YD/T 3166-2016 标准解读

一、核心基础术语释义

• 源地址验证（Source Address Validation）：指在网络接入节点对数据包的源IP地址进行合法性校验，确保其与用户实际分配地址一致，防止伪造源地址发起攻击的行为。
• IPv4/IPv6过渡场景（IPv4/IPv6 Transition Scenario）：指网络中同时存在IPv4与IPv6协议栈，或通过隧道、翻译等机制实现双栈互通的部署环境，包括双栈、隧道、协议翻译等典型过渡技术应用情形。
• SAVI（Source Address Validation Improvement）：源自IETF RFC系列标准的一类源地址验证增强机制，通过绑定用户接入端口、MAC地址、IP地址及时间戳等信息，构建可信绑定表，用于实时校验入网数据包源地址合法性。
• 溯源（Traceability）：指在发生安全事件后，依据网络设备记录的绑定关系及日志信息，逆向追踪至具体用户终端或接入位置的能力。

二、专项技术术语解析

1. 绑定表（Binding Table）：由SAVI设备维护的动态数据结构，记录用户终端的接入端口、MAC地址、分配的IPv4/IPv6地址、地址生命周期及绑定生成方式（如DHCP监听、ND检测等）。该表是执行源地址验证的核心依据。
2. 地址绑定生成机制（Binding Generation Mechanism）：指SAVI系统获取并建立地址绑定关系的技术路径，主要包括：
   • DHCP Snooping（针对IPv4）
   • ND Inspection（针对IPv6）
   • 手动静态配置
   • 基于认证系统的动态下发
   不同机制适用于不同过渡子场景。
3. 验证粒度（Validation Granularity）：指源地址验证所覆盖的地址范围精度，YD/T 3166-2016要求支持主机级（/128或/32）验证，禁止仅依赖网段级粗粒度策略。
4. 过渡协同验证（Transition-Aware Validation）：特指在NAT64、DS-Lite、4over6等过渡技术中，SAVI设备需识别封装或翻译后的原始源地址，并在逻辑层面完成对应绑定关系的映射与校验。

三、易混淆术语区分

四、术语应用规范

• 在技术文档、设备配置说明及测试报告中，“源地址验证”应统一表述为“基于SAVI机制的源地址验证”，不得简化为“地址过滤”或“IP校验”。
• 涉及过渡场景时，必须明确标注具体过渡技术类型（如“NAT64环境下的SAVI验证”），禁止笼统使用“双栈验证”等模糊表述。
• 绑定表相关参数（如老化时间、绑定生成方式）在配置文件中须使用标准定义字段名，例如binding-lifetime、generation-method，并与YD/T 3166-2016附录A保持一致。
• 溯源日志记录应包含完整绑定四元组及时间戳，字段命名遵循port-id、mac-address、ip-address、timestamp格式，确保跨厂商设备日志可互操作。
• 在合规性核验中，“验证粒度”指标必须以实际可配置的最小前缀长度（如IPv6为/128）作为达标依据，不得以设备默认策略代替实测结果。

注：所有术语定义及应用均严格依据YD/T 3166-2016第3章“术语和定义”及第5章“技术要求”条款，未引入外部标准或扩展解释。