如何从RIPE NCC获得IPv6 /48分配：完整指南

在现代网络架构中，依赖上游互联网服务提供商（ISP）提供的动态分配或不可移植的IPv6地址空间会导致供应商锁定，使灾难恢复复杂化，并阻碍运营商中立的多归属。

An IPv6 /48 被全球交通网络和互联网交换点（IXP）广泛认可为公共BGP路由的最小分配边界。虽然IPv6寻址边界可扩展至 /64 （标准的单子网分配在SLAAC下），Tier-1运营商和自治系统普遍过滤超过的前缀 /48 （例如 /56 或 /64）以防止全局路由表出现无限制的膨胀。

通过直接通过RIPE NCC（欧洲IP网络协调中心）获得独立的IPv6分配，组织可以获得：

1. 提供者獨立性（PI）： 无需重新编号内部网络、基础设施或边缘服务即可更改运输承运商或上游供应商的自由
2. 真正的BGP多归属： 同时向两个或多个交通运营商广告您的路线，优化延迟和故障转移。
3. 分布式安全与信任： 直接的加密来源验证（RPKI ROA）和反向DNS的行政控制ip6.arpa）委派。

理解RIPE NCC政策：分配与指派

在提交请求之前，必须了解RIPE NCC IPv6地址分配和分配政策中定义的术语区别：

• 分配（PA – 提供商可聚合）： 旨在进一步细分和分发给下游客户或内部业务部门的区块。这些通常颁发给本地互联网注册机构（LIRs），从 /29 或 /32.
• 任务（PI - 供应商独立）： 直接分配给最终用户组织，用于其自身的专用运营基础设施的区块。这些前缀不能进一步分配给第三方。

对于寻求独立的组织、家庭实验室或企业 /48，您将主要寻求一个独立提供者（PI）的分配，注册在一名 inet6num 状态为的物件 指派的PI （或 由LIR分配 根据合同结构。

选择您的路径：直接LIR会员资格与赞助LIR

RIPE NCC 为最终用户提供了两种机制来保护资源：

建议： 除非你的组织预计将成为商业互联网注册机构或需要大量 /29–/32 聚合，与赞助的LIR签约是获得的最标准、最经济的方法 /48.

强制性先决条件

根据RIPE NCC的标准，申请IPv6分配的请求实体必须满足三个主要要求：

A. 多归属意图的演示

RIPE NCC政策要求，请求独立前缀的终端用户必须证明其有意对前缀进行多归属。这可以通过以下方式证明：

• 运营或购买自治系统编号（ASN）
• 提供主动或计划中的对等/传输安排与 至少两个不同的自治系统.

B. 法律地位在RIPE NCC服务区域内

申请人（最终用户组织）必须在RIPE服务区域内合法设立（涵盖欧洲、中东和中亚部分地区）。如果通过担保LIR签约，担保协议要求：

• 官方公司注册文件（例如，公司成立证书、KVK、商业登记册、公司注册处摘录）。
• 如果申请方为国际母公司，需提供运营或基础设施存在的证明。

C. 技术定位计划

你必须准备好阐述一个基本的地址方案，以证明该 /48 将在12个月内用于网络段（例如，边缘路由器、DMZ、内部服务、VPN网关、站点到站点隧道）中。

分步获取生命周期

1.第一步：创建RIPE NCC访问帐户和维护者对象：在RIPE Whois数据库中建立身份。

首先在RIPE NCC访问门户上创建一个管理配置文件。认证后，构建您的基础Whois数据库对象：

• 人 或 角色 对象： 定义了行政和技术联系人（包括电子邮件和邮政地址）。
• mntner （维护者）对象： 使用身份验证（单点登录、PGP密钥或密码哈希）保护您的对象。每个后续对象（inet6num, route6, 域名）将引用此维护者。
• 組織 对象： 代表持有IP资源的法律实体。

2.第二步：联系一个赞助的LIR并执行协议：正式将应用程序委托给活动注册表。

选择一个已建立的赞助LIR。您将需要执行标准化的RIPE终端用户分配协议。

本合同在法律上约束您的组织遵守RIPE政策，并确认如果赞助协议在未转给新赞助商的情况下终止，资源将归还给RIPE NCC。

3.第三步：正式申请及子网计划提交：通过LIR门户提交技术论证。

您的赞助LIR通过RIPE LIR门户提交资源请求。提交的关键参数包括：

• 目标前缀长度： /48
• 持有者组织ID和维护者处理（由, mnt-routes, mnt-域名)
• 上游多归属详细信息：目标源ASN以及至少两个传输提供商或IXP对等方的名称。
• 部署计划：高层次子网分配计划（例如，10到50） /64 子网部署在多个位置。)

4.第4步：票证审核与前缀生成：RIPE Hostmasters 验证并分配前缀。

RIPE网络管理员根据现行的政策指南对请求进行评估（通常在1至3个工作日之内）。批准后：

• RIPE从其保留池中分配一个未分配的块（例如， 2a0f:...::/48 或 2a10:...::/48).
• 相应的 inet6num 对象在全局RIPE Whois数据库中创建，带有您的维护者和组织处理程序。

5.第5步：RPKI验证、路由对象和DNS委派：在宣传前确保路由完整性

登录到RIPE LIR或Access仪表板以建立：

• RPKI ROA（路由起源授权）： 加密绑定分配的 /48 将您的起始ASN与MaxLength /48.
• route6 对象： 在RIPE IRR（互联网路由注册表）中创建路由注册对象，以确保自动的上游前缀过滤器允许您的公告。
• 反向DNS委派： 指向相应的 ip6.arpa 域名对象到您的权威名称服务器。

分配后的技术配置

一旦前缀在Whois数据库中可见，执行以下操作任务，以便在整个互联网上使用该区块。

创建IRR route6 对象

公共交通运营商使用工具生成前缀过滤器，例如 bgpq4 通过查询IRR数据库（RIPE、RADB、NTT）。没有准确的 route6 对象，您的BGP会话将被拒绝或过滤掉。

route6:         2a0f:xxxx:xxxx::/48
descr:          生产任何播和核心路由
origin:         AS65530
mnt-by:         YOUR-MNT
source:         RIPE

实施RPKI ROA

RPKI（资源公钥基础设施）可防止BGP路由劫持和配置错误。

• 在 RIPE NCC 访问仪表板 -> RPKI仪表板:
  • 设置 原始ASN: 您的操作ASN（例如， AS65530).
  • 设置 前缀: 2a0f:xxxx:xxxx::/48.
  • 设置 最大长度: 48 （重要：避免将最大长度设置为 /64 除非特别要求，宽松的最大长度配置会为子前缀劫持打开攻击面).

建立上游BGP对等连接

通过动态路由引擎（例如 BIRD2、FRRouting、Junos 或 Cisco IOS-XR）向你的 BGP 上游邻居通告你的聚合前缀。

示例：BIRD 2 配置片段

示例：BIRD 2 配置片段

协议 静态 {
    ipv6;
    # 路由整个 /48 本地黑洞以防止循环
    路线 2a0f:xxxx:xxxx::/48 黑洞;
}

过滤器 导出到中转 {
    # 仅宣布确切的 /48 分配
    如果 （net = 2a0f:xxxx:xxxx::/48) 然后 {
        接受;
    }
    拒绝;
}

协议 bgp upstream_transit_a {
    本地 as 65530;邻居 2001:db8:100::1 作为 64496;
    ipv6 {
        导入 全部；
        导出 过滤导出到中转;
    };
}

地址和子网架构 /48

An IPv6 /48 前缀提供一个 16-bit subnet field，授予确切的 65,536 个不同的 /64 子网。因为标准的IPv6终端用户段、VLAN和VPN池应始终使用 /64 为了保持与RFC规范、邻居发现和硬件卸载的兼容性，a /48 为结构化分层设计提供了巨大的空间：

  全局前缀（48位）         子网ID（16位）     接口ID（64位）
[ 2a0f : xxxx : xxxx ] : [     站点/ VLAN / 桶     ] : [ 主机 / EUI-64 / SLAAC ]

• 0000–00FF （前256个子网）： 核心基础设施、点对点路由器链接和环回接口。
• 0100–0FFF: 内部企业局域网，管理段，服务器VLAN。
• 1000–7FFF: 面向公众的生产集群、入口控制器、任播服务。
• 8000–FFFF: 远程站点隧道、分支机构和动态WireGuard/IPsec覆盖层。

常见陷阱与合规提醒

1. 未能维持赞助商关系： 如果您的赞助LIR停止运营或您未能支付年度维护费用，RIPE NCC将启动无赞助宽限期。您必须在规定的时间段内（通常为30–60天）将分配转交给新赞助商，否则该分配将被撤销并返回到公共池中。
2. 广告长度超过 /48: 尝试取消对您的聚合 /48 分成两部分 /49三或四 /50用于跨全球互联网的流量工程的s将失败；几乎所有的Tier-1和Tier-2国际传输运营商都在主动过滤小于的IPv6公告 /48.
3. 忽略反向DNS委派： PTR记录设置的省略 ip6.arpa 可能导致出站邮件传递失败、身份验证拒绝以及企业安全工具强制执行正向确认反向DNS（FCrDNS）时的连接超时。