IPv6 網絡部署實戰

崔北亮，現任職於南京工業大學信息中心，副主任，高級工程師，從事網絡方面的教學和研究工作20多年。
2000年取得微軟MCSE認證，2006年取得思科R&S CCIE認證，2007年取得銳捷RCSI講師認證，2008年通過思科Security CCIE筆試，2016年取得VMware VCP認證。

徐斌，現任職於南京鐵道職業技術學院信息管理中心，副主任，高級工程師，長期從事學校信息化建設和計算機網絡教學工作。

丁勇，現任職南京科技職業學院信息技術中心，主要研究方向為信息化管理、網絡技術、軟件技術；負責學校信息化項目的規劃、建設、管理和應用。

目錄

第1章緒論1
1．1 IPv4局限性2
1．1．1地址枯竭2
1．1．2地址分配不均3
1．1．3骨幹路由表巨大3
1．1．4 NAT破壞了端到端通信模型3
1．1．5 QoS問題和安全性問題4
1．2 IPv6發展歷程及現狀4
1．3 IPv6的特性6
1．4總結8

第2章EVE-NG 9
2．1 EVE- NG簡介9
2．1．1 EVE-NG的版本9
2．1．2 EVE-NG的安裝方式10
2．1．3計算機的硬件要求10
2．1．4安裝VMware Workstation 10
2．2 EVE- NG部署11
2．2．1導入EVE-NG虛擬機11
2．2．2 VMware Workstation中的
網絡類型14
2．2．3 EVE-NG登錄方式17
2．2．4 EVE-NG導入vSphere ESXi
主機19
2．3 EVE-NG管理21
2．3．1 EVE-NG調優21
2．3．2性能測試23
2．3．3 EVE-NG主界面27
2．3．4實驗主界面29
實驗2-1 IPv4路由和交換綜合實驗36
實驗2-2防火牆配置41
實驗2-3 EVE-NG磁盤清理45

第3章IPv6基礎47
3．1 IPv6地址表示方法47
3．1．1首選格式47
3．1．2壓縮格式48
實驗3-1驗證IPv6地址的合法性48
3．1．3內嵌IPv4地址的IPv6地址格式50
實驗3-2配置內嵌IPv4地址格式的IPv6地址51
3．1 ．4子網前綴和接口ID 52
實驗3-3設置不同的前綴長度生成不同的路由表52
實驗3-4驗證基於EUI-64格式的接口ID 53
3．2 IPv6地址分類56
3．2．1單播地址56
實驗3-5增加和修改鏈路本地單播地址57
實驗3-6數據包捕獲演示58
3．2．2任播地址61
實驗3-7一個簡單的任播地址實驗62
3． 2．3組播地址64
實驗3-8路由器上常用的IPv6地址65
實驗3-9抓包分析組播報文66
3．2．4未指定地址和本地環回地址67
3．3 ICMPv6 68
3 ．3．1 ICMPv6差錯報文68
3．3．2 ICMPv6消息報文69
實驗3-10常用的IPv6診斷工具70
3．3．3 PMTU（路徑MTU） 73
實驗3-11演示PMTU的使用和IPv6分段擴展報頭73
3．4 NDP 75
3．4．1 NDP簡介75
3 ．4．2 NDP常用報文格式76
3．4．3默認路由自動發現79
實驗3-12網關欺騙防範80
3．4．4地址解析過程及鄰居表86
實驗3-13查看鄰居表86
3． 4．5路由重定向87
3．5 IPv6層次化地址規劃88

第4章IPv6地址配置方法90
4．1節點及路由器常用的IPv6地址90
4．1．1節點常用的IPv6地址90
4．1． 2路由器常用的IPv6地址91
4．2 DAD 91
實驗4-1 IPv6地址衝突的解決92
4．3手動配置IPv6地址94
實驗4-2禁止系統地址自動配置功能95
4．4地址自動配置機制及過程98
4．5 SLAAC 99
實驗4-3 SLAAC實驗配置102
4．6有狀態DHCPv6 104
4．6．1 DUID和IAID 105
4．6．2 DHCPv6常見報文類型107
4．6．3 DHCPv6地址分配流程107
實驗4-4路由器做DHCPv6服務器分配108
實驗4-5用Windows做DHCPv6服務器113
4．7無狀態DHCPv6 120
4．8 DHCPv6-PD 120
實驗4-6 DHCPv6- PD實驗122
4．9 IPv6地址的多樣性和優選配置127
實驗4-7不同類型IPv6地址的優先和選擇127

第5章DNS 132
5．1 DNS基礎132
5．1．1域名的層次結構133
5 ．1．2域名空間133
5．1．3域名服務器134
5．1．4域名解析過程135
5．1．5常見資源記錄136
5．2 IPv6域名服務138
5．2．1 DNS過渡138
5． 2．2正向IPv6域名解析138
5．2．3反向IPv6域名解析139
5．2．4 IPv6域名軟件139
5．2．5 IPv6公共DNS 140
5．3 BIND軟件141
5．3．1 BIND與IPv6 141
實驗5-1在CentOS 7下安裝配置BIND雙棧解析服務141
5．3．2 BIND中的IPv6資源記錄148
5．3．3 BIND的IPv6反向資源記錄PTR 148
實驗5-2配置BIND IPv6本地域解析服務148
5．3．4 ACL與IPv6動態域名153
實驗5-3配置BIND IPv6動態域名和智能解析154
5．3．5 IPv6域名轉發與子域委派157
5．4 Windows Server DNS域名服務160
實驗5-4 Windows Server 2016 IPv6 DNS配置160
實驗5-5配置DNS轉發167
實驗5-6巧用DNS實驗域名封殺168
實驗5-7 DNS委派168
5．5 IPv4/IPv6網絡訪問優先配置171
實驗5-8調整雙棧計算機IPv4和IPv6的優先173

第6章IPv6路由技術176
6．1路由基礎176
6．1 ．1路由原理176
6．1．2路由協議177
6．2直連路由178
6．3靜態路由179
6．3．1常規靜態路由179
實驗6-1配置靜態路由181
6．3．2浮動靜態路由184
實驗6-2配置浮動靜態路由184
6．3．3靜態路由優缺點189
6．4默認路由190
實驗6-3配置默認路由190
6．5動態路由協議192
6．5．1靜態路由與動態路由的比較192
6．5．2距離矢量和鏈路狀態路由協議192
6．5．3常見的動態路由協議196
6．6 RIPng 197
實驗6-4配置IPv6 RIPng 197
6．7 OSPFv3 200
實驗6-5配置OSPFv3 201
6．8路由選路203
6．8．1管理距離203
6．8．2路由選路原則204
實驗6-6活用靜態路由助力網絡安全206

第7章IPv6安全211
7．1 IPv6安全綜述211
7．2 IPv6主機安全213
7．2．1 IPv6主機服務端口查詢213
7．2．2關閉IPv6主機的數據包轉發214
7．2．3主機ICMPv6安全策略214
7．2．4關閉不必要的隧道215
7．2．5主機設置防火牆216
實驗7-1 Windows防火牆策略設置218
實驗7-2 CentOS 7．3防火牆策略設置225
7．3 IPv6局域網安全227
7．3．1組播問題227
7．3．2局域網掃描問題228
7．3．3 NDP相關攻擊及防護228
實驗7-3非法RA報文的檢測及防範231
7．3．4 IPv6地址欺騙及防範235
實驗7-4應用URPF防止IPv6源地址欺騙236
7．3．5 DHCPv6安全威脅及防範238
7．4 IPv6網絡互聯安全240
7．4．1 IPv6路由協議安全240
實驗7-5 OSPFv3的加密和認證241
7．4．2 IPv6路由過濾245
實驗7-6 IPv6路由過濾246
7．4．3 IPv6訪問控制列表251
實驗7-7應用IPv6 ACL限製網絡訪問252
7．5網絡設備安全257
實驗7-8對路由器的遠程訪問進行安全加固257

第8章IPv6網絡過渡技術261
8．1 IPv6網絡過渡技術簡介261
8．1．1 IPv6過渡的障礙261
8．1．2 IPv6發展的各個階段262
8．1．3 IPv4和IPv6互通問題262
8．1．4 IPv6過渡技術概述263
8．2雙棧技術264
實驗8-1配置IPv6雙棧264
8．3隧道技術272
8．3．1 GRE隧道272
實驗8-2 GRE隧道互連IPv6孤島273
實驗8-3 GRE隧道互連IPv4孤島276
實驗8-4 IPv4客戶端使用PPTP VPN隧道訪問IPv6網絡278
實驗8-5 IPv6客戶端使用L2TP VPN訪問IPv4網絡290
8．3．2 IPv6 in IPv4手動隧道292
8．3．3 6to4隧道293
實驗8 -6 6to4隧道配置294
8．3．4 ISATAP隧道297
實驗8-7 ISATAP隧道配置298
8．3．5 Teredo隧道300
實驗8-8 Teredo隧道配置301
8．3．6其他隧道技術306
8．3 ．7隧道技術對比306
8．4協議轉換技術307
8．4．1 NAT-PT轉換技術307
實驗8-9靜態NAT-PT配置307
實驗8-10動態NAT/NAPT-PT配置309
實驗8-11防火牆上的NAPT-PT配置311
8．4．2 NAT64/DNS64轉換技術313
實驗8-12 NAT64配置313
實驗8-13 DNS64配置315
8．4．3其他轉換技術316
8．5過渡技術選擇317

第9章IPv6應用過渡318
9．1遠程登錄服務318
9．1．1遠程登錄的主要方式318
9．1．2 IPv6網絡中的Telnet服務320
實驗9-1在CentOS 7系統上配置Telnet雙棧管理登錄320
9．1．3 IPv6網絡中的SSH服務323
實驗9-2在CentOS 7系統上配置SSH雙棧管理登錄323
9．1．4 IPv6網絡下的遠程桌面服務326
實驗9-3在Windows Server 2016上配置雙棧遠程桌面登錄327
9．2 Web應用服務331
9．2．1常用的Web服務器331
9．2．2 IPv6環境下的Web服務配置332
實驗9-4在CentOS 7下配置Apache IPv6/IPv4雙棧虛擬主機332
實驗9-5在CentOS 7下配置Tomcat IPv6/IPv4雙棧虛擬主機337
實驗9-6在CentOS 7下配置Nginx IPv6/IPv4雙棧虛擬主機340
實驗9-7在Windows Server 2016下配置IPv6/IPv4雙棧虛擬主機343
9．3 FTP應用服務345
實驗9-8在CentOS 7下安裝配置vsftpd FTP雙棧服務346
實驗9-9在Windows Server 2016下配置IPv6 FTP雙棧服務351
9．4數據庫應用服務354
實驗9-10在CentOS 7下安裝配置MySQL數據庫雙棧服務355
9 ．5反向代理技術358
實驗9-11基於Linux的Nginx IPv6反向代理360
實驗9-12基於Windows的Nginx IPv6反向代理365

第10章IPv6多出口和實名認證370
10．1 IPv6多出口370
10．1．1 IPv6多出口的必要性370
10．1．2 IPv6多出口的複雜性371
10．1．3 RFC6724解讀373
實驗10-1利用前綴策略表調整地址優先376
實驗10-2 IPv6多出口解決方案一（配單運營商IPv6地址+NAT66） 382
實驗10-3 IPv6多出口解決方案二（配多運營商IPv6地址+NAT66冗災） 390
實驗10-4 IPv6多出口解決方案三（配多運營商IPv6地址，禁用NAT66） 391
10．2 IPv6實名認證399
10．2．1認證簡介400
10．2．2認證場景401
實驗10-5純IPv6單一前綴認證402
實驗10-6 IPv6多前綴聯動IPv4認證406

第11章IPv6智能網絡管理系統（Zabbix） 411
11．1網管系統簡介411
11．2 Zabbix服務器的IPv6網絡配置412
11．3 Zabbix網管系統的安裝414
11．4監控Zabbix主機422
11．4．1 Linux下的Zabbix agent安裝422
11．4．2 Windows下的Zabbix agent安裝424
11．4．3添加Zabbix agent主機425
11．5 SNMP管理430
11．5．1配置SNMP 430
11． 5．2添加SNMP設備431
11．5．3添加ICMP設備434
11．5．4繪製網絡拓撲434
11．5．5添加私有MIB 442
11．6設置告警444
11．7主機自動發現450
11．8網絡設備配置自動備份452
11．9 Web網站監控456