ICS 3304040 M 32 YD 中华人民共和国通信行业标准 YD/T 1707-2007 防火墙设备测试方法 Testing Methods for Firewall 2007-09-29发布 2008-01-01实施 中华人民共和国信息产业部发布 YD/T 1707-2007 目 次 前 言 1 范围· 2 规范性引用文件 3 术语· 4 缩略语· 5. 测试配置图· 6 接口测试· 7 功能测试· 8 性能测试· 9 协议测试 105 10 网管测试· 106 11 可靠性测试· ·119 12 常规测试 13 环境测试 126 YD/T1707-2007 前言 本标准是防火墙系列标准之一。该系列标准的结构和名称如下： 1.YD/T1132-2001防火墙设备技术要求； 2.YD/T1707-2007防火墙设备测试方法。 本标准是YD/T1132-2001《防火墙设备技术要求》的配套标准。 本标准由中国通信标准化协会提出并归口。 本标准起草单位：信息产业部电信研究院 本标准主要起草人：段世惠 YD/T1707-2007 防火墙设备测试方法 1范围 本标准规定了防火墙设备的接口测试、功能测试、性能测试、协议测试、网管测试、可靠性测试和 常规测试。 本标准适用于支持IPv4的防火墙设备，同时适用于其他具有防火墙功能的IP设备。 2规范性引用文件 下列文件中的的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有 的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研 究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB4943-1995 信息技术设备（包括电气事务设备）的安全 GB 9254-1998 信息技术设备的无线电骚扰限值和测量方法 GB/T17618-1998 信息技术设备抗扰度限值和测试方法 YD/T 965-1998 电信终端设备的安全要求和试验方法 YD/T 993-1998 电信终端设备防雷技术要求和测试方法 YD/T 1098-2001 路由器测试规范低端路由器 YD/T 1132-2001 防火墙设备技术要求 YD/T 1141-2007 以太网交换机测试方法 YD/T1467-2006 P安全协议（IPSec）测试方法 3术语 YD/T1132-2001确立的以及下列术语和定义适用于本标准。 防火墙Firewall 在网络之间执行访问控制策略的一个或者一组设备。 受保护网络ProtectedNetwork 受防火墙保护的网段。 分区化Homed 防火墙设备所具有的逻辑接口数目。 内部网络internaiNetwork 受保护网络。 内部接口Internal interface 与内部网络相连的网络接口。 未保护网络UnprotectedNetwork 不受防火墙保护的网段。 外部网络，ExternaiNetwork YD/T 1707-2007 即未保护网络。 外部接口External Interface 与外部网络连接的网络接口。 内部主机InternalHost 位于内部网络的主机。 外部主机ExternalHost 位于外部网络的主机。 非军事区，DemilitarizedZone，DMZ 介于受保护网段与未受保护网段之间的网段。 非军事区接口DemilitarizedZoneInterface，DZ! 与非军事区连接的网络接口。 网络地址转换NetAddressTraslation，NAT 网络地址转换是一种将一个IP地址域映射到另一个P地址域从而为终端主机提供透明路由的方法。 正向NAT 为从内部主机向外部主机发起的会话所进行的网络地址转换。 反向NAT 为从外部主机向内部主机发起的会话所进行的网络地址转换。 策略Policy 对被接受的向内部网络、非军事化区以及外部网络的访问进行定义（即规则）的记录。 规则集RuleSet 访问控制规则的集合，它定义了防火墙设备应转发和拒绝哪些数据包。 包过滤 Packet Filtering 通过检查包头内容来控制访问的过程。 动态包过滤Stateful PacketFiltering 基于防火墙所维护的状态表的内容来转发或者拒绝数据包的过程。 身份验证Authentication 确定访问某一网络资源的用户是否是其所声称的身份的过程。 日志 Logging 对防火墙或网络中所发生的事件的记录。 代理Proxy 代表主机接收与转发请求的处理方式。 链路代理CircuitProxy 根据用户和系统建立的规则集的许可而不考虑服务本身的特殊性来建立代理连接。 应用代理Application:Proxy 根据用户和系统建立的规则集，同时考虑服务本身的特殊性，动态地建立与拆卸代理连接。 位转发率.BitForwardingRate 在给定的负载下，每秒钟被防火墙设备正确的转发到目的端口的被允许的数据的位数。 YD/T 1707-2007 即未保护网络。 外部接口External Interface 与外部网络连接的网络接口。 内部主机InternalHost 位于内部网络的主机。 外部主机ExternalHost 位于外部网络的主机。 非军事区，DemilitarizedZone，DMZ 介于受保护网段与未受保护网段之间的网段。 非军事区接口DemilitarizedZoneInterface，DZ! 与非军事区连接的网络接口。 网络地址转换NetAddressTraslation，NAT 网络地址转换是一种将一个IP地址域映射到另一个P地址域从而为终端主机提供透明路由的方法。 正向NAT 为从内部主机向外部主机发起的会话所进行的网络地址转换。 反向NAT 为从外部主机向内部主机发起的会话所进行的网络地址转换。 策略Policy 对被接受的向内部网络、非军事化区以及外部网络的访问进行定义（即规则）的记录。 规则集RuleSet 访问控制规则的集合，它定义了防火墙设备应转发和拒绝哪些数据包。 包过滤 Packet Filtering 通过检查包头内容来控制访问的过程。 动态包过滤Stateful PacketFiltering 基于防火墙所维护的状态表的内容来转发或者拒绝数据包的过程。 身份验证Authentication 确定访问某一网络资源的用户是否是其所声称的身份的过程。 日志 Logging 对防火墙或网络中所发生的事件的记录。 代理Proxy 代表主机接收与转发请求的处理方式。 链路代理CircuitProxy 根据用户和系统建立的规则集的许可而不考虑服务本身的特殊性来建立代理连接。 应用代理Application:Proxy 根据用户和系统建立的规则集，同时考虑服务本身的特殊性，动态地建立与拆卸代理连接。 位转发率.BitForwardingRate 在给定的负载下，每秒钟被防火墙设备正确的转发到目的端口的被允许的数据的位数。 YD/T 1707-2007 即未保护网络。 外部接口External Interface 与外部网络连接的网络接口。 内部主机InternalHost 位于内部网络的主机。 外部主机ExternalHost 位于外部网络的主机。 非军事区，DemilitarizedZone，DMZ 介于受保护网段与未受保护网段之间的网段。 非军事区接口DemilitarizedZoneInterface，DZ! 与非军事区连接的网络接口。 网络地址转换NetAddressTraslation，NAT 网络地址转换是一种将一个IP地址域映射到另一个P地址域从而为终端主机提供透明路由的方法。 正向NAT 为从内部主机向外部主机发起的会话所进行的网络地址转换。 反向NAT 为从外部主机向内部主机发起的会话所进行的网络地址转换。 策略Policy 对被接受的向内部网络、非军事化区以及外部网络的访问进行定义（即规则）的记录。 规则集RuleSet 访问控制规则的集合，它定义了防火墙设备应转发和拒绝哪些数据包。 包过滤 Packet Filtering 通过检查包头内容来控制访问的过程。 动态包过滤Stateful PacketFiltering 基于防火墙所维护的状态表的内容来转发或者拒绝数据包的过程。 身份验证Authentication 确定访问某一网络资源的用户是否是其所声称的身份的过程。 日志 Logging 对防火墙或网络中所发生的事件的记录。 代理Proxy 代表主机接收与转发请求的处理方式。 链路代理CircuitProxy 根据用户和系统建立的规则集的许可而不考虑服务本身的特殊性来建立代理连接。 应用代理Application:Proxy 根据用户和系统建立的规则集，同时考虑服务本身的特殊性，动态地建立与拆卸代理连接。 位转发率.BitForwardingRate 在给定的负载下，每秒钟被防火墙设备正确的转发到目的端口的被允许的数据的位数。