中国移动互联网公网地址危机解决方案

苏红环,张俊华,于慧敏

（中国移动通信集团设计院有限公司黑龙江分公司，哈尔滨 150080）

1 背景

2011年，IANA及APNIC的IPv4地址已经分配完毕，这意味着中国能够获取的IPv4地址上限基本上就是当时已经申请到的地址总量。与此同时，中国的IP地址需求量还在迅速增加，以及随着WLAN业务、移动互联网、三网融合及物联网（相关机构预计2年内将出现大约700万物联网在线终端）的发展，越来越多的终端设备和用户需要随时在线，未来LTE终端将会实现永久在线，这些都需要新增大量IP地址来支撑。

面对IP地址危机，移动互联的IPv4/IPv6网络过渡需求变得越来越迫切。然而现实的情况却没有人们期望的那么乐观。虽然整个通信产业链已经为IPv6的发展和推广付出了巨大的努力，但受到业务、终端支持等方面影响及制约，短期内无法大规模部署。

在向IPv6过渡的过程中，如何保证现有的终端和业务正常使用，同时又能实现真正的IPv6应用，是一个需要迫切解决的问题。CGN（Carrier Grade NAT）技术，就是在这种情况下产生的一个折中方案。在IPv6发展的早期，CGN将成为短期内中国移动的首选。

2 中国移动解决IP地址危机的主要方案

从IPv4向IPv6过渡目前有两种主要的解决方案：

方案1：引入IPv6。这种方案可以从根本上解决地址耗尽问题，但因目前大部分内容和应用还是基于IPv4，硬性的全面切换到IPv6可能面临现有业务无法继承的风险。

方案2：地址转换技术NAT。通过规模化部署IPv4私有地址，以达到对目前IPv4公有地址的统计复用，从而可以在相当长的时间内解决IPv4地址问题，可以为IPv6争取发展时间。

3 互联网引入IPv6部署困难

由于IPv6无法与IPv4后向兼容，IPv6演进需要包括业务、网络、终端在内的端到端产业链的配合。目前业务、终端由于缺乏商业驱动，支持IPv6的进展迟缓；网络设备IPv6支持度虽然较高，改造相对简单，但与之配套的移动端到端运营支撑流程却需要进行大量改造，因此，向IPv6演进将是一个渐进过程，IPv4和IPv6网络将长期共存。

目前中国移动CMNet城域网的IP网络中，CR、SR/BRAS设备大部分可以通过软件升级支持双栈，在逻辑上成为IPv4及IPv6并行的两个网络，能够直接、简单地实现网络向IPv6的平滑过渡。

对于拥有庞大用户数量的移动互联网络而言，发展IPv6的最大瓶颈就是终端对IPv6的支持问题。市场上销售的绝大多数移动终端，都没有正式提供对IPv6的支持，即使是现在流行的智能手机，也没能实现IPv6的完美支持。

表1 手机终端操作系统对IPv6的支持

另外，PC操作系统Windows Vista/7可以提供比较完备的支持，但Windows XP对IPv6支持有限。家庭网关已经推出可商用部署的双栈路由型家庭网关，但现网已经大量部署的家庭网关较难升级支持双栈。

移动公司AAA、DNS、网管、计费等运营支撑系统也需要进行相应的升级改造来支持双栈端到端网络运营。

由上述分析可以看出，运营商网络IPv6演进涉及端到端的网络改造，难以一蹴而就，同时业务、终端发展相对迟缓，进一步制约了网络的大规模演进及用户的大规模迁移进程，短期内依靠IPv6解决IP地址危机不太现实。

4 运营商级NAT方案

4.1 CGN技术

CGN为运营商级NAT，又称作大规模部署NAT（LSN，Large Scale NAT），CGN的本质还是NAT技术，NAT技术分为基础NAT和NAPT。基础NAT也称No-PAT，只是将内部/私网IP地址转换为外部/公网地址。内部地址和外部地址属于一对一的关系，对于出流量来说，需要将源IP地址和相关字段（如IP、TCP/UTP/ICMP头的checksums）进行转换。NAPT（Network Address Port Translation）网络端口地址转换。NAPT扩展了基础NAT的功能，还需要将传输ID（如TCP/UTP port numbers/ICMP query identifiers）进行转换，该方法实现了多个私网地址共享一个公网地址的架构，从而缓解了IPv4地址短缺的问题。

为了满足运营商级别的要求，CGN在传统的NAT上针对扩展性和性能等方面做了很多改进，额外支持很多技术特性，包括基于IPv6的DS-Lite、NAT444、PNAT、NAT64、NAT过 滤（Filtering Behavior of NAT）、发夹型NAT（Hairpinning Behavior of NAT）、NAT穿越、CGN间的热备、CGN用户地址溯源等。

4.2 CGN部署场景

4.2.1 CGN场景1：双栈+NAT444

CGN设备位于承载网内部，处于公共IPv4网络和私有IPv4地址网络的分界处，用来提供高性能的IPv4私有地址到公有地址的翻译。私网用户使用CGN（NAT44）访问互联网，在CPE上做第一次NAT，在CGN上做第二次NAT，形成3块地址空间：用户侧私网地址、运营商私网地址、公网地址。NAT444通常和双栈一起使用，用户同时得到双栈地址，通过IPv4地址访问IPv4网络，通过IPv6地址访问IPv6网络，在此场景下，CPE和BRAS之间对IPv6报文进行2层透传。BRAS和CMNET城域网内3层设备开启双栈，同时提供IPv4和IPv6路由转发能力。当IPv4公有地址不足时，给用户主机分配IPv4私网地址。在移动网络侧做NAT44转换，提供CGN转换能力。这种机制下，已有业务模型基本不变，除支持用户在IPv6地址属性外，用户的认证、授权和计费机制没有变化，如图1所示。

图1 双栈+NAT444 CGN部署场景

该方案的实施需要如下的关键技术：用户和网络设备支持双栈，CGN，BRAS支持双栈用户的地址分配管理，DNS和Radius等业务系统升级支持IPv6地址扩展。

4.2.2 GSN场景2：DS-Lite

DS-Lite是隧道技术（IPv4-in-IPv6隧道）与CGN的结合，该方案的CMNet城域网为纯IPv6网络，所有的网络设备及支撑系统都升级支持IPv6。DS-Lite是IPv6演进方案的最终模型，在该方案内，IPv6的源只和IPv6的目的地址通信，同理IPv4的源只和IPv4的目的地址通信。没有不同地址族的互相转换。用户侧设备将IPv4流量封装在IPv6隧道内，通过移动运营商的IPv6接入网络到达出口网关设备后终结IPv6隧道封装，再进行集中式NAT转换，最终转发至IPv4网络。如图2所示。

4.3 CGN部署方案

移动公司为用户分配私网IPv4地址，在网络中部署CGN实现用户私网地址与公网地址+端口段的映射，将一个IPv4公网地址共享给多个用户使用，从而提高IPv4公网地址使用效率，可以满足短期内运营商业务发展的新增IP地址需求。

但部署CGN后，IP网络端到端透明性被破坏，出于国家安全监控的需要，在部署NAT时需考虑溯源问题，部署了CGN之后的用户溯源，不再是根据IPv4地址来识别用户，而是根据公网IPv4地址和端口号来识别用户，用户占用公网IPv4地址和端口号的不确定性，增加了用户溯源的复杂性。

CGN设备支持通过Radius或日志方式上报私网地址与公网地址及端口段的映射表至日志服务器，地址溯源系统可以通过日志服务器查询公网地址及端口号对应的私网地址，从而获得用户账户信息，实现溯源。

CGN可以灵活部署在各种网络位置，如CR/BRAS/SR等。按照部署方式的不同，分为两种模式：部署在CMNET城域边缘业务接入点层面的分布式部署方式和部署在CMNET城域网出口层面的集中式部署方式。集中式CGN的部署位置通常是在网络中比较高的CR位置，分布式CGN相对于集中式的网络位置高而言，分布式CGN的网络位置较低，通常部署在BRAS/SR所在的位置。

图2 DS-Lite场景CGN部署

4.3.1 集中式CGN

集中式CGN部署在CMNET城域骨干网出口，主要采用独立设旁挂CR设备上的方式部署。

此种方式用户私网地址需在CMNET城域网内发布，私网地址和CMNET城域网路由需重新规划。涉及骨干出口路由器、省干汇聚路由器、地市汇聚路由器、BRAS设备等众多网络设备的设置配合。CGN设备部署简单，工程实施复杂。

所有地市流量将绕到出口路由器CR设备和CGN设备处理，CR流量增大，在业务量激增的情况下CGN容易成为性能瓶颈。CGN需要维护大量Session会话，对设备的可靠性要求很高，单点故障影响范围大，容易成为攻击点。

位于核心层的CGN的用户策略控制及溯源较为困难，需建设单独的LOG日志系统来实现用户溯源。

此方案适合较少WLAN用户及固网上网用户发展较少的省份，作为前期过渡方案进行部署。

图3 业务量小省份集中式

4.3.2 分布式CGN

分布式CGN部署在CMNET城域网边缘业务接入点位置，采用BRAS插卡式部署。

方式1：具备可靠性，运维简单，不影响业务等特性。无需新增设备，但是需要多点部署，安装较为复杂。不改变原有网络架构，无需全网发布用户私网地址，流量模型无变化，转发效率高，对设备性能要求不高。单台CGN需要维护的会话少，风险分散化。溯源简单，无需新增LOG服务器。

方式2：在BRAS设备不支持插卡式扩容CGN情况下，可在地市城域网核心旁挂NAT设备方式部署。

5 CGN+IPv6部署方案

第1步：部分省份部署集中式CGN。公网地址较充裕的省份：由于中国移动各省现网爱立信BRAS不支持插板式运营商级NAT扩容，该厂家占据全网相当规模份额。在WLAN及固网业务用户不多，公网IP地址需求量不大的省份，前期部署集中式CGN，积累建设经验。如图3所示。

公网地址紧张的省份：少量WLAN及固网业务发展良好，用户数巨大的省份，可根据设备支持情况选用分布式方式1或方式2部署。对于多个业务量小的地市可统一集中式部署，节省投资，方案实施复杂，需全网路由重新规划。各种部署方式可参照图4。

图4 业务量大地市分布式，业务量小地市集中式

图5 BRAS支持插卡扩容地市分布式方式1，BRAS不支持插卡扩容地市分布式方式2

第2步：现网设备升级双栈。立足现网升级设备，循序渐进开展IPv6网络改造。合理规划，渐进式IPv6部署，中国移动CMNET城域网现网设备基本上都满足现网软件升级支持IPv6双栈的条件。

第3步：全网向分布式CGN部署改造。随着中国移动互联网业务的发展及BRAS设备的进一步开发完善，全网向插卡部署分布CGN过渡，兼容并蓄解决过渡期IP地址问题。现网主流分布式CGN插卡满足私网双栈和DS-Lite等应用场景部部署，支持大容量CGN，不影响现网流量流向。

第4步：实现技术过渡平滑切换。分布式CGN部署完成后可平和升级DSLite，平稳过渡到IPv6。

6 总结

从根本上解决公网地址紧缺问题，全程全网部署IPv6是终极目标方案。在终端、网络及应用都过渡缓慢的现网状况下，IPv6推进进程缓慢。CGN方案可以一解近忧，为从IPv4到IPv6演进争取时间。CGN部署灵活，可集中式部署，也可分布式部署。CGN+双栈方案通过城域网试点打通端到端双栈运营流程，可为IPv6网络运营及业务拓展经验，培养终端用户的IPv6业务使用习惯。随着业务、终端的逐渐丰富，移动运营商就能逐步扩大IPv6网络和用户规模，最终实现向IPv6的平滑演进。