一、政策背景

我國正在不遺余力的發(fā)展 IPv6，為加快推進我國 IPv6 的規(guī)模部署，中辦、國辦、 工信部、國資委、電子政務辦等重要部門先后下發(fā)多項政策性文件，圍繞《推進互聯(lián) 網(wǎng)協(xié)議第六版（IPv6）規(guī)模部署行動計劃》中有關要求:“(三)加快應用基礎設施改 造，優(yōu)化流量調(diào)度能力：升級改造域名系統(tǒng)，加快互聯(lián)網(wǎng)域名系統(tǒng)（DNS）的全面改 造，構建域名注冊、解析、管理全鏈條 IPv6 支持能力，開展面向 IPv6 的新型根域名 服務體系的創(chuàng)新與試驗；（四）強化網(wǎng)絡安全保障，維護國家網(wǎng)絡安全：強化地址管 理，統(tǒng)籌 IPv6 地址申請、分配、備案等管理工作，嚴格落實 IPv6 網(wǎng)絡地址編碼規(guī)劃 方案，協(xié)同推進 IPv6 部署與網(wǎng)絡實名制”，旨在加快網(wǎng)絡基礎設施和應用基礎設施 升級步伐，促進下一代互聯(lián)網(wǎng)與經(jīng)濟社會各領域的融合創(chuàng)新。

工業(yè)和信息化部發(fā)布了《“十四五”信息通信行業(yè)發(fā)展規(guī)劃》，指出 IPv6 能力 的提升是“十四五”時期的重點任務之一。

國家網(wǎng)信辦、發(fā)改委、工信部也聯(lián)合印發(fā)《關于加快推進互聯(lián)網(wǎng)協(xié)議第六版(IPv6) 規(guī)模部署和應用工作的通知》，明確了“十四五”時期 IPv6 發(fā)展的路線圖、時間表 和任務書。

二、產(chǎn)品概述

明陽 DDI 集成服務平臺，采用裸金屬容器架構，可充分發(fā)揮硬件極限性能，具備 更高的彈性、高可用性；目前已完整適配了國產(chǎn)化系統(tǒng)，通過了工信一所測試，入圍中國電子工業(yè)標準化技術協(xié)會信息技術應用創(chuàng)新工作委員會圖 譜。

本平臺是一款融合智能 DNS、增強 DHCP、可視化 IP 地址管理、IP 安全準入多合 一平臺型產(chǎn)品，提供統(tǒng)一圖形化管理界面、豐富的統(tǒng)計、審計報表，簡化基礎核心網(wǎng) 絡服務運維管理。

2.1 智能 DNS 模塊

DNS 是政企信息化建設的必備組件，是業(yè)務發(fā)布與訪問的第一入口，DNS 域名解 析系統(tǒng)可以提供域名解析服務，避免通過 IPv6 地址方式訪問應用服務。

智能 DNS 模塊提供權威/遞歸/轉發(fā)/緩存等多種角色 DNS 服務、智能 DNS 解析、 應用服務器宕機檢測、DNS 流量調(diào)度、DNS 安全加固、DNS 數(shù)據(jù)分析等功能；用于解 決 IPv6 規(guī)模應用中復雜地址管理問題。

2.2 增強 DHCPv4/v6 模塊

增強 DHCP 管理模塊解決了 RFC 標準中重功能、輕安全的傳統(tǒng)地址的“有求必應” 式分配，采用包含明陽專利方法在內(nèi)一系列安全可控、可溯源的地址分配與管理方案。

從安全角度，實現(xiàn)基于子網(wǎng)級一系列地址分配安全控制功能，包括綁定分配、黑 白名單、安全基線、周期地址更新、非法 DHCP 監(jiān)測等，可阻斷安全基線外終端地址 分配，杜絕非法主機接入

2.3 IPAM+地址管理模塊

IPAM+地址管理模塊可以提供 IPv4/IPv6 地址規(guī)劃、分配、監(jiān)測、管理等全生命 周期管理。替代傳統(tǒng)的 Excel 記錄與地址子網(wǎng)劃分，解決因 IPv6 地址128 位過長導致記憶困難問題，解決 IPv6 地址頂層規(guī)劃、分配、管理復雜的問題。

IPAM 管理模塊提供 IP 地址頂層規(guī)劃及 IP 地址全生命周期管理等功能，提供高 效、統(tǒng)一的 IP 地址管理視圖、豐富的統(tǒng)計與審計報表。IPAM 將組織架構、業(yè)務結構 與 IPv6 地址規(guī)劃進行有效映射，IP 地址生命周期管理模塊實現(xiàn)了地址申請、實施、 反饋、監(jiān)測、預警等閉環(huán)管理，適用于集團型企業(yè)對 IP 地址進行統(tǒng)一規(guī)劃及多層級 管理的需求。滿足國家相關安全部門對 IP 網(wǎng)絡要有完善的系統(tǒng)運行及用戶使用網(wǎng)絡 IP/MAC 地址日志和網(wǎng)絡用戶的定位等措施的要求，將核心網(wǎng)絡服務與網(wǎng)絡安全在網(wǎng) 絡邊緣進行有效融合，是企業(yè)網(wǎng) IPv6 深化部署階段必不可少的設備，能夠大幅降低 基礎核心網(wǎng)絡服務運維成本，同時全面兼容 IPv6 地址協(xié)議的平滑遷移。

三、部署方式

3.1 部署方式一：DNS 部署方案

DNS 作為重要的網(wǎng)絡基礎設施，是網(wǎng)絡的基石。基于 IP 網(wǎng)絡的各種 Web 服務、 Email 服務、路由服務都依賴或者間接依賴 DNS，具體的部署方案如下:

外網(wǎng) DNS：可以實現(xiàn)緩存 DNS 解析、權威 DNS 解析、廣域負載均衡功能。

DNS 設備本身支持 IPv4/IPv6 雙棧的 A、AAAA 等標準資源記錄，同時作為網(wǎng)絡數(shù) 據(jù)鏈路旁掛方式部署。

外網(wǎng) DNS 通常旁掛部署在互聯(lián)網(wǎng)出口區(qū)，并通過防火墻劃分對應區(qū)域方式提供安 全防御功能，根據(jù) DNS 請求的發(fā)起方設置防火墻會話安全策略。

互聯(lián)網(wǎng) DNS 架構屬于層級式架構，針對轉發(fā) DNS 使用時，需要指定上級 DNS 的 IP 地址，通常由對應運營商提供 DNS 地址，也可以使用公網(wǎng)知名 DNS 的地址。

作為互聯(lián)網(wǎng)權威 DNS 使用時，擁有域名的最終解析發(fā)布權限，此時需要由域名組 冊機構的 DNS 發(fā)布 NS 標準記錄，指向權威 DNS 的 IP 地址，讓權威 DNS 加入互聯(lián) 網(wǎng) DNS 體系。

當存在多個數(shù)據(jù)中心時，可以通過權威 DNS 的 1 個域名 vs 多個記錄值的方式， 將互聯(lián)網(wǎng)訪問流量負載均衡引導不同數(shù)據(jù)中心。

DNS 是應用層協(xié)議,所以 A 或 AAAA 等標準資源記錄作為數(shù)據(jù)層信息，默認無論請 求解析的源 IP 地址是 IPv4 或 IPv6 終端，都會返回對應域名的 A、AAAA 記錄信 息，由終端自行判斷使用 A 或者 AAAA 解析記錄去訪問目標網(wǎng)站。

請求解析終端的 DNS 需要指向 DNS 的 IP 地址，可以通過手動靜態(tài)指定，也可以 通過 DHCP 服務下發(fā)，終端默認優(yōu)選使用 AAAA 記錄，當 IPv6 路由不存在時，則 選擇 A 記錄值。內(nèi)網(wǎng) DNS：基于權威 DNS 解析方案的內(nèi)網(wǎng)應用訪問，規(guī)避 IPv6 訪問時，地址過長 的記憶難題。

DNS 設備本身支持 IPv4/IPv6 雙棧的 A、AAAA 等標準資源記錄，同時作為網(wǎng)絡數(shù) 據(jù)鏈路旁掛方式部署。

內(nèi)網(wǎng) DNS 通常旁掛部署在服務器區(qū)，并通過防火墻劃分對應區(qū)域方式提供安全防 御功能，根據(jù) DNS 請求的發(fā)起方設置防火墻會話安全策略。

作為內(nèi)網(wǎng)權威 DNS 使用時，擁有域名的最終解析發(fā)布權限，但無須配置 NS 記錄。

當存在多個數(shù)據(jù)中心時，可以通過權威 DNS 的 1 個域名 vs 多個記錄值的方式， 將訪問流量負載均衡引導不同數(shù)據(jù)中心。

DNS 是應用層協(xié)議,所以 A 或 AAAA 等標準資源記錄作為數(shù)據(jù)層信息，默認無論請 求解析的源 IP 地址是 IPv4 或 IPv6 終端，都會返回對應域名的 A、AAAA 記錄信 息，由終端自行判斷使用 A 或者 AAAA 解析記錄去訪問目標網(wǎng)站。

請求解析終端的 DNS 需要指向 DNS 的 IP 地址，可以通過手動靜態(tài)指定，也可以 通過 DHCP 服務下發(fā)，終端默認優(yōu)選使用 AAAA 記錄，當 IPv6 路由不存在時，則 選擇 A 記錄值。

3.2 部署方式二：DHCP 部署方案

DHCP 服務采取集中式、有狀態(tài)控制方式向內(nèi)網(wǎng)終端分配 IP 地址，可實現(xiàn)終端準 入控制管理等。

DHCP 設備本身支持 IPv4/IPv6 雙棧地址有狀態(tài)分配服務，通常旁掛部署在數(shù)據(jù) 網(wǎng)絡辦公區(qū)，用于向終端分配 IP 地址。

終端 PC 到 DHCP 設備之間只有 IPv4、IPv6 鏈路端到端路由通的情況，才可以將 DHCPv4、DHCPv6 請求發(fā)給發(fā)送到 DHCP 設備。

DHCP 通過防火墻劃分對應區(qū)域方式提供安全防御功能，根據(jù) DHCP 請求的發(fā)起方 設置防火墻會話安全策略。

DHCP 通常采用中繼的部署方案，即終端 PC 與 DHCP 設備不在同網(wǎng)段內(nèi)，需要通過 終端 PC 的網(wǎng)關 IP 地址進行中繼。

DHCP 服務不僅終端 PC 分配 IP 地址，也向終端 PC 分配指定的 DNS、NTP 等服務 IP 地址。

因為 IPv4IPv6 協(xié)議特性不同，DHCPv4 必須下發(fā)網(wǎng)關 IP 地址，而 DHCPv6 無須下 發(fā) IPv6 網(wǎng)關地址。

3.3 部署方式三：IPAM 方案

IPAM 方案支持采用集群式、分布式、分層式部署在政企內(nèi)，IPAM 之間采用控制 與展示分離方式，實現(xiàn)頂層集中規(guī)劃與展示、逐層精細分配、策略信息同步。

在大集團公司網(wǎng)絡環(huán)境中，IPAM 推薦采用分布式、分層式部署，采用旁掛方式部 署在辦公網(wǎng)中。在一般企業(yè)內(nèi)網(wǎng)采用 DHCP、DNS、IPAM 集成服務平臺方式搭建、 管理 IPv6 網(wǎng)絡。

IPAM 設備通過防火墻劃分對應區(qū)域方式提供安全防御功能，根據(jù)請求的發(fā)起方設 置防火墻會話安全策略。

IPAM 設備之間應該路由可達，支持 IPv4、IPv6 鏈路。采用標準的南北向協(xié)議上 報數(shù)據(jù)、下傳參數(shù)，通過指定上級、下級 IPAM 設備 IP 地址建立互聯(lián)通道。

IPAM 的組織架構與 IPv6 地址映射需要根據(jù) IPv6 地址規(guī)劃在系統(tǒng)進行配置，可導 入 IPv6 地址規(guī)劃、也可手動配置組織結構與 IPv6 地址之間的關系。

IPAM 支持大顆粒地址段規(guī)劃，也支持到主機級 IP 地址規(guī)劃，系統(tǒng)會自動根據(jù)子 網(wǎng)掩碼進行歸類展示。

資產(chǎn)管理功能支持采用 SSH 協(xié)議對被管理設備進行非法 IP 地址監(jiān)測，并封堵非 法 IP 地址所在端口。

四、產(chǎn)品優(yōu)勢

4.1 智能 DNS

明陽智能 DNS 系統(tǒng)支持全中文 Web 管理界面，具有高性能、高可靠、高安全的特點，為企業(yè)提供全方位的智能 DNS 解析，實現(xiàn)基于域名的流量負載均衡、數(shù)據(jù)分析等多種 功能。

安全加固 DNS 解析 集成 DNS 防火墻功能，可以屏蔽非授權訪問、惡意攻擊，實現(xiàn) DNS 系統(tǒng)的安全運 行?；?ISP 視圖匹配實現(xiàn) DNS 只響應特定源的解析請求，提供特定安全解析方案。

智能解析引導流量負載均衡 基于 DNS 的廣域負載均衡實現(xiàn)多數(shù)據(jù)中心的應用負載均衡；基于 Web 源站檢測， 實現(xiàn)多數(shù)據(jù)中心應用故障業(yè)務平滑切換。

4.2 增強 DHCP

明陽 IP 地址管理系統(tǒng)融合了增強 DHCP、可視化 IP 地址管理、實名制 IP 準入控 制的融合解決方案，提供統(tǒng)一圖形化管理界面，豐富的報表，簡化運維管理。

自動綁定 IP 地址分配 支持基于 IPv4/IPv6 雙棧自動化的 IP 地址分配，支持 IP 與 MAC/IPv6 終端系統(tǒng) 標識綁定分配，支持海量物聯(lián)網(wǎng)終端 IP 地址一次注冊、終身綁定、高效溯源。

安全準入控制分配地址 避免現(xiàn)有 DHCPv4/v6“有求必應”的地址分配方式，實現(xiàn)基于 MAC 綁定、IPv6 終端系統(tǒng)標識綁定、DHCP Snooping 的實名制準入控制分配地址方式。通過基于子網(wǎng) 級的地址分配安全基線控制功能，避免運維期間設備私接情況。

4.3 IPAM 地址管理

IP 地址作為最重要的網(wǎng)絡資源之一，與業(yè)務息息相關。隨著 IT 建設規(guī)模日益龐 大，使用的 IP 地址數(shù)據(jù)也越來越多，經(jīng)常面臨 IP 管理分散、私網(wǎng)亂建、非法接入等 問題，而傳統(tǒng)人工維護 IP 地址管理工作效率低下、統(tǒng)計困難。

明陽 DDI 平臺 IPAM 功能提供 IPv6 地址頂層規(guī)劃功能，讓 IPv6 與組織架構、業(yè) 務架構進行映射，實現(xiàn)如身份證 ID 一樣可“望文生義”的地址規(guī)劃；IPAM 提供 IPv6 地址全周期的管理，避免 IP 地址后期溯源、管理的空白；提供各種地址規(guī)劃模板， 提高地址分配與管理的效率。

4.4 先進的技術架構

區(qū)別于其它廠商，明陽產(chǎn)品采用先進的裸金屬容器架構(硬件服務器直接安裝云 原生系統(tǒng)，所有應用在容器內(nèi)運行，發(fā)揮了硬件資源的極限性能)，精簡化、安全化 的底層操作系統(tǒng)為轉換服務提供了更多的性能資源，同時也減少系統(tǒng)的攻擊面和漏洞 風險。采用云原生集群架構，相對于傳統(tǒng)廠商的設備具有更好的彈性（根據(jù)負載，自 動創(chuàng)新服務實例）、可擴展性（隨時增加硬件資源）、高可用性（自動備份和恢復， 負載均衡），進一步提升了資源利用率、系統(tǒng)的可靠性、穩(wěn)定性、安全性。

五、主要功能

增強 DHCP 模塊

1、集中式 IP 分配管理 支持基于 IPv4/IPv6 雙棧自動化的 IP 地址分配，支持 IP 與 MAC 地址綁定分配， 支持跨網(wǎng)的 Relay 式 地址分配，提供分配日志用于記錄、分析地址分配與審計。

2、高性能 DHCP 服務 專業(yè)化的軟硬件一體產(chǎn)品，提供更穩(wěn)定的業(yè)務連續(xù)性保障，集群化服務方案，避 免 DHCP 服務的單點故障。

3、安全可控地址分配 為了實現(xiàn)有效、可控的準入和 IP 地址分配，系統(tǒng)能根據(jù)指紋識別不同的終端類 型并配置相應策略，按策略為終端分配 IP 地址段，實現(xiàn)對多種終端的有效管理，從 而實現(xiàn)真正的 BYOD 安全應用，保證企業(yè)資源被安全、可控的訪問。

4、安全可靠服務 支持子網(wǎng)級 LPS 門限、接口級 LPS 門限、DHCP 服務級 LPS 門限設置，黑名單功 能。

智能 DNS 模塊

1、安全穩(wěn)定的 DNS 解析 提供集群化平臺部署方案，提供高效穩(wěn)定的 DNS 域名解析，包括權威 DNS 解析服 務、轉發(fā) DNS 解析服務，支持基于 IPv4、IPv6 雙棧協(xié)議，支持 QPS 服務門限設置防 DDoS 攻擊，可以屏蔽非授權方位、惡意攻擊，實現(xiàn) DNS 系統(tǒng)的安全防護。

２、智能解析引導流量負載均衡 基于多運營商環(huán)境，可為用戶提供智能選路，實現(xiàn)訪問流量負載均衡，實現(xiàn)智能 NDS、透明 DNS 功能，提升用戶業(yè)務訪問體驗。支持源站服務監(jiān)測，可實現(xiàn)主備數(shù)據(jù) 中心的業(yè)務平滑切換，保證業(yè)務持續(xù)性。

３、靈活的 DNS 解析能力 通過內(nèi)置 DNS 根服務器與自定義上游 DNS 能力，可提供靈活的、安全的遞歸、迭代解析能力，周期性刷新驗證緩存記錄數(shù)據(jù)，為用戶提供安全的 DNS 解析服務。

４、豐富的 DNS 統(tǒng)計、分析報表 提供基于網(wǎng)絡域、視圖的豐富 DNS 報表，對實時、歷史 DNS 解析成功率排名、域 名解析排名、請求源 IP 排名等進行統(tǒng)計。掌握企業(yè)用戶互聯(lián)網(wǎng)活動行為特征，形成 初步行為特征圖譜，為進一步安全分析提供依據(jù)。

IPAM 模塊

1、IP 地址規(guī)劃與管理

支持基于組織架構的 IPv6 頂層規(guī)劃功能:即組織架構、業(yè)務功能、自定義 tag 與 IPv6 地址映射規(guī)劃功能;支持規(guī)劃數(shù)據(jù)導出。支持根據(jù)不同場景規(guī)劃、分配不同長度掩碼的地址段，提供相應業(yè)務 IP 模版。支持多套 IP 地址管理系統(tǒng)聯(lián)動，支持 IP 子網(wǎng)下發(fā)，支持 IP 規(guī)劃下發(fā)，對多級 組織機構分級管理；支持上報 IP 子網(wǎng)、IP 規(guī)劃、IP 地址、資產(chǎn)等相關數(shù)據(jù)，實現(xiàn)多 級機構的數(shù)據(jù)同步。

2、資產(chǎn)信息管理

支持以可視化方式對資產(chǎn)編輯進行詳細資產(chǎn)信息注冊。支持對被管理設備進行 IP 地址采集，實現(xiàn) IP 定位分析，建立 IP 地址、MAC、廠 家上聯(lián)設備、端口、VLAN 的映射關系。

六、支持服務

提供整機（硬件及軟件）3 年 7*24 小時免費人工、部件質(zhì)保及內(nèi)核軟件升級保障 服務。質(zhì)保期內(nèi)對所提供貨物實行免費包修、包換、包退、包維護保養(yǎng)；

提供 7*24 小時熱線支持服務，維修、維護人員保持通訊暢通立即響應。

定期對產(chǎn)品進行跟蹤調(diào)查，消除產(chǎn)品的早期故障隱患，保證平臺的可用率，針對 用戶提出的合理化變更需求，我司會積極配合開發(fā)響應；

提供三年的免費升級服務，軟件升級和增強版本可能包括新的功能和特征、對已 發(fā)現(xiàn)問題的修正及對新硬件平臺的支持。