YD/T 3967-2021 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：基于云平台承载的IPv4/IPv6双栈业务系统，含云主机、容器服务、负载均衡、对象存储及API网关等IaaS/PaaS层服务；不适用于纯终端侧IPv6单栈部署或非云化网络设备直连场景。
• 实施环节：覆盖云平台IPv4-IPv6互通架构设计、互通网关（如NAT64/DNS64、IVI、SIIT）部署、双栈地址规划、路由策略配置、安全策略同步、业务流量调度策略上线等全生命周期环节。
• 验收阶段：限定于云服务交付后的试运行期结束前72小时内，须完成全部互通功能验证与性能压测；验收主体为云服务商与客户联合验收组，第三方检测机构可依本标准开展符合性测试。

二、现场实操合规规范

1. 互通网关部署：NAT64网关必须启用RFC 6146定义的有状态翻译模式，翻译表项超时时间≤300s；DNS64服务器须严格遵循RFC 6147，AAAA记录合成前缀应为64:ff9b::/96，且禁止使用任意自定义前缀。
2. 双栈地址分配：云主机IPv6地址须通过SLAAC或DHCPv6无状态+有状态混合方式获取；IPv4地址必须采用私有地址段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16），不得出现公网IPv4地址直接映射。
3. 路由策略执行：IPv6默认路由下一跳必须指向云内IPv6骨干网网关；IPv4至IPv6翻译路径MTU值统一设为1280字节，路径中所有节点需支持ICMPv6 Packet Too Big消息反馈。
4. 质量管控要求：互通链路端到端时延（IPv4→IPv6）≤50ms（95%分位），丢包率≤0.1%（10分钟持续采样）；DNS64解析成功率≥99.99%（每5秒发起一次AAAA查询，持续1小时）。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：DNS64合成前缀配置错误——现场核查发现23%案例使用64:ff9b:1::/48等非标准前缀。质控方案：强制校验配置文件中dns64 prefix指令值，仅允许64:ff9b::/96；自动化脚本每2小时扫描配置并告警。
• 问题2：NAT64翻译表项溢出——高并发场景下翻译表满导致新建连接失败。质控方案：部署前按公式N = (峰值QPS × 平均会话时长) × 1.2计算最小表项容量；验收时以1.5倍设计QPS压力注入，监测翻译表占用率≤85%。
• 问题3：IPv6路由黑洞——云内IPv6骨干网未通告/64子网路由，导致回程包丢失。质控方案：验收前执行BGP路由表比对，确保云平台IPv6 ASN向下游通告所有业务子网；使用traceroute6验证回程路径可达性。
• 问题4：安全策略错配——IPv4安全组规则未同步至IPv6 ACL，造成IPv6端口暴露。质控方案：ACL策略须采用双栈原子提交机制，任一协议规则变更触发另一协议规则自动同步；验收时执行nmap -6 --script=firewall-bypass扫描验证。