GB/T 28456-2012 IPsec协议应用测试规范

ICS35.020

L80

中华人民共和国国彖标准

GB/T28456—2012

IPsec协议应用测试规范

TestingspecificationforapplicationsofIPsecprotocol

2012-06-29发布2012-10-01实施

GB/T28456—2012

目次

前言m

引言N

1范围1

2规范性引用文件1

3术语和定义1

4缩略语4

5测试说明4

5.1测试对象说明4

5.2测试内容说明5

5.3测试环境说明5

6测试内容6

6.1AH传输模式测试内容6

6.2AH隧道模式测试内容7

6.3ESP传输模式测试内容8

6.4ESP隧道模式测试内容9

6.5传输邻接模式测试内容10

6.5迭代隧道模式测试内容11

6.7IKEvl主模式测试内容12

6.8IKEvl野蛮模式测试内容14

6.9IKEvl快速模式测试内容16

6.10IKEv2初始交换测试内容17

6.11IKEv2创建子SA交换测试内容19

6.12IKEv2信息交换测试内容20

7测试步骤21

7.1AH传输模式测试步骤21

7.2AH隧道模式测试步骤25

7.3ESP传输模式测试步骤26

7.4ESP隧道模式测试步骤30

7.5传输邻接模式测试步骤31

7.5迭代隧道模式测试步骤33

7.7IKEvl主模式测试步骤36

7.8IKEvl野蛮模式测试步骤43

7.9IKEvl快速模式测试步骤47

7.10IKEv2初始交换测试步骤52

7.11IKEv2创建子SA交换测试步骤59

7.12IKEv2信息交换测试步骤63

T

GB/T28456—2012

附录A（资料性附录）IPsec协议规范说明66

附录B（资料性附录）IKEvl密钥交换机制69

附录C（资料性附录）IKEv2密钥交换机制79

参考文献84

图1IPsec协议应用测试的网络拓扑结构图5

图A.1传输邻接组合模式67

图A.2隧道端点相同的迭代隧道组合模式68

图A.3—个隧道端点相同的迭代隧道组合模式68

图A.4隧道端点均不相同的迭代隧道组合模式68

图B.lIKEvl主模式交换发起方行为状态图72

图B.2IKEvl主模式交换响应方行为状态图73

图B.3IKEvl野蛮模式交换发起方行为状态图75

图B.4IKEvl野蛮模式交换响应方行为状态图76

图B.5IKEvl快速模式交换发起方行为状态图77

图B.6IKEvl快速模式交换响应方行为状态图78

图C.lIKEv2初始交换发起方行为状态图80

图C.2IKEv2初始交换响应方行为状态图81

图C.3IKEv2创建CHILDSA交换发起方行为状态图82

图C.4IKEv2创建CHILDSA交换响应方行为状态图83

n

GB/T28456—2012

■ir■■i

刖吕

本标准按照GB/T1.1—2009给出的规则起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。

本标准起草单位:信息工程大学信息工程学院。

本标准主要起草人：曾勇军、王清贤、颜学雄、武东英、朱俊虎、尹美娟。

m

GB/T28456—2012

引言

IPsec是目前广泛使用的网络安全协议,相关产品种类较多。尽管各厂家均声称支持IPsec协议,

但由于协议理解上的不同，造成产品在实现方式、完成的功能、提供的安全服务上存在差异。此外目前

缺少规范的评估和检测手段，难以确定IPsec协议应用与协议标准的符合程度，难以给出产品准确的评

价和分类，这不利于IPsec协议的推广和使用。为进一步规范IPsec协议的开发、评估和使用，有必要对

IPsec协议的测试标准进行研究和制定。

本标准为IPsec协议应用的测试标准，依据TPsec协议相关RFC标准制定。

本标准根据IPsec协议的T作模式，从功能、性能、健壮性和互操作性等方面组织测试内容并设计

测试步骤。本标准给出的测试步骤，旨在规范测试基本步骤和关键要点，测试人员可在此基础上选择相

关的辅助丁具，产生具体的测试用例并进行测试。

IV

GB/T28456—2012

IPsec协议应用测试规范

1范围

本标准对IPsec协议应用的测试内容及测试步骤进行了规范。

本标准适用于IPsec协议应用的开发单位、第三方授权测试认证机构、用户等对IPsec协议应用测

试时参考使用。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本

件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T5271.8—2001信息技术词汇第8部分:安全

GB/T17178.1—1997信息技术开放系统互连一致性测试方法和框架第1部分:基本概念

3术语和定义

GB/T5271.8—2001界定的以及下列术语和定义适用于本文件。

3.1

IP安全协议ipsecurity

一套用于保护IP通信的安全协议。它是IPv4的—可选协议系列，也是IPv6的组成部分之一，

是一个网络层协议。它提供了认证和加密两种安全机制：认证机制使IP通信的数据接收方能够确认数

据发送方的真实身份以及数据在传输过程中是否遭到篡改；加密机制通过对数据进行编码来保证数据

的保密性，防止数据在传输过程中遭到截获而失密。

3.2

IPsec协议应用applicationoftheIPsecprotocol

按照IPsec协议标准实现的产品或功能模块。

3.3

安全关联securityassociation

两个通信实体经协商建立起来的一种协定，它描述了实体如何利用安全服务来进行安全的通信。

安全关联包括了执行各种网络安全服务所需要的信息。

3.4

互联网安全关联与密钥管理协议internetsecurityassociationandkeymanagementprotocol

定义了建立、协商、修改和删除安全关联的过程和报文格式，并定义了交换密钥产生和认证数据的

载荷格式。这些格式为传输密钥和认证信息提供了一致的框架。

3.5

载荷payload

ISAKMP通信双方交换信息的传输形式,是构造ISAKMP消息的基本单位。

3.6

认证头authenticationheader

属于IPsec的一种协议，用于提供IP数据报的数据完整性、数据源认证以及抗重放攻击服务的功能。

1

GB/T28456—2012

3.7

封装安全载荷escapsulatingsecuritypayload

属于IPsec的一种协议，用于提供TP数据报的保密性、数据完整性、数据源认证以及抗重放攻击服

务的功能。

3.8

互联网密钥交换internetkeyexchange

定义了协商IPsec协议参数的密钥交换架构，用于生成经过鉴定的密钥材料。

3.9

传输模式transportmode

IPsec保护的是网络层以上数据。在这种模式中,TPsec会拦截从上层到网络层的数据，并根据具

体的配置提供安全保护。

3.10

传输邻接模式transportadjacencymode

IPsec安全关联的一种组合模式，对同一个IP数据报使用多于一个传输模式的安全协议。

3.11

隧道模式tunnelmode

IPsec保护的是整个IP数据报。在这种模式中，IPsec会拦截内部网络传递的数据，并根据具体的

配置提供安全保护。

3.12

迭代隧道模式iteratedtunnelingmode

IPsec安全关联的一种组合模式，对同一个IP数据报使用多于一个隧道模式的安全协议。

3.13

主机host

数据报文的始发设备或终结设备，可作为端的安全服务提供者，为自身的通信提供安全服务。

3.14

安全网关securitygateway

实现IPsec的中间设备，为内部主机之间的通信提供安全服务。

3.15

主模式交换mainmodeexchange

由互联网密钥交换(IKE)协议所定义的一种交换方式，用于协商建立互联网安全关联和密钥管理

协议的安全关联(ISAKMPSA)。该交换方式可提供身份保护，是互联网安全关联和密钥管理协议

(ISAKMP)所定义的身份保护交换的实例。

3.16

野蛮模式交换aggressivemodeexchange

由互联网密钥交换(IKE)协议所定义的一种交换方式，用于协商建立互联网安全关联和密钥管理

协议的安全关联(ISAKMPSA)O该交换方式不提供身份保护，是互联网安全关联和密钥管理协议

(ISAKMP)所定义的野蛮模式交换的实例。

3.17

快速模式交换quickmodeexchange

由互联网密钥交换(IKE)协议所定义的一种交换方式，用于在互联网安全关联和密钥管理协议的

安全关联(ISAKMPSA)的保护下，协商建立IP安全协议的安全关联(IPsecSA)O

2

GB/T28456—2012

3.18

ISAKMP信息交换ISAKMPinformationalexchange

由互联网密钥交换(IKE)协议所定义的一种辅助性交换，必须在互联网安全关联和密钥管理协议

的安全关联(ISAKMPSA)的保护下，用来传送通知或消息。

3.19

初始交换initialexchange

由互联网密钥交换协议版本2(IKEv2)定义的一种交换方式，用于创建互联网密钥交换协议的安全

关联(IKESA)和子安全关联(CHILDSA)0

3.20

CREATE_CHILD_SA交换CREATE_CHILD_SAexchange

由互联网密钥交换协议版本2(IKEv2)定义的一种交换方式，用于创建子安全关联(CHILDSA)。

3.21

功能测试functiontesting

测试IPsec协议应用的基本功能，包括身份认证功能、数据保密性保护功能和数据完整性保护

功能。

3.22

性能测试performancetesting

测试在不同的网络负载情况下IPsec协议应用的性能参数。

3.23

健壮性测试robustnesstesting

测试IPsec协议应用对错误(包括无效的、高强度输入、非期望输入或者恶意攻击)的有效处理

能力。

3.24

互操作性测试interoperabilitytesting

测试不同IPsec协议应用之间的互操作能力。

3.25

基本互连测试basicinterconnectiontesting

测试IPsec协议应用的基本互连互通的情况，这是其他测试的基础。

3.26

行为测试behaviourtesting

测试IPsec协议应用的动态一致性，包括正确行为符合性测试和非正确行为符合性测试。

3.27

连接建立时延connectionestablisheddelay

从连接建立请求开始，到连接建立完成所经过的时间。

3.28

传送时延transmissiondelay

数据从一方传送到另一方的时间。

3.29

连接拆除时延connectionreleaseddelay

连接释放需要的时间。连接拆除包括两种类型，一是服务的请求者完成服务后，主动请求拆除连接

的时延，二是服务的提供者主动拆除连接的时延。

3

GB/T28456—2012

3.30

吞吐量throughput

丢包率为零的情况下，单位时间内传输有效数据的数量。

3.31

剩余错误比率residualerrorratio

在给定的时间间隔内，传送不正确、丢失或者重复的数据量与传输正确的数据量之比。

3.32

失败概率probabilityoffailure

包括连接建立失败概率、传送失败概率以及连接拆除失败概率等。

4缩略语

AH认证头AuthenticationHeader

CPU中央处理单元CentralProcessorUnit

DOI解释域DomainOfInterpreter

DUT被测设备DeviceUnderTester

ESP封装安全载荷EscapsulatingSecurityPayload

HMAC散列消息认证码HashMessageAuthenticationCode

ICMP因特网控制报文协议InernetControlMessageProtocol

ICV完整性校验值IntegrityCheckValue

IKE因特网密钥交换协议InternetKeyExchange

IKEvl因特网密钥交换协议版本IInternetKeyExchangevl

IEKv2因特网密钥交换协议版本2InternetKeyExchangev2

IP因特网协议InternetProtocol

IPsecIP安全协议IPsecurity

ISAKMP因特网安全关联与密钥管理协议InternetSecurityAssociationandKey

ManagementProtocol

IV初始化向量InitializationVector

MAC消息认证码MessageAuthenticationCode

NAT网络地址翻译NetworkAddressTranslation

MTU最大传送单元MaximunTransmissionUnit

PFS完美前向保密PerfectForwardSecrecy

PRF伪随机函数Pseudo-RandomFunction

SA安全关联SecurityAssociation

SAD安全关联数据库SecurityAssociationDatabase

SG安全网关SecurityGateway

SPD安全策略数据库SecurityPolicyDatabase

SPI安全参数索引SecurityParameterIndex

5测试说明

5.1测试对象说明

本标准是IPsec协议的测试标准，测试对象为依据RFC相关标准实现的IPsec协议应用。

4

GB/T28456—2012

IPsec协议应用可提供基于密码的安全服务，使用的密码算法和密钥管理策略应符合国家密码主

管部门的有关规定。

IPsec协议描述可见附录A,附录B和附录C给出了IKEvl和IKEv2的密钥交换机制。

5.2测试内容说明

本标准定义了IPsec协议应用的测试内容，包括功能测试、性能测试、健壮性测试和互操作性测试。

功能测试用于测试IPsec协议应用实现的基本功能，包括基本互连测试、安全功能测试和行为测

试。基本互连测试用于测试IPsec协议应用的连通情况，是其他测试的基础；安全功能测试完成IPsec

协议应用的各项安全功能测试，包括密码算法协商、身份认证、数据保密性和数据完整性等;为保证各项

安全功能的有效性,TPsec协议应用的动态行为必须符合协议规范要求，行为测试完成IPsec协议应用

的动态行为的符合性测试,包括正确输入行为符合性测试和非正确输入行为符合性测试。

性能测试用于测试在不同的网络负载情况下IPsec协议应用的性能参数，包括连接建立时延、传送

时延、连接拆除时延、单位时间新建连接数、设备支持的总连接数、加解密时延、吞吐量、剩余错误比率以

及失败概率等。

健壮性测试用于测试IPsec协议应用在无效数据输入或在高强度负载环境下，各项功能保持正确

运行的程度，即测试IPsec协议应用对错误的有效处理能力，主要包括无效报文处理能力、异常事件处

理能力和高强度负载下的处理能力。IPsec协议应用属于安全产品，其健壮性对于安全功能的有效性

至关重要，因此本标准对该质量属性进行了测试。

互操作性测试用于完成不同IPsec协议应用之间的互操作能力测试,包括基本互连互操作性测试

和安全功能互操作测试。基本互连互操作性测试内容和功能测试中的基本互连测试内容一样，安全功

能互操作性测试和功能测试中的安全功能测试内容一样，主要区别在于功能测试是IPsec协议应用和

测试系统之间的交互，而互操作性测试是不同的IPsec协议应用间的交互。

5.3测试环境说明

本标准推荐采用GB/T1717&1—1997中的远程测试方法，构造测试环境并给出相关的测试步

骤。IPsec协议应用测试的典型网络拓扑结构如图1所示。

num

0

图1IPsec协议应用测试的网络拓扑结构图

上述拓扑结构可根据待测设备DUT的类型（如终端或网关）灵活配置，如内部主机和管理机在终

端情况下可不出现。

测试工具包括但不限于:TPsec协议仿真器用于模拟IPsec协议的动作并进行测试；专用的流量发

5

GB/T28456—2012

生器用于测试DUT的性能；协议分析仪实现数据报的分析、存储和重放等。

6测试内容

6.1AH传输模式测试内容

6.1.1功能测试内容

6.1.1.1基本互连测试

测试IPsec协议应用在AH传输模式下的基本连通能力。

6.1.1.2安全功能测试

测试IPsec协议应用在AH传输模式下的安全功能，测试内容包括：

a）AH传输模式功能：能够支持AH传输模式，建立AH传输模式的SA并进行通信；

b）数据完整性保护功能:能够支持数据完整性保护功能,及时发现篡改、删除等情况的发生；

c）数据源认证功能：能够支持数据源认证功能，及时发现伪造、欺骗等情况的发生；

d）抗重放攻击服务功能：能够支持抗重放攻击服务功能，可检测出重放的报文并丢弃；

e）应用IPsec策略功能：能够配置SPD支持应用TPsec策略功能，允许合法的业务通过时获得

AH协议的保护；

f）旁路策略功能：能够配置SPD支持旁路策略功能，允许合法的业务通过时不使用AH协议的

保护；

g）丢弃策略功能：能够配置SPD支持丢弃策略功能，不合法的业务通过时将被丢弃；

h）SPD策略选择功能：能够配置多个SPD策略实体，在发送或接收分组时，可选择合适的SPD

策略进行处理；

i）SA生存期测试功能:能够支持SA的有效生存期管理功能，防止利用过期的SA传递数据；

j）分片重组功能：能够支持分片重组功能，确保数据通过网络传递和接收时得到正确的处理；

k）序号增长功能：能够支持数据报文序号的自动递增功能。

6.1.2性能测试内容

测试IPsec协议应用在AH传输模式下的性能，测试内容包括：

a）吞吐量:测量在以太网长帧和短帧时,IPsec协议应用的数据吞吐量；

b）传送时延:测量IPsec协议应用的数据传送时延；

c）剩余错误比率:测量IPsec协议应用的剩余错误比率；

d）失败概率:测量IPsec协议应用传送失败的概率。

6.1.3健壮性测试内容

6.1.3.1无效报文处理能力

测试IPsec协议应用在AH传输模式下的无效报文处理能力，测试内容包括：

a）错误报文处理能力：测试接收到AH传输模式封装的报文中有错误时,TPsec协议应用处理能

力。常见的错误报文如AH头部中保留字段不为O、SPI在0〜255之间、序号为O、ICV字段

不正确等。

b）非期望报文处理能力：测试接收到一个非期望的AH传输模式封装的报文时,IPsec协议应用

处理能力。常见的非期望报文如序号不在接受窗口内、重复报文等。

6

GB/T28456—2012

6.1.3.2异常事件处理能力

测试IPsec协议应用在AH传输模式下的异常事件处理能力，测试内容包括：

a）连接中断处理能力：测试在网络物理连接突然非正常中断时,IPsec协议应用的处理能力；

b）无效SA处理能力：测试接收到AH传输模式封装的报，但没有有效的SA时,IPsec协议应

用的处理能力。

6.1.3.3高强度负载处理能力

测试IPsec协议应用在AH传输模式下的高强度负载处理能力，测试内容包括：

a）网络高强度负载处理能力：测试在网络流量负载比较大时,IPsec协议应用的处理能力；

b）系统高强度负载处理能力：测试在多种资源（如CPU或者内存）消耗比较多时,IPsec协议应用

的处理能力。

6.1.4互操作性测试内容

6.1.4.1基本互连测试

测试不同IPsec协议应用在AH传输模式下的基本连通能力。

6.1.4.2功能互操作性测试

测试不同IPsec协议应用在AH传输模式下的功能互操作情况。测试内容见6.1.1.2的规定。

6.2AH隧道模式测试内容

6.2.1功能测试内容

6.2.1.1基本互连测试

测试IPsec协议应用在AH隧道模式下的基本连通能力。

6.2.1.2安全功能测试

测试IPsec协议应用在AH隧道模式下支持的安全功能。测试内容见6.1.1.2的规定。

6.2.2性能测试内容

测试IPsec协议应用在AH隧道模式下的性能指标。测试内容见6.1.2的规定。

6.2.3健壮性测试内容

6.2.3.1无效报文处理能力

测试IPsec协议应用在AH隧道模式下无效报文处理能力。测试内容见6.1.3.1的规定。

6.2.3.2异常事件处理能力

测试IPsec协议应用在AH隧道模式下异常事件处理能力。测试内容见6.1.3.2的规定。

6.2.3.3高强度负载处理能力

测试IPsec协议应用在AH隧道模式下高强度负载处理能力。测试内容见6.1.3.3的规定。

7

GB/T28456—2012

6.2.4互操作性测试内容

6.2.4.1基本互连测试

测试不同IPsec协议应用在AH隧道模式下的基本连通能力。

6.2.4.2功能互操作性测试

测试不同IPsec协议应用在AH隧道模式下的功能互操作情况。测试内容见6.1.1.2的规定。

6.3ESP传输模式测试内容

6.3.1功能测试内容

6.3.1.1基本互连测试

测试IPsec协议应用在ESP传输模式下的基本连通能力。

6.3.1.2安全功能测试

测试IPsec协议应用在ESP传输模式下的安全功能，测试内容包括：

a）ESP传输模式功能:能够支持ESP传输模式,建立ESP传输模式的SA并进行通信；

b）数据完整性保护功能:能够支持数据完整性保护功能,及时发现篡改、删除等情况的发生；

c）数据源认证功能：能够支持数据源认证功能，及时发现伪造、欺骗等情况的发生；

d）数据保密性功能:能够支持数据保密性功能，防止数据传输过程中的非授权泄露；

e）抗重放攻击服务功能：能够支持抗重放攻击服务功能，可检测出重放的报文并丢弃；

f）应用IPsec策略功能：能够配置SPD支持应用TPsec策略功能，允许合法的业务通过时获得

ESP协议的保护；

g）旁路策略功能:能够配置SPD支持旁路策略功能，允许合法的业务通过时不使用ESP协议的

保护；

h）丢弃策略功能：能够配置SPD支持丢弃策略功能，不合法的业务通过时将被丢弃；

i）SPD策略选择功能：能够配置多个SPD策略实体，在发送或接收分组时，可选择合适的SPD

策略进行处理；

j）SA生存期测试功能：能够支持SA的有效生存期管理功能，防止利用过期的SA传递数据；

k）分片重组功能：能够支持分片重组功能，确保数据通过网络传递和接收时得到正确的处理；

l）序号增长功能：能够支持发送数据报文序号的自动递增功能；

m）NAT穿越功能：能够支持NAT穿越功能，满足IPsec与NAT的兼容性要求。

6.3.2性能测试要求

测试IPsec协议应用在ESP传输模式下的性能，测试内容包括：

a）加解密吞吐量：测量在以太网长帧和短帧时,IPsec协议应用在丢包率为0的条件下内部接口

上达到的双向数据最大流量；

b）加解密时延:测量在以太网长帧和短帧时,IPsec协议应用在丢包率为0的条件下，一个报文经

过加密算法计算变为密，再由密文解密还原为明文所消耗的平均时间；

c）传送时延:测量IPsec协议应用的数据传送时延；

d）剩余错误比率:测量IPsec协议应用的剩余错误比率；

e）失败概率:测量IPsec协议应用传送失败的概率。

8

GB/T28456—2012

6.3.3健壮性测试内容

6.3.3.1无效报文处理能力

测试IPsec协议应用在ESP传输模式下的无效报文处理能力，测试内容包括：

a）错误报文处理能力：测试接收到ESP传输模式封装的报文中有错误时，IPsec协议应用的处理

能力。常见的错误报文如SPI在0〜255之间、序号为0、填充长度和下一个头字段不以4字

节对齐、填充长度不在0〜255之间、载荷长度为0、ICV字段不正确等。

b）非期望报文处理能力：测试接收到一个非期望的ESP传输模式封装的报文时,IPsec协议应用

的处理能力。常见的非期望报文如序号不在接受窗口内、重复报文等。

6.3.3.2异常事件处理能力

测试IPsec协议应用在ESP传输模式下的异常事件处理能力，测试内容包括：

a）连接中断处理能力：测试在网络物理连接突然非正常中断时,IPsec协议应用处理能力；

b）无效SA处理能力：测试接收到ESP传输模式封装的报，但没有有效的SA时,IPsec协议应

用处理能力。

6.3.3.3高强度负载处理能力

测试IPsec协议应用在ESP传输模式下的高强度负载处理能力，测试内容包括：

a）网络高强度负载处理能力：测试在网络流量负载比较大时,IPsec协议应用处理能力；

b）系统高强度负载处理能力：测试在多种资源（如CPU或者内存）消耗比较多时,IPsec协议应用

处理能力。

6.3.4互操作性测试内容

6.3.4.1基本互连测试

测试不同IPsec协议应用在ESP传输模式下的基本连通能力。

6.3.4.2功能互操作性测试

测试不同IPsec协议应用在ESP传输模式下的功能互操作情况。测试内容见6.3.1.2的规定。

6.4ESP隧道模式测试内容

6.4.1功能测试内容

6.4.1.1基本互连测试

测试IPsec协议应用在ESP隧道模式下的基本连通能力。

6.4.1.2安全功能测试

测试IPsec协议应用在ESP隧道模式下的安全功能，测试内容包括：

a）基本安全功能：测试IPsec协议应用在ESP隧道模式下支持的各种安全功能。测试内容见

6.3.1.2的规定。

b）有限业务流的保密性保护功能：能够支持有限业务流的保密性保护功能，防止对报文内容的

分析。

9

GB/T28456—2012

6.4.2性能测试内容

测试IPsec协议应用在ESP隧道模式下的各种性能指标。测试内容见6.3.2的规定。

6.4.3健壮性测试内容

6.4.3.1无效报文处理能力

测试IPsec协议应用在ESP隧道模式下无效报文处理能力。测试内容见6.3.3.1的规定。

6.4.3.2异常事件处理能力

测试IPsec协议应用在ESP隧道模式下异常事件处理能力。测试内容见6.3.3.2的规定。

6.4.3.3高强度负载处理能力

测试IPsec协议应用在ESP隧道模式下高强度负载处理能力。测试内容见6.3.3.3的规定。

6.4.4互操作性测试内容

6.4.4.1基本互连测试

测试不同IPsec协议应用在ESP隧道模式下的基本连通能力。

6.4.4.2功能互操作性测试

测试不同IPsec协议应用在ESP隧道模式下的功能互操作情况。测试内容见6.4.1.2的规定。

6.5传输邻接模式测试内容

6.5.1功能测试内容

6.5.1.1基本互连测试

测试IPsec协议应用在传输邻接模式下的基本连通能力。

6.5.1.2安全功能测试

测试IPsec协议应用在传输邻接模式下的安全功能，测试内容包括：

a）传输邻接模式功能：能够支持传输邻接模式,建立传输邻接模式的SA并进行通信；

b）数据完整性保护功能:能够支持数据完整性保护功能,及时发现篡改、删除等情况的发生；

c）数据源认证功能：能够支持数据源认证功能，及时发现伪造、欺骗等情况的发生；

d）数据保密性功能:能够支持数据保密性保护功能，防止数据传输过程中的非授权泄露；

e）抗重放攻击服务功能：能够支持抗重放攻击服务功能，可检测出重放的报文并丢弃；

f）应用IPsec策略功能：能够配置SPD支持应用IPsec策略功能，允许合法的业务通过时获得安

全性保护；

g）旁路策略功能:能够配置SPD支持旁路策略功能，允许合法的业务通过时不使用安全性保护；

h）丢弃策略功能：能够配置SPD支持丢弃策略功能，不合法的业务通过时将被丢弃；

1）SPD策略选择功能：能够配置多个SPD策略实体，在发送或接收分组时，可选择合适的SPD

策略进行处理；

j）SA生存期测试功能：能够支持SA的有效生存期管理功能，防止利用过期的SA传递数据；

k）分片重组功能：能够支持分片重组功能，确保数据通过网络传递和接收时得到正确的处理；

10

GB/T28456—2012

l）序号增长功能：IPsec协议应用支持发送数据报文序号的自动递增功能。

6.5.2性能测试内容

测试IPsec协议应用在传输邻接模式下的各种性能指标，测试内容见6.3.2的规定。

6.5.3健壮性测试内容

6.5.3.1无效报文处理能力

测试IPsec协议应用在传输邻接模式下的无效报文处理能力，测试内容包括：

a）错误报文处理能力：测试接收到传输邻接模式封装的报文中有错误时,TPsec协议应用处理能

力。常见的错误报文如AH头部中保留字段不为O、SPI在0〜255之间、序号为O.ICV字段

不正确，ESP封装结构中SPI在0〜255之间、序号为0、填充长度和下一个头字段不以4字节

对齐、填充长度不在0〜255之间、载荷长度为0等。

b）非期望报文处理能力：测试接收到一个非期望的传输邻接模式封装的报文时,IPsec协议应用

处理能力。常见的非期望报文如序号不在接受窗口内、重复报文等。

6.5.3.2异常事件处理能力

测试IPsec协议应用在传输邻接模式下的异常事件处理能力，测试内容包括：

a）连接中断处理能力：测试在网络物理连接突然非正常中断时,IPsec协议应用处理能力；

b）无效SA处理能力：测试接收到传输邻接模式封装的报，但没有有效的SA时,IPsec协议应

用处理能力。

6.5.3.3高强度负载处理能力

测试IPsec协议应用在传输邻接模式下的高强度负载处理能力，测试内容包括：

a）网络高强度负载处理能力：测试在网络流量负载比较大时,IPsec协议应用处理能力；

b）系统高强度负载处理能力：测试在多种资源（如CPU或者内存）消耗比较多时,IPsec协议应用

处理能力。

6.5.4互操作性测试内容

6.5.4.1基本互连测试

测试不同IPsec协议应用在传输邻接模式下的基本连通能力。

6.5.4.2功能互操作性测试

测试不同IPsec协议应用在传输邻接模式下的功能互操作情况。测试内容见6.5.1.2的规定。

6.6迭代隧道模式测试内容

6.6.1功能测试内容

6.6.1.1基本互连测试

测试IPsec协议应用在迭代隧道模式下的基本连通能力。

6.6.1.2安全功能测试

测试IPsec协议应用在迭代隧道模式下的安全功能，测试内容包括:

11

GB/T28456—2012

a）迭代隧道模式功能：能够支持迭代隧道模式,建立迭代隧道模式的SA并进行通信；

b）数据完整性保护功能:能够支持数据完整性保护功能,及时发现篡改、删除等情况的发生；

c）数据源认证功能：能够支持数据源认证功能，及时发现伪造、欺骗等情况的发生；

d）数据保密性功能:能够支持数据保密性保护功能，防止数据传输过程中的非授权泄露；

e）有限业务流的保密性保护功能：能够支持有限业务流的保密性保护功能，防止对报文内容的

分析；

f）抗重放攻击服务功能：能够支持抗重放攻击服务功能，可检测出重放的报文并丢弃；

g）应用IPsec策略功能：能够配置SPD支持应用IPsec策略功能，允许合法的业务通过时获得安

全性保护；

h）旁路策略功能:能够配置SPD支持旁路策略功能，允许合法的业务通过时不使用安全性保护；

i）丢弃策略功能：能够配置SPD支持丢弃策略功能，不合法的业务通过时将被丢弃；

j）SPD策略选择功能：能够配置多个SPD策略实体，在发送或接收分组时，可选择合适的SPD

策略进行处理；

k）SA生存期测试功能:能够支持SA的有效生存期管理功能，防止利用过期的SA传递数据；

l）分片重组功能：能够支持分片重组功能，确保数据通过网络传递和接收时得到正确的处理；

m）序号增长功能：能够支持发送数据报文序号的自动递增功能。

6.6.2性能测试内容

测试IPsec协议应用在迭代隧道模式下的各种性能指标。测试内容见6.3.2的规定。

6.6.3健壮性测试内容

6.6.3.1无效报文处理能力

测试IPsec协议应用在迭代隧道模式下无效报文处理能力。测试内容见6.5.3.1的规定。

6.6.3.2异常事件处理能力

测试IPsec协议应用在迭代隧道模式下异常事件处理能力。测试内容见6.5.3.2的规定。

6.6.3.3高强度负载处理能力

测试IPsec协议应用在迭代隧道模式下高强度负载处理能力。测试内容见6.5.3.3的规定。

6.6.4互操作性测试内容

6.6.4.1基本互连测试

测试不同IPsec协议应用在迭代隧道模式下的基本连通能力。

6.6.4.2功能互操作性测试

测试不同IPsec协议应用在迭代隧道模式下的功能互操作情况。测试内容见6.5.1.2的规定。

6.7IKEv1主模式测试内容

6.7.1功能测试内容

6.7.1.1基本互连测试

测试在主模式交换情况下JKEvl协议的基本连通能力。

12

GB/T28456—2012

6.7.1.2安全功能测试

测试在主模式交换情况下IKEvl协议支持的安全功能，测试内容包括：

a）身份认证方法协商功能:能够支持身份认证方法的协商功能；

b）身份认证协商过程：能够按照所协商的身份认证方法,完成身份的认证协商功能；

c）加密算法协商功能：能够支持加密算法的协商功能；

d）伪随机函数PRF协商功能：能够支持伪随机函数PRF的协商；

e）密钥协商功能：能够支持密钥协商的功能；

f）数据加密功能：能够应用协商好的加密算法和密钥对传输的数据进行加密保护；

g）NAT穿越探测功能:能够探测参与方是否支持NAT穿越，网络中是否存在NAT设备；

h）NATKEEPALIVE功能：NAT后的协商参与方能够定期地发送NATKEEPALIVE报，

维持NAT映射.

6.7.1.3发起方行为测试

在主模式交换情况下,IKEvl发起方行为测试内容如下：

a）初始化时发起方接收到安全协议（如AH或ESP协议）的协商请求，构造消息1并发送给响应

方。消息1中包含安全关联载荷，其格式应满足协议规范要求，提供该消息的超时重传功能。

若重传次数超过指定的最大值，则终止本次协商。

b）发起方接收消息2。验证接收到的消息的合法性：若非法，则丢弃；否则，记录消息2中承载的

协商结果，构造消息3并发送给响应方。消息3中包含密钥交换载荷，其格式应满足协议规范

要求，提供该消息的超时重传功能。若重传次数超过指定的最大值，则终止本次协商。

c）发起方接收消息40验证接收到的消息的合法性：若非法，则丢弃；否则，记录消息4中承载的

协商结果，构造消息5并发送给响应方。消息5中包含认证载荷，其格式应满足协议规范要

求，提供该消息的超时重传功能。若重传次数超过指定的最大值，则终止本次协商。

d）发起方接收消息60验证接收到的消息的合法性：若非法，则丢弃；否则，进行解密，验证认证

信息是否正确，记录消息6中承载的协商结果。设置协商完成标志。

e）发起方