YD/T 4432.4-2023 标准解读

一、标准适用范围与执行边界

• 适用主体：互联网服务提供商（ISP）、骨干网运营商、大型企业网络管理部门、国家级互联网交换中心（IXP）及相关网络安全运营单位。
• 适用场景：
  1. 跨自治域（AS）间部署源地址验证机制；
  2. 新建或改造具备SAVA能力的边界路由器与策略执行点；
  3. 实现合法IPv4/IPv6地址前缀在域间环境下的可信注册与选择。
• 排除条件：
  • 不适用于单自治域内部主机级源地址验证（由YD/T 4432.1覆盖）；
  • 不适用于非IP协议栈通信场景（如MPLS二层转发路径）；
  • 不强制要求终端设备支持SAVA-X协议扩展。

二、核心实操技术要求

• 地址域创建规范：
  1. 每个自治系统（AS）应定义至少一个逻辑“地址域”（Address Realm），包含本AS授权使用的公网IP地址前缀集合；
  2. 地址域标识符采用ASN:RealmID格式，其中RealmID为0～65535整数，全局唯一注册；
  3. 创建操作须通过CA认证的管理接口完成，并生成带时间戳的数字凭证。
• 地址前缀注册流程：
  1. 申请方向区域互联网注册机构（RIR）或上级地址分配机构提交前缀归属证明；
  2. 经审核后，在SAVA-X注册服务器（XRServer）中录入前缀、所属地址域、生效时间及撤销策略；
  3. 注册信息同步至所有参与SAVA-X的边界路由器（Edge Router），更新本地验证数据库（XDB）。
• 源地址选择策略：
  1. 出口路由器必须依据RFC 6724规则结合SAVA-X策略进行源地址优选；
  2. 当存在多个合法前缀时，优先选择注册状态有效、路径最短且安全等级最高的地址域成员；
  3. 禁止使用未在XDB中注册的源地址发起跨域通信。
• 验证机制执行要求：
  1. 接收端AS边缘节点需启用SAVA-X检查模块，对入向数据包源地址进行实时比对；
  2. 验证失败的数据包应被标记并记录日志，连续异常超过阈值（默认5次/分钟）则触发自动封禁；
  3. 验证结果支持通过NetFlow/IPFIX导出至集中式安全分析平台。
• 验收测试指标：

  项目	指标要求
  注册信息同步延迟	≤30秒（跨省链路）
  单包验证处理时延	≤50微秒（线速转发条件下）
  误判率	≤0.001%
  注册成功率	≥99.9%（连续7天观测）

三、典型业务场景应用案例

• 案例一：跨运营商DDoS攻击溯源防控

  某省级ISP A发现来自外部AS的大流量SYN Flood攻击，源IP分布于多个C类段。通过查询SAVA-X注册库确认部分源地址不属于其声明地址域，判定为伪造流量。立即向XRServer上报违规AS编号，并启动BGP Flowspec联动封堵，3分钟内阻断非法流量入口。

• 案例二：大型企业多分支互联合规通信

  某金融集团在全国设有8个分支机构，分别隶属于不同AS。各分支出口路由器统一配置SAVA-X客户端，将总部授权的业务IP段注册至指定地址域。总部防火墙仅放行来自已注册地址域的访问请求，实现基于源地址身份的信任控制，替代传统ACL手动维护模式。

• 案例三：国家互联网交换中心（CNNIC-IX）路由净化服务

  IXP运营方部署SAVA-X网关集群，对接入会员单位的BGP广播前缀进行实时核验。若某会员广播了未在其地址域注册的IP段，则自动下发警告并限制该路由传播范围，直至完成补登记。累计拦截非法广播事件27起/月，提升全网路由可信度。

四、实操难点与解决方案

• 难点一：异构设备兼容性不足
  1. 问题描述：部分老旧边界路由器不支持SAVA-X TLV扩展字段解析。
  2. 解决方案：
     • 部署旁路式SAVA-X代理网关，集中处理验证逻辑；
     • 通过gRPC订阅BGP UPDATE消息，实现外部监听与策略注入。
• 难点二：跨管理域协同效率低
  1. 问题描述：地址域注册信息更新滞后，导致合法流量被误拦。
  2. 解决方案：
     • 建立基于HTTPS+双向证书的身份认证API通道；
     • 设定最小同步周期为5分钟，支持事件驱动主动推送机制。
• 难点三：动态地址分配场景适配难
  1. 问题描述：移动回传网络中用户IP频繁变更，难以提前注册。
  2. 解决方案：
     • 引入“临时地址域”机制，允许运营商为特定时间段内的DHCP分配池批量预注册；
     • 设置TTL=2小时，超期自动失效，降低长期占用注册资源风险。
• 难点四：审计追溯机制缺失
  1. 问题描述：无法定位伪造源地址的具体设备或接入点。
  2. 解决方案：
     • 在城域网BRAS设备上启用源地址绑定日志（Source Binding Log），记录用户MAC、VLAN、物理端口与分配IP映射关系；
     • 日志保留不少于180天，支持按SAVA-X事件反向查询原始接入信息。