6-over-IPv4数据包穿越的问题,这种技术将IPv6数据封装在UDP载荷中穿越NAT,叫做Teredo隧道;还有用于简化隧道配置的代理技术,提供自动的配置手段;ISATAP隧道、手工隧道、IPv4兼容IPv6自动隧道等等,IPv6隧道形式多样,之所以这么多种,主要还是为了适配现有的IPv4网络,IPv4网络中GRE、MPLS、NAT等技术应用普遍,IPv6需要能够穿透这些网络才能真正达到与IPv4共存。IPv6隧道技术俨然已经成为IPv6技术的重要组成部分。

如今,全网开启建设IPv6网络的热潮,绝大多数是在现有的IPv4网络上改造,即保持原有的IPv4网络应用不变,再开通IPv6网络以便支持IPv6用户,两大网络技术共存到处都需要隧道技术。在这里我们不去具体讲这些隧道,每种隧道的特点和实现方式在网络上都能搜索得到,掌握起来也并不复杂,每台网络设备都会提供每种隧道如何使用和配置的指导。但是,如果真正想要用起来,必须要注意一些技术坑,避免掉进去,走很多弯路。

MTU问题

隧道使用首先要考虑MTU问题,隧道的最大传输单元和分段:IPv6的MTU最小值为1280字节,而经过tunnel后又增加了IPv4的包头使得数据包的MTU由1500减少到1480字节。带有隧道封装报文的报文头要比正常报文长,一个报文在加封装之前,还没有超过最大以太帧长,加上MTU就可能超过了,这种处于边界值的报文要处理好分片问题,否则就会因为报文长度问题而无法通过。隧道的MTU支持静态指定和动态协商,我们可以将隧道的MTU改大一些,这样避免出现加隧道后报文超过最大以太帧,要分片的问题,这样处理得当虽没有问题,但转发效率变低了。MTU加上了,也要考虑隧道链路上的其它设备是否支持,否则就会因为MTU的大小设置差异,导致一些处于两者之间的报文无法通过。有时这种情况还不容易排查,比如经过隧道的BGP邻居建立不起来,这就可能是BGP协议发送的长度不一的报文,有的无法通过所导致,这样的问题分析起来找到MTU的原因并不容易,如果能提前做好设计规划,就可以避免这点。

隧道邻居建立问题

IPv6隧道有很多种,但是基本在一个网络中只采用一种方式,而且一台网络设备也不支持同时配置两种以上的隧道,至少两个隧道之间的流量是无法互通的。所以,在隧道的类型选择上,根据网络需求最先要确定下来。隧道的建立非常简单,只要隧道两端的IP地址可达,就可以建立起隧道。IPv6的隧道还不像VXLAN隧道那么丰富,不支持水平分割,所以多见的都是只有一个隧道,将处于独立的两部分网络打通。既然只要可达就行,隧道两端的IP地址可以二层互通,也可以三层互通,还可以在隧道经过的链路上做各种的QoS。隧道类问题无外乎有无法建立、隧道震荡、不通这三种问题,原因可能千奇百怪,因设备而异。表面上看隧道实现比较复杂,其实问题并不多,就将隧道外部转发时,不看内层即可,而看内层转发时,不关心外层就行,与IPv6其它技术相比,隧道技术表面上看起来吓人,实际掌握起来并不复杂。

隧道安全

隧道要比普通的网络转发不安全,这是一定的,为何这样讲?是因为隧道要面临内外层两方面叠加的安全威胁。如果IPv4地址被欺骗,任何人都可以向隧道内想注入多少流量就注入多少流量,6over4还有可能受到地址欺骗攻击,外部伪造的6over4包有可能侵入6over4域内。由于隧道技术会在优化过程中屏蔽掉有效载荷以及很多语音电话和FTP客户端经常使用的临时端口,这将导致无法建立起有效的安全策略等问题。并且还可能导致网络在连接时出现其它类型的潜在错误,按照迈克·莫里斯在《回归思科子网》一文中所说的:“……次优路由,最大传输单元的问题,以及硬件和软件可扩展性方面的风险”都属于可能出现的情况。总之,隧道技术的安全问题将更加突出,对于那些特别关注网络安全的数据中心,如何建立一条安全的隧道是一个长期研究的课题,现在还缺少专门针对隧道方面的安全防护技术。

IPv6隧道是打通IPv4网络中的IPv6孤岛,IPv6网络中的IPv4孤岛的必要技术,经过2018年全网大张旗鼓地建设以来,涉及IPv6隧道的应用极小,绝大多数还是以开启IPv4/IPv6双栈为主要方式,随着IPv6部署的深入化,有些局域网络就可能涉及到隧道的应用,到时就要认真考虑本文所提到的问题。IPv6隧道虽然理论比较健全,但实际应用案例却很少,在实践中也可能会遇到新的问题。在IPv6全网改造进行的过程中,IPv6隧道作为一种应用特性,必将在网络改造中发挥重要作用。