YD/T 3998-2021 标准解读

一、标准适用范围与执行边界

• 适用主体：以太网接入设备制造商、宽带接入网运营单位（含省市级城域网及FTTx网络建设方）、源地址验证（SAV）策略控制器开发单位；不适用于纯终端用户侧CPE设备（如家用路由器）及非IP层转发的光层/物理层设备。
• 适用场景：基于IEEE 802.3标准的有线以太网接入环境，包括但不限于GPON/EPON OLT上联口、BRAS/SR设备GE/10GE以太网接口、汇聚交换机面向用户侧的下行端口；要求链路层为标准以太帧封装，且IP层具备可解析源IPv4/IPv6地址能力。
• 排除条件：不适用于采用MAC-in-MAC（如PBB）、MPLS L2VPN或VXLAN隧道封装导致原始IP头不可见的场景；不覆盖无线接入（Wi-Fi/5G）链路；不适用于未部署DHCP Snooping或ND Snooping的无状态地址分配网络；不强制要求对非托管用户终端实施主动探测验证。

二、核心实操技术要求

1. SAV策略部署粒度：必须按接入端口（Port）或VLAN子接口（VLANIF）级配置，禁止跨VLAN泛洪式策略绑定；每个策略项须关联明确的用户标识（DHCP租约ID或ND RA前缀+DUID）。
2. 地址绑定有效性：DHCPv4场景下，绑定表项生命周期≤租期时长的110%；DHCPv6场景下，IA_NA绑定有效期≤T1定时器值；ND场景下，邻居表项老化时间≤REACHABLE_TIME（默认30s），且须支持RS触发即时刷新。
3. 报文验证动作：对源IP地址不在当前端口/VLAN绑定表中的IPv4/IPv6单播数据帧，执行硬丢弃（Hard Drop），禁止重定向、限速或日志告警替代；ICMPv6错误消息（如Destination Unreachable）不受SAV规则约束。
4. 策略同步机制：OLT/BRAS设备需通过NETCONF over SSH（RFC 6241）向SAV策略控制器上报绑定表变更事件，延迟≤500ms；控制器下发策略更新至设备的响应超时阈值设为3s，超时即回滚至上一有效版本。
5. 验收测试项：在10Gbps线速下，单端口SAV策略匹配吞吐量≥9.8Gbps（RFC 2544）；绑定表容量≥64K条/单板；策略生效时延≤100ms（从DHCP ACK发出至设备完成表项写入）。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：多DHCP服务器共存导致绑定冲突
  

  某地市BRAS与第三方IPTV DHCP Server并行，SAV设备无法区分地址归属域

  
  对策：强制启用DHCP Option 82（Circuit ID字段编码接入位置信息），SAV策略按Option 82子选项（Remote ID + Circuit ID）做二级索引，隔离不同DHCP域策略空间。
• 难点2：高并发上线引发绑定表写入延迟超标
  

  凌晨批量终端重启时，单板绑定表写入延迟达1.2s，超出100ms阈值

  
  对策：启用绑定表分片写入（Sharded Table Write），将64K表项切分为8个8K逻辑块，每块独立DMA通道写入，实测延迟压降至65ms。
• 难点3：IPv6临时地址频繁变更导致误丢包
  

  Windows客户端启用Privacy Extensions后，SAV持续丢弃合法临时地址流量

  
  对策：开启RFC 4941兼容模式，SAV设备识别临时地址的随机后缀特征（非EUI-64），对/64前缀内所有临时地址自动继承主地址绑定状态，无需单独学习。
• 难点4：老旧交换机不支持SAV硬件加速
  

  部分GE接入交换机仅支持软件ACL，线速SAV性能不足

  
  对策：采用端口镜像+旁路SAV探针架构，镜像流量经专用x86服务器运行DPDK加速SAV引擎，结果通过OpenFlow流表下发至交换机执行硬丢弃，满足RFC 2544吞吐要求。