县区教育城域网IPv6 规模部署实践

文 / 刘东波

教育城域网发展现状

近年来，各级教育城域网的高速发展为教育信息化应用提供了坚实的基础保障。县（市区）级教育城域网作为我国教育科研网基础设施的重要组成部分，以其规模适中、受众面大，纵向可上联至CERNET 主干网及省市各级教育业务主管部门，下接各级各类学校，横向可沟通本区域教育系统内各学校，面向各级各类教育部门、学校和社会公众提供便捷的管理和应用服务，越来越得到广泛关注。

然而，各县（市区）教育城域网在发展中存在下述问题：第一，IPv4 地址资源问题，无法满足日益增长的网络和业务应用需求；第二，网络资产管理杂乱，负载大，造成网络运行缓慢，导致用户体验差；第三，经费投入不足，使区县教育网络的安全管理无保障；第四，由于地址资源匮乏，作为底层网络部署只能采用多级NAT（网络地址转换）方式，为终端配置私有地址，造成了很多设备处于透明状态，无法进行有效的安全管理和维护；第五，技术人员缺乏，管理难度大。

2020 年，受新冠肺炎疫情影响，亿万学生开启居家学习模式，我国教育信息化经受了一场史无前例的大考验，让我们看到了“互联网+教育”的活力，在线教育一度成为广大师生、家长及社会关注的热点。但突如其来的网络压力，也让我们感受到了教育城域网面临升级换代的紧迫需要。特别是在当前“双减”政策下，如何利用信息化手段实现“减负增效”，保障专递课堂、视频会议、名校网络课堂直播、网络阅卷、资源点播与下载顺畅，如何确保教育云平台在高峰期并发运行稳定，都是各级教育城域网亟待解决的问题。

同时，日益严峻的网络安全威胁，不仅会导致断网崩溃，更会因为木马病毒、勒索软件等威胁造成数据丢失和师生个人隐私泄露等现象的发生，也对区县城域网安全升级提出了更高的要求。

IPv6 规模部署背景及发展历程

5G 技术、移动互联、物联网的发展使得教育城域网接入的设备越来越多，网络的地址需求正在呈指数级增长。据相关机构预测，2025 年，物联网的连接数将超过270 亿。发展IPv6 的主要目的是解决IPv4 地址耗尽的问题，同时，由于IPv6 的设计更加高效、安全、可扩展，使IPv6 成为未来网络发展的大趋势。近年来，随着国家多项政策的落地，IPv6 规模部署有了长足发展。

综观部署IPv6的历史经验，总体来看，从IPv4 向IPv6 升级改造的过程有以下三个阶段。

第一阶段：纯IPv4 网络。

第二阶段：IPv4 向IPv6 过渡阶段，提供IPv4/IPv6双栈接入、认证和管理服务。技术实现方式为：

1.双栈。双栈方法是IPv4 和IPv6 的协议栈在网络设备上的共存共生。包括各类路由器和其他基础设备、应用服务器、终端用户设备等在内的所有硬件设施均需支持同时接入两种协议网络层的技术。这些设备需要同时配置IPv4 和IPv6 两种协议地址，或通过管理员授权对应不同协议。

2.隧道。主要包括在IPv6 上的IPv4和在IPv4 上的IPv6 两种模式。有手工配置或自动配置两种方式，手工配置隧道是预先定义的，一旦配置完成，不会随意改动；而自动配置隧道（也被称为“软线隧道”）的建立和拆除则是动态进行的。

3.转换。通过IPv6 与IPv4 的网络地址与协议转换（将IP 报文在IPv4 和IPv6之间进行转化），实现双栈网络的互联互通。起初可以IPv4 网络为主，加挂“IPv4转IPv6”翻译设备，保障IPv6 的正常访问；随着IPv6 网络逐渐成为主流，可以安装支持IVI 技术的IPv6 与IPv4 协议转换设备，实现两种IP 协议之间的互联互通。

第三阶段：纯IPv6 网络。

区域教育城域网IPv6 部署策略

由于基础教育城域网涵盖的范围更广，网络设备、终端更复杂，应用更多样，因此在充分借鉴高校及外地经验的基础上，还要针对本地实际，因地制宜、科学规划、借助推进IPv6 规模部署的契机，促进网络提档升级，构建高速、快捷、覆盖面广、智能化的新一代教育城域网，加快技术的融合应用。下文以山东省邹城市教育城域网为例，对以区域为单位进行IPv6 规模化部署，促进区域教育城域网提档升级的可行性与现实意义进行探索。

基本情况

邹城市教育城域网组建于2003 年，采用裸光纤直连方式，上联济宁教育信息中心，至下覆盖全市中小学，形成市、县、校三级教育网主干传输网络。历经多次升级改造，为广大师生开展信息化教学研究提供了较好的网络服务。然而，随着5G、大数据、物联网等技术的普及，智慧教育发展对网络提出了更高的需求，邹城市教育城域网也面临着IPv4 地址不足、网络运行速度慢、缺乏整体运维、系统设备安全风险大等问题。

根据上级有关要求，确定了在原有教育城域网IPv4 的基础上部署IPv6 的升级改造方案（如图1 所示），实现双栈接入，部署范围向下辐射到各镇街及所属学校，同时做好IPv6 地址规划及其他配套应用，如DNSv6、DHCPv6 等。

建设目标

通过对现有网络进行IPv6 升级改造，实现IPv4 与IPv6 双栈运行，逐步推动IPv6单栈演进过渡。进一步建立完善标准统一、运行规范的邹城市教育城域网，实现“泛在智能、安全稳定、可管可控、极简运维”的总体目标，为促进教育优质均衡发展提供支撑。升级改造内容包括以下五方面。

1.基础网络扩容升级。实现主干网络万兆接入，支撑教育资源共建共享，能够在保证IPv4 终端仍然和以前一样接入网络的同时，为整个教育城域网提供灵活的IPv6 网络接入方式，实现用户无感知过渡。

2.以应用为先导，提升数字化应用水平。针对三个课堂、视频会议、网络阅卷、资源点播、教育云平台应用特点，实现业务策略调度的智能闭环管理。

3.完善身份认证体系建设，实现精准管控。支持根据师生角色的不同制定灵活的策略，构建城域网绿色上网环境。与山东省统一身份认证体系贯通，将网络和用户身份数据统一标识，实现互联互通。

4.实现网络运维可视化，方便实时掌握网络运营状况。信息中心能够及时掌握核心网络、出口、资源使用、业务系统运行、无线网络的软硬件资源健康状况，实现统一综合管理。保障城域网出口设备的安全，能够及时跟踪修补系统漏洞，有效防御攻击行为，防止病毒、木马的互相传播。

5.强化人才培养。通过对各学校网络技术人员进行IPv6 技术培训（包括IPv6 网络基础、IPv6 网络故障排查、IPv6路由协议、IPv6 网络安全等）提升整体网络运维管理能力。

遵循原则

1.因地制宜。在不影响现有网络运行的前提下，制定切实可行的实施方案，让IPv6 部署可操作、可演进，无论是双栈架构部署，还是最终过渡到纯IPv6，均确保平稳推进，尽量对用户无感知。

2.设计科学。充分考虑可持续发展和可管可控，为教育城域网未来承载各类多元化业务系统提供基础保障。

3.坚持节约和设备利旧。对能够支持IPv6 部署的设备，原则上继续使用。

部署设计

以邹城市教育城域网核心设备S10510与济宁市核心设备S12508 运行OSPFv3 路由协议，宣告直连、静态及默认路由，下联市（县）直及乡镇中小学和教育机构，通过静态路由下发IPv6 地址段到各单位，各单位IPv6 默认路由指向上联市（县）核心设备，同时部署相应的网络安全防控设备（见图2）。

图2 网络安全升级部署拓扑

IP 地址规划

为保证互通互联和管理，网络地址的分配需要按照省、地市、县的网络规划进行。由此，IP 地址分配按照教育城域网省、地市、区县（市）的管理层级进行规划分配，以便于统一管理和路由调度。

1.管理地址段规划

管理地址可用于对城域网设备的管理，同时也可作为网络设备的标识。为了便于管理，对管理地址进行统一规划。邹城市教育城域网管理地址段统一采用XXXX:XXXX:XXXX:XXXX::/52 前缀的地址块，可以按照以下分配原则将管理地址段进一步划分给辖内各学校：例如，/52 前缀后的4 位用于标识乡镇，接下来的4 位用于标识每个学校，如图3 所示。实施过程中也可以根据实际需要对子网的划分进行调整。此外，根据RFC 6164 要求，原则上每一对点对点互联，独立采用/127 前缀地址。

图3 管理地址段分配示意

2.业务地址规划

业务地址基本规划规则是尽量保证为每个学校分配1 个/48 前缀的IPv6 地址块（如：XXXX:XXXX:XXXX::/48，根据规划具体分配到的IPv6 网络地址加以确定）作为业务地址段。例如，从上级分配单位得到前缀为/40 的地址块，可利用上文中设备的规划编码方法对前缀后的8 位进行划分，每个学校可分配获得一块/48 大小的地址，如图4 所示。学校则根据校内实际不同网络功能区域（如有线区域、无线区域、教学区域等）再进一步划分，以满足不同网络功能区域使用需要。

图4 业务地址段分配示意

3.核心设备出口配置

在市教育信息中心配置专业EMNDHCP 设备，为市（县）下属学校终端统一下发IPv6 地址及相关网络配置参数，实现集中管理与维护。针对不同终端类型，考虑到服务器业务系统长期对外开放业务需保持稳定的要求，采取静态分配IPv6地址方法，手工配置。

学校端设备配置静态路由指向核心设备，配置DHCPv6 服务器或配置终端无状态获取地址，方便师生用PC 终端或移动终端使用。此方式需要在各学校三层网关交换机上启用DHCPv6 Relay 功能，以便实现DHCPv6 Client 与DHCPv6 Server 之间的报文中继（如图5 所示）。

图5 DHCP 设备部署框架设计

通过DHCPv6 添加IPv6 地址池，来保障电脑正常获取IPv6 地址。

4.网络安全防护

IPv6 规模部署虽然能够降低部分网络风险，但依然会面临来自多方面的攻击，所以在保证原网络安全策略不变的基础上，必须同时解决网络层、应用层针对IPv6 的攻击防护问题。一是改进防火墙的策略，对IPv4 延续原有防御规则，增加对非法的IPv6 入站报文过滤，利用防火墙进行互联网出口防御，在防火墙上终结ISATAP（站内自动隧道寻址协议），对隧道内址进行过滤，避免非法地址访问IPv6 网络。二是部署IP 地址识别系统的安全控制，如SIEM（安全信息与事件管理），威胁情报（TI）和脆弱性管理系统/扫描器。三是改进入侵检测系统的配置，加强用户身份认证和权限验证。四是建立主动的网络安全防范体系，做好安全审计、控制，确保网络信息安全。五是制定完善的IPv6安全规则制度，普及IPv6 网络安全知识，定期进行安全培训或宣传，提高人员的安全意识。从过程、源头以及机制上保证网络信息的安全（如图6 所示）。

图6 网络安全防护部署拓扑

5.综合测试

IPv6 连通性测试。网络配置完成后，可通过运行ping -6 www.edu.cn 和tracert-6 www.edu.cn 测试网络连通是否正常。

Web 应用服务测试。例如，查看北邮IPv6 高清视频、世界数字图书馆https://www.wdl.org/zh/等测试是否正常。

安全测试。可以使用网络安全态势感知系统或赛尔绿盟安全云平台等第三方技术支撑来进行安全风险探测。一旦发现存在安全风险，及时进行处置。定期对教育网络运行情况进行综合评估，以便整体掌握风险状态及安全趋势。

存在问题及反思

1.做好摸底调研，确定设备的支持性和适用性。

由于基础教育城域网规模大、覆盖广、设备杂等原因，必须做好前期摸底调研，理清各学校网络信息资产，确定设备可用性，对不支持IPv6 的设备要及时进行固件升级或更换设备，方便做好设备利旧和更新方案，节约成本。

2.采用合理方式解决因地址空间过大造成的地址溯源难度增大问题。

IPv6 地址分配的两种常用方式各有利弊，无状态地址分配使用ND 协议（RFC2461），优点是能够高效进行海量地址分配；缺点是网络侧不管理IPv6 地址的状态，随机分配的地址变化频繁，用户除了获取一个相对固定的IPv6 地址外，还会获得多个临时地址，管理和溯源难度大。有状态地址分配方式使用DHCPv6 协议，优点是能够有效解决溯源和管理问题；缺点是对部分终端、设备支持不够。因此，建议采用有状态地址分配方式，通过DHCPv6 设备记录IPv6 地址分配时的客户端唯一标识符DUID，确保能够准确识别IPv6 地址和人员、设备的对应关系。假如使用无状态分配方式，则需要相应的日志系统来保证溯源。

3.做好教育城域网与互联网的协议（AS）对接。

通常情况下，申请教育网的IPv6地址，内部部署完毕后，还需要通过省级通讯管理部门备案，与运营商的互联网打通，彼此互认地址，保证用户访问的高效便捷。对于一般的县区级教育城域网，只需与上级教育主干网对接即可，如果是独立的教育城域网，则需要走相关业务管理流程实现对接。

4.逐步推进智慧校园物联网终端的IPv6 配置。

对于耗费带宽资源比较大的应用系统，如“三个课堂”、高考指挥管理系统、校园安全监控系统等，则可采取划分VPN 专区子网的方式，实现负载均衡，确保教育城域网安全、高效运行。