Dostęp szerokopasmowy IPv6

Transkrypt

1 Dostęp szerokopasmowy IPv6 Krzysztof Mazepa CCIE 18662, JNCIE Cisco and/or its affiliates. All rights reserved. Cisco Public 1

2 Opis sesji Celem sesji jest pokazanie technologii umożliwiajacych oferowanie przez operatora SP usług opartych o protokól IPv6. Dual stack when you can tunnel where you need to translate when you must. W trakcie sesji pokazemy w praktyce jak skonfigurowac o dostęp szerokopasmowy - tam gdzie wciaz stosowane sa sesje PPP - w sieciach oferujacych wyłącznie protokól IP - tam, gdzie fragment sieci uniemożliwia transmisję protokolu IPv6 (L2TP, 6rd) - jak oferowac IPv4 tam gdzie siec umożliwia wyłacznie transmisję pakietów IPv6 Zaprezentowane konfiguracje beda zobrazowane pokazem na zywo z wykorzystaniem routera ASR 1k 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 2

3 Agenda Sposoby oferowanie usług dostępu do internetu przez operatorów telekomunikacyjnych (historia) ASR1000 w 3 slajdach Tradycyjne metody dostępu do internetu PTA (PPPoA, PPPoE, RA to MPLS) LNS (PPPoA, PPPoE) IP sessions czyli IPoE Inne rozwiązania IP tunelowane w IPv4 6rd NAT44 NAT64 DS-lite MAP-T/E Przykłady wdrożeń Podsumowanie 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 3

4 SP Architectures Last 15 Years Mid 90s Early 2000 Mid 2000 Current Internet Access Leased Lines ATM/FR/Serial PPP sessions /Broadband Dedicated core networks IPSec VPNs IP/MPLS Offerings Layer 3 VPNs Initial rollouts of core network consolidation Core network redundancy Fast Reroute Push to drive Layer 2 VPNs (Martini drafts) Layer 2 Multi- Service Edge ISG / IP Sessions IPv6 arrives IPv4 address exhaustion surfaces Initial Public Wireless offerings Managed Services DHCP, Content Hosting Aggregation Network Consolidation Edge Redundancy Intra/Inter-Chassis IPv6 goes mainstream IPv4 address exhaustion imminent (Feb 2011) PWLAN/ Community WiFi rollouts Reduction of OPEX Transport Profile BRKSPG Cisco and/or its affiliates. All rights reserved. Cisco Public 4

5 Service Provider Networks Architecture Subscriber Access Aggregation Network Core Network Residential Corporate Wireless Cable/CMTS DSL/DSLAM Fiber / OLT Ethernet Agg Switch MPLS/IP Network Agg Switch Edge Router MPLS/IP Network Agg Switch Agg Switch Edge Router Cell Phones Mobility Internet Dynamic/Controlled/Accounting Stability/Performance BRKSPG Cisco and/or its affiliates. All rights reserved. Cisco Public 5

6 Routery Cisco serii ASR 1000 Przepustowość od 2.5 Gbps do 100 Gbps dziś, w przyszłości do 360Gbps Niewielki, wydajny router Wysoka niezawodność Zintegrowane usługi Przełączanie sprzętowe, wydajność od 2.5Gb/s, 128k kolejek sprzętowych Modularna konstrukcja (karty RP, ESP, karty liniowe SIP i SPA oprogr. IOS XE, IOS CLI ASR 1001 ASR 1002 Rozdzielona warstwa kontrolna i przełączająca Redundancja sprzętowa i programowa Bezprzerwowa wymiana oprogramowania (ISSU) Zintegrowane, wysoko wydajne usługi ASR 1004 ASR 1006 Zintegrowany firewall, VPN, encrypcja, NBAR, CUBE- ENT,CUBE-SP Zwiększenie funkcjonalności porzez dodatkowe licencje ASR Gbps Gbps Gbps Gbps Gbps 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 6

7 ASR 1000 w sieci operatora IP NGN Użytkownik mobilny Access & Aggregation Wireless Edge ISP WiMAX Peering LNS Business BRAS A Corporate CPE Wireline DSLAM xdsl IPSec PE RR IP/MPLS Core Residence xpon OLT SBC HGW Cable DOCSIS Content Farm VOD TV SIP High Speed CPE BRAS-PPP0E LAC, PTA, ISG IPSec Aggregator VoIP SBC PE (L3VPN PE) LNS Route Reflector Internet Peering 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 7

8 Tradycyjne metody dostępu do internetu 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 8

9 Model wdrożeniowy no. 1 Klienci szerokopasmowi dołączeni są bezpośrednio do sieci operatora ISP Sesja PPPoE zostaje zaterminowana na routerze brzegowym (BRAS PTA PPP Termination and Aggregation) Adres IPv4 i IPv6 zostaje przedzielony do CPE poprzez urządzenie BRAS Wspierane rodzaje ruchu wewnątrz sesji PPPoE: IPv4, IPv6 lub dual-stack 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 9

10 Model wdrożeniowy no. 2 Hurtowy dostęp do internetu (BSA) Sesja PPPoE jest tunelowana poprzez urządzenie LAC (L2TP) do urządzenia LNS (L2TP Network Server) Zwykle urządzenie LAC i infrastruktura poniżej nie należy do właściciela LNS Adres IPv4 oraz IPv6 zostają przedzielone poprzez urządzenie LNS Wspierane rodzaje ruchu wewnątrz sesji PPPoE/tunelu L2TP: IPv4, IPv6 lub dual-stack 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 10

11 Stateless Address AutoConfig (SLAAC) IPv6 Neighbor Discovery Router Advertisement (RA) zostaje wysłany yprzez urządzenie BRAS i odebrane przez CPE klienta W środowisku nie-routowalnym CPE tworzy swój adres IPv6 używając ż prefixu IPv6 otrzymanego w wiadomości RA Mozliwe dwa rozwiązania: -każdy klient PPP współdzieli ten sam prefix IPv6 (typowo /64) jaki otrzymał poprzez RA - każdy klient PPP otrzymuje unikalny prefix sieciowy (typowo /64) 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 11

12 DHCPv6 Stanowe przydzielenie adresu W momencie zestawienia sesji PPP abonent inicjuje zapytanie DHCPv6 i otrzymuje 128-bit adres IPv6 (wraz z innymi parametrami) Bezstanowy serwer DHCP Abonent otrzymuje adres IPv6 poprzez SLAAC i następnie odpytuje serwer DHCP o pozostałe parametry Możliwe umiejscowienie i i serwera DHCPv6 PTA/LNS jako serwer DHCPv6 PTA/LNS jako DHCPv6 relay agent 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 12

13 DHCP-PD PD Prefix Delegation przydzielenie kilku prefixów Zastosowanie w środowisku routowalnym, gdzie zwykle wszystkie uplinki CPE współdzielą ten sam 64-bit prefix Przydzielenie i dedykowanego d prefixu/prefixów dla dołączonych do CPE klientów DHCP-PD (prefix delegation) jest stosowany do przydzielenia dodatkowego, krótszego (zwykle /48) prefixu IPv6 CPE wykorzystuje y otrzymany y prefix do adresacji swoich interface klienckich i dostarcza adresację dołączonym hostom IPv6 (zwykle poprzez SLAAC / wiadomość RA) 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 13

14 Podstawowa konfiguracja PPPoE autentykacja z wykorzystaniem serwera Radius aaa new-model aaa authentication default group radius aaa authorization network default group radius aaa accounting network ACCT_LIST default group radius bba-group pppoe CUSTOMER_A virtual-template 1 interface Gigabitethernet (slot/card/port) pppoe enable group CUSTOMER_A interface virtual-template 1 ip unnumbered loopback1 peer default ip address pool POOL_1 ppp authentication chap ppp accounting ACCT_LIST interface loopback1 ip address Użytkownik zdefiniowany na serwerze Radius (na przykładzie Merit Radius) "test" Password = "test" Service-Type = Framed-User, Framed-Protocol = PPP, Cisco-AVPair = "ip:addr-pool=pool_1" ip local pool POOL_ radius-server host auth-port 1645 acct-port 1646 key cisco 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 14

15 Przykład konfiguracji sesji PPP IPv6 Podstawowa konfiguracja urzadzenia BRAS ipv6 unicast-routing interface Virtual-Template 1 ipv6 unnumbered Loopback1 ipv6 enable no ipv6 nd ra suppress Domyślnie informacja Router Advertisement (RA) nie jest wysyłana na łączach PPP. W podstawowym scenariuszu chcemy by wiadomości te były wysyłane ipv6 nd other-config-flag flag Komenda konfiguruje bit O w wiadomości RA; dzieki temu host stosuje DHCPv6 do uzyskania innych informacji np. DNS (tzw. DHCP stateless) ipv6 nd prefix framed-ipv6-prefix Zastosuj prefix IPv6 otrzymany z serwera RADIUS w wiadomości ś i access-accept w postaci framed-ipv6-prefix ipv6 dhcp relay destination 2001:DEAD:BEEF:1234 ppp authentication chap 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 15

16 Przykład konfiguracji sesji PPP IPv6 Przykładowy profile AAA serwera RADIUS RADIUS PROFILE IPv6-User1 Auth-Type=Local, Password= test User-Service-Type=Framed-User, Framed-Protocol=PPP, Framed-IPv6-Prefix= 2001:db8:bad:f00d::/64, Delegated-IPv6-Prefix= 2001:db8:bad:f::/ Cisco and/or its affiliates. All rights reserved. Cisco Public 16

17 Przykład konfiguracji sesji PPP IPv6 DHCPv6 Server ipv6 dhcp pool <DHCP Pool Name> dns-server <Primary DNS IPv6 Address> dns-server <Secondary DNS IPv6 Address> accounting default prefix-delegation aaa method-list default lifetime infinite infinite ipv6 dhcp binding track ppp interface Virtual-Template1 ipv6 dhcp server <DHCP Pool Name> rapid-commit 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 17

18 Cisco-AVPair automatyzacja konfiguracji usług wykorzystująca y serwer Radius protocol : attribute sep value * cisco-avpair= ip:addr-pool=first Przykładowe avpair cisco-avpair= ip:inacl=input_access_list_test_1 cisco-avpair= ip:outacl=output_access_list_test_2 cisco-avpair = ip:inacl#3=permit tcp any eq telnet, cisco-avpair = ip:inacl#4=deny icmp any any, cisco-avpair = ip:route#5= , cisco-avpair = ip:route#6= cisco-avpair = atm:vc-qos-policy-in=<in policy name> cisco-avpair = atm:vc-qos-policy-out=<out out policy name> cisco-avpair = ip:sub-qos-policy-in=<in policy name> cisco-avpair = ip:sub-qos-policy-out=<out policy name> 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 18

19 Bezpieczeństwo dla usług szerokopasmowych IPv6 (przykład) Access listy dla IPv6 oraz IPv6 urpf Cleartext-Password := default" Framed-Protocol == PPP Framed-IPv6-Prefix += " 2001:db8:bad:f00d::/64", cisco-avpair += "ipv6:inacl#1=permit ipv6 2001:db8:bad:f00d::/64 any", cisco-avpair += "ipv6:outacl#1=permit ipv6 any 2001:db8:bad:f00d::/64, Konfiguracja urpf dla IPv6 interface Virtual-Template1 ipv6 verify unicast source reachable-via rx 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 19

20 Bezpieczeństwo dla usług szerokopasmowych IPv6 Przykład konfiguracji IPv6 CoPP class-map match-all ICMPv6-GENERAL match access-group name ICMPv6-GENERAL class-map match-all IPv6-REJECT-LOCAL-ACCESS match access-group name IPv6-REJECT-LOCAL-ACCESS ACCESS class-map match-all IPv6-CONTROL match access-group name IPv6-CONTROL class-map match-all IPv6-TRUSTED-HOSTS match access-group name IPv6-TRUSTED-HOSTS policy-map CONTROL-PLANE-POLICY description control-plane policy class IPv6-TRUSTED-HOSTS police rate 100 pps burst 100 packets conform-action transmit exceed-action transmit class IPv6-REJECT-LOCAL-ACCESS police rate 1 pps burst 100 packets conform-action drop exceed-action drop class ICMPv6-GENERAL police rate 100 pps burst 100 packets exceed-action drop class IPv6-CONTROL police rate 100 pps burst 100 packets conform-action transmit exceed-action drop kontynuacja class class-default police rate 100 pps burst 100 packets conform-action transmit exceed-action transmit 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 20

21 Podstawowa konfiguracja LAC i LNS Router LAC vpdn enable vpdn-group isp_tylko_przykład.com request-dialin protocol l2tp domain isp.com initiate-to ip local name LAC1 l2tp tunnel password cisco bba-group pppoe customera virtual-template 1 interface g1/0/0 pppoe enable group customera interface virtual-template 1 ppp authentication pap chap "user@isp.com com" Password = "cisco" Service-Type = Framed-User, Cisco-AVPair = "ip:addr-pool=pool_1 Router LNS Framed-IPv6-Prefix += 2001:db8:bad:f00d::/64" vpdn enable vpdn-group isp_inny_przykład.com accept-dialin protocol l2tp virtual-template template 2 terminate-from hostname LAC1 l2tp tunnel password 0 cisco Interface Loopback100 Ip address ipv6 address 2001:db8::1/128 interface Virtual-Template2 ip unnumbered Loopback100 ppp authentication chap ipv6 unnumbered Loopback100 ipv6 enable no ipv6 nd ra suppress ipv6 nd other-config-flag fl ipv6 nd prefix framed-ipv6-prefix ipv6 dhcp relay destination 2001:DEAD:BEEF:: Cisco and/or its affiliates. All rights reserved. Cisco Public 21

22 Tradycyjne metody dostępu do internetu 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 22

23 ASR1000 Inteligent Solution Gateway AAA Server AAA/Kreowanie usług Policy Server Web Portal DHCP Server Internet Portal użytkownika Open Garden Walled Garden Servery Video/Audio ISG stosowany jest na brzegu sieci Współpracuje z innymi urządzeniami ą kontrolując pasmo i kierunek przesyłania ruchu klienta Identyfikacja i autentykacja klienta Określenie oferowanej usługi Dynamiczna zmiana usługi (na podstawie żądania klienta lub operatora) 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 23

24 IPoE z wykorzystaniem rozwiązania ISG Użytkownik 1 AAA Server AAA/Kreowanie usług Policy Server Web Portal DHCP Server Sesja abonenta 1 Użytkownik 2 Internet Sesja abonenta 2 Użytkownik 3 Portal klienta Open Garden Walled Garden Serwery Video Audio Sesja abonenta 3 Sesja utworzona jest automatycznie reprezentując pojedynczego abonenta usługi Sesja tworzona jest w momencie pojawienia się ruchu klienta (FSOL = First Sign Of Life) 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 24

25 Rodzaje sesji ISG Session Sesje tworzone dynamicznie sesje PPP sesje IP sesja IP reprezentująca podsieć ć Przynależność do sesji określona podczas autentykacji Autentykacja jest obowiązkowa w tego rodzaju konfiguracji Tryb CPE bridged routed Liczba sesji 1 na urządzenie 1 na dom Liczba sesji 1 na podsieć BRKOPT-3304 Sesje utworzone statycznie możliwe tylko dla sesji IP wymagana ręczna konfiguracja po stronie operatora Liczba sesji 1 na interface 1 na podsieć 2009 Cisco Systems, Inc. All 2010 rights Cisco reserved. and/or its affiliates. Cisco All Public rights reserved. Cisco Public 25

26 Sesje tworzone dynamicznie Sesje PPP Sesje IP ISG Session Interface Virtual Template (sub)interface Virtual Access PPPoA ATM PPPoEoA ATM IP PPP 1483 AAL5 ATM Phy IP PPP PPPoE Eth 1483 AAL5 ATM Phy PPPoEoE / PPPoEoVLAN/PPPoEoQnQ Dostęp Dystrybucja Ethernet IP (stosując wartwę 2) Eth IP (stosując warstwę 3) IP Eth Phy Eth IP PPP PPPoE.1Q QnQ Eth Phy IP IP Eth Phy PPPoL2TP ATM Eth IP IP PPP L2TP IP/UDP ATM,E th,.. Phy Dowolna technologia dostępowa 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 26

27 Utworzenie sesji ISG Session Sesje ISG są utworzone w momencie zauważenia ruchu klienta (First Sign of Life - FSOL) FSOL zależy od typu sesji FSOL sesje PPP FSOL sesje IP... mozliwe są następujące opcje... PPP Call Request (LCP) nieznany MAC lub IP ruch danych DHCP DHCP discover Pakiet IP z nieznanym adresem MAC lub źródłowym adresem IP Stosujemy MAC dla sesji IP tzw. L2-connected stosujemy adres IP dla sesji IP L3 Pakiet DHCP Discover ISG musi pracować jako DHCP Relay lub server DHCP RADIUS RADIUS Access Request lub Accounting Start Klient bezprzewodowy AP RADIUS Access/Accnt Start ISG musi pracować jako Radius Proxy Zastosowanie typowe w konfiguracjach PWLAN i WiMAX 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 27

28 Autentykacja sesji Autentykacja - zezwala na dostęp do zasobów sieciowych tylko dla znanych użytkowników ISG Session Wspierane sposoby autentykacji powiązane z protokołami wykorzystanymi w warstwie dostępowej: PPP: CHAP/PAP IP: EAP dla klientów sieci bezprzewodowych autentykacja DHCP Transparent Auto Logon (TAL): autentykacja użytkownika wykorzystujaca identyfikatory sieciowe abonenta np. adres MAC/IP, DHCP Option 82, tagi PPPoE... Portal użytkownika - Web Logon Autentykacja choć nie jest obowiązkowa, zwykle jest zastosowana 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 28

29 Autentykacja dla sesji IP ISG Session Możliwe scenariusze + Web Logon Web AAA Użytkownik zostaje przekierowany do portalu celem Portal Server autentykacji Dane użytkownika przekazane są do urządzenia ISG ISG autentykuje użytkownika ia Prawdo opodobieństwo o zastosowan - Wireless Client Data Traffic TAL: Option82 Auth DHCP exchange Access SW inserts Option 82 CircuitID/RemoteIDitID/R t EAP AP EAP Auth RADIUS (EAP based auth) TAL:IP/MAC Data Traffic redirection RADIUS Username: WebLogon Username AAA Server RADIUS Username: MAC:RemoteID:CircuitID RADIUS Username: EAP username RADIUS Username: MAC or IP AAA Server AAA Server Przełącznik dostępowy uzupełnia żadanie DHCP Requests o parametr Option82 Circuit i Remote ID ISG dokonuje autentykacji tworząc nazwę użytkonika z połączenia parmetrów Option 82 Circuit i remoteid Wymaganie sesja ISG jest zainicjowana stosując DHCP Użytkownik rozpoczna autentykację EAP dołączając się do punktu dostępowego (AP) ISG wciela się w rolę serwera RADIUS w kierunku AP, klienta RADIUS w kierunku rzeczywistego serwera Sesja ISG musi być ć skonfigurowana jako RADIUS initiated ISG dokonuje autentykacji wykorzystując żródłowy adres MAC/IP jako identyfikatory klienta. Adres MAC jet stosowany typowo dla warstwy dostępowej L2, adres IP dla topologi L Cisco and/or its affiliates. All rights reserved. Cisco Public 29

30 Zakończenie sesji Idle and Absolute Timeouts/Timer Expiry Sesje IP i PPP Web Logoff ISG Session Portal użytkownika RADIUS CoA Account-Logoff Unikalne dla sesji PPP Unikalne dla sesji IP ICMP/ARP keepalive failure Zdarzenia dla protokołu ł PPP i PPPoX Keepalive failure ICMP Keepalives j est stosowany dla sesji L3 ARP keepalives jest stosowany dla l2-connected sessions ppp disconnect; brak ramek ppp keepalives / L2TP hellos DHCP OR DHCP lease expiry RADIUS PoD (Packet Of Disconnect) Policy Manager RADIUS PoD EAP DHCP Release RADIUS RADIUS Accounting Stop Dotycy sesji DHCP initiated Wireless Client AP 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 30

31 ISG IPv6 ISG creates an IPv6 subscriber session based on the first IPv6 packet received from an unclassified IPv6 address similar to the way subscriber sessions are created for IPv4 packets. The subscriber session is identified by the IPv6 address. Native IP sessions have either an IPv4 or IPv6 address, but not both. Dual-stack native IP sessions are not supported (yet). IPv6 is not supported for Layer 2 connected and DHCP-initiated subscriber sessions. The following session combinations can exist on the same ISG interface in Cisco IOS XE Release 3.5S and later releases: Native IPv6 and native IPv4 sessions Native IPv6 and PPP IPv4 sessions Native IPv6 and PPP IPv6 sessions Native IPv6 and PPP dual-stack sessions 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 31

32 Przykład - ISGv6 & IPv6 L4 Redirect # Redirect server group redirect server-group L4R-IPV6-GROUP server ip 2001:DB8:C003:12::2918 port 8080 server ip 2001:DB8:C003:13::3117 policy-map type service L4R-IPV6-SERVICE class type traffic L4R-IPV6-TC redirect to group L4R-IPV6-GROUP # Redirect server policy-map type service L4R-IPV6-SERVICE class type traffic L4R-IPV6-TC redirect to ip 2001:DB8:C003:12::2918 port 8080 Konfiguracja serwera RADIUS Cisco-AVPair = "ip:l4redirect=redirect to {group <server-group-name> ip <server-ip-address> [port port-number ]} [duration seconds ] [frequency seconds ]" 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 32

33 Dual stack when you can tunnel where you need to translate when you must Cisco and/or its affiliates. All rights reserved. Cisco Public 33

34 6rd (IPv6 Rapid Deployment) prywatny adres IPv4 publiczny adres IPv4 adres IPv6 IPv4 NAT44 obecna sieć IPv4 NAT44 (CGN/LSN) Internet IPv4 IPv6 CPE 6rd CE Encap/ Decap (dopuszcza się adresację prywatną) 6rd BR Internet IPv6 Przesyła ruch IPv6 poprzez istniejącą sieć IPv4 - brak wymogu na dual stack w szkielecie i sieci dostępowej Automatyczne zestawianie tuneli Adres IPv6 stworzony automatycznie na podstawie adresacji IPv4 operatora i powiązany z adresem abonenta końcowego 6rd Border Relay (6rd BR nazywany również 6rd Gateway) umożliwia i dostęp do Internetu t IPv6 Enkapsulacja IPv6-w-IPv4 wykonywana jest na CPE klienta (6rd CE stara nazwa to RG) RFC 5969 IPv6 Rapid Deployment on IPv4 Infrastructures (6rd) Presentation_ID 2009 Cisco Systems, Inc. All rights reserved. Cisco Confidential 34

35 Przykład tworzenia prefixu 6rd oraz 6to4 prefix ISP IPv6 + (opcjonalnie) Domain ID prefix /56 przydzielony dla abonenta 6rd Subnet-ID (<= 16) 2001:ABC :01 Interface ID /28 iest tutaj tylko przykładowo, w rzeczywistości zależy od prefixu przyznanego operatorowi prywatny adres IPv4 abonenta (<=32) (np., usuń 10 z 10.x.x.x i wstaw pozostałe 24 bity) Prefix 6to4 prefix /48 przydzielony dla abonenta 6to :0001 SLA Interface ID bity publiczny adres IPv4 (np ) Presentation_ID 2009 Cisco Systems, Inc. All rights reserved. Cisco Confidential 35

36 6rd przykładowa konfiguracja ASR1000 as BR ipv6 general-prefix DELEGATED_PREFIX 6rd CPE configuration -cd Tunnel0 ipv6 general-prefix DELEGATED_PREFIX 6rd Tunnel0 interface Loopback0 interface Dialer0 ip address ip address dhcp ( ) interface Tunnel0 interface Tunnel0 tunnel source Dialer0 tunnel source Loopback0 tunnel mode ipv6ip 6rd tunnel 6rd ipv4 prefix-len 8 tunnel mode ipv6ip 6rd tunnel 6rd prefix 2001:db80::/32 tunnel6rd ipv4 prefix-len 8 tunnel 6rd br tunnel6rd prefix 2001:db80::/32 ipv6 address DELEGATED_PREFIX ::/128 anycast ipv6 address DELEGATED_PREFIX::/128 anycast interface Ethernet0 ipv6 route 2001:db80::/32 Tunnel0 ipv6 address DELEGATED_PREFIX ::/64 eui-64 ipv6 route ::/0 2001:babe::1 b 1 ipv6 route 2001:db80::/28 Tunnel0 ipv6 route ::/0 Tunnel0, 2001:db80:a000:0010:: ipv6 route 2001:db80:0:A00::/56 Null0 IPv6 Rapid Deployment: Provide IPv6 Access to Customers over an IPv4-Only Network Presentation_ID 2009 Cisco Systems, Inc. All rights reserved. Cisco Confidential 36

37 Carrier Grade NAT na ASR1k Wersja 3.6 IOS EX wprowadza komendę ip nat settings mode cgn W trybie CGN zostaje wyłączone mapowanie zewnętrzne no ip nat settings support mapping outside Zalety: ~ dwa razy większa skalowalność wspieranej ilości translacji -duża ilość ALG (wszystkie jakie są standardowo dostępne dla NAT) - Hairpinning z wykorzystaniem ysta VRF-Aware aesot Software aeinfrastructure astuctue( (VASI) oraz policy-based routingu (PBR). Hairpinning ma miejsce, gdy dwóch abonentów jest za tym samym urządzeniem NAT ale mogą się zobaczyć tylko poprzez globalny adres IP - Lawful Intercept. - logowanie z wykorzystaniem protokołu Netflow v9 (w terminologii ASR1k high-speed logging ) - Multihoming zastosowanie kilku interface wyjściowych y (redundancja) 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 37

38 NAT44, NAT64 translate when you must ASR 1000, nowy tryb NAT44, tzw CGN - Carrier Grade NAT For PPPoE to work with CGN, virtual templates and the RADIUS server must support the Network kaddress Translation (NAT) inside id configuration. The NAT inside configuration must be downloaded as part of the RADIUS authentication. Configure the ip nat inside command on the virtual template, which gets cloned into a virtual access interface that inherits the ip nat inside configuration. For the RADIUS server to support NAT inside configuration - configure the aaa policy interface-config allow-subinterface command - or configure the Cisco attribute-value pairs (AV pairs) "lcp:allow-subinterface=yes "lcp:interface-config=ipconfig=ip nat inside in the RADIUS profile on a per-subscriber basis. Przykładowa konfiguracja trybu CGN dla urządzenia ASR1k ip nat settings mode cgn ip nat inside source list 1 pool nat-pool overload ip nat pool nat-pool netmask access-list 1 permit interface virtual-template 1 (config-if)# if)# ip nat inside id interface gigabitethernet 0/0/3 (config-if)# ip nat outside 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 38

39 DS-Lite (Dual Stack Lite) IPv4 wewnątrz IPv6 Internet IPv4 IPv4 IPv6 B4 IPv6 DS-lite AFTR Internet t IPv6 Tunelowanie IPv4 wewnątrz pakietów IPv6 Tunelowanie ruchu IPv4 wewnątrz pakietów IPv6 IPv4 jest niepotrzebne w sieci dostępowej AFTR = Address Family Transition Router (Tunnel encap/decap + NAT IPv6/prywatneIPv4/publiczneIPv4) B4 = Basic Bridging BroadBand (Tunnel encap/decap) Adresacja prywatna IPv4 Adresacja publiczna IPv4 IPv6 Address 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 39

40 MAP CE IPv6-only server Stateless MAP BR IPv4Private Subscriber 1 IPv4-Private Subscriber 2 NAT NAT CPE CMTS/BNG (IPv6) IPv6 IPv6 + IPv4 IPv4-Public Uses NAT64 and IPv6-only transport regular IPv6 data plane. Allows IPv4-IPv6 communication Stateless NAT64 Core MAP Border Relay (can also be stateful) 1. CPE uses combination of IPv6 prefix + DHCPv6 MAP Option to derive CPE s IPv4 address + port set id 2. CPE derives its TCP/UDP port range by decoding the port-set id using MAP algorithm End user IPv6 hosts use the same IPv6 prefix. MAP-T has no impact on IPv6 hosts/traffic Cisco and/or its affiliates. All rights reserved. 40

41 MAP CE Stateless MAP BR IPv4-Private Customer NAT Gateway (IPv6) IPv6 IPv6 + IPv4 IPv4-Public IPv4-Private Customer NAT CPE IPv4 in IPv6 based transport - (same dataplane as DS-Lite) Stateless IPinIP core MAP Border Relay (can also be stateful, eg AFTR) 1. CPE uses combination of IPv6 prefix + DHCPv6 MAP Option to derive CPE s IPv4 address + port set id 2. CPE derives its TCP/UDP port range by decoding di the port-set tid using MAP algorithm End user IPv6 hosts use the same IPv6 prefix. MAP-E has no impact on IPv6 hosts/traffic Cisco and/or its affiliates. All rights reserved. 41

42 Przykłady wdrożeń 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 42

43 Klient nr 1 Operator świadczący zintegrowaną usługę Triple Play Sieć dostępowa oparta głównie o urządzenia VDSL oraz ADSL2+ Profil usługowy: Ilość urządzeń ASR1000 w sieci > 100 PPPoEoQinQ, PPPoEoA, L2TP Dwa profile urządzeń: -z dostępem ethernet t (1/10 GE) ANCP - z dostępem ATM (STM-1) ISG powiązane z klasami usług TCs (v4, v6) 4-poziomowy H-QoS Template ACL (v4, v6) Parametryzacja QoS oraz L4R (v4, v6) Broadband CAC Lawful Intercept (Radius) IPv6 BB (Dual-stack PPP, Accounting) Ilośc sesji IP 29k + 5k tuneli L2TP 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 43

44 Klient nr 2 Operator świadczący usługę dostępu do internetu dla użytkowników przewodowych oraz mobilnych Bezkosztowe wdrożenie usługi dostępu do Internetu IPv6 dla klientów stacjonarnych Wdrożenie oparte o istniejące urządzenia ASR1000 z wykorzystaniem protokołu ł L2TP i adresacji IPv6 Profil usługowy: IPv6 PPP LNS, 1 sesja PPP per tunel L2TP Obecnie niewielki poziom ruchu 10kbps per sesję Bardzo prosta konfiguracja brak QoS, ACL, no accounting Max ilość sesji PPP/tuneli L2TP - 64K 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 44

45 Klient nr 3 Duży operator świadczący usługę dostępu do internetu dla własnych użytkowników stacjonarnych oraz hurtowy dostęp do internetu. Stosuje wyłącznie interface typu ethernet Rozwiązanie oparte o: - tradycyjny yj y BRAS (PTA) oraz LNS (dual stack) -ISG -włączony Netflow -Lawful Intercept (SNMP) - planowane przejście dla klientów PTA do modelu ISG (dual stack) Profil usługowy: 32 tysiące sesji PPP 100 sesji LI 2010 Cisco and/or its affiliates. All rights reserved. Cisco Public 45

46 Klient nr 4 Bardzo duży operator świadczący zaawansowany model usługowy: -VoIP - IPTV (QoS, Broadband CAC) - Video on demand - dostęp do internetu (always on) - LAC DHCP Relay IPv4/IPv6, SBC DBE replikacja multicast t (IPv6 PIM SSM) Pojedynczy VLAN per subscriber Zaawansowany model QoS celem świadczenia wielu usług per klient Ilość urządzeń ASR1k w sieci bardzo duża Cisco and/or its affiliates. All rights reserved. Cisco Public 46

47 Podsumowanie