ICS 33.040.40 CCS M 19 YD 中华人民共和国 通信行业标准 YD/T XXXXX—XXXX 轻型双栈（ DS-Lite）合法用户验证 技术要求 Technical requirement for DS-lite user verifying （报批稿） XXXX - XX - XX发布 XXXX - XX - XX实施 中华人民共和国工业和信息化部发布 YD/T ××××—×××× I目  次 前 言 .............................................................................................................................................................. Ⅱ 1 范围 ................................................................................................................................................................... 1 2 规范性引用文件 ............................................................................................................................................... 1 3 缩略语 ............................................................................................................................................................... 1 4 概述 ................................................................................................................................................................... 1 5 技术要求 ........................................................................................................................................................... 2 YD/T ××××—×××× II 前 言 本文件按照 GB/T 1.1-2020 《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起 草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国电信集团有限公司。 本文件主要起草人：周生龙、赵晓宇、徐洪磊。 YD/T XXXXX—XXXX 1轻型双栈（ DS-Lite）合法用户验证技术要求 1　范围 本文件针对传统轻型双 栈（DS-Lite）环境中地址族过渡路由器单元 （AFTR）设备公网地址容易被 探测易产生安全隐患的问题，定义了一种对 网关基本桥接宽带单元（ B4）隧道建立请求进行合法性检 测的方法， 提升 AFTR设备的安全防护能力。 本文件适用于轻型双栈 过渡技术中局端 AFTR设备的安全部署。 2　规范性引用文件 下列文件对于本文件的应用是必不可少的 。凡是注日期的引用文件 ，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 IETF RFC6333 IPv4地址枯竭后的 DS-Lite宽带部署 (Dual-Stack Lite Broadband Deployments Following IPv4 Exhaustion) IETF RFC7596 轻量级4over6:双栈精简架构的扩展 (Lightweight 4over6: An Extension to the Dual-Stack Lite Architecture) 3　缩略语 下列缩略语适用于本文件。 AAA：验证、授权和记账（ Authentication 、Authorization 、Accounting ） AFTR：地址族过渡路由器单元（ Address Family Transition Router） B4：网关基本桥接宽带单元（ Basic Bridging BroadBand ） BRAS：远程宽带接入服务器（ Broadband Remote Access Server） DS-Lite：轻型双栈（ Dual-Stack Lite） FQDN：完全合格域名（ Fully Qualified Domain name） PPP：点到点协议（ Point-to-Point Protocol ） 4　概述 轻型双栈 (DS-Lite) 是一种用户接入领域的过渡技术 ，采用IPv4 in IPv6隧道技术 ，运营商只需要 为用户分配 IPv6地址，既可以实现用户的双栈上网。 此技术见 IETF RFC6333，IETF RFC 7596也对其 架构进行扩展， 通过引入轻量级的 4over6的转换机制， 改进了DS-Lite 的性能和可扩展性，以更好地 支持IPv4到IPv6的过渡。 YD/T ××××—×××× 2 图1　合法用户上线 随着IPv6日益普及 ，轻型双栈作为现网主推的过渡技术方案其部署规模将迅速扩大 ，然而由于 AFTR 使用公网地址对外提供服务 ，且该地址很容易被公众用户得到 ，而AFTR并未对来自 B4的隧道建立请求 进行任何合法性检测，因此存在一定的安全隐患。 图2　非法用户入侵 在传统的 DS-Lite 环境中，用户（ B4）发起PPP连接并取得 AFTR的FQDN域名后， 即可向AFTR发 起隧道建立请求 ,如图1所示；而AFTR并未对来自 B4的隧道建立请求进行任何合法性检测，使用公网 地址的AFTR网关设备将会很容易受到各类欺骗性攻击导致瘫痪， 如图2所示。因此，为了更好推动轻 型双栈安全部署和应用， 在IPv6过渡时期有必要为 AFTR提供一种对 B4隧道建立请求进行合法性检测 的方法， 从而提升 AFTR设备的安全防护能力。采用本文件中提出的合法性检测方法，能够剔除非法访 问用户， 同时不对 AFTR造成额外的系统负担。 5　技术要求 本文件提出了一种在 IPv6过渡时期 、轻型双栈的隧道环境下实现 IPv6用户合法性验证的方法 ，借助 AFTR与AAA交互和本地表查询实现，以实现忽略时延和提供更好的安全性。具体的技术要求如下： 图3　IPv6合法前缀同步流程图 YD/T XXXXX—XXXX 3a) 合法用户认证和地址分配， 总体流程如图 3所示： 1) 合法用户上线并发起 PPP连接后， BRAS对其身份进行认证，验证其合法性； 2) BRAS需要下发合法的 IPv6地址前缀给合法用户， 确保其具备可用的 IPv6地址； 3) 合法用户的 IPv6地址前缀需要上报给 AAA服务器进行存储 ，以维护地址前缀的合法性和唯一性 。 b) 建立本地表和同步接口： 1) 在AFTR上建立一张本地表， 用于存储 IPv6合法前缀地址； 2) 本地表应具备高效的查询功能，以实现对合法用户的快速识别和验证； 3) AFTR与AAA之间需要建立接口 ，用于实时同步 AAA服务器中存储的合法 IPv6前缀表到 AFTR的 本地表； 4) 通过变量更新的方式， 确保本地表中的合法 IPv6前缀与AAA服务器中的表保持同步。 c) 合法性验证与连接建立 ,总体流程如图 4所示： 1) 当有新的报文请求建立隧道时， 需要将该报文的源 IPv6地址前缀与 AFTR的合法前缀表进行比 对； 2) 如果报文的源 IPv6地址前缀存在于本地表中 ，则连接准许建立 ，确保只有合法用户能够建立隧 道连接； 3) 如果源地址前缀不存在于本地表中，则判断为非法用户，并丢弃该报文，同时将非法地址传送 给网管系统进行进一步处理。 d) 合法用户注销和更新： 1) 当合法用户下线后 ，BRAS需要通知 AAA服务器将该用户的前缀从表中删除 ，确保表中存储的前 缀信息与实际用户在线状态一致； 2) 删除操作应及时执行，以确保合法用户的前缀信息得到正确维护和更新。 通过以上步骤， 实现了对 IPv6用户进行合法性验证的全过程 ,为IPv6过渡网络的用户认证提供了 一种高效、可靠的解决方案。 利用 AFTR的本地表提供查询功能，可以防止大规模地址欺骗类攻击造 成AFTR与B4频繁进行信息交互从而故障宕机，且本地查询几乎不产生时延，可以有效的阻止欺骗 性攻击对 AFTR的威