1. 为什么要在神州数码设备上折腾IPv4到IPv6隧道手里有一批神州数码DCN的网络设备可能是交换机也可能是路由器型号新旧不一有的只跑IPv4有的双栈支持得七七八八。现在遇到一个很现实的问题业务侧要求把两个IPv4孤岛通过IPv6骨干网打通或者反过来让IPv6的流量能借道现有的IPv4网络传输。这种场景在园区网改造、分支机构互联、以及一些实验环境里非常常见。IPv4到IPv6隧道说白了就是给两种不同协议的数据包套娃。你有一个IPv4的包想让它穿过IPv6网络那就把它整个封装进IPv6包里到了对端再拆开。反过来也一样。这个技术本身不新鲜RFC 4213、RFC 2473这些文档早就写清楚了但落到具体设备上命令语法、接口类型、MTU处理、路由指向这些细节每个厂商都有自己的脾气。神州数码的设备在命令行风格上跟主流厂商有相似之处但也有自己的坑。我见过不少同行在配置隧道的时候命令敲下去看着都对show interface tunnel状态也是up但就是ping不通。问题往往出在几个地方隧道源地址选错了、路由没指对、MTU没调、或者ACL把封装后的协议号给拦了。这篇文章就把这些环节一个一个拆开从原理到实操从配置到排错尽量把我知道的都倒出来。适合谁看如果你手头有神州数码的路由器或三层交换机需要做IPv4/IPv6互通或者你正在准备网络相关的认证考试再或者你只是对隧道技术好奇想动手试试这篇内容都能给你一个可落地的参考。我尽量不堆术语用大白话把逻辑讲清楚命令给全参数给理由你照着抄作业就行。2. 隧道技术的核心逻辑与方案选型2.1 手工隧道和自动隧道的区别在哪IPv4到IPv6的隧道技术大致分两类手工配置的隧道和自动隧道。手工隧道就是两端设备的隧道源地址和目的地址都得手动指定配置量不大但可控性强适合点对点的固定连接。自动隧道比如6to4、ISATAP这些靠特定的地址格式自动推导隧道端点省配置但依赖地址规划而且对中间网络有要求。神州数码设备上最常用、最稳的还是手工隧道。原因很简单自动隧道虽然听起来省事但实际部署中经常因为地址规划不统一、中间设备不支持特定协议号、或者NAT干扰导致各种玄学问题。手工隧道虽然多敲几行命令但每一跳都清清楚楚出了问题也好排查。我个人的建议是除非你有大量分支节点需要动态建立隧道否则优先选手工隧道。点对点场景下手工隧道的配置成本几乎可以忽略但排错效率高出一大截。2.2 隧道模式的选择GRE还是纯IP-in-IP神州数码设备支持的隧道模式主要有两种GRE通用路由封装和纯IP-in-IP。GRE的好处是支持多协议承载还能跑组播但头部开销大而且有些防火墙会对GRE协议号47做限制。纯IP-in-IP更轻量头部开销小但只能承载IP单播对中间设备的兼容性要求高一些。在IPv4到IPv6的隧道场景里如果你只是打通单播路由纯IP-in-IP够用。但如果你的业务里有组播需求比如视频会议、动态路由协议OSPFv3、EIGRPv6跑在隧道上那就必须用GRE。我实测下来神州数码设备上GRE隧道的稳定性更好尤其是在跨广域网链路的时候GRE的封装解封装过程对MTU变化的容忍度更高。还有一个细节GRE隧道可以配置keepalive纯IP-in-IP不行。keepalive的作用是检测对端是否可达如果对端挂了隧道接口会自动down掉路由也会跟着撤销避免黑洞路由。这个功能在广域网环境里非常实用能省掉很多手动切换的麻烦。2.3 隧道地址规划的基本原则隧道接口本身也需要IP地址这个地址是逻辑上的不占用物理接口的地址空间。规划的时候有几个原则隧道两端的地址必须在同一个网段或者至少能通过隧道接口路由可达。通常我们会用一个私有网段比如10.255.255.0/30或者192.168.255.0/30专门给隧道接口用。隧道源地址必须是本地设备上某个物理接口或Loopback接口的地址而且这个地址必须是对端能路由到的。如果源地址选了一个对端没有路由的地址隧道包发出去也回不来。隧道目的地址就是对端设备的隧道源地址这个地址必须在本地的路由表里有明确指向否则隧道包不知道往哪发。我见过一个典型的错误有人在A端把隧道源地址配成了Loopback0的地址但B端没有到A端Loopback0的路由结果隧道状态up但数据不通。所以配置之前先把两端的路由打通确保隧道源和目的地址互相可达。3. 神州数码设备上的实操配置流程3.1 基础环境准备与接口确认在开始配置隧道之前先把两端的物理接口和路由搞定。假设我们有两台神州数码路由器分别叫R1和R2。R1的IPv4接口是GigabitEthernet0/1地址192.168.1.1/24R2的IPv4接口是GigabitEthernet0/1地址192.168.2.1/24。中间通过一台不支持IPv6的传输设备互联但IPv4路由是通的。先确认两端的IPv4连通性R1# ping 192.168.2.1如果ping不通先把路由问题解决掉隧道的事往后放。隧道是建立在底层IP可达的基础上的底层不通隧道肯定起不来。接下来确认设备是否支持IPv6和隧道功能R1# show version R1# show ipv6 interface brief如果show ipv6 interface brief报错说命令不存在那说明设备的软件版本可能不支持IPv6需要升级。神州数码部分老型号的设备默认没有开启IPv6功能需要在全局配置模式下先开启R1(config)# ipv6 unicast-routing这条命令是开启IPv6单播路由功能必须敲否则后面隧道接口配了IPv6地址也不会生效。3.2 手工隧道接口的创建与参数配置在R1上创建隧道接口R1(config)# interface tunnel 0 R1(config-if)# tunnel mode gre ipv6 R1(config-if)# tunnel source 192.168.1.1 R1(config-if)# tunnel destination 192.168.2.1 R1(config-if)# ipv6 address 2001:db8:1::1/64 R1(config-if)# ipv6 enable R1(config-if)# no shutdown逐条解释一下tunnel mode gre ipv6指定隧道模式为GRE承载的乘客协议是IPv6。这里注意不同型号的神州数码设备命令可能略有差异有的写tunnel mode gre ipv6有的写tunnel mode ipv6ip。ipv6ip就是纯IP-in-IP模式不跑GRE。你可以根据实际需求选。tunnel source 192.168.1.1指定隧道源地址这个地址是物理接口的IPv4地址。也可以用接口名比如tunnel source GigabitEthernet0/1效果一样但用IP地址更直观。tunnel destination 192.168.2.1指定隧道目的地址必须是对端设备的隧道源地址。ipv6 address 2001:db8:1::1/64给隧道接口配一个IPv6地址这个地址是隧道内部的逻辑地址用于跑IPv6路由协议或者静态路由。ipv6 enable在接口上启用IPv6处理。有些版本配了地址就自动启用了但显式敲一下更保险。在R2上做对称配置R2(config)# interface tunnel 0 R2(config-if)# tunnel mode gre ipv6 R2(config-if)# tunnel source 192.168.2.1 R2(config-if)# tunnel destination 192.168.1.1 R2(config-if)# ipv6 address 2001:db8:1::2/64 R2(config-if)# ipv6 enable R2(config-if)# no shutdown配置完成后检查隧道接口状态R1# show interface tunnel 0重点关注几个字段Tunnel source、Tunnel destination、Tunnel protocol、Interface status。如果状态是up说明隧道已经建立。如果状态是down往下看排错部分。3.3 隧道接口的MTU与TCP MSS调整隧道封装会增加额外的头部开销。GRE over IPv4的头部开销是24字节20字节IPv4头4字节GRE头如果再加上IPv6的40字节头部整个封装后的包会比原始包大不少。底层物理接口的MTU通常是1500如果不调整封装后的包可能超过1500导致分片或者丢弃。计算一下原始IPv6包最大1500字节加上GRE/IPv4封装24字节总共1524字节超过了物理接口的1500 MTU。所以必须把隧道接口的MTU调小R1(config-if)# ipv6 mtu 14601460的计算方式是1500物理MTU减去24GRE/IPv4封装开销再减去40IPv6头部 1436。但实际配置中我们通常留一点余量配1460或者1440都可以。我一般配1460实测下来够用。另外TCP MSS也需要调整否则TCP会话在建立的时候会协商一个过大的MSS导致数据包被分片R1(config-if)# ipv6 tcp adjust-mss 14201420的计算方式是1460隧道MTU减去40IPv6头再减去20TCP头 1400。但为了保险配1420也行让TCP自己再协商。注意MTU和MSS的调整是隧道配置里最容易忽略的一步。很多人隧道起来了ping大包不通小包能通就是MTU的问题。ping的时候用ping ipv6 2001:db8:1::2 size 1400测试一下如果小包通大包不通基本就是MTU的锅。3.4 路由配置与流量引导隧道接口配好之后还需要配置路由让IPv6流量知道往隧道走。有两种方式静态路由和动态路由协议。静态路由最简单R1(config)# ipv6 route 2001:db8:2::/64 tunnel 0这条命令的意思是去往2001:db8:2::/64的IPv6流量下一跳是隧道接口0。对端R2也配一条对称的R2(config)# ipv6 route 2001:db8:1::/64 tunnel 0如果你需要跑动态路由协议比如OSPFv3可以在隧道接口上启用R1(config)# ipv6 router ospf 1 R1(config-rtr)# router-id 1.1.1.1 R1(config)# interface tunnel 0 R1(config-if)# ipv6 ospf 1 area 0OSPFv3跑在隧道上有个好处隧道状态变化的时候路由协议能感知到自动撤销或重新发布路由。但要注意OSPFv3的hello包和更新包可能会因为MTU问题被丢弃所以MTU调整一定要做。4. 常见问题排查与实战避坑指南4.1 隧道状态up但ping不通的排查思路这是最经典的问题。隧道接口显示up但两端IPv6地址互相ping不通。排查顺序如下第一步检查底层IPv4连通性。在R1上ping R2的隧道源地址R1# ping 192.168.2.1如果不通说明底层路由有问题先解决底层。第二步检查隧道源和目的地址是否匹配。R1的tunnel source必须是R2的tunnel destinationR1的tunnel destination必须是R2的tunnel source。这个搞反了隧道状态可能还是up但数据包发出去对端不认识。第三步检查ACL或防火墙规则。有些网络中间有防火墙可能会拦截GRE协议号47或者IP-in-IP协议号4。如果中间有防火墙需要放行这些协议。第四步检查MTU。用不同大小的包测试R1# ping ipv6 2001:db8:1::2 size 1400 R1# ping ipv6 2001:db8:1::2 size 1450 R1# ping ipv6 2001:db8:1::2 size 1500如果小包通大包不通就是MTU问题回到3.3节调整。第五步检查路由。在R1上show ipv6 route确认去往对端IPv6网段的路由指向隧道接口。如果路由指向了错误的接口流量不会走隧道。4.2 隧道flapping的常见原因隧道接口频繁up/down通常有几个原因底层链路不稳定。物理接口频繁闪断隧道跟着闪断。检查物理接口的show interface计数看有没有CRC错误或者丢包。keepalive配置不当。如果配了keepalive但keepalive间隔太短网络稍微抖动一下隧道就down了。建议keepalive间隔配10秒重试3次。路由震荡。如果隧道源地址是通过动态路由学到的路由震荡会导致隧道源地址不可达隧道跟着down。建议隧道源地址用Loopback接口的地址Loopback接口永远up稳定性最好。4.3 性能优化与安全加固建议隧道跑起来之后如果发现吞吐量上不去可以考虑几个优化点关闭隧道接口的ICMP重定向。隧道接口上不需要ICMP重定向关掉能省一点CPUR1(config-if)# no ipv6 redirects调整TCP窗口大小。如果业务是TCP为主可以适当调大TCP窗口补偿隧道带来的延迟R1(config)# ipv6 tcp window-size 65535启用隧道接口的ACL。隧道接口是逻辑接口默认没有ACL保护。建议配一条ACL只允许必要的IPv6流量通过R1(config)# ipv6 access-list TUNNEL_ACL R1(config-ipv6-acl)# permit ipv6 2001:db8:1::/64 any R1(config-ipv6-acl)# deny ipv6 any any R1(config)# interface tunnel 0 R1(config-if)# ipv6 traffic-filter TUNNEL_ACL in提示ACL的最后一条deny ipv6 any any是隐式拒绝但显式写出来更清晰。注意ACL的方向in是进入隧道接口的流量out是离开隧道接口的流量根据实际需求调整。4.4 常见问题速查表问题现象可能原因排查命令解决方法隧道状态down底层IPv4不可达ping 192.168.2.1检查底层路由和接口状态隧道状态up但ping不通MTU不匹配ping ipv6 ... size 1400调整隧道接口MTU和TCP MSS隧道状态up但ping不通ACL拦截show ipv6 access-list放行GRE或IP-in-IP协议隧道状态up但ping不通路由指向错误show ipv6 route修正静态路由或动态路由隧道flapping底层链路不稳定show interface检查物理接口错误计数隧道flappingkeepalive间隔太短show interface tunnel调整keepalive间隔大包不通小包通MTU问题ping ipv6 ... size 1500调小隧道MTU隧道建立后CPU升高隧道封装解封装开销show process cpu考虑硬件加速或分流5. 进阶场景隧道与动态路由协议的配合5.1 OSPFv3 over GRE隧道配置要点在隧道上跑OSPFv3有几个地方需要特别注意。首先是接口的MTUOSPFv3的DD报文Database Description会协商MTU如果两端MTU不一致邻居关系会卡在ExStart状态。所以隧道两端的MTU必须一致建议都配1460。其次是OSPFv3的router-id必须手动指定而且不能重复R1(config)# ipv6 router ospf 1 R1(config-rtr)# router-id 1.1.1.1 R2(config)# ipv6 router ospf 1 R2(config-rtr)# router-id 2.2.2.2然后是网络类型隧道接口默认的网络类型是point-to-point这个没问题不用改。但如果你的隧道是NBMA类型的需要手动指定R1(config-if)# ipv6 ospf network point-to-point配置完成后检查邻居状态R1# show ipv6 ospf neighbor如果邻居状态是FULL说明OSPFv3跑起来了。如果是EXSTART或者EXCHANGE大概率是MTU问题回去检查MTU配置。5.2 隧道冗余与备份路径设计单条隧道没有冗余一旦隧道断了IPv6流量就全断了。生产环境里通常需要设计备份路径。有两种思路思路一双隧道冗余。在两台设备之间建两条隧道走不同的物理路径。一条主用一条备用通过路由协议的cost或者静态路由的优先级来控制R1(config)# ipv6 route 2001:db8:2::/64 tunnel 0 R1(config)# ipv6 route 2001:db8:2::/64 tunnel 1 10第二条路由的优先级是10比第一条低第一条断了第二条才生效。思路二隧道原生IPv6混合。如果中间网络部分支持IPv6可以设计成隧道和原生IPv6互为备份。原生IPv6优先隧道作为备份。这种方案更复杂但性能更好。5.3 隧道流量的监控与日志分析隧道跑起来之后监控是必不可少的。神州数码设备上可以配SNMP trap当隧道接口状态变化时发送告警R1(config)# snmp-server enable traps snmp linkdown linkup R1(config)# interface tunnel 0 R1(config-if)# snmp trap link-status另外可以配syslog把隧道相关的日志发到日志服务器R1(config)# logging host 192.168.100.100 R1(config)# logging trap informational日志里重点关注TUNNEL-3-UPDOWN这类消息能帮你快速定位隧道闪断的时间点和频率。6. 我个人在实际操作中的几点体会隧道这个东西配置本身不难难的是排错。我踩过的最大的坑是MTU问题当时隧道状态upping小包通ping大包不通查了半天路由和ACL都没问题最后才发现是MTU没调。从那以后我配隧道的第一件事就是调MTU和MSS不管有没有问题先调了再说。还有一个体会是隧道源地址尽量用Loopback接口的地址。物理接口可能会因为各种原因down掉但Loopback接口永远up隧道稳定性会好很多。当然前提是Loopback接口的地址在对端有路由。最后如果你是在生产环境里配隧道一定要先做测试。找个维护窗口把配置敲上去然后跑一遍完整的测试用例小包ping、大包ping、TCP业务测试、路由协议邻居检查。全部通过之后再上业务。隧道这东西配置错了不会立刻爆炸但业务跑起来之后出问题排查起来就很被动了。另外神州数码不同型号的设备命令可能有细微差异我上面给的命令是基于常见版本的。如果你敲命令的时候发现语法不对先show version看一下软件版本然后查对应的配置手册。别硬敲敲错了可能把接口搞down。