YD/T 3999-2021 标准解读

一、标准整体架构与篇章体系

• 第1章 范围：界定本标准适用于以太网接入方式下源地址验证（SAV）技术的部署、实施与测试，覆盖宽带接入网、企业专线接入及城域以太网边缘场景。
• 第2章 规范性引用文件：明确引用YD/T 2435—2012《IP网络源地址验证技术要求》、RFC 2827、RFC 3704、RFC 6349等12项基础性与协议类文件，构成技术依据链。
• 第3章 术语和定义：定义“源地址验证”“接入设备”“上行接口”“信任域边界”“SAV策略表项”等17个核心术语，统一技术语义基准。
• 第4章 总体技术要求：提出SAV部署应遵循“边界控制、逐跳验证、策略可溯、故障隔离”四项基本原则，确立技术实现逻辑框架。
• 第5章 接入设备SAV功能要求：分物理层适配、协议层支持、策略执行、日志审计四子模块，规定设备级能力基线。
• 第6章 SAV策略配置与管理要求：规范策略生成机制、下发协议（NETCONF/YANG模型）、版本控制、回滚机制及配置一致性校验流程。
• 第7章 SAV性能与可靠性要求：量化转发时延增量（≤5μs）、策略表项容量（≥64K）、故障恢复时间（≤200ms）、单点失效隔离响应时长（≤50ms）。
• 第8章 测试方法：规定策略生效验证、伪造报文拦截率、策略冲突检测、拓扑变更同步时延等14类测试用例及判定阈值。

二、强制性核心条款分级

1. 策略强制生效条款：第5.2.1条要求所有接入设备必须在上行接口启用SAV策略，禁止配置为“pass-through”或“disable”模式；第6.1.3条强制规定策略表项须基于用户接入端口+VLAN ID+IPv4/IPv6前缀三元组构建，缺一不可。
2. 报文处理强制动作条款：第5.3.2条明示对源IP地址不在授权前缀范围内的IPv4/IPv6单播数据包，设备必须执行丢弃操作，禁止转发、重定向或生成ICMP错误报文。
3. 策略同步强制保障条款：第6.2.4条要求主备接入设备间SAV策略同步延迟不得超过100ms，且同步失败时备用设备须自动进入“策略冻结”状态并上报告警，不得采用陈旧策略接管流量。
4. 审计与追溯强制条款：第5.4.2条要求设备必须记录每条被丢弃报文的源IP、目的IP、入端口、VLAN、协议类型、丢弃时间戳，日志保留周期不少于180天，且支持按字段组合查询。

三、推荐性优化条款解读

• 动态策略生成推荐：第6.1.5条建议采用DHCP Option 121或RADIUS属性动态下发SAV前缀，适用于多租户IP地址池频繁变更场景，提升策略时效性与运维效率。
• 分层验证架构推荐：第4.3条建议在汇聚层部署轻量级SAV策略作为接入层策略的冗余校验，适用于高安全等级金融专网，降低单点策略配置错误导致的越权风险。
• 异常流量标记推荐：第5.3.4条建议对连续触发SAV丢弃达阈值（默认50pps/端口）的源IP启动临时标记机制，并向NMS推送事件，支撑溯源分析而非仅静态阻断。
• IPv6扩展策略推荐：第5.2.3条建议在支持IPv6场景中，除检查源地址外，同步校验IPv6扩展头中的路由告警（RA）标志位与源地址合法性关联关系，增强新型攻击防御纵深。

四、通用基础条款说明