1.案例概述

1.1背景

中國石油天然氣集團(tuán)有限公司（以下簡稱“中國石油”）高度重視《推進(jìn)互聯(lián)網(wǎng)協(xié)議第六版（ipv6）規(guī)模部署行動(dòng)計(jì)劃》的落實(shí)?；趪野l(fā)展工業(yè)互聯(lián)網(wǎng)、推動(dòng)ipv6規(guī)模部署的相關(guān)要求，中國石油啟動(dòng)局域網(wǎng)改進(jìn)（生產(chǎn)網(wǎng)ipv6）項(xiàng)目，積極進(jìn)行相關(guān)網(wǎng)絡(luò)基礎(chǔ)設(shè)施、應(yīng)用系統(tǒng)的改造，推進(jìn)ipv6規(guī)模部署。

1.2目標(biāo)

緊跟國家政策要求，加快推動(dòng)ipv6技術(shù)在中國石油規(guī)模部署，滿足國家對央企到2025年三個(gè)階段的工作要求。規(guī)模應(yīng)用ipv6技術(shù)，建成低延時(shí)、高可靠、有效覆蓋的生產(chǎn)網(wǎng)絡(luò)基礎(chǔ)設(shè)施，為中國石油生產(chǎn)業(yè)務(wù)提供龐大的網(wǎng)絡(luò)地址空間和數(shù)據(jù)傳輸通道，支持安全、實(shí)時(shí)的生產(chǎn)指揮調(diào)度和生產(chǎn)數(shù)據(jù)傳輸，滿足業(yè)務(wù)發(fā)展需要。

2.做法與經(jīng)驗(yàn)

2.1案例介紹

中國石油按照國家對央企到2025年三階段的各項(xiàng)任務(wù)要求，設(shè)計(jì)ipv6整體規(guī)劃，涵蓋網(wǎng)絡(luò)基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全、業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)綜合支撐等部分。工業(yè)生產(chǎn)網(wǎng)ipv6改造包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施、網(wǎng)絡(luò)過渡環(huán)境、網(wǎng)絡(luò)安全體系、綜合管理平臺、演進(jìn)測試驗(yàn)證平臺、生產(chǎn)專網(wǎng)標(biāo)準(zhǔn)體系等。

中國石油工業(yè)生產(chǎn)專網(wǎng)體系架構(gòu)圖

2.2總體改造方案

2.2.1 ipv6工業(yè)生產(chǎn)專網(wǎng)建設(shè)方案

ipv6生產(chǎn)專網(wǎng)采用網(wǎng)絡(luò)分層和功能分區(qū)設(shè)計(jì)：層次上分為核心層、匯聚層和接入層；功能上分為生產(chǎn)管理區(qū)、外聯(lián)區(qū)、無線接入?yún)^(qū)等。同時(shí)采用雙棧方式組網(wǎng)，ipv4/ipv6協(xié)議并存。對于新興生產(chǎn)業(yè)務(wù)應(yīng)用采用ipv6技術(shù)承載，對于既有生產(chǎn)業(yè)務(wù)應(yīng)用進(jìn)行技術(shù)評估，無法平滑升級支持ipv6協(xié)議的仍采用ipv4網(wǎng)絡(luò)承載業(yè)務(wù)，以增量帶動(dòng)存量，逐步實(shí)現(xiàn)ipv6平滑演進(jìn)。

ipv6生產(chǎn)專網(wǎng)網(wǎng)絡(luò)架構(gòu)圖

2.2.2 ipv6網(wǎng)絡(luò)過渡環(huán)境建設(shè)方案

在生產(chǎn)網(wǎng)絡(luò)和辦公網(wǎng)絡(luò)的邊界建設(shè)ipv4/ipv6網(wǎng)絡(luò)過渡環(huán)境，根據(jù)實(shí)際業(yè)務(wù)需求采用ivi、nat64和雙棧三種技術(shù)，針對地址固定的訪問需求采用ivi技術(shù)，針對僅從ipv6發(fā)起到ipv4的訪問采用nat64技術(shù)，針對現(xiàn)有生產(chǎn)系統(tǒng)無法通過升級支持ipv6協(xié)議的采用服務(wù)器端雙棧接入。

ipv6生產(chǎn)專網(wǎng)網(wǎng)絡(luò)過渡模型

2.2.3 ipv6安全防護(hù)體系建設(shè)方案

ipv6生產(chǎn)專網(wǎng)依據(jù)等級保護(hù)三級要求，秉承“網(wǎng)絡(luò)專用、安全分區(qū)、橫向隔離，縱向防護(hù)”的建設(shè)理念，建立了包括管理體系、技術(shù)體系、控制體系的中國石油ipv6工業(yè)生產(chǎn)網(wǎng)安全防護(hù)體系。

ipv6工業(yè)生產(chǎn)專網(wǎng)安全防護(hù)體系

通過防病毒、終端傳輸加密認(rèn)證、訪問控制、入侵檢測、統(tǒng)一安全管理等手段，從接入安全、網(wǎng)絡(luò)邊界安全、數(shù)據(jù)中心安全等幾個(gè)方面設(shè)計(jì)防護(hù)措施，保障ipv6工業(yè)生產(chǎn)網(wǎng)及應(yīng)用系統(tǒng)的安全性、可靠性。

ipv6生產(chǎn)專網(wǎng)邊界安全防護(hù)技術(shù)架構(gòu)

2.2.4 ipv6綜合管理平臺建設(shè)方案

ipv6綜合管理平臺分為總部和地區(qū)公司兩個(gè)管理層級，實(shí)現(xiàn)對匯總數(shù)據(jù)進(jìn)行分析和挖掘，建立ipv6資產(chǎn)分布、網(wǎng)絡(luò)狀態(tài)、數(shù)據(jù)統(tǒng)計(jì)、決策相關(guān)的功能和視圖功能；同時(shí)，實(shí)時(shí)監(jiān)測資源狀態(tài)，全方位感知ipv6網(wǎng)絡(luò)運(yùn)行狀況，建立全景資源視圖、智能分析視圖、報(bào)告、業(yè)務(wù)視圖、統(tǒng)一管控功能。

ipv6綜合管理平臺總體功能架構(gòu)

2.2.5 ipv6演進(jìn)測試驗(yàn)證平臺建設(shè)方案

ipv6演進(jìn)測試驗(yàn)證平臺，具備對網(wǎng)絡(luò)、終端、業(yè)務(wù)系統(tǒng)的ipv6功能/性能測試、雙棧功能/性能測試功能，對應(yīng)用提供ipv6的仿真、測試、驗(yàn)證環(huán)境，保障網(wǎng)絡(luò)和應(yīng)用系統(tǒng)向下一代互聯(lián)網(wǎng)平滑演進(jìn)。

ipv6演進(jìn)測試驗(yàn)證平臺體系架構(gòu)

2.2.6 ipv6工業(yè)生產(chǎn)專網(wǎng)標(biāo)準(zhǔn)體系

結(jié)合中國石油生產(chǎn)業(yè)務(wù)實(shí)際需求、技術(shù)發(fā)展趨勢，形成符合中國石油生產(chǎn)業(yè)務(wù)的ipv6網(wǎng)絡(luò)基礎(chǔ)設(shè)施最佳實(shí)踐和通用框架，形成可推廣的ipv6統(tǒng)一標(biāo)準(zhǔn)。

中國石油ipv6工業(yè)生產(chǎn)專網(wǎng)標(biāo)準(zhǔn)體系

3.成效與亮點(diǎn)

3.1率先建成全國最大的基于ipv6工業(yè)生產(chǎn)專用網(wǎng)絡(luò)，打造“油氣生產(chǎn)ipv6+技術(shù)體系”

中國石油早在2012年承擔(dān)了國家下一代互聯(lián)網(wǎng)試點(diǎn)專項(xiàng)，率先在大慶油田建成全國最大的ipv6工業(yè)生產(chǎn)專網(wǎng)。基于ipv6構(gòu)建了低延時(shí)、高可靠、廣覆蓋的生產(chǎn)網(wǎng)絡(luò)基礎(chǔ)設(shè)施，支持油田工業(yè)控制、海量物聯(lián)、高清視頻影像等終端接入與數(shù)據(jù)傳輸。率先形成面向下一代互聯(lián)網(wǎng)的“油氣生產(chǎn)ipv6+”體系，對ipv6技術(shù)在工業(yè)生產(chǎn)領(lǐng)域大面積普及起到指導(dǎo)示范作用。

3.2全面構(gòu)建基于ipv6的層次化、縱深化的工業(yè)生產(chǎn)網(wǎng)絡(luò)信息安全防護(hù)體系

將ipv6工業(yè)生產(chǎn)專網(wǎng)劃分為生產(chǎn)數(shù)據(jù)采集傳輸、數(shù)據(jù)中心兩大安全區(qū)域，在各安全區(qū)域部署無線接入加密、防火墻、入侵檢測、行為審計(jì)、防病毒等技術(shù)防護(hù)手段。構(gòu)建了安全、可信的dns服務(wù)，配合地址轉(zhuǎn)換系統(tǒng)實(shí)現(xiàn)網(wǎng)絡(luò)過渡。

3.3完成基于ipv6生產(chǎn)環(huán)境下等級保護(hù)基本要求的驗(yàn)證，完成基于ipv6生產(chǎn)系統(tǒng)的等保測試

基于國家《信息系統(tǒng)安全等級保護(hù)基本要求》和《信息系統(tǒng)安全等級保護(hù)測評要求》，完成ipv6生產(chǎn)專網(wǎng)主機(jī)安全、網(wǎng)絡(luò)安全、應(yīng)用安全和數(shù)據(jù)安全等完整測評，構(gòu)建基于ipv6的安全防護(hù)體系。

3.4構(gòu)建基于ipv6的綜合管理系統(tǒng)，實(shí)現(xiàn)ipv6生產(chǎn)專網(wǎng)整體態(tài)勢感知

在中國石油構(gòu)建統(tǒng)一的ipv6生產(chǎn)專網(wǎng)綜合管理平臺，通過對網(wǎng)絡(luò)狀態(tài)、安全狀態(tài)、物聯(lián)網(wǎng)終端狀態(tài)等信息的收集、分析，實(shí)現(xiàn)油氣田井區(qū)、計(jì)量間、集輸站、聯(lián)合站、處理廠生產(chǎn)數(shù)據(jù)、設(shè)備狀態(tài)信息在作業(yè)區(qū)生產(chǎn)指揮中心及生產(chǎn)控制中心集中管理和控制。

3.5形成了一系列基于ipv6的網(wǎng)絡(luò)和安全標(biāo)準(zhǔn)規(guī)范

中國石油將項(xiàng)目建設(shè)過程中的管理規(guī)范、建設(shè)經(jīng)驗(yàn)以及技術(shù)標(biāo)準(zhǔn)總結(jié)歸納，完成了16項(xiàng)ipv6標(biāo)準(zhǔn)規(guī)范的制定，申報(bào)《石油工業(yè)基于ipv6的網(wǎng)絡(luò)建設(shè)規(guī)范》行業(yè)標(biāo)準(zhǔn)，填補(bǔ)了我國在ipv6工業(yè)標(biāo)準(zhǔn)規(guī)范方面的多項(xiàng)空白。