YD/T 3997-2021 标准解读

一、标准适用范围与执行边界

• 适用主体：宽带接入网运营商（含固网ISP）、城域网汇聚层设备厂商、BRAS/UPF等边缘转发设备制造商、网络安全部署实施单位。
• 适用场景：以太网接入方式下，用户侧IP地址通过DHCPv4、DHCPv6、SLAAC、PPPoE、静态配置等多种方式共存的混合分配环境；覆盖FTTH、FTTB、政企专线等典型接入形态；要求源地址验证（SAVA）功能在接入网边缘（如OLT上联口、BRAS物理接口）完成部署与策略生效。
• 排除条件：非以太网接入方式（如xDSL、HFC、5G NR-U空口直连）；纯IPv4私网NAT后端场景（无公网IPv4地址映射）；未启用IPv6协议栈且未配置全局单播地址的纯二层透传链路；用户终端已启用主机侧SAVA（如Windows SA-Validation或Linux eBPF-based SAV）且网络侧不参与校验的情形。

二、核心实操技术要求

1. 地址绑定一致性要求：对同一用户会话，DHCPv4租约、DHCPv6 IA_NA、SLAAC RA前缀通告、PPPoE Session ID四类信息必须在BRAS/OLT控制面完成统一绑定，绑定表项生存期≤对应地址生命周期的90%，且支持毫秒级同步至转发面TCAM。
2. 验证触发机制：所有IPv4/IPv6三层转发报文必须触发SAVA检查；仅当目的MAC为本设备、且源IP属于该端口已授权地址池时放行；对ICMPv6 RA/NS/NA、DHCPv6 Solicit/Advertise等协议报文，允许预授权白名单机制，白名单条目须由DHCPv6服务器或NDRA控制器实时下发，超时自动清除。
3. 多分配方式协同规则：
   • DHCPv4与DHCPv6共存时，以DHCPv4租约为优先绑定依据，DHCPv6 IA_NA仅用于补充IPv6地址验证；
   • SLAAC地址必须携带RA中M=0/O=1标志位，且终端生成的EUI-64地址需通过DHCPv6-PD获取的委派前缀校验；
   • PPPoE会话内若存在静态配置地址，须在LCP阶段通过IPCP协商确认，并写入会话级绑定表，禁止跨会话复用。
4. 验收规范：

   测试项	合格阈值	测量方法
   地址绑定延迟	≤200ms（从DHCP ACK发出到转发面生效）	镜像BRAS控制面与数据面时间戳比对
   伪造源IP拦截率	≥99.999%（持续1小时流量注入）	Spirent TestCenter发送非绑定源IP报文，统计丢包率
   合法地址误丢弃率	0%	真实用户终端发起HTTP/HTTPS/UDP流，监测TCP重传率与ICMP不可达响应

三、典型业务场景应用案例

• FTTH家庭用户混合地址分配：某省运营商OLT上联BRAS配置DHCPv4+DHCPv6双栈，光猫启用SLAAC生成IPv6地址。部署时将BRAS DHCPv4 Option 82子选项（Circuit ID + Remote ID）与DHCPv6 DUID-LLT绑定，同时在OLT PON口启用RA Guard，过滤非法RA报文；SLAAC地址仅允许使用DHCPv6-PD下发的/60前缀生成，超出范围的EUI-64地址在BRAS入接口被硬件ACL直接丢弃。
• 政企专线多模式接入：某金融客户通过PPPoE接入并静态配置IPv4/IPv6双栈地址。BRAS在PPPoE Session建立时调用RADIUS CoA指令，将客户合同约定的静态地址段写入会话专属绑定表；同时关闭该端口DHCP监听，避免动态分配干扰；验证策略启用“静态地址强制绑定”模式，仅允许绑定表内地址通过。
• 校园网IPv6过渡场景：高校网络采用SLAAC为主、DHCPv6为辅的IPv6部署。BRAS启用ND Snooping，捕获RA/NS/NA报文生成临时绑定；当终端发起DHCPv6请求后，立即用DHCPv6 IA_NA地址覆盖SLAAC临时条目，并设置老化时间=IA_NA T1周期；SLAAC地址无DHCPv6确认时，72小时后自动失效。

四、实操难点与解决方案

1. 难点：DHCPv6与SLAAC地址冲突导致绑定表冗余

   终端同时启用SLAAC与DHCPv6，产生两个不同IPv6地址，但仅一个可验证。

   解决方案：在BRAS启用DHCPv6 Rapid Commit Option，强制客户端跳过SLAAC流程；若无法关闭SLAAC，则配置“DHCPv6优先覆盖”策略，SLAAC地址仅作为备用验证项，绑定表主键设为DUID+IAID，SLAAC地址挂载为附属条目并标记valid-lifetime=0。
2. 难点：PPPoE多会话共享同一物理端口时绑定混淆

   同一PON口下多个PPPoE会话使用相同VLAN ID，导致地址绑定错位。

   解决方案：BRAS必须启用PPPoE Session ID作为绑定表一级索引，禁用仅依赖VLAN+MAC的简化绑定模式；OLT侧开启PPPoE Intermediate Agent（RFC 3073），插入唯一Session-ID字段至PPP帧头部。
3. 难点：老旧光猫不支持DHCPv6-PD委派，SLAAC地址无法校验前缀合法性

   终端生成的SLAAC地址前缀与BRAS预期不符，触发误丢弃。

   解决方案：BRAS启用SLAAC前缀白名单机制，将现网实际部署的/64前缀列表（不超过16个）预置为可信前缀；白名单更新通过NETCONF YANG模型下发，变更后5分钟内全网同步生效。