ICS 33.040.40 CCS L79 YD 中华人民共和国 通信行业标准 YD/T XXXX—XXXX 域间路径验证（ IDPV）技术要求 控制平面 The requirements for the inter-domain path verification (IDPV)——Control plane （报批稿） （本稿完成时间： 2023年2月21日） XXXX - XX - XX发布 XXXX - XX - XX实施 中华人民共和国工业和信息化部 发 布 YD/T XXXXX—XXXX I目  次 前言 .................................................................................. II 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语和定义 ........................................................................... 1 4 缩略语 ............................................................................... 3 5 总体机制 ............................................................................. 3 6 根密钥生成及维护 ..................................................................... 3 7 动态标签生成 ......................................................................... 6 8 路由节点提前写入动态标签 ............................................................. 7 9 端节点申请动态标签 ................................................................... 9 10 时间同步 ........................................................................... 11 YD/T XXXXX—XXXX II 前  言 本文件按照 GB/T 1.1-2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起 草。 本文件是《域间路径验证（ IDPV）技术要求》系列标准之一，本系列标准的名称和结构如下： ——控制平面； ——数据平面。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会归口。 本文件起草单位：清华大学 、中国信息通信研究院、 中国电信集 团有限公司、华为技术有限公司、 新华三技术有限公司。 本文件主要起草人：徐恪、王晓亮、 付松涛、 吴建平、赵锋、史凡、陈国义、万晓兰 。 YD/T XXXXX—XXXX 1域间路径验证 (IPDV)技术要求 控制平面 1　范围 本文件规定了在管理域间路径验证方案中控制平面的技术要求 ，包括规定了控制平面的功能 、根密 钥的协商、动态标签的生成、动态标签的申请与分发 ，以及时间同步机制 。 本文件适用于 IPv6互联网的真实路径验证方案。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 IETF RFC 5905 网络时间协议（第 4版）规范和实现（ Network Time Protocol Version 4: Protocol and Algorithms Specification ） 3　术语和定义 下列术语和定义适用于本文件。 3.1 域间路径验证 inter-domain path verification 用于源和目的用户验证数据包传输过程实际经过的路由节点是否符合用户预期。 3.2 管理域administrative domain 路径验证的基本单位，可以是一个自治系统，或一个子网。 3.3 密钥分发服务器 key distribution server 每个管理域配置的一台 （或多台 ）服务器，用于管理域间主密钥的同步 ，以及为验证实体 （路由节 点及用户）生成及分发密钥。 3.4 用户 user 包括源用户和目的用户 ，源用户与目的用户可以是端节点 ，也可以是边界路由节点 ，当源用户为端 节点时，目的用户也为端节点；源用户为边界路由节点时，目的用户也为边界路由节点。 3.5 YD/T XXXXX—XXXX 2路由节点 AD edge router 从源用户到目的用户的每个管理域入口边界路由节， 在控制平面与 KDS通信接收标签，在数据平 面完成基于动态标签的认证码计算、验证以及更新操作。 3.6 路由节点标识符 AER identifier 路由节点对应前缀或其它能在管理域唯一标识该设备的编号。 3.7 用户标识符 user identifier 当用户为端节点时， 用户标识符为用户 IPv6地址；当用户为路由节点时，用户标识符为源和目的 用户的路由节点标识符。 3.8 消息认证码 message authentication code 为使用特定算法生成的一定数量的比特位，可用于验证认证码生成者的身份。 3.9 动态标签 dynamic tag 动态的设备标识 ，在同一时隙 ，两个设备实体共享一个动态标签 ，生成及验证认证码时使用该标签 作为输入之一。 3.10 同步时隙 synchronizing time slot 网络动态标签根据时隙变化 ，全网控制面保持秒级的同步 ，以确保任意两个设备之间的时隙相差不 超过一个完整的时隙。 3.11 时间片 epoch 源和目的用户执行验证策略的基本单位，每个时间片传输一定数量的数据包。 3.12 策略policy 源和目的用户共享的验证参数 ，如每个时间片内有多少数据包 ，每个中间路由节点验证多少比例的 数据包。 3.13 部署 deployment 将动态标签从控制面下发到 AER，将路径验证程序部署到路由节点及用户。 3.14 应答包 acknowledge 目的用户向源用户发送验证结果的数据包。 YD/T XXXXX—XXXX 33.15 共享时间片 shared time slot 网络时间同步后 ，设备之间仍可能存在着微小的时间误差 ，因此设置一个共享时间片 ，在该共享时 间片内，有多于一个标签同时有效。 3.16 管理域前缀信息 AD prefix information 各管理域所拥有的地址前缀的信息。 4　缩略语 下列缩略语适用于本文件： AD 管理域 (Administrative Domain) ACK 肯定应答包 (Acknowledge) AER 边界路由节点 (AD Edge Router) IDPV 域间路径验证 (Inter-domain Path Verification) IP 互联网协议 (Internet Protocol) IPv6 互联网协议第 6版(Internet Protocol version 6) KDS 密钥分发服务器 (Key Distribution Server) MAC 消息认证码 (Message Authentication Code) NAK 否定应答包 Rid 路由节点标识符 (AER Node Identifier) Tag 动态标签 (Dynamic Tag) TS 时隙 (Time Slot) Uid 用户标识符 (User Identifier) 5　总体机制 域间路径验证方案（ IPDV）控制平面通过预先配置的方式在路由节点和端节点配置用于路径验证 的动态标签 。控制平面在每个管理域配置密钥分发服务器 ，服务器基于根密钥和路由节点信息生成和分 发标签。路由节点信息记录路由节点标识和拓扑关系 ，密钥分发服务器根据管理域之间共享的根密钥和 设备标识信息 ，生成可表示设备身份的动态标签 ，然后向端节点和边界路由节点下发对应标签 。管理域 边界路由节点从控制服务器获取本设备对应的动态标签信息， 存入本地 ；端节点用户在每次需要通信前 获取本路径上