YD/T 6023-2024 标准解读
一、标准适用范围与执行边界
- 适用主体：按YD/T 6023-2024部署SRv6安全能力调度的运营商骨干网、城域网、数据中心互联及行业专网节点。
- 适用场景：跨域业务接入、云网融合、5G切片、专线保护与安全策略动态调度。
- 排除条件：不部署SRv6的传统MPLS/IPv4改造、纯终端安全设备功能、未接入统一控制平面的孤立设备。
二、核心实操技术要求
- 能力建模：安全节点注册检测、清洗、加密、访问控制参数，按租户、业务、接口调用并纳入服务链。
- 路径调度：基于SRv6 Segment List实现安全路径与业务路径解耦，按DSCP、地址、协议、切片标识分流。
- 策略下发：通过NETCONF/YANG或BGP-LS下发，记录事务号、生效时间；失败保持原路径并告警。
- 安全防护：跨域启用IPsec/MAH或等价加密认证，控制消息鉴权，具备防重放与防过载能力。
- 可观测性：采集丢包、时延、处理量、策略状态与资源阈值，遥测关联SID、业务流与策略版本。
- 验收规范：能力注册率100%、策略下发成功率不低于99.9%、故障切换符合SLA，输出测试记录与回滚方案。
三、典型业务场景应用案例
| 场景 | 落地方式 | 校验点 |
|---|
| 金融专线 | 主备路径绑定不同安全节点，攻击时切至清洗路径。 | 切换时间、策略一致性 |
| 5G切片 | 按切片映射独立安全链，仅访问授权安全节点。 | 隔离、越权拦截 |
| 跨域云专线 | 入口插入检测SID，异常流引流处置节点。 | 检测覆盖、日志完整 |
四、实操难点与解决方案
- 接口不一致：统一能力描述模板与适配层，接口联调纳入版本门禁。
- 变更难评估：策略版本化、灰度发布、小流量验证并保留回滚。
- 故障中断：部署旁路检测与快速旁路路径，先保连通后补检测。
- 遥测缺失：关键SID边界部署镜像或INT，统一时间戳与流标识。
- 权限不清：按租户和网元划分授权域，双人复核并留存审计日志。