本文選自《金融電子化》2020年2月刊
作者：中國農業銀行? 董楊林 任紅兵
中國農業銀行按照《金融行業關于貫徹<推進互聯網協議第六版（IPv6）規模部署行動計劃>的實施意見》的要求,積極履行作為國有大型商業銀行的社會責任,穩步開展全行IPv6部署工作。2019年12月19日，www.95599.cn域名正式對外提供IPv6服務，標志著中國農業銀行圓滿完成門戶網站IPv6改造工作，門戶網站包含的59個總分行域名全部對外提供IPv4和IPv6服務。截至目前，門戶網站系統運行穩定，各項技術指標正常。2019年12月23日至29日監控數據顯示，門戶網站訪問流量中，IPv4和IPv6流量分別為總流量的90%、10%。在人民銀行金融行業IPv6發展監測平臺改造情況排行榜中排名前列。
中國農業銀行在2018年互聯網應用改造試點基礎上，2019年1月啟動門戶網站IPv6改造，改造過程包括確定實施范圍、制定技術方案、系統改造及測試、系統上線四個部分。
一是確定實施范圍：按照“一行兩會”的《實施意見》的要求，發布《中國農業銀行IPv6部署工作方案》，明確全行部署工作按照四個階段開展。2019年為初期部署階段，工作內容是完成門戶網站等系統的IPv6部署工作。
二是制定技術方案：IPv6雖然經過多年發展，但是由于IPv6協議在設計上不兼容IPv4協議，IPv4無法訪問IPv6網絡，因此要實現現有生產系統平滑升級到IPv6網絡，包括系統、網絡、安全等多個方面改造內容。通過對雙棧技術、地址協議轉換、隧道技術三種IPv4-IPv6過渡技術方案分析，結合全行應用部署情況，確定門戶網站采用雙棧技術完成IPv6改造。
三是業務系統改造及測試：改造初期，制定《中國農業銀行IPv6改造技術指引》，為各相關改造系統提供技術指導。在改造工作中，測試是非常重要的環節，直接關系改造工作成功與否，具體包括業務功能，域名解析、單、雙棧測試、安全防護、運維監控等方面。
四是投產上線：為確保在上線過程中確保不影響IPv4業務，采取并行方式部署IPv6應用，在系統內部驗證后，分階段逐步發布IPv6服務。
中國農業銀行門戶網站IPv6改造技術方案包括總體架構、應用改造、配套設施建設三個方面內容。
1.總體架構
農業銀行門戶網站采用雙棧技術方案，主要有以下三點考慮：一是IPv4-only演進到IPv6-only不會一蹴而就，可以預見，IPv4-only、IPv6-only和IPv4/IPv6三種網絡環境的并存是一個必經且漫長的階段。二是雙棧模式下，所有節點均開啟雙棧，既可以以雙棧模式對互聯網（IPv4-only、IPv6-only和IPv4/IPv6）用戶提供服務，又能夠兼顧系統之間的關聯訪問場景，適用范圍廣。三是雙棧模式可以在不調整原有IPv4內網網絡，新增獨立專屬的負載均衡設備供IPv6接入，業務系統從IPv4逐步改造支持雙棧模式,并獨立部署支持IPv6客戶訪問，這樣保證了對原有IPv4業務不產生任何影響，平滑實現系統的改造。
IPv6改造技術改進過程中經過了兩階段演進：
階段一：新建IPv4/IPv6環境，與IPv4并行。新建IPv4/IPv6網絡，從外聯接入區設備、外聯應用區設備、應用服務器、操作系統、中間件、全部采用雙棧模式；同時初步完成應用雙棧改造，與原IPv4網絡形成并行運行狀態，即IPv4業務承載于IPv4網絡,IPv6業務承載于IPv4/IPv6網絡。
階段二：新環境接管IPv4流量，雙棧運行。在保障IPv4業務的可用性和安全性前提下，待IPv4/IPv6網絡運行平穩后，完成IPv4網絡、IPv4/IPv6網絡融合，實現全網全鏈路雙棧，即IPv4業務和IPv6業務統一承載于IPv4/IPv6網絡。此方案IPv4網絡和IPv4/IPv6網絡分別承載單棧業務，在風險可控的情況下，成功解決IPv4和IPv6兼容問題，平滑實現系統IPv6改造。最終演進的總體架構如圖所示。
圖? IPv6改造總體架構
2.應用改造
目前，農業銀行互聯網應用按照開發平臺劃分主要分為三類：.NET應用、Java應用、C語言應用。其中基于.NET、Java應用主要運行在Web容器（IIS、WAS）中對外提供HTTP服務。由于IP協議在七層網絡模型中位于網絡層，網絡層協議的變化，通過操作系統、Web容器的雙棧支持能實現應用系統對網絡層協議變化的屏蔽，.NET和Java應用改造的重點主要集中在因IPv6地址格式的變化引起的地址處理規則、地址空間等方面的應用層改造。如果應用系統調用底層網絡接口，則需要對應用系統做適應性改造以支持IPv4和IPv6。
應用系統改造工作具體包括：
首先是IP地址處理。IPv6地址使用冒號十六制表示：128位地址由冒號分割成8段，每段16位；由于IPv6地址支持壓縮前導零和連續幾段零壓縮為雙冒號的標識形式，地址標識與IPv4地址有較大差別。在存儲層，需要注意內存空間、存儲長度以滿足IPv6地址的長度要求；在應用邏輯處理層，需要對通過IP地址獲取地理位置信息規則進行更新；對利用IP地址當做集合類主鍵邏輯，如果缺乏地址表示格式調整，很容易就出現結果不正確的現象。需要高度重視因IP地址結構形式變化而帶來的應用改造工作。
其次是網絡編程。在使用底層網絡接口socket編程時，要注意gethostbyname，gethostbyname2和inet_aton等API對IP地址調用方式，避免缺少對IPv6的支持。
三是關聯系統訪問。關聯系統訪問，用域名代替直接使用IP地址硬編碼；同時后臺關聯系統要完成IPv6地址特性處理的相關改造，以適應消費方的變化。
3.配套設施建設
除應用和網絡改造，對IPv6配套設施建設采用與IPv4一致的標準。運維監控措方面，完成星云平臺監控，網絡旁路監控對IPv6的支持；同步建立面向IPv6基礎架構領域監控，包括網絡流量、負載均衡會話、服務器負載等；安全設備啟用對IPv6環境攻擊流量的監控和防護。
綜上所述，農業銀行門戶網站IPv6改造經驗如下。
一是加強負載均衡配置信息梳理及更新。實施過程中發現負載均衡配置信息中，存在部分應用系統信息不完善，無法找到系統聯系人，后續需要加強信息登記工作；同時，對于負載均衡F5的子目錄配置應用系統，需要及時做好下線應用子目錄清除，防止對后續工作造成困擾。
二是同一個域名不宜加載過多業務系統。一個域名下的業務系統過多會使得IPv6系統改造工作改造難度加大，關聯系統風險較難控制，需要在平常業務系統使用域名方面加強管控。
三是注意確認改造系統依賴的外購產品及組件對IPv6支持情況。對于外購系統以及密碼鍵盤、中間件、安全控件等組件，需要聯系廠家正式確認IPv6相關支持情況，并留有足夠的時間搭建環境對IPv6支持以及影響情況進行驗證測試。
四是將支持IPv6納入非功能需求架構管控。做好架構宣貫工作，將支持IPv6納入新建系統的非功能需求中，從制度上保障新系統滿足IPv6部署工作相關要求，防止邊改造邊污染。
五是對多系統共用域名情況在正式發布前進行確認。在發布關聯多個應用系統域名的IPv6服務時，確保所有關聯系統均完成改造和內部驗證，無新增不支持IPv6的系統，避免發布后發現問題造成全部關聯系統回退。
六是充分開展內部驗證以防范改造風險。在正式發布互聯網服務前，通過配置本地hosts解析域名IPv6地址的方式，對應用進行充分的驗證。滿足內網使用條件的，建議在內網對相關互聯網應用進行驗證，通過內部員工使用發現解決問題。
七是客戶端的驗證場景注意涵蓋單IPv4、單IPv6和雙棧環境。為保證提供的服務能夠最大限度的滿足用戶使用，在驗證測試時，需要涵蓋單IPv4、單IPv6和雙棧環境等三種客戶端場景。具體通過在客戶端設備上禁用IPv4協議以驗證單IPv6環境、禁用IPv6協議以驗證單IPv4環境，缺省情況為雙棧環境。
雖然說現在各大銀行都有手機銀行APP，但網上銀行也不可或缺，然而，今天卻遇到了問題：最新的Edge是不是不兼容ICBC？怎么輸不了密碼呢？
1、ICBC
銀行作為一種特殊機構，其產品的安全性是不言而喻的，相信大家都有一個共識：使用網銀頁面登錄，我們一般都需要安裝安全控件。
在Edge中默認打開中國工商銀行網銀登錄界面后，登錄密碼框中提示“請您點擊安裝網銀控件，并重啟瀏覽器”
2、點擊之后，Edge打開了一個新的界面
左上角顯示為中國工商銀行密碼擴展，最近都更新是2021年8月9日，右側的“獲取”按鈕雖然是灰色的，但是是可以點擊的
3、獲取這個控件，并且添加到擴展中
4、到這里，我重啟啟動了瀏覽器，然后果然，Edge的右上角出現了ICBC的小圖標：
當然這個小圖標只有在瀏覽中國工商銀行相關的網頁時才會點亮為紅色。
5、下面按理說應該可以輸密碼登錄了，可以看到密碼輸入處已經沒有提示安裝控件的小字了，然而密碼框里輸入不了內容！
其他地方，包括卡號、驗證碼等都可以正常輸入，唯獨密碼處不好使。
6、不清楚為什么，這時，注意到登錄按鈕下方又兩行提示：
難道還要安裝“工行網銀助手”？
7、我點擊了“安裝更新”，但Edge卻提示無法安全下載？
為什么是無法安全下載？
8、這個問題還好解決，手動點擊繼續，把這個“網銀安全助手”下載到本地，然后運行安裝程序：
9、安裝完成后，這個工行網銀助手檢測了系統環境，因為有“一鍵設置網銀環境”這個功能，所以點擊下去，基本上需要裝的控件就自動裝上了
10、本以為這樣就可以了，可是回到Edge中，密碼框中依舊無法輸入密碼！
而且下方提示安裝網銀助手的小字依然存在，這是什么意思？
11、這時，根據前幾天安裝Edge時微軟官網的介紹，Edge是一款雙引擎的瀏覽器，特別是對于老的網頁可以開啟“Internet Explorer”，即IE內核模式，我想換個模式再試試
設置的地方就在Edge的“設置”-“默認瀏覽器”中
12、可是無論右側的選項選擇什么，都不能解決無法輸入密碼的問題！
這時也許好的辦法是換一個瀏覽器，于是我又打開了谷歌Chrome
更加嚴重的問題出現了，在谷歌Chrome瀏覽器里，無論是沒安裝網銀控件前，還是安裝了網銀控件后，頁面上始終顯示“請您點擊安裝網銀控件、并重啟瀏覽器”
即使是重啟瀏覽器、重啟計算機都不行！
13、沒有辦法輸入密碼就沒有辦法登錄網銀，你有沒有遇到同樣的問題呢？
結局是什么？
我還是在普通的IE中完成了登錄……
最后，通過瀏覽器開發者工具，我竟然明確得知了ICBC到底支持什么瀏覽器：
Windows操作系統：IE7以上版本瀏覽器（暫不含EDGE瀏覽器）
Chrome瀏覽器：38版本-41版本
怎么看這個EDGE這么熟呢，它不就是Edge瀏覽器，原來根本不支持Edge啊！
至于Chrome，現在94版本的Chrome早已不能支持了……