YD/T 3921-2021 标准解读

一、标准核心修订内容汇总

• 删除原YD/T 3921—2018中关于“集中认证服务器与AP间采用私有协议交互”的非强制性推荐条款，明确要求所有认证信令须基于标准RADIUS/RESTful API接口规范，且需通过TLS 1.2+加密传输；
• 新增第5.4条“数据本地转发安全隔离要求”，规定同一AP下不同用户VLAN间须实现二层隔离，禁止跨VLAN ARP代理及ICMP重定向；
• 将原“认证响应时延≤200ms”指标细化为分级要求：高优先级业务（如VoWiFi）≤100ms，普通数据业务≤150ms，批量认证场景（≥100并发）允许放宽至≤300ms但须标注QoS标记；
• 补充第6.2.3条“用户会话生命周期管理”，强制要求AC设备在检测到用户终端连续3次心跳超时（间隔≥60s）后立即释放IP地址、清除ARP表项并通知计费系统；
• 废止2018版附录B中“建议采用WPA2-PSK作为默认加密方式”表述，统一要求所有新建网络必须支持WPA3-SAE，并兼容WPA2-Enterprise双模认证。

二、关键技术要点深度解读

1. 集中认证架构合规性：AC须作为唯一认证代理节点，禁止AP直连RADIUS服务器；RADIUS属性集须完整支持RFC 6929定义的Wi-Fi联盟扩展属性（如Tunnel-Private-Group-ID、NAS-Filter-Rule），缺失任一必选属性视为协议不兼容；
2. 本地转发数据面控制点：AP在启用本地转发模式时，必须通过CAPWAP Control Channel向AC同步用户绑定信息（含MAC、IP、VLAN ID、SSID、接入时间戳），同步延迟不得大于500ms；
3. 密钥派生与更新机制：PMK须由AC经EAP-TLS或EAP-PEAP-GTC协商生成，禁止AP参与PMK计算；PTK更新触发条件包括：会话时长达3600s、数据帧计数器溢出（≥2⁴⁸）、或AC主动下发Key-Update消息，三者满足其一即强制重握手；
4. 异常行为检测阈值：AC需对单用户每秒ARP请求超过15帧、ICMP Echo Request超过30帧、或DHCP Discover洪泛超过5次/10s等行为实时告警，并自动启用端口临时限速（≤1Mbps）；
5. 日志审计字段完整性：所有认证成功/失败事件日志必须包含：NAS-IP-Address、User-Name、Calling-Station-ID、Framed-IP-Address、Acct-Session-Time、Event-Timestamp（UTC毫秒级）、Acct-Terminate-Cause，缺一不可。

三、主要条款行业应用规范

四、标准实施价值与落地建议

• 解决多厂商AC-AP互操作中RADIUS属性映射不一致导致的漫游中断问题，要求设备商在入网前提交《属性映射兼容性声明表》，列明RFC 6929全部12类扩展属性的本地字段映射关系；
• 针对存量WPA2网络升级，允许过渡期12个月，但须在AC侧启用“WPA3-SAE协商强制开关”，新终端接入时优先协商WPA3，旧终端降级至WPA2-Enterprise并记录日志；
• 本地转发场景下，运营商需在AP配置模板中固化VLAN隔离策略（如Cisco IOS-XE需配置switchport protected、Huawei VRP需配置port-isolate enable），禁止手工关闭；
• 认证服务器集群部署时，须采用基于源IP哈希的负载分发策略，确保同一终端MAC地址的连续认证请求路由至同一RADIUS实例，避免会话状态不一致；
• AC固件版本须符合YD/T 3921-2021 Annex A《合规性功能清单》，其中“心跳超时自动会话清理”、“跨VLAN二层隔离”、“WPA3-SAE密钥派生”三项列为A类必检项，未通过则禁止入网。