YD/T ××××—×××× BGPsec技术要求 自治系统（AS）迁移的 BGPsec协议支持要求 Technical specification for BGPsec - BGPsec considerations for Autonomous System （AS） migration （报批稿） 202×-××-××发布 中华人民共和国工业和信息化部 发 布YD 202×-××-××实施中华人民共和国通信行业标准ICS 33.040.40 CCS L78YD/T XXXXX—XXXX I目 次 前 言 .............................................................................. II 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语、定义及缩略语 ................................................................... 1 3.1 术语和定义 ....................................................................... 1 3.2 缩略语 ........................................................................... 1 4 概述 ................................................................................. 2 5 AS迁移场景 .......................................................................... 2 6 RPKI中AS迁移的潜在问题 ............................................................. 2 7 AS迁移解决方案 ...................................................................... 3 7.1 解决方案要求 ..................................................................... 3 7.2 解决方案 ......................................................................... 3 7.3 其他注意事项 ..................................................................... 4 附录A（资料性） 注意事项 .............................................................. 5 附录B（资料性） BGPsec验证及与 ASN迁移的交互 .......................................... 6 附录C（资料性） AS迁移示例 ............................................................ 8 YD/T XXXXX—XXXX II前 言 本文件按照GB/T 1.1-2020 《标准化工作导则 第1部分：标准化文件第结构和起草规则 》的规则起 草。 本文件是《 BGPsec技术要求》系列标准之一，该系列标准已发布如下标准： ——《BGPsec技术要求 BGPsec操作要求》； ——《BGPsec技术要求 路由器密钥管理》； ——《BGPsec技术要求 路由器证书轮转》； ——《BGPsec技术要求 算法、密钥格式和签名格式》； ——《BGPsec技术要求 BGPsec路由器证书》； ——《BGPsec技术要求 自治系统（ AS）迁移的 BGPsec协议支持要求》。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会出并归口。 本文件主要起草单位 ：暨南大学，中国互联网络信息中心，齐鲁工业大学 ，广东盈世计算机科技有 限公司，中国信息通信研究院，北京邮电大学，中国电信集团有限公司。 本文件主要起草人 :翁健，刘东杰，张新常，耿光刚，曾国强，张继连，官全龙，吴秀诚，关建峰， 黄韬，姚健康，延志伟，赖泽桐，赵锋，杨安家，孔凯传，黄衍铭，冯丙文，陈华南。YD/T XXXXX—XXXX 1BGPsec技术要求 自治系统（ AS）迁移的BGPsec协议支持要求 1　范围 本文件规定BGPsec协议下支持自治系统 （AS）安全迁移的注意事项和解决方案 。主要内容包括 ：RPKI 注意事项、源验证、路径验证、出战解决方案、入站解决方案。 同时规定了 BGPsec协议框架下对自治 系统（AS）安全迁移操作的支持，确保不会在迁移过程中造成不可接受的安全风险。 本文件适用于BGPsec协议下自治系统（ AS）的安全迁移。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 RFC5065 BGP自治系统联邦 （Autonomous System Confederations for BGP） RFC7705 自治系统迁移机制及其对 BGP AS_PATH属性的影响 （Autonomous System Migration Mechanisms and Their Effects on the BGP AS_PATH Attribute ） RFC8205 BGPsec协议规范 （BGPsec Protocol Specification ） RFC8206 自治系统（ AS）迁移的BGPsec考虑 （BGPsec Considerations for Autonomous System （AS） Migration ） 3　术语、定义 及缩略语 3.1　术语和定义 下列术语和定义适用于本文件。 3.1.1　边界网关协议 border gateway protocol 互联网上一个核心的去中心化自治路由协议。 它通过维护 IP路由表或“前缀”表来实现自治系统 （AS）之间的可达性，使用基于路径、网络策略或规则集来决定路由，属于矢量路由协议。 3.1.2　边界网关协议安全策略 border gateway protocol security 一种为边界网关协议路由通告提供路径安全性的机制。 BGPsec通过增加一种新的路由证书，要求 每一个 AS都对它接收到的路由通告消息进行签名， 签名内容作为路由消息的路径属性 BGPsec_Path_Signatures 通告给邻居 AS。BGPsec与RPKI全面保障了 BGP协议的安全性，防止路由劫 持（前缀劫持、路径篡改 ）。 3.1.3　资源公钥基础设施 resource public key infrastructure 一项旨在使互联网路由基础设施更安全的公开密钥基础建设（ PKI）框架，为将互联网码号资源信 息（如自治系统号码和 IP地址）连接到一个信任锚提供了一种方式。 YD/T XXXXX—XXXX 23.2　缩略语 以下缩略语适用于本文件。 BGP:边界网关协议（ Border Gateway Protocol ） BGPsec:边界网关协议安全策略（ Border Gateway Protocol Security ） RPKI:资源公钥基础设施（ Resource Public Key Infrastructure ） iBGP:内部边界网关协议（ Internal Border Gateway Protocol ） eBGP:外部边界网关协议（ External Border Gateway Protocol ） ROA:路由起源验证（ Route Origin Authorization ） AS:自治系统（ Autonomous System） PE:提供商边缘设备（ Provider Edge） CE:客户边缘设备（ Customer Edge） SP:服务供应商（ Service Provider ） ASBR:自治系统边界路由器（ Autonomous System Border Router） 4　概述 RFC7705的第2节描述了一种管理 BGP自治系统编号 （以下简称 “ASN”）迁移的方法 。由于它涉及 AS_PATH 属性的处理，因此应 确保BG