商业银行IPv6应用现状及展望 附IPv6网络体系结构与网络改造思考.docx

商业银行IPv6应用现状及展望摘要近年来，随着信息技术的快速发展，互联网普及程度不断提高。而商业银行作为信息技术高度敏感行业，同时也是基础服务类行业，在我国大力推进IPv6应用的当下，必然需要对自身各类网络应用进行IPv6改造。文章从IPv6协议应用现状出发，探讨了其在商业银行应用的可行性及必要性，简要分析了其在推广过程中面临的技术及管理方面问题，并对其应用前景进行了展望。关键词商业银行;物理隔离;IPv6互联网的高度发达给人们带来了“幸福的烦恼”，设备太多，地址太少。IPv4协议定义的地址总量受限，在世界范围内分配不均匀，我国地质总量不足4亿。另外，IPv4地址段已经分配完成，这显然与当前互联网发展需求不相匹配，IPv6替代IPv4势在必行。IPv6协议的起源可以追溯到20世纪90年代初，随着相关标准、规范不断成熟，IPv6逐渐成形。最近十多年，随着IPv4地址资源耗尽、安全性不足等方面问题越发突出，IPv6发展及应用情况受到了更广泛的关注。1我国IPV6应用情况截至2018年6月，手机网民规模达7.88亿。显然，数量有限的IPv4网络地址远远无法满足我国网络发展需求，进一步扩展IPv6应用场景的紧迫性和必要性可见一斑。我国是全球较早开展IPv6技术研究和标准制定的国家，目前我国IPv6地址分配总数居全球第二位。但是，与欧美发达国家相比，我国IPv6整体发展仍相对滞后，国内IPv6用户数占全体网民的比例仍然较低，IPv6应用普及程度有待提高。2016年12月国务院印发“十三五”国家信息化规划，明确提出“2020年互联网全面演进升级至1Pv6-2017年11月中共中央办公厅、国务院办公厅印发了推进互联网协议第六版（IPV6）规模部署行动计划，进一步明确了我国IPv6推广工作的主要目标、重点工作及实施步骤。2商业银行IPv6应用情况近些年来，我国商业银行发展迅速，作为基础服务性行业的相关特性越发显现，信息技术对其发展的重要性同样有目共睹，无论从行业性质出发，还是从技术应用需求出发，逐步推广IPv6应用已是必然。但是，基于对自身业务需求、系统改造复杂性及运营成本等多方面的综合考虑，目前商业银行在IPv6推广方面仍处于探索研究阶段，改造进程较为缓慢。针对商业银行IPv6推广使用现状,2019年1月10日，人民银行会同银保监会、证监会联合发布了关于金融行业贯彻推进互联网协议第六版（IPV6）规模部署行动计划的实施意见（以下简称意见），意见明确了商业银行在互联网应用方面IPv6推广任务及完成时间节点，总体要求是2020年年底前商业银行完成面向公众服务的互联网应用系统支持IPv6改造工作，并在完成上述工作后，持续开展网络、应用等层面IPv6的推广工作。3商业银行IPv6推广工作面临的问题我国商业银行现有网络架构较为明晰，网络构成大体分为互联网、业务网（或称生产网）、办公网等，不同网络间普遍实现物理隔离，即各网络均属于独立网络，彼此之间一般无法直接通信。另外，大型商业银行出于安全性及设备成本考虑，普遍对其下辖机构的互联网出口进行限制，其基层机构一般不具有独立的门户网站，相关互联网访问需求一般集中在其总行层面，基层机构的互联网络主要为日常办公提供服务，架构相对简单。在意见中，涉及改造的主要是其面向客户提供服务的门户网站、网银、手机银行等互联网应用，对于商业银行而言改造工作相对集中，实施难度不大。但是，对于涉及更多内部管理层面的业务网、办公网等“内部”网络的改造工作，过程则会相对复杂，且面临一定困难。第一，现有内部网络架构较为成熟，改造紧迫性不足。由于采用物理隔离的网络架构，商业银行内部网络不受IPv4地址分配规则限制，理论上IPv4协议地址段均可应用于内部网络，对于其有限的终端数量而言，地址“取之不尽、用之不竭”，不存在地址资源耗尽问题。另外，同样基于其网络物理隔离的原因，内部网络安全性显然远高于互联网，而IPv4协议存在的无加密数据传输等安全性问题，可以通过软、硬件设施进行弥补，且一般还会使用防火墙、入侵检测等安全设备防范内部网络可能存在的攻击行为。同时，采用统一的安全策略加固终端，IPv6相对IPv4的安全性提升不够突出。同理，在内部网络应用中，相较于IPv4协议，IPv6在路由表、Q。S方面的优势体现同样不够明显。HJ第二，改造工作任务量大，成本较高。网络设备层面，虽然目前商业银行使用的绝大多数网络设备均支持IPv6协议，但在实际网络改造过程中，多数网络设备需要进行版本升级或相应配置调整操作，同时涉及基础配置命令的改变，科技人员对相关技术要有一定了解，对设备配置命令需要进行重新学习。在防火墙等安全设备中，针对IPv4协议设置的安全策略需要进行相应调整。应用层面，各类核心系统、管理系统需要进行有针对性地改造，涉及相关软硬件升级以及部分组成模块或程序的重新开发。改造工作任务繁重，人员、资金投入等限制因素同檄突出。另外，若商业银行选择集中式升级，则可能存在一定安全风险。第三，现有手段不再适用，管理方式需要改变。在商业银行现有基于IPv4的内部网络终端管理方面，管理体系较为成熟，地址申请与规划相对简单，终端普遍使用固定IP地址，采用IP与MAC地址绑定等管理模式，或基于IP地址进行权限管理等。系统管理方面，多采用基于源或者目的地址的访问控制策略等形式，允许特定终端或地址段对相关应用进行访问。用户、IP地址、终端MAC地址具有一定对应关系邛艮制未授权终端接入网络或非法访问系统、服务器的同时-，发生问题时能够快速定位出现问题的终端设备及使用人。若进行IPv6改造，则现有的管理手段可能不再适用，管理模式及策略均需要进行调整。同时,相关的网络设备、安全设备管理配置需要进行同步更新。虽然设备厂商大多设计了有针对性的管理方案，但目前缺乏成熟应用案例，其可行性及应用效果仍有待验证。4金融行业IPv6发展建议第一，强化制度保障，发挥政策引领作用。目前，我国IPv6应用仍然处于推广初始阶段，相关管理部门可以结合推广过程中的经验和遇到的问题，进一步完善各类方案，有针对性地制订下一步发展规划2,不断强化政策引领作用，推动制定IPv6协议相关安全和管理行业标准，为商业银行IPv6推广工作提供政策保障。第二，统筹规划，分步实施，安全有序推进。商业银行各类系统较多，建议综合考虑系统重要性，区分业务与管理系统类别，结合各类系统改造难易程度，统筹规划IPv6改造进程，通过建立模拟测试专网测试、分级机构试点部署、分批次推广实现等步骤,在不影响现有服务、确保各类系统安全稳定运行的基础上,实现IPv6改造过程的有序推进。第三，加强学习培训，提升知识储备水平。IPv6协议虽然出现较早，但在实际应用中仍算“新鲜事物”，商业银行科技人员对相关技术的理解和掌握程度可能存在差异。建议进一步加强对科技人员的专业培训工作，不断提升科技人员的技术水平，为IPv6推广做好知识和技术储备。5展望随着IPv6应用领域逐渐扩大，实施方案逐渐成熟，商业银行内部网络的IPv6改造工作将提速。目前商业银行各层级机构间多采用专线连接方式，而IPv6协议应用带来的数据传输安全性提升，为商业银行探索减少专线租赁、使用公用网络办公提供了可能，也为其基层人员移动办公、现场营销等工作模式提供了技术支持。IPv6协议的应用可能会令商业银行内部办公网与互联网之间的物理边界越来越模糊，在不降低商业银行网络安全性的同时，减少其在网络硬件设备方面的投入。参考文献：川李嘉伟，魏金侠，龙春.IPv6下一代互联网安全问题探讨及对策J.科研信息化技术与应用，2018(1)：38-482程东亮.金融业IPv6迁移过渡技术与策略探析J.金融电子化，2018(6)：71-72IPv6网络体系结构与网络改造思考摘要：该文主要研究内容是IPv6的网络体系结构和网络改造工作的细节，IPv6网络结构体系是从该网络体系发展的初期、与IPv4共存以及IPv6占主导地位的时期间结构体系分析，而网络的改造工作则是从内部改造和最终改造着手分析，希望为相关工作提供合理参考。关键词：IPv6;网络体系;网络改造1背景随着国家政策要求网络、应用、终端2025年全面支持IPv6,大量的生产业务网络、应用、终端将逐步完成IPv6改造，与IPv4相比，IPv6协议是下一代互联网协议，在地址空间、安全性等方面有巨大提升。全球通信行业以及开展新兴技术应用的企业都在向IPv6迁移，采用IPv6协议是后续互联网技术发展的大势所趋。2IPv6网络体系结构在互联网技术发展的新时期，大多数的IPv4网络都逐渐转向了IPv6网络。与IPv4网络相比，IPv6网络在一定程度上使得地址资源方面获得了令人满意的进步，而且IPv6网络技术的广泛应用，不仅在地址数量上，在实现多种设备连接到互联网方面上也有所提高，进一步实现了人们对于互联网的需求。2012年国家发改委启动“下一代互联网信息安全专项''试点和标准工作，中国石油作为试点之一，承搪“基于IPv6专网的安全防护研发及应用试点工程”，将我国石油主要生产区之一的大庆油田作为试点单位。通过三年多的建设，在大庆油田建设了全国最大基于IPv6的工业生产专网，构建了基于IPv6的网络安全防护体系。2.1 IPv6发展的初期在IPv6的发展的初期阶段中，IPv4占据主导地位，即网络结构中绝大部分网络结构中应用的是IPv4协议。此阶段技术人员先将边缘路由器进行了升级，变为双栈路由器，该路由器能够同时对IPv6和IPv4两种数据包进行转发。例如：在各子网络之间建立IPv6互联的过程中，一方面，可以使用二路链接技术，在该技术的基础上可以建立IPv6纯链路，另一方面，也可以使用隧道技术促使两种协定进行跨越连接。当时的网络环境下两种协定的路由可以相互独立，不会产生影响，为了使用网络环境中不断增加的IPv6,技术人员在网络环境中不断引用IPv6主机以及服务器且在发展的过程中也不断在网络环境中布置IPv6节点。2.2 IPv6与IPv4共存在IPv6发展和应用的过程中，该版本协定逐渐获得了较大规模的应用，并通过IPv6因特网网络实现了大量的业务的引进，此类业务能够通过IPv6网络将相关技术的主要优势全面发挥。但IPv6网络节点之间不存在连接，因此在节点连接过程中技术人员会使用隧道，同时在IPv6平台上也可以实现丰富的业务实施。但在此阶段依旧存在IPv4业务的存在，两种业务属于共存的状态，因此多数网络节点也是双栈节点。在此阶段的IPv6发展过程中需要在使用隧道技术的同时也要配合两种技术之间的协议转换技术。我们在试点油田企业内部的IPv4IPv6过渡系统中采用地址翻译、双栈等多种技术相结合，构建IPv6IPv4网络过渡环境，适用于多种业务场景，使IPv6网络能够与IPv4网络资源互访，充分利用现有资源，保障下一代互联网的平滑演进。在由IPv6占据主导地位的网络体系结构当中，企业的主要网络将全部由IPv6组成，在此阶段的网络体系结构中IPv4将会逐渐消失，与初级阶段的IPv6网络体系结构相似在此阶段也需要使用隧道技术将IPv4的网络连通，在该工作落实的过程中，使用的隧道技术是以IPv40verIPv6技术为主，在IPv6占据网络结构主导地位的阶段，网络环境中的全部部署IPv6网络协议包括邻居发现协议、IPv6路径等，且其中的IPv6网络节点地址分配使用的主要是RFC2545O对IPv6推荐的地址进行分配策略描述1。3网络改造工作3.1 网络内部改造网络改造过程中能够直接通过升级软件完成双栈支持的设备数量极少，多数情况下依然需要借助于全新的双栈设备给予支持。如果在一定的条件下中心设备可以采取升级的方式实现双栈支持，其业务连接与方案设置就会与企业网的重新建立相雷同。为了使更新得到支持，需要加大新双栈设备的研发和引进，此时需要使原来的IPv4和现有的IPv6进行内部互相联系，在此前提下，借助于最新增加的双栈设备使其完成NAT-PT和IPv6之间的有效联通。IPv4和IPv6的连通则需要企业网的帮助。以企业网的内部改造为例，在改造之前，一般需要先采购一批新型的双栈设备，也有少数的设备软件能够通过相应的升级改造措施支持双栈运行，如果企业网网络设备能够通过升级实现双栈，则其相关布设方案与之前提到的类似，如果需要通过引入新的设备实现双栈，则采用IPv4和IPv6网内联系的方式，利用新引进的设备就能够完成实现NAT-PT和IPv6二者之间的互通。在目前的网络结构当中，使用的体系结构依旧是以IPV4为主，想要彻底地将IPv4取代需要投入较大的经济成本，且在网络升级改造的过程中，需要保障在不影响当下网络环境的前提下展开，因此促使IPv4逐渐转化为IPv6需要进行阶段性的改造，也是网络内部改造工作的必然趋势。在开展内部网络改造工作落实的过程中，技术人员需要在网络环境中引进双栈路由设备，并对当前网络环境中使用的设备进行升级,促使设备能够支持双栈工作。在改造工作的落实过程中，若有关单位能够引进新的设备就可以促使网络内部系统的建设尽快实现不同网络体系结构之间的互相连通，主要的工作方式是利用NAT-PT技术促使内部网络结构体系中的核心设备进行互通。一旦发掘相关的设备有能够升级的空间，就能够通过升级设备的方式完成整个网络内部结构体系的建设工作。IPv6网络结构体系在投入使用的过程中，和以往网络结构中使用的IPv4网络结构体系结构相似，需要展开申请、配置网络等工作，同时形成相应的IPv6域名服务器。在我国当下使用的内部网络体系结构使用的设备操作系统当中，NT5.0以上的操作系统都能够支持IPv6网络体系结构，在相应的设备选择过程中也存在空间，但在安装设备和应用的过程中需要注意在Windowsserver的系统中进行程序安装，且一般系统中已经有了内置的协议，所以IPv6可以直接在该系统中使用。当下世界上的许多通信企业生产的路由器都能够支持IPv6的应用，也能够适应内部网络改造升级的需求。除此之外，在内部网络改造的过程中有关部门和技术人员也可以通过可以提供网络处理功能的三级交换机作为实际在网络系统中的双栈设备，且在此方式的应用过程中，网络结构体系也不会排斥IPv4业务,同时在此种改造工作落实的过程中IPv6的全部功能也能够得到实现，促使IPv4和IPv6两种协议进行平稳的过渡。对于网络改造，目前能够对网络处理提供支持的主流三层交换机，都已经具备核心双栈设备的能力。网络改造中的汇聚层需借助于双栈路由器加以实现，出口则需采用能够对IPv4或者IPv6产生支持的双栈业务流，其优势在于既能够保证IPv4的正常业务，也具有比较完善的IPv6支持性能。有条件的情况下可以增加IPv6业务的汇聚层和核心层，与IPv4业务共同组成业务系统，其中，IPv4相关业务可以通过原来的网络发出，与新业务出口层和汇聚层不产生矛盾，以此实现初期的网络内部改造。3.2 网络最终改造当网络改造工作中实现了IPv6的全部部署，即IPv4网络结构体系能够被完全取代，实现对网络体系结构的全面改造。在改造之后的网络通信将完全依靠IPv6展开，需要注意的是该改造过程较为漫长，在网络改造过程中涉及的工作技能也十分广泛，在网络改造完成后，网络地址的长度也会逐渐增加，与传统网络体系结构中传统的IPv4协议而言，改造后的IPv6网络体系结构的网络地址长度则能够达到128bit,且可以无限扩大长度。在安全性的层面，IPv6网络体系结构具有身份认证和隐私权的优势，因此网络结构体系的安全系数也会得到强有力的保障。除此之外，IPv6网络结构体系支持的协议能够实现可持续性转变，网络结构比IPv4协议的网络结构体系具有更加强大的适应性以及开放性，网络最终改造后的IPv6网络结构体系取代IPv4网络结构体系也会是时代发展的必然。3.3 网络安全性实施方案目前，网络安全问题频繁发生，因此网络改造过程中需要提高对网络安全重要性的认识。产生网络安全隐患的原因主要为网络用户较多，运用水平良莠不齐,不良的网络行为普遍存在;此外，公共网络容易遭受病毒侵害，此类状况难以避免。为此需要采取相应措施对以上问题加以解决。首先，抵御网络病毒攻击。可以在网络出口处设置防火墙，并且需要在防火墙上加强病毒防控;目前某些病毒如震荡波等其具有不变的端口，为此，ACL列表便可以封闭其传播端口，有效阻断了病毒的传播，实现网络环境的安全性。其次，设置安全的口令。尽量保证所设置口令具有一定的复杂程度，大多数恶性病毒对复杂口令往往束手无策，建议采用“用户名+密码的”口令置方式，以此增强口令的安全性。为了进一步保证口令的安全性，最好每隔一段时间重新设置口令;同时注重TELNET权限的设置，通过ACL设置实现对设备访问权限的控制，在此条件下只有具备特定IP地址的TELNET方可在该设备上进行访问，以便阻止其他用户访问网络设备，最大程度地保证了网络的安全性，减少了恶意入侵情况的发生。再次，IPv6巨大的地址空间带来了网络的可溯源性。企业网中的每个终端都可以获得唯一的IPv6网络地址，并可以和多种信息绑定，在此基础上中国石油采用清华大学提出的真实源地址验证技术(SAVl),解决IPv6主机的安全合法接入问题，对接人层IPv6源地址进行检验，实现杜绝网络欺骗、防止网络攻击、快速定位网络故障以及审计网络安全日志等功能。最后，进行恰当的NAT转换。对于私网IP而言，在访问外部网络过程中需要在防火墙上实行NAT转换，同时为了满足多出口网络访问对于安全性的要求，可以借助访问列表对当前访问的网络加以区分，之后在策略路由器的帮助下选择正确的出口，完成恰当的NAT转换3。4结束语综上所述，IPv6是目前我国网络改造工作发展的具体方向，在当下的网络环境当中IPv6具有多种优势，在网络技术的经验和能力发展的过程中IPv6网络体系占领主导地位的时代属于时代发展的必然趋势，因此工作人员需要不断进行网络改造工作，尽快推动IPv6网络体系的建设。参考文献：山李敏英.IPv6网络体系结构与网络改造J.通讯世界，2019(12)：161-162.刘清涛.IPv6网络体系结构与网络改造J.信息与电脑(理论版)，2018(10)：144-145.引邵小勇，张景良.江苏省联社IPv6部署实践与思考J.金融电子化，2020(2)：17-17.