YD/T 3819-2021 标准解读

一、标准整体架构与篇章体系

• 第1章 范围：界定本标准适用于公众无线局域网（PWLAN）接入场景下基于源地址验证（SAV）机制的功能性、一致性及互操作性测试，不涵盖核心网侧SAV策略部署。
• 第2章 规范性引用文件：列明YD/T 2431-2012《无线局域网接入设备技术要求》、RFC 2827《Network Ingress Filtering》、RFC 3704《Ingress Filtering for Multihomed Networks》等7项强制引用标准与协议。
• 第3章 术语和定义：明确定义“源地址验证”“验证触发点”“验证响应延迟”“伪造源地址报文”“验证策略匹配度”等12个核心术语，其中6个为首次在通信行业标准中标准化定义。
• 第4章 测试环境与配置要求：规定测试拓扑须含STA、AP、AC、SAV策略服务器四类实体；网络时延抖动≤5ms；时间同步精度≤100μs；所有设备需支持IEEE 802.11ax或以上版本。
• 第5章 测试项目与方法：分5.1–5.6节，覆盖SAV功能启用/禁用状态验证、单播/组播源地址合法性校验、跨VLAN/跨子网SAV策略继承性、SAV失败报文处置行为、策略更新实时性五类主干测试项。
• 第6章 测试结果判定：明确通过准则为全部强制性条款测试项符合率100%，且推荐性条款符合率≥90%；对策略更新延迟、响应超时等指标设量化阈值。

二、强制性核心条款分级

1. 5.1.1条：SAV功能必须支持按SSID粒度独立启停；禁用状态下不得执行任何源地址校验逻辑，且日志记录字段SAV_Status须置为DISABLED。
2. 5.2.2条：对IPv4单播报文，必须依据RFC 2827规则校验源IP是否属于该接入端口所属子网地址段；校验失败报文必须被丢弃，禁止转发至AC或上行链路。
3. 5.3.1条：跨VLAN接入场景下，SAV策略必须随802.1X认证成功消息同步下发至AP，策略生效延迟≤200ms；超时未生效视为失败。
4. 5.4.3条：SAV失败事件必须生成Syslog日志，包含字段：事件时间戳（UTC+0）、源MAC、源IP、目的IP、触发端口、策略ID、处置动作；日志保留周期≥7×24h。
5. 6.2条：测试报告中“SAV策略匹配度”指标须基于10000帧样本计算，允许误判率上限为0.01%，漏判率上限为0.005%；超出即判为不符合。

三、推荐性优化条款解读

• 5.2.4条（推荐）：建议对IPv6单播报文实施ULA（Unique Local Address）前缀白名单校验；适用于政务专网、金融内网等高安全等级PWLAN场景，可阻断本地链路地址伪造攻击。
• 5.5.2条（推荐）：建议SAV策略服务器支持基于BGP FlowSpec的动态策略注入；适配运营商级PWLAN多租户环境，实现分钟级全网策略同步。
• 5.6.1条（推荐）：建议AP在SAV丢弃报文后向STA发送ICMP Destination Unreachable（Code 13）通知；提升终端侧故障定位效率，降低用户投诉率。
• 附录A.3（资料性附录）：提供SAV策略冲突检测算法伪代码；适用于AC集群部署场景，避免因策略冗余导致验证逻辑异常。

四、通用基础条款说明

所有测试活动须在CNAS认可实验室环境下开展，测试设备校准证书有效期不得超出6个月；SAV策略配置参数须以JSON Schema v7格式导出并存档，Schema定义见标准附录B。