随着IPv6的普及，仅仅在系统上启用IPv6地址已经远远不够。本文将基于2016年至2019年间我参与的项目，探讨IPv6对常见企业环境中安全控制和流程的影响。
IPv6地址的三个维度
在部署IPv6时，需要考虑IT环境的三个主要维度。首先是IP地址识别网络中的实体（例如，系统的接口），在一定时间范围内。在IPv6中，这一点比IPv4网络更为重要——即“生命周期”。IP地址的核心功能是使系统上的（运行）进程或应用程序能够相互通信，其中涉及的实体通过其（自己的）地址进行识别。此外，某些系统可以使用其他系统的IP地址执行特定操作，例如，路由器根据数据包的目的IP地址进行转发决策，或防火墙根据数据包的地址丢弃数据包。在执行过程中，会查看IP地址——“给我看数据包的地址，看看我将如何处理它”。最后，应用程序或系统进程可以处理IP地址（例如，从文件中读取或写入，放入数据库或根据算法进行分析）。其中一些操作具有安全影响，如在事件响应或欺诈检测的背景下。这可能发生在接近时间（实时）或回顾性。对于这个时间维度，上述有效性/生命周期的属性必须予以考虑。
IPv6部署的三个维度
从IPv6部署的角度来看，第三个维度最为重要，通常会导致长达数年的IPv6项目。因为处理IP地址的地方/功能通常构成在触及前两个维度之前需要解决的依赖项。在防火墙上配置IPv6规则（第二维度）如果没有分析框架/基础设施能够处理IPv6（第三维度）是没有意义的。而且，如果没有能力过滤IPv6相关流量（第二维度），仅仅在系统上启用IPv6（第一维度）实际上可能非常危险。
考虑安全功能
为了更好地理解IPv6对安全控制和流程的影响，可以参考NIST网络安全框架（我在RIPE 79期间的IPv6工作组会议上的演讲中也简要讨论了这一点），并确定所有可能受IPv6影响的（子）类别，在上述维度之一中。在这样做的时候，可以观察到一些普遍的规律。
结尾：
对于运维和网络工程师来说，理解IPv6部署对安全的影响至关重要。只有全面考虑IP地址的生命周期、处理能力和安全控制，才能确保网络的安全性和稳定性。
原文: APNIC Blog（2020-03-05）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog