YD/T ××××—×××× BGPsec技术要求 BGPsec操作要求 Technical specification for BGPsec - Operational considerations （报批稿） 202×-××-××发布 中华人民共和国工业和信息化部 发 布YD 202×-××-××实施中华人民共和国通信行业标准ICS 33.040.40 CCS L78YD/T XXXXX—XXXX I目 次 前 言 .............................................................................. II 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语、定义及缩略语 ................................................................... 1 3.1 术语和定义 ....................................................................... 2 3.2 缩略语 ........................................................................... 2 4 概述 ................................................................................. 2 5 RPKI分发和维护 ...................................................................... 3 6 自治系统 /路由器证书操作要求 .......................................................... 3 7 网络内部操作要求 ..................................................................... 3 8 边缘站点注意事项 ..................................................................... 3 9 路由器策略操作要求 ................................................................... 4 10 其他操作要求 ........................................................................ 4 II前 言 本文件按照 GB/T 1.1-2020 《标准化工作导则 第1部分：标准化文件第结构和起草规则 》的规则起 草。 本文件是《 BGPsec技术要求》系列标准之一，该系列标准已发布如下标准： ——《BGPsec技术要求 BGPsec操作要求》； ——《BGPsec技术要求 路由器密钥管理》； ——《BGPsec技术要求 路由器证书轮转》； ——《BGPsec技术要求 算法、密钥格式和签名格式》； ——《BGPsec技术要求 BGPsec路由器证书》； ——《BGPsec技术要求 自治系统（ AS）迁移的 BGPsec协议支持要求》。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会出并归口。 本文件主要起草单位：暨南大学，中国互联网络信息中心，北京邮电大学，中国信息通信研究院， 中国电信集团有限公司。 本文件主要起草人 ：耿光刚，黄韬，延志伟，关建峰，姚健康，翁健，赵锋，古天龙，刘明，区小 莹，张银炎，张继连，曾国强，尉迟学彪，陈勇，孔凯传，黄衍铭，陈华南。 YD/T XXXXX—XXXX 1BGPsec技术要求 BGPsec操作要求 1　范围 本文件规定 了BGPsec体系架构，收集并描述在协议部署过程中最关键、最通用的操作注意事项， 包括：AS/路由器证书管理，边缘站点管理、路由策略等。 本文件适用于 BGPsec体系架构及其协议的部署过程。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 RFC5065 BGP自治系统联邦 （Autonomous System Confederations for BGP） RFC5905 网络时间协议版本 4：协议和算法规范 （Network Time Protocol Version 4: Protocol and Algorithms Specification ） RFC6480 支持安全互联网路由的基础设施 （An Infrastructure to Support Secure Internet Routing） RFC6481 资源证书资源库机构的配置文件 （A Profile for Resource Certificate Repository Structure ） RFC6493 互联网码号资源公钥基础设施（ RPKI）联系人信息记录 （The Resource Public Key Infrastructure （RPKI） Ghostbusters Record） RFC6811 BGP前缀起源确认 （BGP Prefix Origin Validation ）） RFC6916 RPKI的算法敏捷程序 （Algorithm Agility Procedure for the Resource Public Key Infrastructure （RPKI）） RFC7115 基于RPKI的起源验证操作 （Origin Validation Operation Based on the Resource Public Key Infrastructure （RPKI）） RFC7730 RPKI信任锚点定位器 （Resource Public Key Infrastructure （RPKI） Trust Anchor Locator） RFC8205 BGPsec协议规范 （BGPsec Protocol Specification ） RFC8206 自治系统 （AS）迁移的BGPsec协议支持要求 （BGPsec Considerations for Autonomous System （AS） Migration ） RFC8634 BGPsec路由器证书轮转 （BGPsec Router Certificate Rollover ） RFC8635 BGPsec路由器密钥管理 （Router Keying for BGPsec） 3　术语、定义及缩略语 YD/T XXXXX—XXXX 23.1　术语和定义 下列术语和定义适用于本文件。 3.1.1　边界网关协议 border gateway protocol 互联网上一个核心的去中心化自治路由协议。它通过维护 IP路由表或 “前缀”表来实现自治系统 （AS）之间的可达性，使用基于路径、网络策略或规则集来决定路由，属于矢量路由协议。 3.1.2　边界网关协议安全策略 border gateway protocol security 一种为边界网关协议路由通告提供路径安全性的机制 。BGPsec通过增加一种新的路由证书 ，要求每 一个AS都对它接收到的路由通告消息进行签名，签名内容作为路由消息的路径属性 BGPsec_Path_Signatures 通告给邻居 AS。BGPsec与RPKI全面保障了 BGP协议的安全性 ，防止路由劫持 （前 缀劫持、路径篡改）。 3.1.3　资源公钥基础设施 resource public key infrastructure 一项旨在使互联网路由基础设施更安全的公开密钥基础建设（ PKI）框架，为将互联网码号资源信 息（如自治系统号码和 IP地址）连接到一个信任锚提供了一种方式。 3.1.4　证书颁发机构 certificate authority 负责发放和管理数字证书的权威机构 ，并作为电子商务交易中受信任的第三方 ，承担公钥体系中公 钥的合法性检验的责任。 3.1.5　边界网关协议安全策略发言人 border gateway protocol security speaker 一种BGP边界路由器，该路由器可以代表整个自治系统与其他自治系统交互路由信息。 3.2　缩略语 下列缩略语适用于本文件。 BGP:边界网关协议（ Border