YD/T 6032-2024 标准解读
一、标准适用范围与执行边界
- 适用主体：电信运营商、宽带接入设备厂商、家庭网关/路由器厂商及接入网运维方。
- 适用场景：YD/T 6032-2024用于家庭宽带IPv6接入、双栈或IPv6-only接入、家庭网关边界隔离、局端接入控制与终端访问控制。
- 排除条件：企业专线、数据中心、移动核心网、5G专网、纯IPv4网络及未启用IPv6路由的用户侧不执行。
- 边界原则：以家庭网关为隔离边界，对上行接口、下行用户接口、用户终端、服务端口、路由协议实施最小权限控制。
二、核心实操技术要求
- 地址与路由隔离：家庭侧IPv6地址池独立分配；网关上行仅允许业务地址访问；禁止用户终端向全网段发送路由更新。
- NDP/RA防护：启用ND Inspection、RA Guard或等价机制，过滤非法RA、重复地址、邻居请求洪泛；家庭侧RA仅允许网关发送。
- 访问控制：默认拒绝跨家庭网络访问；按需开放DNS、HTTP/HTTPS、NTP、DHCPv6；禁止用户终端访问管理VLAN、网管网段及局端设备接口。
- 状态监测：对IPv6会话、地址绑定、端口映射、异常流量进行记录；支持按MAC/地址/端口溯源；日志留存不少于90天。
- 验收规范：完成地址分配、非法RA注入、ND攻击模拟、越权访问、端口扫描、日志审计、性能压力测试；关键项不合格不得上线。
| 验收项 | 操作 | 合格条件 |
|---|
| 地址合法性 | 终端请求SLAAC/DHCPv6 | 仅获得本家庭地址池地址 |
| RA防护 | 用户侧伪造RA | 网关丢弃并告警 |
| 越权访问 | 终端访问网管IP | ACL阻断并记录 |
| 会话跟踪 | 发起长连接 | 状态表可查询、超时回收 |
三、典型业务场景应用案例
- 千兆光猫场景：OLT下发IPv6前缀，光猫启用RA Guard与端口过滤，PC/NAS仅能访问互联网服务端口，不能访问OLT管理接口。
- 家庭路由器双栈场景：路由器同时处理IPv4/IPv6，IPv6接口启用ND Inspection；上行ACL限制仅放行DNS、HTTPS、游戏端口，阻断扫描与非法路由协议。
- 智能家居场景：摄像头、门锁等终端仅获得受限前缀，网关限制其访问内网NAS管理端口；对异常外联地址实施限速与告警。
- IPv6-only接入场景：通过NAT64/DNS64或等价机制保障IPv4-only应用可用，安全策略同步应用于IPv6入站会话，避免隔离缺口。
四、实操难点与解决方案
- 终端兼容差异：部分老终端不合规发送ND/RA报文。采用网关侧强制过滤、MAC绑定、终端白名单，关键业务终端分批升级。
- 隐私地址导致审计困难：SLAAC临时地址变化快。启用MAC与地址关联日志，结合网关会话表进行五元组溯源，不以单一地址为唯一标识。
- 策略误伤：端口开放过少影响游戏、NAS远程访问。建立业务端口模板，按家庭宽带套餐可选开放，变更后通过自动化脚本回归验收。
- 设备性能瓶颈：大规模家庭网关开启ND防护后CPU占用升高。选择支持硬件加速的ACL/ND模块，按OLT汇聚比配置采样审计，关键策略集中下发。
- 验收标准不统一：建立基线模板，固化测试用例、抓包点位、告警字段；将不合格项纳入设备准入与网络开通阻断流程。