雙棧用戶(hù)的PPPoE接入及網(wǎng)絡(luò)部署

張書(shū)民 田海建 許 靜

山東省郵電規(guī)劃設(shè)計(jì)院有限公司 濟(jì)南 250031

概述

IANA及APNIC可分配的IPv4公有地址已于2011年上半年分配完畢,國(guó)內(nèi)各運(yùn)營(yíng)商申請(qǐng)的IPv4地址也將陸續(xù)耗盡。為解決IPv4地址枯竭后網(wǎng)絡(luò)和業(yè)務(wù)的可持續(xù)發(fā)展問(wèn)題,運(yùn)營(yíng)商紛紛開(kāi)始試點(diǎn)布局IPv6。PPPoE接入方案是目前國(guó)內(nèi)外比較普遍采用的接入方案,過(guò)渡初期,PC終端操作系統(tǒng)大多都是同時(shí)支持IPv4和IPv6雙棧,只支持純IPv6協(xié)議棧的較少。因此,研究雙棧環(huán)境下PPPoE接入認(rèn)證技術(shù)及相關(guān)網(wǎng)絡(luò)部署,對(duì)于實(shí)現(xiàn)IPv4網(wǎng)絡(luò)向IPv6網(wǎng)絡(luò)順利過(guò)渡非常必要。

1 PPPoE接入的基本流程

PPPoE接入方案基于PPPoE和AAA架構(gòu)對(duì)終端設(shè)備進(jìn)行接入控制,是目前國(guó)內(nèi)外普遍采用的接入方案。

1.1 IPv6單棧用戶(hù)的PPPoE接入流程

IPv4環(huán)境下,PPPoE協(xié)議簇包括PPPoE發(fā)現(xiàn)協(xié)議、LCP協(xié)議、NCP協(xié)議中的IPCP協(xié)議。在PPPoE鏈路建立過(guò)程中,依次建立虛擬鏈路、配置鏈路層相關(guān)參數(shù)、配置網(wǎng)絡(luò)層相關(guān)參數(shù)。PPPoE鏈路建立過(guò)程可分為兩個(gè)階段:發(fā)現(xiàn)階段和會(huì)話階段,會(huì)話階段是在同一個(gè)PPPoE接入認(rèn)證控制鏈路域內(nèi)與BRAS協(xié)商唯一的PPPoE Session-ID,會(huì)話階段包括PPP鏈路建立和PPP網(wǎng)絡(luò)層配置兩個(gè)協(xié)商過(guò)程以及PPPoE的認(rèn)證過(guò)程[1]。

IPv6環(huán)境下PPPoE鏈路建立過(guò)程與IPv4環(huán)境下PPPoE鏈路建立過(guò)程沒(méi)有本質(zhì)的區(qū)別。PPPoE的前兩個(gè)階段,PPPoE虛擬鏈路建立階段和PPPoE數(shù)據(jù)鏈路建立是完全一致的,網(wǎng)絡(luò)層配置階段也是相似的,區(qū)別就是在網(wǎng)絡(luò)層配置階段使用IPv6CP來(lái)配置網(wǎng)絡(luò)層參數(shù)。PPPoE認(rèn)證成功后,進(jìn)入NCP配置階段,純IPv6網(wǎng)絡(luò)開(kāi)始進(jìn)行網(wǎng)絡(luò)層配置,使用的協(xié)議為IPv6CP。

典型的PPPoE鏈路建立報(bào)文交互過(guò)程如圖1所示。

圖1 典型的PPPoE鏈路建立報(bào)文交互過(guò)程

PPP標(biāo)準(zhǔn)RFC5072僅僅通過(guò)PPP的NCP(IPv6CP)協(xié)商Interface-ID,不做其他額外工作。這個(gè)Interface-ID的目的是用來(lái)創(chuàng)建終端的Link-local地址,即后64位采用NCP協(xié)商的ID,前64位采用FE80::/64[2-3]。在整個(gè)PPPoE建立完連接后,終端設(shè)備并沒(méi)有獲得一個(gè)完整的全局IPv6地址,IPv6終端獲得全局IPv6地址可通過(guò)兩種方式獲得[1,4]。

一種方式是PPPoE+ND,即PPPoE認(rèn)證成功后,通過(guò)ND方式獲取IPv6前綴,此前綴和協(xié)商好的接口ID組合成全局IPv6地址。PPPoE連接完成后,PC發(fā)起NDRS,BRAS收到NDRS請(qǐng)求后,回應(yīng)NDRA下傳IPv6前綴,PC收到NDRA后,自動(dòng)生成IPv6公網(wǎng)地址,完成IPv6公網(wǎng)地址的配置。對(duì)于DNS地址,如果PC的PPPoE邏輯接口設(shè)定DNS地址自動(dòng)獲取(O標(biāo)志位置1,主機(jī)使用DHCPv6獲取除地址以外的其他參數(shù)),PC則會(huì)通過(guò)DHCPv6協(xié)議發(fā)送Information Request請(qǐng)求報(bào)文,攜帶DNS Recursive Name Server option(option-code為OPTION_DNS_SERVERS[5]),BRAS通過(guò)DHCPv6的Reply報(bào)文回應(yīng)請(qǐng)求報(bào)文,下傳DNS地址,完成PPPoE邏輯接口IPv6協(xié)議配置。

另一種方式是PPPoE+DHCPv6方式,即PPPoE認(rèn)證成功后,通過(guò)DHCPv6方式下發(fā)IPv6地址前綴或全局IPv6地址。PPPoE連接完成后,PC通過(guò)DHCPv6協(xié)議報(bào)文發(fā)送Solicit多播報(bào)文尋找DHCPv6服務(wù)器,BRAS發(fā)送Advertise單播報(bào)文響應(yīng),表示它可以提供地址和參數(shù)配置服務(wù);PC再以單播的方式向BRAS發(fā)送Request請(qǐng)求報(bào)文,請(qǐng)求服務(wù)器為其分配IPv6前綴(option-code為OPTION_IAPREFIX[6])及DNS地址,BRAS使用Reply報(bào)文確認(rèn)分配IPv6前綴以及DNS地址。PC根據(jù)獲取的IPV6前綴生成IPv6公網(wǎng)地址,完成PPPoE邏輯接口的IPv6協(xié)議配置。PC也可以直接通過(guò)DHCPv6獲取IPv6地址和DNS地址,完成PPPoE邏輯接口的IPv6協(xié)議配置。

IPv4中,DHCPv4協(xié)議分配網(wǎng)關(guān)地址,而在IPv6中,DHCPv6 Server不分配缺省網(wǎng)關(guān),缺省網(wǎng)關(guān)通過(guò)RA報(bào)文獲得。在ND協(xié)議的RS-RA報(bào)文交互中,RA報(bào)文的源IPv6地址即為IPv6主機(jī)的網(wǎng)關(guān)地址,而且該地址類(lèi)型必須是路由器的鏈路本地地址。同時(shí),IPv6主機(jī)收到路由器通告報(bào)文時(shí),會(huì)以路由器的鏈路-本地地址為下一跳創(chuàng)建一條默認(rèn)路由,路由器的生存期字段指定了該默認(rèn)路由的有效期,當(dāng)此字段值為0時(shí),表示此默認(rèn)路由器不可再作為默認(rèn)路由器。

1.2 雙棧用戶(hù)的PPPoE接入流程

向IPv6過(guò)渡初期,終端操作系統(tǒng)大多都需要同時(shí)支持IPv4和IPv6雙棧,只支持純IPv6的協(xié)議棧較少,因此研究雙棧用戶(hù)的接入流程具有重要的意義。

雙棧用戶(hù)同時(shí)擁有IPv4和IPv6兩個(gè)地址,PPPoE雙棧用戶(hù)在NCP協(xié)商階段同時(shí)進(jìn)行IPCP和IPv6CP的協(xié)商,其他階段與IPv6用戶(hù)的PPPoE基本流程相比沒(méi)有變化。實(shí)際網(wǎng)絡(luò)中,根據(jù)終端工作模式的不同,雙棧用戶(hù)的接入流程略有不同。

家庭網(wǎng)關(guān)(CPE)的工作模式可分為橋接模式和路由模式兩種。對(duì)于橋接型的CPE,ISP直接為用戶(hù)PC分配IP地址,完成用戶(hù)的接入認(rèn)證;對(duì)于路由型的CPE,ISP為CPE分配IP地址,完成接入認(rèn)證,CPE再為用戶(hù)PC分配地址并進(jìn)行相關(guān)配置。

1) 家庭網(wǎng)關(guān)工作在橋接模式。這種模式下,由PC發(fā)起PPPoE連接,家庭網(wǎng)關(guān)只需二層轉(zhuǎn)發(fā)用戶(hù)和BRAS間的報(bào)文。

對(duì)于IPv4,BRAS通過(guò)IPCP為終端分配IPv4地址并下發(fā)DNS等參數(shù);對(duì)于IPv6,BRAS通過(guò)IPv6CP為終端分配接口ID,并通過(guò)ND協(xié)議分配IPv6前綴或者DHCPv6協(xié)議分配IPv6地址。橋接模式下雙棧用戶(hù)的PPPoE接入流程(ND協(xié)議分配IPv6前綴)如圖2所示。

圖2 橋接模式下雙棧用戶(hù)的PPPoE接入流程

2) 家庭網(wǎng)關(guān)工作在路由模式。這種模式下,由家庭網(wǎng)關(guān)發(fā)起PPPoE連接,在家庭網(wǎng)關(guān)WAN側(cè)和LAN側(cè)分別進(jìn)行不同的配置,接入流程如圖3所示。

在WAN側(cè),BRAS使用DHCPv6-PD機(jī)制為家庭網(wǎng)關(guān)分配IPv6前綴。家庭網(wǎng)關(guān)發(fā)送Solicit報(bào)文攜帶IA-PD選項(xiàng)請(qǐng)求BRAS為其分配IPv6前綴,BRAS發(fā)送Advertise報(bào)文響應(yīng),并在Request和Reply報(bào)文交互之后完成家庭網(wǎng)關(guān)的前綴分配。

在LAN側(cè),家庭網(wǎng)關(guān)使用ND協(xié)議為用戶(hù)分配前綴或DHCPv6協(xié)議為用戶(hù)分配IPv6地址,封裝PPPoE頭和Ethernet頭,轉(zhuǎn)發(fā)用戶(hù)IPv6數(shù)據(jù)報(bào)文。

與橋接模式相比,路由模式的前幾步只是配置了CPE的WAN口的IPv4地址和IPv6地址,PC并沒(méi)有完成地址配置。為給用戶(hù)PC分配IPv4和IPv6地址并配置信息,CPE需要調(diào)用DHCPv4完成PC的IPv4地址配置,調(diào)用DHCPv6完成IPv6地址配置。

圖3 路由模式下雙棧用戶(hù)的PPPoE接入流程

對(duì)于PPPoE接入,無(wú)論橋接型CPE還是路由型CPE,用戶(hù)的IPv4接入和IPv6接入都不受接入網(wǎng)絡(luò)的影響,差別僅在于PPPoE撥號(hào)的起點(diǎn)分別在PC和CPE。兩種模式下雙棧PPPoE用戶(hù)的地址分配過(guò)程如表1。

表1 不同模式下雙棧PPPoE用戶(hù)的地址分配

2 雙棧用戶(hù)的PPPoE部署

在實(shí)際的寬帶接入中,用戶(hù)終端必須完成接入認(rèn)證、獲得IP地址、DNS服務(wù)器等信息后才能訪問(wèn)服務(wù)器。用戶(hù)訪問(wèn)網(wǎng)絡(luò),首先由終端(PC或家庭網(wǎng)關(guān))發(fā)起PPPoE連接請(qǐng)求,由支持IPv6的BRAS終結(jié)用戶(hù)IPv6的PPP請(qǐng)求,在AAA、DNS的配合下完成用戶(hù)的接入認(rèn)證。

2.1 相關(guān)設(shè)備及系統(tǒng)的功能要求

雙棧用戶(hù)終端接入網(wǎng)絡(luò)訪問(wèn)應(yīng)用服務(wù)器時(shí),相關(guān)的設(shè)備和系統(tǒng)必須同時(shí)支持IPv4、IPv6相關(guān)功能。涉及的設(shè)備和系統(tǒng)必須支持雙棧運(yùn)行,具體的要求如下。

終端:對(duì)于橋接模式下的PC終端需支持IPv6協(xié)議和PPPoE撥號(hào),支持IPCP/IPv6CP協(xié)議,支持DHCPv4、DHCPv6等功能;路由模式的家庭網(wǎng)關(guān)在支持以上功能的同時(shí)還需支持DHCPV6-PD功能,根據(jù)匯聚層過(guò)渡部署方案選擇支持隧道功能。對(duì)于PC終端采用Windows XP操作系統(tǒng)的,由于XP操作系統(tǒng)不支持IPv6CP協(xié)議和DHCPv6協(xié)議,所以不支持雙棧PPPoE撥號(hào),需要額外的撥號(hào)終端軟件支持。

接入網(wǎng):PPPoE不受二層接入網(wǎng)的影響,可直接透?jìng)鞯紹RAS,終結(jié)PPP幀,因此,現(xiàn)有的二層接入網(wǎng)只需升級(jí)或替換支持IPv6的安全策略。

BRAS:BRAS是雙棧用戶(hù)PPPoE接入的關(guān)鍵設(shè)備,需要支持PPPoE、DHCPv4、DHCPv6和DHCPV6-PD、RADIUS等功能,支持無(wú)狀態(tài)和有狀態(tài)的地址分配。

AAA:支持IPv6的接入認(rèn)證、授權(quán)和計(jì)費(fèi)。

DNS:支持AAAA記錄查詢(xún)。

2.2 關(guān)鍵節(jié)點(diǎn)部署方案及策略

2.2.1 BRAS部署

BRAS是PPPoE接入的核心設(shè)備和部署關(guān)鍵節(jié)點(diǎn),根據(jù)現(xiàn)網(wǎng)設(shè)備對(duì)IPv6的支持情況,對(duì)BRAS的部署方案不同。

1) 已支持IPv6的BRAS。如運(yùn)營(yíng)商的BRAS已經(jīng)支持IPv6并能雙棧運(yùn)行,用戶(hù)終端可發(fā)起PPPoE撥號(hào),完成IPv4和IPv6的地址分配和終端配置,完成雙棧用戶(hù)的PPPoE接入認(rèn)證。

2) 需升級(jí)支持IPv6的BRAS。如運(yùn)營(yíng)商的BRAS可通過(guò)升級(jí)支持IPv6,需對(duì)BRAS進(jìn)行升級(jí),開(kāi)啟雙棧,并完成用戶(hù)的接入認(rèn)證。

3) 不能升級(jí)支持IPv6的BRAS。如運(yùn)營(yíng)商BRAS不能升級(jí)支持IPv6,可選用支持IPv6的BRAS替換老舊BRAS;過(guò)渡初期為保護(hù)現(xiàn)網(wǎng)投資,可以配合使用L2TP隧道完成IPv6用戶(hù)的接入。

邊緣路由器不支持IPv6的情況下,可以通過(guò)L2TP協(xié)議接入到其他支持IPv6并開(kāi)啟雙棧的BRAS。原BRAS作為L(zhǎng)AC,遠(yuǎn)端BRAS作為L(zhǎng)NS,LAC和LNS之間建立L2TP隧道。PPPoE通過(guò)L2TP接入時(shí),PPPoE與LAC端交互不變,L2TP協(xié)議本身的交互不變,只有PPPoE用戶(hù)與LNS端交互發(fā)生變化,LNS需要為PPPoE用戶(hù)分配IPv6地址或者前綴。典型的用戶(hù)接入模型如圖4所示。

圖4 典型的用戶(hù)接入模型

2.2.2 DNS部署

為支持雙棧用戶(hù)訪問(wèn)網(wǎng)絡(luò),DNS系統(tǒng)需要能夠同時(shí)支持IPv4和IPv6域名解析。目前DNS系統(tǒng)大多支持IPv6地址的記錄,在小規(guī)模試點(diǎn)階段,為避免與現(xiàn)有IPv4域名系統(tǒng)相互影響,可考慮建立獨(dú)立的IPv4/IPv6雙棧域名管理系統(tǒng)為雙棧用戶(hù)進(jìn)行域名解析。若DNS服務(wù)器中同時(shí)有A記錄和AAAA記錄,則為終端返回IPv4地址和IPv6地址,終端根據(jù)操作系統(tǒng)的默認(rèn)選擇IPv4或IPv6地址進(jìn)行訪問(wèn)。

目前DNS承載網(wǎng)絡(luò)尚不支持IPv6,這種情況下,可采用IPv4封裝的DNS請(qǐng)求,為用戶(hù)進(jìn)行地址解析。后期通過(guò)對(duì)DNS承載網(wǎng)絡(luò)的交換機(jī)和路由器升級(jí)支持IPv6,可使承載網(wǎng)具備支持IPv6訪問(wèn)的能力。

關(guān)于IPv6主機(jī)獲取DNS參數(shù)的方式,除了采用DHCPv6協(xié)議外,RFC6106還提出使用RA option進(jìn)行DNS下發(fā)[7]?；赗A Option的DNS配置可以使主機(jī)在同一個(gè)RA報(bào)文中獲取DNS信息,也使網(wǎng)絡(luò)不必運(yùn)行DHCPv6,這在IPv6主機(jī)地址配置方式為無(wú)狀態(tài)地址自動(dòng)配置,或者網(wǎng)絡(luò)中根本不支持DHCPv6、主機(jī)沒(méi)有DHCPv6客戶(hù)端的情況下,是一種有效的備選方式。這樣即使網(wǎng)絡(luò)不支持DHCPv6,也可以完成主機(jī)的基本參數(shù)配置。但如果網(wǎng)絡(luò)要求額外的參數(shù)而必須部署DHCPv6,對(duì)于基于RA的DNS配置則不是必需的。

雙棧主機(jī)可以分別使用IPv4和IPv6進(jìn)行DNS解析,根據(jù)DNS服務(wù)器中攜帶的地址決定使用IPv4或IPv6進(jìn)行訪問(wèn)。但目前部署純IPv6的DNS仍有困難,雙?？蛻?hù)端可以借助IPv4 DHCP SERVER下發(fā)DNS服務(wù)器地址進(jìn)行IPv6地址解析,而不需要單獨(dú)的DHCPv6 SERVER下發(fā)DNS服務(wù)器地址。

3 IPv6 PPPoE部署存在的問(wèn)題

在IPv4時(shí)代,用戶(hù)上網(wǎng)的所有參數(shù)在PPP協(xié)議的NCP提供全部解決方案。首先PPP的LCP階段實(shí)現(xiàn)用戶(hù)上網(wǎng)認(rèn)證,認(rèn)證通過(guò)后進(jìn)入PPP的NCP階段,協(xié)商上網(wǎng)需要的終端地址、DNS地址和缺省網(wǎng)關(guān)地址。雙棧環(huán)境下卻存在一些問(wèn)題。

1) 終端對(duì)IPv6支持能力不足。Windows XP及其以前的Windows系統(tǒng)均不支持IPv6CP,也不支持DHCPv6客戶(hù)端功能;而現(xiàn)有寬帶用戶(hù)中采用Windows XP系統(tǒng)的仍占很高的比例,部署IPv6將對(duì)用戶(hù)造成一定的影響。

2) IPv6在NCP階段僅協(xié)商Interface-ID,不能獲得完整的IPv6地址,終端接口地址或者路由型家庭網(wǎng)關(guān)WAN口地址依然需要通過(guò)ND或者DHCPv6獲得,這導(dǎo)致用戶(hù)認(rèn)證授權(quán)時(shí)間延長(zhǎng)。

3) 在雙棧終端的地址分配機(jī)制中,BRAS并不能同時(shí)完成IPv4和IPv6地址的分配,BRAS在下發(fā)一個(gè)IP地址后即用accounting-start消息上報(bào)計(jì)費(fèi),而不會(huì)等待另一個(gè)地址分配完成,不能對(duì)IPv4和IPv6業(yè)務(wù)進(jìn)行同步計(jì)費(fèi)。

4) 只有對(duì)流量的統(tǒng)計(jì)屬性,但是不能區(qū)分是IPv4還是IPv6流量,無(wú)法滿足運(yùn)營(yíng)商針對(duì)IPv4和IPv6流量分別計(jì)費(fèi)的要求。

5) 雙棧運(yùn)行使網(wǎng)絡(luò)更加復(fù)雜,故障排除更加困難,這給網(wǎng)絡(luò)運(yùn)維帶來(lái)了很大的挑戰(zhàn)。

4 結(jié)束語(yǔ)

互聯(lián)網(wǎng)業(yè)務(wù)的快速發(fā)展,使IPv4地址耗盡速度和IPv6部署進(jìn)程加快。雙棧技術(shù)作為IPv4網(wǎng)絡(luò)向IPv6過(guò)渡的主要方式,會(huì)使雙棧用戶(hù)在現(xiàn)網(wǎng)中的比例逐步提高。由于IPv6與IPv4協(xié)議不兼容,向IPv6過(guò)渡必然會(huì)影響現(xiàn)有IPv4用戶(hù),且由于寬帶用戶(hù)規(guī)模龐大,部署IPv6后出現(xiàn)的問(wèn)題將會(huì)造成較大范圍的影響?，F(xiàn)網(wǎng)中PPPoE作為主要的認(rèn)證方式,部署IPv6后PPPoE方式仍將繼續(xù)沿用,雙棧用戶(hù)PPPoE接入的流程有待進(jìn)一步優(yōu)化,其他存在的問(wèn)題和對(duì)用戶(hù)造成的影響需要在網(wǎng)絡(luò)試點(diǎn)中逐步發(fā)現(xiàn)并解決。在向IPv6過(guò)渡過(guò)程中,完成用戶(hù)的接入認(rèn)證只是用戶(hù)使用IPv6網(wǎng)絡(luò)的第一步,要實(shí)現(xiàn)IPv6環(huán)境下網(wǎng)絡(luò)的可運(yùn)營(yíng)、可管理,需要網(wǎng)絡(luò)支撐系統(tǒng)、運(yùn)維支撐系統(tǒng)的同步升級(jí)。這將是一個(gè)漫長(zhǎng)、復(fù)雜的過(guò)程,需要綜合考慮投資成本、網(wǎng)絡(luò)現(xiàn)狀及技術(shù)發(fā)展趨勢(shì),選擇適合的方式進(jìn)行網(wǎng)絡(luò)過(guò)渡。在IPv6網(wǎng)絡(luò)部署過(guò)程中,需要不斷發(fā)現(xiàn)并解決問(wèn)題,總結(jié)經(jīng)驗(yàn),使IPv6網(wǎng)絡(luò)部署對(duì)現(xiàn)有IPv4用戶(hù)的影響最小化,以推動(dòng)網(wǎng)絡(luò)向IPv6平滑演進(jìn)。

參考文獻(xiàn)

[1]楊國(guó)良,李陽(yáng)春,伍佑明,等.IPv6技術(shù)、部署與業(yè)務(wù)應(yīng)用[M].北京:人民郵電出版社,2011

[2]胡捷,王茜,陳運(yùn)清.IPv6過(guò)渡期的用戶(hù)接入認(rèn)證[C]//下一代互聯(lián)網(wǎng)與應(yīng)用研討會(huì)論文集,2011:114-117

[3]Broadband Forum TR-187_Issue-2.IPv6 for PPP Broadband Access[S].2013

[4]陳琦.IPv6環(huán)境下的PPPoE接入技術(shù)研究[J].電信科學(xué),2010(7):14-16

[5]IETF RFC 3646.DNS Conf i guration options for Dynamic Host Conf i guration Protocol for IPv6[S].2003

[6]IETF RFC 3633.IPv6 Pref i x Options for Dynamic Host Conf i guration Protocol(DHCP)version 6[S].2003

[7]IETF RFC 6106.IPv6 Router Advertisement Options for DNS Conf i guration[S].2010