5.3.1.2业务报文流量抑制

常报文，具体包括以下几点。 a）应支持专网业务广播报文流量抑制功能，端口的广播报文流量抑制值应可配置， b）应支持专网业务组播报文流量抑制功能，端口的组播报文流量抑制值应可配置。 c）应支持专网业务未知单播报文流量抑制功能， 端口的未知单播报文流量抑制值应可配置。

5.3.1.3以太网业务错顿丢弃

以太错包通常包括报文字段缺失、乱序、重复、超长、超短、混乱等情况，出现原因可能包括恶意 用户伪造、传输线路误码、设备硬件处理异常等。处理错包会给设备带来额外的负担，消耗正常业务带 宽，设备应识别出并丢弃。应支持下列情形错包丢弃：

水利管理YD/T 2376.6—2018

a）丢弃源宿MAC地址相同的以太帧； b）丢弃长度小于64字节的以太顿； c）丢弃长度大于MTU的以太顿； d）丢弃超长（其数据部分的长度大于65535字节）的以太帧； e）丢弃FCS（CRC）错误的以太。

5.3.3L2VPN隔离性要求

5.4L3VPN业务转发安全

5.4.1L3VPN隔离

L3PTN设备除了具备L2PTN设备的隔离机制以外，还应具备L3VPN隔离的以下功能。 a）对于L3VPN，数据应严格基于VRF标签进行LSP转发，一个VPN的内容不应进入到另外 个VPN。 b）当支持VPN服务时，特别是在同一个物理接口上通过不同的L3逻辑接口支持VPN服务时 可基于L3逻辑接口对接入速率进行限制。

YD/T2376.6—2018

c）VPN之间的拓扑和编址信息应相互隔离，一个VPN应可以使用所有IP地址范围，包括IET RFC1918定义的私有地址范围，VPN之间或VPN和MPLS骨干之间应可以复用IP地址空 间。 d 应为每个VPN维持一个独立的VRF实例，除非需要，VPN之间或VPN和MPLS骨干之 间的路由信息及其分发和处理应相互独立，互不干扰。 可实现VPN使用的L3层PTN设备资源（如内存等）的相互隔离，防止因一个VPN独占资 源而造成的对于其他VPN的DoS攻击。

5.4.2L3PTN设备抗攻击能力

针对已知的各种攻击，L3PTN设备应能够进行处理，并且不影响正常的数据转发。当L3PTN设 检测到攻击发生，应该生成告警。下面几种常见的攻击，L3PTN设备应也能够处理。 a）抗大流量攻击能力。PTN网络核心层设备在经过L2层VPN的过滤后，一般不会造成网络大 流量攻击的情况。当L3PTN设备直接接入3层网络设备时，L3PTN设备可能遇到的大流量 攻击，包括远超过正常业务流量的过路流量，会占用大量的资源导致PTN设备瘫痪或者崩溃。 应支持以下不同流量的抗攻击处理能力。 1）对于过路流量，L3PTN设备可通过端口流量限速转发，对于超过限速的流量可按照一定 比例去弃报文，同时保证管理报文以及高优先级报文的正常发送和接收。 2）对于目的地址为PTN设备的异常攻击流量，应采用丢弃报文策略，同时生成告警日志。 3）L3PTN设备应在受到大流量攻击的情况下，保障正常业务的发送，不能出现崩溃现象。 b）定向广播报文攻击防范。Smurf攻击是一种利用定向广播报文的分布式DoS攻击方法，如果设 备不能提供适当的防护措施，往往会造成设备崩溃。对于定向广播报文应能够提供策略控制， 禁止该类报文转发或者以广播形式转发；对于分布式DoS攻击，应能够提供简单策略阻止这 种分布式DoS攻击向其他设备扩散，而造成对其他设备的冲击，其他设备指这些流量攻击报 文将要达到的设备。 c）IP地址哄骗防范。网络中通常会有大量的源地址哄骗攻击，为了检测这种攻击，可应用单播 逆向路径转发（URPF）技术来限制这类报文在网络中出现。

5.4.3路由功能选项

L3PTN设备采用静态路由算法。

L3PTN设备采用静态路由算法。

5.4.4协议端口关闭功能

L3PTN设备应支持以下协议端口的关闭功能。 a）关闭IP功能服务。IP提供丰富的功能服务，但由于设计之初没有考虑其安全性，许多服务也 成为攻击的手段，比如有一种攻击就是利用UDP的端口7（Ehco）和端口19（Chargen）。 而这些服务中有很多是已经不再使用的，或很少使用的，有些是针对主机的，在设备上根本没 有使用。对于L3PTN设备，如果提供了这些服务，应能提供手段来关闭这些功能和服务。

YD/T2376.6—2018

b）ICMP的功能开关。ICMP允许网络设备向其他设备发送错误发生指示或控制报文，而很多常 见的网络攻击也是利用了ICMP的某些功能。对于上述ICMP类型，如果设备实现了该协议类 型，应提供关闭功能。 代理ARP。代理ARP是一台主机代替另一台主机应答ARP请求，该主机负责将分组转发到 最终目的地的一种技术，代理ARP能够帮助一个子网的主机不用配置路由或默认网关到送远 端子网。L3PTN设备如果支持该功能，应具有关闭代理ARP的能力。 d）其他服务开关。应缺省关闭TCP和UDP小端口服务，或者不提供这些服务模块

6.1设备组网安全保障能力

设备组网安全要求主要提供以下安全保障能力。 a）设备保护和组网保护可以在受到网络故障的情况下，保障网络资源的可用性。 b）PTN设备提供的QoS机制可以在用户侧进行用户流量接入控制，在网络侧实现流量控制和流 量监管，限制各类业务的最大流量，控制网络整体资源的使用，从而保证网络整体的可靠运行。 c）PTN设备提供的OAM机制可以提高对网络故障、性能劣化等安全告警事件的监测能力。

6.2.1设备保护能力

PTN设备应支持余保护配置，包括主控盘、交叉盘、电源盘、电支路盘等，支持保护倒换 设置（如保护模式、保护倒换准则、返回方式等），支持保护倒换操作（包括人工、强制、清除 等），支持当前保护倒换状态的查询。设备保护能力要求见YD/T2397一201212.2.1。

PTN设备应具备UNI业务接口的流分类和流标记、接入速率控制、流量监管功能，在NNI端口具 备报文出口的拥塞避免、缓存和队列调度、连接允许控制等功能。具体的QoS功能见YD/T2374一2011 8.1。

YD/T2376.62018

本部分定义的设备安全要求主 设备运行环境的稳定性和可靠性。

7.2设备接口安全要求

7.2.1光接口平均发送光功率

7.2.2接收机过载光功率

N设备的平均无故障时间（MTBF）待研究。

7.4设备环境安全要求

7.4.1环境温度、湿度要求

7.4.2电源及电气要求

7.4.3环境实验要求

YD/T 2376.6—2018

对于PTN设备的环境实验条件，温度选择40℃+2℃，高温持续时间为16h，其他条件见 23.2一2008第3章，设备应无丢包、误码和告警产生。 环境高温测试启动进行2h以后，设备接口的平均发送光功率、接收灵敏度应满足常温指标要

PTN设备的电磁兼容性指标应符合GB/T19286—2015、GB9254—2008以及GB/T17618—20 定。

PTN设备在我国抗震设防烈度7烈度及以上地区公用电信网中使用时，其结构抗地震性能应 D.5091.12015要求。

PTN设备防雷击能力应该符合GB/T3482200

网络管理系统面对的安全威胁主要存在以下几个方面： a）对数据流量进行分析，从而获得设备有关的系统配置信息； b）未经授权访问设备管理端口，控制整个设备； c）利用管理信息流实施拒绝服务攻击。

8.2网管系统账号口令要求

8.2.1网管系统用户帐号要求

YD/T2376.6—2018

8.2.2网管口令管理要求

8.2.3网管安全日志要求

网管系统的安全日志要求如下。 a） EMS应能够对登录失败、登录成功、退出设备生成日志。EMS记录的日志内容应当包含登录 时间、用户名称、登录结果成功、在系统中的逗留时间、退出时间、登录失败。 b）EMS应支持登录日志和操作日志的备份功能。EMS应对删除日志功能进行控制，管理员账户 不能执行删除日志操作。 管理面业务配置操作应有日志记录。根据给定条件应可以对EMS操作日志进行查询，查询的 条件可以为给定时间、时间段、给定用户。我们可以查询到的信息应包括操作时间、操作人、 操作名称、操作结果（成功或失败）

深圳标准规范范本8.2.4安全管理协议

安全管理协议要求如下。 a） 管理接口的通信端口要求。PTN设备管理接口开启的通信端口、协议应是系统运行必需的， 无多余端口、协议开放。 b）网管接口协议要求包括以下几点。 1）PTN设备应可以关闭SNMP。对于默认启用SNMP的设备，应有关闭SNMP的配置选项 2）PTN设备应能够关闭SNMP的RW权限，仅提供RO权限。 3）PTN设备应支持发起网管接口协议源IP地址限制。IP不在允许范围内时，无法访问。 4）PTN设备应支持SNMP的RO和RW的Community通行字加密。 5）网管脱管以后，业务应不受到影响

YD/T 2376.6—2018

c）PTN设备管理面与数据转发面应隔离。 扫描业务接口，开放的端口中应没有管理协议端口。 使用管理协议用业务接口IP地址登录设备，应无法登录。 d）通过IP协议进行PTN设备的远程维护，应支持对允许登录到该设备的IP地址范围进行限定。

9.1信令网络的可靠性

9.2管理数据通信的安全性

9.3信令协议安全机制

PTN的信令控制面不同于路由器的动态协议实现，PTN业务路径的自动计算由网管EMS完成， PTN业务的建立和管理通过网管EMS静态配置实现。信令协议的安全要求如下。 a）设备网管通信协议应支持路由协议认证功能，对支持的路由协议应具有认证功能的配置选项 设备能够正常配置认证字，认证字在本地存储时要求加密。 b）设备接入DCN域需要进行安全认证，防止非法设备接入DCN域。

PTN设备的DCN网络接口应具备协议开启和关闭能力。 DCN网络接口应具备抗攻击能力医疗器械标准，DCN网络抗攻击能力应满足5.2的要求。