YD/T 3818-2021 标准解读

一、标准适用场景与实施阶段

• 适配业务类型：面向公众服务的Wi-Fi 6/5G融合接入场景，包括交通枢纽、政务大厅、高校校园、大型商超等高并发、多终端、开放性接入环境下的公众无线局域网（PWLAN）系统；
• 实施环节：覆盖PWLAN系统建设期的设备部署、策略配置、安全策略集成及割接上线前的联调测试阶段；
• 验收阶段：限定于工程竣工后、正式商用前的专项源地址验证（SAV）功能验收，不替代整网安全测评或等保测评，属强制性子项验收环节。

二、现场实操合规规范

1. 部署位置要求：SAV功能必须在用户接入侧边界设备实现，即AP上联交换机或AC设备的入向接口（Ingress Interface），禁止部署于核心层或出口防火墙之后；
2. 验证机制选择：仅允许采用RFC 8279定义的BGP-LS+SRv6或RFC 7542定义的RADIUS CoA+DHCP Option 82组合方案；IPv4场景下必须启用DAI（动态ARP检测）与IP Source Guard联动，IPv6场景下必须启用RA-Guard与ND Snooping联动；
3. 参数阈值硬性规定：
   • DAI检查速率上限≥1000 pps/端口，响应延迟≤5ms（实测值，非标称值）；
   • DHCP Snooping绑定表老化时间≤300s，且必须启用“绑定表同步至所有接入设备”功能；
   • SRv6 SID长度严格为128bit，Locator段长度固定为64bit，Function段取值必须为End.T（0x00000001）或End.DX6（0x00000002）；
4. 执行流程：按“设备固件升级→接口启用SAV→绑定表初始化加载→策略下发验证→流量镜像抽样比对”五步闭环执行，每步须留存CLI日志截图及时间戳；
5. 现场质量管控：施工方须使用YD/T 3818-2021附录B规定的SAV验证工具集（含SAV-Tester v2.1.3及以上版本）进行本地化校验，工具输出报告需包含TTL字段分析、ICMPv6 NA报文合法性校验、伪造源IP丢包率三项原始数据。

三、成果验收核验标准

四、实操常见问题与质控方案

• 高频违规问题：
  • 将SAV功能错误部署于AC集中控制器而非边缘交换机，导致策略生效延迟超12ms（标准限值5ms）；
  • DHCP Snooping未启用Option 82 Remote ID字段校验，造成跨VLAN绑定表污染；
  • SRv6 Locator段配置为/48前缀，违反标准规定的/64最小粒度要求；
• 质量隐患：
  • 绑定表未开启硬件TCAM同步，导致大流量下TCAM溢出引发合法流量误丢；
  • RA-Guard未禁用Router Advertisement中的Managed Address Configuration（M）标志位，致IPv6地址伪造绕过；
• 标准化质控与整改方案：
  1. 部署前强制执行《YD/T 3818-2021设备兼容性清单V1.2》核验，剔除不支持硬件TCAM同步的交换机型号；
  2. 验收中发现Option 82缺陷，立即执行命令：ip dhcp snooping information option allow-untrusted→no ip dhcp snooping information option allow-untrusted→ip dhcp snooping information option remote-id string [device-serial]；
  3. SRv6 Locator段偏差超限，须重生成SID并同步更新所有Leaf节点，同步窗口≤30s，期间启用临时ACL阻断非授权IPv6流量。