1.案例概述

1.1背景

中國石油天然氣集團有限公司（以下簡稱“中國石油”）高度重視《推進互聯(lián)網(wǎng)協(xié)議第六版（ipv6）規(guī)模部署行動計劃》的落實?；趪野l(fā)展工業(yè)互聯(lián)網(wǎng)、推動ipv6規(guī)模部署的相關要求，中國石油啟動局域網(wǎng)改進（生產(chǎn)網(wǎng)ipv6）項目，積極進行相關網(wǎng)絡基礎設施、應用系統(tǒng)的改造，推進ipv6規(guī)模部署。

1.2目標

緊跟國家政策要求，加快推動ipv6技術在中國石油規(guī)模部署，滿足國家對央企到2025年三個階段的工作要求。規(guī)模應用ipv6技術，建成低延時、高可靠、有效覆蓋的生產(chǎn)網(wǎng)絡基礎設施，為中國石油生產(chǎn)業(yè)務提供龐大的網(wǎng)絡地址空間和數(shù)據(jù)傳輸通道，支持安全、實時的生產(chǎn)指揮調(diào)度和生產(chǎn)數(shù)據(jù)傳輸，滿足業(yè)務發(fā)展需要。

2.做法與經(jīng)驗

2.1案例介紹

中國石油按照國家對央企到2025年三階段的各項任務要求，設計ipv6整體規(guī)劃，涵蓋網(wǎng)絡基礎設施、網(wǎng)絡安全、業(yè)務系統(tǒng)、網(wǎng)絡綜合支撐等部分。工業(yè)生產(chǎn)網(wǎng)ipv6改造包括網(wǎng)絡基礎設施、網(wǎng)絡過渡環(huán)境、網(wǎng)絡安全體系、綜合管理平臺、演進測試驗證平臺、生產(chǎn)專網(wǎng)標準體系等。

中國石油工業(yè)生產(chǎn)專網(wǎng)體系架構圖

2.2總體改造方案

2.2.1 ipv6工業(yè)生產(chǎn)專網(wǎng)建設方案

ipv6生產(chǎn)專網(wǎng)采用網(wǎng)絡分層和功能分區(qū)設計：層次上分為核心層、匯聚層和接入層；功能上分為生產(chǎn)管理區(qū)、外聯(lián)區(qū)、無線接入?yún)^(qū)等。同時采用雙棧方式組網(wǎng)，ipv4/ipv6協(xié)議并存。對于新興生產(chǎn)業(yè)務應用采用ipv6技術承載，對于既有生產(chǎn)業(yè)務應用進行技術評估，無法平滑升級支持ipv6協(xié)議的仍采用ipv4網(wǎng)絡承載業(yè)務，以增量帶動存量，逐步實現(xiàn)ipv6平滑演進。

ipv6生產(chǎn)專網(wǎng)網(wǎng)絡架構圖

2.2.2 ipv6網(wǎng)絡過渡環(huán)境建設方案

在生產(chǎn)網(wǎng)絡和辦公網(wǎng)絡的邊界建設ipv4/ipv6網(wǎng)絡過渡環(huán)境，根據(jù)實際業(yè)務需求采用ivi、nat64和雙棧三種技術，針對地址固定的訪問需求采用ivi技術，針對僅從ipv6發(fā)起到ipv4的訪問采用nat64技術，針對現(xiàn)有生產(chǎn)系統(tǒng)無法通過升級支持ipv6協(xié)議的采用服務器端雙棧接入。

ipv6生產(chǎn)專網(wǎng)網(wǎng)絡過渡模型

2.2.3 ipv6安全防護體系建設方案

ipv6生產(chǎn)專網(wǎng)依據(jù)等級保護三級要求，秉承“網(wǎng)絡專用、安全分區(qū)、橫向隔離，縱向防護”的建設理念，建立了包括管理體系、技術體系、控制體系的中國石油ipv6工業(yè)生產(chǎn)網(wǎng)安全防護體系。

ipv6工業(yè)生產(chǎn)專網(wǎng)安全防護體系

通過防病毒、終端傳輸加密認證、訪問控制、入侵檢測、統(tǒng)一安全管理等手段，從接入安全、網(wǎng)絡邊界安全、數(shù)據(jù)中心安全等幾個方面設計防護措施，保障ipv6工業(yè)生產(chǎn)網(wǎng)及應用系統(tǒng)的安全性、可靠性。

ipv6生產(chǎn)專網(wǎng)邊界安全防護技術架構

2.2.4 ipv6綜合管理平臺建設方案

ipv6綜合管理平臺分為總部和地區(qū)公司兩個管理層級，實現(xiàn)對匯總數(shù)據(jù)進行分析和挖掘，建立ipv6資產(chǎn)分布、網(wǎng)絡狀態(tài)、數(shù)據(jù)統(tǒng)計、決策相關的功能和視圖功能；同時，實時監(jiān)測資源狀態(tài)，全方位感知ipv6網(wǎng)絡運行狀況，建立全景資源視圖、智能分析視圖、報告、業(yè)務視圖、統(tǒng)一管控功能。

ipv6綜合管理平臺總體功能架構

2.2.5 ipv6演進測試驗證平臺建設方案

ipv6演進測試驗證平臺，具備對網(wǎng)絡、終端、業(yè)務系統(tǒng)的ipv6功能/性能測試、雙棧功能/性能測試功能，對應用提供ipv6的仿真、測試、驗證環(huán)境，保障網(wǎng)絡和應用系統(tǒng)向下一代互聯(lián)網(wǎng)平滑演進。

ipv6演進測試驗證平臺體系架構

2.2.6 ipv6工業(yè)生產(chǎn)專網(wǎng)標準體系

結合中國石油生產(chǎn)業(yè)務實際需求、技術發(fā)展趨勢，形成符合中國石油生產(chǎn)業(yè)務的ipv6網(wǎng)絡基礎設施最佳實踐和通用框架，形成可推廣的ipv6統(tǒng)一標準。

中國石油ipv6工業(yè)生產(chǎn)專網(wǎng)標準體系

3.成效與亮點

3.1率先建成全國最大的基于ipv6工業(yè)生產(chǎn)專用網(wǎng)絡，打造“油氣生產(chǎn)ipv6+技術體系”

中國石油早在2012年承擔了國家下一代互聯(lián)網(wǎng)試點專項，率先在大慶油田建成全國最大的ipv6工業(yè)生產(chǎn)專網(wǎng)?；趇pv6構建了低延時、高可靠、廣覆蓋的生產(chǎn)網(wǎng)絡基礎設施，支持油田工業(yè)控制、海量物聯(lián)、高清視頻影像等終端接入與數(shù)據(jù)傳輸。率先形成面向下一代互聯(lián)網(wǎng)的“油氣生產(chǎn)ipv6+”體系，對ipv6技術在工業(yè)生產(chǎn)領域大面積普及起到指導示范作用。

3.2全面構建基于ipv6的層次化、縱深化的工業(yè)生產(chǎn)網(wǎng)絡信息安全防護體系

將ipv6工業(yè)生產(chǎn)專網(wǎng)劃分為生產(chǎn)數(shù)據(jù)采集傳輸、數(shù)據(jù)中心兩大安全區(qū)域，在各安全區(qū)域部署無線接入加密、防火墻、入侵檢測、行為審計、防病毒等技術防護手段。構建了安全、可信的dns服務，配合地址轉(zhuǎn)換系統(tǒng)實現(xiàn)網(wǎng)絡過渡。

3.3完成基于ipv6生產(chǎn)環(huán)境下等級保護基本要求的驗證，完成基于ipv6生產(chǎn)系統(tǒng)的等保測試

基于國家《信息系統(tǒng)安全等級保護基本要求》和《信息系統(tǒng)安全等級保護測評要求》，完成ipv6生產(chǎn)專網(wǎng)主機安全、網(wǎng)絡安全、應用安全和數(shù)據(jù)安全等完整測評，構建基于ipv6的安全防護體系。

3.4構建基于ipv6的綜合管理系統(tǒng)，實現(xiàn)ipv6生產(chǎn)專網(wǎng)整體態(tài)勢感知

在中國石油構建統(tǒng)一的ipv6生產(chǎn)專網(wǎng)綜合管理平臺，通過對網(wǎng)絡狀態(tài)、安全狀態(tài)、物聯(lián)網(wǎng)終端狀態(tài)等信息的收集、分析，實現(xiàn)油氣田井區(qū)、計量間、集輸站、聯(lián)合站、處理廠生產(chǎn)數(shù)據(jù)、設備狀態(tài)信息在作業(yè)區(qū)生產(chǎn)指揮中心及生產(chǎn)控制中心集中管理和控制。

3.5形成了一系列基于ipv6的網(wǎng)絡和安全標準規(guī)范

中國石油將項目建設過程中的管理規(guī)范、建設經(jīng)驗以及技術標準總結歸納，完成了16項ipv6標準規(guī)范的制定，申報《石油工業(yè)基于ipv6的網(wǎng)絡建設規(guī)范》行業(yè)標準，填補了我國在ipv6工業(yè)標準規(guī)范方面的多項空白。