1. 背景 2019年1月，中國人民銀行、中國銀行保險(xiǎn)監(jiān)督管理委員會(huì)、中國證券監(jiān)督管理委員會(huì)聯(lián)合發(fā)布了《關(guān)于金融行業(yè)貫徹落實(shí)<推進(jìn)互聯(lián)網(wǎng)協(xié)議第六版(IPv6)規(guī)模部署行動(dòng)計(jì)劃>的實(shí)施意見》，指導(dǎo)金融行業(yè)IPv6規(guī)模部署工作穩(wěn)步有序推進(jìn)。工行在2017年開展IPv6的試點(diǎn)部署工作的基礎(chǔ)上，迅速響應(yīng)監(jiān)管機(jī)構(gòu)要求，于2019年2月成立了IPv6規(guī)模部署工程領(lǐng)導(dǎo)小組，在領(lǐng)導(dǎo)小組的統(tǒng)籌指揮和各實(shí)施單位的密切協(xié)同下，經(jīng)過近兩年的努力，于2020年10月完成全部IPv6規(guī)模部署工作，所有面向公眾服務(wù)的互聯(lián)網(wǎng)應(yīng)用開啟IPv6訪問服務(wù)，全面完成了人民銀行等監(jiān)管機(jī)構(gòu)的工作要求。 2. IPv6規(guī)模部署總體方案 IPv6工程實(shí)施在技術(shù)路線上通?？梢赃x擇采用簡便易行的NAT64地址轉(zhuǎn)換方式，也可選擇徹底的IPv4/IPv6雙棧技術(shù)。為了更好地支持后續(xù)IPv6業(yè)務(wù)價(jià)值的發(fā)掘和利用，工行確定所有互聯(lián)網(wǎng)應(yīng)用改造均采用一步到位的IPv4/IPv6雙棧技術(shù)，主動(dòng)探索雙棧方案難點(diǎn)，為同業(yè)提供借鑒。 IPv6應(yīng)用的雙棧改造方案實(shí)施按照互聯(lián)網(wǎng)接入環(huán)境、服務(wù)器區(qū)域基礎(chǔ)設(shè)施、互聯(lián)網(wǎng)應(yīng)用、安全系統(tǒng)和運(yùn)維管理系統(tǒng)五個(gè)維度并行推進(jìn)，改造方案示意如圖一。具體技術(shù)改造實(shí)施工作的落地，遵循“基礎(chǔ)設(shè)施先行”、“同步啟動(dòng)業(yè)務(wù)應(yīng)用改造”、“安全系統(tǒng)和運(yùn)維管理系統(tǒng)配套”等幾個(gè)原則。 l 基礎(chǔ)設(shè)施先行 互聯(lián)網(wǎng)應(yīng)用對(duì)外發(fā)布雙棧服務(wù)能力，依賴于數(shù)據(jù)中心基礎(chǔ)設(shè)施及運(yùn)營商基礎(chǔ)設(shè)施的雙棧支持能力。因此，數(shù)據(jù)中心內(nèi)部的網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)接入、服務(wù)器承載等基礎(chǔ)設(shè)施必須首先完成改造；同時(shí)，外部網(wǎng)絡(luò)運(yùn)營商（包括互聯(lián)網(wǎng)提供商ISP、CDN運(yùn)營商等）也必須配套完成雙棧能力改造。 這部分基礎(chǔ)設(shè)施是互聯(lián)網(wǎng)客戶訪問銀行業(yè)務(wù)的咽喉要道，改造風(fēng)險(xiǎn)大、周期長，屬于整個(gè)工程初期階段的核心工作。 l 同步啟動(dòng)業(yè)務(wù)應(yīng)用改造 由于涉及到版本的開發(fā)、測試，需要按應(yīng)用版本計(jì)劃依次安排。因此，在關(guān)注基礎(chǔ)設(shè)施改造的同時(shí)，應(yīng)同步啟動(dòng)互聯(lián)網(wǎng)應(yīng)用改造的計(jì)劃制定。 應(yīng)用的改造主要關(guān)注兩個(gè)方面的事項(xiàng)。一是，需要制定IPv4/IPv6雙棧開發(fā)規(guī)范（含IPv6數(shù)據(jù)標(biāo)準(zhǔn)），細(xì)化應(yīng)用改造技術(shù)方案，確保所有應(yīng)用的改造遵循統(tǒng)一的規(guī)則，避免開發(fā)環(huán)節(jié)引入風(fēng)險(xiǎn)；二是，關(guān)注關(guān)聯(lián)應(yīng)用同步改造，避免改造過程帶來運(yùn)行隱患。 l 關(guān)注安全系統(tǒng)和運(yùn)維管理系統(tǒng)的配套改造支持 在互聯(lián)網(wǎng)應(yīng)用正式向外發(fā)布雙棧服務(wù)前，需要完成安全系統(tǒng)、運(yùn)維管理系統(tǒng)的配套改造，通過指定專門技術(shù)部門牽頭負(fù)責(zé)開展該項(xiàng)配套改造工作，以確保安全和運(yùn)維管理能力不低于當(dāng)前IPv4服務(wù)環(huán)境。 3.IPv6規(guī)模部署成效 2020年10月，工行全面完成互聯(lián)網(wǎng)IPv6規(guī)模部署工作，主要包括： 一是完成所有面向公眾服務(wù)的互聯(lián)網(wǎng)應(yīng)用的IPv6技術(shù)改造工作，實(shí)現(xiàn)應(yīng)用同時(shí)通過IPv4和IPv6對(duì)外提供服務(wù)； 二是數(shù)據(jù)中心所有互聯(lián)網(wǎng)接入環(huán)境可同時(shí)承載IPv4/IPv6訪問流量，實(shí)現(xiàn)了接入環(huán)境冗余、可容災(zāi)切換； 三是同步新增引入三大運(yùn)營商的IPv4/IPv6雙棧BGP互聯(lián)網(wǎng)接入線路，實(shí)現(xiàn)在路由層面自主控制公網(wǎng)IP的訪問策略，在提高對(duì)整個(gè)互聯(lián)網(wǎng)的參與度的同時(shí)，為精細(xì)化的流量調(diào)度提供技術(shù)支持和手段； 四是完成工行權(quán)威域名解析服務(wù)器的IPv6地址發(fā)布，實(shí)現(xiàn)權(quán)威域名系統(tǒng)可以同時(shí)通過IPv4和IPv6對(duì)外提供域名解析服務(wù)，具備了完整的雙棧域名授權(quán)體系； 五是在服務(wù)器區(qū)域基礎(chǔ)設(shè)施方面，局域網(wǎng)絡(luò)設(shè)備、服務(wù)器操作系統(tǒng)全部啟用IPv4/IPv6雙協(xié)議棧運(yùn)行，基礎(chǔ)設(shè)施云平臺(tái)等系統(tǒng)軟件全面支持IPv4/IPv6； 六是完成各類安全及運(yùn)維管理系統(tǒng)的適配改造工作，確保相關(guān)安全防護(hù)及運(yùn)維管理水平不降低。 從實(shí)際運(yùn)行情況看，互聯(lián)網(wǎng)用戶訪問工行應(yīng)用的全鏈路已支持IPv4/IPv6雙棧運(yùn)行，具備承載50G以上IPv4/IPv6訪問流量的能力。根據(jù)工行對(duì)相關(guān)互聯(lián)網(wǎng)應(yīng)用訪問情況的監(jiān)控統(tǒng)計(jì)，門戶網(wǎng)站、個(gè)人網(wǎng)上銀行等PC端應(yīng)用，IPv6訪問流量占總流量約20%-30%；個(gè)人手機(jī)銀行、企業(yè)手機(jī)銀行等移動(dòng)端應(yīng)用IPv6訪問流量占比約40%-50%，使用IPv6的公眾用戶占比正在逐步提升。 4. IPv6規(guī)模部署經(jīng)驗(yàn) IPv6規(guī)模部署牽涉面廣、改造環(huán)節(jié)多，是一項(xiàng)復(fù)雜的系統(tǒng)工程。借助本次工程實(shí)施，工行通過對(duì)各環(huán)節(jié)各階段工作進(jìn)行總結(jié)，形成了如下九方面的經(jīng)驗(yàn)。這些經(jīng)驗(yàn)涵蓋了互聯(lián)網(wǎng)網(wǎng)絡(luò)環(huán)境、銀行數(shù)據(jù)中心基礎(chǔ)設(shè)施管理、安全生產(chǎn)保障等多個(gè)方面。 4.1. 掌握外部IPv6大環(huán)境就緒程度，推動(dòng)互聯(lián)網(wǎng)環(huán)境IPv6支持能力提升 從“運(yùn)營商IPv6骨干網(wǎng)絡(luò)就緒情況”、“運(yùn)營商互聯(lián)網(wǎng)接入環(huán)境就緒情況”、“運(yùn)營商IPv6地址規(guī)劃情況”、“CDN節(jié)點(diǎn)對(duì)IPv6的支持程度以及CDN節(jié)點(diǎn)的性能容量”等方面進(jìn)行持續(xù)的跟蹤分析，掌握互聯(lián)網(wǎng)基礎(chǔ)環(huán)境就緒情況，針對(duì)其中存在的問題及時(shí)反饋和協(xié)調(diào)解決，從而不斷完善互聯(lián)網(wǎng)基礎(chǔ)環(huán)境對(duì)IPv6的支持能力，更好的為互聯(lián)網(wǎng)IPv6用戶提供服務(wù)。 4.2. 實(shí)時(shí)分析和掌握互聯(lián)網(wǎng)IPv6流量情況 以域名為維度，針對(duì)PC端和移動(dòng)端的應(yīng)用訪問流量進(jìn)行持續(xù)監(jiān)控，通過流量統(tǒng)計(jì)情況實(shí)時(shí)掌握互聯(lián)網(wǎng)IPv6流量占比，為后續(xù)其他應(yīng)用部署提供流量模型和性能容量管理依據(jù)。 4.3. 研究掌握客戶端IPv4/IPv6雙棧行為機(jī)制 對(duì)各類客戶端的行為機(jī)制進(jìn)行深入研究，通過對(duì)典型的客戶端訪問應(yīng)用的流程進(jìn)行梳理，理清雙?？蛻舳诵袨闄C(jī)制，對(duì)其中各環(huán)節(jié)的運(yùn)行機(jī)制進(jìn)行仔細(xì)研究、測試，以支撐應(yīng)用的開發(fā)部署和順利投產(chǎn)以及投產(chǎn)后各類問題的排查和分析。 4.4.研究掌握運(yùn)營商LDNS服務(wù)器的IPv4/IPv6雙棧行為機(jī)制 對(duì)三大主流運(yùn)營商的LDNS雙棧行為機(jī)制詳細(xì)的調(diào)研和測試論證，同時(shí)結(jié)合應(yīng)用實(shí)際部署情況，對(duì)權(quán)威域名服務(wù)器發(fā)布IPv6地址后的多種組合場景進(jìn)行分析研究，為權(quán)威域名服務(wù)器IPv6地址順利發(fā)布提供技術(shù)保障的同時(shí)確?；ヂ?lián)網(wǎng)應(yīng)用正常對(duì)外提供服務(wù)。 4.5.應(yīng)用改造規(guī)范化/體系化，確保改造過程業(yè)務(wù)影響可控 應(yīng)用（尤其是APP）除了自身功能外，多數(shù)存在外部鏈接功能，應(yīng)用間關(guān)系復(fù)雜，且存在多層級(jí)應(yīng)用串聯(lián)關(guān)系。因此，可以從規(guī)范化、體系化兩個(gè)方面確保功能改造的完整性。一是針對(duì)應(yīng)用開發(fā)制定雙棧開發(fā)規(guī)范，明確IPv6數(shù)據(jù)格式標(biāo)準(zhǔn)，要求增量互聯(lián)網(wǎng)應(yīng)用在開發(fā)時(shí)就要具備雙棧支持能力；二是應(yīng)用改造前，梳理應(yīng)用之間的關(guān)聯(lián)關(guān)系，從業(yè)務(wù)影響角度，分兩類明確標(biāo)識(shí)應(yīng)用關(guān)聯(lián)關(guān)系的緊密程度：對(duì)于應(yīng)用之間存在強(qiáng)關(guān)聯(lián)綁定關(guān)系，必須同時(shí)投產(chǎn)才能保證純IPv6環(huán)境下業(yè)務(wù)的正常使用；對(duì)于應(yīng)用之間僅有域名調(diào)用關(guān)系，可分期發(fā)版并爭取同期投產(chǎn)業(yè)務(wù)以保證純IPv6環(huán)境下的正常訪問。 4.6.互聯(lián)網(wǎng)域名管理系統(tǒng)化，確保改造進(jìn)度可控 開發(fā)面向域名的網(wǎng)絡(luò)資源管理視圖，實(shí)現(xiàn)互聯(lián)網(wǎng)應(yīng)用資源的可視化管理，集中維護(hù)各應(yīng)用的域名、開發(fā)和運(yùn)維部門、IPv6投產(chǎn)計(jì)劃、IPv6投產(chǎn)狀態(tài)等多項(xiàng)詳細(xì)信息，最終實(shí)現(xiàn)應(yīng)用IPv6版本從開發(fā)、測試到投產(chǎn)的全流程跟蹤管理。 4.7.通過“拓?fù)洹倍x實(shí)現(xiàn)分地區(qū)灰度投產(chǎn)雙棧服務(wù) IPv6作為新的技術(shù)，從內(nèi)部到外部成熟度均有待檢驗(yàn)。為了進(jìn)一步控制風(fēng)險(xiǎn)，可以按照分地區(qū)逐步開放IPv6訪問并推廣到全國的策略制定完善的投產(chǎn)、應(yīng)急及回退方案。 4.8. 通過技術(shù)手段確保應(yīng)急實(shí)效 在應(yīng)急處置方面，如果IPv6對(duì)外服務(wù)有問題，為了減少運(yùn)營商域名解析緩存機(jī)制造成的影響，網(wǎng)絡(luò)側(cè)在對(duì)外關(guān)閉IPv6域名解析的同時(shí)隔離IPv6的服務(wù)地址，強(qiáng)制客戶端切換到IPv4進(jìn)行訪問，解決互聯(lián)網(wǎng)環(huán)境下部分LDNS緩存時(shí)間過長導(dǎo)致數(shù)據(jù)中心側(cè)應(yīng)急切換緩慢問題，確保應(yīng)急實(shí)效控制在預(yù)設(shè)的“分鐘級(jí)”區(qū)間。 4.9. 優(yōu)化客戶端雙棧適配能力，提升用戶訪問體驗(yàn) 參考RFC6555和RFC8305中Happy Eyeballs算法，自行開發(fā)相關(guān)移動(dòng)客戶端構(gòu)件，實(shí)現(xiàn)對(duì)移動(dòng)客戶端互聯(lián)網(wǎng)IPv4/IPv6服務(wù)質(zhì)量的判斷和自動(dòng)選擇機(jī)制，確?；ヂ?lián)網(wǎng)應(yīng)用的用戶訪問體驗(yàn)。 5.下一步計(jì)劃 在推動(dòng)IPv6規(guī)模部署工作當(dāng)中，工行以落實(shí)國家戰(zhàn)略為使命，始終堅(jiān)持先試先行，不斷積累并分享改造經(jīng)驗(yàn)，努力通過以點(diǎn)帶面來擴(kuò)大金融行業(yè)參與下一代互聯(lián)網(wǎng)演進(jìn)升級(jí)事業(yè)的工作成果。在推進(jìn)IPv6規(guī)模部署專家委員會(huì)的指導(dǎo)下，我國數(shù)據(jù)通信產(chǎn)業(yè)界成立了“IPv6+技術(shù)創(chuàng)新工作組”，工行作為工作組參與主體之一，后續(xù)將依托IPv6規(guī)模部署成果，進(jìn)一步加強(qiáng)基于“IPv6+”的技術(shù)標(biāo)準(zhǔn)體系建設(shè)，從網(wǎng)絡(luò)路由協(xié)議、管理自動(dòng)化、智能化、提高網(wǎng)絡(luò)安全、開展新應(yīng)用試驗(yàn)驗(yàn)證等各方面開展技術(shù)研究與創(chuàng)新應(yīng)用，為下一代互聯(lián)網(wǎng)在經(jīng)濟(jì)金融領(lǐng)域的發(fā)展與應(yīng)用貢獻(xiàn)力量。 |
 |
 |
 |
 |
