ICS33.050

CCSM30

團(tuán)體標(biāo)準(zhǔn)

T/TAF098-2021

SDN網(wǎng)關(guān)設(shè)備安全技術(shù)要求

SecuritytechnicalrequirementsforSDNgatewaydevices

2021-11-17發(fā)布2021-11-17實(shí)施

電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布

T/TAF098-2021

SDN網(wǎng)關(guān)設(shè)備安全技術(shù)要求

1范圍

本文件規(guī)定了SDN網(wǎng)關(guān)設(shè)備在授權(quán)認(rèn)證、配置安全、數(shù)據(jù)安全、防DoS攻擊能力等方面的安全技術(shù)

要求。本文件適用于SDN網(wǎng)關(guān)設(shè)備的設(shè)計(jì)和生產(chǎn)廠(chǎng)商、系統(tǒng)集成商、設(shè)備使用方、安全檢測(cè)和安全認(rèn)證

機(jī)構(gòu)使用。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T25069-2010信息安全技術(shù)術(shù)語(yǔ)

T/TAF040-2019智能網(wǎng)關(guān)設(shè)備安全技術(shù)要求

3術(shù)語(yǔ)和定義

GB/T25069-2010中界定的以及下列術(shù)語(yǔ)和定義適用于本文件。

3.1

SDN網(wǎng)關(guān)設(shè)備SDNgatewaydevices

SDN網(wǎng)關(guān)設(shè)備是基于Openflow協(xié)議的具備連通外部廣域通信網(wǎng)絡(luò)和居住環(huán)境內(nèi)部局域網(wǎng)絡(luò)功能，

并支持Internet、VoIP、IPTV和無(wú)線(xiàn)接入功能的設(shè)備。SDN網(wǎng)管典型應(yīng)用場(chǎng)景見(jiàn)附錄A。

3.2

北向接口NorthboundInterface

SDN網(wǎng)關(guān)提供給運(yùn)營(yíng)商進(jìn)行接入和管理的接口，該接口遵循Openflow協(xié)議規(guī)范。

4縮略語(yǔ)

下列縮略語(yǔ)適用于本文件。

DoS：拒絕服務(wù)（DenialofService）

IPTV：網(wǎng)絡(luò)協(xié)議電視（InternetProtocolTelevision）

SDN：軟件定義網(wǎng)絡(luò)（SoftwareDefinedNetwork）

TLS：傳輸層安全協(xié)議（TransportLayerSecurity）

VoIP：網(wǎng)絡(luò)電話(huà)（VoiceOverInternetProtocol）

1

T/TAF098-2021

5安全技術(shù)要求

5.1授權(quán)認(rèn)證

a)應(yīng)支持OpenflowV1.3及以上協(xié)議。

b)應(yīng)禁止非授權(quán)控制器的訪(fǎng)問(wèn)。

5.2配置安全

a)SDN網(wǎng)關(guān)的北向接口應(yīng)僅支持使用SDN控制器進(jìn)行管理，禁止使用其他方式進(jìn)行管理。

b)SDN網(wǎng)關(guān)的北向接口應(yīng)支持TLSV1.2及以上加密通道。

c)SDN網(wǎng)關(guān)的WEB配置安全應(yīng)滿(mǎn)足T/TAF040-20194.3.3的要求。

d)宜支持防惡意或虛假表項(xiàng)注入。

5.3數(shù)據(jù)安全

a)應(yīng)支持本地用戶(hù)信息安全加密存儲(chǔ)，包括不限于：語(yǔ)音賬號(hào)口令、無(wú)線(xiàn)口令、VPN賬號(hào)口令

等。

b)應(yīng)支持防流表溢出功能。

c)宜支持本地用戶(hù)信息的完整性校驗(yàn)，防止被惡意篡改。

d)宜支持本地靜態(tài)流表的安全加密存儲(chǔ)。

5.4防DoS能力

a)應(yīng)支持在轉(zhuǎn)發(fā)平面遭受DoS攻擊的時(shí)候，設(shè)備不脫管。

b)應(yīng)支持防流表洪泛攻擊。

c)應(yīng)支持對(duì)異常控制數(shù)據(jù)請(qǐng)求的防護(hù)。

d)宜支持針對(duì)轉(zhuǎn)發(fā)至控制器的報(bào)文（Packet-in）進(jìn)行攻擊行為識(shí)別，并針對(duì)惡意報(bào)文進(jìn)行丟棄。

2

T/TAF098-2021

附錄A

（資料性）

SDN網(wǎng)關(guān)設(shè)備典型應(yīng)用場(chǎng)景示意圖

SDN網(wǎng)關(guān)設(shè)備應(yīng)用在家庭網(wǎng)絡(luò)出入口，如圖A.1所示。圖中左邊虛線(xiàn)框里包括云服務(wù)平臺(tái)和集中管

理平臺(tái)(SDN控制器)兩種典型的網(wǎng)絡(luò)側(cè)平臺(tái)。本地管理支持用戶(hù)通過(guò)瀏覽器對(duì)SDN網(wǎng)關(guān)的WiFi接入?yún)?shù)

進(jìn)行配置和設(shè)備狀態(tài)查詢(xún)等功能。

典型的SDN網(wǎng)關(guān)設(shè)備是基于Openflow協(xié)議的設(shè)備，通常為用戶(hù)提供Internet、WLAN接入、IPTV、

光纖接入等功能。SDN網(wǎng)關(guān)就是通過(guò)軟件集中控制網(wǎng)絡(luò)編排方式，推動(dòng)網(wǎng)關(guān)的控制能力“上云”。從而降

低對(duì)網(wǎng)關(guān)硬件的處理能力要求，同時(shí)實(shí)現(xiàn)業(yè)務(wù)的快速部署。

圖A.1SDN網(wǎng)關(guān)設(shè)備典型應(yīng)用場(chǎng)景示意圖

3

T/TAF098-2021

電信終端產(chǎn)業(yè)協(xié)會(huì)團(tuán)體標(biāo)準(zhǔn)

SDN網(wǎng)關(guān)設(shè)備安全技術(shù)要求

T/TAF098-2021

*