IPv6网络安全白皮书

IPv6网络安全白皮书总结

版本信息
所属机构：中国联通研究院
发布日期：2025年08月

一、IPv6网络安全发展趋势

• 全球部署加速：截至2024年，全球IPv6部署率达39.4%，亚洲与美洲超过45%。
• 攻击风险上升：2023-2024年DDoS攻击增长82%，需政策与产业双重驱动加强安全能力建设。
• 政策支持：国家连续五年出台IPv6安全相关政策，重点强化防护技术研发和部署。
• 产业升级：运营商实现IPv6全域覆盖，金融、教育等关键领域加速网络改造。
• 技术挑战：IPv6部署深入带来安全策略复杂性增加，需防护技术同步升级。

二、IPv6网络安全风险分析

（一）IPv6缓解的IPv4安全风险

• 降低广播攻击风险：取消IPv4广播机制，杜绝Smurf类攻击。
• 强化身份验证机制：引入DHCPv6认证及NDP安全扩展，应对IP欺骗。
• 增强分片攻击防护：限定分片操作在源节点，增加分片ID随机性防篡改。

（二）IPv6继承的IPv4安全风险

• 应用层攻击延续：如SQL注入、TCP会话劫持、UDP反射等，需复用传统IPv4防护经验。

（三）IPv6引入的新风险

• 邻居发现协议（NDP）漏洞：
  • 非加密机制易被篡改，导致网关欺骗、中间人攻击。
  • 防护：部署RA Guard白名单、DHCPv6替代、IPsec加密。
• 扩展报头滥用：伪造路由绕过策略，速率选项耗尽资源。
• SLAAC地址推导：基于MAC地址的IPv6生成使设备可被扫描，需启用隐私扩展。

（四）IPv6+引入的风险

• SRv6源路由篡改风险：
  • 攻击者可修改段列表，劫持流量或耗尽资源。
  • 防护依赖边界过滤、深度包检测与认证。
• APN协议标识滥用：应用侧伪造标识，盗用网络资源。
• 网络切片边界渗透：需增强切片隔离与授权验证。

三、IPv6网络安全风险与防护技术

（一）基础协议防护

1. 扩展报头防护：
   • 过滤未知扩展类型，验证数据合法性。
   • 利用深度包检测（DPI）行为分析阻断异常数据包。
2. 巨型帧攻击应对：
   • 现网设备MTU设置合理，禁止超大帧传输。
   • 配置ACL拦截异常巨型帧。
3. NDP协议防护：
   • 应用RA Guard机制及DHCPv6管理。
   • 配合IPsec进行NDP报文加密。
4. SLAAC强化：
   • 启用隐私地址策略，定时轮换接口标识。

（二）过渡技术防护

（三）IPv6+演进技术防护

• SRv6：
  • 阻止未授权SRH变更，实施域边界过滤。
  • 控制平面验证OAM消息，防止路由篡改。
• APN6：
  • 应用侧设备权限隔离，网络侧用HMAC签名认证。
• 网络切片：
  • 实施用户权限严格校验，通过FlexE实现隔离。
• SRv6 SFC：
  • 防止服务链仿冒，限制非授权网络访问。

四、IPv6网络安全实践应用

1. SAVNET源地址验证：
   • 基于SDN控制器实现入口-出口全链路防护。
   • 支持非对称路由、多路径策略灵活调整。
2. APN6威胁溯源：
   • 利用APN ID嵌入流量实现近源感知。
   • 部署探针联动防火墙，在分钟级完成溯源与处置。
3. SRv6 SFC云网安一体调度：
   • 承接互联网安全专线DDoS防护。
   • 上云场景实现智能服务链编排，保障数据保密。

五、结语与方向

关键挑战：

• 协议层：NDP欺骗、SLAAC扫描、扩展报头滥用。
• 过渡层：双栈攻击面、隧道隐蔽性。
• 应用层：SRv6、APN、切片衍生威胁。

发展路径：

• 协同化：协议定制+网安联动。
• 智能化：AI流量分析+零信任架构。
• 生态化：联合设备商制定全生命周期规范。

结语：IPv6安全依靠技术与生态并进，构建可信网络基石支撑数字化发展。