在当今网络技术迅速发展的背景下，IPv6的部署成为许多网络管理员面临的一大挑战。许多管理员对IPv6的部署持谨慎态度，原因各异：有的认为IPv6没有带来实质性的好处，因为他们内部使用私有IPv4地址，并认为NAT是额外的安全防线；有的对IPv6的自动配置不信任，希望对网络访问层有更多的控制。尽管IETF网络工程师、设备制造商和学术研究人员将IPv6视为一个已解决的问题，但IPv6与IPv4在处理某些方面存在差异，尤其是在邻居发现协议和主机通过无状态地址自动配置（SLAAC）管理地址的方式上。这种行为对网络层以下的影响可能需要改变交换硬件和网络管理和监控解决方案，以确保网络的安全运行（RFC 6105）。
IPv6 LAN的配置控制
为了解决IPv6部署中的安全问题，我的团队和我开发了一个使用软件定义网络（SDN）交换机来控制本地IPv6配置消息的方案。SDN改变了我们原型网络功能和自定义网络行为的方式。在这个项目中，我们只触及了网络的接入交换机，因此我们使用了一个本地于交换机的SDN控制器。该控制器作为所有IPv6-邻居发现（ND）流量的汇和源，同时也生成IPv6路由器通告，这样我们就不必担心有人伪造这些通告。ND消息填充了一个缓存，其中包含了以太网段上所有活跃的IPv6设备及其相应的MAC、IPv6地址和连接点。如图1所示，如果主机A想要向主机B发送数据包，控制器会检查：如果A在缓存中，则将B的条目设置为挂起，并转发邻居请求（NS）消息。主机B的邻居通告（NA）也会与缓存进行核对。如果B有效，则会插入一个允许从B到A通信的流规则。缓存条目被设置为活动状态，NA被转发给主机A。
IPv6 ND代理功能的实现
我们将IPv6 ND代理功能实现为一个应用，运行在RYU控制器框架上，并将其公开发布。一个北向API通过REST接口提供了对当前网络配置的深入了解。我们还添加了一些初步的洪泛保护。尽管这个应用仍存在一些已知限制，例如主机必须执行重复地址检测（DAD）才能进行身份验证，并且目前它只能在单个交换机网络上工作，但它提供了一个非常有趣的视角，对IPv6的部署具有重要意义。
实际意义
对于运维和网络工程师来说，这项技术具有实际意义。通过使用SDN控制器来控制IPv6的邻居发现流量，可以更有效地管理和监控网络，提高网络的安全性。此外，通过公开的IPv6 ND代理应用，网络管理员可以更容易地部署和配置IPv6网络，从而降低部署过程中的风险。随着IPv6的普及，掌握这种技术对于确保网络的安全和高效运行至关重要。
原文: APNIC Blog（2020-01-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog