YD/T 1615-2007 标准解读

一、标准适用场景与实施阶段

• 本标准适用于基于RADIUS协议实现的公众IP网络远端接入用户验证服务，涵盖宽带接入、移动热点、公共Wi-Fi及企业远程拨号等业务场景。
• 实施阶段限定于网络接入服务部署的验收前调试阶段，须在用户认证系统上线前完成RADIUS服务器、接入设备（NAS）及用户数据库的联动测试。
• 验收阶段为工程竣工验收前的第三方独立测试环节，必须在真实业务流量模拟环境下执行，禁止仅在实验室环境或仿真平台完成。

二、现场实操合规规范

• RADIUS服务器须启用MD5加密认证，共享密钥长度不得低于16字符，且每90日强制轮换，密钥变更须记录于运维日志并经双人复核。
• 接入设备（NAS）发送的Access-Request报文必须包含User-Name、NAS-IP-Address、NAS-Port-ID、Calling-Station-ID四项必填字段，缺失率不得高于0.1%。
• 认证响应延迟阈值：从NAS发送Access-Request至接收Access-Accept/Reject报文，单次响应时间不得超过200ms，连续1000次测试中平均延迟不得超过85ms。
• 会话保持机制：用户认证成功后，NAS须在30秒内向RADIUS服务器发送Accounting-Start报文，超时未上报视为认证失效，系统自动触发重认证流程。
• 日志完整性：RADIUS服务器须记录完整审计日志，包含时间戳、用户标识、NAS地址、认证结果（Accept/Reject）、拒绝原因码（如1-12），日志保留周期不少于180天。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：NAS未携带Calling-Station-ID导致认证失败。质控方案：在NAS配置模板中强制绑定MAC地址采集模块，部署前执行端口级抓包验证字段完整性。
• 问题2：RADIUS服务器响应超时。质控方案：服务器CPU负载须低于60%，内存使用率低于75%；部署前执行压力测试，模拟5000并发请求持续30分钟，监控系统资源消耗。
• 问题3：日志字段缺失或时间戳错乱。质控方案：启用NTP时间同步，时间偏差不得超过±2秒；日志写入采用原子操作，禁止多线程并发写入同一文件。
• 问题4：共享密钥明文存储。质控方案：密钥须加密存储于HSM硬件安全模块，禁止以文本文件、数据库明文或配置脚本形式留存；运维人员访问密钥须通过双因素认证并留痕。
• 问题5：拒绝原因码误报率高。质控方案：建立拒绝码映射表，与用户数据库状态（如账户状态、黑名单、配额）实时联动；每季度进行一次规则一致性审计，由安全团队出具报告。
• 问题6：未启用Accounting-Start报文。质控方案：在NAS设备配置中强制开启计费启动报文，关闭后自动触发告警并阻断用户接入；验收时必须提供连续72小时的计费会话记录。

所有验收数据必须由具备CNAS资质的第三方检测机构出具，原始日志与抓包文件须封存不少于两年，供监管追溯。