05-NAT配置指导

02-AFT配置

本章节下载  (344.71 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_CG(V7)(R9514_R9323)-6W203/05/201912/1248771_30005_0.htm

02-AFT配置


1 AFT

设备各款型对于本节所描述的特性支持情况有所不同,详细差异信息如下:

型号

特性

描述

F1000-E-G2/F1000-A-G2/F1000-S-G2/F1000-C-G2

AFT

支持

F100-E-G2/F100-A-G2/F100-M-G2/F100-S-G2/F100-C-G2

·         F100-E-G2/F100-A-G2:支持

·         F100-M-G2/F100-S-G2/F100-C-G2:不支持

F1000-C-EI/F100-E-EI/F100-A-EI/F100-C-EI/F100-A-SI

·         F1000-C-EI/F100-E-EI/F100-A-EI/F100-A-SI:支持

·         F100-C-EI:不支持

F100-C-HI/F100-S-HI/F100-A-HI/F1000-C-HI

·         F100-A-HI/F1000-C-HI:支持

·         F100-C-HI/F100-S-HI:不支持

F1000-C8180/F1000-C8170/F1000-C8160/F1000-C8150/F1000-C8130/F1000-C8120

·         F1000-C8180/F1000-C8170/F1000-C8160:支持

·         F1000-C8150/F1000-C8130/F1000-C8120:不支持

F100-C80-WiNet/F100-C60-WiNet

不支持

 

1.1  AFT简介

1.1.1  AFT应用场景

IPv6的应用是个循序渐进的过程,在很长时间内,IPv4网络和IPv6网络会同时存在且需要相互通信。AFT(Address Family Translation,地址族转换)提供了IPv4和IPv6地址之间的相互转换功能。在IPv4网络完全过渡到IPv6网络之前,两个网络之间直接的通信可以通过AFT来实现。例如,使用AFT可以使IPv4网络中的主机直接访问IPv6网络中的FTP服务器。

图1-1所示,AFT作用于IPv4和IPv6网络边缘设备上,所有的地址转换过程都在该设备上实现,对IPv4和IPv6网络内的用户来说是透明的,即用户不必改变目前网络中主机的配置就可实现IPv6网络与IPv4网络的通信。

图1-1 AFT应用场景

 

1.1.2  AFT基本概念

1. NAT64前缀

NAT64前缀是长度为32、40、48、56、64或96位的IPv6地址前缀,用来构造IPv4节点在IPv6网络中的地址,以便IPv4主机与IPv6主机通信。网络中并不存在带有NAT64前缀的IPv6地址的主机。如图1-2所示,NAT64前缀长度不同时,地址转换方法有所不同。其中,NAT64前缀长度为32、64和96位时,IPv4地址作为一个整体添加到IPv6地址中;NAT64前缀长度为40、48和56位时,IPv4地址被拆分成两部分,分别添加到64~71位的前后。

图1-2 对应IPv4地址带有NAT64前缀的IPv6地址格式

 

2. IVI前缀

IVI前缀是长度为32位的IPv6地址前缀。由IVI前缀构成的IVI地址格式如图1-3所示。IVI地址是IPv6主机实际使用的IPv6地址,这个IPv6地址中内嵌了一个IPv4地址,可以用于与IPv4主机通信。

图1-3 IVI地址格式

 

3. General前缀

General前缀与NAT64前缀类似,都是长度为32、40、48、56、64或96位的IPv6地址前缀。如图1-4所示,General前缀与NAT64前缀的区别在于,General前缀没有64到71位的8位保留位,IPv4地址作为一个整体添加到IPv6地址中。

需要注意的是,General前缀与NAT64前缀都不能与设备上的接口地址同网段。

图1-4 对应IPv4地址带有General前缀的IPv6地址格式

 

1.1.3  AFT转换方式

AFT的地址转换方式分为以下几种:

1. 静态方式

静态转换方式是指采用手工配置的IPv6地址与IPv4地址的一一对应关系来实现IPv6地址与IPv4地址的转换。

2. 动态方式

动态转换方式是指动态地创建IPv6地址与IPv4地址的对应关系来实现IPv6地址与IPv4地址的转换。和静态转换方式不同,动态转换方式中IPv6和IPv4地址之间不存在固定的一一对应关系。

将IPv6报文的源IPv6地址转换为IPv4地址时,动态转换方式分为NO-PAT和PAT两种模式:

·            NO-PAT模式

NO-PAT(Not Port Address Translation,非端口地址转换)模式下,一个IPv4地址同一时间只能对应一个IPv6地址进行转换,不能同时被多个IPv6地址共用。当使用某IPv4地址的IPv6网络用户停止访问IPv4网络时,AFT会将其占用的IPv4地址释放并分配给其他IPv6网络用户使用。

该模式下,AFT设备只对报文的IP地址进行AFT转换,同时会建立一个NO-PAT表项用于记录IPv6地址和IPv4地址的映射关系,并不涉及端口转换,可支持所有IP协议的报文。

·            PAT模式

PAT(Port Address Translation,端口地址转换)模式下,一个IPv4地址可以同时被多个IPv6地址共用。该模式下,AFT设备需要对报文的IP地址和传输层端口同时进行转换,且只支持TCP、UDP和ICMPv6(Internet Control Message Protocol for IPv6,IPv6互联网控制消息协议)查询报文。

PAT模式的动态转换策略支持对端口块大小进行限制,从而达到限制转换和溯源的目的。可划分的端口号范围为1024~65535,剩余不足划分的部分则不会进行分配。IPv6主机首次发起连接时,为该地址分配一个用于转换的IPv4地址,以及该IPv4地址的一个端口块。后续从该IPv6主机发起的连接都使用这个IPv4地址和端口块里面的端口进行转换,直到端口块里面的端口用尽。

3. 前缀方式

前缀转换有以下三种方式:

·            NAT64前缀转换:IPv4侧发起访问时,AFT利用NAT64前缀将报文的源IPv4地址转换为IPv6地址;IPv6侧发起访问时,AFT利用NAT64前缀将报文的目的IPv6地址转换为IPv4地址。具体转换方式请参考图1-2

·            IVI前缀转换:从IPv6侧发起访问时,AFT可以使用IVI前缀将报文的源IPv6地址转换为IPv4地址。具体转换方式请参考图1-3

·            General前缀转换:从IPv6侧发起访问时,AFT利用General前缀将报文的源/目的IPv6地址转换为IPv4地址。具体转换方式请参考图1-4

4. IPv6内部服务器

IPv6内部服务器是指向IPv4网络主机提供服务的IPv6网络中的服务器。通过配置IPv6内部服务器,可以将IPv6服务器的地址和端口映射到IPv4网络,IPv4网络中的主机通过访问映射后的IPv4地址和端口就可以访问IPv6网络中的服务器。

1.1.4  AFT报文转换过程

IPv6侧发起访问和IPv4侧发起访问的报文转换过程有所不同,下面将分别介绍。

1. IPv6侧发起访问

图1-5 IPv6侧发起访问的AFT报文转换过程

 

图1-5所示,IPv6侧发起访问时AFT设备对报文的转换过程为:

(1)       判断是否需要进行AFT转换:AFT设备接收到IPv6网络主机(IPv6 host)发送给IPv4网络主机(IPv4 host)的报文后,判断该报文是否要转发到IPv4网络。如果报文的目的IPv6地址能够匹配到IPv6目的地址转换策略,则该报文需要转发到IPv4网络,需要进行AFT转换;如果未匹配到任何一种转换策略,则表示该报文不需要进行AFT转换。

(2)       转换报文目的地址:根据IPv6目的地址转换策略将报文目的IPv6地址转换为IPv4地址。

(3)       根据目的地址预查路由:根据转换后的IPv4目的地址查找路由表,确定报文的出接口。如果查找失败,则丢弃报文。需要注意的是,预查路由时不会查找策略路由。

(4)       转换报文源地址:根据IPv6源地址转换策略将报文源IPv6地址转换为IPv4地址。如果未匹配到任何一种转换策略,则报文将被丢弃。

(5)       转发报文并记录映射关系:报文的源IPv6地址和目的IPv6地址都转换为IPv4地址后,设备按照正常的转发流程将报文转发到IPv4网络中的主机。同时,将IPv6地址与IPv4地址的映射关系保存在设备中。

(6)       根据记录的映射关系转发应答报文:IPv4网络主机发送给IPv6网络主机的应答报文到达AFT设备后,设备将根据已保存的映射关系进行相反的转换,从而将报文发送给IPv6网络主机。

2. IPv4侧发起访问

图1-6 IPv4侧发起访问的AFT报文转换过程

 

图1-6所示,IPv4侧发起访问时AFT设备对报文的转换过程为:

(1)       判断是否需要进行AFT转换:AFT设备接收到IPv4网络主机(IPv4 host)发送给IPv6网络主机(IPv6 host)的报文后,判断该报文是否要转发到IPv6网络。如果报文的目的IPv4地址能够匹配到IPv4目的地址转换策略,则该报文需要转发到IPv6网络,需要进行AFT转换。如果未匹配到任何一种转换策略,则表示该报文不需要进行AFT地址转换。

(2)       转换报文目的地址:根据IPv4目的地址转换策略将报文目的IPv4地址转换为IPv6地址。

(3)       根据目的地址预查路由:根据转换后的IPv6目的地址查找路由表,确定报文的出接口。如果查找失败,则丢弃报文。需要注意的是,预查路由时不会查找策略路由。

(4)       转换报文源地址:根据IPv4源地址转换策略将报文源IPv4地址转换为IPv6地址。如果未匹配到任何一种转换策略,则报文将被丢弃。

(5)       转发报文并记录映射关系:报文的源IPv4地址和目的IPv4地址都转换为IPv6地址后,设备按照正常的转发流程将报文转发到IPv6网络中的主机。同时,将IPv4地址与IPv6地址的映射关系保存在设备中。

(6)       根据记录的映射关系转发应答报文:IPv6网络主机发送给IPv4网络主机的应答报文到达AFT设备后,设备将根据已保存的映射关系进行相反的转换,从而将报文发送给IPv4网络主机。

1.1.5  AFT支持ALG

AFT只对报文头中的IP地址和端口信息进行转换,不对应用层数据载荷中的字段进行分析。然而对于一些特殊协议,它们的报文的数据载荷中可能包含IP地址或端口信息。例如,FTP应用由数据连接和控制连接共同完成,而数据连接使用的地址和端口由控制连接报文中的载荷信息决定。这些载荷信息也必须进行有效的转换,否则可能导致功能问题。ALG(Application Level Gateway,应用层网关)主要完成对应用层报文的处理,利用ALG可以完成载荷信息的转换。

目前,AFT支持对以下协议报文进行ALG处理:FTP报文、DNS报文和ICMP差错报文。

1.2  AFT配置任务简介

1.2.1  IPv6侧发起访问时AFT配置任务简介

表1-1所示,IPv6主机主动向IPv4主机发起访问时,AFT设备上需要配置以下内容。

表1-1 IPv6侧发起访问时AFT配置任务简介

配置任务

说明

详细配置

开启AFT功能

必选

1.4.1 

配置IPv6到IPv4的目的地址转换策略

必选

1.4.2 

配置IPv6到IPv4的源地址转换策略

必选

1.4.3 

开启AFT日志功能

可选

1.4.6 

配置AFT转换后IPv4报文的ToS字段值

可选

1.4.7 

 

1.2.2  IPv4侧发起访问时AFT配置任务简介

表1-2所示,IPv4主机主动向IPv6主机发起访问时,AFT设备上需要配置以下内容。

表1-2 IPv4侧发起访问时AFT配置任务简介

配置任务

说明

详细配置

开启AFT功能

必选

1.4.1 

配置IPv4到IPv6的目的地址转换策略

必选

1.4.4 

配置IPv4到IPv6的源地址转换策略

必选

1.4.5 

开启AFT日志功能

可选

1.4.6 

配置AFT转换后IPv6报文的Traffic Class字段值

可选

1.4.8 

 

1.3  AFT配置限制和指导

在需要配置安全域的组网环境下,在配置AFT功能之前,请先配置安全策略保证Local安全域和设备出接口所在安全域报文互通。

1.4  配置AFT

1.4.1  开启AFT功能

只有在连接IPv4网络和IPv6网络的接口上都开启AFT功能后,才能实现IPv4报文和IPv6报文之间的相互转换。

表1-3 开启AFT功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

开启AFT功能

aft enable

缺省情况下,AFT功能处于关闭状态

 

1.4.2  配置IPv6到IPv4的目的地址转换策略

IPv6目的地址转换策略匹配的优先级从高到低为:

·            IPv4到IPv6的源地址静态转换策略:该策略确定了一个IPv4地址和一个IPv6地址的对应关系。根据该对应关系,可以将报文中的IPv6目的地址转换为IPv4地址。

·            General前缀:根据General前缀,取出IPv6目的地址中内嵌的IPv4地址,作为转换后的IPv4地址。

·            NAT64前缀:根据NAT64前缀,取出IPv6目的地址中内嵌的IPv4地址,作为转换后的IPv4地址。

表1-4 配置IPv6到IPv4的目的地址转换策略

操作

命令

说明

进入系统视图

system-view

-

配置IPv4到IPv6源地址静态转换策略

aft v4tov6 source ipv4-address [ vpn-instance ipv4-vpn-instance-name ] ipv6-address [ vpn-instance ipv6-vpn-instance-name ]

三者选其一

根据aft v4tov6 source命令指定的对应关系可实现IPv6到IPv4目的地址转换

缺省情况下,不存在IPv6到IPv4的目的地址转换策略

配置General前缀

aft prefix-general prefix-general prefix-length

配置NAT64前缀

aft prefix-nat64 prefix-nat64 prefix-length

 

1.4.3  配置IPv6到IPv4的源地址转换策略

IPv6源地址转换策略匹配的优先级从高到低为:

·            IPv6到IPv4的源地址静态转换策略:该策略确定了一个IPv6源地址和一个IPv4源地址的对应关系。根据这个对应关系,可以将报文中的IPv6源地址转换为IPv4地址。

·            General前缀:根据General前缀,取出IPv6源地址中内嵌的IPv4地址,作为转换后的IPv4源地址。

·            IVI前缀:根据IVI前缀,取出IPv6源地址中内嵌的IPv4地址,作为转换后的IPv4源地址。

·            IPv6到IPv4的源地址动态转换策略:如果报文匹配指定的ACL规则或NAT64前缀,则根据本策略从指定的地址组中动态选取一个IPv4地址作为转换后的源IPv4地址。

表1-5 配置IPv6到IPv4的源地址转换策略

操作

命令

说明

进入系统视图

system-view

-

创建一个AFT地址组,并进入AFT地址组视图

aft address-group group-id

在配置IPv6到IPv4源地址动态转换策略前,根据实际情况选配

缺省情况下,设备上不存在任何AFT地址组

添加地址组成员

address start-address end-address

缺省情况下,地址组内不存在任何地址组成员

可通过多次执行本命令添加多个地址组成员

当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有成员的IP地址段重叠

退回系统视图

quit

-

配置IPv6到IPv4源地址静态转换策略

aft v6tov4 source ipv6-address [ vpn-instance ipv6-vpn-instance-name ] ipv4-address [ vpn-instance ipv4-vpn-instance-name ]

四者选其一

缺省情况下,不存在IPv6到IPv4的源地址转换策略

配置IPv6到IPv4的源地址动态转换策略

aft v6tov4 source { acl ipv6 { name ipv6-acl-name | number ipv6-acl-number } | prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] } { address-group group-id [ no-pat | port-block-size blocksize ] | interface interface-type interface-number } [ vpn-instance ipv4-vpn-instance-name ]

配置General前缀

aft prefix-general prefix-general prefix-length

配置IVI前缀

aft prefix-ivi prefix-ivi

 

1.4.4  配置IPv4到IPv6目的地址转换策略

IPv4目的地址转换策略的匹配优先级从高到低为:

·            IPv6内部服务器:该策略将IPv6服务器映射到IPv4网络,该配置确定了IPv6目的地址和端口对应的IPv4地址和端口,根据这个对应关系,设备可以将IPv4目的地址和端口转换为IPv6目的地址和端口。

·            IPv6到IPv4的源地址静态转换策略:该策略确定了一个IPv6地址和一个IPv4地址的对应关系。根据这个对应关系,可以将报文中的IPv4目的地址转换为IPv6地址。

·            IPv4到IPv6的目的地址动态转换策略:该策略规定了符合指定ACL规则的报文可以使用指定的IVI前缀或General前缀进行目的地址转换,即使用报文中的IPv4目的地址与策略中的IVI前缀或General前缀组合成IPv6地址,作为转换后的IPv6目的地址。

表1-6 配置IPv4到IPv6目的地址转换策略

操作

命令

说明

进入系统视图

system-view

-

配置IPv6侧服务器对应的IPv4地址及端口

aft v6server protocol protocol-type ipv4-destination-address ipv4-port-number [ vpn-instance ipv4-vpn-instance-name ] ipv6-destination-address ipv6-port-number [ vpn-instance ipv6-vpn-instance-name ]

三者选其一

根据aft v6tov4 source命令指定的对应关系,可实现IPv4到IPv6的目的地址转换

缺省情况下,不存在IPv4到IPv6目的地址转换策略

引用IVI前缀或General前缀之前,需要先进行IVI前缀或General前缀的配置,转换策略才能生效

配置IPv6到IPv4源地址静态转换策略

aft v6tov4 source ipv6-address [ vpn-instance ipv6-vpn-instance-name ] ipv4-address [ vpn-instance ipv4-vpn-instance-name ]

配置IPv4到IPv6目的地址动态转换策略

aft v4tov6 destination acl { name ipv4-acl-name prefix-ivi prefix-ivi [ vpn-instance ipv6-vpn-instance-name ] | number ipv4-acl-number { prefix-general prefix-general prefix-length | prefix-ivi prefix-ivi [ vpn-instance ipv6-vpn-instance-name ] } }

 

1.4.5  配置IPv4到IPv6源地址转换策略

IPv4源地址转换策略的匹配优先级从高到低为:

·            IPv4到IPv6的源地址静态转换策略:该策略确定了一个IPv4源地址和一个IPv6源地址的对应关系。根据这个对应关系,可以将报文中的IPv4源地址转换为IPv6地址。

·            IPv4到IPv6的源地址动态转换策略:该策略规定了匹配指定ACL规则的报文可以使用指定的NAT64前缀或General前缀进行源地址转换,即使用报文中的IPv4源地址与策略中的NAT64前缀或General前缀组合成IPv6地址,作为转换后的IPv6源地址。

·            NAT64前缀:如果报文没有匹配到前面两种转换策略,则使用第一个NAT64前缀进行转换,使用报文中的IPv4源地址与NAT64前缀组合成IPv6地址,作为转换后的IPv6源地址。

表1-7 配置v4tov6源地址转换策略

操作

命令

说明

进入系统视图

system-view

-

配置IPv4到IPv6源地址静态转换策略

aft v4tov6 source ipv4-address [ vpn-instance ipv4-vpn-instance-name ] ipv6-address [ vpn-instance ipv6-vpn-instance-name ]

三者选其一

缺省情况下,不存在IPv4到IPv6源地址转换策略

引用NAT64前缀或General前缀之前,需要先进行NAT64前缀或General前缀的配置,转换策略才能生效

配置IPv4到IPv6源地址动态转换策略

aft v4tov6 source acl { name ipv4-acl-name prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] | number ipv4-acl-number { prefix-general prefix-general prefix-length | prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] } }

配置NAT64前缀

aft prefix-nat64 prefix-nat64 prefix-length

 

1.4.6  开启AFT日志功能

为了满足网络管理员安全审计的需要,可以开启AFT日志功能,以便对AFT连接(AFT连接是指报文经过设备时,源或目的地址进行过AFT转换的连接)信息进行记录。

表1-8 配置AFT日志

操作

命令

说明

进入系统视图

system-view

-

开启AFT日志功能

aft log enable

缺省情况下,AFT日志功能处于关闭状态

开启AFT流创建的日志功能

aft log flow-begin

缺省情况下,AFT新建流的日志功能处于关闭状态

开启AFT流删除的日志功能

aft log flow-end

缺省情况下,AFT删除流的日志功能处于关闭状态

 

1.4.7  配置AFT转换后IPv4报文的ToS字段值

用户可以设置在进行AFT转换后,IPv4报文中ToS字段的取值:

·            为0:表示将转换后报文的服务优先级降为最低。

·            与转换前对应的ToS字段取值相同:表示保持原有的服务优先级。

表1-9 配置AFT转换后IPv4报文ToS字段值

操作

命令

说明

进入系统视图

system-view

-

配置IPv6报文转换为IPv4报文后,IPv4报文的ToS字段值为0

aft turn-off tos

缺省情况下,当IPv6报文转换为IPv4报文后,IPv4报文中的ToS字段与转换前的IPv6报文的Traffic Class字段值相同

 

1.4.8  配置AFT转换后IPv6报文的Traffic Class字段值

用户可以设置在AFT转换后,IPv6报文中Traffic Class字段的取值:

·            为0:表示将转换后报文的服务优先级降为最低。

·            与转换前对应的Traffic Class字段取值相同:表示保持原有的服务优先级。

表1-10 配置AFT转换后IPv6报文的Traffic Class字段值

操作

命令

说明

进入系统视图

system-view

-

配置IPv4报文转换为IPv6报文后,IPv6报文的Traffic Class字段值为0

aft turn-off traffic-class

缺省情况下,当IPv4报文转换为IPv6报文后,IPv6报文中的Traffic Class字段与转换前的IPv4报文的ToS字段值相同

 

1.5  AFT显示和维护

表1-11 AFT显示和维护

操作

命令

显示AFT配置信息

display aft configuration

显示地址组信息

display aft address-group [ group-id ]

显示AFT地址映射信息

display aft address-mapping [ slot slot-number ]

显示AFT NO-PAT表项信息

display aft no-pat [ slot slot-number ]

显示AFT端口块映射表项信息

display aft port-block [ slot slot-number ]

显示AFT会话

display aft session ipv4 [ { source-ip source-ip-address | destination-ip destination-ip-address } * [ vpn-instance ipv4-vpn-instance-name ] ] [ slot slot-number ] [ verbose ]

display aft session ipv6 [ { source-ip source-ipv6-address | destination-ip destination-ipv6-address } * [ vpn-instance ipv6-vpn-instance-name ] ] [ slot slot-number ] [ verbose ]

显示AFT统计信息

display aft statistics [ slot slot-number ]

删除AFT会话

reset aft session [ slot slot-number ]

删除AFT统计信息

reset aft statistics [ slot slot-number ]

 

1.6  AFT典型配置举例

1.6.1  IPv6网络访问IPv4 Internet

1. 组网需求

某公司将网络升级到了IPv6,但是仍然希望内网2013::/96网段的用户可以访问IPv4 Internet,其它网段的用户不能访问IPv4 Internet。该公司访问IPv4 Internet使用的IPv4地址为10.1.1.1、10.1.1.2和10.1.1.3。

为满足上述需求,本例中实现方式如下:

·            使用NAT64前缀与IPv4网络中的主机地址组合成为IPv6地址,此IPv6地址将与IPv4 Internet内的主机建立相应的映射关系,IPv6网络中的主机访问该IPv6地址即可实现对IPv4 Internet的访问。报文到达Device后,设备将根据NAT64前缀将该目的IPv6地址转换为对应的IPv4地址。

·            使用IPv6到IPv4源地址动态转换策略将IPv6网络到IPv4网络报文的源地址转换为IPv4地址10.1.1.1、10.1.1.2或10.1.1.3。

2. 组网图

图1-7 IPv6网络访问IPv4 Internet

 

3. 配置步骤

# 按照组网图配置各接口的IP地址,具体配置过程略。

# 配置地址组0包含三个IPv4地址10.1.1.1、10.1.1.2和10.1.1.3。

<Device> system-view

[Device] aft address-group 0

[Device-aft-address-group-0] address 10.1.1.1 10.1.1.3

[Device-aft-address-group-0] quit

# 配置IPv6 ACL 2000,该ACL用来匹配源IPv6地址属于2013::/96网段的报文。

[Device] acl ipv6 basic 2000

[Device-acl-ipv6-basic-2000] rule permit source 2013:: 96

[Device-acl-ipv6-basic-2000] rule deny

[Device-acl-ipv6-basic-2000] quit

# 配置IPv6到IPv4的源地址动态转换策略,将匹配ACL 2000的IPv6报文源地址转换为地址组0中的地址,即将2013::/96网段内主机所发送报文的源IPv6地址转换为IPv4地址10.1.1.1、10.1.1.2或10.1.1.3。

[Device] aft v6tov4 source acl ipv6 number 2000 address-group 0

# 配置NAT64前缀为2012::/96,报文的目的地址根据该NAT64前缀转换为IPv4地址。

[Device] aft prefix-nat64 2012:: 96

# 在IPv6侧接口GigabitEthernet1/0/1开启AFT功能。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

# 在IPv4侧接口GigabitEthernet1/0/2开启AFT功能。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后,检查IPv6 Host与IPv4 Server的连通性。以IPv6 host A ping IPv4 server A为例:

D:\>ping 2012::20.1.1.1

Pinging 2012::20.1.1.1 with 32 bytes of data:

Reply from 2012::20.1.1.1: time=3ms

Reply from 2012::20.1.1.1: time=3ms

Reply from 2012::20.1.1.1: time=3ms

Reply from 2012::20.1.1.1: time=3ms

# 通过查看AFT会话,可以看到创建了一个IPv6会话和IPv4会话,分别对应转换前和转换后的报文。

[Device] display aft session ipv6 verbose

Initiator:

  Source      IP/port: 2013::100/0

  Destination IP/port: 2012::1401:0101/32768

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 2012::1401:0101/0

  Destination IP/port: 2013::100/33024

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/2

State: ICMPV6_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 23s

Initiator->Responder:            4 packets        320 bytes

Responder->Initiator:            4 packets        320 bytes

 

Total sessions found: 1

 

[Device] display aft session ipv4 verbose

Initiator:

  Source      IP/port: 10.1.1.1/1025

  Destination IP/port: 20.1.1.1/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 20.1.1.1/1025

  Destination IP/port: 10.1.1.1/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/2

State: ICMP_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 27s

Initiator->Responder:            4 packets        240 bytes

Responder->Initiator:            4 packets        240 bytes

 

Total sessions found: 1

1.6.2  IPv4 Internet访问IPv6网络内部服务器

1. 组网需求

某公司将网络升级到了IPv6,此时Internet仍然是IPv4网络。该公司希望内部的FTP服务器能够继续为IPv4 Internet的用户提供服务。该公司拥有的IPv4地址为10.1.1.1。

为满足上述要求,本例实现方式如下:

·            使用IPv6侧服务器配置将IPv6内部服务器的地址及端口映射为IPv4地址及端口,Device收到来自IPv4 Internet的报文后,根据该配置策略将报文IPv4目的地址转换为IPv6地址;

·            使用NAT64前缀将报文源IPv4地址转换为IPv6地址。

2. 组网图

图1-8 IPv4 Internet访问IPv6网络

 

3. 配置步骤

# 按照组网图配置各接口的IP地址,具体配置过程略。

# 配置IPv6侧服务器对应的IPv4地址及端口号。IPv4网络内用户通过访问该IPv4地址及端口即可访问IPv6服务器。

<Device> system-view

[Device] aft v6server protocol tcp 10.1.1.1 21 2013::102 21

# 报文的源地址将根据配置的NAT64前缀转换为IPv6地址。

[Device] aft prefix-nat64 2012:: 96

# 在IPv4侧接口GigabitEthernet1/0/1开启AFT。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

# 在IPv6侧接口GigabitEthernet1/0/2开启AFT。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后,IPv4 Host可以通过FTP协议访问IPv6 FTP Server。

# 通过查看AFT会话,可以看到创建了一个IPv4会话和IPv6会话,分别对应转换前和转换后的报文。

[Device] display aft session ipv4 verbose

Initiator:

  Source      IP/port: 20.1.1.1/11025

  Destination IP/port: 10.1.1.1/21

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 10.1.1.1/21

  Destination IP/port: 20.1.1.1/11025

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: FTP

Start time: 2014-03-13 09:07:30  TTL: 3577s

Initiator->Responder:            3 packets        124 bytes

Responder->Initiator:            2 packets        108 bytes

 

Total sessions found: 1

 

[Device] display aft session ipv6 verbose

Initiator:

  Source      IP/port: 2012::1401:0101/1029

  Destination IP/port: 2013::102/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 2013::102/21

  Destination IP/port: 2012::1401:0101/1029

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: FTP

Start time: 2014-03-13 09:07:30  TTL: 3582s

Initiator->Responder:            3 packets        184 bytes

Responder->Initiator:            2 packets        148 bytes

 

Total sessions found: 1

1.6.3  IPv4网络和IPv6网络互访

1. 组网需求

某公司内部同时部署了IPv4网络和IPv6网络,并且希望IPv4网络和IPv6网络能够互相访问。

为满足上述需求,本例中使用如下方式实现:

·            为IPv6网络分配一个IVI前缀和IPv4网段,IPv6网络中所有IPv6主机的地址均配置为由IVI前缀和IPv4网段中地址组合而成的IPv6地址。

·            为IPv4网络分配一个NAT64前缀,IPv4网络主动访问IPv6网络时,IPv4源地址使用NAT64前缀转换为IPv6地址;IPv6网络主动访问IPv4网络时,目的地址使用NAT64前缀和IPv4地址组合成的IPv6地址。

2. 组网图

图1-9 IPv4网络和IPv6网络互访

 

3. 配置步骤

# 按照组网图配置各接口的IP地址,其中IPv6网络中的主机使用的IPv6地址根据IVI前缀2013::/32和20.1.1.0/24组合而成。具体配置过程略。

# 配置ACL 2000用来过滤需要访问IPv6网络的用户,同时匹配该ACL 2000的报文的目的地址将会根据配置的IVI前缀转换为IPv6地址。此处所有IPv4网络用户均需要访问IPv6网络。

<Device> system-view

[Device] acl basic 2000

[Device-acl-ipv4-basic-2000] rule permit

[Device-acl-ipv4-basic-2000] quit

# 配置NAT64前缀,用于进行IPv4到IPv6的源地址转换和IPv6到IPv4的目的地址转换。

[Device] aft prefix-nat64 2012:: 96

# 配置IVI前缀,用于进行IPv6到IPv4源地址转换,且在IPv4到IPv6动态目的地址转换策略中引用该前缀。

[Device] aft prefix-ivi 2013::

# 配置IPv4到IPv6动态目的地址转换策略,IPv4到IPv6报文的目的IPv4地址转换为IPv6地址。

[Device] aft v4tov6 destination acl number 2000 prefix-ivi 2013::

# 在IPv4侧接口GigabitEthernet1/0/1开启AFT。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

# 在IPv6侧接口GigabitEthernet1/0/2开启AFT。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后,IPv4 host与IPv6 host可以互通。以IPv6 host A ping IPv4 host A为例:

D:\>ping 2012::a01:0101

Pinging 2012::a01:0101 with 32 bytes of data:

Reply from 2012::a01:0101: time=3ms

Reply from 2012::a01:0101: time=3ms

Reply from 2012::a01:0101: time=3ms

Reply from 2012::a01:0101: time=3ms

# 通过查看AFT会话,可以看到创建了一个IPv6会话和IPv4会话,分别对应转换前和转换后的报文。显示内容如下:

[Device] display aft session ipv6 verbose

Initiator:

  Source      IP/port: 2013:0:FF14:0101:0100::/0

  Destination IP/port: 2012::0a01:0101/32768

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/2

Responder:

  Source      IP/port: 2012::0a01:0101/0

  Destination IP/port: 2013:0:FF14:0101:0100::/33024

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/1

State: ICMPV6_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 23s

Initiator->Responder:            4 packets        320 bytes

Responder->Initiator:            4 packets        320 bytes

 

Total sessions found: 1

 

[Device] display aft session ipv4 verbose

Initiator:

  Source      IP/port: 20.1.1.1/1025

  Destination IP/port: 10.1.1.1/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/2

Responder:

  Source      IP/port: 10.1.1.1/1025

  Destination IP/port: 20.1.1.1/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/1

State: ICMP_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 27s

Initiator->Responder:            4 packets        240 bytes

Responder->Initiator:            4 packets        240 bytes

 

Total sessions found: 1

1.6.4  IPv4网络访问IPv6 Internet中的服务器

1. 组网需求

Internet已经升级到了IPv6,但是某公司内部网络仍然是IPv4网络。而该公司内部网络的10.1.1.0/24网段的用户仍需要访问IPv6 Internet中的服务器,其他用户不能访问。

为满足上述要求,本例中使用如下方式实现:

·            使用IPv4到IPv6源地址动态地址转换策略,将IPv4报文的源地址转换为IPv6地址。

·            通过IPv6到IPv4的源地址静态转换策略为IPv6 Internet上服务器的IPv6地址指定一个对应的IPv4地址,Device收到发往该IPv4地址的报文时将其转换为对应的IPv6地址。

2. 组网图

图1-10 IPv4网络访问IPv6 Internet

 

3. 配置步骤

# 按照组网图配置各接口的IP地址,具体配置过程略。

# 配置ACL 2000,仅允许IPv4网络中10.1.1.0/24网段的用户可以访问IPv6 Internet。

<Device> system-view

[Device] acl number 2000

[Device-acl-ipv4-basic-2000] rule permit source 10.1.1.0 0.0.0.255

[Device-acl-ipv4-basic-2000] rule deny

[Device-acl-ipv4-basic-2000] quit

# 配置NAT64前缀,此前缀将在IPv4到IPv6源地址动态转换策略中被调用,将报文的源地址转换为IPv6地址。

[Device] aft prefix-nat64 2012:: 96

# 配置IPv4到IPv6源地址动态转换策略,将匹配ACL 2000报文的源地址根据NAT64前缀转换为IPv6地址。

[Device] aft v4tov6 source acl number 2000 prefix-nat64 2012:: 96

# 配置IPv6到IPv4的源地址静态转换策略,用于将报文的目的地址转换为IPv6地址。

[Device] aft v6tov4 souce 2013:0:ff14:0101:100:: 20.1.1.1

# 在IPv4侧接口GigabitEthernet1/0/1开启AFT。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

# 在IPv6侧接口GigabitEthernet1/0/2开启AFT。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后,检查IPv4 host与IPv6 server的连通性。以IPv4 host A ping IPv6 server为例:

D:\>ping 20.1.1.1

Pinging 20.1.1.1 with 32 bytes of data:

Reply from 20.1.1.1: bytes=32 time=14ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

# 通过查看AFT会话,可以看到创建了一个IPv4会话和IPv6会话,分别对应转换前和转换后的报文。

[Device] display aft session ipv4 verbose

Initiator:

  Source      IP/port: 10.1.1.1/1025

  Destination IP/port: 20.1.1.1/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 20.1.1.1/1025

  Destination IP/port: 10.1.1.1/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/2

State: ICMP_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 27s

Initiator->Responder:            4 packets        240 bytes

Responder->Initiator:            4 packets        240 bytes

 

Total sessions found: 1

 

[Device] display aft session ipv6 verbose

Initiator:

  Source      IP/port: 2012::0A01:0101/0

  Destination IP/port: 2013:0:FF14:0101:0100::/32768

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 2013:0:FF14:0101:0100::/0

  Destination IP/port: 2012::0A01:0101/33024

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/2

State: ICMPV6_REPLY

Application: OTHER

Start time: 2014-03-13 08:52:59  TTL: 23s

Initiator->Responder:            4 packets        320 bytes

Responder->Initiator:            4 packets        320 bytes

 

Total sessions found: 1

1.6.5  IPv6 Internet访问IPv4网络

1. 组网需求

Internet已经升级到了IPv6,但是某公司内部网络仍然是IPv4网络。而该公司仍希望为IPv6 Internet内的用户提供FTP服务。该公司访问IPv6 Internet使用的IPv6地址为2012::1。

为满足上述要求,实现方式如下:

·            通过IPv4到IPv6源地址静态转换策略,为IPv4网络中的FTP服务器地址指定一个对应的IPv6地址,IPv6 Internet中的主机通过访问该IPv6地址可以访问IPv4网络中的FTP服务器。Device收到发往该IPv6地址的报文时将其目的地址转换为对应的IPv4地址。

·            通过IPv6到IPv4源地址动态转换策略,将IPv6 Internet发送过来的IPv6报文源地址转换为IPv4地址30.1.1.1和30.1.1.2。

2. 组网图

图1-11 IPv6 Internet访问IPv4网络

 

3. 配置步骤

# 按照组网图配置各接口的IP地址,具体配置过程略。

# 配置IPv4到IPv6源地址静态转换策略,手动指定IPv4与IPv6地址一一对应的转换关系,此策略可将报文的目的地址转换为对应的IPv4地址。

<Device> system-view

[Device] aft v4tov6 source 20.1.1.1 2012::1

# 配置地址组0包含2个IPv4地址:30.1.1.1和30.1.1.2。

[Device] aft address-group 0

[Device-aft-address-group-0] address 30.1.1.1 30.1.1.2

[Device-aft-address-group-0] quit

# 配置IPv6 ACL 2000,匹配IPv6网络到IPv4网络的报文。此处允许所有IPv6网络内主机访问IPv4 FTP Server。

[Device] acl ipv6 basic 2000

[Device-acl-ipv6-basic-2000] rule permit

[Device-acl-ipv6-basic-2000] quit

# 配置IPv6到IPv4的源地址动态转换策略,将匹配ACL 2000的IPv6报文源地址转换为地址组0中的IPv4地址30.1.1.2或30.1.1.3。

[Device] aft v6tov4 source acl ipv6 number 2000 address-group 0

# 在IPv6侧接口GigabitEthernet1/0/1开启AFT。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

# 在IPv4侧接口GigabitEthernet1/0/2开启AFT。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后,检查IPv6 host与IPv4 FTP server的连通性。以IPv6 host A ping IPv4 FTP server为例:

D:\>ping 2012::1

Pinging 2012::1 with 32 bytes of data:

Reply from 2012::1: time=3ms

Reply from 2012::1: time=3ms

Reply from 2012::1: time=3ms

Reply from 2012::1: time=3ms

# 通过查看AFT会话,可以看到创建了一个IPv6会话和IPv4会话,分别对应转换前和转换后的报文。

[Device] display aft session ipv6 verbose

Initiator:

  Source      IP/port: 2013:0:FF0A:0101:0100::/1029

  Destination IP/port: 2012::1/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 2012::1/21

  Destination IP/port: 2013:0:FF0A:0101:0100::/1029

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: FTP

Start time: 2014-03-13 09:07:30  TTL: 3582s

Initiator->Responder:            3 packets        184 bytes

Responder->Initiator:            2 packets        148 bytes

 

Total sessions found: 1

 

[Device] display aft session ipv4 verbose

Initiator:

  Source      IP/port: 30.1.1.1/11025

  Destination IP/port: 20.1.1.1/21

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

Responder:

  Source      IP/port: 20.1.1.1/21

  Destination IP/port: 30.1.1.1/11025

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: FTP

Start time: 2014-03-13 09:07:30  TTL: 3577s

Initiator->Responder:            3 packets        124 bytes

Responder->Initiator:            2 packets        108 bytes

 

Total sessions found: 1

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

联系我们