许多组织因投入产出比推迟 IPv6 部署，却忽略了现代操作系统默认开启 IPv6，导致网络中存在大量未被察觉的安全隐患。Google 数据显示其流量已有超 25% 走 IPv6，单栈思维已成最大短板。
默认开启带来的隐形攻击面
现代操作系统默认启用 IPv6，但多数组织未同步部署 IPv6 安全策略。SWITCH 作为瑞士国家科教网，自 2012 年起联合网络部与 CERT 开展 IPv6 培训，发现大量设备在无人知晓的情况下监听 IPv6 地址、响应邻居发现协议报文。防火墙、IDS/IPS 等安全设备若仅配置 IPv4 规则，IPv6 流量将直接绕过检测。双栈环境下，攻击者可利用协议差异发起隧道逃逸、RA 欺骗或 DHCPv6 劫持，传统 IPv4 视角的防护体系对此失效。
管理层必须落地的三项行动
管理者需制定包含设备全生命周期的 IPv6 路线图。首要任务是建立完整资产清单：若不明确哪些设备受 ACL 保护，无法保证 IPv6 同步生效。其次，按岗位分级培训，明确网络、安全、开发各角色所需 IPv6 能力深度。最后，采购新设备时不得假设 IPv6 支持与 IPv4 对等 —— 原文指出这往往不成立，必须在招标阶段写入详细 IPv6 技术指标，覆盖转发性能、扩展头处理、ICMPv6 速率限制等细节。
对运维与网络工程师而言，核心动作是：在现有资产表中补齐 IPv6 地址与邻居表状态，为每条 IPv4 ACL 编写对应 IPv6 规则，并在变更流程中强制双栈验证。唯有将 IPv6 纳入日常运维肌肉记忆，才能堵住协议层面的系统性漏洞。
原文: APNIC Blog（2019-01-29）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog