Mapping of Address and Port (MAP): ще одна технологія для співіснування протоколів IPv4 та IPv6

Нещодавно Cisco виклала на своєму сайті статтю про технологію Technical Guide to Mapping of Address and Port (MAP). З якоїсь причини за декілька днів ця стаття зникла з сайту і за наведеним посиланням ви вже її не знайдете (даю посилання на випадок, якщо вилучення було помилковим і стаття незабаром з'явиться знову на старому місці). Втім, я встиг зробити нотатки :-) Пропоную стисле резюме.

Запропонована Cisco технологія MAP призначена для використання в мережах доступу Інтернет-провайдерів і покликана забезпечити  доступність для користувачів IPv4-ресурсів в умовах, коли транспортну мережу провайдера вже переведено повністю на IPv6. Рішення базується на перетворенні IPv4-пакетів у IPv6-пакети для передачі по IPv6-мережі і зворотньому перетворені на виході з цієї мережі.

Перетворення базується на збереженні інформації про L3-адреси та номери TCP/UDP L4-портів IPv4-пакетів у адресах та портах IPv6-пакетів (звідси назва -- mapping of address and port, тобто відображення адрес та портів). Пристрої на боці користувача (Customer Edge, CE) та маршрутизатор на кордоні провайдерської мережі (Border Relay, BR) сумісно здійснюють MAP. Користувачі отримують підтримку як IPv4, так і IPv6, в той час, як по мережі провайдера передаються лише пакети IPv6.

У технології MAP є два різновиди:

• MAP-E (encapsulation) -- інкапсуляція пакетів IPv4 в пакетах IPv6

• MAP-T (translation) -- трансляція пакетів IPv4 у пакети IPv6, за якого адреси IPv4 кодуються у адресах IPv6

Ідея технології MAP полягає у забезпеченні взаємного відображення пакетів між IPv4 та IPv6 незалежно від стану сесії (stateless). Це забезпечує ефективну реалізацію та масштабованість (на відміну, наприклад, від CGN).

Однією з переваг MAP є так звана агрегаційна модель -- використання розширеного поняття адресного простору, в якому у якості адреси фактично використовується комбінація 32-бітової IPv4-адреси та 16-бітового номеру TCP/UDP L4-порта. Неперервний простір, утворений такими адресами здатен бути розподілений між користувацькими пристроями за допомогою принципу, що є еквівалентним CIDR для IPv4.

MAP здійснює відображення, подібне до NAT44, яке, втім, відрізняється від традиційних NAT44 або NAT444. Замість надання блоку публічних IPv4-адрес кожному користувацькому пристрою (NAT) або однієї IPv4-адреси (PAT), використовуються комбінації з IPv4-адрес та діапазонів L4-портів. Тобто, різні користувацькі пристрої можуть використовувати спільну IPv4 адресу та різні діапазони L4-портів. Унікальні комбінації адрес+портів використовуються користувацькими пристроями, які реалізують MAP, для відображення у IPv6-адреси. Алгоритм MAP зберігає можливість призначення виділеної IPv4-адреси або навіть діапазону адрес одному користувацькому пристрою.

Втім, головною перевагою MAP є відсутність необхідності відслідковування стану сесій у трансляціях пакетів, адже процедура полягає лише в однозначному перетворені між комбінаціями IPv4-адрес та портів з одного боку і IPv6-адрес та портів з іншого. Обробка виконується "на лету" з високою продуктивністю, відсутні обмеження у кількості підтримуваних сесій на зразок NAT44 або Dual-stack light (DS-Light).

MAP забезпечує гнучкість топології трас передачі пакетів, зокрема, можлива асиметрія у відображеннях в бік провайдерського MAP-маршрутизатора та від нього. Має місце також краща стійкість (пружність), зокрема, до DDOS атак за рахунок атоматичної зворотньої (reverse) перевірки на предмет підміни джерела.

MAP-T та MAP-E функціонують подібно один до одного, втім, оскільки MAP-E не здійснює інкапсуляції/декапсуляції, він характеризується дещо меншими накладними витратами. До того є й інщі відмінності між MAP-T та MAP-E, пов'язані з підтримкою QoS, ICMP, фрагментації.

MAP являє собою альтернативу до таких технологій співіснування IPv4 та IPv6, як Обмежений Подвійний Стек (Dual-Stack Lite, DS-Lite) та Обмежений транспорт 4поверх6 (Lightweight 4over6). Порівняємо ці технології з MAP. 

DS-Lite. Користувацькі пристрої будують IPv4-поверх-IPv6 тунелі до провайдерського тунельного концентратора, який відомий під назвою Міжпротокольного Перехідного Маршрутизатора (Address-Family Transition Router, AFTR). AFTR контролює стан сесій користувачів та здійснює трансляцію NAT44. Проблемою DS-Lite є підтримка великої кількості тунелів, адже контроль стану сесій вимагає додаткових ресурсів.

Lightweight 4over6. Функціонально подібний до DS-Lite, проте намагається полегшити навантаження на AFTR за рахунок перенесення NAT на користувацькі пристрої. Очевидно, для цього необхідне відповідне забезпечення (provisioning) користувацьких пристроїв зовнішніми IPv4 адресами та діапазонами портів. До того ж AFTR має зберігати відповідність запропонованих користувацьким пристроям IPv4 адрес до IPv6 адрес, які використовують ці пристрої. Метод потребує синхронізації даних між AFTR та системою забезпечення (provisioning system) та не підтримує деякі топології, наприклад, взаємодію між користувачами повз AFTR.

Джерела

1. Mapping of Address and Port Using Translation 
2. Mapping of Address and Port
3. Carrier-grade NAT