IPv6網絡部署實戰（銳捷版）

孔德丽，南京机电职业技术学院副院长，副研究员，教育部学校规划建设发展中心专家，分管学校信息化总体规划和建设。长期从事学校信息化建设的总体规划、建设、管理及维护。主要研究方向为网络及信息安全，以及智慧校园、绿色校园的规划建设。主持省级、校级信息化建设相关课题近10项，公开发表相关研究论文10余篇。

沈群，南京航空航天大学信息化处综合技术服务部主任，网络通信工程师，负责校园网基础设施、校园一卡通、教室多媒体、视频会议等网络工程的建设和维护保障等工作。主持和参与多个省级科研课题，发表相关研究论文多篇。

崔北亮，南京工业大学图书馆副馆长，计算机网络方向硕士生导师，正高级工程师，从事网络方面的教学和研究工作20余年，出版专著12部，发表学术论文多篇。主持申报的《南京工业大学IPv6规模部署和应用实战培育基地》入选国家“2022年互联网协议第六版（IPv6）规模部署和应用优秀案例”。

第 1 章 緒論 1

1.1 IPv4 的局限性 2

1.1.1 地址枯竭 2

1.1.2 地址分配不均 3

1.1.3 骨乾路由表巨大 3

1.1.4 NAT 破壞了端到端通信模型 3

1.1.5 QoS 問題和安全性問題 4

1.2 IPv6 發展歷程及現狀 4

1.3 IPv6 的特性 5

1.4 接入和體驗 IPv6 7

1.4.1 家庭用戶接入 IPv6 7

1.4.2 移動用戶接入 IPv6 9

1.4.3 企業用戶接入 IPv6 10

1.4.4 體驗 IPv6 11

1.5 總結 12

第 2 章 EVE-NG 13

2.1 EVE-NG 簡介 13

2.1.1 EVE-NG 的版本 13

2.1.2 EVE-NG 的安裝方式 14

2.1.3 EVE-NG 的環境準備說明 14

2.2 將 EVE-NG 部署 15

2.2.1 基於 VMware Workstation 環境安裝 15

2.2.2 將 EVE-NG 導入 vSphere ESXi 主機 21

2.2.3 EVE-NG 登錄方式 23

2.3 EVE-NG 管理 25

2.3.1 EVE-NG 主界面 25

2.3.2 實驗主界面 27

實驗 2-1 IPv4 綜合實驗 35

實驗 2-2 EVE-NG 磁盤清理 45

第 3 章 IPv6 基礎 47

3.1 IPv6 地址表示方法 47

3.1.1 首選格式 47

3.1.2 壓縮格式 48

實驗 3-1 驗證 IPv6 地址的合法性 48

3.1.3 內嵌 IPv4 地址的 IPv6 地址格式 50

實驗 3-2 配置內嵌 IPv4 地址格式的 IPv6 地址 50

3.1.4 地址前綴和接口 ID 51

實驗 3-3 設置不同的前綴長度並觀察路由表 51

實驗 3-4 驗證基於 EUI-64 格式的接口 ID 52

3.2 IPv6 地址分類 56

3.2.1 單播地址 56

實驗 3-5 增加和修改鏈路本地單播地址 57

實驗 3-6 數據包捕獲演示 57

3.2.2 任播地址 61

3.2.3 組播地址 61

實驗 3-7 查看路由器上常用的 IPv6 組播地址 62

3.2.4 未指定地址和本地環回地址 63

3.3 ICMPv6 64

3.3.1 ICMPv6 差錯報文 64

3.3.2 ICMPv6 消息報文 65

實驗 3-8 常用的 IPv6 診斷工具 66

3.3.3 PMTU 69

實驗 3-9 演示 PMTU 的使用和 IPv6 分段擴展報頭 70

3.4 NDP 72

3.4.1 NDP 簡介 72

3.4.2 NDP 常用報文格式 73

3.4.3 默認路由自動發現 77

實驗 3-10 網關欺騙防範 78

3.4.4 地址解析過程及鄰居表 83

實驗 3-11 查看鄰居表 83

3.4.5 路由重定向 84

3.5 IPv6 層次化地址規劃 85

第 4 章 IPv6 地址配置方法 87

4.1 節點及路由器常用的 IPv6 地址 87

4.1.1 節點常用的 IPv6 地址 87

4.1.2 路由器常用的 IPv6 地址 88

4.2 DAD 88

實驗 4-1 解決 IPv6 地址沖突問題 89

4.3 手動配置 IPv6 地址 91

實驗 4-2 禁止系統地址自動配置功能 92

4.4 地址自動配置機制及過程 95

4.5 SLAAC 96

實驗 4-3 SLAAC 實驗配置 98

4.6 有狀態 DHCPv6 100

4.6.1 DUID 和 IAID 102

4.6.2 DHCPv6 常見報文類型 103

4.6.3 DHCPv6 地址分配過程 104

實驗 4-4 路由器作為 DHCPv6 服務器分配地址 104

實驗4-5 Windows作為DHCPv6服務器分配地址 110

4.7 無狀態 DHCPv6 116

4.8 IPv6 地址的多樣性和優選配置 116

實驗 4-6 不同類型 IPv6 地址的優先級和選擇 117

4.9 RFC 6724 解讀 121

第 5 章 DNS 124

5.1 DNS 基礎 124

5.1.1 域名的層次結構 125

5.1.2 域名空間 125

5.1.3 域名服務器 126

5.1.4 域名解析過程 127

5.1.5 常見資源記錄 128

5.2 IPv6 域名服務 130

5.2.1 DNS 系統過渡 130

5.2.2 正向 IPv6 域名解析 130

5.2.3 反向 IPv6 域名解析 130

5.2.4 IPv6 域名軟件 131

5.2.5 IPv6 公共 DNS 132

5.3 BIND 軟件 132

5.3.1 BIND 與 IPv6 133

實驗 5-1 在 CentOS 7 下配置 BIND 雙棧解析服務 133

5.3.2 BIND 中的 IPv6 資源記錄 139

5.3.3 BIND 的 IPv6 反向資源記錄 PTR 140

實驗 5-2 配置 BIND IPv6 本地域解析服務 140

5.3.4 ACL 與 IPv6 動態域名 144

實驗 5-3 配置 BIND IPv6 動態域名和智能解析 145

5.3.5 IPv6 域名轉發與子域委派 149

5.4 Windows Server DNS 域名服務 151

實驗 5-4 Windows Server 2016 IPv6 DNS 配置 151

實驗 5-5 配置 DNS 轉發 157

實驗 5-6 巧用 DNS 實現域名封殺 158

實驗 5-7 DNS 委派 158

5.5 配置 IPv4/IPv6 網絡訪問優先級 161

實驗 5-8 調整雙棧電腦 IPv4 和 IPv6 的優先級 163

第 6 章 IPv6 路由技術 166

6.1 路由基礎 166

6.1.1 路由原理 166

6.1.2 路由協議 167

6.2 直連路由 168

6.3 靜態路由 169

6.3.1 常規靜態路由 169

實驗 6-1 配置靜態路由 171

6.3.2 浮動靜態路由 174

實驗 6-2 配置浮動靜態路由 174

6.3.3 靜態路由優缺點 178

6.4 默認路由 178

實驗 6-3 配置默認路由 179

6.5 動態路由 180

6.5.1 靜態路由與動態路由的比較 180

6.5.2 距離矢量和鏈路狀態路由協議 181

6.5.3 常見的動態路由協議 184

6.6 RIPng 186

實驗 6-4 配置 IPv6 RIPng 186

6.7 OSPFv3 189

實驗 6-5 配置 OSPFv3 190

6.8 BGP4+ 192

實驗 6-6 配置 BGP4+基本功能 193

實驗 6-7 配置 BGP4+路由反射功能 197

6.9 路由選路 202

6.9.1 管理距離 203

6.9.2 路由選路原則 203

實驗 6-8 活用靜態路由助力網絡安全 204

6.10 SRv6 208

6.10.1 SRv6 的基本原理 208

6.10.2 SRv6 Policy 213

實驗 6-9 配置 L3VPNv4 over SRv6 Policy 216

第 7 章 IPv6 安全 226

7.1 IPv6 安全綜述 226

7.2 IPv6 主機安全 228

7.2.1 IPv6 主機服務埠查詢 228

7.2.2 關閉 IPv6 主機的數據包轉發 229

7.2.3 主機 ICMPv6 安全策略 229

7.2.4 關閉不必要的隧道 230

7.2.5 主機設置防火牆 231

實驗 7-1 Windows 防火牆策略設置 233

實驗 7-2 CentOS 7.3 防火牆策略設置 240

7.3 IPv6 局域網安全 242

7.3.1 組播問題 242

7.3.2 局域網掃描問題 243

7.3.3 NDP 相關攻擊及防護 243

實驗 7-3 非法 RA 報文的檢測及防範 245

7.3.4 IPv6 地址欺騙及防範 250

實驗 7-4 利用 ND Snooping 功能徹底解決 NDP 攻擊 253

實驗 7-5 應用 uRPF 防止 IPv6 源地址欺騙 258

7.3.5 DHCPv6 安全威脅及防範 260

實驗 7-6 利用 DHCPv6 Snooping 解決 DHCPv6 服務欺騙 261

7.4 IPv6 網絡互聯安全 266

7.4.1 IPv6 路由協議安全 266

實驗 7-7 OSPFv3 的加密和認證 267

7.4.2 IPv6 路由過濾 271

實驗 7-8 IPv6 路由過濾 272

7.4.3 IPv6 訪問控制列表 277

實驗 7-9 應用 IPv6 ACL 限制網絡訪問 278

7.5 網絡設備安全 282

實驗 7-10 對路由器的遠程訪問進行安全加固 282

7.6 防火牆部署 285

實驗 7-11 部署防火牆防範 DoS 攻擊 286

第 8 章 IPv6 網絡過渡技術 297

8.1 IPv6 網絡過渡技術簡介 297

8.1.1 IPv6 過渡的障礙 297

8.1.2 IPv6 發展的各個階段 298

8.1.3 IPv4 和 IPv6 互通問題 298

8.1.4 IPv6 過渡技術 299

8.2 雙棧技術 299

實驗 8-1 配置 IPv6 雙棧 300

8.3 隧道技術 309

8.3.1 GRE 隧道 310

實驗 8-2 GRE 隧道連通 IPv6 孤島 310

實驗 8-3 GRE 隧道連通 IPv4 孤島 313

8.3.2 IPv6 in IPv4 手動隧道 315

8.3.3 6to4 隧道 316

實驗 8-4 6to4 隧道配置 317

8.3.4 ISATAP 隧道 319

實驗 8-5 ISATAP 隧道配置 320

8.3.5 Teredo 隧道 323

實驗 8-6 Teredo 隧道配置 323

8.3.6 其他隧道技術 328

8.3.7 隧道技術對比 328

8.4 協議轉換技術 329

實驗 8-7 NAT64 配置 329

8.5 過渡技術選擇 331

第 9 章 IPv6 應用過渡 332

9.1 遠程登錄服務 332

9.1.1 遠程登錄的主要方式 332

9.1.2 IPv6 網絡中的 Telnet 服務 334

實驗 9-1 在 CentOS 7 系統上配置 Telnet 雙棧管理登錄 334

9.1.3 IPv6 網絡中的 SSH 服務 337

實驗 9-2 在 CentOS 7 系統上配置 SSH 雙棧管理登錄 337

9.1.4 IPv6 網絡下的遠程桌面服務 340

實驗 9-3 在 Windows Server 2016 上配置雙棧遠程桌面登錄 340

9.2 Web 應用服務 345

9.2.1 常用的 Web 服務器 345

9.2.2 IPv6 環境下的 Web 服務配置 345

實驗 9-4 在 CentOS 7 下配置 Apache IPv6/IPv4 雙棧虛擬主機 346

實驗 9-5 在 CentOS 7 下配置 Tomcat IPv6/IPv4 雙棧虛擬主機 351

實驗 9-6 在 CentOS 7 下配置 Nginx IPv6/IPv4 雙棧虛擬主機 354

實驗 9-7 在 Windows Server 2016 下配置 IPv6/IPv4 雙棧虛擬主機 357

9.3 FTP 應用服務 359

實驗 9-8 在 CentOS 7 下配置 Vsftpd FTP 雙棧服務 360

實驗 9-9 在 Windows Server 2016 下配置 IPv6 FTP 雙棧服務 365

9.4 數據庫應用服務 368

9.4.1 主流數據庫服務軟件簡介 368

9.4.2 MySQL 數據庫的 IPv6 配置 369

實驗 9-10 在 CentOS 7 下配置 MySQL 數據庫雙棧服務 369

9.5 反向代理技術 372

實驗 9-11 基於 Linux 的 Nginx IPv6 反向代理 373

實驗 9-12 基於 Windows 的 Nginx IPv6 反向代理 376