朱琴：北京政府IPv6 升級中的安全策略

2017年，中共中央辦公廳、國務(wù)院辦公廳聯(lián)合印發(fā)的《推進(jìn)互聯(lián)網(wǎng)協(xié)議第六版（IPv6）規(guī)模部署行動計劃》，國務(wù)院辦公廳出臺的《2018年政務(wù)公開工作要點》和《2019年政務(wù)公開工作要點》，都明確提出要對省級和地級市政府的門戶網(wǎng)站進(jìn)行IPv6改造的要求。北京市政務(wù)服務(wù)管理局政府網(wǎng)站建設(shè)管理處處長朱琴在“2019中國IPv6發(fā)展論壇”上介紹，北京市政府在國務(wù)院辦公廳強(qiáng)有力的推動下，統(tǒng)籌規(guī)劃、多措并舉、率先示范，積極推動全市政府網(wǎng)站的IPv6改造和網(wǎng)絡(luò)安全防護(hù)。

建立以政府為主導(dǎo)的工作協(xié)調(diào)機(jī)制

北京市政府建立了政府部門主導(dǎo)、行業(yè)組織和第三方機(jī)構(gòu)參與的工作協(xié)調(diào)機(jī)制，共同推動IPv6的規(guī)模部署。

在IPv6部署工作中，北京市政府多次組織相關(guān)領(lǐng)域?qū)＜疫M(jìn)行專題研討，深入了解IPv6規(guī)模部署的建設(shè)背景、工作依據(jù)和關(guān)鍵環(huán)節(jié)，深度研究IPv6部署的實施路徑、困難問題和安全風(fēng)險，對IPv6部署的路徑進(jìn)行系統(tǒng)性的規(guī)劃和分步驟的實施。

同時，按照國務(wù)院辦公廳的要求，并結(jié)合北京的實際情況，制定了北京市政府網(wǎng)站IPv6部署改造實施方案，明確了工作目標(biāo)、具體措施和時間安排。

“首都之窗”率先完成IPv6部署改造

北京市政府門戶網(wǎng)站（即首都之窗）覆蓋了信息公開、辦事服務(wù)、互動交流等業(yè)務(wù)，是政務(wù)服務(wù)的總門戶和總窗口。2018年，北京市政府門戶網(wǎng)站率先完成IPv6部署改造，取得良好效果，實現(xiàn)一、二級域名100%可訪問，三級域名可訪問率超過99%。

北京市政府結(jié)合政務(wù)服務(wù)與政務(wù)云的環(huán)境特點，在充分考慮網(wǎng)絡(luò)建設(shè)的兼容性和拓展性的前提下，以低成本、高效率的方式對北京市政府門戶網(wǎng)站進(jìn)行平滑升級、無縫接軌，實現(xiàn)了多家運營商IPv4、IPv6同時接入，將來自外部的IPv6訪問用戶代理為IPv4地址，訪問政府網(wǎng)站，同時滿足IPv4和IPv6用戶的訪問需求。還對政府網(wǎng)站中二、三級運營的業(yè)務(wù)系統(tǒng)和服務(wù)平臺域名的使用開展了全面整合和清理，實現(xiàn)門戶網(wǎng)站及二、三級域名的IPv6一體化部署。

為確保IPv6的改造效果，北京市政府加強(qiáng)日常監(jiān)測，確保域名IPv6地址解析能力、首頁IPv6可訪問性、訪問成功率、首頁內(nèi)容IPv6和IPv4的一致性、首頁布局IPv6和IPv4的一致性等基本事項100%合格，加強(qiáng)系統(tǒng)性排查和改造，優(yōu)化完善IPv6域名授權(quán)體系、域名解析時延、網(wǎng)站首頁訪問時延、網(wǎng)站IPv6用戶地址溯源管理等，不斷提升網(wǎng)站二、三級鏈接IPv6的支持率以及訪問的穩(wěn)定性。

利用云端防御技術(shù)應(yīng)對安全新挑戰(zhàn)

日益復(fù)雜的網(wǎng)絡(luò)環(huán)境對政府網(wǎng)站及相關(guān)業(yè)務(wù)系統(tǒng)的安全防護(hù)帶來了巨大的挑戰(zhàn)，北京市政府現(xiàn)有的服務(wù)器、網(wǎng)絡(luò)及安全設(shè)備主要面向IPv4環(huán)境下的安全風(fēng)險進(jìn)行防護(hù)，而對IPv6環(huán)境下可能存在的新風(fēng)險、新問題，則缺乏有效的應(yīng)對，因此，北京市政府對網(wǎng)站基礎(chǔ)設(shè)施環(huán)境積極進(jìn)行系統(tǒng)性的雙棧改造，來應(yīng)對日益變化的安全問題。

北京市政府門戶網(wǎng)站利用云端防御技術(shù)加強(qiáng)IPv6環(huán)境下的安全防護(hù)。首先將IPv6的訪問流量轉(zhuǎn)化為IPv4的訪問流量，運用云節(jié)點對訪問流量進(jìn)行清洗，然后再將清洗后的安全流量轉(zhuǎn)發(fā)給網(wǎng)站原站，從而使IPv4、IPv6訪問同時具備了高可用性和較好的安全防御能力，并且可依據(jù)IPv6訪問態(tài)勢、攻擊態(tài)勢，動態(tài)調(diào)整資源，保證IPv6訪問的效率和安全性。

IPv6部署與集約化平臺同步推進(jìn)

2018年，國務(wù)院辦公廳印發(fā)了《政府網(wǎng)站集約化試點工作方案》，北京市作為11個試點地區(qū)之一，積極進(jìn)行政府網(wǎng)站的集約化建設(shè)，并將于今年建成“1+16”的市、區(qū)兩級政府網(wǎng)站集約化平臺。北京市政府將IPv6部署改造與政府網(wǎng)站集約化工作一并部署、同步推進(jìn)，以確保集約化平臺支持IPv6。

在市級層面，依托市級集約化平臺，推動市級政府網(wǎng)站全面部署IPv6。北京市政府作為政府網(wǎng)站的集約化試點地區(qū)，制定了相關(guān)的實施方案，將市級政府部門的網(wǎng)站全部遷移到市級網(wǎng)站的集約化平臺，同步實現(xiàn)IPv6改造，計劃于今年年底完成市級政府網(wǎng)站集約化平臺建設(shè)，并全面支持IPv6，同時政府網(wǎng)站的IPv6改造將納入年底績效考核。

在區(qū)級層面，利用區(qū)級集約化平臺的建設(shè)，推動區(qū)級政府網(wǎng)站提前完成IPv6部署改造。目前北京市的16個區(qū)級政府門戶網(wǎng)站，大都采取后臺在政務(wù)外網(wǎng)，前臺在互聯(lián)網(wǎng)的部署架構(gòu)。北京市政府印發(fā)《關(guān)于堅持以人民為中心推進(jìn)一體化網(wǎng)上政府建設(shè)的工作方案》的通知，通過區(qū)級政府門戶網(wǎng)站的集約化平臺改造，同步實現(xiàn)整體對IPv6的支持，提前完成地級市以上政府網(wǎng)站的IPv6部署，實現(xiàn)集約化平臺與市、區(qū)兩級政府門戶網(wǎng)站的互聯(lián)互通，最終打造成“一網(wǎng)通查、精準(zhǔn)獲取”、“一網(wǎng)通辦、智能便利”、“一網(wǎng)通答、高效響應(yīng)”的一體化網(wǎng)上政府。

北京市政府將認(rèn)真貫徹落實黨中央、國務(wù)院關(guān)于建設(shè)網(wǎng)絡(luò)強(qiáng)國的戰(zhàn)略部署和推進(jìn)IPv6規(guī)模部署行動計劃的要求，加強(qiáng)與各方的交流學(xué)習(xí)，積極作為，勇于探索，發(fā)揮示范帶動作用，為加快網(wǎng)絡(luò)強(qiáng)國建設(shè)、加速國家信息化進(jìn)程貢獻(xiàn)力量。