【通信行业标准(YD)】 互联网域名、IP地址拦截技术要求

[CS3304040
中华人民共和国通信行业标准
YD/T 1524-2006
互联网域名、IP地址拦截技术要求Technical Requirements for Internet Filtering According to DomainNameandIPAddress
2006-12-11 发布
2007-01-01实施
中华人民共和国信息产业部发布前
2规范性引用文件
3定义和缩略语
3.1定义
3.2缩略语
4互联网域名地址拦载功能要求
接人设备技术要求，
IP地址潮源要求
IP地址过滤、拦截的要求
5.3互联网域名过滤，拦截的要求5.4美键字过滤的要求
5.5流量监控的要求
6骨干设备技术要求
6.1IP地址过滤、拦截的要求
6.2流量监控的要求…
7互联点专用设备技术要求
7.1TP地址过滤、拦截的要求·
7.2互联网域名过滤，拦截的要求，7.3关键字过滤的要求
7.4专用设备可靠供的要求
YD/T 1524-2006
YD/T1524-2006
本标准是联网城名：IP地址俄系列技术标准之：该系列标准的名称及结构如下：1，Y1524-20联网或名，IP地比截技术恶求；2.YD/152520H6联网城名、IP池描设备测诚方法随着技术的发展和没备的进步，该系的标难的范固和内穿还将逐扩充和光普，个标准向网络可联币通技术标推工作组提出。本标准中通信称准化协会归
本标准起草单位：息产业部电信研究院本标准主要起草人：赵锋魏亮程强
1范围
互联网域名、IP地址拦截技术要求YD/T 1524-2006
本标涯规定了古联网网络设备拦截、的滤，传送卫地址五联网域名的技术要求。本标准涉及的互联网网络设备包括DSI.AM、宽带网络接人服务器、路f:器等：本标准1费适用于互联网网络设备。2规范性引用文件
下列文件的条款通过本标准的引用而成为本标推的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不证而于本杯准，然而，鼓励根据本标雅达成协议的各方研究是否可使用这此文件的最新版本，凡是不注日期的引用文作，其最新版本适用下本标准。YD/T 1096-2001
YD/T 1097-2001
YD/T 1099-2005
YD/T 1148-2005
YT/T 1255-2003
YD/T 1358-2005
YD/T 1359-2005
IETFRFC 2131 (1997 )
IETF RFC 2827 ( 2000 )
IETFRFC 2828 （2000)
IETF RFC 3046 (2001)
3定义和缩略语
3.1定义
下列定义适用下本标滩。
路器设备技代规范-低端路山器
路中器设备技术规范高端路出器以太网交换机技术要求
网络接人服务器技术要求一宽据网络接人服务器具有路出功能的以太网交换桃技术要求路由器设备安全技术要求----中低端路由器（基丁IPv4）路出器设备安全技术要求——-高端路向器（基下IPV4）动态主机配置协议（DHCP）
网络人口过：防止使用P源地划欺骗的拒绝服务万联网安全术语表
DHCP 中继代理信总选项
（1）访控制：防止木经授权使历资源：（2）授权：授予权利，包括根据访间权进行访问的权利3.2缩略语
下列缩略语适用于本标准，
Access Control List
Asymmetric Digtal Subscriber LineBroadBand Network Access ServerDynamic Host Canfiguration ProtocolDigital Subhscriber Line
访问控制列表
非对称数字用户线
宽带网络接入服务器
动态主机记置协议
数宁用线
YD;T 1524-2006
RADILS
Digital Subscriber LineAccesyMuliple xerEthernitt Passive Optical NelworkGigahit Passive Optical Nel wurkNet work Address TranslationPPP over Ethermet
Remotc Authorization Dial in User ServiceUniform Rcsource Locator
Lnicast Reverse Path HorwardingVirtual Broudband Access ServerVery High Speed Digital Subscriber LineVirtuai Local Area Network
Wireless Local Area Network
4互联网域名地址拦截功能要求
互联网域名地地拦截示意如图1所示。-设备
接人设备
图1互联网域名地址拦截示意
数字用户线接人复用器
以太网无源光网络
T兆以太网无源光网络
网络地琪翻译
在以太网上传输PPP
证程认证拨号用户服务
统资源定估器
单播反向路径检夺
虚拟宽带接入服务器
甚高速数字用户线
虚拟局域网
无线同城网
左联点
专而设备
互联网域名地地拦截包括IP地证溯源功能、IP地址过滤和拦截功能，互联网域名过滤利拦载功能互联网域名和IP地址传送功能，关键字过滤功能以及流量监控功能、：IP地止溯源功能：将用户源地证关联到用户标识的功能。·IP地过滤和拦截功能：于ACL的过滤以及URPF功能，，互联网域名过滤和拦截功能：对用户发送的HTTP数据包中的域名进行过滤的功能，：关键字过滤功能：传送IP包时于关键字的过滤功能·流量监控功能：在设备上对数据流进行镜像的功能：互联网域名地址拦截点选择在接人设备、骨十设备和互联点专用设备上实施，其中接人设备位于互联网接入层，应汽实现L地址潮源要求、IP地址过滤拦截要求、点联网域名过滤拦截要求、互联网域名和IP地址传送要求、关键字过滤功能和流量临控要求。骨于设备位于互联网骨十层，成当实现P地址过滤和拦截要求、IP地址传送要求和流量监控要求：互联设备应当实现IP地圳过滤拦截要求、互联网域名过滤和拦截翌求、关键字过滤要求利专用设备川靠性要求。接人设备、挡下设备上部分功能可以根据规范前置专用设备实现2
5接入设备技术要求
5.1IP地址溯源要求
5.1.1技术要求
5.1.1.1 VBAS
YD/T1524-2006
VAS协议深用创方式，当BVAS收到用广主机的认证清求位时，由BNAS士动发起，向业DSIAM查询新的用MAC地地所对应的物理端；IPPSLAM接到该查数据色，退回BNAS相应的结果数据包。
5.1.1.2 DHCP 中继代理
刘HCP协议的要求参烂IFTF RFC 2131[HTFRFC3046定义D]ICP中继pliun82的两个sub-option，代理出路（实现中继代理的节点终结的电路）：，代理远端而（远端节点终结的电路山），DSLAM的DHCP继代理必须支持suh-option1“代理电路ID\，其编码应性一标期接人节点程接DHCP消息的环路逻辑端口。
接人节点必须提供支持“代埋远端ID”的选项进·步标明接人的逻辑端口。该T包含最大63个字符的运营商可配串，可以惟标明接收到DHCP>iscovery消息总的坏路远端的用广：5.1.1.3PPPoE中继代理
此方式用丁设备采用PPPoE方式时端报告，PPPoE继代理析所有PPPoE发现阶段的包，例如，PADI、PADO、PADR、PADS和PADT包、但是不修收这此包的源。月的地址。旦改到客户端发出的PADI或PADR包，中继代理在上行转发的报文中加人一个PPPFTAG，TAG中包含「接收到PADI或PADR包的环路识别码：如果加人TAG后，PAD1或PADR消息的长度超过1500字节，中介代理将不尚BNG发送此报文，转而尚客户端发送Generic-ErurTAG.其中，端识别TAG的格式如图2所示：Iosoln (Vendor-Speeife?
TAG [ENGTH免费标准下载网bzxz
I0x00000DE9 356t deeinal, i.e. \AJ3SI. Forun\ [ANA untry ![心
Tiengrh
IAgeni Cireuit ID value : con't?10x0
Iiength
lAgent Re-ncte JD) value(con')I Agent Circuit iD value...
!Agen! Reitvic JD vulue..
图2端口识别TAG的格式
5.1.1.4VLAN 堆叠
GPON/EPON的OIL.T和ONL:/ONT设备可以支持VTAN堆叠方式，向BNAS提供ONUJ/ONT端LI与Ⅱ地证的绑定信息在这种方式下，ONU/ONT的UNI端口为进人的流最加上VLAN标签，ONU/ONT的3
YD/T1524:2006
FON接!I以及OIT的！联接口成支持VLANIrunk，通划I：的VIAN配，PON系统在BNASH标识的每个用户端II为独立.的VI.AN，5.1.2支持IP地址溯源功能的设备要求5.1.2.1 DSLAM
本节所指的DSLAM包含ADSL、VDSI.端设备、DSL接入复用设备、综合接人设各DSLAM应向BNAS提供用户所在的物理端口编号信息.DSLAM所采用的报售方法应支持VBASDHCP中继代理、PPPoE继代理的一种5.1.2.2EPON/GPON设备
EPON/GPON局端设备应向BNAS提供用户P地证ONL/ONT端口的绑定信息：ONU端信息成包括ONU标识以及ONU端口标识，端设备所采用的报告方法应支持DHCP：继代理、PPPoF中继代理和VLAN堆中的一种.
5.1.2.3以太网接入设备
当采用远程认证服务器时，以太网接入设备应通过网元管理系统提供用户端口、与业地址的绑定信息：当采用本地认证服务时，以太网接入设务应通过网元管理系统提供用户账户，用户端！与IP地址的绑定信息：
采用本地认证服务的以太网接人设备应在本地保存历户登谢志信息。5.1.2.4WLAN接入控制器
WLAN接人控制器应向BNAS提供用户IP地址与用户所属BSSID的绑定信息，WLAN接人控制器所采用的报告方法应支持DHCP中继代理或PPPoE中继代理。5.1.2.53.5GHz及LMDS固定无线接入设备3.5GH及I.MDS固定无线接人设备局端设备应向BNA.S提供用户IP地址与远端站端口的绑定信息。远端站端口信息应包括远端站标识以及远端站端门标识，局端设备所采用的报告方法应支持IHCP中继代理、PPPoE中继代理和VLAN堆叠中的一种：5.1.2.6宽带网络接入服务器【BNAS）设备BNAS设备成根据接人设备的种奖提供基于源MAC地址，源IP地址、接II、VLAN的绑定，BNAS设备在向RADIUS服务器进行认证时应提供上述信息，RADFUS服务器应能基了I.信息对用迹行认证。BNAS设备应在本地保存上述绑定表项，BNAS应玉弃不符台绑定关系的数据包。5.2IP地址过滤、拦截的要求
在接人设备1，IP地址过滤和拦截功能主要通过ACI利IUJRPF实现：支排P地址过滤、栏裁的BNAS、中低端路由器、以太网接人设备应实现基丁源地址：（或源TP子网），月的P地址（国的IP子网），协议，源端（1和月的端口的包过滤，并结台转发方向（数据转发人端口，出端）及相成的规则（拒绝，转发）过滤数据包。支持IP地址过滤、栏截的中低端路由器应支持URPF功能，通过在转发表中查找收到分组的源P地址和接口，只转发源IⅡ地址在转发表中存在的数据包，从而防止伪造源P地址的网络攻击，中低端路由器建议支持严格的URPF功能。5.3互联网域名过滤、拦截的要求支持互联网域名过滤，拦截的接入设务应能配置互联网域名列表：应可以依据设定的互联网域4
YD/T 1524-2006
名对数诺包协议头的域名宁段进行匹配检查，并依据倾设的规则对匹配中的数据包（或所处的数据流）进行处理，设备上达应支持批量下发域名列表的功能。该功能可布NAS，中低端路南器上实现，也可通过在BNAS、中低端路山器之前设置专：门的检查过滤设备实现。5.4关键字过滤的要求
在支持关键字过滤的接人设备叶应能配置关键学策略列表，应能依据设定的关键字对数据包内容进行匹配险查，并根据预设的规则划匹所中的数据包（或所处的数据流）进行处理。设备上还应支持批量下发美链字列表功能，该功能在中低端路出器1实现，也可通过在中低端路巾器之前设置专门的检查过滤设备实现
5.5流量监控的要求
在中低路出器中应能配置端口镜像，应能配置基于物理端！的镜像，可以配置基于逻辑端口的镜像和基于访问控制列表的流镜像。6骨干设备技术要求
6.1IP地址过滤、拦截的要求
在骨平设备上，IP地址过滤、拦截功能干要逆过ACL和URPF实现。支持IP地址过滤、拦截的高端路由器应实现基于源P地址（或源IP子网）H的IP地址（目的P子网）协议，源端和目的端：的包过滤，并结台转发方向（数挪转发人端口，出端口）及杆时的规则【拒绝、转发）过滤数据包。支持P地止过滤，拦截的高端路由器建议支持URPF功能，通过在转发表中查找收到分组的源正地址和接口，只转发源P池止在转发表中存在的数据包，从而防止基丁源P地址的网络攻击。建议高端路由器支持严格的URPF功能，即贝转发源P地址与转发表丧项、接收端口匹配的数据包。6.2流量监控的要求
在高端路由器中应能配置端镜像，应能配基于物埋端口的镜像，可以配置基于逻辑端口的镜像和基下访问控制列表的流镜像：7互联点专用设备技术要求
7.1IP地址过滤，拦截的要求
对丁串接在骨于路出器中的网络点联点过滤设备，应能够提供人容量的访问控制列表，访问控制列表的条甘至少成为10厅条。设备应支持包括源地址、口的IP地址、协议、源端口、臣的端口在内的下元组过滤，应能识别 MFLS封装的IP包
设备应提供配置接口，实现访问控制列表内容的快速添加、删除7.2互联网域名过滤、拦截的要求网络互联点过滤设备应提供数据复制接门，实时复制数据并交内后台系统分析处理，后台系统应能依据设定的LIRL表对数据内容进行分析，并依据匹配的数据流生成相应的ACI，表项反馈到网络互联点过滤设备，以进行相应的访问控制处理。7.3关键字过滤的要求
网络互联点过滤设备应提数据复制接口，实时复制数据并交由局台系统分析处理。后台系统YD/T1524-2006
应能依据设定的关键词对数据内容进行分析，并依据匹配的数据流生成相应的ACL表项反馈到网络互联点过滤设备，以进行相应的访问控制处理。7.4专用设备可靠性的要求
设备因过滤或分流而产生的延退不应影响骨干路由器之间正带的数据交换。在设备发生故障或突然掉电的情况下，设备应能继续透传数据包。6
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。