YD∕T 3900-2021 IP源地址验证技术要求 框架(通信).pdf

《YD∕T 3900-2021 IP源地址验证技术要求 框架(通信).pdf》由会员分享，可在线阅读，更多相关《YD∕T 3900-2021 IP源地址验证技术要求 框架(通信).pdf（19页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 ICS 33.040.40M32中 华 人 民 共 和 国 通 信 行 业 标 准YDYD/T IP 源地址验证技术要求 框架Technical requirement framework for IP source address validation（报批稿）-发布-实施中华人民共和国工业和信息化部 发布YD/T i 目 次 前前 言言.II 1 1 范围范围.1 2 2 规范性引用文件规范性引用文件.1 3 3 术语、定义和缩略语术语、定义和缩略语.1 3.1 术语和定义.1 3.2 缩略语.2 4 4 概述概述.3 5 5 IPIP 源地址验证体系结构源地址验证体系结构.4 5.1

2、SAVA 体系结构.4 5.2 SAVA 体系结构的优点.6 5.3 接入网 IP 源地址验证.6 5.4 自治系统内 IP 源地址验证.8 5.5 自治系统间 IP 源地址验证.9 6 6 总结总结.14 YD/T ii 前 言 本标准是以太网接入方式下源地址验证技术要求系列标准之一，本系列标准的名称和结构预计如下：-IP 源地址验证技术要求框架 -以太网接入方式下源地址验证技术要求 框架 -以太网接入方式下源地址验证技术要求 DHCPv4 场景 -以太网接入方式下源地址验证技术要求 DHCPv6 场景 -以太网接入方式下源地址验证技术要求 SLAAC 场景 -以太网接入方式下源地址验证技术

3、要求 多种地址分配方式共存场景 -公众无线局域网接入方式下源地址验证技术要求 -以太网接入方式下源地址验证技术要求 管理信息库 本标准按照 GB/T 1.1-2009 给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准参加单位：清华大学、中国电信集团公司、中国移动通信集团公司、华为技术有限公司、中兴通讯股份有限公司、新华三技术有限公司、福建星网锐捷网络有限公司、烽火科技集团有限公司、中国互联网络信息中心、迈普通信技术股份有限公司。本标准主要起草人：吴建平、毕军、李星、任罡、徐恪、胡虹雨、王之梁、李崇荣、刘莹

4、、徐明伟。YD/T 1 IPIP 源地址验证技术要求源地址验证技术要求 框架框架 1 范围 本标准规定了互联网 IP 报文源地址有效性验证的层次化解决架构，并规定了各层次需实现的源地址验证的效果及目标，以系统地解决互联网 IP 源地址有效性验证问题。同时对各层次的源地址验证方案给出了可能的方案设计示例。本标准适用于互联网一般路由寻址场景下的报文源地址验证。2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。IETF RFC2827 网络入口过滤协议（Network In

5、gress Filtering:Defeating Denial of Service Attacks which employ IP Source Address Spoofing）IETF RFC3704 多宿主网络入口过滤（Ingress Filtering for Multihomed Networks）3 术语、定义和缩略语 3.1 术语和定义 下列术语和定义适用于本文件。3.1.1 源地址验证 Source address validation 在IP报文路由寻址过程中，对其携带的源地址的有效性进行验证。3.1.2 源地址验证架构 Source address validation

6、 architecture YD/T 2在互联网范围对IP报文进行源地址验证的层次化解决架构，与互联网目前路由寻址的层次化结构相对应。3.1.3 接入网源地址验证/源地址验证增强 Source address validation improvement 在主机所在接入网执行的源地址验证技术，将不允许主机假冒任意非合法分配或配置的地址。是源地址验证的第一步关卡，因此谓之源地址验证增强。3.1.3 自治系统内IP源地址验证 Intra-AS source address validation 在自治域AS内执行的源地址验证技术，将不允许主机假冒该自治域其他子网的IP地址。3.1.4 自治系统间I

7、P源地址验证 Inter-AS source address validation 在自治域AS间执行的源地址验证技术，将不允许主机假冒其他自治域网络的IP地址。3.2 缩略语 下列缩略语适用于本标准。AIMS AS-IPv6前缀映射服务器 AS-IPv6 prefix Mapping Server AS 自治系统 Autonomous System ASBR AS边界路由器 AS Border Router ASC AS控制服务器 AS Control Server DHCP 动态主机配置协议 Dynamic Host Configuration Protocol NAT 网络地址转换 Ne

8、twork Address Translation REG 注册服务器 Registration Server SAMS 源地址管理服务器 Source Address Management Sever SARC 源地址请求客户端 Source Address Request Client YD/T 3SAVP 源地址验证代理 Source Address Validation Proxy SEND 安全邻居发现协议 Security Neighbor Discovery SLAAC 无状态地址自动配置 Stateless Address Autoconfiguration VE 验证引擎 V

9、alidating Engine VR 验证规则 Validation Rule VRGE 验证规则生成器 Validation Rule Generating Engine 4 概述 现有互联网的IP分组转发，主要基于目的IP地址，很少对分组的IP源地址的有效性进行检查，这使得分组的IP源地址容易被伪造。网络攻击者常常通过伪造分组的IP源地址逃避承担责任。对IP源地址的有效性进行验证已经成为互联网面临的一个挑战性的问题。“IP源地址的有效性”包含以下三重含义：a)合法的。IP源地址必须是经互联网IP地址管理机构分配/授权的合法地址，不能伪造；b)唯一的。公网IP地址在公网内全局唯一，同一时间

10、不可复用；私网IP地址在其私网内全局唯一，同一时间不可复用；c)可追溯的。网络中转发的IP分组，可以根据其IP源地址找到其所有者和位置。互联网中实施IP源地址验证后有助于实现如下目标：a)由于携带假冒源地址的报文不能再被转发，则使用假冒源地址发动网络攻击将变得不可能，或者通过使用假冒源地址成功实施网络攻击的难度将加大；b)如果所有报文的源地址都是正确的，则网络追溯将可以准确实现并具有可信性。这将使网络诊断、网络管理、网络统计以及上层应用得到受益。要实现全网的IP源地址验证，期望任何一个单一源地址验证技术或方案在互联网单一层面完全部署是不切实际的。考虑到IP分组在互联网的路由和寻址是一个层次化的

11、结构，本标准规定了一种多层次的源地址验证的解决架构，即“IP源地址验证体系结构”（SAVA：Source Address Validation YD/T 4Architecture）。具体来说，SAVA体系结构划分为3个层次：接入网IP源地址验证、自治系统内IP源地址验证和自治系统间IP源地址验证。本标准同时针对各层次可能的源地址验证方案给出了示例。5 IP 源地址验证体系结构 5.1 SAVA 体系结构 本标准提出了一种多层次防御的源地址验证解决方案，即在网络中设计有多个“点”对数据包源地址的有效性进行检查。这是因为在当前单一（single-fence）模型下，基本上只在报文进入网络时进行了

12、源地址有效性检查RFC2827。但目前这种接入检查的部署是显著不足的（在未来仍将继续持续），因此基于伪造源地址的网络攻击总还是有机可乘。一种多层次的验证方案将弥补这种部署中的“漏洞”，整个互联网源地址有效性的可信度也将得到提升。即使源地址有效性检查没有全面部署，一定程度增加源地址有效性可信度以及减少假冒源地址攻击的几率，仍然是有意义和价值的。同时，SAVA体系结构允许多个独立的、松耦合的验证方案（或机制）同时存在。这样设计的出发点是，在Internet上，期望任何单一的IP源地址验证机制得到普遍支持是不现实的。不同的运营商和供应商可以选择部署或开发不同的方案（或机制）来实现源地址验证，同时需要

13、设计不同的方案（或机制）来解决网络中不同地方的问题。此外，局部方案（或机制）实施过程中的bug或者配置的错误都可能会导致局部验证失效。因此，本标准中的SAVA体系结构在具体实现时实际上是多个方案（或机制）同时共存、互相协作的方式。考虑到IP分组在互联网的路由和寻址是一个层次化的结构，本标准设计了与之对应的多层次的IP源地址验证体系结构-SAVA。具体来说，SAVA体系结构划分为3 个层次：接入网（Access Network）IP源地址验证、自治系统内（Intra-AS）IP源地址验证和自治系统间（Inter-AS）IP源地址验证，如图1所示。YD/T 5 图1 IP源地址验证体系结构 本标准

14、将源地址验证解决方案按三个不同层次进行分类：a)接入网源地址验证。该验证可以防止网络中的主机假冒同一网段中其他主机的地址。与域内源地址验证相比，接入网源地址验证可以实现主机粒度的保护。具体见第5.3节；b)域内源地址验证。在接入网的边缘路由器的接口上执行“入口过滤”源地址验证方案时（例如：使用RFC2827和RFC3704），可以防止主机假冒其他网段地址，实现子网粒度的保护。但如果该接口下子网没有部署接入网源地址验证时，仅实施“入口过滤”，主机仍可以假冒同一网段中其他主机的地址，除非该路由器下只接有一台主机（一种极端情况）。（因此接入网源地址验证是对“入口过滤”方案的一种补充和增强，因此接入网

15、源地址验证又称为 Source Address Validation Improvement，SAVI）。具体见第5.4节；c)域间源地址验证。在自治域间执行的数据包源地址有效性的验证机制。由于全球互联网为网状拓扑结构，并且不同的网络属于不同的管理机构，因此域间IP源地址验证更具挑战性。尽管如此，当前面两层（接入网和域内）源地址验证缺失或失效时，这第三层保护对于检测报文是否使用假冒源地址仍是十分必要的。具体见第5.5节；不同的层次实现不同粒度的 IP源地址有效性验证。在每一个层次，允许不同的运营商采用不同的方法。这一体系结构设计是一个整体结构的简单性和各部组成的灵活性的平衡。YD/T 65.2

16、 SAVA 体系结构的优点 SAVA 体系结构的优点如下：a)多重防御：对于一个伪造源地址的分组，设置接入网、自治系统内和自治系统间3道防线以实现真实源地址验证；b)不影响现有性能：设计各层次简单且轻量级源地址验证方案，将不影响现有路由和交换设备的分组转发性能；c)松耦合：该体系结构划分为自治系统内、自治系统间和接入网3个部分，各个部分相互独立，每个部分可以实现不同粒度的真实地址检查，每个部分的功能实现不依赖于其他部分；d)支持增量部署：该体系结构支持在全网渐进的、增量的部署，部分部署时仍可获得一定程度的真实源地址验证效果；e)可扩展：该体系结构划支持在整个互联网的大规模部署；f)为上层安全服

17、务和应用提供支持：以真实源地址体系结构为基础，网络追溯、网络诊断、网络管理、网络统计等上层安全服务和应用都将收益；g)激励运营商部署：该体系结构的设计体现了“谁部署，谁受益”的原则，部署了真实地址验证机制的网络可以更加容易地发现和追踪网络中伪造源地址的分组，保护自身网络利益。5.3 接入网 IP 源地址验证 该层次的方案，将不允许主机（host）假冒同一网段上的其他主机的IP地址，主机地址应该是由静态或动态分配给主机的合法地址，实现端系统IP地址一级的细粒度的IP源地址验证。接入网IP源地址验证具有以下特点：a)所有相关网络设备在同一个网络管理机构管理控制下；b)解决方案与接入网的地址管理分配

18、和控制策略密切相关；c)解决方案与端系统的接入方式密切相关。可以针对接入网的各种主机地址分配方式，如DHCP、DHCPv6、SLAAC、SEND、静态地址分配方式等，甚至是混合地址分配场景，设计其特定的接入网源地址验证方案。YD/T 7针对目前网络中大量端系统通过交换机接入网络的情形，可以采用的解决方案包括：在交换机的端口和真实合法的IP地址之间建立动态绑定，并对非法源地址报文进行过滤。接入网IP源地址验证方案示例：本标准以以太网网络为例设计了一种接入网 IP 源地址验证方案 A。方案 A 的关键步骤是在交换机端口和合法的 IP 源地址之间建立一个动态绑定，即在 MAC 地址、IP 源地址和交

19、换机物理端口之间建立一个绑定。在具体原型实现中，该绑定是通过主机使用一种新的交换机可跟踪的地址分配协议来建立的。在方案 A 中，主要由 3 部分组成：主机上的源地址请求客户端（SARC），交换机上源地址验证代理（SAVP），以及源地址管理服务器（SAMS）。如图 2 所示。解决方案分为以下基本步骤：a)终端主机上的 SARC 发送一个 IP 地址请求。交换机上的 SAVP 将此请求转发给 SAMS，并记录 MAC 地址和传入端口。如果终端主机已经预先确定了某地址，终端主机需将该地址放入请求消息中以便 SAMS 进行验证；b)SAMS 收到 IP 地址请求后，它将基于本子网的地址分配和管理策略，

20、来为该 SARC 分配一个源地址，同时它将在 SAMS 历史数据库中记录该分配的 IP 地址，以方便跟踪和回溯，然后发送包含该分配地址的响应消息给 SARC；c)交换机上的 SAVP 收到响应消息后，它将在绑定表中建立 IP 地址、请求消息中的 MAC 地址、交换机端口的一个绑定表项。然后，将分配的地址转发到终端主机上的 SARC；d)接入交换机开始过滤从终端主机发送的数据包。不符合绑定表（IP 地址，MAC 地址，交换机端口）的数据包将被丢弃。YD/T 8 图 2 接入网基于绑定的 IP 源地址验证 本标准在测试环境中，实现并试验了这种解决方案。该方案（基于交换机的解决方案）具有较好的性能，

21、但是接入网络中的交换机需要升级，而通常接入网络中交换机的数量是非常巨大的，交换机升级任务较重。5.4 自治系统内 IP 源地址验证 该层次的方案，将不允许主机（host）假冒其他网段的地址，实现前缀（子网）粒度的IP源地址验证。由于自治系统内的网络设备都在同一个管理机构管理之下，该层次的源地址验证技术或方案可以在运营商网络和接入网络的边界部署。可以采用的解决方案包括：在接入网的边缘路由器上部署“入口过滤”验证规则，这些规则把每一个路由器的接口和一组真实有效的 IP 地址前缀关联起来。本标准采用了 RFC2827和RFC3704中描述的“入口过滤”IP 数据包源地址验证解决方案；后者描述了 mu

22、lti-homed 接入网络的入接口上的源地址验证。YD/T 9RFC2827简介：在接入网的边缘路由器上，对配置了网络地址的三层接口同时是非上行口进行”入口过滤”配置，过滤配置将丢弃所有与此网络接口地址前缀不符合的输入报文。该过滤配置最终是以 ACL 的形式实现。实施“入口过滤”后，非本网络有效地址前缀的报文都将无法进入自治域内，实现了IP地址前缀粒度的IP源地址验证。但如果该接口没有部署接入网源地址验证，仅部署了“入口过滤”，攻击者仍可以假冒同一网段中其他主机的地址，除非该路由器下只接有一台主机（一种极端情况）。5.5 自治系统间 IP 源地址验证 该层次的方案，将不允许主机（host）假

23、冒其他自治域网络的IP地址，实现自治系统粒度的IP源地址验证。该层次相关技术或方案将在AS的边界执行相关源地址验证检查，以确保报文源地址的正确性。由于整个Internet是一种由AS组成的网状拓扑，且不同的AS属于不同的管理者，AS级的源地址验证是极为复杂和极具挑战性的。然而当前面两层（接入网和域内）源地址验证没有部署或者失效的时候，第3层次的保护，即在AS边界检查假冒源地址的报文，是十分必要的。设计域间源地址验证方案时要考虑以下要素：a)需要属于不同管理权以及不同利益的AS之间进行协同合作；b)需要足够轻量级，以维持AS间高吞吐率，不影响现有转发效率。域间源地址验证可以分为以下两类：a)相邻

24、 AS 间（即，两个支持 SAVA 机制的 AS 是直接相邻交换流量的）；b)非相邻 AS 间（即，两个支持 SAVA 机制的 AS 被一个或多个不支持 SAVA 机制的 Provider隔开）。自治系统间（相邻AS间）IP源地址验证方案示例，以IPv6网络为例：YD/T 10 图 3 域间（相邻 AS）源地址验证方案 两 个 交 换 流 量 的 AS 之 间 可 能 是 customer-to-provider、provider-to-customer，peer-to-peer，or sibling-to-sibling 其 中 的 一 种 关 系。在 customer-to-provide

25、r 或provider-to-customer 的关系中，customer 通常属于一个较小的管理域，它为访问 Internet 的其他部分而向一个较大的管理域进行付费。provider 是属于更大的管理域的。在 peer-to-peer 关系中，这两个互为 Peer 关系的 AS 通常都属于具有一定规模的管理域，并发现在它们各自的客户之间交换流量对它们彼此是有利的。当两个 AS 它们属于同一个管理域，或者所属管理域间存在交换流量的合作协议的话，那么这两个 AS 就属于 sibling-to-sibling 的关系。本标准为支持 SAVA 机制且相邻的 AS 间设计了一种基于 AS 关系的解决

26、方案（机制）。基于 AS关系的解决方案的基本思想如下。它构建了一个验证规则过滤表（VR），它将路由器的每个入接口与一系列合法的源地址前缀关联起来，然后使用 VR 表过滤假冒数据包。在具体解决方案中，验证 IPv6 地址前缀的解决方案分为三个功能模块：验证规则生成引擎（VRGE）、验证引擎（VE）、AS 和 IPv6 前缀关系映射服务器（AIMS）。由 VRGE 生成的验证规则表示为 IPv6 地址前缀形式。每个 AS 都有一个 VRGE，VRGE 生成根据表 1 生成验证规则 VR。VE 加载 VRGE 生成的验证规则 VR，来过滤在 AS 之间传递的包（在图 3 中，从相邻 AS 发送给 A

27、S-1 的报文）。在本标准的具体实现中，VE 实现为一个基于 Linux 系统机器的仿真 2 层设备，它串联在 ASBR 每个面向邻接 AS 接口外的直YD/T 11连数据路径上。在真实实现时，它可以实现为一个数据包过滤设备串联在 ASBR 上。AS-IPv6 前缀映射服务器也是以 Linux 系统形式实现，它生成 IPv6 前缀和该前缀对应的 AS 号之间的映射关系表。表 1 基于 AS 关系的域间 AS 过滤表 Own Customers Siblings Providers Peers Export To Address Address Address Address Address P

28、rovider Y Y Y Customer Y Y Y Y Y Peer Y Y Y Sibling Y Y Y Y Y 不同的 AS 根据 VRGE 上的基于 AS 关系的输出规则来交换和输出各自的 VR 信息。如表 1 所示，AS 将它自己的、其 customers 的、其 providers 的、其 siblings 的以及其 peers 的 IPv6 地址前缀，输出给它的 customers 和 siblings，作为其 customers 和 Siblings 可接收的合法地址前缀集；AS 将它自己的、其 customers 的、以及其 siblings 的 IPv6 地址前缀输出

29、给它的 providers 和peers，作为其 providers 和 peers 可接收的合法地址前缀。在 AS-IPv6 前缀映射服务器支持下，AS间仅需传递合法地址前缀的 AS 号，AS 号可在 VRGE 中转换为该 AS 号对应的 IPv6 地址前缀。当 AS 关系发生改变或者一个 AS 所包含的 IP 地址前缀发生变化时，需要重新生成 VR 并更新。基于 AS 关系的域间源地址验证方案的认证过程主要步骤如下（图 3 中从 AS-1 域开始）：a)当一个 AS 的 VRGE 初始化时，将读取其相邻的支持 SAVA 的 AS 列表，并和本域内的所有 VE 建立连接；b)VRGE 初始化

30、一个 VR 更新消息。VRGE 根据其输出表（表 1），把自己原始的 VR 发送给邻接 AS 的 VRGE。在此过程中，VR 以 AS 数量级进行扩散；YD/T 12c)当一个 VRGE 从其邻居接收到一个新的 VR，它将通过自己的输出表来判断它是否应该接受该 VR，如果接受，它是否应该将该 VR 再输出给其他相邻的 AS；d)如果 VRGE 接受了一个 VR，它将使用 AIMS 将用 AS 表述的 VR 转换为用 IPv6 前缀表述的 VR；e)VRGE 将该 VR 推送给本域内的所有 VE；f)VE 使用合法前缀形式的 VR 来验证每个入报文的源 IP 地址是否合法有效。自治系统间（非相邻

31、AS间）IP源地址验证方案示例，以IPv6网络为例：当两个 AS 不是直接交换报文的情况下，上节描述的解决方案将无法实施。然而，对于非相邻的 ISP 来说，如果能够形成一个信任联盟，这样，一个 AS 发送的报文，将会被联盟中其他 AS 所识别，因为报文离开第一个 AS 时携带了验证信息。可以通过很多种方法来实现这一目标。在 SAVA 实验环境中，目前设计了一种身份验证标签方法。该解决方案受到参考文献1的启发。该机制（基于轻量级身份验证标签的域间源地址验证方案）的关键要素如下：在每对支持 SAVA的 AS 间，分配有一对唯一的临时身份验证标签。所有支持 SAVA 的 AS 共同组成一个 SAVA

32、 联盟。当一个数据包离开其 AS 时，如果目标 IP 地址属于某 SAVA AS 联盟中的某个 AS，那么源 AS 的边缘路由器将使用目的 AS 号作为 Key 来查找与目的 AS 对应的身份验证标签，并且在数据包中加入该身份验证标签。当数据包到达目的 AS 时，如果数据包的源地址属于 SAVA AS 联盟中的某个 AS，则目的AS 的边缘路由器在它的表中使用源 AS 号作为 Key 来查找与源 AS 对应的身份认证标签，并将该标签与报文中的标签进行验证，验证完成后，身份认证标签将从报文中删除。正如其名字所示，该特殊方案使用了轻量级的身份验证标签。对于转发的每一个数据包，身份验证标签被放在一个

33、 IPv6的 hop-by-hop 扩展头中。身份验证标签为 128 位的共享随机数，这比通过加密方法生成身份验证标签在处理方面的开销要更合理。与仅部署网络本地源地址验证相比，该方案的好处在于：当一组网络仅部署了本地源地址验证时，只能保证他们自己的网络不向外发送假冒报文，而不能保证其他网络不向它们发送假冒报文。而该域间源地址方案在一定程度上消除了这种情况，如果联盟外的主机使用联盟内某主机的地址来发送假冒数据包，则联盟成员 AS 将发现并拒绝接受这样的数据包。YD/T 13 图 4:域间（非相邻 AS）源地址验证解决方案 在该系统中主要有 3 个组成部分：注册服务器（Registration S

34、erver，REG），AS 控制服务器（AS Control Server，ASC），以及 AS 边界路由器（AS Border Router，ASBR）。注册服务器 REG 是整个信任联盟（trust alliance，TA）的“中心”。它维护一个 TA 的成员列表。它执行两个主要功能：a)处理来自 AS 控制服务器的获取 TA 成员列表的请求；b)当 TA 成员列表变更时，通知每个 AS 控制服务器。每个部署了该方案的 AS 都有一个 AS 控制服务器 ASC。该 ASC 有三个主要功能：a)与注册服务器沟通，获取最新的 TA 成员名单；b)与其他联盟成员 AS 的控制服务器通信，更新的有

35、效前缀信息以及交换身份认证标签；c)与本 AS 的所有边界路由器通信，以配置边界路由器的处理功能。AS 边界路由器 ASBR，在源 AS 端负责向数据包中添加身份认证标签，在目的 AS 端负责验证和删除报文中的身份认证标签。在该系统的设计中，为了减轻 REG 的负担，大部分控制管理流量发生在 ASC 之间。YD/T 14身份认证标签需要定期更新。尽管每对 AS 之间维护和交换身份验证标签的开销，从一个 AS 的角度来看，是 O（N），而不是 O（N 2），但通讯和处理的开销仍随着 AS 数量的增加而增加。因此，在解决方案中使用了一个认证标签自动刷新的机制。在该机制中，每个对等的 AS 运行相同

36、的算法，以自动生成身份验证标签序列。这样，数据包中的身份验证标签可以较高频率自动更新。为了增强安全性，该算法使用一个种子来生成身份认证标签序列，以防止标签猜测。因此，联盟成员只需要以非常低的频率协商和更新种子即可。这不仅降低了频繁协商和更新身份验证标签的开销，同时保证了身份验证标签的一定的安全性。由于身份验证标签是放在 IPv6 的 hop-by-hop 扩展头中，因此需要考虑 MTU 问题。目前本标准有两种解决方法。两种解决方案都不完美，但都是可行的。一种可能的方法是在 ASBR 中设置 MTU为 1280 字节，这是 IPv6 的最低的 MTU。这样，将不会收到从下游网关发来的 ICMP“

37、数据包太大”消息。这种解决方案的缺点是不能很好地利用可用的 MTU。另一种可能的方法是让 ASBR 捕获所有传入的 ICMP“数据包太大”消息，然后在报文送入 AS 之前减小路由器 MTU 值。这种解决方案的优点是它可以很好地利用可用的 MTU。但是，ASBR 在处理 ICMP 包时可能会成为拒绝服务攻击（DoS）的一个目标。因为身份验证标签是在目的边界路由器上进行验证的，而不是目标主机，因此本标准没有使用目的地选项扩展头来携带身份验证标签。身份验证标签管理是一个关键问题。本标准的工作主要集中在两点：标签协商和标签更新。标签协商发生在 SAVA 联盟的每对 AS 的 ASC 之间。考虑到同步化

38、的问题和使用 SAVA 的动机，本标准提出了基于接收者的标签协商。它赋予接收方更多的决策权，而不是发送方。在基于接收者的方案下，接收方可以决定标签管理的策略。不允许无限期地接受携带旧身份验证标签的数据包。相反，在新的标签协商出来后，旧标签不是马上作废无效而是保留一段时间。该时间长度是可配置的参数，它将控制旧标签在新标签生成之后仍然有效的时间长度。在具体实验中，本标准设置该参数为 5 秒。信任联盟是可以动态建立的（加入和退出），但是在本标准的具体实验床中，信任联盟的最初成员是在线下确认。6 总结 YD/T 15本标准设计并提出了“多层防御”的源地址验证体系结构 SAVA，并在一些松耦合的自治域上

39、（12 个校园网）对其原型系统进行了较大规模的部署和验证。该体系结构允许不同粒度的源地址验证，并且允许不同的提供者提供不同的解决方案。不同粒度级别的解决方案之间是松耦合的，同时允许解决方案更新、替换。允许增量部署是本体系结构的设计原则之一。测试表明，即使在部署不完整的情况下，部署者也可以通过部署获得好处，从而使 provider AS 有动机成为早期使用者。SAVA 体系结构的各层次的示例解决方案：基于交换机的本地子网验证机制、基于网络认证的域内验证机制、基于过滤的域间（Inter-AS）验证机制、基于认证标签的域间（Inter-AS）验证机制等，都得到了概念验证。其中有的客户端主机和网络设备需要修改，有的还需要部署一些新的服务器。YD/T 16 参考文献 1 Bremler-Barr,A.and H.Levy,Spoofing Prevention Method,INFOCOM 2005.