项目3 配置IPv6路由实现双栈网络需求调研场景描述在前两个项目中园区网络已基于IPv4平稳运行。随着公司业务发展需要接入IPv6互联网并逐步将内部应用向IPv6迁移。当前阶段网络需要同时支持IPv4和IPv6即“双栈模式”。所有交换机、路由器和终端都需要配置IPv6地址并能够通过IPv6协议进行通信。需求分析为每一台网络设备交换机VLANIF接口、路由器接口规划并配置IPv6地址。所有网络设备需要通过IPv6动态路由协议自动学习IPv6路由实现全网IPv6互通。网络拓扑与项目2保持一致但路由协议从OSPFv2升级为OSPFv3在保持原有IPv4 OSPF配置不变的基础上新增IPv6的OSPFv3配置。关键技术3.1.1 破解IPv4地址空间难题——IPv6地址IPv6地址长度128位相比IPv4的32位通常表示为8组4位十六进制数用冒号分隔例如2001:0db8:85a3:0000:0000:8a2e:0370:7334。地址简化规则每组中的前导零可以省略例如2001:0db8→2001:db8。连续多个全零组可用双冒号::表示一次例如2001:db8:0:0:0:0:0:1→2001:db8::1。常见IPv6地址类型全球单播地址GUA前缀范围为2000::/3相当于IPv4的公网地址可在全球互联网路由。链路本地地址LLA前缀为FE80::/10仅在本地链路有效用于邻居发现协议NDP等。设备自动生成无需配置。唯一本地地址ULA前缀为FC00::/7类似IPv4的私有地址用于内部网络。多播地址前缀为FF00::/8用于一对多通信。IPv6前缀用“地址/前缀长度”表示网络段类似于IPv4的子网掩码。如2001:db8:1::/64。3.1.2 实现IPv6邻居发现——ICMPv6ICMPv6Internet Control Message Protocol version 6是IPv6的核心控制协议集成了IPv4中ICMP、ARP和IGMP的功能。邻居发现协议NDPNeighbor Discovery Protocol是ICMPv6的核心子协议主要功能包括地址解析替代IPv4的ARP通过邻居请求NS和邻居通告NA报文获取对端MAC地址。路由器发现主机通过路由器请求RS和路由器通告RA报文发现本地路由器并获取前缀信息和默认网关。重复地址检测DAD设备配置IPv6地址时通过发送NS报文检测该地址是否已被其他设备使用。3.1.3 实现动态IPv6路由——OSPFv3OSPFv3是OSPF协议在IPv6环境下的版本RFC 2740其工作机制与OSPFv2IPv4版本基本相同但在以下方面有显著差异基于链路运行OSPFv3不再基于IP子网而是基于链路。同一链路上的路由器可以直接建立邻居无需配置network宣告。使用链路本地地址OSPFv3使用链路本地地址FE80::/10作为邻居通信的源地址减少了对全局单播地址的依赖。LSA类型变化引入了新的LSA类型如Link LSA、Intra-Area-Prefix LSA来携带IPv6前缀信息。认证方式变化OSPFv3不再在协议自身中集成认证而是依赖IPv6的IPsecAH/ESP提供安全保护。配置命令ospfv3 1→router-id 1.1.1.1→area 0→ 在接口上启用ospfv3 1 area 0。方案规划IPv6地址规划采用2001:db8:园区编号::/64作为内部IPv6前缀。VLAN 10办公2001:db8:1:10::/64网关为2001:db8:1:10::1VLAN 20监控2001:db8:1:20::/64网关为2001:db8:1:20::1VLAN 30访客2001:db8:1:30::/64网关为2001:db8:1:30::1VLAN 99管理2001:db8:1:99::/64网关为2001:db8:1:99::1互联链路采用2001:db8:1:ff::/64设备分别使用::1和::2OSPFv3区域规划沿用项目2的OSPF区域划分骨干区域Area 0路由器之间的互联链路。普通区域Area 1核心交换机SW1。普通区域Area 2接入交换机SW2等如需多层结构。部署实施步骤一 创建VLAN并划分交换机端口此步骤与任务1.1完全相同在各交换机上创建VLAN 10、20、30、99并将对应端口划入相应VLAN。互联端口配置为Trunk并允许所有VLAN通过。步骤二 配置交换机链路聚合和接口类型此步骤与任务1.2完全相同在各交换机间配置LACP Eth-Trunk提高链路带宽和冗余性。配置MSTP防环。步骤三 配置路由器接口IPv6地址和交换机VLANIF接口IPv6地址1. 在路由器R1上配置IPv6地址以R1的G0/0/0接口连接ISP为例text[R1] ipv6 // 全局启用IPv6 [R1] interface GigabitEthernet 0/0/0 [R1-GigabitEthernet0/0/0] ipv6 enable [R1-GigabitEthernet0/0/0] ipv6 address 2001:db8:1:ff::1/64 [R1] interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1] ipv6 enable [R1-GigabitEthernet0/0/1] ipv6 address 2001:db8:1:ff::3/64 // 连接R2的链路注意每个接口的IPv6地址必须在相同的/64前缀内确保接口在同一链路。2. 在核心交换机SW1上配置VLANIF接口的IPv6地址text[SW1] ipv6 [SW1] interface Vlanif 10 [SW1-Vlanif10] ipv6 enable [SW1-Vlanif10] ipv6 address 2001:db8:1:10::1/64 [SW1] interface Vlanif 20 [SW1-Vlanif20] ipv6 enable [SW1-Vlanif20] ipv6 address 2001:db8:1:20::1/64 [SW1] interface Vlanif 99 [SW1-Vlanif99] ipv6 enable [SW1-Vlanif99] ipv6 address 2001:db8:1:99::1/64 [SW1] interface Vlanif 254 // 连接R1的互联VLAN [SW1-Vlanif254] ipv6 enable [SW1-Vlanif254] ipv6 address 2001:db8:1:ff::2/64步骤四 配置基本OSPFv31. 在R1上配置OSPFv3进程并指定Router IDtext[R1] ospfv3 1 [R1-ospfv3-1] router-id 1.1.1.1 [R1-ospfv3-1] area 0.0.0.0注意OSPFv3的Router ID仍为32位IPv4格式必须手工配置不会像OSPFv2那样自动选举。2. 在R1的接口上启用OSPFv3text[R1] interface GigabitEthernet 0/0/0 [R1-GigabitEthernet0/0/0] ospfv3 1 area 0 [R1] interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1] ospfv3 1 area 03. 在所有其他路由器R2、R3等上重复上述配置4. 在三层交换机SW1上配置OSPFv3text[SW1] ospfv3 1 [SW1-ospfv3-1] router-id 5.5.5.5 [SW1-ospfv3-1] area 0.0.0.1 [SW1] interface Vlanif 254 [SW1-Vlanif254] ospfv3 1 area 1 // 连接到R1的接口 [SW1] interface Vlanif 10 [SW1-Vlanif10] ospfv3 1 area 1 // 终端VLAN可以配置为静默接口注意VLANIF 10是终端所在的VLAN建议在后续步骤中配置为“静默接口”不再发送Hello报文。步骤五 配置OSPFv3接口网络类型OSPFv3在不同网络类型中的行为不同类似OSPFv2常见类型有广播Broadcast默认类型用于以太网需要选举DR/BDR。点到点P2P用于PPP/HDLC链路或只有两台设备的以太网链路无需选举DR/BDR。修改互联链路接口类型为P2P加快收敛避免不必要的DR选举text[R1] interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1] ospfv3 network-type p2p建议在路由器之间的互联链路上使用P2P类型。步骤六 配置OSPFv3静默接口和接口开销1. 配置静默接口终端所在的VLAN接口不需要发送OSPF Hello报文可配置为静默接口减少不必要的协议开销。text[SW1] ospfv3 1 [SW1-ospfv3-1] silent-interface Vlanif 10 [SW1-ospfv3-1] silent-interface Vlanif 20 [SW1-ospfv3-1] silent-interface Vlanif 302. 修改接口开销调整路径选择若希望某条路径被优先选择可减小其开销值。开销值的计算公式为开销 参考带宽 / 接口带宽默认参考带宽为100Mbps。text[R1] interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1] ospfv3 cost 10在华为设备中GigabitEthernet1000Mbps的默认开销为1。若调整需了解其对SPF计算的影响。步骤七 验证OSPFv3配置1. 查看OSPFv3邻居状态text[R1] display ospfv3 peer正常输出应显示邻居状态为“Full”。2. 查看OSPFv3路由表text[R1] display ospfv3 routing应能看到学习到的IPv6路由类型包括Inter-area区域间和External外部路由。3. 查看全局IPv6路由表text[R1] display ipv6 routing-table应能看到OSPFv3学习到的路由以“O”或“OIA”标识。4. 查看IPv6邻居表ND表text[R1] display ipv6 neighbors可看到已解析的IPv6地址与MAC地址的映射关系。5. 连通性测试从园区内PC配置IPv6地址2001:db8:1:10::100/64执行textping ipv6 2001:db8:1:20::1 // ping VLAN20网关 ping ipv6 2001:db8:1:ff::1 // ping R1的接口地址若配置正确应能通。思考与练习IPv6的链路本地地址FE80::/10是如何自动生成的为什么它不需要全局路由在OSPFv3中如果两台路由器配置了相同的Router ID会发生什么如何避免在配置OSPFv3时如果忘记在接口上启用ospfv3 1 area 0邻居能建立吗为什么如何将项目2中配置的IPv4默认路由0.0.0.0/0对应的默认路由在IPv6中实现即::/0并注入OSPFv3双栈网络中一台终端同时有IPv4和IPv6地址它如何决定使用哪个协议访问外部服务提示RFC 3484 - 地址选择策略任务3.2 配置VRRP6提升IPv6网关服务稳定性需求调研场景描述核心交换机SW1作为园区所有VLAN的IPv6网关如VLAN 10的网关为2001:db8:1:10::1承担着所有终端IPv6流量的转发职责。若SW1出现故障整个园区的IPv6通信将中断影响所有业务。因此需要对IPv6网关进行冗余部署保证高可用性。需求分析IPv6网关需要主备冗余主设备故障时备用设备自动接管。终端无需修改IPv6网关配置虚拟IP地址始终保持不变。需要实现IPv6地址的自动分配类似IPv4的DHCP方便终端即插即用。关键技术3.2.1 实现IPv6网关冗余备份——VRRP6VRRP6是VRRP协议在IPv6环境下的版本工作机制与VRRPIPv4基本相同。VRRP6组中的路由器共享一个虚拟IPv6地址即网关地址终端将默认网关指向该虚拟地址。VRRP6的虚拟MAC地址基于组ID生成格式为00-00-5E-00-02-{VRID}IPv6的VRRP虚拟MAC与IPv4相同。关键参数vrrp6 vrid 1 virtual-ip 2001:db8:1:10::1 link-local配置虚拟IPv6地址link-local选项表示同时生成一个链路本地虚拟地址用于NDP协议通信。优先级、抢占、接口跟踪等机制与IPv4的VRRP完全相同。3.2.2 实现IPv6地址自动分配——DHCPv6DHCPv6Dynamic Host Configuration Protocol for IPv6是IPv6环境下的地址自动分配协议。有状态分配StatefulDHCPv6服务器为客户端分配完整的IPv6地址、前缀、DNS等参数并维护租约状态。无状态分配Stateless客户端通过SLAACStateless Address Autoconfiguration自动生成IPv6地址DHCPv6只用于分配DNS等辅助信息通过DHCPv6的“信息请求”消息。两种标志位在路由通告RA报文中M位Managed Address Configuration Flag为1时表示使用有状态DHCPv6分配地址。O位Other Configuration Flag为1时表示使用无状态DHCPv6分配DNS等参数。DHCPv6中继与DHCPv4中继类似当客户端与DHCPv6服务器不在同一链路时需要通过中继代理转发DHCPv6报文。方案规划拓扑设计textR1(出口路由器) R2(备用出口) | | --------------------- | | SW1(核心-主) SW2(核心-备) | | --------- --------- | VLAN10 | | VLAN20 | 终端1(办公) 终端2(监控)VRRP6组规划在核心交换机SW1和SW2上配置组1VRID 1用于VLAN 10办公虚拟IPv6地址为2001:db8:1:10::1组2VRID 2用于VLAN 20监控虚拟IPv6地址为2001:db8:1:20::1优先级分配SW1为VLAN 10的主设备优先级120SW2为备100VLAN 20则相反实现负载分担。DHCPv6规划在出口路由器R1上配置DHCPv6服务器有状态为VLAN 10和VLAN 20的终端分配IPv6地址和DNS。在核心交换机SW1和SW2上配置DHCPv6中继将客户端的DHCPv6请求转发至R1。部署实施步骤一 创建VLAN并划分交换机端口此步骤与任务1.1相同在SW1和SW2上创建VLAN 10、20等并将接口划入对应VLAN。SW1和SW2之间的互联链路配置为Trunk允许所有VLAN通过。步骤二 配置交换机MSTP生成树此步骤与任务1.2相同在两台核心交换机上配置MSTP确保双核心环境下的链路冗余和负载分担。步骤三 配置交换机VRRPv6组和虚拟IP1. 在SW1上为VLAN 10配置VRRP6组text[SW1] interface Vlanif 10 [SW1-Vlanif10] ipv6 enable [SW1-Vlanif10] ipv6 address 2001:db8:1:10::2/64 // 物理IP与虚拟IP不同 [SW1-Vlanif10] vrrp6 vrid 1 virtual-ip 2001:db8:1:10::1 link-local2. 在SW2上为VLAN 10配置VRRP6组备text[SW2] interface Vlanif 10 [SW2-Vlanif10] ipv6 enable [SW2-Vlanif10] ipv6 address 2001:db8:1:10::3/64 [SW2-Vlanif10] vrrp6 vrid 1 virtual-ip 2001:db8:1:10::1 link-local3. 同理为VLAN 20配置VRRP6组VRID 2在SW1和SW2上分别配置。4. 验证VRRP6状态text[SW1] display vrrp6 brief应看到VRRP6组的状态SW1为MasterSW2为Backup。步骤四 配置VRRPv6优先级和VRRPv6抢占延时1. 设置SW1为VLAN 10的主设备text[SW1] interface Vlanif 10 [SW1-Vlanif10] vrrp6 vrid 1 priority 1202. 设置SW2为VLAN 20的主设备实现负载分担text[SW2] interface Vlanif 20 [SW2-Vlanif20] vrrp6 vrid 2 priority 1203. 配置抢占延时为防止网络震荡可在Master上配置抢占延时如延迟10秒再抢占text[SW1] interface Vlanif 10 [SW1-Vlanif10] vrrp6 vrid 1 preempt-mode timer delay 10步骤五 配置VRRPv6接口跟踪监控上行链路连接R1的链路若上行链路故障主设备自动降优先级触发切换。在SW1上跟踪Vlanif254连接R1的接口text[SW1] interface Vlanif 10 [SW1-Vlanif10] vrrp6 vrid 1 track interface Vlanif254 reduced 30当Vlanif254变为Down时VRID 1的优先级从120降低至90低于SW2的100触发切换。步骤六 配置路由器DHCPv6地址池在R1上配置DHCPv6服务器有状态1. 全局启用DHCPv6服务text[R1] dhcp enable [R1] dhcpv6 enable2. 配置DHCPv6地址池text[R1] dhcpv6 pool pool_vlan10 [R1-dhcpv6-pool-pool_vlan10] address prefix 2001:db8:1:10::/64 [R1-dhcpv6-pool-pool_vlan10] dns-server 2001:4860:4860::8888 // Google IPv6 DNS [R1-dhcpv6-pool-pool_vlan10] excluded-address 2001:db8:1:10::1 2001:db8:1:10::103. 在R1的接口上启用DHCPv6服务器text[R1] interface GigabitEthernet 0/0/2 // 连接SW1的接口 [R1-GigabitEthernet0/0/2] dhcpv6 server pool_vlan10 [R1-GigabitEthernet0/0/2] ipv6 nd other-config-flag // 设置O位告知客户端通过DHCPv6获取其他配置若采用有状态分配地址也由DHCP分配需设置ipv6 nd managed-config-flagM位。步骤七 配置交换机DHCPv6中继由于终端所在的VLAN如VLAN 10与DHCPv6服务器R1不在同一链路需要在核心交换机上配置DHCPv6中继将DHCPv6请求转发给R1。在SW1上配置DHCPv6中继将VLAN 10的DHCPv6请求中继到R1text[SW1] interface Vlanif 10 [SW1-Vlanif10] dhcpv6 relay destination 2001:db8:1:ff::1 // 指向R1的IPv6地址同时SW1需要开启IPv6路由转发功能确保中继报文能到达R1。步骤八 调试与验证1. 查看DHCPv6地址池使用情况text[R1] display dhcpv6 pool2. 查看DHCPv6中继状态text[SW1] display dhcpv6 relay3. 在终端上验证IPv6地址获取Windows终端ipconfig /all查看IPv6地址是否从2001:db8:1:10::/64网段自动获取。Linux终端ip -6 addr show查看分配的IPv6地址。4. 验证VRRP6状态变化关闭SW1的Vlanif254接口上行链路[SW1] interface Vlanif254→shutdown在SW2上display vrrp6 brief确认SW2已切换为Master。恢复接口后延迟10秒SW1重新抢占为Master。5. 双栈连通性验证终端通过IPv6 ping网关ping -6 2001:db8:1:10::1终端通过IPv6 ping外部IPv6地址ping -6 2001:4860:4860::8888同时通过IPv4 ping相同的目标验证双栈正常工作。思考与练习为什么VRRP6需要同时配置link-local虚拟IP和全局虚拟IP它们各自的作用是什么在DHCPv6中无状态SLAACDHCPv6和有状态纯DHCPv6分配方式各适用于什么场景如果终端无法获取IPv6地址可能的原因有哪些请从NDP、DHCPv6、中继、路由等层面分析在双栈网络中DNS解析是如何工作的如果DNS服务器只有IPv4地址IPv6-only的终端能否完成域名解析项目评价评价维度评价标准分值占比IPv6基础能正确理解IPv6地址结构独立规划园区IPv6地址方案15%IPv6二层配置能配置交换机VLANIF接口的IPv6地址验证ND邻居表15%IPv6动态路由能正确部署OSPFv3建立邻居验证路由表25%IPv6网关冗余能配置VRRP6调整优先级实现主备切换25%IPv6地址分配能部署DHCPv6服务器或中继终端成功获取IPv6地址10%双栈排障能在双栈环境下快速诊断IPv4或IPv6单栈故障10%项目拓展挑战1IPv6过渡技术如果园区网络暂时无法获得全球IPv6地址但需要与外部IPv6网络通信可研究NAT64/DNS64技术实现IPv6-only客户端访问IPv4-only互联网资源。挑战2IPv6安全IPv6网络同样面临安全威胁如NDP欺骗、RA洪水攻击等。请调研IPv6的SENDSecure Neighbor Discovery协议和RA Guard技术在交换机上配置RA Guard防止非法RA报文。挑战3IPv6段路由SRv6作为未来网络的核心技术SRv6Segment Routing over IPv6正在被广泛采用。请调研SRv6的基本原理和它如何在智慧园区网络中简化网络架构。后续项目衔接说明项目3为园区网络完成了从IPv4到IPv6双栈的平滑演进现在网络可以同时承载两种协议的流量。项目4将在此基础上部署无线网络覆盖实现园区内任何位置的有线和无线接入并确保无线网络同样支持双栈。最终一个完整的智慧园区基础网络将展现在您面前。附件双栈网络配置检查清单检查项命令预期结果IPv6全局启用display ipv6 interface brief所有接口显示“Up”IPv6邻居表display ipv6 neighbors有合法邻居条目OSPFv3邻居display ospfv3 peer状态为“Full”IPv6路由表display ipv6 routing-table有OSPFv3学习的路由VRRP6状态display vrrp6 briefMaster/Backup状态正确DHCPv6地址池display dhcpv6 pool有可用地址终端IPv6地址ipconfig/ip -6 addr获取到合法IPv6地址