YD/T 3900-2021 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：IPv4/IPv6双栈网络环境下的互联网接入服务提供商（ISP）、数据中心运营商、云服务基础设施提供方；不适用于纯内网隔离系统、无公网IP地址分配行为的专网系统。
• 实施环节：IP地址分配环节（含DHCPv4/DHCPv6动态分配、PPPoE拨号、静态配置下发）、用户终端首次上线认证环节、地址租约续约及重绑定环节。
• 验收阶段：网络设备入网测试阶段、新业务割接前验证阶段、等保三级及以上系统年度合规复测阶段；验收须在真实流量承载环境下执行，禁止仅依赖离线配置审计。

二、现场实操合规规范

1. 源地址验证机制部署：
   • 必须启用RFC 5210定义的SAVA框架，支持基于BGP-SAV、SAVA-PC或SAVA-LA任一子模式；BGP-SAV模式下，AS号需与上游ISP注册信息一致，BGP路由更新间隔≤30s。
   • 接入设备（BRAS/OLT/AG）需启用严格模式（Strict Mode），对ARP/ND报文执行源地址合法性校验，校验失败丢弃率应达100%，日志记录完整率≥99.99%。
2. 参数阈值控制：
   • 地址绑定表刷新周期≤180s；DHCP Option 82字段中Circuit-ID与Remote-ID长度分别不超过64字节和128字节；ND RA报文中RA Flag置位必须为0x80（Managed Address Configuration）。
   • 源地址验证失败告警触发阈值：单端口连续5分钟内失败次数≥200次，或全网失败率＞0.5%持续10分钟，须自动触发SNMP trap v2c OID .1.3.6.1.4.1.3747.2.1.1.1.1.1.1。
3. 执行流程：
   1. 第1步：采集用户接入端口物理层信息（LLDP TLV 0x08/0x09）并写入SAVA绑定数据库；
   2. 第2步：DHCP Offer阶段同步注入Option 82 Sub-option 1（Circuit-ID）与Sub-option 2（Remote-ID）；
   3. 第3步：用户上线后，设备实时比对ARP请求中的源IP与绑定表中该端口允许IP段，匹配失败则丢弃并生成Syslog Level 3事件。
4. 现场质量管控：
   • 每台接入设备需留存最近7×24小时原始校验日志，日志格式符合GB/T 35273—2020附录A.2；
   • 人工抽检须覆盖≥5%的活跃端口，使用Wireshark捕获ARP/ND报文，校验SAVA标记字段（IEEE 802.1Q Tag中PCP=5且DEI=1）。

三、成果验收核验标准

四、实操常见问题与质控方案

• 高频违规问题：
  • 问题1：DHCP Option 82未启用Remote-ID字段，导致SAVA-LA模式下无法定位物理端口；整改：强制启用Option 82 Sub-option 2，校验Remote-ID格式为“OLT-Serial:Slot/Port”；
  • 问题2：ND RA报文未设置O Flag（Other Configuration），致IPv6 SLAAC地址绕过SAVA校验；整改：配置RA守护进程，确保RA报文ICMPv6 Type=134, Code=0, Flags=0xC0；
  • 问题3：绑定表未启用硬件TCAM加速，导致高并发场景下校验延迟＞50ms；整改：启用ASIC级SAVA offload，通过show sava hardware tcam命令确认命中率≥99.9%。
• 质控落地方案：
  1. 自动化脚本每日凌晨执行：curl -X POST http://sa-portal/api/v1/validate?mode=full，返回HTTP 200且"compliance_rate">="99.99%"为合格；
  2. 第三方工具交叉验证：使用开源工具sava-tester-v2.1.0，加载YD/T 3900-2021 Annex B测试向量集，单设备测试用例通过率必须达100%；
  3. 质控闭环：所有不合格项须在48小时内提交CAR（Corrective Action Report），包含根因分析（5Why法）、整改措施（含CLI配置片段）、复测结果截图（含时间戳）。