《YD_T 4430-2023 域间路径验证（IDPV ) 技术要求 控制平面.docx》由会员分享，可在线阅读，更多相关《YD_T 4430-2023 域间路径验证（IDPV ) 技术要求 控制平面.docx（16页珍藏版）》请在课桌文档上搜索。
1、ICS33.040.40CCS1.79中华人民共和国通信行业标准YD/T44302023域间路径验证（IDPV）技术要求控制平面Therequirementsfortheinter-domainpathverification(IDPV)Contro1.p1.ane2023-11-01实施2023-07-28发布中华人民共和国工业和信息化部发布目次前言H1.1范围I2规范性引用文件I3术语和定义I4缩略语35总体机制46根密钥生成及维护47动态标签生成78路由节点提前写入动态标签89端节点申请动态标签IO10时间同步I前言本文件按照GB1.1-20204标准化工作导则第1部分：标准化文件的结构
2、和起草规则的规定起草.本文件是X域间路径验证(IDPV)技术要求系列标准之.本系列标准的名称和结构如下：控制平面；数据平面.请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的贡任.本文件由中国通信标掂化协会归口。本文件起草单位：清华大学、中国信息通信研究院、中国电信集团有限公司、华为技术有限公司、新华三技术有限公司。本文件主要起草人：徐格、王晓亮、付松涛、吴建平、赵铎、史凡、陈国义.万晓苣。域间路径验证（IPDV）技术要求控制平面1CT本文件规定了在管理域向路径验证方案中控制平面的技术要求，包括规定了控制平面的功能、根密钥的协商、动态标签的生成、动态标签的申请与分发,以及时间
3、同步和曲1.本文件适用于IPv6互联网的真实路径验证方案。2展性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注H期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件.IETFRFC5905网络时间协议（第1版）规范和实现（NetwrkTinpProtoco1.Version4:PnHocOIandA1.gorithmsSpecification）3*WWX下列术语和定义适用于本文件”3.1城间路径验证itcr-donainpathVerifkation用广源和目的用户验证数据包传输过程实际经过的路由节点是
4、否符合用户预限3.2管理域administrativedomain路径验证的基本单位.可以是一个自治系统，或一个子网.3.3密筋分发服务kevdistributionSCrVer每个管理域配置的一台（或多台）服务，用于管理域间主密钥的同步，以及为验证实体（路由节点及用户）生成及分发密钥，3.4用户user包括源用户和目的用户，源用户与目的用户可以是端节点，也可以是边界路由节点，当源用户为端节点时，目的用户也为端节点：源用户为边界路由节点时，目的用户也为边界路由节点.35路由节点ADedgerOI1.ter从源用户到目的用户的每个管理城入口边界路由节，在控制平面与Kffi通信接收标签，在数据平面
5、完成基于动态标器的认证码计算、验证以及更新操作.3.6路由节点标识符AERidentifier路由节点对应前缀或其他能在管理域唯一标识该设备的编号.3.7用户标双符useridentifier当用户为端节点时，用户标识符为用户IPv6地址；当用户为路由节点时，用户标识符为源和目的用户的路由节点标识符.3.8消息认QBmessageauthenticationcode为使用特定免法生成的一定数量的比特位，可用于瞄正认证码生成者的身份.3.9动态标签dynamictg动态的设备标识，在同一时隙，两个设备实体共享一个动态标卷，生成及验证认证码时使用该标卷作为输入之一。3.10同步酎IMSjnchro
6、nizingtimeS1.Ot网络动态标签根据时隙变化，全网控制面保持秒级的同步，以确保任意两个设备之间的时隙相差不超过一个完整的时隙.3.11时间片epoch源和目的用户执行验证策略的基本单位，每个时间片传输定数城的数据包。3.129Bpo1.icy海和目的用户共享的脸证参数如每个时间片内有多少数据包.个中间路由节点脸证多少比例的数据包.3.13部署dep1.oyment将动态标签从控制面下发到AER.将路径险证程序部署到路由节点及用户。3.14应答包acknow1.edge目的用户向源用户发送验证结果的数据包。3.15共不时间片sharedtimes1.ot网络时间同步后，设备之间仍可能存
7、在着微小的时间误差，因此设置一个共享时间片，在该共享时间片内，有多于一个标卷同时有效.3.16管理域11R信息A1.)PrVnXinformation各管理域所拥有的地址前掇的信息.下列缩略语适用于本文件。AD管理域AdministrativeDomainACK肯定应答包Acknow1.edgeAER边界路由节点ADEdgeRouterIDPV域间路径验证Inter-domainPathVerificationIP互联网协议InternetProtoco1.IPv6互联网怖议第6版InternetProtoco1.version6KIJS密钥分发服务器KeyDistributionServer
8、MAC消息认证码MessageAuthenticationCodeNAK否定应答包Rid路由节点标识符AKRNodeIdentifierTagfY动态标签DynamicTagTQ时隙TinieS1.dYD/T44302025Uki用户标识符UserIdentifkr5总体机制域间路径验证方案(IPDV)控制平面通过预先配置的方式在路由节点和端节点配置用于路径验证的动态标签.控制平面在每个管理域配置密仍分发服务器,服务器基于根密钥和路由节点信息生成和分发标签。路由节点信息1既路由节点标识和拓扑关系，右钥分发服务器报据管理域之间共享的根密钥和设备标识信息，生成可我示设缶身份的动态标签，然后向端节点
9、和边界路由节点下发对应标签。管理域边界路由节点从控制服务器获取本设备对应的动态标签信息，存入本地：端节点用户在每次需要通信前获取本路径上所有路由节点对应的标签，以及海端节点和目的端节点用户本次会话使用的标卷。源和目的用户、路径上路由节点可以使用动态标签和数据包头信息生成认证码，用于实现路径验证，提升数据传输过程安全性。本文件主要研究管理域间的路径船证方案(IpDv)的控制平面的相关现范，规定J管理域密钥分发服务器之间基于根密钥生成及维护动态标签，其推广和应用Ur以实现IPDV域间路径验证技术中控制平面的标准化，使不同厂商和机构开发的相关设备能够彼此协作，共同完成管理域间路径验证所需的动态标签维
10、护工作.捽制平面生成及共享的标签是一个层次化的结构,由根密钥经过一定的MAC算法生成动态标签,用于路径验证.密钥分发服务器在每个笆理域配设一个，管理域按照地理位置、经济关系、政治关系、社会关系、军事关系等条件划分，也可以自治域为基本单位.IPDV方案中的根密钥是两个白治域之间协商的基础密钥，仅两个自治域的密钥分发服务器拥有。其共享的方式为通过PK1.证行或纹卜方式验证对方公例,然后基于公钥和私例协商管理域i与管理何的对称密钥RK;,作为两个管理域在一段时间范围内的根密钥.该根密钥以大为单位，每天00:00:00更换，根据各管理域同步关系,在根密钥切换时间内，可同时使用新旧两个根密钥.管理域i的
11、密钥分发服务器（八）与管理域j的密钥分发服务器(B)相互协商时称密钥RK.的过程如图1所示，整个协商过程可以总结为“请求协商，确认协商，回送密的，完成协商”4个步骤，具体细节如下:a)服务器A(私例SKA.公钥PK,)向服务器B(私例SKg.公钥PKg)发送会话密钥协商请求.以私钥对随机生成的超钥Key和服务器A的标识ID,.以及时间献T作为输入生成签名Sig4.生成过程可以表示为SignKa(KCyJD,TISiga(Kcy);将请求和签名组成消息M,即KcyIIDAITSiganMACajRn1.（1.Riw)其中，RKSa为源和目的端节点所在管理域的根密钥，Uid国和UidM)为源和目的
12、端节点的IP地及，同样，也将IP地址值较小的Uid置于首面.湘节点用户需要使用的动态标签由用户向KI)S申请.在通信曲由源邮节点发起查询请求，KDS向源端节点发送本次通信所在时隙的动态标艇(端”点TaS1.Sd1.和路由节点的TagISm).|:|的端节点在收到第一个数据包后，向木城KDS看询对应的动态标签，实现动态标器软字。卷个路由节点猫要存储2个时隙对应的动态标签，默认时1以5分钟(300杪)为单位进行更新.8路由节点提前写入动态标签KDS提前将路由节点的动态标签写入路由节点，边界路由器与KDS之间存在时间同步，从每天的00:00:00开始，旬300杪分别一个时区3KDS在卜一时隙到来前向
13、本域路由节点提前卜发动态标签。写入标签过程为域内通信,KDS与路由节,点处于同一管理域,由KDS维护各路由节点的公钥信息.希个路由节点预置了KDS的公钥信息。KDS与域内各路由节点通过公私钥协商对称雷钥。协商过程与6.1节中域间协商采用的报文格式一致.为了提升效率,每个根密W更新的第一个时魏(每天00:00:00)进行一次密钥协商，在整个根密钥使用位国内，路由节点m存储用于通信的对称密钥DKKDS向路由节点m下发的内容包括时隔(TS)、标志(FIag)、流标识(F1.ow)、对海路由节点标识(Ridk)、动态标签(Tagkm)、结束标志(END),如图4所示.E4标签分发报文格式各字段择义见表
14、3。3标筌分发字义名称长度含义赋值Type8bits类型TypeM:下发标签:Type=5:确认标签1.ength16bits长度1也Rid=Si础长度为128bits和16bits,1.ength表示幅破长度的倍数，以及数据包中TagRid的数里1.engthftif2f:CkTag128bits：1:Tdg256bits;R1.h次低2（匕OzRid16bits：1.：Rid32bits;2:Rid61bits;3:Rid128bits;IZngIh倒数第，1位至第12位：Rid与Tag兹:1.engIh前4位,时隙数即最低2个时曲0:2个时城：1:4个时坂：2:8个时R1.3:16个时除
15、TS16bits时椒标识当前时间戴F1.ag8bits标整应用场景F1.ag=O:踣由节点之间应用:FII=1:端节点与路由节点之间由用F1.ov16bits流标识F1.agOHjF1.oW无应义；F1.aK=I时.FIov为对应的流标U1.目前仅后用全0标识Rid受长路由节点标识号路由节点标识号Tag变长动态标翌动态标签的数埴O1.ength字段中的时Ift数ftEND8biU本时僚结束标志O1.1.1.1.1.1.Oifite个数据包：Ic100O001:存在下一数据包路由节点在回SiTyPe为5的数据包时，在1.eng1.h字段回发接收到的Tag数的定义和衣3一致，仪包括TyPC至FIo
16、W字段，从Rid开始的字段不需要传送.以上字段为未抑密报文字段,传输报文为经过对称监钊DKIm）垢监的报文，接收方解胸后得到明文.Y1.)11443(K-20239K点申请动态标筌端节点在每次通佶时向KDS获取路由节点在该时隙的动态标签。通信前，端节点不裕要保持全网同步，KCS根据自己的时隙向端节点下发当前两个或多个时隙的动态标篮.接收到标篮后，如果端W点需要使用超过一个时隙的标签,则需要保持全网同步，以在时隙切焕时更新动态标签.源前节点(三)与目的端节点(d)在通信前，源端节点规划管理域粒度的中间路由节点，对规划的中间路由节点,标识为(Rid.Rid,.Ridn),海端节点将该标识向KDS发
17、送.源端节点与KDS的通信未用对称密钥加密，其密钥协商过程与6.1节一致,与路由节点一样，每个源端节点(根据IPH地址识别)在每个根密例使用时间内(如每天)使用同一对称密钥.密钥申请报文使用TCP负我承载，报文格式如图5所示。图5中的报文经过对称密例加密后传送，KDS收到源端节点的诂求后，解胸得到对应的路由节点。KDS按图6中的报文回复TyPe为7的数据报文.卜发标签图4与图6报文的区别是在Rid对应的标签后还有一个源端和目的端节点的动态标签.该动态标签只有一个，在整个会话过程中源和目的用户使用该标签，5K点申眯筌报文格式各字段择义见表4。4申谪标筌字段得义名称长度含义Type8bits类型T
18、yP-6:中iff标提1.ength16biu长度TM.Rid基地长度为128bitsni6bit,.1.Egth表示基础长度的倍数，以及数期包中Tag,Rid的数M1.eng1.h最慑2位;无定义1.enKIh次低2位：0:Rid16bits：1.:Rid32biu:2:Rid61bits;3:Rid128bits：1.ef1.以h例数第4位至第12位:Kidft1.itIO4申请标签字段导义（续）名称长度含义味值1.ength16bits长度1.engthtiV1.fe:时城数M累抵2个时Kh0:2个时Hh1:1个时风2:8个时Bh3:16个时破TS16bits时隙标识当前时间截F1.ag
19、8bits标签应用场景F1.ag1时，编节点与路由节点之间应用F1.w16bits流标识F1.ag1时，F1.oW为对应的流标识，默认为全。标识Rid变长路由节点标识号实际中间路由节点IP128bits对然地址对应勰用户/目的用户的IPv6地址KND8bits本时隙结束标志O1.1.nn0：最后一个数据包I100oOo01:存在下数据包源端书点接收到对应的标签信息后，按图4中报文IU1.更TyPC为5的确认报文,与路由节.点回交一样，确认报文仅包括TyPe至FIoW字段，从Rid开始的字段不需要传送.目的诩节点接收到第一个数据包后，根据接收报文的路径信息，得到整条路径的Rid序列，向本域KDS
20、发送图5的申请报文,并将报文中IP地址字段设置为源端IP地址。KDS向目的端出点发送如图6所示的下发标卷报文.目的端节点向KI）S网更图4所示的TyPe为5的确认报文.海端节点与目的端节点在接收到的标签使用结束前（最多16个时隙），向本地K1.）S再次发起申请，得到新的动态标签。S6向节点下发标签报文格式10时间同步由于边界路由器、KDS与端节点之间存在着时间误差，为保证动态标笫能够同步,各管理域设备淘向同个时钟刘准进行校准，席要使用到RFC5905定义的KrP协议，该协议是互联网络标准的时间协议.虽然时间同步协议可以保证AER之间时间的同步，但是AER之间不可避免的公存在微小的时间误差。因此
21、，在AER上需要设置个共享时间片，在该时间片内，旧的标签与新的标签均被认为是有效的，即存在一段时间，同时有多于一个标签有效，在选择标签的时候，节点可以从时限信息选择对应的标签.因此在共享时间片里，节点需要保证同时存储了新旧两套动态标签.假设边界路由器、KDS与端节点间误差最大为ic.我们在相邻两个标签之间设置一个长度为2ie共享时间片(SharedTimCSI”).在这个共享时间片内，前后两个标签在均有效.加入了共享时间片的标签有效期如图7所示。ShoredTimeSkrtn7加入了共初间片的标签窃蛾际意除门忖间误差，还应该考虑到报文在网络中的传输延时,设最小延时为tdmim,最大延时为Idm
22、aX则Tagn的有效期结束时间应该向后延长Idmaagn+1.的有效期开始时间应该向后延ISIdmnU根据传输延时修正后的共享时间片和标笛有效期如图8所示，Tag,的有效期结束时间向后延了1.ettdmx,Tagn+的有效期开始时间向前延了Ib1.dnin。1.e、Idnin、1.d三、共享时间片长度、标签的有效期等参数由脸证端根据实际网络环境自行确定。在这两个“延K”的综合作用下，实际上个标签的有效期为：1.ajecyde=TineS1.ot+2tetdni+t1.mx(4)数据包中带有显示的时隙信息，因此，只要各设备在标签的1.ifeCyC1.e内保用了对应的动态标签,财可以根据TimeSIO1.信息提取相应的动态标签用于验证，Stura1.1111SkrtS8修正后的知时同片和绿筌育效期示意
