C_12805_Anlage

GS-A_4069-01 - Erlaubter Verkehr Produkttypen

Die Produkttypen Konnektor, Zugangsdienst, Sicherheitsgateway Bestandsnetze MÜSSEN bei Einsatz von Sicherheitsgateways den Verkehr mit Sicherheitsgateways auf den Verkehr einschränken, der in der Kommunikationsmatrix in der Architektur der TI-Plattform [gemKPT_Arch_TIP#Kommunikationsmatrix] aufgeführt ist.  Datenverkehr auf die in der Kommunikationsmatrix aufgeführten Kommunikationsbeziehungen beschränken.

[<=]

GS-A_4790-01 - Zentrales Netz, nur erlaubte Kommunikation

Das Zentrale Netz MUSS sicherstellen, dass im Zentralen Netz der TI und zwischen den angeschlossenen Produkttypen ausschließlich erlaubte IP-Kommunikation in Richtung Produkttypen und fachanwendungsspezifischer Dienste gesendet wird.
Die erlaubte Kommunikation umfasst:

• Verkehr wie spezifiziert durch die Kommunikationsmatrix in der Architektur der TI-Plattform [gemKPT_Arch_TIP#Kommunikationsmatrix]
• Datenverkehr wie in der Kommunikationsmatrix festgelegt
• DNS-Anfragen an den Produkttyp Namensdienst und an Nameserver-Implementierungen in der TI, die die Zone des Produkttyps Störungsampel verwalten
  
• NTP-Anfragen an den Produkttyp Zeitdienst
  
• Übertragung von Monitoringdaten Betriebsdaten an die Störungsampel den Dienst Betriebsdatenerfassung
  
• Verkehr Datenverkehr  zur Steuerung des Netzwerks
  

[<=]

GS-A_4812-01 - Produkttyp Namensdienst, Festlegung der Schnittstellen

Der Produkttyp Namensdienst MUSS die Schnittstellen gemäß Tabelle Tab_PT_Namensdienst_Schnittstellen implementieren („bereitgestellte“ Schnittstellen) und nutzen („benötigte“ Schnittstellen).

Tabelle 1: Tab_PT_Namensdienst_Schnittstellen

Schnittstelle	bereitgestellt / benötigt	obligatorisch / optional	Bemerkung
I_DNS_Name_Resolution	bereitgestellt	obligatorisch	Definition in Abschnitt 4.6
I_DNS_Service_Localization	bereitgestellt	obligatorisch	Definition in Abschnitt 4.6
P_DNS_Name_Entry_Announcement	bereitgestellt	obligatorisch	Definition in Abschnitt 4.7.1
P_DNS_Service_Entry_Announcement	bereitgestellt	obligatorisch	Definition in Abschnitt 4.7.1
P_DNS_Zone_Delegation	bereitgestellt	obligatorisch	Definition in Abschnitt 4.7.3
P_DNSSEC_Key_Distribution	bereitgestellt	obligatorisch	Definition in Abschnitt 4.7.2
I_NTP_Time_Information	benötigt	obligatorisch	Definition in Abschnitt 5.1
I_IP_Transport	benötigt	obligatorisch	Definition in Abschnitt 3.3.2.1
I_Monitoring_Update	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel
I_Monitoring_Read	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel

[<=]

GS-A_4813-01 - Produkttyp Namensdienst, nur erlaubte Kommunikation

Der Produkttyp Namensdienst MUSS sicherstellen, dass vom Namensdienst aus, über das Zentrale Netz der TI, nur erlaubte IP-Kommunikation in Richtung Produkttypen der TI-Plattform und fachanwendungsspezifischer Dienste gesendet wird.
Zur erlaubten Kommunikation des Namensdienstes zählen:

• DNS-Nachrichten an Fachanwendungsspezifische Dienste und an Zentrale Dienste der TI-Plattform
  
• NTP-Nachrichten an den Produkttyp Zeitdienst
  
• Übertragung von Monitoringdaten Betriebsdaten an die Störungsampel  den Dienst Betriebsdatenerfassung
  

[<=]

GS-A_4822-01 - Produkttyp Zeitdienst, Festlegung der Schnittstellen

Der Produkttyp Zeitdienst MUSS die Schnittstellen gemäß Tabelle Tab_PT_Zeitdienst_Schnittstellen implementieren („bereitgestellte“ Schnittstellen) und nutzen („benötigte“ Schnittstellen).

Tabelle 2: Tab_PT_Zeitdienst_Schnittstellen

Schnittstelle	bereitgestellt / benötigt	obligatorisch / optional	Bemerkung
I_NTP_Time_Information	bereitgestellt	obligatorisch	Definition in Abschnitt 5.1
DCF77	benötigt	obligatorisch	Zeitzeichensender DCF77 der PTB
I_IP_Transport	benötigt	obligatorisch	Definition in Kapitel 3 Zentrales Netz der TI
I_DNS_Name_Resolution	benötigt	obligatorisch	Definition in Kapitel 4 Namensdienst
I_Monitoring_Update	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel
I_Monitoring_Read	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel
P_DNS_Name_Entry_Announcement	benötigt	obligatorisch	Definition in Kapitel 4 Namensdienst
Schnittstelle zur GLONASS Zeitquelle	benötigt	optional	NTP Server mit GLONASS Zeitquelle.
Schnittstelle zur GPS Zeitquelle	benötigt	optional	NTP Server mit GPS Zeitquelle.
NTP Schnittstelle zu ptbtime1.ptb.de, ptbtime2.ptb.de, ptbtime3.ptb.de	benötigt	optional	NTP Zeitserver der Physikalisch Technischen Bundesanstalt ptbtime1.ptb.de, ptbtime2.ptb.de und ptbtime3.ptb.de.

Die Client-Funktionalität von mindestens einer der drei optionalen Schnittstellen muss implementiert werden.
[<=]

GS-A_4825-01 - Produkttyp Zeitdienst, nur erlaubte Kommunikation

Der Produkttyp Zeitdienst MUSS sicherstellen, dass vom Zeitdienst aus, über das Zentrales Netz der TI, ausschließlich erlaubte IP-Kommunikation in Richtung Produkttypen der TI-Plattform und fachanwendungsspezifischer Dienste gesendet wird.
Zur erlaubten Kommunikation des Zeitdienstes zählen:

• NTP-Nachrichten an Fachanwendungsspezifische Dienste und an Zentrale Dienste der TI-Plattform gemäß [RFC5905]
  
• DNS-Anfragen an den Produkttyp Namensdienst und an Nameserver-Implementierungen in der TI, die die Zone des Produkttyps Störungsampel verwalten.
  
• Übertragung von Monitoringdaten Betriebsdaten an die Störungsampel den Dienst Betriebsdatenerfassung
  

[<=]

TIP1-A_4369-01 - VPN-Zugangsdienst, Festlegung der Schnittstellen

Der Produkttyp VPN-Zugangsdienst MUSS die Schnittstellen gemäß Tabelle Tab_PT_VPN-Zugangsdienst_Schnittstellen implementieren („bereitgestellte“ Schnittstellen) und nutzen („benötigte“ Schnittstellen).

Tabelle 3: Tab_PT_VPN-Zugangsdienst_Schnittstellen

Schnittstelle	bereitgestellt/ benötigt	obligatorisch/optional	Bemerkung
I_Secure_Channel_Tunnel	bereitgestellt	obligatorisch
I_Secure_Internet_Tunnel	bereitgestellt	obligatorisch
I_DNS_Name_Resolution (Namensraum TI)	bereitgestellt	obligatorisch
I_DNS_Name_Resolution (Namensraum Internet)	bereitgestellt	obligatorisch	zur Auflösung von FQDN der VPN-Konzentratoren und des Download-Punktes der CRL
I_DNS_Name_Resolution (Namensraum Internet)	bereitgestellt	obligatorisch	zur Auflösung von FQDN von Diensten im Internet (über den SIS)
I_NTP_Time_Information	bereitgestellt	obligatorisch
I_Registration_Service	bereitgestellt	obligatorisch
P_DNSSEC_Key_Distribution	bereitgestellt	obligatorisch
I_NTP_Time_Information	benötigt	obligatorisch	Definition in [gemSpec_Net]
I_IP_Transport	benötigt	obligatorisch	Definition in [gemSpec_Net]
I_Monitoring_Update	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel
I_Monitoring_Read	benötigt	obligatorisch	Definition durch den Anbieter der Störungsampel
I_OCSP_Status_Information	benötigt	obligatorisch	Definition in [gemSpec_PKI]

[<=]

TIP1-A_3324-01 - Konfigurationsdienst TLS-Zertifikatserstellung

Der Anbieter des Konfigurationsdienstes MUSS beim zuständigen PKI-Registrierungsdienst über die Schnittstelle I_Cert_Provisioning [gemKPT_Arch_TIP] das X.509-Komponentenzertifikat mit der TLS-Server-Identität ID.ZD.TLS_S zur TLS Serverauthentisierung beantragen.
[<=]

TIP1-A_6125-01 - KSR - Monitoringdaten an die BDE

Der Konfigurationsdienst MUSS für alle seine Komponenten inklusive der KSR Download Cache Server Monitoringdaten Betriebsdaten an die Störungsampel den Dienst Betriebsdatenerfassung (BDE) senden [gemSpec_St_Ampel] (Schnittstelle I_Monitoring_Update). [<=]