改造新阶段,合规新要求

除改造主体的变化外,新阶段的IPv6改造还将迎来更高标准、更严要求的监管,具体合规要点如下:

1、域名解析升级

很多域名服务商虽可配置AAAA记录,但权威域名服务器不具备IPv6地址,不满足2020年“第二步”IPv6改造要求。针对此点,可用本地DNS服务器(如应用交付控制器)进行域名AAAA记录解析,并为DNS服务器分配IPv6地址,即可满足改造要求。

2、高页面支持率

“第二步”改造要求金融机构,去除外部链接后的二级链接,IPv6支持率需大于等于85%,网站三级链接IPv6支持率需大于等于80%。金融机构应用系统一般由多个业务模块组成,其中部分业务模块暂不支持IPv6访问,针对该情况,可以直接在服务器端进行IPv6改造,也可以使用应用交付控制器进行NAT64转换代理访问,满足支持率要求。

3、高可用

2019年许多金融业机构仅部署了1条IPv6线路,存在单点故障隐患。2020年人民银行明确要求金融业机构必须具备多条支持IPv6访问的线路,且对应线路上的主要网络设备需有备机。

4、低时延

“第二步”改造要求金融业机构连续15天,每隔1小时发起1次门户网站/APP/Web应用连接时延统计,连接时延差阈值需小于75ms。IPv6网络质量各地区存在差异,用户可用NPM等监控软件监测自身网络质量,应用交付智能DNS、压缩缓存等技术可以有效降低网络时延,提升用户访问体验。

IPv6 “第二步”的改造利器——新建网络平面

2019年“第一步”初期阶段仅要求门户网站支持IPv6连接访问,很多用户选择在前端部署NAT转换设备来实现网站的IPv6改造并满足监管要求,但今年进入“第二步”后,这种方式显然已经行不通。本阶段改造,建议以新建IPv6网络平面方式为主,原因有三点:第一,面向公众服务的应用重要且访问量大,通过新增平面可以有效避免同一设备因同时承载IPv4流量和IPv6流量而造成的性能瓶颈问题;第二,将IPv4和IPv6分流可实现故障隔离,出现问题时便于及时排查;第三,通过新建平面的方式能够进行后期IPv4向IPv6的平滑过渡,保障后续的改造和流量迁移。基于新建平面,主流的改造方式一般以如下三种为主:

1、新建IPv6平面,改造至互联网接入区

方案说明:

运营商分别提供IPv4、IPv6接入,保持原有IPv4内网网络和应用不变。

新增IPv6转换设备,后端复用IPv4现有的网络设备和应用系统。

新增平面增加网络安全设备、DNS设备和IPv6转换设备。

2、新建IPv6平面,改造至互联网DMZ区

方案说明:

运营商分别提供IPv4、IPv6接入,保持原有IPv4内网网络和应用不变。

新增IPv6转换设备,后端复用IPv4现有APP层及以下的应用系统,Web层系统进行IPv6升级。

在IPv4平面新增NAT46设备,IPv6平面新增NAT64设备,实现跨平面的会话保持。

新增平面增加网络安全设备、DNS设备和IPv6转换设备。

3、新建IPv6平面,改造至应用内网区

方案说明:

运营商分别提供IPv4、IPv6接入,保持两个不同的流量平面接入。

新增IPv6负载设备,分别对Web层和APP层IPv6应用进行服务器负载。

在IPv4平面新增NAT46设备,IPv6平面新增NAT64设备,实现跨平面的会话保持。

新增平面增加网络安全设备、DNS设备和IPv6转换设备。

IPv6改造“新战场”——云上应用

深信服根据金融科技发展需要,结合多年行业实践经验积累,推出云上业务场景IPv6改造方案。

私有云应用:

深信服应用交付AD通过Route Domain和Partition技术虚拟出多个LB,与OpenStack云平台对接后,每一个LB都能和一个OpenStack LB对应。这些LB共享整个AD的整机资源和性能,虚拟出来的每一个LB都可以给云平台租户的业务系统进行NAT64转换从而完成IPv6改造。

公有云应用:

深信服AD可以在KVM和VMware等虚拟化环境下使用,通过vAD镜像模式部署、虚拟化版本vAD以及NAT64技术来实现IPv6改造。

PaaS应用:

深信服AD作为独立K8S集群外的节点(AD设备自身可配置高可用集群),经同步后的AD可对K8S集群在Pod级别的南北向流量进行负载均衡,通过NAT64来完成IPv6改造。

深信服解决方案助力金融业IPv6改造合规前行、平滑演进

作为IPv6改造的先行推动者,深信服再次推出基于新建IPv6平面的改造方案,且在安全溯源、可视化等层面具备差异化优势,助力用户满足新阶段的合规要求。

实时溯源,满足安全监管要求

金融行业需“有效防范IPv6安全风险”,主要针对的就是溯源问题。当使用NAT64/DNS64转换设备时,地址在转换设备内层仅显示为一个IPv4地址,一旦发生安全问题,将无法追溯攻击者。深信服AD设备能够提供溯源问题解决方案,通过在HTTP层插入X-Forwarded-For字段或在TCP层插入TCP Option字段来满足溯源需求。

IPv6可视化,让IPv6改造看得见

深信服基于政策要求,针对性推出IPv6可视化应用,通过可视化界面,快速、直观、准确地获知Web/APP应用连接时延、应用连接稳定性、应用兼容性是否满足督查考核指标要求。同时支持可视化报表的导出,方便用户对业务的IPv6改造情况进行汇报、展示。

金融行业用户在IPv6改造之路上,可能还会遇到各种各样的“坑”,应该如何应对?据了解,深信服在服务金融行业用户的真实业务场景中,总结出了一系列在IPv6改造中需要特别注意的问题:如在网络层面上,IPv6/IPv4跨平面会话保持、灰度发布、IPv6 DNS相关、IPv6地址增长带来的记忆难度等;如在应用层面,嵌在配置文件中的IP和嵌入协议的IP、使用底层网络的API、使用小地址簇存储容器等,并将这些需要规避的“坑”总结至《深信服金融行业IPv6建设白皮书》中,助力金融行业用户的IPv6改造更顺畅、更合规,加速用户的数字化转型进程。