防火墙F1000-C8170

1.22.4  IPv4网络访问IPv6 Internet中的服务器配置举例

1. 组网需求

Internet已经升级到了IPv6，但是某公司内部网络仍然是IPv4网络。而该公司内部网络的10.1.1.0/24网段的用户仍需要访问IPv6 Internet中的服务器，其他用户不能访问。

为满足上述要求，本例中使用如下方式实现：

·              使用IPv4到IPv6源地址动态地址转换策略，将IPv4报文的源地址转换为IPv6地址。

·              通过IPv6到IPv4的源地址静态转换策略为IPv6 Internet上服务器的IPv6地址指定一个对应的IPv4地址，Device收到发往该IPv4地址的报文时将其转换为对应的IPv6地址。

2. 组网图

图1-15 IPv4网络访问IPv6 Internet中的服务器配置组网图

‌

3. 配置步骤

(1)      配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 10.1.1.3 24

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)      将接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(3)      配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达Server所在网络的下一跳IPv6地址为2014::100，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ipv6 route-static 2013:0:ff14:0101:100:: 64 2014::100

(4)      配置安全策略

# 配置名称为aftlocalin的安全策略，使Device能对Host访问Server的报文进行AFT转换，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name aftlocalin

[Device-security-policy-ip-1-aftlocalin] source-zone trust

[Device-security-policy-ip-1-aftlocalin] destination-zone local

[Device-security-policy-ip-1-aftlocalin] source-ip-subnet 10.1.1.0 24

[Device-security-policy-ip-1-aftlocalin] destination-ip-host 20.1.1.1

[Device-security-policy-ip-1-aftlocalin] action pass

[Device-security-policy-ip-1-aftlocalin] quit

[Device-security-policy-ip] quit

# 配置名称为aftlocalout的安全策略，允许将AFT转换后的报文转发至Server，具体配置步骤如下。

[Device] security-policy ipv6

[Device-security-policy-ipv6] rule name aftlocalout

[Device-security-policy-ipv6-1-aftlocalout] source-zone local

[Device-security-policy-ipv6-1-aftlocalout] destination-zone untrust

[Device-security-policy-ipv6-1-aftlocalout] source-ip-subnet 2012:: 96

[Device-security-policy-ipv6-1-aftlocalout] destination-ip-host 2013:0:ff14:0101:100::1

[Device-security-policy-ipv6-1-aftlocalout] action pass

[Device-security-policy-ipv6-1-aftlocalout] quit

[Device-security-policy-ipv6] quit

(5)      配置AFT功能

# 配置ACL 2000，仅允许IPv4网络中10.1.1.0/24网段的用户可以访问IPv6 Internet。

[Device] acl basic 2000

[Device-acl-ipv4-basic-2000] rule permit source 10.1.1.0 0.0.0.255

[Device-acl-ipv4-basic-2000] rule deny

[Device-acl-ipv4-basic-2000] quit

# 配置NAT64前缀，此前缀将在IPv4到IPv6源地址动态转换策略中被调用，将报文的源地址转换为IPv6地址。

[Device] aft prefix-nat64 2012:: 96

# 配置IPv4到IPv6源地址动态转换策略，将匹配ACL 2000报文的源地址根据NAT64前缀转换为IPv6地址。

[Device] aft v4tov6 source acl number 2000 prefix-nat64 2012:: 96

# 配置IPv6到IPv4的源地址静态转换策略，用于将报文的目的地址转换为IPv6地址。

[Device] aft v6tov4 source 2013:0:ff14:0101:100::1 20.1.1.1

# 在设备IPv4侧和IPv6侧接口开启AFT。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] aft enable

[Device-GigabitEthernet1/0/1] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] aft enable

[Device-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，检查IPv4 host与IPv6 server的连通性。以IPv4 host A ping IPv6 server为例：

D:\>ping 20.1.1.1

Pinging 20.1.1.1 with 32 bytes of data:

Reply from 20.1.1.1: bytes=32 time=14ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

Reply from 20.1.1.1: bytes=32 time=1ms TTL=63

# 通过查看AFT会话，可以看到创建了一个IPv4会话和IPv6会话，分别对应转换前和转换后的报文。

[Device] display aft session ipv4 verbose

Total number of sessions on all slots: 1

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.1/1025

  Destination IP/port: 20.1.1.1/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

Responder:

  Source      IP/port: 20.1.1.1/1025

  Destination IP/port: 10.1.1.1/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Local

State: ICMP_REPLY

Application: ICMP

Rule ID: -/-/-

Rule name:

Start time: 2023-04-21 08:52:59  TTL: 27s

Initiator->Responder:            4 packets        240 bytes

Responder->Initiator:            4 packets        240 bytes

Total sessions found: 1

[Device] display aft session ipv6 verbose

Total number of sessions on all slots: 1

Slot 1:

Initiator:

  Source      IP/port: 2012::0A01:0101/0

  Destination IP/port: 2013:0:FF14:0101:0100::/32768

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Local

Responder:

  Source      IP/port: 2013:0:FF14:0101:0100::/0

  Destination IP/port: 2012::0A01:0101/33024

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: IPV6-ICMP(58)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Untrust

State: ICMPV6_REPLY

Application: ICMP

Rule ID: 0

Rule name: aftlocalout

Start time: 2023-04-21 08:52:59  TTL: 23s

Initiator->Responder:            4 packets        320 bytes

Responder->Initiator:            4 packets        320 bytes

Total sessions found: 1

问题1：当WAN口同时设置IPv4和IPv6地址时，出现IPv6不通的情况，可能是由于IPv4和IPv6的兼容性问题导致的。虽然IPv4和IPv6是两种不同的协议，理论上它们可以在同一个接口上共存，但在某些情况下，网络设备或系统可能无法正确处理这种混合配置。分开两个接口设置能够解决兼容性问题，因为每个接口只处理一种协议，避免了潜在的冲突或混淆。

为了解决这个问题，你可以尝试以下步骤：

1. 检查路由器的固件版本，确保它是最新的，因为新版本可能修复了与IPv4/IPv6共存相关的问题。
2. 查阅路由器的文档或联系技术支持，了解该路由器是否支持在单个接口上同时配置IPv4和IPv6，以及是否存在特定的配置要求或限制。
3. 如果路由器支持在单个接口上同时配置IPv4和IPv6，但仍然遇到问题，可以尝试重新配置接口设置，确保IPv4和IPv6的配置都是正确的，并且没有相互干扰。
4. 如果问题仍然存在，可以考虑使用分开的接口来配置IPv4和IPv6，以避免兼容性问题。

问题2：要使内部部分服务器的IPv4地址在通过WAN口时自动转换为IPv6地址，你需要配置NAT64（Network Address Translation from IPv6 to IPv4）功能。NAT64是一种允许IPv6主机与IPv4主机通信的技术，它通过翻译IPv6地址和端口号到IPv4地址和端口号来实现这一点。

以下是实现这一功能的一般步骤：

1. 确保你的防火墙或路由器支持NAT64功能。
2. 在防火墙或路由器上启用NAT64功能，并配置相应的IPv4和IPv6地址池。
3. 将需要转换的IPv4服务器地址绑定到NAT64配置中，指定它们应该被转换为哪个IPv6地址或地址范围。
4. 配置防火墙规则，以允许IPv6流量通过NAT64进行转换，并转发到相应的IPv4服务器。

请注意，NAT64配置可能因设备而异，因此你需要参考特定设备的文档或联系技术支持以获取详细的配置指南。

问题3：如果你需要在后期增加四个WAN口，并希望根据业务设置分别优先使用不同的出口，同时在出口出现问题时自动跳转到其他出口，你可以考虑使用负载均衡和故障转移功能。

以下是一些建议的步骤：

1. 确保你的路由器或防火墙支持多WAN口配置、负载均衡和故障转移功能。
2. 在设备上配置多个WAN口，并为每个WAN口分配相应的IP地址和网络设置。
3. 根据业务需求，为每个出口设置优先级和权重。优先级决定了哪个出口应该首先被使用，而权重则用于在多个出口之间分配流量。
4. 配置故障转移机制，以便在主要出口出现问题时，流量能够自动转移到其他可用的出口。
5. 测试配置以确保一切按预期工作，包括在不同出口之间进行流量分配和故障转移测试。

请注意，具体的配置步骤可能因设备而异，因此你需要参考特定设备的文档或联系技术支持以获取详细的配置指南。