IPv6 路由器通告（RA）本为局域网无状态地址自动配置（SLAAC）与 DHCPv6 服务设计，但部分厂商将其默认开启在所有接口上，导致点对点链路、互联互通链路及 IXP 网络中出现不必要的组播风暴与安全攻击面。文章主张：仅在二层域需要 IPv6 寻址时才启用 RA，其余场景应显式关闭。
适用边界：仅限二层域寻址场景
RA 是 NDP 协议中的 ICMPv6 报文，通过标志位向主机传递前缀、路由、O 标志（指向 DHCPv6）等信息。IANA 维护完整标志位清单。RA 仅在设计用于 IPv6 寻址的二层域（LAN）中才有价值，配合 SLAAC 或 DHCPv6 使用。在点对点（PtP）链路、跨 AS 链路（IP Transit、PNI）以及 IXP LAN 互联中，RA 无任何用例价值，开启即为误配。
安全风险：畸形报文可触发守护进程崩溃
已知安全风险在不需要 RA 的接口上被放大。更隐蔽的是未被发现的漏洞：攻击者发送畸形 RA 报文即可导致路由器操作系统或相关守护进程崩溃。连 BGP 这种核心协议在 2023 年仍曝出因畸形报文导致的崩溃案例，RA 守护进程同理不可掉以轻心。
性能噪音：组播泛洪形成 BUM 流量
RA 依赖链路本地组播投递，所有设备均会接收，无论是否感兴趣。在成员数达数百至数千的 IXP LAN 中，若所有成员忽略配置并泛洪 RA，将产生大量 BUM（Broadcast、Unknown unicast、Multicast）流量，挤占带宽与 CPU。原文未给出具体流量数据，但规模效应显而易见。
对运维工程师而言，核心动作是审计每个接口的 RA 状态：二层接入侧按需开启并配合 RA-Guard 等防护；PtP、Transit、PNI、IXP 对端接口必须显式关闭。厂商默认值不等于最佳实践，显式配置才能规避组播风暴与零日攻击面。
原文: APNIC Blog（2023-11-30）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog