向IPv6過渡的六項準備工作
隨著IPv4開放池地址在今年2月正式耗盡，向IPv6地址過渡的長期道路已經渡過了另一個重要的里程碑。自從IANA IPv6全部部署在1999年宣布以來，這個問題已經不再是是否應用IPv6，而是IPv6什么時候成為全球互聯網通訊的核心協議。
到目前為止，IPv6的實際應用的比例很低，不到全球應用的10%，低于2007年年底預測的IPv6成為占統治地位的互聯網協議的預測。延緩IPv6應用的因素包括不熟悉這個協議、成本和安全的擔心、缺少經過培訓的人員以及缺少運營商級IPv6帶寬提供商。
現實是，即使在樂觀的情況下，IPv6在近期也不會成為占統治地位的協議。擁有無限的IT資源，數據中心管理員也許不會把IPv6當作“火燒頭發”那樣優先的事情向管理層提出IPv6計劃。但是，等待的決策意味著以后更高的成本和更多的部署難題。
像許多注定要普及的大多數新興技術一樣，在達到某一個臨界質量并且有一個默許的通用協議之后，向IPv6遷移的速度將加快，那些在時間上判斷錯誤的機構將急忙趕上來。甚至沒有立即部署IPv6計劃的公司也將全面理解這個技術、它的運營影響并且制定一個很好的過渡計劃。
下面是目前準備應用IPv6應該采取的六個步驟：
1. 從你的上游提供商或者RIR那里申請一個IPv6前綴
首先從你的帶寬提供商那里申請一個IPv6 PA(提供商分配的)前綴。即使你不打算立即在公開的主機上部署IPv6，了解你的互聯網服務提供商是否提供IPv6連接是很重要的。PA前綴一般是免費提供的。如果沒有PA前綴，要求提供一個時間表。如果答案讓人不滿意(如你的提供商沒有向IPv6遷移的計劃或者不能具體說明一個交付時間表)，你也許要考慮開始尋找一個具有IPv6功能的主機。
有資格的機構也許還要購買一個PI(不依賴于提供商的)前綴。這通常是由一個RIR(地區互聯網注冊機構)分配的。PI地址是沒有任何具體主機的并且允許用戶改變主機。但是，一個PI地址本身沒有消除對IPv6主機的需求。
2.進行簡單的IPv6“你好，世界”測試
即使你當前的帶寬提供商不能提供IPv6服務，你仍然可以測試你內部的局域網或者廣域網。不直接兼容的IPv4和IPv6協議能夠在一個雙堆棧并行配置中共存，并且已經在某種形式的大多數網絡中這樣做。這為測試提供了一個極好的環境。
下面的雙堆棧“你好，世界”的測試例子僅使用了兩臺機器(一臺Windows 2008 IIS/DNS服務器和一臺Windows 7客戶機)，速度很快，很容易設置。
在一臺運行IIS和DNS的Windows 2008服務器上：
IPv4節點
(1)在IIS中建立一個新的網站。把這個網站綁定到任何沒有分配的本地IPv4地址。如果你需要一個額外的IPv4地址，在設置這個網站之前把你的子網中的一個沒有使用的地址分配給這個本地接口。(在前兩套連接測試中不需要DNS)。
(2)在名為“index.html”的新網站的主目錄的一個文件中存儲下列文本：Hello World
(3)確認你在使用的分配的IPv4地址(如，http://192.168.0.1)的服務器瀏覽器中能夠看到這個網頁。
IPv6節點
(4)向這個局域網接口增加一個新的靜態的IPv6地址(僅用于測試，你可以在類似https://www.ultratools.com/tools/rangeGenerat的網站得到一個隨機生成的本地IPv6地址)。注意，一個唯一本地地址(ULA)的前綴的開頭是fd。使用如圖1所示的64位長度的前綴。使用這個服務器的IPv6地址作為首選的DNS服務器。(在命令提示符下發出一個ipconfig指令也許能夠獲得這臺服務器的IPv6地址。)
點擊查看：屏幕快照顯示向局域網接口5增加一個新的靜態IPv6地址。
打開這個服務器上的瀏覽器窗口并且向地址欄輸入這個IPv6地址，使用你剛剛添加到這個接口的靜態IPv6地址并且使用括號中的句法：http://[fd63:ae70:9a8d:9ef7::]/
你現在應該看到在第二步的屏幕中顯示的同樣的“你好，世界”。
(6)在這臺Windows 7客戶機中設置IPv6連接。打開IPv6配置對話框可以完成這個設置(類似于上面的圖1)，輸入一個隨機的IPv6地址或者這臺Windows 7客戶機的IPv6地址。你在運行IPConfig命令時可以得到這些地址。對于默認的網關，輸入在第四步中分配給這臺服務器的IPv6地址。你現在應該能夠打開一個瀏覽器并且訪問與第五步相同的“你好，世界”網頁。
配置DNS
要使用IPv4實現對“雙堆棧”域名解析的測試，你要在DNS下面增加一個“正向查找區域”，讓一個A記錄映射到“你好，世界”網站的IPv4地址。要在同樣的例子中實現IPv6測試，增加一個四個A(AAAA)的記錄，如圖2所示。
點擊查看：圖2顯示增加IPv6 AAAA DNS記錄
#p#
3.分析協議差別和進行一個影響分析
IPv4和IPv6直接的差別是巨大的(見表1-- IPv4/IPv6逐項對比)。
點擊查看：IPv4/IPv6逐項對比表
向IPv6遷移的影響隨著機構規模的增大而增加。因此，大企業在規劃部署IPv6方面需要更多的提前準備時間。考慮組建一個專門的部門評估影響和提出建議。
4.優先IPv6部署的次序
直接從IPv4轉換到本地IPv6是一個例外并且不符合原則，因為本地IPv6主機和上游提供商數量較少。為了提供網絡資源(內部的和面向互聯網的)的最大可用性，許多機構選擇的過渡戰略是使用雙堆棧節點以及使用隧道協議或者使用雙堆棧無法實現的IPv4與IPv6之間的其它解析機制。
下面是旨在減少IPv6過渡影響的一個部署的例子。當制定自己的部署計劃的時候，機構需要考慮多個因素。
·階段1 -- 使用雙堆棧節點和連接IPv4/IPv6島嶼的隧道/解析機制部署面向互聯網的服務(網站和電子郵件)。
·階段2 -- 把局域網/廣域網從靜態遷移到動態(配置的)IPv6。
·階段3 -- 識別和升級非IPv6設備/應用。
階段1 -- 使用雙堆棧架構部署面向互聯網的服務(網站或者電子郵件)。正如上面的“你好，世界”的例子所示，雙堆棧包括運行并行的IPv4和IPv6節點。這通常是通過增加一個可配置的和可路由的IPv6地址實現的，允許申請的設備自動選擇是否把這些申請路由到IPv4或者IPv6。應該指出的是這種方法雖然簡化了增加的IPv6節點，但是，沒有減少對唯一的IPv4地址的依賴，應該盡快用唯一的IPv6服務替代這個服務。重要的是還需要指出，在缺少上游IPv6路由的時候，面向互聯網的雙堆棧節點也許會給互聯網用戶帶來一些由于IPv6超時產生性能問題。
隧道或者其它協議方式能夠用于提供IPv4主機和IPv6主機之間的通訊。有些隧道方法可能產生安全風險。因此，理解每一個協議的工作原理以及何時允許(或者不允許)來自隧道的通訊是非常重要的。
極少見的IPv6攻擊情況
以雙堆棧模式應用電子郵件可能需要修改SMTP服務器的配置變化，如增加一個端口監聽一個IPv6地址并且提供一個IPv6互聯網范圍。DNS四A記錄與解決IPv6主機的MX記錄也是需要的。同其它測試一樣，應該告訴他們使用一臺非生產用機器。
階段2 -- 把局域網/廣域網從動態遷移到靜態(配置的)IPv6。目前大多數操作系統都支持動態(自動配置的)IPv6：
·Linux(內核2.2和以上版本)
· Mac OS X
·FreeBSD/NetBSD/OpenBSD
·Windows Server 2000/2003/ 2008;Windows XP/7
在自動配置的或者動態的節點，IPv6本地連接地址自動分配給設備，不需要服務器管理。這意味著操作系統一打開，設備就自動擁有一個可找到的IPv6地址。靜態(配置的)模式使用IPv6動態主機配置協議(DHCPv6)安裝和管理網絡節點。以前版本的操作系統也許有有限的IPv6靜態功能。例如，Windows Server 2003需要DHCP以便實現IPv6靜態服務。
階段3 -- 識別和升級非IPv6設備和應用。在你完全轉換到本地IPv6之前，這個步驟是必要的。如果你運營一個龐大的網絡，使用一個專門設計的第三方應用程序識別IPv6連接的局限性(如，依賴IPv4)是必要的。#p#
5.創建一個地址計劃
IPv6中的地址空間成倍增加，地球上的每一個人都可能有10個地址。這種數量龐大的唯一地址消除了子網的沖突，允許機構根據其物理的或者邏輯的編組自由地制定靈活的地址方案，或為為了增強隱私使用配置的隨機地址。
·多播 -- 向一個多播組的所有的接口發送數據包。多播組代表這個數據包的IPv6目標地址。允許匯聚路由前綴以限制全球路由表項目的數量。
·任播 -- 向與這個地址有關的一個接口發送數據包，一般路由到最近的節點。
·單播 -- 設別一個單個接口。
·全球可聚合的 -- 允許聚合路由前綴以限制全球路由表項目的數量。
·連接本地 -- 允許本地鏈路上設備之間的通訊，不需要全球唯一的前綴。
·本地網站 -- 允許在機構內部通訊，不需要公共前綴。
·回送 -- 節點使用回送方式向自己發送IPv6數據包。
·未指定 -- 新的節點在應用程序或者設備獲得主機源地址之前使用“未指定”。
6. 理解風險和制定一個安全政策
機構必須制定計劃解決IPv6對網絡安全的影響。例如，讓IPv4和IPv6主機之間通訊更加順暢的隧道和解析機制通過攜帶避開非IPv6防火墻的惡意軟件還可能帶來風險。此外，那個惡意軟件一旦避開防御進入網絡，IPv6的自動配置功能可用于進一步路由惡意通訊。
在積極的方面，支持IPSec現在是IPv6協議中必須具備的功能。IPSec是IETF(互聯網工程任務組)制定的，旨在提供數據保密性、完整性和數據包來源身份識別等安全服務。IPSec在網絡層運行。當配置正確的時候，IPSec是保護和識別IPv6通訊的非常強大的工具。雖然要求IPv6支持IPSec，但是，這并不意味著在一開始就有內置的安全。IPSec必須正確地進行配置以便提供它要提供的保護功能。
【編輯推薦】
