YD_T 2837-2015基于IPv6的下一代互联网域名服务配置安全技术要求.pdf

ICS 35.110M 11YO中华人民共和国通信行业标准YD/T2837-2015基于IPv6的下一代互联网域名服务配置安全技术要求Securitytechnical requirements fordomain name serviceconfiguration ofthe IPv6 based next generation internet2015-04-30发布2015-07-01实施中华人民共和国工业和信息化部发布 YD/T 2837-2015中华人民共和国通信行业标准基于IPv6的下一代互联网域名服务配置安全技术要求YD/T民邮电出版社出版发行北京市丰台区成寿寺路11号郏电出服大厦邮政编码：100164北京康利胶印广印制版权所有不得翻印开本;880×12301/162015年12月第1版串张： 0.752015年12月北京第1次印字款：16千字15115 · 712定价：10元本书如有印装质量问题，请与本杜联系电话：(010 YD/次前言·引言1范围·2规范性引用文件3术语、定义和缩略语3.1术语和定义3.2缩略语4IPv6网络域名服务协议现状及存在的间愿4.1IPv6网络域名系统体系结构4.2IPv6网络域名系统资源记录*4.3IPv6网络域名系统网络模型.4.4IPv6网络域名系统存在的间题…5IPv6网络域名服务配置安全技术要求5.1IPv6网络域名服务权威服务器配置安全技术要求5.2IPv6网络域名服务递归服务器配置安全技术要求5.3IPv6网络域名服务解析器配置安全技术要求5.4IPv6网络域名服务区文件配置安全技术要求5.5IPv6网络域名服务DNS消息传输配置安全技术要求 YD/言本标准是“基于IPv6的下一代互联网域名安全管理技术”系列标准之一。该系列标准的结构和预计名称如下：1）基于IPv6的下一代互联网DNSSEC数据包安全技术要求2）基于IPv6的下一代互联网DNSSEC数据包安全检测要求3）基于IPv6的下一代互联网域名服务配置安全技术要求4）基于IPv6的下一代互联网域名服务配置安全检测要求5）基于IPv6的下一代互联网中文域名注册和实现安全技术要求6）基于IPv6的下一代互联网中文域名注册和实现安全检测要求本标准按照GB/T1.1-2009给出的规则起草。请注意：本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国科学院计算机网络信息中心（中国互联网络信息中心）、国家计算机网络应急技术处理协调中心。本标准主要起草人：义邓光青、姚健康、孔宁、沈烁、舒敏、陈悦。II YD/言随着基于IPv6的下一代互联网的不断发展，域名系统作为核心的互联网基础设施越来越成为维护互联网安全稳定的重要环节。但DNS权威服务器的某些错误配置会严重影响IPv6相关资源记录的查询，并进而导政IPv4域名解析服务不可用，甚基至引发严重的域名解析延退以及拒绝服务攻击。随着IPv6部署范围的不断扩大，域名服务中IPv6相关资源记录的配置安全问题显得更为突出。目前国内外尚无任何针对下一代互联网域名服务IPv6配置的安全标准。本标准旨在从操作层面上提供下一代互联网域名服务IPv6安全配置的客观标准和执行方法，Ⅲ YD/T于IPv6的下一代互联网域名服务配置安全技术要求1范围本标准规定了域名服务IPv6配置安全技术要求。本标准适用于互联网相关的域名服务系统，2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T名系统运行总体技术要求IETF RFC 1884IPv6寻址体系结构3术语、定义和缩略语3.1术语和定义YD/T2135-2010界定的以及下列术语和定义适用于本文件。3.1.1正向解析记录：AAAA用来存储一个IPv6地址，在域名服务解析记录中该类型的值是28（十进制），传输格式是一个128位的IPv6地址（网络顺序）。IETFRFC1884中定义了AAAA记录的文本表示格式，下面是一条AAAA资源记录文本示例： 36400 IN AAAA 2001:238:882:0:248:54ff:fe53:d3ee3.1.2与AAAA记录对应的反向解析记录用来存储一个IPv6地址对应的域名，其IPv6地址使用“，”分割的半字节十六进制数字表示，低位地址在前，高位地址在后，域后级是“IP6.ARPA”3.2缩略语下列缩路语适用于本文件。DNSDomain Name Sys