YD/T 3884-2021 标准解读

一、标准适用场景与实施阶段

• 适配业务类型：面向宽带接入网中以太网接入（含EPON/GPON/10G-EPON/XG(S)-PON）的多租户场景，支持IPv4单栈、IPv6单栈及双栈共存环境下的源地址验证（SAVA）功能部署；
• 实施环节：适用于网络设备入网测试、新建OLT/ONU设备割接前验证、现网SAVA策略升级后回归测试三个关键实施环节；
• 验收阶段：限定于工程初验（含现场联调）、专项安全加固验收及第三方等保测评支撑测试三类正式验收阶段，不适用于实验室仿真环境或非生产性POC验证。

二、现场实操合规规范

1. 地址分配方式组合要求：必须覆盖DHCPv4+SLAAC+DHCPv6三种分配机制共存场景，其中DHCPv4地址池与DHCPv6 IA_NA池需配置相同前缀长度（/24或/64），SLAAC前缀须与DHCPv6前缀一致；
2. 测试终端配置：每组测试需部署4类终端——Windows 10（启用IPv6 RA+DHCPv6）、Linux Ubuntu 22.04（禁用RA仅启DHCPv6）、Android 13（默认SLAAC+DHCPv6 PD）、iOS 17（仅SLAAC），所有终端IPv4/IPv6地址获取时间间隔≤2s；
3. 验证流量注入参数：使用IXIA XGS12测试仪生成三层流，源IP地址须为被测终端实际获取地址，目的IP为固定服务器地址（192.0.2.1/2001:db8::1），UDP端口范围1024–65535，报文速率≥1000pps，持续时长≥60s；
4. 设备侧策略执行阈值：OLT上SAVA绑定表项刷新周期≤30s，绑定关系超时时间设定为180s±5s；当检测到非法源地址报文时，设备须在200ms内完成报文丢弃并生成Syslog日志（RFC5424格式，Severity=3）；
5. 现场质控要求：测试全程须开启OLT CPU利用率监控（采样间隔≤5s），若连续3次采样值＞70%，则中止当前测试并记录告警事件编号。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：DHCPv6 IA_PD与SLAAC前缀不一致导致IPv6绑定缺失 质控方案：强制要求在OLT DHCPv6 Server配置中启用prefix-delegation选项，并通过CLI命令verify dhcpv6 pd-prefix consistency校验PD前缀与RA Prefix Information Option中Prefix一致，不一致时自动阻断配置提交；
• 问题2：Windows终端启用“快速启动”造成IPv6地址缓存未刷新，SAVA误判为非法地址 质控方案：验收前执行PowerShell指令Set-NetIPv6Protocol -RouterDiscoveryEnabled $false，并重启网络服务，验证ipconfig /all输出中“Router Discovery”状态为Disabled；
• 问题3：OLT绑定表项老化时间配置为0，导致长期在线终端绑定失效 质控方案：自动化脚本定期扫描show sava binding输出，对aging-time字段值为0的条目立即触发告警并锁定对应PON口，执行sava binding aging-time 180强制修正；
• 问题4：镜像端口未过滤BPDU/LLDP报文，干扰SAVA丢包率统计 质控方案：在镜像会话中强制启用ACL规则deny l2-type 0x88cc,0x0027，仅permit ip，ACL应用后须通过show mirror session detail确认match-counter递增为0；
• 问题5：Syslog服务器未启用TLS加密，日志完整性无法审计 质控方案：验收必检项增加openssl s_client -connect :6514 -CAfile ca.pem返回码为0，且日志样本中含TLS handshake completed字段。