- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
20-AFT配置
本章节下载： 20-AFT配置 (386.1 KB)
1.3.8 配置AFT转换后IPv6报文的Traffic Class字段值
1.5.2 IPv4 Internet访问IPv6网络内部服务器
1.5.4 IPv4网络访问IPv6 Internet中的服务器
MSR 2630/3610/3620/3620-DP/3640/3660/3600-28/3600-51/MSR2600-10-X1路由器使用集中式命令行，MSR 5620/5660/5680路由器使用分布式命令行。
设备各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：
|
型号 |
特性 |
描述 |
|
MSR810/810-W/810-W-DB/810-LM/810-W-LM/810-LM-HK/810-W-LM-HK |
AFT |
不支持 |
|
MSR 2630 |
支持 |
|
|
MSR3600-28/3600-51 |
支持 |
|
|
MSR 3610/3620/3620-DP/3640/3660 |
支持 |
|
|
MSR 5620/5660/5680 |
支持 |
|
|
MSR2600-10-X1 |
支持 |
IPv6的应用是个循序渐进的过程，在很长时间内，IPv4网络和IPv6网络会同时存在且需要相互通信。AFT（Address Family Translation，地址族转换）提供了IPv4和IPv6地址之间的相互转换功能。在IPv4网络完全过渡到IPv6网络之前，两个网络之间直接的通信可以通过AFT来实现。例如，使用AFT可以使IPv4网络中的主机直接访问IPv6网络中的FTP服务器。
如图1-1所示，AFT作用于IPv4和IPv6网络边缘设备上，所有的地址转换过程都在该设备上实现，对IPv4和IPv6网络内的用户来说是透明的，即用户不必改变目前网络中主机的配置就可实现IPv6网络与IPv4网络的通信。
图1-1 AFT应用场景
NAT64前缀是长度为32、40、48、56、64或96位的IPv6地址前缀，用来构造IPv4节点在IPv6网络中的地址，以便IPv4主机与IPv6主机通信。网络中并不存在带有NAT64前缀的IPv6地址的主机。如图1-2所示，NAT64前缀长度不同时，地址转换方法有所不同。其中，NAT64前缀长度为32、64和96位时，IPv4地址作为一个整体添加到IPv6地址中；NAT64前缀长度为40、48和56位时，IPv4地址被拆分成两部分，分别添加到64～71位的前后。
图1-2 对应IPv4地址带有NAT64前缀的IPv6地址格式
IVI前缀是长度为32位的IPv6地址前缀。由IVI前缀构成的IVI地址格式如图1-3所示。IVI地址是IPv6主机实际使用的IPv6地址，这个IPv6地址中内嵌了一个IPv4地址，可以用于与IPv4主机通信。
图1-3 IVI地址格式
AFT的地址转换方式分为以下几种：
静态转换方式是指采用手工配置的IPv6地址与IPv4地址的一一对应关系来实现IPv6地址与IPv4地址的转换。
动态转换方式是指动态地创建IPv6地址与IPv4地址的对应关系来实现IPv6地址与IPv4地址的转换。和静态转换方式不同，动态转换方式中IPv6和IPv4地址之间不存在固定的一一对应关系。
将IPv6报文的源IPv6地址转换为IPv4地址时，动态转换方式分为NO-PAT和PAT两种模式：
· NO-PAT模式
NO-PAT（Not Port Address Translation，非端口地址转换）模式下，一个IPv4地址同一时间只能对应一个IPv6地址进行转换，不能同时被多个IPv6地址共用。当使用某IPv4地址的IPv6网络用户停止访问IPv4网络时，AFT会将其占用的IPv4地址释放并分配给其他IPv6网络用户使用。
该模式下，AFT设备只对报文的IP地址进行AFT转换，同时会建立一个NO-PAT表项用于记录IPv6地址和IPv4地址的映射关系，并不涉及端口转换，可支持所有IP协议的报文。
· PAT模式
PAT（Port Address Translation，端口地址转换）模式下，一个IPv4地址可以同时被多个IPv6地址共用。该模式下，AFT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMPv6（Internet Control Message Protocol，因特网控制消息协议）查询报文。
· NAT64前缀转换：IPv4侧发起访问时，AFT利用NAT64前缀将报文的源IPv4地址转换为IPv6地址；IPv6侧发起访问时，AFT利用NAT64前缀将报文的目的IPv6地址转换为IPv4地址。具体转换方式请参考图1-2。
· IVI前缀转换：从IPv6侧发起访问时，AFT可以使用IVI前缀将报文的源IPv6地址转换为IPv4地址。具体转换方式请参考图1-3。
IPv6内部服务器是指向IPv4网络主机提供服务的IPv6网络中的服务器。通过配置IPv6内部服务器，可以将IPv6服务器的地址和端口映射到IPv4网络，IPv4网络中的主机通过访问映射后的IPv4地址和端口就可以访问IPv6网络中的服务器。
IPv6侧发起访问和IPv4侧发起访问的报文转换过程有所不同，下面将分别介绍。
图1-4 IPv6侧发起访问的AFT报文转换过程
如图1-4所示，IPv6侧发起访问时AFT设备对报文的转换过程为：
(1) 判断是否需要进行AFT转换：AFT设备接收到IPv6网络主机（IPv6 host）发送给IPv4网络主机（IPv4 host）的报文后，判断该报文是否要转发到IPv4网络。如果报文的目的IPv6地址能够匹配到IPv6目的地址转换策略，则该报文需要转发到IPv4网络，需要进行AFT转换；如果未匹配到任何一种转换策略，则表示该报文不需要进行AFT转换。
(2) 转换报文目的地址：根据IPv6目的地址转换策略将报文目的IPv6地址转换为IPv4地址。
(3) 根据目的地址预查路由：根据转换后的IPv4目的地址查找路由表，确定报文的出接口。如果查找失败，则丢弃报文。需要注意的是，预查路由时不会查找策略路由。
(4) 转换报文源地址：根据IPv6源地址转换策略将报文源IPv6地址转换为IPv4地址。如果未匹配到任何一种转换策略，则报文将被丢弃。
(5) 转发报文并记录映射关系：报文的源IPv6地址和目的IPv6地址都转换为IPv4地址后，设备按照正常的转发流程将报文转发到IPv4网络中的主机。同时，将IPv6地址与IPv4地址的映射关系保存在设备中。
(6) 根据记录的映射关系转发应答报文：IPv4网络主机发送给IPv6网络主机的应答报文到达AFT设备后，设备将根据已保存的映射关系进行相反的转换，从而将报文发送给IPv6网络主机。
图1-5 IPv4侧发起访问的AFT报文转换过程
如图1-5所示，IPv4侧发起访问时AFT设备对报文的转换过程为：
(1) 判断是否需要进行AFT转换：AFT设备接收到IPv4网络主机（IPv4 host）发送给IPv6网络主机（IPv6 host）的报文后，判断该报文是否要转发到IPv6网络。如果报文的目的IPv4地址能够匹配到IPv4目的地址转换策略，则该报文需要转发到IPv6网络，需要进行AFT转换。如果未匹配到任何一种转换策略，则表示该报文不需要进行AFT地址转换。
(2) 转换报文目的地址：根据IPv4目的地址转换策略将报文目的IPv4地址转换为IPv6地址。
(3) 根据目的地址预查路由：根据转换后的IPv6目的地址查找路由表，确定报文的出接口。如果查找失败，则丢弃报文。需要注意的是，预查路由时不会查找策略路由。
(4) 转换报文源地址：根据IPv4源地址转换策略将报文源IPv4地址转换为IPv6地址。如果未匹配到任何一种转换策略，则报文将被丢弃。
(5) 转发报文并记录映射关系：报文的源IPv4地址和目的IPv4地址都转换为IPv6地址后，设备按照正常的转发流程将报文转发到IPv6网络中的主机。同时，将IPv4地址与IPv6地址的映射关系保存在设备中。
(6) 根据记录的映射关系转发应答报文：IPv6网络主机发送给IPv4网络主机的应答报文到达AFT设备后，设备将根据已保存的映射关系进行相反的转换，从而将报文发送给IPv4网络主机。
AFT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析。然而对于一些特殊协议，它们的报文的数据载荷中可能包含IP地址或端口信息。例如，FTP应用由数据连接和控制连接共同完成，而数据连接使用的地址和端口由控制连接报文中的载荷信息决定。这些载荷信息也必须进行有效的转换，否则可能导致功能问题。ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的处理，利用ALG可以完成载荷信息的转换。
目前，AFT支持对以下协议报文进行ALG处理：FTP报文、DNS报文和ICMP差错报文。
如表1-1所示，IPv6主机主动向IPv4主机发起访问时，AFT设备上需要配置以下内容。
表1-1 IPv6侧发起访问时AFT配置任务简介
|
使能AFT功能 |
||
|
配置IPv6到IPv4的目的地址转换策略 |
||
|
配置IPv6到IPv4的源地址转换策略 |
||
|
开启AFT日志功能 |
||
|
配置AFT转换后IPv4报文的ToS字段值 |
如表1-2所示，IPv4主机主动向IPv6主机发起访问时，AFT设备上需要配置以下内容。
表1-2 IPv4侧发起访问时AFT配置任务简介
|
使能AFT功能 |
||
|
配置IPv4到IPv6的目的地址转换策略 |
||
|
配置IPv4到IPv6的源地址转换策略 |
||
|
开启AFT日志功能 |
||
|
配置AFT转换后IPv6报文的Traffic Class字段值 |
只有在连接IPv4网络和IPv6网络的接口上都使能AFT功能后，才能实现IPv4报文和IPv6报文之间的相互转换。
|
使能AFT功能 |
缺省情况下，AFT功能处于关闭状态 |
IPv6目的地址转换策略匹配的优先级从高到低为：
· IPv4到IPv6的源地址静态转换策略：该策略确定了一个IPv4地址和一个IPv6地址的对应关系。根据该对应关系，可以将报文中的IPv6目的地址转换为IPv4地址。
· NAT64前缀：根据NAT64前缀，取出IPv6目的地址中内嵌的IPv4地址，作为转换后的IPv4地址。
表1-4 配置IPv6到IPv4的目的地址转换策略
|
配置IPv4到IPv6源地址静态转换策略 |
根据aft v4tov6 source命令指定的对应关系可实现IPv6到IPv4目的地址转换 缺省情况下，不存在IPv6到IPv4的目的地址转换策略 |
|
|
配置NAT64前缀 |
IPv6源地址转换策略匹配的优先级从高到低为：
· IPv6到IPv4的源地址静态转换策略：该策略确定了一个IPv6源地址和一个IPv4源地址的对应关系。根据这个对应关系，可以将报文中的IPv6源地址转换为IPv4地址。
· IVI前缀：根据IVI前缀，取出IPv6源地址中内嵌的IPv4地址，作为转换后的IPv4源地址。
· IPv6到IPv4的源地址动态转换策略：如果报文匹配指定的ACL规则或NAT64前缀，则根据本策略从指定的地址组中动态选取一个IPv4地址作为转换后的源IPv4地址。
表1-5 配置IPv6到IPv4的源地址转换策略
|
创建一个AFT地址组，并进入AFT地址组视图 |
在配置IPv6到IPv4源地址动态转换策略前，根据实际情况选配 |
|
|
当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有成员的IP地址段重叠 |
||
|
配置IPv6到IPv4源地址静态转换策略 |
缺省情况下，不存在IPv6到IPv4的源地址转换策略 |
|
|
配置IPv6到IPv4的源地址动态转换策略 |
||
|
配置IVI前缀 |
IPv4目的地址转换策略的匹配优先级从高到低为：
· IPv6内部服务器：该策略将IPv6服务器映射到IPv4网络，该配置确定了IPv6目的地址和端口对应的IPv4地址和端口，根据这个对应关系，设备可以将IPv4目的地址和端口转换为IPv6目的地址和端口。
· IPv6到IPv4的源地址静态转换策略：该策略确定了一个IPv6地址和一个IPv4地址的对应关系。根据这个对应关系，可以将报文中的IPv4目的地址转换为IPv6地址。
· IPv4到IPv6的目的地址动态转换策略：该策略规定了符合指定ACL规则的报文可以使用指定的IVI前缀进行目的地址转换，即使用报文中的IPv4目的地址与策略中的IVI前缀组合成IPv6地址，作为转换后的IPv6目的地址。
表1-6 配置IPv4到IPv6目的地址转换策略
|
配置IPv6侧服务器对应的IPv4地址及端口 |
根据aft v6tov4 source命令指定的对应关系，可实现IPv4到IPv6的目的地址转换。 缺省情况下，不存在IPv4到IPv6目的地址转换策略 |
|
|
配置IPv6到IPv4源地址静态转换策略 |
||
|
配置IPv4到IPv6目的地址动态转换策略 |
IPv4源地址转换策略的匹配优先级从高到低为：
· IPv4到IPv6的源地址静态转换策略：该策略确定了一个IPv4源地址和一个IPv6源地址的对应关系。根据这个对应关系，可以将报文中的IPv4源地址转换为IPv6地址。
· IPv4到IPv6的源地址动态转换策略：该策略规定了匹配指定ACL规则的报文可以使用指定的NAT64前缀进行源地址转换，即使用报文中的IPv4源地址与策略中的NAT64前缀组合成IPv6地址，作为转换后的IPv6源地址。
· NAT64前缀：如果报文没有匹配到前面两种转换策略，则使用第一个NAT64前缀进行转换，使用报文中的IPv4源地址与NAT64前缀组合成IPv6地址，作为转换后的IPv6源地址。
表1-7 配置v4tov6源地址静态转换策略
|
配置IPv4到IPv6源地址静态转换策略 |
缺省情况下，不存在IPv4到IPv6目的地址转换策略 |
|
|
配置IPv4到IPv6源地址动态转换策略 |
||
|
配置NAT64前缀 |
为了满足网络管理员安全审计的需要，可以开启AFT日志功能，以便对AFT连接（AFT连接是指报文经过设备时，源或目的地址进行过AFT转换的连接）信息进行记录。
|
使能AFT日志功能 |
缺省情况下，AFT日志功能处于关闭状态 |
用户可以设置在进行AFT转换后，IPv4报文中ToS字段的取值：
· 为0：表示将转换后报文的服务优先级降为最低。
· 与转换前对应的ToS字段取值相同：表示保持原有的服务优先级。
表1-9 配置AFT转换后IPv4报文ToS字段值
|
配置IPv6报文转换为IPv4报文后，IPv4报文的ToS字段值为0 |
缺省情况下，当IPv6报文转换为IPv4报文后，IPv4报文中的ToS字段与转换前的IPv6报文的Traffic Class字段值相同 |
用户可以设置在AFT转换后，IPv6报文中Traffic Class字段的取值：
· 为0：表示将转换后报文的服务优先级降为最低。
· 与转换前对应的Traffic Class字段取值相同：表示保持原有的服务优先级。
表1-10 配置AFT转换后IPv6报文的Traffic Class字段值
|
配置IPv4报文转换为IPv6报文后，IPv6报文的Traffic Class字段值为0 |
缺省情况下，当IPv4报文转换为IPv6报文后，IPv6报文中的Traffic Class字段与转换前的IPv4报文的ToS字段值相同 |
表1-11 AFT显示和维护
|
显示AFT配置信息 |
|
|
显示AFT地址映射信息（集中式设备） |
|
|
显示AFT地址映射信息（分布式设备－独立运行模式/集中式IRF设备） |
|
|
显示AFT地址映射信息（分布式设备－IRF模式） |
display aft address-mapping [ chassis chassis-number slot slot-number ] |
|
显示AFT NO-PAT表项信息（集中式设备） |
|
|
显示AFT NO-PAT表项信息（分布式设备－独立运行模式/集中式IRF设备） |
|
|
显示AFT NO-PAT表项信息（分布式设备－IRF模式） |
display aft no-pat [ chassis chassis-number slot slot-number ] |
|
显示AFT端口块映射表项信息（集中式设备） |
|
|
显示AFT端口块映射表项信息（分布式设备－独立运行模式/集中式IRF设备） |
|
|
显示AFT端口块映射表项信息（分布式设备－IRF模式） |
display aft port-block [ chassis chassis-number slot slot-number ] |
|
显示AFT会话（集中式设备） |
|
|
显示AFT会话（分布式设备－独立运行模式/集中式IRF设备） |
|
|
显示AFT会话（分布式设备－IRF模式） |
|
|
显示AFT统计信息（集中式设备） |
|
|
显示AFT统计信息（分布式设备－独立运行模式/集中式IRF设备） |
|
|
显示AFT统计信息（分布式设备－IRF模式） |
display aft statistics [ chassis chassis-number slot slot-number ] |
|
删除AFT会话（集中式设备） |
reset aft session |
|
删除AFT会话（分布式设备－独立运行模式/集中式IRF设备） |
|
|
删除AFT会话（分布式设备－IRF模式） |
reset aft session [ chassis chassis-number slot slot-number ] |
|
删除AFT统计信息（集中式设备） |
|
|
删除AFT统计信息（分布式设备－独立运行模式/集中式IRF设备） |
|
|
删除AFT统计信息（分布式设备－IRF模式） |
reset aft statistics [ chassis chassis-number slot slot-number ] |
某公司将网络升级到了IPv6，但是仍然希望内网2013::/96网段的用户可以访问IPv4 Internet，其它网段的用户不能访问IPv4 Internet。该公司访问IPv4 Internet使用的IPv4地址为10.1.1.1、10.1.1.2和10.1.1.3。
· 使用NAT64前缀与IPv4网络中的主机地址组合成为IPv6地址，此IPv6地址将与IPv4 Internet内的主机建立相应的映射关系，IPv6网络中的主机访问该IPv6地址即可实现对IPv4 Internet的访问。报文到达Router后，设备将根据NAT64前缀将该目的IPv6地址转换为对应的IPv4地址。
· 使用IPv6到IPv4源地址动态转换策略将IPv6网络到IPv4网络报文的源地址转换为IPv4地址10.1.1.1、10.1.1.2或10.1.1.3。
图1-6 IPv6网络访问IPv4 Internet
# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置地址组0包含三个IPv4地址10.1.1.1、10.1.1.2和10.1.1.3。
[Router] aft address-group 0
[Router-aft-address-group-0] address 10.1.1.1 10.1.1.3
[Router-aft-address-group-0] quit
# 配置IPv6 ACL 2000，该ACL用来匹配源IPv6地址属于2013::/96网段的报文。
[Router-acl6-basic-2000] rule permit source 2013:: 96
[Router-acl6-basic-2000] rule deny
[Router-acl6-basic-2000] quit
# 配置IPv6到IPv4的源地址动态转换策略，将匹配ACL 2000的IPv6报文源地址转换为地址组0中的地址，即将2013::/96网段内主机所发送报文的源IPv6地址转换为IPv4地址10.1.1.1、10.1.1.2或10.1.1.3。
[Router] aft v6tov4 source acl ipv6 number 2000 address-group 0
# 配置NAT64前缀为2012::/96，报文的目的地址根据该NAT64前缀转换为IPv4地址。
[Router] aft prefix-nat64 2012:: 96
# 在IPv6侧接口GigabitEthernet2/0/1使能AFT功能。
[Router] interface gigabitethernet 2/0/1
[Router-GigabitEthernet2/0/1] aft enable
[Router-GigabitEthernet2/0/1] quit
# 在IPv4侧接口GigabitEthernet2/0/2使能AFT功能。
[Router] interface gigabitethernet 2/0/2
[Router-GigabitEthernet2/0/2] aft enable
[Router-GigabitEthernet2/0/2] quit
# 以上配置完成后，检查IPv6 Host与IPv4 Server的连通性。以IPv6 host A ping IPv4 server A为例：
Pinging 2012::20.1.1.1 with 32 bytes of data:
Reply from 2012::20.1.1.1: time=3ms
Reply from 2012::20.1.1.1: time=3ms
Reply from 2012::20.1.1.1: time=3ms
Reply from 2012::20.1.1.1: time=3ms
# 通过查看AFT会话，可以看到创建了一个IPv6会话和IPv4会话，分别对应转换前和转换后的报文。
[Router] display aft session ipv6 verbose
Initiator:
Source IP/port: 2013::100/0
Destination IP/port: 2012::1401:0101/32768
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 2012::1401:0101/0
Destination IP/port: 2013::100/33024
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/2
State: ICMPV6_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 23s
Initiator->Responder: 4 packets 320 bytes
Responder->Initiator: 4 packets 320 bytes
Total sessions found: 1
[Router] display aft session ipv4 verbose
Initiator:
Source IP/port: 10.1.1.1/1025
Destination IP/port: 20.1.1.1/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 20.1.1.1/1025
Destination IP/port: 10.1.1.1/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/2
State: ICMP_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 27s
Initiator->Responder: 4 packets 240 bytes
Responder->Initiator: 4 packets 240 bytes
Total sessions found: 1
某公司将网络升级到了IPv6，此时Internet仍然是IPv4网络。该公司希望内部的FTP服务器能够继续为IPv4 Internet的用户提供服务。该公司拥有的IPv4地址为10.1.1.1。
· 使用IPv6侧服务器配置将IPv6内部服务器的地址及端口映射为IPv4地址及端口，Router收到来自IPv4 Internet的报文后，根据该配置策略将报文IPv4目的地址转换为IPv6地址；
· 使用NAT64前缀将报文源IPv4地址转换为IPv6地址。
图1-7 IPv4 Internet访问IPv6网络
# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置IPv6侧服务器对应的IPv4地址及端口号。IPv4网络内用户通过访问该IPv4地址及端口即可访问IPv6服务器。
[Router] aft v6server protocol tcp 10.1.1.1 21 2013::102 21
# 报文的源地址将根据配置的NAT64前缀转换为IPv6地址。
[Router] aft prefix-nat64 2012:: 96
# 在IPv4侧接口GigabitEthernet2/0/1使能AFT。
[Router] interface gigabitethernet 2/0/1
[Router-GigabitEthernet2/0/1] aft enable
[Router-GigabitEthernet2/0/1] quit
# 在IPv6侧接口GigabitEthernet2/0/2使能AFT。
[Router] interface gigabitethernet 2/0/2
[Router-GigabitEthernet2/0/2] aft enable
[Router-GigabitEthernet2/0/2] quit
# 以上配置完成后，IPv4 Host可以通过FTP协议访问IPv6 FTP Server。
# 通过查看AFT会话，可以看到创建了一个IPv4会话和IPv6会话，分别对应转换前和转换后的报文。
[Router] display aft session ipv4 verbose
Initiator:
Source IP/port: 20.1.1.1/11025
Destination IP/port: 10.1.1.1/21
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 10.1.1.1/21
Destination IP/port: 20.1.1.1/11025
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/2
State: TCP_ESTABLISHED
Application: FTP
Start time: 2014-03-13 09:07:30 TTL: 3577s
Initiator->Responder: 3 packets 124 bytes
Responder->Initiator: 2 packets 108 bytes
Total sessions found: 1
[Router] display aft session ipv6 verbose
Initiator:
Source IP/port: 2012::1401:0101/1029
Destination IP/port: 2013::102/21
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 2013::102/21
Destination IP/port: 2012::1401:0101/1029
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/2
State: TCP_ESTABLISHED
Application: FTP
Start time: 2014-03-13 09:07:30 TTL: 3582s
Initiator->Responder: 3 packets 184 bytes
Responder->Initiator: 2 packets 148 bytes
Total sessions found: 1
某公司内部同时部署了IPv4网络和IPv6网络，并且希望IPv4网络和IPv6网络能够互相访问。
· 为IPv6网络分配一个IVI前缀和IPv4网段，IPv6网络中所有IPv6主机的地址均配置为由IVI前缀和IPv4网段中地址组合而成的IPv6地址。
· 为IPv4网络分配一个NAT64前缀，IPv4网络主动访问IPv6网络时，IPv4源地址使用NAT64前缀转换为IPv6地址；IPv6网络主动访问IPv4网络时，目的地址使用NAT64前缀和IPv4地址组合成的IPv6地址。
图1-8 IPv4网络和IPv6网络互访
# 按照组网图配置各接口的IP地址，其中IPv6网络中的主机使用的IPv6地址根据IVI前缀2013::/32和20.1.1.0/24组合而成。具体配置过程略。
# 配置ACL 2000用来过滤需要访问IPv6网络的用户，同时匹配该ACL 2000的报文的目的地址将会根据配置的IVI前缀转换为IPv6地址。此处所有IPv4网络用户均需要访问IPv6网络。
[Router] acl basic 2000
[Router-acl-basic-2000] rule permit
[Router-acl-basic-2000] quit
# 配置NAT64前缀，用于进行IPv4到IPv6的源地址转换和IPv6到IPv4的目的地址转换。
[Router] aft prefix-nat64 2012:: 96
# 配置IVI前缀，用于进行IPv6到IPv4源地址转换，且在IPv4到IPv6动态目的地址转换策略中引用该前缀。
[Router] aft prefix-ivi 2013::
# 配置IPv4到IPv6动态目的地址转换策略，IPv4到IPv6报文的目的IPv4地址转换为IPv6地址。
[Router] aft v4tov6 destination acl number 2000 prefix-ivi 2013::
# 在IPv4侧接口GigabitEthernet2/0/1使能AFT。
[Router] interface gigabitethernet 2/0/1
[Router-GigabitEthernet2/0/1] aft enable
[Router-GigabitEthernet2/0/1] quit
# 在IPv6侧接口GigabitEthernet2/0/2使能AFT。
[Router] interface gigabitethernet 2/0/2
[Router-GigabitEthernet2/0/2] aft enable
[Router-GigabitEthernet2/0/2] quit
# 以上配置完成后，IPv4 host与IPv6 host可以互通。以IPv6 host A ping IPv4 host A为例：
Pinging 2012::a01:0101 with 32 bytes of data:
Reply from 2012::a01:0101: time=3ms
Reply from 2012::a01:0101: time=3ms
Reply from 2012::a01:0101: time=3ms
Reply from 2012::a01:0101: time=3ms
# 通过查看AFT会话，可以看到创建了一个IPv6会话和IPv4会话，分别对应转换前和转换后的报文。显示内容如下：
[Router] display aft session ipv6 verbose
Initiator:
Source IP/port: 2013:0:FF14:0101:0100::/0
Destination IP/port: 2012::0a01:0101/32768
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/2
Responder:
Source IP/port: 2012::0a01:0101/0
Destination IP/port: 2013:0:FF14:0101:0100::/33024
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/1
State: ICMPV6_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 23s
Initiator->Responder: 4 packets 320 bytes
Responder->Initiator: 4 packets 320 bytes
Total sessions found: 1
[Router] display aft session ipv4 verbose
Initiator:
Source IP/port: 20.1.1.1/1025
Destination IP/port: 10.1.1.1/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/2
Responder:
Source IP/port: 10.1.1.1/1025
Destination IP/port: 20.1.1.1/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/1
State: ICMP_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 27s
Initiator->Responder: 4 packets 240 bytes
Responder->Initiator: 4 packets 240 bytes
Total sessions found: 1
Internet已经升级到了IPv6，但是某公司内部网络仍然是IPv4网络。而该公司内部网络的10.1.1.0/24网段的用户仍需要访问IPv6 Internet中的服务器，其他用户不能访问。
· 使用IPv4到IPv6源地址动态地址转换策略，将IPv4报文的源地址转换为IPv6地址。
· 通过IPv6到IPv4的源地址静态转换策略为IPv6 Internet上服务器的IPv6地址指定一个对应的IPv4地址，Router收到发往该IPv4地址的报文时将其转换为对应的IPv6地址。
图1-9 IPv4网络访问IPv6 Internet
# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置ACL 2000，仅允许IPv4网络中10.1.1.0/24网段的用户可以访问IPv6 Internet。
[Router] acl number 2000
[Router-acl-basic-2000] rule permit source 10.1.1.0 0.0.0.255
[Router-acl-basic-2000] rule deny
[Router-acl-basic-2000] quit
# 配置NAT64前缀，此前缀将在IPv4到IPv6源地址动态转换策略中被调用，将报文的源地址转换为IPv6地址。
[Router] aft prefix-nat64 2012:: 96
# 配置IPv4到IPv6源地址动态转换策略，将匹配ACL 2000报文的源地址根据NAT64前缀转换为IPv6地址。
[Router] aft v4tov6 source acl number 2000 prefix-nat64 2012:: 96
# 配置IPv6到IPv4的源地址静态转换策略，用于将报文的目的地址转换为IPv6地址。
[Router] aft v6tov4 souce 2013:0:ff14:0101:100:: 20.1.1.1
# 在IPv4侧接口GigabitEthernet2/0/1使能AFT。
[Router] interface gigabitethernet 2/0/1
[Router-GigabitEthernet2/0/1] aft enable
[Router-GigabitEthernet2/0/1] quit
# 在IPv6侧接口GigabitEthernet2/0/2使能AFT。
[Router] interface gigabitethernet 2/0/2
[Router-GigabitEthernet2/0/2] aft enable
[Router-GigabitEthernet2/0/2] quit
# 以上配置完成后，检查IPv4 host与IPv6 server的连通性。以IPv4 host A ping IPv6 server为例：
Pinging 20.1.1.1 with 32 bytes of data:
Reply from 20.1.1.1: bytes=32 time=14ms TTL=63
Reply from 20.1.1.1: bytes=32 time=1ms TTL=63
Reply from 20.1.1.1: bytes=32 time=1ms TTL=63
Reply from 20.1.1.1: bytes=32 time=1ms TTL=63
# 通过查看AFT会话，可以看到创建了一个IPv4会话和IPv6会话，分别对应转换前和转换后的报文。
[Router] display aft session ipv4 verbose
Initiator:
Source IP/port: 10.1.1.1/1025
Destination IP/port: 20.1.1.1/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 20.1.1.1/1025
Destination IP/port: 10.1.1.1/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: ICMP(1)
Inbound interface: GigabitEthernet2/0/2
State: ICMP_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 27s
Initiator->Responder: 4 packets 240 bytes
Responder->Initiator: 4 packets 240 bytes
Total sessions found: 1
[Router] display aft session ipv6 verbose
Initiator:
Source IP/port: 2012::0A01:0101/0
Destination IP/port: 2013:0:FF14:0101:0100::/32768
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 2013:0:FF14:0101:0100::/0
Destination IP/port: 2012::0A01:0101/33024
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: IPV6-ICMP(58)
Inbound interface: GigabitEthernet2/0/2
State: ICMPV6_REPLY
Application: OTHER
Start time: 2014-03-13 08:52:59 TTL: 23s
Initiator->Responder: 4 packets 320 bytes
Responder->Initiator: 4 packets 320 bytes
Total sessions found: 1
Internet已经升级到了IPv6，但是某公司内部网络仍然是IPv4网络。而该公司仍希望为IPv6 Internet内的用户提供FTP服务。该公司访问IPv6 Internet使用的IPv6地址为2012::1。
· 通过IPv4到IPv6源地址静态转换策略，为IPv4网络中的FTP服务器地址指定一个对应的IPv6地址，IPv6 Internet中的主机通过访问该IPv6地址可以访问IPv4网络中的FTP服务器。Router收到发往该IPv6地址的报文时将其目的地址转换为对应的IPv4地址。
· 通过IPv6到IPv4源地址动态转换策略，将IPv6 Internet发送过来的IPv6报文源地址转换为IPv4地址30.1.1.1和30.1.1.2。
图1-10 IPv6 Internet访问IPv4网络
# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置IPv4到IPv6源地址静态转换策略，手动指定IPv4与IPv6地址一一对应的转换关系，此策略可将报文的目的地址转换为对应的IPv4地址。
[Router] aft v4tov6 source 20.1.1.1 2012::1
# 配置地址组0包含2个IPv4地址：30.1.1.1和30.1.1.2。
[Router-aft-address-group-0] address 30.1.1.1 30.1.1.2
[Router-aft-address-group-0] quit
# 配置IPv6 ACL 2000，匹配IPv6网络到IPv4网络的报文。此处允许所有IPv6网络内主机访问IPv4 FTP Server。
[Router-acl6-basic-2000] rule permit
[Router-acl6-basic-2000] quit
# 配置IPv6到IPv4的源地址动态转换策略，将匹配ACL 2000的IPv6报文源地址转换为地址组0中的IPv4地址30.1.1.2或30.1.1.3。
[Router] aft v6tov4 source acl ipv6 number 2000 address-group 0
# 在IPv6侧接口GigabitEthernet2/0/1使能AFT。
[Router] interface gigabitethernet 2/0/1
[Router-GigabitEthernet2/0/1] aft enable
[Router-GigabitEthernet2/0/1] quit
# 在IPv4侧接口GigabitEthernet2/0/2使能AFT。
[Router] interface gigabitethernet 2/0/2
[Router-GigabitEthernet2/0/2] aft enable
[Router-GigabitEthernet2/0/2] quit
# 以上配置完成后，检查IPv6 host与IPv4 FTP server的连通性。以IPv6 host A ping IPv4 FTP server为例：
Pinging 2012::1 with 32 bytes of data:
Reply from 2012::1: time=3ms
Reply from 2012::1: time=3ms
Reply from 2012::1: time=3ms
Reply from 2012::1: time=3ms
# 通过查看AFT会话，可以看到创建了一个IPv6会话和IPv4会话，分别对应转换前和转换后的报文。
[Router] display aft session ipv6 verbose
Initiator:
Source IP/port: 2013:0:FF0A:0101:0100::/1029
Destination IP/port: 2012::1/21
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 2012::1/21
Destination IP/port: 2013:0:FF0A:0101:0100::/1029
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/2
State: TCP_ESTABLISHED
Application: FTP
Start time: 2014-03-13 09:07:30 TTL: 3582s
Initiator->Responder: 3 packets 184 bytes
Responder->Initiator: 2 packets 148 bytes
Total sessions found: 1
[Router] display aft session ipv4 verbose
Initiator:
Source IP/port: 30.1.1.1/11025
Destination IP/port: 20.1.1.1/21
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/1
Responder:
Source IP/port: 20.1.1.1/21
Destination IP/port: 30.1.1.1/11025
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/2
State: TCP_ESTABLISHED
Application: FTP
Start time: 2014-03-13 09:07:30 TTL: 3577s
Initiator->Responder: 3 packets 124 bytes
Responder->Initiator: 2 packets 108 bytes
Total sessions found: 1
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
