【YD通讯标准】 运营级 NAT444 技术要求

ICS33.040.40
中华人民共和国通信行业标准
YD/T2811-2015
运营级NAT444技术要求
TechnicalrequirementsforNAT4442015-04-30发布
2015-07-01实施
中华人民共和国工业和信息化部发布前言
1范围
2规范性引用文件
3术语、定义和缩略语·
3.1术语和定义.
3.2缩略语·
4运营级NAT444技术参考模型.
4.1技术概述
4.2参考模型·
5技术要求
5.1概述
5.2终端技术要求
5.3BNG技术要求.
5.4CGN技术要求
5.5AAA服务器技术要求...
5.6日志服务器技术要求…
6运营级NAT444部署·
6.1类型.
6.2CGN设备形态
6.3部署方式…
7典型业务流程
7.1概述·
7.2用户接入流程*·
7.3用户记账流程…
7.4用户溯源流程
8安全考虑·
8.1CGN安全管理·
访问控制与流量控制
元余备份
路由安全
YD/T2811-2015
YD/T2811-2015
本标准按照GB/T1.1-2009给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国电信集团公司、工业和信息化部电信研究院、中国联合网络通信集团有限公司、华为技术有限公司。
本标准主要起草人：谭景华、朱永庆、阎璐、伍佑明、李阳春、黄灿灿、张宇华、文湘江、徐东、傅瑜。
TiikAoNiKAca
1范围
运营级NAT444技术要求
YD/T2811-2015
本标准在运营级NAT444过渡技术的参考模型的基础上，规定了参考模型的各个组成部分的技术要求，以及运营级NAT444的典型业务流程和安全考虑。本标准适用于电信运营商部署的运营级NAT444技术场景下的网络设备和系统。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。IETFRFC3022
IETFRFC3315
IETFRFC3633
IETFRFC4787
IETFRFC4862
IETFRFC5072
IETFRFC5382
IETFRFC5508
传统IP网络地址转换Traditional IPNetwork Address Translator(TraditionalNAT)
IPv6动态主机配置协议DynamicHostConfigurationProtocolforIPv6(DHCPv6)DHCPv6的IPv6前缀选项
IPv6PrefixOptionsforDynamicHostConfigurationProtocol (DHCP)version6单播UDP的NAT行为要求NetworkAddressTranslation(NAT）BehavioralRequirements for Unicast UDPIPv6无状态地址配置IPv6StatelessAddressAutoconfigurationPPP上的IPv6IPVersion6overPPPTCP的NAT行为要求NATBehavioralRequirementsforTCPICMP的NAT行为要求NATBehavioralRequirementsforICMP3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。3.1.1
NAT444
私网双栈过渡技术，同时实现双栈和IPv4地址到IPv4地址转换。3.1.2
实现IPv4地址到Pv4地址转换的运营级地址转换功能模块或者设备。3.1.3
运营级NAT444用户NAT444Subscriber运营级NAT444用户，可同时从运营商网络获得IPv6地址和私有IPv4地址，实现双栈接入。3.1.4
HiiKAoNiKAca
YD/T2811-2015
地址映射关系AddressMappingRelationshipCGN创建和维护的（用户私有IPv4地址）与（公有IPv4地址，传输层ID块）之间的映射关系，其中传输层ID块是指一段连续的TCP/UDP端口号或者ICMP中的标识号。为便于解释，在本文件中传输层ID块通常表达为端口块。bZxz.net
会话映射关系SessionMappingRelationship在CGN地址转换中绑定的（用户私有IPv4地址，传输层ID）与（公有IPv4地址、传输层ID）之间的之间的映射关系，其中传输层ID可以是TCP/UDP端口号或者ICMP中的标识号。为便于解释，在本文件中传输层ID通常表达为端口号。3.2缩略语
下列缩略语适用于本文件。
DHCPv6
IPCPv6
IPv6-PD
RADIUS
Authentication、Authorization、AccountingApplication Layer Gateway
Border Gateway Protocol
BroadbandNetworkGateway
Carrier Grade NAT
CoreRouter
Dynamic hostconfiguration protocolDynamic Host Configuration Protocol for IPv6Domain Name System
Internet Control Message ProtocolIP Control Protocol
IPv6 Control Protocol
Internet Protocol Version 4
Internet Protocol Version 6
IPv6 Prefix Delegate
Intermediate System to Intermediate SystemLocal Area Network
Nerwork Address Translation
Open Shortest Path First
Point to Point Protocol
IPVersion 6 over PPP
PPP over Ethernet
Point to Point Tunneling ProtocolRemoteAuthenticationDial InUserServiceReal-Time Transport Control ProtocolReal-Time Streaming Protocol认证、授权、记帐
应用层网关
边界网关协议
宽带网络网关
运营级地址转换
核心路由器
动态主机配置协议
IPv6动态主机配置协议
域名系统
网际控制报文协议
IP控制协议
IPv6控制协议
网际协议第四版
网际协议第六版
IPv6前缀代理
中间系统到中间系统
局域网
网络地址转换
开放式最短路径优先
点对点协议
PPP承载IPv6的协议
以太网承载的PPP协议
点对点隧道协议
远程认证拨号用户服务
实时传输控制协议
实时流协议
HiiKAoiKAca
SessionInitiationProtocol
Stateless Address Auto ConfigurationTransferControlProtocol
User Datagram Protocol
Wide Area Network
4运营级NAT444技术参考模型
4.1技术概述
会话发起协议
无状态地址自动配置
传输控制协议
用户数据报协议
广域网
YD/T2811-2015
运营级NAT444是一种向IPv6演进的接入过渡技术模型，由IPv6处理转发和包含有CGN(CarrierGradeNAT，运营级地址转换）功能的IPv4处理转发组成。部署运营级NAT444技术时，运营商为接入用户同时分配IPv6地址以及私有IPv4地址，并在网络侧实现用户私有IPv4地址至公有IPv4地址的NAT转换。相对于传统局域网的NAT技术，运营级NAT444加强了运营级地址转换在功能和性能上的相关要求，并要求同时具备IPv6报文转发处理的能力。通过部署运营级NAT444技术，一方面可以缓解互联网业务持续发展与IPv4地址紧缺之间的矛盾，另方面能满足用户接入IPv6网络的需求，通过IPv6用户和应用的自然增长实现IPv4向IPv6的平滑迁移。4.2参考模型
运营级NAT444技术参考模型的主要网元包括用户终端、BNG、CGN、AAA服务器、日志服务器，如图1所示。
服务器
IPv4通道
用户终端
IPv6通道
服务器
TPv4应用
服务器
双栈网络
IPv6应用
服务器
图1运营级NAT444技术参考模型
用户终端：包括PC、家庭网关等，应支持双栈接入。BNG：负责用户的接入，配合AAA服务器完成用户认证，授权和计费，为用户分配IPv6地址，IPv6-PD前缀和IPv4私网地址。
CGN：创建和维护用户地址映射关系，也即（用户私有IPv4地址）与（公有IPv4地址，端口块）之间的映射关系：实现运营级地址转换，将用户IPv4报文的IPv4源地址/端口从（私有IPv4地址，端口号）转换成（公有IPv4地址，端口号），或对目的地址/端口进行相反的转换。AAA服务器：负责用户认证、授权和计费，记录和维护用户的账号信息、私有IPv4地址信息、IPv6地址/前缴信息、计费账单等信息。日志服务器：接收并保存来自CGN的用户地址映射关系：接受并保存来自CGN的用户会话映射关系，也即（用户私有IPv4地址，端口号）与（转换后公有IPv4地址，端口号）的映射关系。3
HiiKAoNiKAca
YD/T2811-2015
5技术要求
5.1概述
本章描述的技术要求是针对运营级NAT444技术部署对设备和系统提出的新的技术要求，不完全涵盖原有适用于IPv4接入场景下的技术要求。5.2终端技术要求
用户终端主要分为家庭网关和主机，家庭网关又分为桥接型家庭网关和路由型家庭网关。对于桥接家庭网关，由于接入主机与BNG的报文采用二层透传方式，因此无特别的技术要求。对于路由型家庭网关，应支持通过PPPv6（IETFRFC5072）SLAAC（IETFRFC4862）DHCPv6（IETFRFC3315）等方式动态获得WAN口IPv6地址：支持使用DHCPv6的IPv6前缀选项（IETFRFC3633）动态获取LAN口的IPv6前缎：支持通过SLAAC，DHCPv6等方式为连接在LAN口的主机分配IPv6地址。也应支持直接配置WAN口的IPv6地址和LAN口的IPv6地址前缴。对于主机，应支持通过PPPv6，SLAAC，DHCPv6等方式动态获得IPv6地址。5.3BNG技术要求
BNG要求支持IPv6接入，具体如下：一支持配置用户的IPv4私有地址池、Pv6地址池、IPv6-PD前缀池：一支持通过PPPv6、SLACC、DHCPv6等方式为用户动态分配IPv6地址：一支持通过DHCPv6协议为用户动态分配IPv6-PD前缀：一支持通过RADIUS协议与AAA服务器交互，从AAA服务器获取用户属性或者策略并向AAA服务器反馈用户的IPv6地址、IPv6-PD前缀等用户配置信息：在BNG内嵌式CGN的情况下（见6.2），BNG应支持通过RADIUS协议向AAA服务器发送用户地址映射关系。
5.4CGN技术要求
CGN应支持对TCP、UDP及ICMP报文进行地址转换的功能，其特性符合IETFRFC3022、IETFRFC4787、IETFRFC5382、IETFRFC5508的规定。CGN应能够为每个用户分配一个连续的（公有IPv4地址、端口块），在为该用户创建用户会话映射关系时，从该（公有IPv4地址、端口块）范围中选择（公有IPv4地址、端口）进行地址转换。CGN应支持通过Syslog协议向日志服务器输出用户地址映射关系和用户会话映射关系。CGN应支持FTPALG，其特性符合IETFRFC3022中4.4的规定。CGN建议支持的DNSALG、SIPALG、RTCPALG、RTSPALG、PPTPALG5.5AAA服务器技术要求
AAA服务器应支持通过RADIUS协议与BNG交互，根据用户的类型向BNG下发用户属性或者策略：并接受BNG反馈的用户的IPv6地址、IPv6-PD前缀等用户配置信息。在BNG内嵌式CGN的情况下（见6.2），AAA能够通过RADIUS协议接收并保存BNG发来的用户地址映射关系。
5.6日志服务器技术要求
日志服务器应支持接受并保存CGN通过Syslog协议发送来的用户地址映射关系和用户会话映射关系。
TiiKAoNiKAca
6运营级NAT444部署
6.1类型
YD/T2811-2015
由于CNG设备形态的不同，CGN部署的网络位置不同，运营级NAT444的部署方式可分为CGN分布式部署方式和CGN集中式部署方式。6.2CGN设备形态
6.2.1独立式CGN
独立式CGN指只实现地址转换功能的独立设备。独立式CGN在部署时需要考虑与BNG、路由器等网络设备的连接关系。6.2.2路由器内嵌CGN
路由器内嵌CGN指内嵌于路由器上的运营级地址转换功能模块。路由器同时具有运营级地址转换的功能。6.2.3BNG内嵌CGN
BNG内嵌CGN指内嵌于BNG上的运营级地址转换功能模块。BNG同时具有运营级地址转换的功能，并能实现在用户上下线时为用户创建或者删除用户地址映射关系。
6.3部署方式
6.3.1CGN分布式部署
CGN分布式部署时，CGN部署在BNG层面，可以采用独立式设备旁挂在BNG侧，也可以采用BNG内嵌式CGN，在BNG内部实现地址转换功能，如图2所示。①Radius上报
双栈主机
家庭网关
双栈BNG
内嵌CGN
AA服务器
日志服务器
Syslog上报
双栈网络
图2CGN分布式部署
IPv4网络
IPv4服务器
IPv6网络
IPv6服务器
在BNG内嵌CGN的情况下，BNG应支持在用户上线为用户分配私网IPv4地址时，动态创建用户地址映射关系，并通过RADIUS协议向AAA服务器上报用户地址映射关系；在用户下线时，删除用户地址映射关系，并通过RADIUS协议告知AAA服务器。如图2的虚线①所示。在CGN旁挂BNG的情况下，独立式CGN应支持在用户第一个访问报文到达CGN时，为用户动态创建用户地址映射关系，并通过Syslog协议向日志服务器上报用户地址映射关系：当用户长时间没有会话时（例如用户在最后一个会话结束后经过老化时间仍然没有新的会话），删除用户地址映射关系，并通过Syslog协议告知日志服务器。如图虚线②所示。在两种情况下，CGN建议同时支持以静态方式创建用户地址映射关系。也即在CGN配置参数（用户私有IPv4地址池、用户转换的公有IPv4地址池、每用户分配的端口块大小等）不变时，CGN的所有用户5
HiiKAoiKAca
YD/T2811-2015
地址映射关系可通过指定算法计算出来。此时，AAA服务器或者日志服务器通过相同的算法，输入相同的CGN配置参数，可以获得与CGN完全相同的用户地址映射关系，不需要再通过RADIUS或者Syslog的方式获取每个用户动态的用户地址映射关系。6.3.2CGN集中式部署
CGN集中式部署时，CGN一般部署在城域网出口CR层面，可以采用独立式设备旁挂在出口路由器CR侧，也可以采用路由器内嵌式CGN，在路由器内部实现地址转换功能，如图3所示。AAA服务器日志服务器
PV4网络
双栈网络
双主机
家庭网关
双找BNG
内嵌6GN
图3CGN集中式部署
IPV6网络
IPv4服务器
IPv6服务器
采用CGN集中式部署时，CGN应支持在用户第一个访问报文到达CGN时，为用户动态创建用户地址映射关系，并通过Syslog协议向日志服务器上报用户地址映射关系：当用户长时间没有会话时（例如用户在最后一个会话结束后经过老化时间仍然没有新的会话），删除用户地址映射关系，并通过Syslog协议告知日志服务器。
CGN建议也同时支持以静态方式创建用户地址映射关系，通过指定的算法使得CGN的用户地址映射关系与AAA服务器、日志服务器保持一致。7典型业务流程
7.1概述
本章主要描述部署运营级NAT444技术时主要的几类业务流程，包括用户接入流程、记账流程、溯源流程。所述的是较为典型的业务流程，但并不涵盖也不排斥其他的业务流程。7.2用户接入流程
本节描述运营级NAT444用户采用PPPoE方式接入的典型流程，如图4所示。流程说明如下：
a）家庭网关发起PPPoE拨号，与BNG之间建立PPP连接，发送PPP认证请求；b）BNG通过RADIUS协议向AAA提交用户名和密码，完成用户认证：c）AAA查询用户账号，确定用户类型，通过access-accept报文中携带用户所属的“域（如NAT444）”信息等下发给BNG：
d）BNG通过IPCP协议为家庭网关分配私有IPv4地址以及IPv4DNS地址，并在其内嵌的CGN模块创建用户地址映射关系，即用户私有IPv4地址与（公有IPv4地址、端口块）的关系：e）家庭网关通过IPCPv6协议与BNG协商接口ID，并生成链路本地（linklocal）的IPv6地址：f）家庭网关通过SLAAC方式获得WAN口IPv6地址，也可以选择通过DHCPv6的方式获得WAN口IPv6地址：
iiKAoNiKAca
g）家庭网关通过DHCPv6-PD协议获得LAN口IPv6前缀；YD/T2811-2015
h）BNG通过account-start报文携带用户的IPv6地址、私有IPv4地址以及（公有IPv4地址，端口块）等信息传送给AAA服务器：
i）主机通过DHCP协议从家庭网关获取IPv4地址，通过SLAAC或者DHCPv6方式获得IPv6地址；j）运营级NAT444接入完成。用户在通过IPv4访问互联网时需要在BNG内嵌的CGN模块进行地址转换。
家庭网关
PPP认证请求
PPP认证响应
（内嵌CGN）
BNG发送接入认证请求
AAA服务器
AAA服务器维护用户名和域
名的对应关系，根据用户名查
询，下发域名
AAA下发城名（如NAT444）
等用户属性信息
BNG根据AAA下发的域名，从
域下绑定的私有IPv4地址池中
IPCPV4（获得IPV4地址，DNS地址）IPCPv6(协商Interface-ID)
SLAAC（获得IPV6前螺）
DHCPv6（获得IPv6DNS地址）
DHCP-PD（获得家庭网关
LANOIPV6PD前绳
DHCP（获得家庭IPV4私有地址）SLAAC（获得IPV6前级）
私网双栈接入成功，可传送IPV4、IPV6数据报文给用户分配地址，并创建用户
地址映射关系
上报用户IPv6地址、私有IPy4地址以及（公有IPv4地址，端口块）等信息IPv4报文在BNIG的CGN模块内
进行地址转换
图4典型的运营级NAT444接入流程（PPPoE）7.3用户记账流程
在图4的运营级NAT444接入流程中，一个PPP连接承载了两个IP通道，可以通过三种方式实现对这两个独立通道进行记账处理：
a）等待发送accounting-start消息的记账流程：图5所示，BNG为用户建立其中一个IP通道（可能IPv4通道，也可能是IPv6通道）后，等待另一个IP通道建立，再向AAA服务器发送accounting-start记账消息。如果在等待一段时间（如5oOms）后，另外一个通道仍然没有建立，则认为双栈拨号失败，仅接入一个IP通道。家庭网关
PPP建立
IPv4地址分配完成
IPv6地址分配完成
PPP下线
（内嵌CGN）
发送aceounting-stant消息
发送accounting-stop消息
图5等待发送accounting-start消惠的记账流程AAA服务器
YD/T2811-2015
b）更新发送accounting-interim-update消息的记账流程：图6所示，BNG为用户建立其中一个IP通道（可能IPv4通道，也可能是IPv6通道）后，立即发送account-start消息，在另外一个IP通道建立后，发送accounting-interim-update消息，更新该PPP连接的记账信息。
家庭网关
PPP建立
IPv4地址分配完成
IPv6地址分配完成
PPP下线
（内懒CGN）
发送accounting-start消息
AAA服务器
nting-interim-update消息
发送sccounting-stop消息
图6更新发送accounting-interim-update消惠的记账流程c）独立发送accounting-start消息的记账流程：图7所示，BNG在建立IPv4通道或者IPv6通道后各自发送account-start消息，两条account-start消息包含有相同的关联标识，AAA服务器可以分别处理两个IP通道的记账信息，并可以通过其关联标识对该用户两个通道的记账信息进行整合处理。家庭网关
PPP建立
IPv4地址分配完成
IPv6地址分配完成
PPP下线
（内嵌CGN）
发送accounting-start消息
发送accounting-start消息
发送acounting-stop消息
发送accounting-stop消息
AAA服务器
AAA服务器对记账
信息进行整合
图7独立发送accounting-start消惠的记账流程建议BNG和AAA服务器采用第一种和第二种方式实现双栈记账，建议同时支持第三种方式。7.4用户溯源流程
7.4.1范围
用户溯源指外部系统可根据报文的IP地址、端口信息追溯到用户，对运营级NAT444用户，可分为IPv4潮源和IPv6溯源。
7.4.2IPv4溯源流程
根据CGN部署方式以及采用的溯源方法的不同，运营级NAT444可采用不同的IPv4溯源流程。a）分布式部署采用BNG内嵌式CGN时的溯源流程，如图8所示。8
（内嵌CGN）
，分配：用户私有IPv4地址
创建用户地址
映射关系
用户上网
AAA服务器
上报映射关系：用户私有IPv4地址、（公有IPv4地址，端口块）
YD/T2811-2015
外部系统
发送：（公有IPv4地址，端口）AAA服务器查找（公有IPv4
地址，端口）所属用户
图8分部暑部暑采用BNG内嵌CGN的潮源流程流程说明如下：
返回：用户名
1）BNG在为用户分配私有IPV4地址时，在CGN上创建用户地址映射关系，并通过RADIUS协议将分配给用户的私有IPv4地址、（公有IPv4地址，端口块）的信息上报和AAA服务器：2）用户上网在CGN上进行地址转换时，转换后的（公有IPv4地址，端口）资源均从分配给该用户的（公有IPv4地址，端口块）中选取：3）外部系统潮源时，需要以（公有IPv4地址，端口）为查询条件，向AAA服务器发起溯源查询。4）AAA服务器查询（公有IPv4地址，端口）对应的用户，返回给外部系统。b）集中式部署时的潮源流程。
图9所示的是集中式部署时的IPv4溯源流程，分布式部署采用BNG旁挂独立式CGN时也可采用这种潮源流程。
分配：用户
私有LPv4地址
用户上网
上报：用户私有IPv4地址
创建用户地址映射关系
流程说明如下：
AAA服务器
上报映射关系：
日志服务器
秘有IPv4地址之（公有IPv4地址，端口）发送：（公有IPv4地址，端口）发送：（公有IPv4地址，端口）返回：私有IPy4地址
AAA服务器查
找私有IPv4地址
所属用户
图9集中式部鲁时的溯源流程
外部系统
日志服务器查找（公有
IPv4地址，端口）转换
前的私有IPv4地址
返回：用户名
1）BNG在为用户分配私有IPv4地址时，向AAA服务器上报用户的私有IPv4地址：2）用户上网时，CGN创建用户地址映射关系，并将该地址映射关系上报给日志服务器：用户上网在CNG上进行地址转换时，转换后的（公有IPv4地址，端口）资源均从分配给该用户的（公有IPv4地址，端口块）中选取：
3）外部系统溯源时，以（公有IPv4地址，端口）为查询条件，向AAA服务器发起溯源查询：4）AAA服务器以（公有IPv4地址，端口）为查询条件，向日志服务器查询对应的私有IPv4地址；9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。