YD/T 4432.5-2023 标准解读

一、核心基础术语释义

• 域间源地址验证（SAVA-X）：指在不同管理域之间实施的源地址真实性校验机制，通过跨域协作实现对IP数据包源地址合法性的动态验证，防止伪造源地址引发的网络攻击行为。
• 地址域（Address Domain）：由单一管理实体控制并分配IP地址的一组网络节点集合，具备统一的地址规划与路由策略，在SAVA-X框架中作为源地址验证的基本参与单元。
• 源地址验证路径（Source Address Validation Path, SAV-Path）：从数据包发送端到接收端所经各地址域构成的逻辑路径，用于逐跳或端到端执行源地址合法性检查。
• 验证点（Validation Point）：部署于地址域边界、具备源地址验证能力的网络功能节点，负责对接入流量执行源地址合规性判定与策略执行。
• 合法源地址前缀（Valid Source Prefix）：经授权可在特定地址域内作为真实源地址使用的IP地址前缀集合，由该域的管理策略明确定义。

二、专项技术术语解析

1. 跨域验证信令（Inter-domain Validation Signaling）：指地址域之间为协同完成源地址验证而交换的控制信息，包括前缀授权状态、验证请求/响应、策略更新等，通常基于扩展BGP或专用协议实现。
2. 源地址授权证书（Source Address Authorization Certificate, SAAC）：由权威机构签发的数字凭证，用于证明某地址域有权使用特定IP前缀，支持非对称加密验证，是跨域信任链建立的基础。
3. 验证模式（Validation Mode）：指SAVA-X系统在实际部署中采用的具体验证策略类型，标准定义三种模式：
   • 严格模式：仅允许已知合法前缀通过；
   • 宽松模式：允许未明确禁止但无法验证的前缀有限通行；
   • 监控模式：不阻断流量，仅记录异常源地址行为供审计。
4. 验证覆盖度（Validation Coverage）：衡量SAVA-X部署范围内受保护接口占总出口接口比例的技术指标，反映整体网络对源地址欺骗的防御能力水平。
5. 验证延迟（Validation Latency）：从数据包到达验证点至完成源地址合法性判定的时间间隔，是评估验证系统性能的关键参数，需满足业务实时性要求。

三、易混淆术语区分

四、术语应用规范

• 在技术方案文档中，“地址域”应始终指代具有完整源地址管理权责的逻辑单元，不得与物理网络区域混用。
• “验证模式”的选用须在部署方案中明确标注，并与安全等级要求相匹配：核心出口宜采用严格模式，过渡期可临时启用宽松模式。
• 跨域通信接口的配置文件中，必须声明所支持的跨域验证信令协议版本及密钥交换机制，确保互操作性。
• 日志记录与告警信息中出现的“非法源地址”，特指违反当前验证点所属地址域定义的合法源地址前缀规则的IP地址，不得泛化为其他类型违规。
• 网络验收测试报告中，验证覆盖度应以百分比形式量化呈现，并注明统计时间节点与接口总数基数。
• 所有涉及SAAC的操作流程（签发、更新、吊销）必须遵循标准规定的格式与传输安全要求，证书内容中的地址域标识须与实际部署一致。