轻型双栈（DS-Lite）合法用户验证技术要求.docxVIP

ICS33.040.40CCSM19

YD

中华人民共和国通信行业标准

YD/TXXXXX—XXXX

轻型双栈（DS-Lite）合法用户验证

技术要求

TechnicalrequirementforDS-liteuserverifying

（报批稿）

XXXX-XX-XX发布XXXX-XX-XX实施

中华人民共和国工业和信息化部发布

原创力主页地址：“与您共享”点击链接

主要内容：地方标准、行业标准、团体标准

免费获取可以联系qq：1328313560

分享二维码：扫码后搜素需要的关键字即可。比如：

原创力主页地址：“与您共享”点击链接

主要内容：地方标准、行业标准、团体标准

免费获取可以联系qq：1328313560

分享二维码：扫码后搜素需要的关键字即可。比如：

YD/T××××—××××

I

目次

前言 Ⅱ

1范围 1

2规范性引用文件 1

3缩略语 1

4概述 1

5技术要求 2

YD/T××××—××××

II

前言

本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本文件由中国通信标准化协会提出并归口。

本文件起草单位：中国电信集团有限公司。

本文件主要起草人：周生龙、赵晓宇、徐洪磊。

1

YD/TXXXXX—XXXX

轻型双栈（DS-Lite）合法用户验证技术要求

1范围

本文件针对传统轻型双栈（DS-Lite）环境中地址族过渡路由器单元（AFTR）设备公网地址容易被探测易产生安全隐患的问题，定义了一种对网关基本桥接宽带单元（B4）隧道建立请求进行合法性检测的方法，提升AFTR设备的安全防护能力。

本文件适用于轻型双栈过渡技术中局端AFTR设备的安全部署。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

IETFRFC6333IPv4地址枯竭后的DS-Lite宽带部署(Dual-StackLiteBroadbandDeploymentsFollowingIPv4Exhaustion)

IETFRFC7596轻量级4over6:双栈精简架构的扩展(Lightweight4over6:AnExtensiontotheDual-StackLiteArchitecture)

3缩略语

下列缩略语适用于本文件。

AAA：验证、授权和记账（Authentication、Authorization、Accounting）

AFTR：地址族过渡路由器单元（AddressFamilyTransitionRouter）

B4：网关基本桥接宽带单元（BasicBridgingBroadBand）

BRAS：远程宽带接入服务器（BroadbandRemoteAccessServer）

DS-Lite：轻型双栈（Dual-StackLite）

FQDN：完全合格域名（FullyQualifiedDomainname）

PPP：点到点协议（Point-to-PointProtocol）

4概述

轻型双栈(DS-Lite)是一种用户接入领域的过渡技术，采用IPv4inIPv6隧道技术，运营商只需要为用户分配IPv6地址，既可以实现用户的双栈上网。此技术见IETFRFC6333，IETFRFC7596也对其架构进行扩展，通过引入轻量级的4over6的转换机制，改进了DS-Lite的性能和可扩展性，以更好地支持IPv4到IPv6的过渡。

YD/T××××—××××

2

图1合法用户上线

随着IPv6日益普及，轻型双栈作为现网主推的过渡技术方案其部署规模将迅速扩大，然而由于AFTR使用公网地址对外提供服务，且该地址很容易被公众用户得到，而AFTR并未对来自B4的隧道建立请求进行任何合法性检测，因此存在一定的安全隐患。

图2非法用户入侵

在传统的DS-Lite环境中，用户（B4）发起PPP连接并取得AFTR的FQDN域名后，即可向AFTR发起隧道建立请求,如图1所示；而AFTR并未对来自B4的隧道建立请求进行任何合法性检测，使用公网地址的AFTR网关设备将会很容易受到各