IPv6网络设备安全技术要求 第1部分：核心路由器 征求意见稿.docx

7

GB/TXXXXX.1—XXXX

IPv6网络设备安全技术要求和测试方法第1部分：路由器

1范围

本文件提出了支持IPv6能力的路由器的安全架构，确立了数据平面、控制平面、管理平面等安全技术要求。

本文件适用于支持IPv6能力的路由器设备的设计、开发和测试。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T25069信息安全技术术语

GB/T41268-2022网络关键设备安全检测方法路由器设备

GB/T41269-2022网络关键设备安全技术要求路由器设备

3术语和定义

GB/T25069界定的以及下列术语和定义适用于本文件。

3.1

路由器router

通过转发数据包来实现网络互连的、工作在IP层上的网络设备。

注：

1）路由器基于路由协议机制和算法来选择路径或路由以实现建立和控制网络间的数据流，网络自身可以基于不同的网络协议。

2）本文出现的路由器包含核心路由器和边缘路由器，核心路由器位于网络骨干层，边缘路由器位于网络边缘。

4缩略语

下列缩略语适用于本文件。

ACL：访问控制列表（AccessControlList）

AH：认证头（AuthenticationHeader）

AS：自治系统（AutonomousSystem）

BGP：边界网关协议（BorderGatewayProtocol）

BGP4+：IPv6边界网关协议（BorderGatewayProtocolforIPv6）

CLI：命令行接口（command-lineinterface）

CGA：加密生成地址（CryptographicallyGeneratedAddress）

CPU：中央处理器（CentralProcessingUnit）

DAD：重复地址探测（DuplicateAddressDetetion）

8

GB/TXXXXX.1—XXXX

DoS：拒绝服务（DenialofService）

DDoS：分布式拒绝服务（DistributedDenialofService）

DUT：被测设备(DeviceUnderTest)

ESP：封装安全载荷（EncapsulationSecurePayload）

FlowSpec：流量规范（FlowSpecification）

HMAC：散列消息验证码（HashedMessageAuthenticationCode）

ICMPv6：互联网控制管理协议版本6（InternetControlManagementProtocolversion6）

IKE：互联网密钥交换（InternetKeyExchange）

IPv6：互联网协议版本6（InternetProtocolVersion6）

IPsec：互联网协议安全（InternetProtocolSecurity）

IS-IS：中间系统到中间系统（IntermediateSystemtoIntermediateSystem）

LAND：局域网拒绝服务（LocalAreaNetworkDenial）

MAC：媒质访问控制（MediaAccessControl）

MD5：消息摘要版本5（MessageDigestVersion5）

MPLS：多协议标记交换（Multi-protocolLabelSwitching）

NA：邻居通告（NeighborAdvertisement）

ND：邻居发现（NeighborDiscovery）

NUD：邻居不可达探测（NeighborUnreachabilityDetection）

NS：邻居请求（NeighborSolicitation）

OSPF：开放最短路径优先版本3（OpenShortestPathFirst）

PIMv6：协议无关多播（ProtocolIndependentMulticastVersion6）

RA：路由器通告（RouterAdvertisement）

RIPng：下一代路由信息协议（RoutingInformationProtocolNextGeneration）

ROA：路由来源授权(RouteOriginationAuthorization）

RPKI：资源公钥基础设施(ResourcePublicKeyInfrastructure）

RS：路由器请求（RouterSolicitation）

RSA：RSA算