政企網(wǎng)關(guān)設(shè)備安全技術(shù)要求II目 次前言 II引言 III范圍 1規(guī)性用件 1術(shù)和義 1縮語 2安技要求 3火功能 3VPN3VxLAN功能 4IPv4防擊 4IPv6防擊 4防ARP攻擊 4志能 4附錄A（料）企關(guān)設(shè)典應(yīng)場介紹 6PAGEPAGE1政企網(wǎng)關(guān)設(shè)備安全技術(shù)要求范圍VPNVxLANIPv4IPv6ARP（GB/T25069-2010 RFC3145 L2TP鏈信息（L2TPDisconnectCauseInformation）RFC3193 L2TPoverIPSec（SecuringL2TPusingIPsec）RFC3931 L2TP議3.0本（LayerTwoTunnelingProtocol-Version3(L2TPv3)）RFC3972 地加生（CryptographicallyGeneratedAddresses(CGA)）GB/T25069-2010中界定的以及下列術(shù)語和定義適用于本文件。3.1政企關(guān)備 enterprisegatewaydevicesVPNA。3.2訪問制 accesscontrol選擇性地限制對地址空間或其他資源的訪問以實(shí)現(xiàn)對系統(tǒng)資源的安全保護(hù)。3.3傳輸式 transfermodeIPSecIPIPpayload間插IPSec3.4隧道式 tunnelmodeIPSecIPIPSecIP3.5鄰居現(xiàn)議 neighbordiscoveryprotocol工作在IPv6網(wǎng)絡(luò)層，負(fù)載在鏈路上發(fā)現(xiàn)其他節(jié)點(diǎn)和相應(yīng)的地址，并確定可用路由和維護(hù)關(guān)于可用路徑和其他活動節(jié)點(diǎn)的信息可達(dá)性。3.6廣播暴 broadcaststorm縮略語下列縮略語適用于本文件。ARP：地址解析協(xié)議（AddressResolutionProtocol）CHAP：挑戰(zhàn)握手身份認(rèn)證協(xié)議（ChallengeHandshakeAuthenticationProtocol）DHCP：動態(tài)主機(jī)配置協(xié)議（DynamicHostConfigurationProtocol）DNS：域名系統(tǒng)（DomainNameSystem）DoS：拒絕服務(wù)（DenialofService）FTP：文件傳送協(xié)議（FileTransferProtocol）HTTP：超文本傳輸協(xié)議（HypertextTransferProtocol）HTTPS：超文本傳輸安全協(xié)議（HypertextTransferProtocolSecure）ICMP:因特網(wǎng)控制消息協(xié)議（InternetControlMessageProtocol）IKE：因特網(wǎng)密鑰交換（InternetKeyExchange）IP：因特網(wǎng)協(xié)議（InternetProtocol）IPSec：互聯(lián)網(wǎng)絡(luò)層安全協(xié)議（InternetProtocolSecurity）L2TP：二層隧道協(xié)議（Layer2TunnelingProtocol）MAC：介質(zhì)訪問控制（MediumAccessControl）NTP：網(wǎng)絡(luò)時間協(xié)議（NetworkTimeProtocol）POP3：郵局協(xié)議版本3（PostOfficeProtocol-Version3）RADIUS：遠(yuǎn)程用戶撥號認(rèn)證系統(tǒng)（RemoteAuthenticationDialInUserService）RTSP：實(shí)時流協(xié)議（Real-timeStreamingProtocol）SIP：會話初始協(xié)議（SessionInitiationProtocol）SMTP：簡單郵件傳送協(xié)議（SimpleMailTransferProtocol）SNMP：簡單網(wǎng)絡(luò)管理協(xié)議（SimpleNetworkManagementProtocol）TCP：傳輸控制協(xié)議（TransmissionControlProtocol）UDP：用戶數(shù)據(jù)報(bào)協(xié)議（UserDatagramProtocol）VPN：虛擬專用網(wǎng)（VirtualPrivateNetwork）VxLAN：虛擬可擴(kuò)展局域網(wǎng)（VirtualxLocalAreaNetwork）80、8080、21、23MAC/IPMAC/IPIPv6TC（TrafficClassURL（UniformResourceLocator）（.doc，.xlsceXJaCookeJaacpICoonGaeayneaceAAceServerPages）等類型的腳本程序進(jìn)行過濾，具備向管理用戶瀏覽器報(bào)警功能。IPIPIPIPTCP/UDP/ICMPofServices）宜支持協(xié)議狀態(tài)檢測防火墻功能，可支持對ICMP、HTTP、HTTPS、FTP、SMTP、POP3、DNSRADIUSSIPNTPH.323、SNMPRTSPVPN政企網(wǎng)關(guān)設(shè)備應(yīng)至少支持L2TP、IPSec、SSLVPN其中一種VPN功能。L2TPLAC（L2TPAccessConcentrator，L2TP）RFC3145規(guī)定。CHAPLNS（L2TPNetworkServer，L2TP）CHAPIPSecL2TPRFC3193規(guī)定。Pair）L2TPv3，符合RFC3931IPSecESP(Encapsulatingsecutiypayload)AH(Authenticationheader)+ESP應(yīng)支持預(yù)共享密鑰方式和X.509數(shù)字證書等認(rèn)證方式來進(jìn)行VPNIKE應(yīng)支持PFS（PerfectForwardSecrecy）（IKE）。AES128/SM4（SHA-256SM3DPD（Deadpeerdetection）SSLVPNTLSv1.2/宜支持傳輸層密碼協(xié)議TLCP（Transportlayercryptographyprotocol）。VxLANMAC ARP抑制功能，防止網(wǎng)絡(luò)中出現(xiàn)大量BUM（Broadcast&Unknown-unicast&Multicast）報(bào)文。VxLANMAC表項(xiàng)管理功能，如MACVxLANOverIPSecVPNIPv4應(yīng)支持抵抗常見的DoSICMPDHCPsnooping功能，減緩偽造DHCPServerIPv6應(yīng)支持抵抗常見的DoSRA（RouterAdvertisement）NDP（NeighborDiscoveryProtocol）SN