一、标准适用场景与实施阶段
- 适用业务类型：本标准适用于基于IPv6及演进型互联网架构的域间路由安全增强场景，重点支持跨AS（自治系统）路径真实性验证，适用于国家级骨干网、省级汇聚网及大型数据中心互联等高安全等级网络环境。
- 实施环节：部署阶段涵盖IDPV数据平面功能模块集成、转发策略配置、路径签名信息注入与验证机制启用；运行阶段包括路径状态监测、异常路径拦截与日志上报。
- 验收阶段：分为工厂预验、现场部署验收与周期性复验三个阶段。工厂预验针对设备固件级IDPV支持能力进行测试；现场部署验收聚焦组网环境下的路径验证准确率、时延增量与策略一致性；周期性复验每6个月执行一次，确保长期运行合规性。
二、现场实操合规规范
- 设备启动IDPV功能前，须完成BGPsec或SIDR相关公钥基础设施（PKI）信任链加载，CA证书链完整层级不得超过5层，根证书指纹需与IANA注册值一致。
- 路径签名信息注入速率不得低于100条/秒，签名算法采用ECDSA with P-256，哈希函数为SHA-256，签名有效期字段应设置为UTC时间戳±300秒容差。
- 数据平面转发规则执行要求：经验证合法路径优先级高于未验证路径，非法路径（验证失败或过期）必须在3个BGP更新周期内清除，默认BGP Hold Time为90秒，即最大滞留时间≤270秒。
- 每节点需开启路径验证日志记录，日志格式遵循RFC 5424，关键字段包含源AS号、目标前缀、验证结果（0=通过，1=失败，2=超时）、处理时间戳，存储保留周期不少于180天。
- 现场部署时，相邻AS间需建立专用安全通道传输RPKI ROA（Route Origin Authorization）及AS_PATH签名数据，传输层使用TLS 1.3加密，密钥交换算法禁用RSA，仅允许ECDHE。
| 参数项 | 阈值要求 | 测量方法 |
|---|
| 路径验证成功率 | ≥99.5%（连续观测24小时） | 注入10,000条测试路径，统计验证通过数 |
| 单跳验证处理时延 | ≤15ms（P95） | 使用时间戳标记法在转发流水线中采样 |
| 内存占用增量 | ≤设备总内存8% | 启用前后通过SNMP OID .1.3.6.1.4.1.9.9.48获取对比值 |
三、成果验收核验标准
- 分项核验项目：
- IDPV功能启用状态：通过CLI命令
show idpv status确认运行态为“Active”，且无“PKI Load Failed”告警。 - 路径验证覆盖率：选取至少5个对端AS，每个AS通告不少于20个前缀，验证所有路径是否均携带有效签名信息，覆盖率应达100%。
- 异常路径阻断能力：人工构造3类非法路径（伪造AS_PATH、过期签名、无效证书链），观察是否在规定时间内被丢弃并生成事件日志。
- 性能影响评估：在满负载流量下（≥90%链路利用率），测量平均转发时延增加量，不得超过基线值+20μs。
- 合格判定指标：
- 所有分项核验项目必须全部通过，任一项目不达标视为整体验收不合格。
- 路径验证成功率低于99.5%或存在未授权路径通过情况，直接判定为重大缺陷。
- 日志记录缺失关键字段或时间偏差超过±1秒，需限期整改后复验。
- 标准化验收流程：
- 提交《IDPV部署配置清单》与《PKI证书部署证明》文档。
- 验收方接入镜像端口抓取BGP UPDATE报文，解析AS_PATH属性中的SID（Secure ID）扩展字段。
- 使用自动化测试工具（如BGPSIM-IDPV）模拟多AS路径注入，持续运行4小时。
- 生成《IDPV数据平面验收报告》，包含测试原始数据、图表与判定结论，由双方签字确认。
四、实操常见问题与质控方案
故障现象：路径验证通过率波动大，部分时段低于95%。
根因分析：对端AS未同步更新ROA信息，导致本地验证器频繁查询超时。
质控方案：建立ROA同步监控机制，对接RPKI Validator（如Routinator）实时检查有效性；设置本地缓存策略，有效ROA缓存时间不超过30分钟，强制刷新。
故障现象：设备CPU利用率突增至85%以上，伴随验证延迟上升。
根因分析：签名验证密集触发，未启用硬件加速模块。
质控方案：核查设备是否启用Crypto Offload Engine，关闭非必要调试日志输出；限制每秒最大验证请求数为200次，超出则进入队列等待。
故障现象：跨厂商设备间路径验证失败，但单项测试正常。
根因分析：不同厂商对RFC 8205中SID编码格式实现差异，存在TLV字段顺序不一致。
质控方案：统一采用IETF标准测试向量集进行互操作验证；部署前进行异厂商联合调测，形成兼容性矩阵清单。
强制整改措施：凡发现使用MD5或SHA-1作为路径签名哈希算法的，须在24小时内完成算法替换；未配置路径验证失败告警通知（SNMP Trap或Syslog）的，不得进入正式运行阶段。