YD∕T 3884-2021 以太网接入方式下源地址验证测试方法 多种地址分配方式共存场景(通信).pdf

《YD∕T 3884-2021 以太网接入方式下源地址验证测试方法 多种地址分配方式共存场景(通信).pdf》由会员分享，可在线阅读，更多相关《YD∕T 3884-2021 以太网接入方式下源地址验证测试方法 多种地址分配方式共存场景(通信).pdf（10页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、ICS 33.040.40 M32 YD 中华人民共和国通信行业标准 YD/T xxxxxxxx 以太网接入方式下源地址验证测试方法 多种地址分配方式共存场景 Test method for equipments supporting source address validation with multiple co-exist address assignment 点击此处添加与国际标准一致性程度的标识（报批稿）xxxx-XX-XX 发布 XXXX-XX-XX 实施 中华人民共和国工业和信息化部 发布 I目 次 前言.II 1范围.1 2术语、定义和缩略语.1 2.1术语和定义.1 2.2

2、缩略语.2 3系统功能测试拓扑.2 4多种地址分配方式共存场景测试方法.2 4.1SLAAC 和 DHCPv6 下对主机移动的支持（同一交换机下跨端口移动）.2 4.2SLAAC 和 DHCPv6 下对主机移动的支持（跨交换机移动）.3 4.3SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口同一交换机下移动）.4 4.4SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口移动至另一交换机）.5 4.5SLAAC 和 DHCPv6 下对交换机重启的支持.6 4.6SLAAC 和DHCPv6 下和现有地址冲突时绑定建立情况（同一交换机下）.7 4.7SLAAC 和 DH

3、CPv6 和现有地址冲突时绑定建立情况（跨交换机）.8 4.8SLAAC 和 DHCPv6 下静态地址绑定情况.9 II前 言 本标准按照 GB/T1.1-2009 给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国互联网络信息中心，清华大学 本标准主要起草人：延志伟，傅瑜，毕军，王之梁1以太网接入方式下源地址验证测试方法 多种地址分配方式共存场景 1范围 本标准规定了以太网交换机接入方式下，多种地址分配方式共存场景的源地址验证方案功能的测试方法。本标准适用于以太网交换机设备或集成了内容交换功

4、能的网络设备的源地址验证功能的研制开发、技术引进和测试。2术语、定义和缩略语 2.1术语和定义 下列术语和定义适用于本文件。2.1.1 源地址验证 source address validation 在IP报文路由寻址过程中，对其携带的源地址的有效性进行验证。2.1.2 源地址验证改进 source address validation improvement 在主机接入交换机/路由器下执行的源地址验证技术，将不允许主机假冒任意非合法分配或配置的地址。2.2缩略语 下列缩略语适用于本文件。DHCP 动态主机配置协议 Dynamic Host Configuration Protocol ND

5、邻居发现协议 Neighbor Discovery SLAAC 无状态地址自动配置 Stateless Address Autoconfiguration 3系统功能测试拓扑 系统功能测试拓扑图如图 1 所示：2 图1：系统功能测试拓扑图 其中 Host1 和 Host5 的操作系统为 windows vista，Host2 的操作系统为 windows xp，Host3 的操作系统为 Linux，Host4 的操作系统为 windows 7，Attacker 为安装有测试脚本的模拟主机。4多种地址分配方式共存场景测试方法 4.1SLAAC 和 DHCPv6 下对主机移动的支持（同一交换机下跨

6、端口移动）测试项目测试项目 1.SLAAC 和 DHCPv6 下对主机移动的支持（同一交换机下跨端口移动）预置条件预置条件 同一台交换机下：主机 1 位于交换机 1 下，启动 CPS 交换机 1 的 DHCPv6 snooping 功能和 IPv6 ND snooping 功能。测试步骤测试步骤 1.在交换机 1 的 11 和 12 端口启用源地址检查功能；2.主机 1 连接至交换机 1 的 11 端口，通过 SLAAC 获取到 IPv6 地址 a，通过 DHCPv6 获取到 IPv6 地址 b，检查交换机 1 上是否为其建立了绑定；3.检测主机 1 是否可以使用地址 a 和 b 连接至网络；

7、4.将主机 1 的网线从交换机 1 的端口 11 上拔下，检查交换机 1 上的地址绑定情况；Host 1 Vlan1Attacker 1 Vlan1Attacker 2 Vlan1CPS-Switch 1 Non-SAVI Switch 3DHCPv6 Server Host 2Vlan1CPS-Switch 2 Host 5Vlan1Attacker 3 Vlan2Converge SwitchLay 3 Switch Host 3Vlan1Host 4Vlan135.将主机 1 的网线插到交换机 1 的端口 12 上，检查交换机 1 上的地址绑定情况；6.检测主机 1 是否可以使用地址 a

8、 和 b 连接至网络。7.可选主机 2/3/4 替换主机 1 进行以上步骤 预期结果预期结果 步骤 1 中，交换机 1 在端口 11 和端口 12 上开启了源地址检查功能；步骤 2 中，交换机 1 在端口 11 上为主机 1 的地址 a 建立了绑定；步骤 3 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；步骤 4 中，交换机 1 删除了在端口 11 上为主机 1 的地址 a 和 b 建立的绑定；步骤 5 中，交换机 1 在端口 12 上为主机 1 的地址 a 和 b 建立了绑定；步骤 6 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；

9、4.2 SLAAC 和 DHCPv6 下对主机移动的支持（跨交换机移动）测试项目测试项目 2.SLAAC 和 DHCPv6 下对主机移动的支持（跨交换机移动）预置条件预置条件 在两台交换机下：主机 1 位于交换机 1 下，主机 5 位于交换机 2 下。启动 CPS交换机 1 和 2 的 DHCPv6 snooping 功能和 IPv6 ND snooping 功能。测试步骤测试步骤 1.在交换机 1 的 12 端口、交换机 2 的 12 端口启用源地址检查功能；2.主机 1 连接至交换机 1 的 12 端口，通过 SLAAC 获取到 IPv6 地址 a，通过 DHCPv6 获取到 IPv6 地

10、址 b，检查交换机 1 上是否为其建立了绑定；3.检测主机 1 是否可以使用地址 a 和 b 连接至网络；4.将主机 1 的网线从交换机 1 的端口 12 上拔下，检查交换机 1 上的地址绑定情况；5.将主机 1 的网线插到交换机 2 的端口 12 上，检查交换机 2 上的地址绑定情况；6.检测主机 1 是否可以使用地址 a 和 b 连接至网络；7.可选主机 2/3/4 替换主机 1 进行以上步骤。预期结果预期结果 步骤 1 中，交换机 1 的端口 12 和交换机 2 的端口 12 上开启了源地址检查功能；步骤 2 中，交换机 1 在端口 12 上为主机 1 的地址 a 和 b 建立了绑定；步

11、骤 3 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；步骤 4 中，交换机 1 删除了在端口 12 上为主机 1 的地址 a 建立的绑定；4步骤 5 中，交换机 2 在端口 12 上为主机 1 的地址 a 和 b 建立了绑定；步骤 6 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；4.3SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口同一交换机下移动）测试项目测试项目 3.SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口同一交换机下移动）预置条件预置条件 主机 1 位于交换机 1 下，启动 CPS 交换

12、机 1 的 DHCPv6 snooping 功能和IPv6 ND snooping 功能。测试步骤测试步骤 1.在交换机 1 的 12 端口启用源地址检查功能；2.主机 1 连接至交换机 1 的 12 端口，通过 SLAAC 获取到 IPv6 地址 a，通过 DHCPv6 获取到 IPv6 地址 b，检查交换机 1 上是否为其建立了绑定；3.检测主机 1 是否可以使用地址 a 和 b 连接至网络；4.将交换机 1 的上连网线从汇聚交换机的当前端口上拔下，检查交换机 1上的地址绑定情况；5.将交换机 1 的上连网线插到汇聚交换机的另一端口上，检查交换机 1 上的地址绑定情况；6.检测主机 1 是

13、否可以使用地址 a 和 b 连接至网络；7.可选主机 2/3/4 替换主机 1 进行以上步骤。预期结果预期结果 步骤 1 中，交换机 1 的端口 12 上开启了源地址检查功能；步骤 2 中，交换机 1 在端口 12 上为主机 1 的地址 a 和 b 建立了绑定；步骤 3 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；步骤 4 中，交换机 1 保留了在端口 12 上为主机 1 的地址 a 建立的绑定；步骤 5 中，交换机 1 保留了在端口 12 上为主机 1 的地址 a 建立的绑定；步骤 6 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器

14、；4.4SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口移动至另一交换机）测试项目测试项目 4.SLAAC 和 DHCPv6 下对拓扑变化的支持（交换机上连端口移动至另一交换机）预置条件预置条件 主机 1 位于交换机 1 下，启动 CPS 交换机 1 的 DHCPv6 snooping 功能和5IPv6 ND snooping 功能。测试步骤测试步骤 1.在交换机 1 的 12 端口启用源地址检查功能；2.主机 1 连接至交换机 1 的 12 端口，通过 SLAAC 获取到 IPv6 地址 a，通过 DHCPv6 获取到 IPv6 地址 b，检查交换机 1 上是否为其建立了绑定

15、；3.检测主机 1 是否可以使用地址 a 和 b 连接至网络；4.将交换机 1 的上连网线从汇聚交换机的当前端口上拔下，检查交换机 1上的地址绑定情况；5.将交换机 1 的上连网线插到交换机 2 的未启用源地址检查功能的端口上，检查交换机 1 上的地址绑定情况；6.检测主机 1 是否可以使用地址 a 和 b 连接至网络；7.可选主机 2/3/4 替换主机 1 进行以上步骤。预期结果预期结果 步骤 1 中，交换机 1 的端口 12 上开启了源地址检查功能；步骤 2 中，交换机 1 在端口 12 上为主机 1 的地址 a 和 b 建立了绑定；步骤 3 中，主机 1 以 a 和 b 为源地址可以 P

16、ing 通 DHCP 服务器；步骤 4 中，交换机 1 保留了在端口 12 上为主机 1 的地址 a 和 b 建立的绑定；步骤 5 中，交换机 1 保留了在端口 12 上为主机 1 的地址 a 和 b 建立的绑定；步骤 6 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；4.5 SLAAC 和 DHCPv6 下对交换机重启的支持 测试项目测试项目 5.SLAAC 和 DHCPv6 下对交换机重启的支持 预置条件预置条件 主机 1 位于交换机 1 下，启动 CPS 交换机 1 的 DHCPv6 snooping 功能和IPv6 ND snooping 功能。测试步骤测

17、试步骤 1.在交换机 1 的 12 端口启用源地址检查功能；2.主机 1 连接至交换机 1 的 12 端口，通过 SLAAC 获取到 IPv6 地址 a，通过 DHCPv6 获取到 IPv6 地址 b，检查交换机 1 上是否为其建立了绑定；3.检测主机 1 是否可以使用地址 a 和 b 连接至网络；4.保存交换机 1 的当前配置，重启交换机 1；5.交换机 1 重启完成后检查交换机 1 上的地址绑定情况；6.检测主机 1 是否可以使用地址 a 和 b 连接至网络；67.可选主机 2/3/4 替换主机 1 进行以上步骤。预期结果预期结果 步骤 1 可以用申请到的地址上网；步骤 2 可以用申请到的

18、地址上网；步骤 3 可以用申请到的地址上网；步骤 4 可以用申请到的地址上网；步骤 5 主机 1 假冒 B1 不能上网；步骤 6 主机 1 假冒 B2 不能上网；4.6 SLAAC 和 DHCPv6 下和现有地址冲突时绑定建立情况（同一交换机下）测试项目测试项目 6.SLAAC 和 DHCPv6 下和现有地址冲突时绑定建立情况（同一交换机下）预置条件预置条件 同一台交换机下：主机 1 位于交换机 1 下，主机 4 位于交换机 1 下，启动SAVI 交换机 1 的 DHCPv6 snooping 功能和 IPv6 ND snooping 功能。测试步骤测试步骤 1.主机 1 做 ND 过程，设获

19、得一个 ND 地址 A1；2.主机 4 做 ND 过程，设获得一个 ND 地址 B1；3.主机 1 获取一个 DHCPv6 地址 A2；4.主机 4 获取一个 DHCPv6 地址 B2；5.主机 1 假冒 B1；6.主机 1 假冒 B2；预期结果预期结果 步骤 1 中，交换机 1 的端口 12 上开启了源地址检查功能；步骤 2 中，交换机 1 在端口 12 上为主机 1 的地址 a 建立了绑定；步骤 3 中，主机 1 以 a 和 b 为源地址可以 Ping 通 DHCP 服务器；步骤 5 中，交换机 1 建立了在端口 12 上为主机 1 的地址 a 建立的绑定；步骤 6 中，主机 1 以 a

20、和 b 为源地址可以 Ping 通 DHCP 服务器；4.7SLAAC 和 DHCPv6 和现有地址冲突时绑定建立情况（跨交换机）测试项目测试项目 7.SLAAC 和 DHCPv6 和现有地址冲突时绑定建立情况（跨交换机）预置条件预置条件 在两台交换机下：主机 1 位于交换机 1 下，主机 5 位于交换机 2 下。启动SAVI 交换机 1 和 2 的 DHCPv6 snooping 功能和 IPv6 ND snooping 功能。测试步骤测试步骤 1.将主机 1 接入交换机 1，分别获取；72.主机 5 做 ND 过程，设获得一个 ND 地址 B1；3.主机 1 获取一个 DHCPv6 地址

21、A2；4.主机 5 获取一个 DHCPv6 地址 B2；5.主机 1 假冒 B1；6.主机 1 假冒 B2；预期结果预期结果 1)步骤 1 可以用申请到的地址上网；2)步骤 2 可以用申请到的地址上网；3)步骤 3 可以用申请到的地址上网；4)步骤 4 可以用申请到的地址上网；5)步骤 5 主机 1 假冒 B1 不能上网；6)步骤 6 主机 1 假冒 B2 不能上网。4.8SLAAC 和 DHCPv6 下静态地址绑定情况 测试项目测试项目 8.SLAAC 和 DHCPv6 下静态地址绑定情况 预置条件预置条件 测试步骤测试步骤 1.在交换机的 A 端口开启源地址检查功能；2.启动 CPS 交换机 1 的 IPv6 ND snooping 和 DHCPv6 snooping；3.将主机 1 连接到交换机 1 的 A 端口，手工为主机 1 添加地址 2001:3；4.在交换机上使用 ACL 手工建立 A 端口与地址 2001:3 的绑定 5.显示手工建立的绑定；6.检验该地址是否可以通讯；预期结果预期结果 第 5 步绑定表中能够显示出主机 1 绑定的地址。第 6 步主机 1 应能以 2001:3 为源地址 ping 通路由器。_