4. Anforderungen

Dieser Abschnitt spezifiziert die Anforderungen für IPv6-CE-Router. Die Anforderungen sind in die folgenden Kategorien organisiert:

• Allgemeine Anforderungen
• WAN-seitige Konfiguration
• LAN-seitige Konfiguration
• Unterstützung von Übergangstechnologien
• Sicherheitserwägungen

Jede Anforderung ist mit einer Kennung (z. B. G-1, W-1, L-1) versehen, um eine einfache Referenzierung zu ermöglichen.

4.1. Allgemeine Anforderungen

Der IPv6-CE-Router ist verantwortlich für die Implementierung von IPv6-Routing; das heißt, der IPv6-CE-Router muss die IPv6-Zieladresse in seiner Routing-Tabelle nachschlagen, um zu entscheiden, an welche Schnittstelle er das Paket senden soll.

In dieser Rolle ist der IPv6-CE-Router dafür verantwortlich sicherzustellen, dass Verkehr, der seine ULA-Adressierung verwendet, nicht über die WAN-Schnittstelle hinausgeht und nicht von der WAN-Schnittstelle stammt.

G-1: Ein IPv6-CE-Router ist ein IPv6-Knoten gemäß der IPv6 Node Requirements-Spezifikation [RFC6434].

G-2: Der IPv6-CE-Router MUSS ICMPv6 gemäß [RFC4443] implementieren. Insbesondere MÜSSEN Punkt-zu-Punkt-Verbindungen wie in Abschnitt 3.1 von [RFC4443] beschrieben behandelt werden.

G-3: Der IPv6-CE-Router DARF NICHT IPv6-Verkehr zwischen seinen LAN-Schnittstellen und seiner WAN-Schnittstelle weiterleiten, bis der Router den IPv6-Adress- und den delegierten Präfix-Erwerbsprozess erfolgreich abgeschlossen hat.

G-4: Standardmäßig DARF ein IPv6-CE-Router, der keine Standard-Router auf seiner WAN-Schnittstelle hat, sich NICHT als IPv6-Standard-Router auf seinen LAN-Schnittstellen ankündigen. Das heißt, das Feld "Router Lifetime" wird in allen von ihm ausgehenden Router Advertisement-Nachrichten auf null gesetzt [RFC4861].

G-5: Standardmäßig MUSS der IPv6-CE-Router, wenn er ein ankündigender Router ist und seine IPv6-Standard-Router verliert und/oder einen Konnektivitätsverlust auf der WAN-Schnittstelle erkennt, sich explizit als IPv6-Standard-Router auf jeder seiner ankündigenden Schnittstellen ungültig machen, indem er sofort eine oder mehrere Router Advertisement-Nachrichten mit dem auf null gesetzten Feld "Router Lifetime" überträgt [RFC4861].

4.2. WAN-seitige Konfiguration

Der IPv6-CE-Router muss Konnektivität zu einer oder mehreren Zugangsnetzwerkarchitekturen unterstützen. Dieses Dokument beschreibt einen IPv6-CE-Router, der nicht spezifisch für eine bestimmte Architektur oder einen bestimmten Dienstanbieter ist und alle häufig verwendeten Architekturen unterstützt.

IPv6 Neighbor Discovery- und DHCPv6-Protokolle funktionieren über jeden Typ von IPv6-unterstützter Sicherungsschicht, und es besteht keine Notwendigkeit für ein sicherungsschichtspezifisches Konfigurationsprotokoll für IPv6-Netzwerkschicht-Konfigurationsoptionen wie z. B. bei PPP IP Control Protocol (IPCP) für IPv4. Dieser Abschnitt geht davon aus, dass derselbe Mechanismus für jede Sicherungsschicht funktioniert, sei es Ethernet, die Data Over Cable Service Interface Specification (DOCSIS), PPP oder andere.

WAN-seitige Anforderungen

W-1: Wenn der Router an die WAN-Schnittstellenverbindung angeschlossen ist, MUSS er für die Zwecke der zustandslosen [RFC4862] oder zustandsbehafteten [RFC3315] Schnittstellenadresszuweisung als IPv6-Host fungieren.

W-2: Der IPv6-CE-Router MUSS eine link-lokale Adresse generieren und die Duplicate Address Detection gemäß [RFC4862] abschließen, bevor er Router Solicitations auf der Schnittstelle sendet. Die Quelladresse, die in der nachfolgenden Router Solicitation verwendet wird, MUSS die link-lokale Adresse auf der WAN-Schnittstelle sein.

W-3: In Abwesenheit anderer Routing-Informationen MUSS der IPv6-CE-Router Router Discovery wie in [RFC4861] spezifiziert verwenden, um Standard-Router zu entdecken und eine oder mehrere Standardrouten in seiner Routing-Tabelle mit der Adresse des entdeckten Routers als nächstem Hop zu installieren.

W-4: Der Router MUSS als anfordernder Router für die Zwecke der DHCPv6-Präfixdelegierung ([RFC3633]) fungieren.

W-5: Der IPv6-CE-Router MUSS einen persistenten DHCP Unique Identifier (DUID) für DHCPv6-Nachrichten verwenden. Der DUID DARF NICHT zwischen Netzwerkschnittstellen-Resets oder IPv6-CE-Router-Neustarts wechseln.

W-6: Die WAN-Schnittstelle des CE-Routers SOLLTE einen Port Control Protocol (PCP) Client wie in [RFC6887] spezifiziert unterstützen, zur Verwendung durch Anwendungen auf dem CE-Router. Der PCP-Client SOLLTE das in Abschnitt 8.1 von [RFC6887] spezifizierte Verfahren befolgen, um seinen PCP-Server zu entdecken. Dieses Dokument nimmt keine Position dazu ein, ob eine solche Funktionalität standardmäßig aktiviert ist oder zu Mechanismen, durch die Benutzer die Funktionalität konfigurieren würden. Die Behandlung von PCP-Anfragen von PCP-Clients auf der LAN-Seite des CE-Routers liegt außerhalb des Geltungsbereichs.

Sicherungsschicht-Anforderungen

WLL-1: Wenn die WAN-Schnittstelle Ethernet-Kapselung unterstützt, dann MUSS der IPv6-CE-Router IPv6 over Ethernet [RFC2464] unterstützen.

WLL-2: Wenn die WAN-Schnittstelle PPP-Kapselung unterstützt, MUSS der IPv6-CE-Router IPv6 over PPP [RFC5072] unterstützen.

WLL-3: Wenn die WAN-Schnittstelle PPP-Kapselung unterstützt, MÜSSEN in einer Dual-Stack-Umgebung mit IPCP und IPV6CP, die über einen PPP-Logikkanal laufen, die Network Control Protocols (NCPs) als unabhängig voneinander behandelt werden und unabhängig starten und beenden.

Adresszuweisungsanforderungen

WAA-1: Der IPv6-CE-Router MUSS Stateless Address Autoconfiguration (SLAAC) [RFC4862] unterstützen.

WAA-2: Der IPv6-CE-Router MUSS den Empfehlungen in Abschnitt 4 von [RFC5942] folgen, insbesondere der Behandlung des L-Flags in der Router Advertisement Prefix Information-Option.

WAA-3: Der IPv6-CE-Router MUSS DHCPv6 [RFC3315] Client-Verhalten unterstützen.

WAA-4: Der IPv6-CE-Router MUSS in der Lage sein, die folgenden DHCPv6-Optionen zu unterstützen: Identity Association for Non-temporary Address (IA_NA), Reconfigure Accept [RFC3315] und DNS_SERVERS [RFC3646]. Der IPv6-CE-Router SOLLTE in der Lage sein, die DNS Search List (DNSSL) Option wie in [RFC3646] spezifiziert zu unterstützen.

WAA-5: Der IPv6-CE-Router SOLLTE das Network Time Protocol (NTP) wie in [RFC5905] spezifiziert implementieren, um eine gemeinsame Zeitreferenz für den Dienstanbieter für andere Protokolle wie DHCPv6 bereitzustellen. Wenn der CE-Router NTP implementiert, fordert er die NTP Server DHCPv6-Option [RFC5908] an und verwendet die empfangene Liste von Servern als primäre Zeitreferenz, sofern nicht explizit anders konfiguriert. LAN-seitige Unterstützung von NTP liegt außerhalb des Geltungsbereichs dieses Dokuments.

WAA-6: Wenn der IPv6-CE-Router eine Router Advertisement-Nachricht (beschrieben in [RFC4861]) mit dem auf 1 gesetzten M-Flag empfängt, MUSS der IPv6-CE-Router DHCPv6-Adresszuweisung durchführen (eine IA_NA-Option anfordern).

WAA-7: Wenn der IPv6-CE-Router keine globale IPv6-Adresse(n) entweder von SLAAC oder DHCPv6 erwirbt, dann MUSS er eine globale IPv6-Adresse(n) aus seinen delegierten Präfix(en) erstellen und diese auf einer seiner internen virtuellen Netzwerkschnittstellen konfigurieren, sofern nicht konfiguriert, um eine globale IPv6-Adresse auf der WAN-Schnittstelle zu erfordern.

WAA-8: Der CE-Router MUSS die SOL_MAX_RT-Option [RFC7083] unterstützen und die SOL_MAX_RT-Option in einer Option Request Option (ORO) anfordern.

WAA-9: Als Router MUSS der IPv6-CE-Router dem Weak Host (Weak End System) Modell [RFC1122] folgen. Beim Ursprung von Paketen von einer Schnittstelle wird er eine Quelladresse von einer anderen seiner Schnittstellen verwenden, wenn die ausgehende Schnittstelle keine Adresse mit geeignetem Geltungsbereich hat.

WAA-10: Der IPv6-CE-Router SOLLTE die Information Refresh Time-Option und das zugehörige Client-Verhalten wie in [RFC4242] spezifiziert implementieren.

Präfixdelegierungsanforderungen

WPD-1: Der IPv6-CE-Router MUSS DHCPv6-Präfixdelegierungs-Requesting-Router-Verhalten wie in [RFC3633] spezifiziert unterstützen (Identity Association for Prefix Delegation (IA_PD) Option).

WPD-2: Der IPv6-CE-Router KANN als Hinweis an den delegierenden Router die Größe des benötigten Präfix angeben. Falls ja, MUSS er einen Präfix anfordern, der groß genug ist, um jedem seiner Schnittstellen ein /64 zuzuweisen, aufgerundet auf das nächste Nibble, und SOLLTE konfigurierbar sein, um mehr anzufordern.

WPD-3: Der IPv6-CE-Router MUSS darauf vorbereitet sein, eine delegierte Präfixgröße zu akzeptieren, die sich von der im Hinweis angegebenen unterscheidet. Wenn der delegierte Präfix zu klein ist, um alle seine Schnittstellen zu adressieren, SOLLTE der IPv6-CE-Router einen Systemverwaltungsfehler protokollieren. [RFC6177] behandelt die Empfehlungen für Dienstanbieter bezüglich Präfixzuweisungsgrößen.

WPD-4: Standardmäßig MUSS der IPv6-CE-Router DHCPv6-Präfixdelegierung initiieren, wenn entweder die M- oder O-Flags in einer empfangenen Router Advertisement (RA) Nachricht auf 1 gesetzt sind. Das Verhalten des CE-Routers, DHCPv6-Präfixdelegierung zu verwenden, wenn der CE-Router keine RA empfangen hat oder eine RA mit den auf null gesetzten M- und O-Bits empfangen hat, liegt außerhalb des Geltungsbereichs dieses Dokuments.

WPD-5: Jedes vom CE-Router empfangene Paket mit einer Zieladresse in dem/den an den CE-Router delegierten Präfix(en), aber nicht in der Menge der vom CE-Router dem LAN zugewiesenen Präfixe, MUSS verworfen werden. Mit anderen Worten, der nächste Hop für den/die an den CE-Router delegierten Präfix(e) sollte das Null-Ziel sein. Dies ist notwendig, um Weiterleitungsschleifen zu verhindern, wenn einige vom Aggregat abgedeckte Adressen nicht erreichbar sind [RFC4632].

• (a) Der IPv6-CE-Router SOLLTE eine ICMPv6 Destination Unreachable-Nachricht gemäß Abschnitt 3.1 von [RFC4443] an die Quelle des Pakets zurücksenden, wenn das Paket aufgrund dieser Regel verworfen werden soll.

WPD-6: Wenn der IPv6-CE-Router sowohl eine IA_NA- als auch eine IA_PD-Option in DHCPv6 anfordert, MUSS er eine IA_PD-Option in DHCPv6 Advertise/Reply-Nachrichten akzeptieren, selbst wenn die Nachricht keine Adressen enthält, sofern nicht konfiguriert, seine WAN-IPv6-Adresse nur über DHCPv6 zu erhalten; siehe [DHCPv6-STATEFUL-ISSUES].

WPD-7: Standardmäßig DARF ein IPv6-CE-Router NICHT ein dynamisches Routing-Protokoll auf seiner WAN-Schnittstelle initiieren.

WPD-8: Der IPv6-CE-Router SOLLTE die [RFC6603] Prefix Exclude-Option unterstützen.

4.3. LAN-seitige Konfiguration

Der IPv6-CE-Router verteilt Konfigurationsinformationen, die während der WAN-Schnittstellenbereitstellung erhalten wurden, an IPv6-Hosts und unterstützt IPv6-Hosts beim Erhalt von IPv6-Adressen. Er unterstützt auch die Konnektivität dieser Geräte in Abwesenheit einer funktionierenden WAN-Schnittstelle.

Von einem IPv6-CE-Router wird erwartet, dass er ein IPv6-Endbenutzernetzwerk und IPv6-Hosts unterstützt, die die folgenden Eigenschaften aufweisen:

1. Link-lokale Adressen können unzureichend sein, um IPv6-Anwendungen die Kommunikation untereinander im Endbenutzernetzwerk zu ermöglichen. Der IPv6-CE-Router muss diese Kommunikation ermöglichen, indem er global gültige Unicast-Adressen oder ULAs [RFC4193] bereitstellt, unabhängig davon, ob WAN-Konnektivität besteht oder nicht.

2. IPv6-Hosts sollten in der Lage sein, SLAAC zu verwenden, und können in der Lage sein, DHCPv6 für den Erwerb ihrer Adressen zu verwenden.

3. IPv6-Hosts können DHCPv6 für andere Konfigurationsinformationen verwenden, wie z. B. die DNS_SERVERS-Option für den Erwerb von DNS-Informationen.

Sofern nicht anders angegeben, gelten die folgenden Anforderungen nur für die LAN-Schnittstellen des IPv6-CE-Routers.

ULA-Anforderungen

ULA-1: Der IPv6-CE-Router SOLLTE in der Lage sein, einen ULA-Präfix [RFC4193] zu generieren.

ULA-2: Ein IPv6-CE-Router mit einem ULA-Präfix MUSS diesen Präfix konsistent über Neustarts hinweg beibehalten.

ULA-3: Der Wert des ULA-Präfix SOLLTE konfigurierbar sein.

ULA-4: Standardmäßig MUSS der IPv6-CE-Router als Site Border Router gemäß Abschnitt 4.3 von [RFC4193] fungieren und Pakete mit lokalen IPv6-Quell- oder Zieladressen entsprechend filtern.

ULA-5: Ein IPv6-CE-Router DARF sich NICHT als Standard-Router mit einer Router Lifetime größer als null ankündigen, wenn alle seine konfigurierten und delegierten Präfixe ULA-Präfixe sind.

LAN-Anforderungen

L-1: Der IPv6-CE-Router MUSS Router-Verhalten gemäß Neighbor Discovery for IPv6 [RFC4861] unterstützen.

L-2: Der IPv6-CE-Router MUSS ein separates /64 aus seinen delegierten Präfix(en) (und ULA-Präfix, falls konfiguriert, um ULA-Adressierung bereitzustellen) für jede seiner LAN-Schnittstellen zuweisen.

L-3: Ein IPv6-CE-Router MUSS sich als Router für den/die delegierten Präfix(e) (und ULA-Präfix, falls konfiguriert, um ULA-Adressierung bereitzustellen) unter Verwendung der "Route Information Option" ankündigen, die in Abschnitt 2.3 von [RFC4191] spezifiziert ist. Diese Ankündigung ist unabhängig davon, ob IPv6-Konnektivität auf der WAN-Schnittstelle vorhanden ist oder nicht.

L-4: Ein IPv6-CE-Router DARF sich NICHT als Standard-Router mit einer Router Lifetime [RFC4861] größer als null ankündigen, wenn ihm keine Präfixe konfiguriert oder delegiert wurden.

L-5: Der IPv6-CE-Router MUSS jede LAN-Schnittstelle zu einer ankündigenden Schnittstelle gemäß [RFC4861] machen.

L-6: In Router Advertisement-Nachrichten ([RFC4861]) MÜSSEN die A- und L-Flags der Prefix Information-Option standardmäßig auf 1 gesetzt sein.

L-7: Die Einstellungen der A- und L-Flags ([RFC4861]) SOLLTEN vom Benutzer konfigurierbar sein.

L-8: Der IPv6-CE-Router MUSS einen DHCPv6-Server unterstützen, der in der Lage ist, IPv6-Adresszuweisung gemäß [RFC3315] durchzuführen, ODER einen zustandslosen DHCPv6-Server gemäß [RFC3736] auf seinen LAN-Schnittstellen.

L-9: Sofern der IPv6-CE-Router nicht konfiguriert ist, die DHCPv6 IA_NA-Option zu unterstützen, SOLLTE er das M-Flag auf null und das O-Flag auf 1 in seinen Router Advertisement-Nachrichten [RFC4861] setzen.

L-10: Der IPv6-CE-Router MUSS die Bereitstellung von DNS-Informationen in den DHCPv6 DNS_SERVERS- und DOMAIN_LIST-Optionen [RFC3646] unterstützen.

L-11: Der IPv6-CE-Router MUSS die Bereitstellung von DNS-Informationen in den Router Advertisement Recursive DNS Server (RDNSS) und DNS Search List-Optionen unterstützen. Beide Optionen sind in [RFC6106] spezifiziert.

L-12: Der IPv6-CE-Router SOLLTE eine Teilmenge der DHCPv6-Optionen (wie in Abschnitt 5.3 von [RFC3736] aufgeführt), die vom DHCPv6-Client auf seiner WAN-Schnittstelle empfangen wurden, seinem LAN-seitigen DHCPv6-Server zur Verfügung stellen.

L-13: Wenn sich der delegierte Präfix ändert, d. h. der aktuelle Präfix durch einen neuen Präfix ohne überlappenden Zeitraum ersetzt wird, dann MUSS der IPv6-CE-Router sofort den alten Präfix mit einer Preferred Lifetime von null und einer Valid Lifetime von entweder a) null oder b) dem niedrigeren Wert der aktuellen Valid Lifetime und zwei Stunden (die in Echtzeit dekrementiert werden muss) in einer Router Advertisement-Nachricht ankündigen, wie in Abschnitt 5.5.3, (e) von [RFC4862] beschrieben.

L-14: Der IPv6-CE-Router MUSS eine ICMPv6 Destination Unreachable-Nachricht, Code 5 (Source address failed ingress/egress policy) für an ihn weitergeleitete Pakete senden, die eine Adresse aus einem Präfix verwenden, der ungültig gemacht wurde.

4.4. Unterstützung von Übergangstechnologien

Dieser Abschnitt beschreibt Anforderungen für IPv6-Übergangstechnologien, die die Bereitstellung von IPv6 in Umgebungen ermöglichen, in denen IPv4-Infrastruktur noch vorherrschend ist. Zwei spezifische Übergangstechnologien werden behandelt: 6rd (IPv6 Rapid Deployment) und Dual-Stack Lite (DS-Lite).

4.4.1. 6rd

6rd [RFC5969] spezifiziert einen automatischen Tunneling-Mechanismus, der darauf zugeschnitten ist, die Bereitstellung von IPv6 für Endbenutzer über die IPv4-Netzwerkinfrastruktur eines Dienstanbieters voranzutreiben. Zu den Hauptaspekten gehören automatische IPv6-Präfixdelegierung an Standorte, zustandsloser Betrieb, einfache Bereitstellung und Service, der nativem IPv6 an den vom Mechanismus bedienten Standorten entspricht. Es wird erwartet, dass solcher Verkehr über die native IPv4-WAN-Schnittstelle des CE-Routers weitergeleitet wird und nicht in einem anderen Tunnel gekapselt wird.

Der CE-Router SOLLTE 6rd-Funktionalität unterstützen. Wenn 6rd unterstützt wird, MUSS es gemäß [RFC5969] implementiert werden. Die folgenden CE-Anforderungen gelten ebenfalls:

6rd-Anforderungen

6RD-1: Der IPv6-CE-Router MUSS 6rd-Konfiguration über die 6rd DHCPv4-Option 212 unterstützen. Wenn der CE-Router eine IPv4-Netzwerkadresse durch andere Mittel wie PPP erhalten hat, SOLLTE er die DHCPINFORM-Anfragenachricht [RFC2131] verwenden, um die 6rd DHCPv4-Option anzufordern. Der IPv6-CE-Router KANN andere Mechanismen verwenden, um 6rd-Parameter zu konfigurieren. Solche Mechanismen liegen außerhalb des Geltungsbereichs dieses Dokuments.

6RD-2: Wenn der IPv6-CE-Router in der Lage ist, IPv4 automatisch über IPCP zu konfigurieren (d. h. über eine PPP-Verbindung), MUSS er vom Benutzer eingegebene Konfiguration von 6rd unterstützen.

6RD-3: Wenn der CE-Router andere Konfigurationsmechanismen als die 6rd DHCPv4-Option 212 unterstützt (vom Benutzer eingegeben, TR-069 [TR-069], etc.), MUSS der CE-Router 6rd im "Hub-and-Spoke"-Modus unterstützen. 6rd im "Hub-and-Spoke"-Modus erfordert, dass der gesamte IPv6-Verkehr zum 6rd Border Relay geht. Tatsächlich entfernt diese Anforderung die in Abschnitt 7.1.1 von [RFC5969] definierte "Direct Connect to 6rd"-Route.

6RD-4: Ein CE-Router MUSS zulassen, dass 6rd- und native IPv6-WAN-Schnittstellen sowohl allein als auch gleichzeitig aktiv sind, um die Koexistenz der beiden Technologien während einer inkrementellen Migrationsperiode zu unterstützen, wie z. B. einer Migration von 6rd zu nativem IPv6.

6RD-5: Jedes auf einer 6rd- oder nativen WAN-Schnittstelle gesendete Paket MUSS so geleitet werden, dass seine Quell-IP-Adresse vom delegierten Präfix abgeleitet ist, der mit der bestimmten Schnittstelle verbunden ist, von der das Paket gesendet wird (Abschnitt 4.3 von [RFC3704]).

6RD-6: Der CE-Router MUSS zulassen, dass verschiedene sowie identische delegierte Präfixe über jede (6rd- oder native) WAN-Schnittstelle konfiguriert werden.

6RD-7: Im Fall, dass Weiterleitungsregeln ein Unentschieden zwischen 6rd und nativem IPv6 erzeugen, MUSS der IPv6-CE-Router standardmäßig natives IPv6 bevorzugen.

4.4.2. Dual-Stack Lite (DS-Lite)

Dual-Stack Lite [RFC6333] ermöglicht sowohl die fortgesetzte Unterstützung von IPv4-Diensten als auch Anreize für die Bereitstellung von IPv6. Es entkoppelt auch die IPv6-Bereitstellung im Dienstanbieternetzwerk vom Rest des Internets, was eine inkrementelle Bereitstellung erleichtert. Dual-Stack Lite ermöglicht es einem Breitband-Dienstanbieter, IPv4-Adressen unter Kunden zu teilen, indem zwei bekannte Technologien kombiniert werden: IP in IP (IPv4-in-IPv6) und Network Address Translation (NAT). Es wird erwartet, dass DS-Lite-Verkehr über die native IPv6-WAN-Schnittstelle des CE-Routers weitergeleitet wird und nicht in einem anderen Tunnel gekapselt wird.

Der IPv6-CE-Router SOLLTE DS-Lite-Funktionalität implementieren. Wenn DS-Lite unterstützt wird, MUSS es gemäß [RFC6333] implementiert werden. Dieses Dokument nimmt keine Position zum gleichzeitigen Betrieb von Dual-Stack Lite und nativem IPv4 ein. Die folgenden CE-Router-Anforderungen gelten ebenfalls:

WAN-Anforderungen

DLW-1: Der CE-Router MUSS die Konfiguration von DS-Lite über die DS-Lite DHCPv6-Option [RFC6334] unterstützen. Der IPv6-CE-Router KANN andere Mechanismen verwenden, um DS-Lite-Parameter zu konfigurieren. Solche Mechanismen liegen außerhalb des Geltungsbereichs dieses Dokuments.

DLW-2: Der IPv6-CE-Router DARF NICHT IPv4 Network Address Translation (NAT) auf IPv4-Verkehr durchführen, der mit DS-Lite gekapselt ist.

DLW-3: Wenn der IPv6-CE-Router mit einer IPv4-Adresse auf seiner WAN-Schnittstelle konfiguriert ist, dann SOLLTE der IPv6-CE-Router das DS-Lite Basic Bridging BroadBand (B4) Element deaktivieren.

4.5. Sicherheitserwägungen

Es wird als Best Practice angesehen, offensichtlich bösartigen Verkehr zu filtern (z. B. gefälschte Pakete, "Martian"-Adressen, etc.). Daher sollte der IPv6-CE-Router grundlegende zustandslose Egress- und Ingress-Filter unterstützen. Es wird auch erwartet, dass der CE-Router Mechanismen zum Filtern von Verkehr bietet, der in das Kundennetzwerk eintritt; die Methode, mit der Hersteller konfigurierbare Paketfilterung implementieren, liegt jedoch außerhalb des Geltungsbereichs dieses Dokuments.

Sicherheitsanforderungen

S-1: Der IPv6-CE-Router SOLLTE [RFC6092] unterstützen. Insbesondere SOLLTE der IPv6-CE-Router Funktionalität unterstützen, die ausreichend ist, um den Satz von Empfehlungen in [RFC6092], Abschnitt 4, zu implementieren. Dieses Dokument nimmt keine Position dazu ein, ob eine solche Funktionalität standardmäßig aktiviert ist oder zu Mechanismen, durch die Benutzer sie konfigurieren würden.

S-2: Der IPv6-CE-Router SOLLTE Ingress-Filterung in Übereinstimmung mit BCP 38 [RFC2827] unterstützen. Beachten Sie, dass diese Anforderung von einem MUSS aus RFC 6204 herabgestuft wurde, aufgrund der Schwierigkeit der Implementierung im CE-Router und der Redundanz der Funktion mit der Ingress-Filterung von Upstream-Routern.

S-3: Wenn die IPv6-CE-Router-Firewall konfiguriert ist, um eingehende getunnelte Daten zu filtern, SOLLTE die Firewall die Fähigkeit bieten, entkapselete Pakete aus einem Tunnel zu filtern.