目  录

1 IPv6基础

1.1 IPv6简介

1.1.1 IPv6协议特点

1.1.2 IPv6地址介绍

1.1.3 IPv6邻居发现协议介绍

1.1.4 IPv6 PMTU发现

1.1.5 IPv6过渡技术介绍

1.1.6 协议规范

1.2 IPv6基础配置任务简介

1.3 配置IPv6基本功能

1.3.1 配置IPv6全球单播地址

1.3.2 配置IPv6链路本地地址

1.3.3 配置IPv6任播地址

1.4 配置IPv6邻居发现协议

1.4.1 配置静态邻居表项

1.4.2 配置接口上允许动态学习的邻居的最大个数

1.4.3 配置STALE状态ND表项的老化时间

1.4.4 配置链路本地ND表项资源占用最小化

1.4.5 配置设备的跳数限制

1.4.6 配置RA消息的相关参数

1.4.7 配置重复地址检测时发送邻居请求消息的次数

1.4.8 配置ND Proxy功能

1.5 配置PMTU发现

1.5.1 配置接口MTU

1.5.2 配置指定地址的静态PMTU

1.5.3 配置PMTU老化时间

1.6 配置ICMPv6报文发送功能

1.6.1 配置发送ICMPv6差错报文对应的令牌桶容量和令牌刷新周期

1.6.2 配置允许回复组播形式的Echo request报文

1.6.3 配置ICMPv6目的不可达差错报文发送功能

1.6.4 配置ICMPv6超时差错报文发送功能

1.6.5 配置ICMPv6重定向报文发送功能

1.6.6 配置ICMPv6报文指定源地址功能

1.7 配置IPv6分片报文本地重组功能

1.8 IPv6基础显示和维护

1.9 IPv6基础典型配置举例

1.10 常见配置错误举例

 

1 IPv6基础

1.1  IPv6简介

IPv6（Internet Protocol Version 6，互联网协议版本6）是网络层协议的第二代标准协议，也被称为IPng（IP Next Generation，下一代互联网协议），它是IETF（Internet Engineering Task Force，互联网工程任务组）设计的一套规范，是IPv4的升级版本。IPv6和IPv4之间最显著的区别为：IP地址的长度从32比特增加到128比特。

1.1.1  IPv6协议特点

1. 简化的报文头格式

通过将IPv4报文头中的某些字段裁减或移入到扩展报文头，减小了IPv6基本报文头的长度。IPv6使用固定长度的基本报文头，从而简化了转发设备对IPv6报文的处理，提高了转发效率。尽管IPv6地址长度是IPv4地址长度的四倍，但IPv6基本报文头的长度只有40字节，为IPv4报文头长度（不包括选项字段）的两倍。

图1-1 IPv4报文头和IPv6基本报文头格式比较

 

2. 充足的地址空间

IPv6的源地址与目的地址长度都是128比特（16字节）。它可以提供超过3.4×10³⁸种可能的地址空间，完全可以满足多层次的地址划分需要，以及公有网络和机构内部私有网络的地址分配。

3. 层次化的地址结构

IPv6的地址空间采用了层次化的地址结构，有利于路由快速查找，同时可以借助路由聚合，有效减少IPv6路由表占用的系统资源。

4. 地址自动配置

为了简化主机配置，IPv6支持有状态地址配置和无状态地址配置：

·     有状态地址配置是指从服务器（如DHCPv6服务器）获取IPv6地址及相关信息，详细介绍请参见“三层技术-IP业务配置指导”中的“DHCPv6”；

·     无状态地址配置是指主机根据自己的链路层地址及路由器发布的前缀信息自动配置IPv6地址及相关信息。

同时，主机也可根据自己的链路层地址及默认前缀（FE80::/10）形成链路本地地址，实现与本链路上其他主机的通信。

5. 内置安全性

IPv6将IPsec作为它的标准扩展头，可以提供端到端的安全特性。这一特性也为解决网络安全问题提供了标准，并提高了不同IPv6应用之间的互操作性。

6. 支持QoS

IPv6报文头的流标签（Flow Label）字段实现流量的标识，允许设备对某一流中的报文进行识别并提供特殊处理。

7. 增强的邻居发现机制

IPv6的邻居发现协议是通过一组ICMPv6（Internet Control Message Protocol for IPv6，IPv6的互联网控制报文协议）消息实现的，管理着邻居节点间（即同一链路上的节点）信息的交互。它代替了ARP（Address Resolution Protocol，地址解析协议）、ICMPv4路由器发现和ICMPv4重定向消息，并提供了一系列其他功能。

8. 灵活的扩展报文头

IPv6取消了IPv4报文头中的选项字段，并引入了多种扩展报文头，在提高处理效率的同时还大大增强了IPv6的灵活性，为IP协议提供了良好的扩展能力。IPv4报文头中的选项字段最多只有40字节，而IPv6扩展报文头的大小只受到IPv6报文大小的限制。

1.1.2  IPv6地址介绍

1. IPv6地址表示方式

IPv6地址被表示为以冒号（:）分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组，每组的16比特用4个十六进制数来表示，组和组之间用冒号隔开，比如：2001:0000:130F:0000:0000:09C0:876A:130B。

为了简化IPv6地址的表示，对于IPv6地址中的“0”可以有下面的处理方式：

·     每组中的前导“0”可以省略，即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。

·     如果地址中包含一组或连续多组均为0的组，则可以用双冒号“::”来代替，即上述地址可写为2001:0:130F::9C0:876A:130B。

 

IPv6地址由两部分组成：地址前缀与接口标识。其中，地址前缀相当于IPv4地址中的网络号码字段部分，接口标识相当于IPv4地址中的主机号码部分。

地址前缀的表示方式为：IPv6地址/前缀长度。其中，前缀长度是一个十进制数，表示IPv6地址最左边多少位为地址前缀。

2. IPv6的地址分类

IPv6主要有三种类型的地址：单播地址、组播地址和任播地址。

·     单播地址：用来唯一标识一个接口，类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。

·     组播地址：用来标识一组接口（通常这组接口属于不同的节点），类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。

·     任播地址：用来标识一组接口（通常这组接口属于不同的节点）。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近（根据使用的路由协议进行度量）的一个接口。

IPv6中没有广播地址，广播地址的功能通过组播地址来实现。

IPv6地址类型是由地址前面几位（称为格式前缀）来指定的，主要地址类型与格式前缀的对应关系如表1-1所示。

表1-1 地址类型与格式前缀的对应关系

 

3. 单播地址的类型

IPv6单播地址的类型可有多种，包括全球单播地址、链路本地地址等。

·     全球单播地址等同于IPv4公网地址，提供给网络服务提供商。这种类型的地址允许路由前缀的聚合，从而限制了全球路由表项的数量。

·     链路本地地址用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上。

·     环回地址：单播地址0:0:0:0:0:0:0:1（简化表示为::1）称为环回地址，不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同，即节点用来给自己发送IPv6报文。

·     未指定地址：地址“::”称为未指定地址，不能分配给任何节点。在节点获得有效的IPv6地址之前，可在发送的IPv6报文的源地址字段填入该地址，但不能作为IPv6报文中的目的地址。

4. 组播地址

表1-2所示的组播地址，是预留的特殊用途的组播地址。

表1-2 预留的IPv6组播地址列表

 

另外，还有一类组播地址：被请求节点（Solicited-Node）地址。该地址主要用于获取同一链路上邻居节点的链路层地址及实现重复地址检测。每一个单播或任播IPv6地址都有一个对应的被请求节点地址。其格式为：

FF02:0:0:0:0:1:FFXX:XXXX

其中，FF02:0:0:0:0:1:FF为104位固定格式；XX:XXXX为单播或任播IPv6地址的后24位。

5. IEEE EUI-64格式的接口标识符

IPv6单播地址中的接口标识符用来标识链路上的一个唯一的接口。目前IPv6单播地址基本上都要求接口标识符为64位。

不同接口的IEEE EUI-64格式的接口标识符的生成方法不同，分别介绍如下：

·     所有IEEE 802接口类型（例如，以太网接口、VLAN接口）：IEEE EUI-64格式的接口标识符是从接口的链路层地址（MAC地址）变化而来的。IPv6地址中的接口标识符是64位，而MAC地址是48位，因此需要在MAC地址的中间位置（从高位开始的第24位后）插入十六进制数FFFE（1111111111111110）。为了使接口标识符的作用范围与原MAC地址一致，还要将Universal/Local (U/L)位（从高位开始的第7位）进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。

图1-2 MAC地址到EUI-64格式接口标识符的转换过程

 

·     Tunnel接口：IEEE EUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址，ISATAP隧道的接口标识符的高32位为0000:5EFE，其他隧道的接口标识符的高32位为全0。关于各种隧道的介绍，请参见“三层技术-IP业务配置指导”中的“隧道”。

·     其他接口类型（例如，Serial接口）：IEEE EUI-64格式的接口标识符由设备随机生成。

1.1.3  IPv6邻居发现协议介绍

IPv6邻居发现（Neighbor Discovery，ND）协议使用五种类型的ICMPv6消息，实现下面一些功能：地址解析、验证邻居是否可达、重复地址检测、路由器发现/前缀发现、地址自动配置和重定向等功能。

邻居发现协议使用的ICMPv6消息的类型及作用如表1-3所示。

表1-3 邻居发现协议使用的ICMPv6消息类型及作用

 

邻居发现协议提供的主要功能如下：

1. 地址解析

获取同一链路上邻居节点的链路层地址（与IPv4的ARP功能相同），通过邻居请求消息NS和邻居通告消息NA实现。如图1-3所示，节点A要获取节点B的链路层地址。

图1-3 地址解析示意图

 

(1)     节点A以组播方式发送NS消息。NS消息的源地址是节点A的接口IPv6地址，目的地址是节点B的被请求节点组播地址，消息内容中包含了节点A的链路层地址和请求的目标地址。

(2)     节点B收到NS消息后，判断报文的目标地址是否为自己的IPv6地址。如果是，则节点B可以学习到节点A的链路层地址，并以单播方式返回NA消息，其中包含了自己的链路层地址。

(3)     节点A从收到的NA消息中就可获取到节点B的链路层地址。

2. 验证邻居是否可达

在获取到邻居节点的链路层地址后，通过邻居请求消息NS和邻居通告消息NA可以验证邻居节点是否可达。

(1)     节点发送NS消息，其中目的地址是邻居节点的IPv6地址。

(2)     如果收到邻居节点的确认报文，则认为邻居可达；否则，认为邻居不可达。

3. 重复地址检测

当节点获取到一个IPv6地址后，需要使用重复地址检测功能确定该地址是否已被其他节点使用（与IPv4的免费ARP功能相似）。通过NS和NA可以实现重复地址检测，如图1-4所示。

图1-4 重复地址检测示意图

 

(1)     节点A发送NS消息，NS消息的源地址是未指定地址::，目的地址是待检测的IPv6地址对应的被请求节点组播地址，消息内容中包含了待检测的IPv6地址。

(2)     如果节点B已经使用这个IPv6地址，则会返回NA消息。其中包含了自己的IPv6地址。

(3)     节点A收到节点B发来的NA消息，就知道该IPv6地址已被使用。反之，则说明该地址未被使用，节点A就可使用此IPv6地址。

4. 路由器发现/前缀发现及地址无状态自动配置

路由器发现/前缀发现是指节点从收到的RA消息中获取邻居路由器及所在网络的前缀，以及其他配置参数。

地址无状态自动配置是指节点根据路由器发现/前缀发现所获取的信息，自动配置IPv6地址。

路由器发现/前缀发现通过路由器请求消息RS和路由器通告消息RA来实现，具体过程如下：

(1)     节点启动时，通过RS消息向路由器发出请求，请求前缀和其他配置信息，以便用于节点的配置。

(2)     路由器返回RA消息，其中包括前缀信息选项（路由器也会周期性地发布RA消息）。

(3)     节点利用路由器返回的RA消息中的地址前缀及其他配置参数，自动配置接口的IPv6地址及其他信息。

前缀信息选项中不仅包括地址前缀的信息，还包括该地址前缀的首选生命期（preferred lifetime）和有效生命期（valid lifetime）。节点收到周期性发送的RA消息后，会根据该消息更新前缀的首选生命期和有效生命期。

有效生命期：表示前缀有效期。在有效生命期内，通过该前缀自动生成的地址可以正常使用；有效生命期过期后，通过该前缀自动生成的地址变为无效，将被删除。

首选生命期：表示首选通过该前缀无状态自动配置地址的时间。首选生命期过期后，节点通过该前缀自动配置的地址将被废止。节点不能使用被废止的地址建立新的连接，但是仍可以接收目的地址为被废止地址的报文。首选生命期必须小于或等于有效生命期。

5. 重定向功能

当主机启动时，它的路由表中可能只有一条到缺省网关的缺省路由。当满足一定的条件时，缺省网关会向源主机发送ICMPv6重定向消息，通知主机选择更好的下一跳进行后续报文的发送（与IPv4的ICMP重定向消息的功能相同）。

同时满足下列条件时，设备会发送ICMPv6重定向报文：

·     接收和转发数据报文的接口是同一接口；

·     被选择的路由本身没有被ICMPv6重定向报文创建或修改过；

·     被选择的路由不是设备的缺省路由；

·     被转发的IPv6数据报文中不包含路由扩展头。

1.1.4  IPv6 PMTU发现

报文从源端到目的端的传输路径中所经过的链路可能具有不同的MTU。在IPv6中，当报文的长度大于链路的MTU时，报文的分片将在源端进行，从而减轻中间转发设备的处理压力，合理利用网络资源。

PMTU（Path MTU，路径MTU）发现机制的目的就是要找到从源端到目的端的路径上最小的MTU。PMTU的工作过程如图1-5所示。

图1-5 PMTU发现工作过程

 

(1)     源端主机按照自己的MTU对报文进行分片，之后向目的主机发送报文。

(2)     中间转发设备接收到该报文进行转发时，如果发现转发报文的接口支持的MTU值小于报文长度，则会丢弃报文，并给源端返回一个ICMPv6差错报文，其中包含了转发失败的接口的MTU。

(3)     源主机收到该差错报文后，将按照报文中所携带的MTU重新对报文进行分片并发送。

(4)     如此反复，直到目的端主机收到这个报文，从而确定报文从源端到目的端路径中的最小MTU。

1.1.5  IPv6过渡技术介绍

在IPv6成为主流协议之前，首先使用IPv6协议栈的网络希望能与当前仍被IPv4支撑着的互联网进行正常通信，因此必须开发出IPv4和IPv6互通技术以保证IPv4能够平稳过渡到IPv6。互通技术应该对信息传递做到高效无缝。目前已经出现了多种过渡技术，这些技术各有特点，用于解决不同过渡时期、不同环境的通信问题。

目前解决过渡问题的基本技术主要有4种：双协议栈（RFC 2893）、隧道技术（RFC 2893）、NAT-PT（RFC 2766）、6PE。

1. 双协议栈

双协议栈是一种最简单直接的过渡机制。同时支持IPv4协议和IPv6协议的网络节点称为双协议栈节点。当双协议栈节点配置IPv4地址和IPv6地址后，就可以在相应接口上转发IPv4和IPv6报文。当一个上层应用同时支持IPv4和IPv6协议时，根据协议要求可以选用TCP或UDP作为传输层的协议，但在选择网络层协议时，它会优先选择IPv6协议栈。双协议栈技术适合IPv4网络节点之间或者IPv6网络节点之间通信，是所有过渡技术的基础。但是，这种技术要求运行双协议栈的节点有一个全球唯一的地址，实际上没有解决IPv4地址资源匮乏的问题。

2. 隧道技术

隧道是一种封装技术，它利用一种网络协议来传输另一种网络协议，即利用一种网络传输协议，将其他协议产生的数据报文封装在它自己的报文中，然后在网络中传输。关于隧道技术的详细介绍，请参见“三层技术-IP业务配置指导”中的“隧道”。

3. NAT-PT

NAT-PT（Network Address Translation-Protocol Translation，附带协议转换的网络地址转换）作用于IPv4和IPv6网络边缘的设备上，用于实现IPv6与IPv4报文的转换。NAT-PT在IPv4和IPv6网络之间转换IP报头的地址，同时根据协议不同对报文做相应的语义翻译，使纯IPv4节点和纯IPv6节点之间能够透明通信。这种技术适用于仅运行IPv6的节点和仅运行IPv4的节点之间的通信，具有一定的局限性。

4. 6PE

6PE是一种过渡技术，ISP可以利用已有的IPv4骨干网为分散用户的IPv6网络提供接入能力。

6PE的主要思想是：6PE（IPv6 Provider Edge，IPv6供应商边缘）路由器将用户的IPv6路由信息转换为带有标签的IPv6路由信息，并且通过IBGP（Internal Border Gateway Protocol，内部边界网关协议）会话扩散到ISP的IPv4骨干网中。6PE路由器转发IPv6报文时，首先会将进入骨干网隧道的数据流打上标签。隧道可以是GRE隧道或者MPLS LSP等。有关6PE的详细介绍及配置请参见“三层技术-IP路由配置指导”中的“IPv6 BGP”。

图1-6 6PE组网图

 

当ISP想利用自己原有的IPv4/MPLS网络，使其通过MPLS具有IPv6流量交换能力时，只需要升级PE路由器就可以了。所以对于运营商来说，使用6PE技术作为IPv6过渡机制无疑是一个高效的解决方案，其操作风险也会小得多。

1.1.6  协议规范

与IPv6基础相关的协议规范有：

·     RFC 1881：IPv6 Address Allocation Management

·     RFC 1887：An Architecture for IPv6 Unicast Address Allocation

·     RFC 1981：Path MTU Discovery for IP version 6

·     RFC 2375：IPv6 Multicast Address Assignments

·     RFC 2460：Internet Protocol, Version 6 (IPv6) Specification

·     RFC 2464：Transmission of IPv6 Packets over Ethernet Networks

·     RFC 2526：Reserved IPv6 Subnet Anycast Addresses

·     RFC 3307：Allocation Guidelines for IPv6 Multicast Addresses

·     RFC 4191：Default Router Preferences and More-Specific Routes

·     RFC 4291：IP Version 6 Addressing Architecture

·     RFC 4443：Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification

·     RFC 4861：Neighbor Discovery for IP Version 6 (IPv6)

·     RFC 4862：IPv6 Stateless Address Autoconfiguration

1.2  IPv6基础配置任务简介

表1-4 IPv6基础配置任务简介

 

1.3  配置IPv6基本功能

1.3.1  配置IPv6全球单播地址

IPv6全球单播地址可以通过下面三种方式配置：

·     采用EUI-64格式形成：当配置采用EUI-64格式形成IPv6地址时，接口的IPv6地址的前缀需要手工配置，而接口标识符则由接口自动生成。

·     手工配置：用户手工配置IPv6全球单播地址。

·     无状态自动配置：根据接收到的RA报文中携带的地址前缀信息，自动生成IPv6全球单播地址。

每个接口可以有多个全球单播地址。

手工配置的全球单播地址（包括采用EUI-64格式形成的全球单播地址）的优先级高于自动生成的全球单播地址。如果在接口已经自动生成全球单播地址的情况下，手工配置前缀相同的全球单播地址，不会覆盖之前自动生成的全球单播地址。如果删除手工配置的全球单播地址，设备还可以使用自动生成的全球单播地址进行通信。

1. 采用EUI-64格式形成IPv6地址

表1-5 采用EUI-64格式形成IPv6地址

 

2. 手工指定IPv6地址

表1-6 手工指定IPv6地址

 

3. 无状态自动配置IPv6地址

表1-7 无状态自动配置IPv6地址

 

在配置了无状态自动配置IPv6地址功能后，接口会根据接收到的RA报文中携带的地址前缀信息和接口ID，自动生成IPv6全球单播地址。如果接口是IEEE 802类型的接口（例如，以太网接口、VLAN接口），其接口ID是由MAC地址根据一定的规则生成，此接口ID具有全球唯一性。对于不同的前缀，接口ID部分始终不变，攻击者通过接口ID可以很方便的识别出通信流量是由哪台设备产生的，并分析其规律，会造成一定的安全隐患。

如果在地址无状态自动配置时，自动生成接口ID不断变化的IPv6地址，就可以加大攻击的难度，从而保护网络。为此，设备提供了临时地址功能，使得系统可以生成临时地址。配置该功能后，通过地址无状态自动配置，IEEE 802类型的接口可以同时生成两类地址：

·     公共地址：地址前缀采用RA报文携带的前缀，接口ID由MAC地址产生。接口ID始终不变。

·     临时地址：地址前缀采用RA报文携带的前缀，接口ID由系统根据MD5算法计算产生。接口ID不断变化。

在配置了优先选择临时地址功能前提下发送报文，系统将优先选择临时地址作为报文的源地址。当临时地址的有效生命期过期后，这个临时地址将被删除，同时，系统会通过MD5算法重新生成一个接口ID不同的临时地址。所以，该接口发送报文的源地址的接口ID总是在不停变化。如果生成的临时地址因为DAD冲突不可用，就采用公共地址作为报文的源地址。

临时地址的首选生命期和有效生命期的确定原则如下：

·     首选生命期是如下两个值之中的较小者：“RA前缀中的首选生命期”和“配置的临时地址首选生命期减去DESYNC_FACTOR”。DESYNC_FACTOR是一个0～600秒的随机值。

·     有效生命期是如下两个值之中的较小者：“RA前缀中的有效生命期”和“配置的临时地址有效生命期”。

表1-8 配置系统生成临时地址，并优先选择临时地址作为报文的源地址

 

设备的接口必须启用地址无状态自动配置功能才能生成临时地址，而且临时地址不会覆盖公共地址，因此会出现一个接口下有多个前缀相同但是接口ID不同的地址。

如果公共地址生成失败，例如前缀冲突，则不会生成临时地址。

4. 手工配置静态IPv6前缀

表1-9 手工配置静态IPv6前缀

 

1.3.2  配置IPv6链路本地地址

IPv6的链路本地地址可以通过两种方式获得：

·     自动生成：设备根据链路本地地址前缀（FE80::/10）及接口的链路层地址，自动为接口生成链路本地地址；

·     手工指定：用户手工配置IPv6链路本地地址。

每个接口只能有一个链路本地地址，为了避免链路本地地址冲突，推荐使用链路本地地址的自动生成方式。

配置链路本地地址时，手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式，之后手工指定，则手工指定的地址会覆盖自动生成的地址；如果先手工指定，之后采用自动生成的方式，则自动配置不生效，接口的链路本地地址仍是手工指定的。此时，如果删除手工指定的地址，则自动生成的链路本地地址会生效。

表1-10 配置自动生成链路本地地址

 

表1-11 手工指定接口的链路本地地址

 

当接口配置了IPv6全球单播地址后，同时会自动生成链路本地地址。且与采用ipv6 address auto link-local命令生成的链路本地地址相同。此时如果手工指定接口的链路本地地址，则手工指定的有效。如果删除手工指定的链路本地地址，则接口的链路本地地址恢复为系统自动生成的地址。

undo ipv6 address auto link-local命令只能删除使用ipv6 address auto link-local命令生成的链路本地地址。即如果此时已经配置了IPv6全球单播地址，由于系统会自动生成链路本地地址，则接口仍有链路本地地址；如果此时没有配置IPv6全球单播地址，则接口没有链路本地地址。

1.3.3  配置IPv6任播地址

用户需要手工配置接口的IPv6任播地址。

表1-12 配置IPv6任播地址

 

1.4  配置IPv6邻居发现协议

1.4.1  配置静态邻居表项

将邻居节点的IPv6地址解析为链路层地址，可以通过邻居请求消息NS及邻居通告消息NA来动态实现，也可以通过手工配置静态邻居表项来实现。

设备根据邻居节点的IPv6地址和与此邻居节点相连的三层接口号来唯一标识一个静态邻居表项。目前，静态邻居表项有两种配置方式：

·     配置本节点的三层接口对应的邻居节点的IPv6地址、链路层地址；

·     配置本节点VLAN中的端口对应的邻居节点的IPv6地址、链路层地址。

表1-13 配置静态邻居表项

 

对于VLAN接口，可以采用上述两种方式来配置静态邻居表项：

·     采用第一种方式配置静态邻居表项后，设备还需要解析VLAN对应的二层端口信息。

·     采用第二种方式配置静态邻居表项后，需要保证VLAN所对应的VLAN接口已经存在，且port-type port-number指定的二层端口属于vlan-id指定的VLAN。在配置后，设备会将VLAN所对应的VLAN接口与IPv6地址相对应来唯一标识一个静态邻居表项。

当以太网冗余接口的成员接口包含子接口时，不能指定该以太网冗余接口为IPv6静态邻居表项所对应的接口。关于以太网冗余接口的详细介绍，请参见“可靠性配置指导”中的“冗余备份”。

1.4.2  配置接口上允许动态学习的邻居的最大个数

设备可以通过NS消息和NA消息来动态获取邻居节点的链路层地址，并将其加入到邻居表中。为了防止部分接口下的用户占用过多的资源，可以通过设置接口学习动态邻居表项的最大个数来进行限制。当接口学习到的动态邻居表项的个数达到所设置的最大值时，该接口将不再学习动态邻居表项。

表1-14 配置接口上允许学习的动态邻居表项的最大个数

 

1.4.3  配置STALE状态ND表项的老化时间

为适应网络的变化，ND表需要不断更新。在ND表中，处于STALE状态的ND表项并非永远有效，而是有一个老化时间。到达老化时间的STALE状态ND表项将迁移到DELAY状态。5秒钟后DELAY状态超时，ND表项将迁移到PROBE状态，并且设备会发送3次NS报文进行可达性探测。若邻居已经下线，则收不到回应的NA报文，此时设备会将该ND表项删除。用户可以根据网络实际情况调整老化时间。

表1-15 配置STALE状态ND表项的老化时间

 

1.4.4  配置链路本地ND表项资源占用最小化

本功能可以对链路本地ND表项（该ND表项的IPv6地址为链路本地地址）占用的资源进行优化。

缺省情况下，所有ND表项均会下发硬件表项。配置本功能后，新学习的、未被引用的链路本地ND表项（该ND表项的链路本地地址不是某条路由的下一跳）不下发硬件表项，以节省资源。

本功能只对后续新学习的ND表项生效，已经存在的ND表项不受影响。

表1-16 配置链路本地ND表项资源占用最小化

 

1.4.5  配置设备的跳数限制

设备的跳数限制有以下两个作用：

·     决定了设备发送的IPv6数据报文的跳数，即IPv6数据报文的Hop Limit字段的值。

·     如果用户配置了在RA消息中发布本设备的跳数限制（配置命令undo ipv6 nd ra hop-limit unspecified），则设备发送的RA消息中将携带此处配置的跳数限制值。收到该RA消息之后，主机在发送IPv6报文时，将使用该跳数值填充IPv6报文头中的Hop Limit字段。

表1-17 配置设备的跳数限制

 

1.4.6  配置RA消息的相关参数

用户可以根据实际情况，配置接口是否发送RA消息及发送RA消息的时间间隔，同时可以配置RA消息中的相关参数以通告给主机。当主机接收到RA消息后，就可以采用这些参数进行相应操作。可以配置的RA消息中的参数及含义如表1-18所示。

表1-18 RA消息中的参数及描述

 

表1-19 配置允许发布RA消息

 

表1-20 配置RA消息中的相关参数

 

RA消息发布的最大间隔时间应该小于或等于RA消息中路由器的生存时间，以保证在路由器失效之前得到更新的RA消息。

在接口上配置的邻居请求消息重传时间间隔及保持邻居可达状态的时间，既可作为RA消息中的信息发布给主机，也可作为本接口发送邻居请求消息的时间间隔及保持邻居可达状态的时间。

1.4.7  配置重复地址检测时发送邻居请求消息的次数

接口获得IPv6地址后，将发送邻居请求消息进行重复地址检测。如果在指定的时间内（通过ipv6 nd ns retrans-timer命令配置）没有收到响应，则继续发送邻居请求消息，当发送的次数达到所设置的次数后，仍未收到响应，则认为该地址可用。

表1-21 配置重复地址检测时发送邻居请求消息的次数

 

1.4.8  配置ND Proxy功能

1. ND Proxy功能简介

如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应NA报文，这个过程称作ND代理（ND Proxy）。

ND Proxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。

ND Proxy功能根据应用场景不同分为普通ND Proxy和本地ND Proxy。

 

(1)     ND Proxy

ND Proxy的典型应用环境如图1-7所示。设备Router通过两个三层接口GigabitEthernet2/1/1和GigabitEthernet2/1/2连接两个网络，两个三层接口的IPv6地址不在同一个网段，接口地址分别为4:1::99/64、4:2::99/64。但是两个网络内的主机Host A和Host B的地址通过掩码的控制，既与相连设备的接口地址在同一网段，同时二者也处于同一个网段。

图1-7 ND Proxy的应用环境

 

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，此时的两台主机处于不同的广播域中，Host B无法收到Host A的NS请求报文，当然也就无法应答。

通过在Router上启用ND Proxy功能，可以解决此问题。在接口GigabitEthernet2/1/1和GigabitEthernet2/1/2上启用ND Proxy后，Router可以应答Host A的NS请求。同时，Router作为Host B的代理，把其它主机发送过来的报文转发给Host B。这样，实现Host A与Host B之间的通信。

(2)     本地ND Proxy

本地ND Proxy的应用场景如图1-8所示。Host A和Host B属于同一个VLAN 2，但它们分别连接到被二层隔离的端口GigabitEthernet2/1/3和GigabitEthernet2/1/1上。

图1-8 本地ND Proxy的应用环境

 

在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，因为连接两台主机的端口处于端口隔离状态，Host B无法收到Host A的NS请求报文。

通过在Router上启用本地ND Proxy功能，可以解决此问题。在接口GigabitEthernet2/1/2上启用本地ND Proxy后，Router会代替Host B回应NA，Host A发给Host B的报文就会通过Router进行转发，从而实现Host A与Host B之间的通信。

本地ND Proxy可以在下列三种情况下实现主机之间的三层互通：

·     想要互通的主机分别连接到同一个VLAN中的不同二层隔离端口下；

·     使能Super VLAN功能后，想要互通的主机属于不同的Sub VLAN；

·     使能Private VLAN功能后，想要互通的主机属于不同的Secondary VLAN。

2. 配置ND Proxy功能

ND Proxy和本地ND Proxy功能均可在VLAN接口视图/三层以太网接口/三层以太网子接口视图下进行配置。

表1-22 配置ND Proxy功能

 

表1-23 配置本地ND Proxy功能

 

1.5  配置PMTU发现

1.5.1  配置接口MTU

由于IPv6路由器不支持对报文进行分片，当路由器接口收到一个报文后，如果发现报文长度比转发接口的MTU值大，则会将其丢弃；同时将转发接口的MTU值通过ICMPv6报文的“Packet Too Big”消息发给源端主机，源端主机以该值重新发送IPv6报文。为减少报文被丢弃带来的额外流量开销，需要根据实际组网环境设置合适的接口MTU值。

表1-24 配置接口MTU

 

1.5.2  配置指定地址的静态PMTU

用户可以为指定的目的IPv6地址配置静态的PMTU值。当设备作为源端从接口发送报文时，将比较该接口的MTU与指定目的IPv6地址的静态PMTU，如果报文长度大于二者中的最小值，则采用此最小值对报文进行分片发送。发送过程中再通过“1.1.4  IPv6 PMTU发现”中的方法动态确定设备作为源端到目的端主机的PMTU值。

表1-25 配置指定地址的静态PMTU

 

1.5.3  配置PMTU老化时间

通过“1.1.4  IPv6 PMTU发现”中的方法动态确定设备作为源端到目的端主机的PMTU后，设备将使用这个MTU值发送后续报文到目的端主机。当PMTU老化时间超时后，源端主机会通过PMTU机制重新确定发送报文的MTU值。

该配置对静态PMTU不起作用。

表1-26 配置PMTU老化时间

 

1.6  配置ICMPv6报文发送功能

1.6.1  配置发送ICMPv6差错报文对应的令牌桶容量和令牌刷新周期

如果网络中短时间内发送的ICMPv6差错报文过多，将可能导致网络拥塞。为了避免这种情况，用户可以控制在指定时间内发送ICMPv6差错报文的最大个数，目前采用令牌桶算法来实现。

用户可以设置令牌桶的容量，即令牌桶中可以同时容纳的令牌数；同时可以设置令牌桶的刷新周期，即每隔多长时间发放一个令牌到令牌桶中，直到令牌桶中的令牌数达到配置的容量。一个令牌表示允许发送一个ICMPv6差错报文，每当发送一个ICMPv6差错报文，则令牌桶中减少一个令牌。如果连续发送的ICMPv6差错报文超过了令牌桶的容量，则后续的ICMPv6差错报文将不能被发送出去，直到按照所设置的刷新频率将新的令牌放入令牌桶中。

表1-27 配置发送ICMPv6差错报文对应的令牌桶容量和令牌刷新周期

 

1.6.2  配置允许回复组播形式的Echo request报文

缺省情况下，不允许设备回复组播形式的Echo request报文。

在某些应用场景下，可能需要使用组播形式的Echo request报文来获取信息，此时可以通过下面的命令，配置允许设备回复组播形式的Echo request报文。

表1-28 配置允许回复组播形式的Echo request报文

 

1.6.3  配置ICMPv6目的不可达差错报文发送功能

ICMPv6目的不可达报文发送功能是在设备收到IPv6数据报文后，如果发生目的不可达的差错，则将报文丢弃并给源端发送ICMPv6目的不可达差错报文。

设备在满足下列任一条件时会发送目的不可达报文：

·     设备在转发报文时，如果在路由表中没有找到对应的转发路由，且路由表中没有缺省路由，则给源端发送“没有到达目的地址的路由”ICMPv6差错报文；

·     设备在转发报文时，如果是因为管理策略（例如防火墙过滤、ACL等）导致无法发送报文时，则给源端发送“与目的地址的通信被管理策略禁止”ICMPv6差错报文；

·     设备在转发报文时，如果报文的目的IPv6地址超出源IPv6地址的范围（例如，报文的源IPv6地址为链路本地地址，报文的目的IPv6地址为全球单播地址），会导致报文无法到达目的端，此时要给源端发送“超出源地址范围”ICMPv6差错报文；

·     设备在转发报文时，如果不能解析目的IPv6地址对应的链路层地址，则给源端发送“地址不可达”ICMPv6差错报文；

·     设备收到目的地址为本地、传输层协议为UDP的数据报文时，如果报文的目的端口号与正在使用的进程不匹配，则给源端发送“端口不可达”ICMPv6差错报文。

由于ICMPv6目的不可达报文传递给用户进程的信息为不可达信息，如果有用户恶意攻击，可能会影响终端用户的正常使用。为了避免上述现象发生，可以关闭设备的ICMPv6目的不可达报文发送功能，从而减少网络流量、防止遭到恶意攻击。

表1-29 配置ICMPv6目的不可达报文发送功能

 

1.6.4  配置ICMPv6超时差错报文发送功能

ICMPv6超时报文发送功能是在设备收到IPv6数据报文后，如果发生超时差错，则将报文丢弃并给源端发送ICMPv6超时差错报文。

设备在满足下列任一条件时会发送ICMPv6超时报文：

·     设备收到IPv6数据报文后，如果报文的目的地不是本地且报文的Hop limit字段是1，则发送“Hop limit超时”ICMPv6差错报文；

·     设备收到目的地址为本地的IPv6数据报文的第一个分片后，启动定时器，如果所有分片报文到达之前定时器超时，则会发送“重组超时”ICMPv6差错报文。

如果接收到大量需要发送ICMPv6差错报文的恶意攻击报文，设备会因为处理大量该类报文而导致性能降低。

为了避免上述现象发生，可以关闭设备的ICMPv6超时报文发送功能，从而减少网络流量、防止遭到恶意攻击。

表1-30 配置ICMPv6超时差错报文发送功能

 

1.6.5  配置ICMPv6重定向报文发送功能

当主机启动时，它的路由表中可能只有一条到缺省网关的缺省路由。当满足一定的条件时，缺省网关会向源主机发送ICMPv6重定向报文，通知主机重新选择更好的下一跳进行后续报文的发送。

同时满足下列条件时，设备会发送ICMPv6重定向报文：

·     接收和转发数据报文的接口是同一接口；

·     被选择的路由本身没有被ICMPv6重定向报文创建或修改过；

·     被选择的路由不是设备的缺省路由；

·     被转发的IPv6数据报文中不包含路由扩展头。

ICMPv6重定向报文发送功能可以简化主机的管理，使具有很少选路信息的主机逐渐建立较完善的路由表，从而找到最佳路由。但是由于重定向功能会在主机的路由表中增加主机路由，当增加的主机路由很多时，会降低主机性能。因此缺省情况下设备的ICMPv6重定向报文发送功能处于关闭状态。

表1-31 配置ICMPv6重定向报文发送功能

 

1.6.6  配置ICMPv6报文指定源地址功能

在网络中IPv6地址配置较多的情况下，收到ICMPv6报文时，用户很难根据报文的源IPv6地址判断报文来自哪台设备。为了简化这一判断过程，可以配置ICMPv6报文指定源地址功能。用可配置特定地址（如环回口地址）为ICMPv6报文的源地址，可以简化判断。

设备发送ICMPv6差错报文（TTL超时、报文过大、端口不可达和参数错误等）和ping echo request报文时，都可以通过上述命令指定报文的源地址。

表1-32 配置ICMPv6报文指定源地址功能

 

 

1.7  配置IPv6分片报文本地重组功能

当分布式设备的某块单板收到目的为本设备的IPv6分片报文时，需要把分片报文送到主用主控板进行重组，这样会导致报文重组性能较低的问题。当开启IPv6分片报文本地重组功能后，分片报文会在该单板上直接进行报文重组，这样就能提高分片报文的重组性能。

表1-33 配置IPv6分片报文本地重组功能

 

 

1.8  IPv6基础显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示IPv6配置后的运行情况，用户可以通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除相应的统计信息。

表1-34 IPv6基础显示和维护

 

display tcp statistics、display udp statistics、reset tcp statistics和reset udp statistics命令的详细介绍请参见“三层技术-IP业务命令参考”中的“IP性能优化”。

 

1.9  IPv6基础典型配置举例

1. 组网需求

·     如图1-9所示，Host、Router A和Router B之间通过以太网接口相连，在接口上配置IPv6地址，验证它们之间的互通性。

·     Router B有可以到Host的路由。

·     在Host上安装IPv6，根据IPv6邻居发现协议自动配置IPv6地址，有可以到Router B的路由。

2. 组网图

图1-9 IPv6地址配置组网图

 

3. 配置步骤

(1)     配置Router A

# 手工指定接口GigabitEthernet2/1/1的全球单播地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ipv6 address 3001::1/64

[RouterA-GigabitEthernet2/1/1] quit

# 手工指定接口GigabitEthernet2/1/2的全球单播地址，并允许其发布RA消息。（缺省情况下，所有的接口不会发布RA消息）

[RouterA] interface gigabitethernet 2/1/2

[RouterA-GigabitEthernet2/1/2] ipv6 address 2001::1/64

[RouterA-GigabitEthernet2/1/2] undo ipv6 nd ra halt

[RouterA-GigabitEthernet2/1/2] quit

(2)     配置Router B

# 手工指定接口GigabitEthernet2/1/1的全球单播地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 2/1/1

[RouterB-GigabitEthernet2/1/1] ipv6 address 3001::2/64

[RouterB-GigabitEthernet2/1/1] quit

# 配置IPv6静态路由，该路由的目的地址为2001::/64，下一跳地址为3001::1。

[RouterB] ipv6 route-static 2001:: 64 3001::1

(3)     配置Host

在Host上安装IPv6，根据IPv6邻居发现协议自动配置IPv6地址。

# 从Router A上查看接口GigabitEthernet2/1/2的邻居信息。

[RouterA] display ipv6 neighbors interface gigabitethernet 2/1/2

         Type: S-Static    D-Dynamic    O-Openflow    I-Invalid

IPv6 Address                   Link Layer     VID  Interface      State T Age

FE80::215:E9FF:FEA6:7D14       0015-e9a6-7d14 N/A  GE2/1/2        STALE D 1238

2001::15B:E0EA:3524:E791       0015-e9a6-7d14 N/A  GE2/1/2        STALE D 1248

通过上面的信息可以知道Host上获得的IPv6全球单播地址为2001::15B:E0EA:3524:E791。

4. 验证配置

# 显示Router A的接口信息，可以看到各接口配置的IPv6全球单播地址。

[RouterA] display ipv6 interface gigabitethernet 2/1/1

GigabitEthernet2/1/1 current state: UP

Line protocol current state: UP

IPv6 is enabled, link-local address is FE80::20F:E2FF:FE00:2

  Global unicast address(es):

    3001::1, subnet is 3001::/64

  Joined group address(es):

    FF02::1

    FF02::2

    FF02::1:FF00:1

    FF02::1:FF00:2

  MTU is 1500 bytes

  ND DAD is enabled, number of DAD attempts: 1

  ND reachable time is 30000 milliseconds

  ND retransmit interval is 1000 milliseconds

  Hosts use stateless autoconfig for addresses

IPv6 Packet statistics:

  InReceives:                    25829

  InTooShorts:                   0

  InTruncatedPkts:               0

  InHopLimitExceeds:             0

  InBadHeaders:                  0

  InBadOptions:                  0

  ReasmReqds:                    0

  ReasmOKs:                      0

  InFragDrops:                   0

  InFragTimeouts:                0

  OutFragFails:                  0

  InUnknownProtos:               0

  InDelivers:                    47

  OutRequests:                   89

  OutForwDatagrams:              48

  InNoRoutes:                    0

  InTooBigErrors:                0

  OutFragOKs:                    0

  OutFragCreates:                0

  InMcastPkts:                   6

  InMcastNotMembers:             25747

  OutMcastPkts:                  48

  InAddrErrors:                  0

  InDiscards:                    0

  OutDiscards:                   0

[RouterA] display ipv6 interface gigabitethernet 2/1/2

GigabitEthernet2/1/2 current state: UP

Line protocol current state: UP

IPv6 is enabled, link-local address is FE80::20F:E2FF:FE00:1C0

  Global unicast address(es):

    2001::1, subnet is 2001::/64

  Joined group address(es):

    FF02::1

    FF02::2

    FF02::1:FF00:1

    FF02::1:FF00:1C0

  MTU is 1500 bytes

  ND DAD is enabled, number of DAD attempts: 1

  ND reachable time is 30000 milliseconds

  ND retransmit interval is 1000 milliseconds

  ND advertised reachable time is 0 milliseconds

  ND advertised retransmit interval is 0 milliseconds

  ND router advertisements are sent every 600 seconds

  ND router advertisements live for 1800 seconds

  Hosts use stateless autoconfig for addresses

IPv6 Packet statistics:

  InReceives:                    272

  InTooShorts:                   0

  InTruncatedPkts:               0

  InHopLimitExceeds:             0

  InBadHeaders:                  0

  InBadOptions:                  0

  ReasmReqds:                    0

  ReasmOKs:                      0

  InFragDrops:                   0

  InFragTimeouts:                0

  OutFragFails:                  0

  InUnknownProtos:               0

  InDelivers:                    159

  OutRequests:                   1012

  OutForwDatagrams:              35

  InNoRoutes:                    0

  InTooBigErrors:                0

  OutFragOKs:                    0

  OutFragCreates:                0

  InMcastPkts:                   79

  InMcastNotMembers:             65

  OutMcastPkts:                  938

  InAddrErrors:                  0

  InDiscards:                    0

  OutDiscards:                   0

# 显示Router B的接口信息，可以看到接口配置的IPv6全球单播地址。

[RouterB] display ipv6 interface gigabitethernet 2/1/1

GigabitEthernet2/1/1 current state: UP

Line protocol current state: UP

IPv6 is enabled, link-local address is FE80::20F:E2FF:FE00:1234

  Global unicast address(es):

    3001::2, subnet is 3001::/64

  Joined group address(es):

    FF02::1

    FF02::2

    FF02::1:FF00:2

    FF02::1:FF00:1234

  MTU is 1500 bytes

  ND DAD is enabled, number of DAD attempts: 1

  ND reachable time is 30000 milliseconds

  ND retransmit interval is 1000 milliseconds

  Hosts use stateless autoconfig for addresses

IPv6 Packet statistics:

  InReceives:                    117

  InTooShorts:                   0

  InTruncatedPkts:               0

  InHopLimitExceeds:             0

  InBadHeaders:                  0

  InBadOptions:                  0

  ReasmReqds:                    0

  ReasmOKs:                      0

  InFragDrops:                   0

  InFragTimeouts:                0

  OutFragFails:                  0

  InUnknownProtos:               0

  InDelivers:                    117

  OutRequests:                   83

  OutForwDatagrams:              0

  InNoRoutes:                    0

  InTooBigErrors:                0

  OutFragOKs:                    0

  OutFragCreates:                0

  InMcastPkts:                   28

  InMcastNotMembers:             0

  OutMcastPkts:                  7

  InAddrErrors:                  0

  InDiscards:                    0

  OutDiscards:                   0

# 在Host上使用Ping测试和Router A及Router B的互通性；在Router B上使用Ping测试和Router A及Host的互通性。

 

[RouterB] ping ipv6 -c 1 3001::1

Ping6(56 data bytes) 3001::2 --> 3001::1, press CTRL_C to break

56 bytes from 3001::1, icmp_seq=0 hlim=64 time=4.404 ms

 

--- Ping6 statistics for 3001::1 ---

1 packet(s) transmitted, 1 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 4.404/4.404/4.404/0.000 ms

[RouterB] ping ipv6 -c 1 2001::15B:E0EA:3524:E791

Ping6(56 data bytes) 3001::2 --> 2001::15B:E0EA:3524:E791, press CTRL_C to break

56 bytes from 2001::15B:E0EA:3524:E791, icmp_seq=0 hlim=64 time=5.404 ms

 

--- Ping6 statistics for 2001::15B:E0EA:3524:E791 ---

1 packet(s) transmitted, 1 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 5.404/5.404/5.404/0.000 ms

从Host上也可以ping通Router B和Router A，证明它们是互通的。

1.10  常见配置错误举例

1. 故障现象

无法Ping通对端的IPv6地址。

2. 故障排除

·     在任意视图下使用display ipv6 interface命令检查接口配置的IPv6地址是否正确，接口状态是否为up。

·     在用户视图下使用debugging ipv6 packet命令打开IPv6报文调试开关，根据调试信息进行判断。