YD/T 3995-2021 标准解读

一、标准适用范围与执行边界

• 适用主体：宽带接入网运营商（含固网ISP）、城域网汇聚层设备厂商、BRAS/OLT侧源地址验证（SAV）功能模块集成方；不适用于终端用户设备、纯IPv6网络、非DHCPv4分配地址的静态配置场景。
• 适用场景：基于Y.1564或RFC 2544测试通过的以太网接入网络，采用DHCPv4协议为CPE动态分配IPv4地址及子网前缀，且CPE上行链路为单归属（Single-homed）的典型FTTH/FTTB组网；要求BRAS或边缘路由器具备SAV策略执行能力。
• 排除条件：多归属（Multi-homed）CPE同时接入两个及以上BRAS；使用PPPoE+DHCP混合地址分配模式；CPE启用NAT并透传私有地址至BRAS；DHCP中继部署在非可信域（如跨自治系统中继）；接入侧未启用DHCP Snooping或未同步绑定表至SAV策略引擎。

二、核心实操技术要求

1. DHCP绑定信息采集精度：BRAS必须从DHCP Server或DHCP Snooping监听端口实时获取四元组绑定关系（Client IP、Client MAC、接入端口、VLAN ID），采集延迟≤100ms，绑定表更新周期≤5s；绑定条目生存期不得短于DHCP租约时长的80%。
2. SAV策略匹配规则：对上行流量执行逐包检查，仅允许源IP属于本端口/VLAN当前有效绑定表中的IP地址；禁止通配符匹配、子网掩码宽松匹配或MAC地址模糊匹配；策略生效后丢包率应≥99.99%恶意伪造源IP报文。
3. 异常处理机制：检测到非法源IP报文时，须生成Syslog日志（含时间戳、源IP、目的IP、入端口、VLAN、MAC），日志格式符合RFC 5424；连续3次非法报文触发端口级临时阻断（持续30s），阻断期间仅放行DHCP Discover/Request报文。
4. 验收测试规范：采用RFC 3511定义的IPv4转发性能测试方法，在满配绑定表（≥50万条）下，BRAS转发时延抖动≤15μs，控制面CPU占用率≤65%；使用Scapy构造伪造源IP流量，验证非法报文丢弃率≥99.999%（置信度99.9%，样本量≥100万包）。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：DHCP中继环境下绑定信息不同步
  

  BRAS无法直接获取DHCP Offer中的Client IP，仅能收到中继添加的GIADDR和Option 82，导致绑定缺失

  
  对策：强制要求中继设备启用Option 82 Circuit-ID子选项，并携带唯一端口标识；BRAS侧配置Option 82解析模板，将Circuit-ID映射至物理端口/VLAN，结合DHCP ACK报文中的CHADDR字段补全绑定四元组。
• 难点2：高并发DHCP Renew引发绑定抖动
  

  整点时刻大量终端集中Renew，BRAS绑定表高频写入导致策略引擎短暂不可用

  
  对策：启用绑定表双缓冲机制，主缓冲处理新增/更新，备缓冲维持策略查询；Renew请求优先走增量更新通道，避免全表重载；设置Renew窗口偏移（±120s随机扰动）。
• 难点3：哑终端（如打印机）无DHCP交互但需通信
  

  部分IoT设备使用链路本地地址或固定IP，不参与DHCP流程，SAV默认阻断其上行

  
  对策：在BRAS预置白名单IP段（如169.254.0.0/16），配置独立SAV bypass策略；白名单仅限接入端口内生效，禁止跨VLAN传播；白名单条目需人工审批并记录变更日志。