目  录

1 AFT

1.1 AFT简介

1.2 AFT转换方式

1.2.1 静态转换

1.2.2 动态转换

1.2.3 前缀转换

1.2.4 IPv6内部服务器

1.3 AFT报文转换过程

1.3.1 IPv6侧发起访问

1.3.2 IPv4侧发起访问

1.4 AFT支持ALG

1.5 AFT配置任务简介

1.6 开启AFT功能

1.7 配置IPv6到IPv4的目的地址转换策略

1.8 配置IPv6到IPv4的源地址转换策略

1.9 配置IPv4到IPv6目的地址转换策略

1.9.1 功能简介

1.9.2 配置IPv6内部服务器

1.9.3 配置IPv6到IPv4的源地址静态转换策略

1.9.4 配置IPv4到IPv6的目的地址动态转换策略。

1.10 配置IPv4到IPv6源地址转换策略

1.10.1 功能简介

1.10.2 配置IPv4到IPv6的源地址静态转换策略

1.10.3 配置IPv4到IPv6的源地址动态转换策略

1.10.4 配置NAT64前缀

1.11 配置AFT转换后IPv4报文的ToS字段值

1.12 配置AFT转换后IPv6报文的Traffic Class字段值

1.13 开启AFT日志功能

1.14 AFT显示和维护

1 AFT

1.1  AFT简介

AFT（Address Family Translation，地址族转换）提供了IPv4和IPv6地址之间的相互转换功能。在IPv4网络完全过渡到IPv6网络之前，两个网络之间直接的通信可以通过AFT来实现。例如，使用AFT可以使IPv4网络中的主机直接访问IPv6网络中的FTP服务器。

如图1-1所示，AFT作用于IPv4和IPv6网络边缘设备上，所有的地址转换过程都在该设备上实现，对IPv4和IPv6网络内的用户来说是透明的，即用户不必改变目前网络中主机的配置就可实现IPv6网络与IPv4网络的通信。

图1-1 AFT应用场景

1.2  AFT转换方式

AFT的地址转换分为静态转换、动态转换、前缀转换及IPv6内部服务器方式。

1.2.1  静态转换

静态转换方式是指采用手工配置的IPv6地址与IPv4地址的一一对应关系来实现IPv6地址与IPv4地址的转换。

1.2.2  动态转换

动态转换方式是指动态地创建IPv6地址与IPv4地址的对应关系来实现IPv6地址与IPv4地址的转换。和静态转换方式不同，动态转换方式中IPv6和IPv4地址之间不存在固定的一一对应关系。

将IPv6报文的源IPv6地址转换为IPv4地址时，动态转换方式分为NO-PAT和PAT两种模式。

1. NO-PAT模式

NO-PAT（Not Port Address Translation，非端口地址转换）模式下，一个IPv4地址同一时间只能对应一个IPv6地址进行转换，不能同时被多个IPv6地址共用。当使用某IPv4地址的IPv6网络用户停止访问IPv4网络时，AFT会将其占用的IPv4地址释放并分配给其他IPv6网络用户使用。

该模式下，AFT设备只对报文的IP地址进行AFT转换，同时会建立一个NO-PAT表项用于记录IPv6地址和IPv4地址的映射关系，并不涉及端口转换，可支持所有IP协议的报文。

2. PAT模式

PAT（Port Address Translation，端口地址转换）模式下，一个IPv4地址可以同时被多个IPv6地址共用。该模式下，AFT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMPv6（Internet Control Message Protocol for IPv6，IPv6互联网控制消息协议）查询报文。

PAT模式的动态转换策略支持对端口块大小进行限制，从而达到限制转换和溯源的目的。可划分的端口号范围为1024～65535，剩余不足划分的部分则不会进行分配。IPv6主机首次发起连接时，为该地址分配一个用于转换的IPv4地址，以及该IPv4地址的一个端口块。后续从该IPv6主机发起的连接都使用这个IPv4地址和端口块里面的端口进行转换，直到端口块里面的端口用尽。

1.2.3  前缀转换

前缀转换包括NAT64前缀转换、IVI前缀转换和General前缀转换。

1. NAT64前缀转换

NAT64前缀是长度为32、40、48、56、64或96位的IPv6地址前缀，用来构造IPv4节点在IPv6网络中的地址，以便IPv4主机与IPv6主机通信。网络中并不存在带有NAT64前缀的IPv6地址的主机。

如图1-2所示，NAT64前缀长度不同时，地址转换方法有所不同。其中，NAT64前缀长度为32、64和96位时，IPv4地址作为一个整体添加到IPv6地址中；NAT64前缀长度为40、48和56位时，IPv4地址被拆分成两部分，分别添加到64～71位的前后。

图1-2 对应IPv4地址带有NAT64前缀的IPv6地址格式

IPv4侧发起访问时，AFT利用NAT64前缀将报文的源IPv4地址转换为IPv6地址；IPv6侧发起访问时，AFT利用NAT64前缀将报文的目的IPv6地址转换为IPv4地址。

2. IVI前缀转换

IVI前缀是长度为32位的IPv6地址前缀。IVI地址是IPv6主机实际使用的IPv6地址，这个IPv6地址中内嵌了一个IPv4地址，可以用于与IPv4主机通信。由IVI前缀构成的IVI地址格式如图1-3所示。

图1-3 IVI地址格式

从IPv6侧发起访问时，AFT可以使用IVI前缀将报文的源IPv6地址转换为IPv4地址。

3. General前缀

General前缀与NAT64前缀类似，都是长度为32、40、48、56、64或96位的IPv6地址前缀，用来构造IPv4节点在IPv6网络中的地址。如图1-4所示，General前缀与NAT64前缀的区别在于，General前缀没有64到71位的8位保留位，IPv4地址作为一个整体添加到IPv6地址中。

图1-4 对应IPv4地址带有General前缀的IPv6地址格式

从IPv6侧发起访问时，AFT利用General前缀将报文的源/目的IPv6地址转换为IPv4地址。需要注意的是，General前缀与NAT64前缀都不能与设备上的接口地址同网段。

1.2.4  IPv6内部服务器

IPv6内部服务器是指向IPv4网络主机提供服务的IPv6网络中的服务器。通过配置IPv6内部服务器，可以将IPv6服务器的地址和端口映射到IPv4网络，IPv4网络中的主机通过访问映射后的IPv4地址和端口就可以访问IPv6网络中的服务器。

1.3  AFT报文转换过程

IPv6侧发起访问和IPv4侧发起访问的报文转换过程有所不同，下面将分别介绍。

1.3.1  IPv6侧发起访问

图1-5 IPv6侧发起访问的AFT报文转换过程

如图1-5所示，IPv6侧发起访问时AFT设备对报文的转换过程为：

(1)     判断是否需要进行AFT转换：AFT设备接收到IPv6网络主机（IPv6 host）发送给IPv4网络主机（IPv4 host）的报文后，判断该报文是否要转发到IPv4网络。如果报文的目的IPv6地址能够匹配到IPv6目的地址转换策略，则该报文需要转发到IPv4网络，需要进行AFT转换；如果未匹配到任何一种转换策略，则表示该报文不需要进行AFT转换。

(2)     转换报文目的地址：根据IPv6目的地址转换策略将报文目的IPv6地址转换为IPv4地址。

(3)     根据目的地址预查路由：根据转换后的IPv4目的地址查找路由表，确定报文的出接口。如果查找失败，则丢弃报文。需要注意的是，预查路由时不会查找策略路由。

(4)     转换报文源地址：根据IPv6源地址转换策略将报文源IPv6地址转换为IPv4地址。如果未匹配到任何一种转换策略，则报文将被丢弃。

(5)     转发报文并记录映射关系：报文的源IPv6地址和目的IPv6地址都转换为IPv4地址后，设备按照正常的转发流程将报文转发到IPv4网络中的主机。同时，将IPv6地址与IPv4地址的映射关系保存在设备中。

(6)     根据记录的映射关系转发应答报文：IPv4网络主机发送给IPv6网络主机的应答报文到达AFT设备后，设备将根据已保存的映射关系进行相反的转换，从而将报文发送给IPv6网络主机。

1.3.2  IPv4侧发起访问

图1-6 IPv4侧发起访问的AFT报文转换过程

如图1-6所示，IPv4侧发起访问时AFT设备对报文的转换过程为：

(1)     判断是否需要进行AFT转换：AFT设备接收到IPv4网络主机（IPv4 host）发送给IPv6网络主机（IPv6 host）的报文后，判断该报文是否要转发到IPv6网络。如果报文的目的IPv4地址能够匹配到IPv4目的地址转换策略，则该报文需要转发到IPv6网络，需要进行AFT转换。如果未匹配到任何一种转换策略，则表示该报文不需要进行AFT地址转换。

(2)     转换报文目的地址：根据IPv4目的地址转换策略将报文目的IPv4地址转换为IPv6地址。

(3)     根据目的地址预查路由：根据转换后的IPv6目的地址查找路由表，确定报文的出接口。如果查找失败，则丢弃报文。需要注意的是，预查路由时不会查找策略路由。

(4)     转换报文源地址：根据IPv4源地址转换策略将报文源IPv4地址转换为IPv6地址。如果未匹配到任何一种转换策略，则报文将被丢弃。

(5)     转发报文并记录映射关系：报文的源IPv4地址和目的IPv4地址都转换为IPv6地址后，设备按照正常的转发流程将报文转发到IPv6网络中的主机。同时，将IPv4地址与IPv6地址的映射关系保存在设备中。

(6)     根据记录的映射关系转发应答报文：IPv6网络主机发送给IPv4网络主机的应答报文到达AFT设备后，设备将根据已保存的映射关系进行相反的转换，从而将报文发送给IPv4网络主机。

1.4  AFT支持ALG

AFT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析。然而对于一些特殊协议，它们的报文的数据载荷中可能包含IP地址或端口信息。例如，FTP应用由数据连接和控制连接共同完成，而数据连接使用的地址和端口由控制连接报文中的载荷信息决定。这些载荷信息也必须进行有效的转换，否则可能导致功能问题。ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的处理，利用ALG可以完成载荷信息的转换。

目前，AFT支持对FTP报文、DNS报文和ICMP差错报文进行ALG处理。

1.5  AFT配置任务简介

AFT配置任务如下：

(1)     开启AFT功能

(2)     配置IPv6侧发起的会话的转换配置

¡     配置IPv6到IPv4的目的地址转换策略

¡     配置IPv6到IPv4的源地址转换策略

¡     （可选）配置AFT转换后IPv4报文的ToS字段值

(3)     配置IPv4侧发起的会话的转换配置

¡     配置IPv4到IPv6目的地址转换策略

¡     配置IPv4到IPv6源地址转换策略

¡     （可选）配置AFT转换后IPv6报文的Traffic Class字段值

(4)     （可选）开启AFT日志功能

1.6  开启AFT功能

1. 配置限制和指导

只有在连接IPv4网络和IPv6网络的接口上都开启AFT功能后，才能实现IPv4报文和IPv6报文之间的相互转换。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     开启AFT功能。

aft enable

缺省情况下，AFT功能处于关闭状态。

1.7  配置IPv6到IPv4的目的地址转换策略

1. 功能简介

IPv6目的地址转换策略匹配的优先级从高到低为：

(1)     IPv4到IPv6的源地址静态转换策略。

(2)     General前缀。

(3)     NAT64前缀。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置IPv6到IPv4的目的地址转换策略。

¡     配置IPv4到IPv6源地址静态转换策略。

aft v4tov6 source ipv4-address [ vpn-instance ipv4-vpn-instance-name ] ipv6-address [ vpn-instance ipv6-vpn-instance-name ]

¡     配置General前缀。

aft prefix-general prefix-general prefix-length

¡     配置NAT64前缀。

aft prefix-nat64 prefix-nat64 prefix-length

1.8  配置IPv6到IPv4的源地址转换策略

1. 功能简介

IPv6源地址转换策略匹配的优先级从高到低为：

(1)     IPv6到IPv4的源地址静态转换策略。

(2)     General前缀。

(3)     IVI前缀。

(4)     IPv6到IPv4的源地址动态转换策略。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     （可选）配置AFT地址组。

a.     创建一个AFT地址组，并进入AFT地址组视图。

aft address-group group-id

在配置IPv6到IPv4源地址动态转换策略前，根据实际情况选配。

b.     添加地址组成员。

address start-address end-address

可通过多次执行本命令添加多个地址组成员。

当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有成员的IP地址段重叠。

c.     退回系统视图。

quit

仅IPv6到IPv4源地址动态转换策略支持本配置。

(3)     配置IPv6到IPv4的源地址转换策略。

¡     配置IPv6到IPv4源地址静态转换策略。

aft v6tov4 source ipv6-address [ vpn-instance ipv6-vpn-instance-name ] ipv4-address [ vpn-instance ipv4-vpn-instance-name ]

¡     配置IPv6到IPv4源地址动态转换策略。

aft v6tov4 source { acl ipv6 { name ipv6-acl-name | number ipv6-acl-number } | prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] } { address-group group-id [ no-pat | port-block-size blocksize ] | interface interface-type interface-number } [ vpn-instance ipv4-vpn-instance-name ]

¡     配置General前缀。

aft prefix-general prefix-general prefix-length

¡     配置IVI前缀。

aft prefix-ivi prefix-ivi

1.9  配置IPv4到IPv6目的地址转换策略

1.9.1  功能简介

IPv4目的地址转换策略的匹配优先级从高到低为：

(1)     IPv6内部服务器。

(2)     IPv6到IPv4的源地址静态转换策略。

(3)     IPv4到IPv6的目的地址动态转换策略。

1.9.2  配置IPv6内部服务器

(1)     进入系统视图。

system-view

(2)     配置IPv6侧服务器对应的IPv4地址及端口。

aft v6server protocol protocol-type ipv4-destination-address ipv4-port-number [ vpn-instance ipv4-vpn-instance-name ] ipv6-destination-address ipv6-port-number [ vpn-instance ipv6-vpn-instance-name ]

1.9.3  配置IPv6到IPv4的源地址静态转换策略

(1)     进入系统视图。

system-view

(2)     配置IPv6到IPv4源地址静态转换策略。

aft v6tov4 source ipv6-address [ vpn-instance ipv6-vpn-instance-name ] ipv4-address [ vpn-instance ipv4-vpn-instance-name ]

1.9.4  配置IPv4到IPv6的目的地址动态转换策略。

(1)     进入系统视图。

system-view

(2)     配置IVI前缀或General前缀。请选择其中一项进行配置。

¡     配置IVI前缀。

aft prefix-ivi prefix-ivi

¡     配置General前缀。

aft prefix-general prefix-general prefix-length

(3)     配置IPv4到IPv6目的地址动态转换策略。

aft v4tov6 destination acl { name ipv4-acl-name prefix-ivi prefix-ivi [ vpn-instance ipv6-vpn-instance-name ] | number ipv4-acl-number { prefix-general prefix-general prefix-length | prefix-ivi prefix-ivi [ vpn-instance ipv6-vpn-instance-name ] } }

引用IVI前缀或General前缀之前，需要先进行IVI前缀或General前缀的配置，转换策略才能生效。

1.10  配置IPv4到IPv6源地址转换策略

1.10.1  功能简介

IPv4源地址转换策略的匹配优先级从高到低为：

(1)     IPv4到IPv6的源地址静态转换策略。

(2)     IPv4到IPv6的源地址动态转换策略。

(3)     NAT64前缀。

1.10.2  配置IPv4到IPv6的源地址静态转换策略

(1)     进入系统视图。

system-view

(2)     配置IPv4到IPv6源地址静态转换策略。

aft v4tov6 source ipv4-address [ vpn-instance ipv4-vpn-instance-name ] ipv6-address [ vpn-instance ipv6-vpn-instance-name ]

1.10.3  配置IPv4到IPv6的源地址动态转换策略

(1)     进入系统视图。

system-view

(2)     配置NAT64前缀或General前缀。请选择其中一项进行配置。

¡     配置NAT64前缀。

aft prefix-nat64 prefix-nat64 prefix-length

¡     配置General前缀。

aft prefix-general prefix-general prefix-length

(3)     配置IPv4到IPv6源地址动态转换策略。

aft v4tov6 source acl { name ipv4-acl-name prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] | number ipv4-acl-number { prefix-general prefix-general prefix-length | prefix-nat64 prefix-nat64 prefix-length [ vpn-instance ipv6-vpn-instance-name ] } }

引用NAT64前缀或General前缀之前，需要先进行NAT64前缀或General前缀的配置，转换策略才能生效。

1.10.4  配置NAT64前缀

(1)     进入系统视图。

system-view

(2)     配置NAT64前缀。

aft prefix-nat64 prefix-nat64 prefix-length

1.11  配置AFT转换后IPv4报文的ToS字段值

1. 功能简介

用户可以设置在进行AFT转换后，IPv4报文中ToS字段的取值：

·     为0：表示将转换后报文的服务优先级降为最低。

·     与转换前对应的ToS字段取值相同：表示保持原有的服务优先级。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置IPv6报文转换为IPv4报文后，IPv4报文的ToS字段值为0。

aft turn-off tos

缺省情况下，当IPv6报文转换为IPv4报文后，IPv4报文中的ToS字段与转换前的IPv6报文的Traffic Class字段值相同。

1.12  配置AFT转换后IPv6报文的Traffic Class字段值

1. 功能简介

用户可以设置在AFT转换后，IPv6报文中Traffic Class字段的取值：

·     为0：表示将转换后报文的服务优先级降为最低。

·     与转换前对应的Traffic Class字段取值相同：表示保持原有的服务优先级。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置IPv4报文转换为IPv6报文后，IPv6报文的Traffic Class字段值为0。

aft turn-off traffic-class

缺省情况下，当IPv4报文转换为IPv6报文后，IPv6报文中的Traffic Class字段与转换前的IPv4报文的ToS字段值相同。

1.13  开启AFT日志功能

1. 功能简介

为了满足网络管理员安全审计的需要，可以开启AFT日志功能，以便对AFT连接（AFT连接是指报文经过设备时，源或目的地址进行过AFT转换的连接）信息进行记录。在以下情况下会触发记录AFT日志：

·     AFT端口块新建。

·     AFT端口块删除。

·     AFT流创建，即AFT会话创建时输出日志。

·     AFT流删除，即AFT会话释放时输出日志。

生成的日志信息将被发送到设备的信息中心，通过设置信息中心的参数，决定日志信息的输出规则（即是否允许输出以及输出方向）。有关信息中心参数的配置请参见“网络管理和监控配置指导”中的“信息中心”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启AFT日志功能。

aft log enable

缺省情况下，AFT日志功能处于关闭状态。

配置本命令后，将记录AFT端口块新建和AFT端口块删除的日志信息。

(3)     （可选）开启AFT流创建或流删除的日志功能。

¡     开启AFT流创建的日志功能。

aft log flow-begin

缺省情况下，AFT新建流的日志功能处于关闭状态。

如需记录AFT会话创建时的日志信息，则需要配置本命令。只有配置aft log enable命令之后，本命令才能生效。

¡     开启AFT流删除的日志功能。

aft log flow-end

缺省情况下，AFT删除流的日志功能处于关闭状态。

如需记录AFT会话释放时的日志信息，则需要配置本命令。只有配置aft log enable命令之后，本命令才能生效。

1.14  AFT显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示AFT配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以删除AFT会话或统计信息。

表1-1 AFT显示和维护