劉熹：湖南以五個(gè)階段推進(jìn)IPv6改造

湖南省2018年7月啟動(dòng)省級(jí)單位門戶網(wǎng)站IPv6升級(jí)改造工作，于12月完成55個(gè)站點(diǎn)的改造，并通過國務(wù)院辦公廳的檢驗(yàn)。在湖南省人民政府發(fā)展研究中心網(wǎng)絡(luò)運(yùn)行處高級(jí)工程師劉熹看來，能夠在如此短的時(shí)間里，低成本、高效率的完成政務(wù)外網(wǎng)的IPv6改造，得益于政府的高度重視和精心組織，以及正確的實(shí)施方案。在“2019中國IPv6發(fā)展論壇”上，劉熹分享了湖南推進(jìn)政務(wù)外網(wǎng)IPv6改造的經(jīng)驗(yàn)。

清晰的組織架構(gòu)是有力保障

從中共中央辦公廳到湖南省人民政府辦公廳都出臺(tái)了相關(guān)文件，為推進(jìn)政府門戶網(wǎng)站IPv6改造提供政策支持。湖南省政府辦公廳還召開了電子政務(wù)外網(wǎng)和政府網(wǎng)站IPv6部署改造工作調(diào)度推進(jìn)會(huì)，為推動(dòng)湖南省政務(wù)外網(wǎng)的IPv6部署提供方針與指導(dǎo)。

湖南省人民政府發(fā)展研究中心(即湖南省電子政務(wù)中心)官網(wǎng)作為湖南省政務(wù)外網(wǎng)和省政府門戶網(wǎng)站的運(yùn)維單位，承接了本次湖南省政務(wù)外網(wǎng)IPv6的改造工作，成立了以分管領(lǐng)導(dǎo)為首的政務(wù)外網(wǎng)IPv6改造工作領(lǐng)導(dǎo)小組，專門負(fù)責(zé)改造工作，由網(wǎng)絡(luò)運(yùn)行處主辦，應(yīng)用開發(fā)處和政府網(wǎng)站處協(xié)辦。職責(zé)分明、結(jié)構(gòu)清晰的組織架構(gòu)，是本次IPv6改造任務(wù)能夠短期內(nèi)順利完成的有力保障。

此外，湖南省網(wǎng)絡(luò)運(yùn)行處通過自主學(xué)習(xí)、跟蹤研討，為政務(wù)外網(wǎng)的IPv6改造提供了充足的知識(shí)儲(chǔ)備，還通過邀請(qǐng)國家信息中心領(lǐng)導(dǎo)和網(wǎng)絡(luò)技術(shù)公司專家授課以及技術(shù)交流、培訓(xùn)學(xué)習(xí)等機(jī)會(huì)，加強(qiáng)對(duì)部門技術(shù)人員能力的培養(yǎng)。

利用轉(zhuǎn)譯工具技術(shù)部署IPv6

為全面支撐IPv6與IPv4的融合，對(duì)于網(wǎng)站服務(wù)器有三種可選方案：一是徹底改造成雙棧；二是構(gòu)建IPv6鏡像網(wǎng)站服務(wù)器；三是構(gòu)建IPv6/IPv4轉(zhuǎn)換翻譯工具。湖南省綜合時(shí)間、成本、目標(biāo)等各方面的考慮，最終選擇方案三作為此次政府門戶網(wǎng)站改造的方案。方案三主要采用了轉(zhuǎn)譯工具的技術(shù)原理，也就是NAT66和七層反向代理技術(shù)，此原理的工作流程分為六步。

第一步，在DNS服務(wù)器上增加網(wǎng)站的AAAA記錄，指向轉(zhuǎn)譯工具。第二步，用戶在進(jìn)行訪問時(shí)，僅感知轉(zhuǎn)譯工具的IPv6地址，即被訪問網(wǎng)站的IPv6地址，并和轉(zhuǎn)譯工具建立TCP連接。第三步，轉(zhuǎn)譯工具接收到來自用戶的TCP連接后，正常代理網(wǎng)站和用戶建立TCP連接。第四步，用戶發(fā)起HTTP訪問，轉(zhuǎn)譯工具接收到用戶訪問后，終止該訪問，并進(jìn)行IPv6和IPv4的地址轉(zhuǎn)換，記錄轉(zhuǎn)換情況，使用轉(zhuǎn)換后的IPv4地址向真實(shí)網(wǎng)站業(yè)務(wù)系統(tǒng)發(fā)起訪問。第五步，服務(wù)器正常響應(yīng)后，轉(zhuǎn)譯工具根據(jù)地址翻譯情況，替換對(duì)應(yīng)IP地址，返回給用戶。第六步，整個(gè)過程，用戶不感知翻譯情況。

IPv6改造仍需持續(xù)推進(jìn)

在改造伊始，湖南省就確立了安全優(yōu)先、功能為主、物盡其用和平滑升級(jí)的建設(shè)思路，并制定了五個(gè)階段的實(shí)施策略進(jìn)行政務(wù)外網(wǎng)的IPv6改造。

第一階段，完成門戶網(wǎng)站及互聯(lián)網(wǎng)出口網(wǎng)絡(luò)和外部數(shù)據(jù)中心網(wǎng)絡(luò)的IPv6改造，實(shí)現(xiàn)互聯(lián)網(wǎng)門戶可以通過IPv6訪問外部云網(wǎng)站群業(yè)務(wù)。第二階段，在第一階段的基礎(chǔ)上，逐步完成外部數(shù)據(jù)中心服務(wù)器的IPv6改造，實(shí)現(xiàn)所有互聯(lián)網(wǎng)業(yè)務(wù)均支持雙棧。第三階段，完成內(nèi)部云IPv6改造，實(shí)現(xiàn)城域網(wǎng)用戶可以通過IPv6訪問整個(gè)湖南省電子政務(wù)外網(wǎng)的業(yè)務(wù)。第四階段，完成縱向廣域網(wǎng)IPv6改造，實(shí)現(xiàn)省市縣三級(jí)用戶通過IPv6協(xié)議棧訪問內(nèi)部云及外部云業(yè)務(wù)。第五階段，完成內(nèi)部云、外部云網(wǎng)站群及應(yīng)用IPv6改造，逐步減少政務(wù)外網(wǎng)的IPv4業(yè)務(wù)支持范圍，最終實(shí)現(xiàn)全網(wǎng)全面IPv6化。

本次IPv6改造只完成了第一階段，后續(xù)四個(gè)階段的改造任務(wù)會(huì)越來越艱巨，湖南省還需總結(jié)經(jīng)驗(yàn)，繼續(xù)探索，逐步完成全網(wǎng)的IPv6改造。