文章总结： 本文系统分析IPv6规模部署带来的安全挑战，包括暴露面管控困难、内容监管复杂、新协议威胁及现有设备防护不足等，提出涵盖地址管理、资产发现、终端准入、漏洞扫描、边界防护、主动防御等九大系统的防御体系，并从人才培养、漏洞管理、设备升级和韧性防护四方面给出建设建议，为IPv6安全防护提供体系化参考。 综合评分： 88 文章分类： 安全建设,解决方案,网络安全,安全运营

前沿 | IPv6升级演进中安全保障防御体系建设探索

原创

金梦然 金梦然

中国信息安全

2026年9月4日 17:50 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

金梦然

国家信息中心

互联网协议第六版（InternetProtocol version 6，IPv6）是互联网升级演进的必然趋势，也是网络技术创新的重要方向，更是网络强国建设的基础支撑。加快推进我国IPv6网络安全开发、应用、服务与创新，是促进下一代互联网在经济社会各领域实现深度融合应用的体系化举措，能够为数字经济发展和全球数字化转型提供有效支撑。

一、IPv6网络安全现状与挑战

根据中国网络空间安全协会联合国家互联网应急中心等单位发布的《2024年上半年网络安全漏洞态势报告》数据，IPv6协议的攻击为35.34亿余次，同比上涨87.78%，整体安全态势严峻。IPv6技术演进和应用创新在各行业的深入部署，也使IPv6网络安全防御体系面临更大挑战。

首先，互联网协议第四版（Internet Protocolversion 4，IPv4）的网络安全领域知识和经验难以直接应用到IPv6环境。网络安全专业人员、开发人员与运维人员在IPv6网络安全知识方面储备匮乏，难以充分认识和把握IPv6及其相关安全问题，无法有效满足IPv6安全防护需求。此类现实问题导致IPv6相关业务的运维工作潜藏安全风险，大量防护薄弱甚至无防护措施的IPv6协议栈成为攻击者发起网络攻击的新切入点。

其次，IPv6引入了若干新的协议和技术，使IPv6网络与IPv4网络之间的通信复杂性提升，而这种复杂性可能引发安全问题。对此，国家多部门多次发布文件，明确要求强化安全保障能力，构筑IPv6网络安全防护体系，增强复杂场景的IPv6安全保障能力。

（一）互联网暴露面管控困难

IPv6地址空间巨大，每个终端至少拥有一个IPv6全球单播地址（相当于IPv4公网地址）。IPv6网络环境不存在私有地址，无须进行网络地址转换（NAT）操作，每台设备均可直接与互联网的其他设备通信，打破了内网与外网之间原有的边界。攻击者更容易接触到原本处于内网环境的系统和设备，增加了互联网暴露面管控的难度。

（二）IPv6对网络内容管控提出新挑战

IPv6与IPv4用户环境形存在差异。在IPv4环境中，终端通常使用私有地址，若要对外提供服务，必须通过专业的端口映射技术或部署在公网的反向代理等技术实现。在IPv6网络，任何一台终端设备都可以更便捷地架设网络服务。这使传统上聚焦机房和特定公网IP的内容监管模式面临挑战，对及时发现并治理未备案或非法的网络内容提出了更高的技术要求。

（三）IPv6新协议带来新型安全与叠加威胁

IPv6作为一项新技术，自身存在安全漏洞和隐患。IPv6报文结构引入的新字段、新的扩展报头字段，以及IPv6协议族引入的新协议均可能存在漏洞，其攻击风险涵盖FlowID猜测攻击、逐跳扩展报头攻击、邻居发现协议攻击等。IPv4和IPv6的双栈机制，会给IPv6网络带来叠加性安全风险。

（四）现有网络安全防护设备难以有效应对IPv6安全威胁

现有的防火墙、抗分布式拒绝服务攻击（DDoS）等网络安全防护设备虽已完成IPv6适配改造，但安全策略能否有效应对大规模复杂的混合流量，仍有待实网环境的检验。在IPv4与IPv6双栈共存的网络架构中，安全设备需并行处理两种不同协议的数据流。这意味着防火墙必须同时维护和管理两套相互独立的安全策略集，分别应对IPv4和IPv6层面的潜在威胁。防火墙需要同时配置双栈策略确保网络安全，增加了安全设备策略管理的复杂程度。一旦在IPv6层面的策略配置出现缺失，可能导致安全防护设备被“穿透”。

二、IPv6安全保障防御体系建设路径

面对多重挑战，迫切需要规划系统化的IPv6安全保障防御体系建设路径，从而提高整体防护能力。

（一）建设思路

鉴于IPv4与IPv6在较长时间内将维持共存的基本态势，需综合运用纵深防御、主动防御、欺骗防御、移动目标防御、内生安全、零信任等防御理念，设计并构建安全保障防御体系。该体系应确保所保护的IPv4与IPv6网络至少具备与IPv4网络同等的防护能力与水平，同时在网络实名、网络行为追踪溯源、恶意行为人员定位、网络目标隐藏、欺骗防御等特定领域，具备比传统IPv4网络安全防护更强、更好、更智能的安全防御能力，从而实现“业务不断、安全不乱、能力有升”的目标。

（二）主要优势

构建IPv6安全保障防御体系，具有以下主要优势。一是实现对IPv6已知攻击手段和渗透测试手段的检测与发现，例如网络攻击诱捕、欺骗、隐藏等主动防御能力。二是充分利用IPv6自身特征与优势特性，弥补IPv4安全能力短板，例如实现网络实名与隐私的结合、对恶意行为者追踪溯源、隐藏网络目标、增强节点间通信的抗截获分析能力。三是支持IPv6单栈、IPv4与IPv6双栈、IPv4与IPv6翻译等复杂网络环境，能够有效满足安全防护需求，助力IPv4向IPv6的平稳过渡与演进。

（三）系统组成与核心功能

IPv6安全保障防御体系（图1所示）主要由IPv6地址分配管理、IPv6资产发现管理、IPv6终端安全管理、IPv6网络准入控制、IPv6网络漏洞扫描、IPv6网络边界防护、IPv6网络安全监控、IPv6主动防御网关、IPv6安全管理中心九大系统组成。

图1 IPv6安全保障防御体系

其中，IPv6地址分配管理、IPv6资产发现管理两个系统属于基础管理支撑；IPv6终端安全管理、IPv6网络准入控制、IPv6网络漏洞扫描三个系统属于基础安全防护；IPv6网络边界防护、IPv6网络安全监控两个系统负责边界与内网防护；IPv6主动防御网关系统负责主动开展欺骗防御；IPv6安全管理中心系统负责所有系统的统一管理、日志处理与功能协调。

IPv6地址分配管理系统主要针对目标IPv6网络进行IPv6可溯源地址生成、有序分配与集中精准高效管理。IPv6局域网络环境主要依赖DHCPv6协议集中管理与分配IPv6地址，使网络环境的IPv6主机动态获取IPv6地址、路由器网关地址、DNSv6服务器地址等信息。DHCPv6协议采用客户端/服务器模型，主机地址的动态分配任务由网络主机驱动。当DHCPv6服务器接收到来自网络主机申请地址的信息时，才会向网络主机发送相关的地址配置等信息，实现网络主机地址信息的动态配置。

IPv6资产发现管理系统主要对IPv6网络中存在的子网、设备、服务、主机等资产进行探测发现，识别目标网络存活设备及主机所使用的IPv6地址、开放的端口与服务、使用的操作系统、内在的拓扑结构等信息，并对这些IPv6网络资产进行管理。

IPv6终端安全管理系统主要负责检测IPv6终端是否满足IPv6网络的安全“基线”，在终端接入网络之前，能够检查它是否符合单位制定的防病毒和操作系统补丁等安全策略。可疑或有问题的主机将被隔离或限制网络接入范围，直到它经过修补或采取了相应的安全措施为止。此举能有效防止有问题的主机接入网络。

IPv6网络准入控制系统用于保证目标单位分支机构和用户终端的可信接入，控制用户的访问权限，提高用户终端的安全性，进而降低全网用户管理和维护复杂程度。IPv6网络准入控制只允许合法的、值得信任的IPv6终端接入网络，而不允许其他设备接入，能够在用户访问网络之前确保用户身份可信。IPv6网络准入控制对IPv6设备进行多维度平台化安全管控，解决大量终端设备接入网络和终端设备多地址的难题，满足目标网络的安全需求。

IPv6网络漏洞扫描系统主要负责对IPv6网络设备、终端及防护设备的漏洞进行扫描发现。该系统通过深入剖析IPv6协议运行机制，从IPv6协议字段、扩展报头、分片、ICMPv6报文、协议配置、过渡隧道、协议实现等方面入手，据此构建IPv6网络漏洞数据库，通过远程或本地检测目标节点开启的服务，记录目标节点给予的应答，与构建的IPv6漏洞数据库进行匹配，进而实现对IPv6网络的漏洞扫描。

IPv6网络边界防护系统作为IPv6网络面对外网威胁的边界防线，主要负责检测并过滤IPv6外网对内网的恶意行为，并封堵IPv6内网不安全的服务与应用。

为实现对IPv6网络的有效安全防护，基于漏洞不可避免的基本假设，IPv6网络安全监控系统以威胁为中心，通过收集、检测和分析监控并掌握IPv6网络内的恶意与非法行为，在学习中获悉、适应，不断增强安全防护能力。

IPv6主动防御网关系统为有效抵御网络空间背后的“人”，在防御体系中融入“交互”这个关键要素，设置“蜜罐”“蜜网”进行主动诱捕。该系统通过分析IPv6网络新型攻击行为，进而针对性开展后续防御，实现IPv6网络防御功能与能力的迭代升级。

IPv6网络安全管理中心通过对IPv6网络资产、人员和IPv6网络安全设备的管理，支持IPv6系统管理、安全事件管理、审计日志管理、脆弱性管理、资产管理、情报及预警管理、工单管理等功能，达到IPv6网络建设“统一安全规划、统一安全实施、统一安全策略、统一安全管理”的目标。

三、IPv6安全保障防御体系建设建议

为有效应对IPv6全面部署所引发的新型安全挑战，构建具备覆盖全面、响应及时、防护协同的IPv6安全保障防御体系，本文提出以下四个方面的建议。

一是系统化推进IPv6安全能力建设，补齐专业人才短板。当前，“IPv6+安全”复合型人才严重不足，成为限制IPv6安全能力提升的关键制约因素。建议针对网络运维、安全开发、系统架构等关键岗位人员，开展体系化的IPv6安全培训与实战模拟。培训内容涵盖IPv6协议原理、过渡机制风险、IPv6专属攻击手段（如NDP欺骗、路由头攻击等）以及防护策略配置，全方位提升从业人员在IPv6环境的威胁识别、策略配置与应急响应水平。

二是强化IPv6漏洞全生命周期管理，推动安全能力前置。随着IPv6规模化部署，其协议栈及相关联应用的漏洞数量持续攀升。应建立系统化的IPv6漏洞挖掘、披露、修复与验证机制，重点聚焦IPv6基础协议、过渡技术、配套服务以及IPv6环境的应用逻辑漏洞，推动漏洞的自动化检测与策略闭环。鼓励产学研各主体共建IPv6漏洞库与测试验证平台，提升IPv6内生安全水平。

三是推动安全设备智能防护能力升级。现有安全设备虽多数已完成IPv6基础协议支持，但在策略细粒度、检测准确性和运维便捷性方面仍存在一定局限性。应推动防火墙、WAF等安全产品实现与IPv6的深度适配，支持基于IPv6特征的精准访问控制、威胁检测与自动响应。同时，结合人工智能与威胁情报能力，提高对IPv6新型攻击行为的发现与阻断效能，构建覆盖IPv6全流量的可管、可控、可追溯的安全体系。

四是构建韧性网络安全防护体系。IPv6的部署并非孤立的过程，而是与5G、物联网、工业互联网、云数据中心等深度融合。安全防护应打破网络边界壁垒，推动IPv4和IPv6双栈、云网端一体化的统一策略管理。通过建立跨域安全信任体系，实现IPv6资产的可视化、风险的可感知、威胁的可控性，在复杂的混合网络环境形成纵深防御能力，系统性地提升IPv6时代的整体安全水平。

（本文刊登于《中国信息安全》杂志2026年第7期）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：中国信息安全 金梦然 金梦然《前沿 | IPv6升级演进中安全保障防御体系建设探索》