IPv6（RFC 8200，2017年成为现行互联网标准）以128位地址空间解决了IPv4地址枯竭问题，是下一代互联网的核心协议基础。但IPv6并非"更安全的IPv4"：邻居发现协议（NDP）缺乏内置认证、SLAAC无状态自动配置引入了新的欺骗面、双栈与隧道等过渡技术制造了安全策略不一致的盲区、海量地址空间使基于扫描的防御与审计方法全面失效。随着全球IPv6部署进入规模化和IPv6-only网络加速演进的新阶段，协议层与地址层安全防护已成为互联网基础设施安全的战略要地。本课题围绕IPv6攻击面与威胁建模、NDP安全与防护、双栈与过渡技术安全、地址空间测绘与态势感知、扩展头与分片安全、IPv6-only演进安全实践六大方向展开研究，构建覆盖地址层、协议层与解析层的下一代互联网安全防护体系。
IPv6部署已从"要不要上"进入"如何安全地规模化演进"阶段。协议设计差异、过渡技术复杂性与地址空间规模性三重因素叠加，使IPv6安全成为与传统IPv4安全既关联又独立的研究领域。
IPv6协议栈与IPv4存在根本性设计差异：ICMPv6（RFC 4443）取代了ARP并承担邻居发现、路径MTU发现等关键功能，"错误地认为IPv6不需要过滤ICMPv6"是运维中的典型误区（RFC 4890给出了ICMPv6过滤建议）；NDP（RFC 4861）基于信任模型运行，缺乏对宣告消息的密码学认证，天然暴露于RA（路由宣告）欺骗、NS/NA欺骗等链路层攻击；SLAAC无状态自动配置（RFC 4862）使主机配置面完全暴露于链路内任何可发送ICMPv6消息的实体。
IPv4向IPv6的演进是长达数十年的渐进过程，双栈（RFC 4213）长期共存是主流形态。过渡技术——隧道（6to4、Teredo、ISATAP等）与翻译（NAT64/DNS64、464XLAT）——在解决连通性问题的同时制造了安全盲区：隧道可穿透边界设备建立隐蔽通道，6to4任播中继已被IETF以RFC 7526宣告废弃（2015年），Teredo与ISATAP虽无对应的废弃RFC，但已被主流实现默认禁用、实质退出主流方案；双栈环境下IPv6链路常被配置为"默认开放"，而安全策略与审计覆盖却落后于IPv4侧，形成"IPv4防火墙很严、IPv6形同虚设"的典型失衡。Happy Eyeballs（RFC 8305）双栈优选机制也使应用层回退行为更加复杂。
IPv6地址空间约3.4×10^38个（2^128），传统基于全网扫描的资产管理、威胁发现与情报收集方法在IPv6下全面失效——遍历整个IPv6地址空间在物理上不可行，攻击者与防御者同时面临"发现目标"难题。这催生了新的研究范式：基于算法生成地址熵的主机发现方法（RFC 7707系统分析了IPv6主机扫描的可行性）、基于CT日志/DNS数据/BGP宣告的IPv6地址情报收集、活跃IPv6地址Hitlist（学术界的公开IPv6地址列表项目）等。地址测绘能力将成为IPv6时代网络安全的"新基建"能力。
IPv6安全是全球性协同治理议题：IETF 6man（IPv6维护）与v6ops（IPv6运营）工作组持续输出安全相关标准与最佳实践，RFC 9098（2021年）系统梳理了IPv6网络运营安全考虑，是运营商与企业IPv6安全基线的重要参考。在中国，中共中央办公厅、国务院办公厅于2017年11月印发《推进互联网协议第六版（IPv6）规模部署行动计划》；2023年4月工业和信息化部等八部门联合印发《推进IPv6技术演进和应用创新发展的实施意见》；2024年4月、2025年5月中央网信办、国家发展改革委、工业和信息化部先后印发《深入推进IPv6规模部署和应用2024年工作安排》与《2025年深入推进IPv6规模部署和应用工作要点》，提出到2025年末移动网络IPv6流量占比达到70%等目标；2026年7月，中央网络安全和信息化委员会印发《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》，将提升安全产品IPv6防护能力、完善IPv6安全防护体系列为"十五五"重点任务——规模化部署节奏使IPv6安全能力建设成为刚性的政策与合规要求。
以下指标均来自CNNIC、工信部/中国信通院、Google官方IPv6统计、APNIC Labs等公开权威来源，各卡片已标注数据出处与统计口径。不同来源测量方法不同，数值存在差异属正常现象。
Google官方IPv6采纳度统计页面显示，2025年全年全球通过IPv6访问Google服务的用户占比在约43%—47%区间波动（各国家和地区差异极大，印度、法国、德国等已超70%）；2026年3月28日单日占比达50.1%，首次突破50%——是业界引用最广的IPv6部署度指标。
截至2024年12月，我国IPv6用户规模约达8.22亿，位居全球前列；CNNIC第56次报告（2025年7月发布）进一步显示IPv6活跃用户数达8.36亿；固定网络与移动网络的IPv6流量占比持续攀升，IPv6活跃连接数处于高位运行区间。
第四届中国IPv6创新发展大会发布的《中国IPv6发展报告（2025）》显示：截至2025年9月，我国移动网络IPv6平均流量占比达69.02%（2023年2月首次历史性突破50%），固定网络达30.63%；《2025年深入推进IPv6规模部署和应用工作要点》明确到2025年末移动网络IPv6流量占比达到70%的目标。
APNIC Labs通过在其网站内嵌测量脚本（script-based measurement）测得，2026年3月全球约43.13%的可观测网络具备IPv6能力（capability口径不同于实际流量占比）；印度、法国、美国等市场处于领先梯队，中国近年来增长显著。
海量地址空间是IPv6的核心特征，也是安全范式的根本转折：IPv4时代"全网扫描+IP黑名单"的防御与情报方法在IPv6下失效，地址测绘（address discovery）与基于域名/证书的间接情报成为必需替代手段。
RFC 5157与RFC 7707系统分析指出：基于MAC地址的EUI-64接口标识符在厂商OUI（24位）已知的前提下，剩余熵空间约24位——针对单个/64前缀的主机枚举可在秒级至分钟级完成；现代操作系统已默认改用RFC 7217稳定不透明地址与RFC 8981临时地址。地址熵分析是IPv6攻防双方的核心研究点。
从1990年代地址危机催生的协议设计，到全球规模化部署与IPv6-only演进时代——以下关键节点均可在IETF RFC档案、国际互联网协会（ISOC）及中国主管部门公开文件中考证。
因IPv4地址耗尽危机，IETF于1995年发布RFC 1883（Internet Protocol, Version 6），1998年RFC 2460取代之成为长期稳定的IPv6核心规范；128位地址、内置IPsec支持（原始设计预期）、"简化报头+扩展头"架构奠定至今。
3GPP在Release 5/6期间将IPv6纳入核心网演进方向（IMS等关键规范要求IPv6支持），移动通信成为IPv6早期驱动力；2004年中国建成CERNET2，是全球较早的大规模纯IPv6骨干试验网之一；IETF v6ops工作组成立于2002年，聚焦部署运营问题。
2011年1月31日IANA将最后两个空闲/8地址块分配给APNIC（2月3日举行最后分配仪式），全球IPv4地址池宣告分配完毕；2011年6月8日全球数千家网站共同参加"World IPv6 Day"（世界IPv6日）测试，2012年6月6日"World IPv6 Launch"（世界IPv6启动日）标志IPv6正式转入永久商用；2011年4月15日APNIC地址池已率先触达最后的/8地址块，亚太地区进入IPv4耗尽最后阶段。
IETF发布RFC 8200取代RFC 2460，成为IPv6现行互联网标准（STD 86），更新范围限定为不影响互操作性的修订；2017年11月，中共中央办公厅、国务院办公厅印发《推进互联网协议第六版（IPv6）规模部署行动计划》，确立中国IPv6规模部署的国家战略，提出用5到10年时间建成全球最大规模IPv6商用网络。
RFC 8504（2019）定义IPv6节点通用要求；RFC 9098（2021年8月）系统梳理IPv6网络运营安全考虑——从地址架构、NDP防护、扩展头处理到过渡技术管控，被业界视为IPv6安全运营的"集大成"参考文档；RFC 8305（2017）确立的Happy Eyeballs v2成为双栈客户端事实标准。
2023年4月，工业和信息化部等八部门联合印发《推进IPv6技术演进和应用创新发展的实施意见》，成为"IPv6+"技术演进的纲领性文件；2024年4月、2025年5月，中央网信办、国家发展改革委、工业和信息化部先后联合印发《深入推进IPv6规模部署和应用2024年工作安排》《2025年深入推进IPv6规模部署和应用工作要点》，持续设定年度量化目标；我国移动网络IPv6流量占比于2023年2月历史性突破50%，IPv6用户规模与流量占比进入全球第一梯队。
全球运营商与大型互联网企业加速IPv6-only网络试点（如移动网络单栈演进、数据中心内网IPv6-only化）；IETF持续推进过渡技术标准收敛——6to4任播中继被RFC 7526宣告废弃（2015年），原子分片生成被RFC 8021废弃（2017年），Teredo与ISATAP被主流实现默认禁用、实质退出主流方案，翻译技术（NAT64/DNS64/464XLAT）成为双栈收敛期的主流方案。政策层面，2025年5月三部门印发《2025年深入推进IPv6规模部署和应用工作要点》，2026年7月中央网络安全和信息化委员会印发《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》；IPv6地址测绘、NDP防护、扩展头滥用治理成为安全研究与攻防演练的热点方向。
每个子课题均基于现行RFC标准、公开权威数据与安全研究文献，形成可独立拓展的深度研究单元。点击卡片展开研究框架，可"进入课题详情页"深入阅读，或"收起卡片"收回。
系统解构IPv6协议栈相对IPv4新增或显著放大的攻击面，覆盖协议头与扩展头架构、ICMPv6依赖、多地址共存状态（链路本地/全球单播/唯一本地/临时地址）、无状态自动配置信任模型等维度，建立面向IPv6网络的威胁建模方法论与攻击面清单，为后续各子课题提供统一的威胁本体。
聚焦IPv6链路层信任的核心薄弱环节——邻居发现协议（RFC 4861），研究伪造路由宣告（Rogue RA）、邻居请求/宣告欺骗、重复地址检测（DAD）拒绝服务、NDP表耗尽攻击等的检测与防护技术，覆盖RA-Guard、SAVI、SeND/NDP签名机制演进与工程化替代方案。
研究IPv4/IPv6长期共存形态下的过渡技术安全风险，覆盖双栈安全配置等价性、自动隧道（6to4/Teredo/ISATAP）的废弃与残留风险、翻译技术（NAT64/DNS64/464XLAT）的信任边界问题、Happy Eyeballs回退行为的安全语义，以及过渡网关自身的加固基线。
研究海量IPv6地址空间下的网络测绘方法体系，覆盖地址生成模式分析、单前缀主机枚举、活跃地址发现（Hitlist）、基于多源情报（DNS/CT日志/BGP）的地址资产测绘、IPv6网络资产暴露面监测，为攻防双方提供IPv6时代的"地图"能力。
研究IPv6扩展头链与源端分片机制引入的安全问题，覆盖扩展头链过长导致的解析不一致、分片重叠与重组攻击（防火墙绕过）、原子分片陷阱、PMTUD依赖滥用等，建立中间设备与安全设备的IPv6扩展头处理基线与检测能力评估方法。
面向IPv6-only网络（单栈IPv6）的演进趋势，研究IPv6-only架构的安全收益与新增风险，覆盖IPv6-only网络的安全基线、应用兼容性与Happy Eyeballs策略、DNS64/NAT64依赖链安全、IPv6-only数据中心与物联网场景，以及演进成熟度评估框架。
IPv6链路层运转的核心协议（RFC 4861），承担地址解析、路由器发现、前缀发现、重复地址检测、重定向等功能——其信任模型缺陷是IPv6链路安全的总根源。
无状态自动配置（RFC 4862）让主机仅凭RA即可入网；隐私扩展（RFC 4941，已被RFC 8981取代，另见RFC 7217稳定不透明地址）以临时地址对抗地址追踪——配置与防护的边界问题贯穿全栈。
NAT64/DNS64（RFC 6146/6147）、464XLAT（RFC 6877）、6to4/Teredo/ISATAP等隧道方案——连通性方案各有安全语义，废弃与收敛进程直接影响安全基线制定。
RFC 8305定义的双栈连接竞速算法是IPv4/IPv6并存时代客户端行为的事实标准——其竞速、回退与优选逻辑直接塑造双栈安全策略的实际生效路径。
扩展头链与源端分片是IPv6报头架构的双刃剑——RFC 5722/6946/7112/7045/8820等构成中间设备与终端处理异常报文的合规基线族。
SAVI（RFC 7039）通过监听NDP/DHCP交互建立地址-端口-主机绑定，在接入网遏制伪造源地址攻击——是IPv6接入层最重要的主动防护体系之一，与uRPF（BCP 38）在边缘形成互补。
基于地址熵分析、Hitlist、多源情报富集的测绘方法体系（RFC 7707方法框架+ZMap/Nmap工程工具链），是IPv6时代资产管理与威胁发现的基础能力。
RFC 9098系统梳理了IPv6网络运营安全考虑，NIST SP 800-119提供控制框架——二者与IETF v6ops最佳实践共同构成组织级IPv6安全基线的主要依据。
基于多源情报（DNS、CT日志、BGP宣告、Hitlist）与探测验证，建立组织IPv6地址资产台账，识别影子IPv6资产与双栈纳管缺口。
按子课题01的IPv6攻击面清单，对NDP、ICMPv6、扩展头、过渡技术、双栈等价性逐项核查，形成风险画像与整改优先级。
部署RA-Guard/SAVI、ICMPv6最小放行集、扩展头处理基线、过渡网关加固；统一IPv4/IPv6安全策略等价性。
建立NDP异常、隧道残留、分片滥用、双栈路径操纵的监测规则；将IPv6攻击链纳入攻防演练场景（Rogue RA、自动代理劫持等）。
按成熟度框架评估IPv6-only演进准备度，持续跟踪IETF 6man/v6ops标准动态与主管部门政策要求，滚动更新安全基线。
IPv6安全研究依赖部署测量、地址测绘、协议行为观测等多源数据。理解各类数据的测量口径、获取方式与适用边界，是开展IPv6安全研究的基础。
| 数据类型 | 说明 | IPv6安全用途 |
|---|---|---|
| 地址测绘数据 | 对IPv6前缀的活跃地址探测、服务识别与资产标签结果 | 资产台账、影子资产发现、暴露面评估 |
| NDP/ICMPv6流量观测RFC 4861/4443 | 链路内RS/RA/NS/NA/Redirect及ICMPv6错误消息的被动观测记录 | Rogue RA检测、NDP异常分析、PMTUD黑洞诊断 |
| 部署测量数据 | 基于网页嵌入式脚本或网络探针的IPv6可达性/能力测量 | IPv6部署态势、双栈普及率、演进趋势分析 |
| BGP/路由数据 | IPv6全局路由表快照与宣告变更（RouteViews/RIS等） | IPv6前缀画像、地址块归属、异常宣告检测 |
| DNS情报 | AAAA记录、DNS64合成记录、区域文件数据 | 地址富化、双栈服务发现、DNS64信任链分析 |
| 证书情报 | 证书透明度日志中的IPv6地址、IP SAN记录 | 被动地址发现、服务指纹、HTTPS服务测绘 |
| 攻防观测数据 | 蜜罐/诱饵前缀捕获的IPv6攻击流量与扫描行为 | 攻击趋势、扫描模式、反测绘与主动防御 |
IPv6安全建立在IETF标准体系之上：RFC 8200定义协议本体，RFC 4861/4862定义链路与配置核心机制，RFC 6104/6105、RFC 4890、RFC 5722等构成安全防护基线，RFC 9098汇总裁决运营安全考虑。以下均为现行有效标准，可在RFC Editor查证。
2017年7月发布（STD 86），取代RFC 2460成为IPv6核心规范。更新限于不影响互操作性的澄清与修订——报头格式、扩展头架构、128位地址模型、流标签等核心设计保持不变。
IPv6链路层运转的基石协议：路由器发现、前缀发现、地址解析、下一跳确定、DAD、重定向。其无认证信任模型既是简洁性的来源，也是RA/NDP欺骗攻击的总根源。
2011年2月发布：RFC 6104陈述伪造路由宣告问题，RFC 6105定义RA-Guard——交换机基于端口信任状态过滤RA消息的首代标准化防护方案，是接入网IPv6防护的第一道基线。
为防火墙与过滤设备给出ICMPv6消息分级的过滤建议基线——明确反对"全部丢弃ICMPv6"的误配置，区分"必须放行""可按策略过滤""应丢弃"的消息类型，是IPv6安全运维的高频参考。
RFC 5722（2009年12月）禁止重叠分片重组并要求丢弃；RFC 7112（2013）要求首个分片必须包含完整IPv6头链与上层头；RFC 8820（2021）约束节点扩展头发送行为——三者与RFC 7045共同构成中间设备处理基线。
RFC 8064（2016）给出IPv6地址选择建议，RFC 8981（2021）更新临时地址机制——随机化接口标识符与临时地址调度策略是反测绘、反追踪的核心配置项，同时带来日志审计与准入控制的适配挑战。
允许RA消息携带递归DNS服务器地址与DNS搜索列表——提升即插即用性的同时放大了Rogue RA的DNS劫持能力，"RA+RDNSS投毒"已成为IPv6链路层攻击的标准配置选项。
2021年8月发布，系统梳理IPv6网络运营的安全考虑：地址架构、链路层防护、扩展头处理、过渡技术管控、ICMPv6治理、审计与运维——被业界视为IPv6安全运营的集大成参考文档。
2017年12月发布，定义双栈客户端的连接竞速算法——通过并行尝试与优选逻辑平滑IPv4/IPv6体验差异，其竞速机制同时塑造了双栈安全策略的实际生效路径与回退行为。
2013年10月发布，定义源地址验证改进（SAVI）框架——通过监听NDP/DHCPv6/SLAAC交互在接入设备建立地址绑定，阻止伪造源地址攻击，是IPv6接入层主动防护体系的核心标准。
2017年11月中办国办《推进互联网协议第六版（IPv6）规模部署行动计划》；2023年4月工信部等八部门《推进IPv6技术演进和应用创新发展的实施意见》；2024年4月、2025年5月三部门《2024年工作安排》《2025年工作要点》；2026年7月中央网信委《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》——构成中国IPv6演进与安全的政策基线。
以下条目均来自CVE官方档案、Microsoft安全响应中心（MSRC）、IETF RFC废弃记录及安全会议公开研究——覆盖实现漏洞、协议滥用与研究演示三类，是检测规则验证与防御基线评估的参考案例库。
| 时间 | 事件/编号 | 类型 | 关键事实与影响 |
|---|---|---|---|
| 2011前后 | THC-IPv6工具包公开 | 工具生态 | The Hacker's Choice（THC）社区的Marc "van Hauser" Heuse发布并持续维护THC-IPv6攻击套件（GitHub开源），集成Rogue RA、NDP欺骗、RA洪水、Smurf6等数十种IPv6攻击演示工具——极大降低了IPv6攻击门槛，使IPv6安全测试进入攻防社区主流视野。 |
| 2013.10 | CVE-2013-3183 | 实现漏洞（RCE） | Microsoft Windows TCP/IP栈处理畸形ICMPv6报文时存在内存分配错误（2013年"死亡之Ping"的IPv6变体，影响Windows XP、Windows Server 2003等系统），微软安全公告（MS13-065）将其列为远程代码执行级风险并于2013年10月修复——协议解析面的实现安全与协议设计安全同等重要。 |
| 2015 | 6to4废弃（RFC 7526） | 标准废弃 | IETF发布RFC 7526废弃6to4任播中继（RFC 3056）——6to4因任播中继可用性差、易被滥用为隐蔽通道而退出历史舞台；但存量启用状态至今仍是企业边界核查项。 |
| 2016.8 | DEF CON 24 "Toxic Proxies" | 研究演示 | Context Information Security研究者Alex Chapman与Paul Stone在DEF CON 24（2016年8月）发表"Toxic Proxies: Bypassing HTTPS and VPNs to Pwn Your Online Identity"：演示恶意接入点/本地网络攻击者利用WPAD/PAC自动代理发现机制的陈旧设计缺陷，通过PAC文件泄露HTTPS访问URL并强制流量经由恶意代理——"无需漏洞利用、无需恶意软件"即可接管在线身份的链路层窃密链，与Rogue RA类攻击同属链路信任滥用谱系，成为安全培训经典案例。 |
| 2020.10 | CVE-2020-16898 "Bad Neighbor" | 实现漏洞（RCE） | Microsoft Windows TCP/IP栈在处理ICMPv6 RDNSS（RFC 8106）选项时存在缓冲区溢出，可远程触发拒绝服务乃至远程代码执行；微软于2020年10月"补丁星期二"发布修复（ADV200006）。该漏洞直接源于RA/RDNSS信任面，是NDP安全子课题的标志性实证。 |
| 2022.9 | CVE-2022-34718 | 实现漏洞（RCE） | Microsoft Windows TCP/IP栈远程代码执行漏洞——攻击者向启用IPsec（IKE/AuthIP密钥模块）的目标节点发送特制IPv6报文（ESP报文重组处理缺陷）即可触发，CVSS 9.8，微软于2022年9月"补丁星期二"修复；再次印证IPv6协议栈解析面是操作系统内核的高危攻击面。 |
| 2024.8 | CVE-2024-38063 | 实现漏洞（RCE） | Microsoft Windows TCP/IP栈处理IPv6报文（扩展头/分片相关路径）时存在整数下溢，可触发缓冲区溢出（CVSS 9.8）：未经身份验证的攻击者反复发送特制IPv6报文即可导致目标蓝屏拒绝服务，并存在远程代码执行可能，影响Windows 10/11及Server 2008—2022所有启用IPv6的版本；微软于2024年8月13日修复并评估其"较大可能已被利用"——扩展头/分片子课题的最新实证基线。 |
| 2026.7 | 《深化IPv6技术创新和融合应用实施方案（2026—2030年）》发布 | 政策演进 | 中央网络安全和信息化委员会印发"十五五"时期IPv6高质量发展指导性文件，明确提升安全产品IPv6防护能力（加强安全产品IPv6功能和性能测试、引导存量不支持IPv6的安全设备替换升级）、完善IPv6安全防护体系（强化IPv6安全监测与态势感知、通报预警和应急响应）等重点任务——IPv6安全从部署配套上升为国家政策主线。 |
依托CNNIC国家互联网基础资源管理体系与公共互联网反网络钓鱼工作组的资源优势，研究IPv6演进对钓鱼治理体系的重塑，是本课题区别于一般IPv6安全研究的主要特色。
海量IPv6地址空间使基于IP黑名单的钓鱼拦截机制边际失效——攻击者可低成本频繁更换源地址；CDN与云服务AAAA记录的普及使钓鱼站点同样实现"IPv6可达"；IPv6直连IoT设备（摄像头、路由器）被控后可直接作为钓鱼/代理跳板，暴露面治理需从"IP管控"升级为"域名+证书+行为"多维情报驱动。
DNS64合成AAAA、NAT64地址映射使"域名→IP"的解析链路复杂化——钓鱼检测系统若仅校验A记录将漏检纯IPv6钓鱼站点；双栈环境下攻击者可诱导受害者经防护薄弱的协议栈路径访问钓鱼内容（如通过Rogue RA+DNS劫持的链路层钓鱼）；翻译网关的日志留存与溯源合规成为监管关注要点。
CNNIC运营国家IPv6发展监测平台并持续开展IPv6用户规模统计（《中国互联网络发展状况统计报告》），与中国信通院IPv6发展监测形成数据协同；本课题依托该数据底座开展"IPv6部署度—钓鱼基础设施IPv6化程度—治理覆盖度"的关联测量，为反钓鱼工作组成员单位提供IPv6时代的情报与处置支撑。
跟踪IPv6协议演进、部署实践与安全研究的最新动态，以下条目均来自IETF、CNNIC、中国信通院、APNIC Labs等权威来源的公开记录。
2025年5月，中央网信办、国家发展改革委、工业和信息化部联合印发《2025年深入推进IPv6规模部署和应用工作要点》，部署9个方面42项重点任务，明确到2025年末IPv6活跃用户数达8.5亿、物联网IPv6连接数达11亿、移动网络IPv6流量占比达70%、固定网络达27%等目标，并专章部署"强化网络安全保障"。据第四届中国IPv6创新发展大会发布的《中国IPv6发展报告（2025）》，截至2025年9月我国IPv6活跃用户达8.65亿（较2017年增长294倍，规模居世界第一）、移动网络IPv6流量占比达69.02%、固定网络达30.63%、IPv6地址资源总量达71590块/32（占全球已分配IPv6地址的14.61%，居全球第二）。2026年7月，中央网络安全和信息化委员会印发《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》，确立"十五五"时期IPv6从规模部署向全面赋能跨越的路线图——IPv6-only演进与配套安全能力建设同步进入规模化阶段。
Google IPv6 Statistics显示，2025年全球通过IPv6访问其服务的用户占比在约43%—47%区间波动，2026年3月28日单日达50.1%、首次突破50%；APNIC Labs的capability测量显示2026年3月全球约43.13%的可观测网络具备IPv6能力。印度、法国、美国、德国等国家IPv6流量占比已处高位，中国IPv6能力近年来增长显著——部署度的分水岭意味着"IPv6盲区"已从边缘问题变为多数组织必须面对的常态问题。
IETF对过渡技术的治理脉络清晰：6to4任播中继于2015年被RFC 7526废弃，原子分片生成被RFC 8021废弃（2017年）；Teredo与ISATAP无对应废弃RFC，但已被主流实现默认禁用、实质退出主流方案；NAT64/DNS64（RFC 6146/6147）与464XLAT（RFC 6877）成为IPv6-only网络访问IPv4互联网的主流方案。国内层面，2024年7月工业和信息化部办公厅、中央网信办秘书局联合开展"网络去NAT"专项工作，推动NAT44设备总容量逐步停止增长。安全研究焦点随之从"隧道检测"转向"翻译信任链治理"（DNS64投毒面、NAT64会话审计、464XLAT状态表防护）。
自DEF CON 24 "Toxic Proxies"（2016年）揭示WPAD/PAC自动代理发现滥用以来，链路层"自动配置劫持"类研究持续演化：Rogue RA触发IPv6自动配置→WPAD/DNS劫持→流量中间人的组合攻击链，从有线局域网扩展到Wi-Fi场景、从HTTP明文劫持扩展到HTTPS URL泄露与SSL剥离的组合利用；防御侧相应发展出RA-Guard加固（RFC 7113）、SAVI（RFC 7039）与NDP异常监测的工程组合——链路层IPv6攻防已成企业内网攻防演练的固定科目。
学术界围绕IPv6地址可发现性持续产出成果：地址生成模式分析、低熵地址枚举、Hitlist维护与共享（IPv6 Hitlist Service）、基于CT日志与DNS的被动测绘等；ZMap/Nmap等工程工具全面支持IPv6目标扫描。测绘能力成为IPv6时代资产治理、威胁情报与学术研究共同依赖的"新基建"，同时也引发地址隐私与探测合规的边界讨论。
2021年8月发布的RFC 9098（IPv6网络运营安全考虑）系统整合了地址架构、链路层防护、扩展头处理、过渡技术、ICMPv6治理等运营安全议题，与NIST SP 800-119、IETF v6ops最佳实践共同构成组织级IPv6安全基线的主要依据——"先基线、后演进"成为IPv6规模化部署的安全方法论共识。
Windows TCP/IP栈因IPv6处理缺陷多次出现远程代码执行级漏洞：CVE-2013-3183（畸形ICMPv6报文）、CVE-2020-16898（ICMPv6 RDNSS"Bad Neighbor"）、CVE-2022-34718（ESP报文重组）、CVE-2024-38063（IPv6扩展头/分片处理整数下溢，CVSS 9.8）等。协议栈解析面是操作系统内核的高危攻击面——终端与网络设备的IPv6相关补丁管理、畸形报文测试（fuzzing）纳入研发与测评流程，成为安全运营的高优先级事项。
全球范围内，移动运营商核心网、高校校园网（如多所国际知名高校已完成校园网IPv6-only改造并公开经验）、大型互联网企业内网与数据中心加速IPv6-only试点；中国《2025年深入推进IPv6规模部署和应用工作要点》等部门文件持续部署IPv6-only改造试点。双栈策略等价性核查负担、地址空间测绘能力、过渡信任链治理构成IPv6-only演进的三大安全前置条件。
SRv6（RFC 8402定义的段路由架构）将路径指令嵌入IPv6扩展头（SRH），在简化网络编程的同时引入新的安全面——段列表（Segment List）操纵、SRH中间节点处理一致性、头精简与安全设备可见性的矛盾成为研究焦点。中国"IPv6+"产业实践走在前列：基于新型SRv6的新一代互联网关键技术创新获2023年世界互联网大会乌镇峰会领先科技成果，SRv6规模应用持续扩展——SRv6安全评估与防护能力建设成为"IPv6+"演进的配套刚需。
IPv6前缀劫持、路由泄露同样威胁IPv6网络安全：RPKI资源证书体系（RFC 6480）与路由源验证ROV（RFC 6811）通过ROA（路由源授权）记录校验BGP宣告合法性，是防御前缀劫持的体系化手段；BGPsec（RFC 8205）则提供路径级保护（部署成本较高、尚处早期）。全球RPKI/ROV部署率持续上升，运营商与大型企业将IPv6路由安全纳入地址测绘与态势感知的交叉校验项——路由层安全已成为IPv6安全体系不可或缺的第四层支柱。
从"IPv6默认开通、安全策略裸奔"到"可度量、可运营的IPv6安全体系"，组织需要完成资产测绘、攻击面评估、防护基线、监测演练、演进评估的闭环。以下六步路径综合RFC 9098、RFC 6105/4890等标准与业界最佳实践整理，供规划参考。
基于DNS记录、CT日志、BGP宣告与主动探测建立IPv6地址资产台账；重点排查"影子IPv6资产"——业务方 unaware 的AAAA可达入口、双栈应用IPv6侧未纳管服务、IoT设备IPv6直连暴露。
逐条比对IPv4/IPv6两侧的访问控制、日志审计、入侵检测、WAF与DDoS防护覆盖是否对等；按IPv6攻击面清单核查NDP、ICMPv6、扩展头、过渡技术配置，形成风险画像与整改优先级。
接入交换机启用RA-Guard并按RFC 7113要求加固（防分片/隧道绕过）；关键区域部署SAVI（RFC 7039）建立地址绑定；统一SLAAC/DHCPv6策略，评估RDNSS的受控使用。
按RFC 4890配置ICMPv6分级过滤（杜绝一刀切丢弃）；中间设备落实RFC 5722/7112/7045分片与扩展头处理基线；治理PMTUD依赖（过滤伪造Packet Too Big，监测黑洞）。
全网排查6to4/Teredo/ISATAP隧道启用状态并禁用（对齐RFC 7526废弃要求与主流实现默认禁用趋势）；NAT64/DNS64/464XLAT网关落实会话审计、地址映射日志留存与自身加固。
建立NDP异常、隧道残留、分片滥用、双栈路径操纵的监测规则；将Rogue RA/WPAD劫持链纳入攻防演练；按成熟度框架评估IPv6-only演进准备度，滚动更新安全基线。
本专题引用的标准、数据与事件均来自以下公开发布的权威来源，可按需查阅原始出处核实。标注"约"的数据为区间或约数，精确值请以来源最新发布为准。
IPv6现行标准（8200，2017）、邻居发现协议（4861）、无状态自动配置（4862）——IPv6安全研究的三块基石，均可在RFC Editor查证。
Rogue RA问题陈述（6104）、RA-Guard（6105）、RA-Guard绕与加固（7113）、SAVI源地址验证（7039）——链路层IPv6防护的标准组合。
ICMPv6过滤建议基线（4890）、ICMPv6本体（4443）、RDNSS/DNSSL选项（8106）——ICMPv6"哪些该放行、哪些该管控"的权威依据。
重叠分片禁令（5722）、原子分片（6946，生成已被8021废弃）、首分片完整性（7112）、中间设备透传要求（7045）、扩展头发送约束（8820）——报文处理基线族。
IPv6主机扫描可行性分析（7707）、稳定不透明地址生成（7217）、地址选择建议（8064）、临时地址机制更新（8981）——地址测绘与反测绘的理论基础。
NAT64（6146）、DNS64（6147）、464XLAT（6877）、Happy Eyeballs v2（8305）——过渡与双栈时代的行为与安全语义基础。
IPv6网络运营安全考虑（9098，2021）、IPv6节点要求（8504）、NIST IPv6安全指南（SP 800-119）——组织级安全基线的三大支柱文献。
Google官方IPv6采纳度统计（2026年3月28日全球IPv6用户占比首次突破50%，达50.1%）；APNIC Labs基于嵌入式脚本的IPv6能力测量（2026年3月全球约43%终端具备IPv6能力）。
第55次报告（2025年1月发布）：截至2024年12月中国IPv6用户规模约8.22亿；第56次报告（2025年7月发布）：截至2025年6月中国IPv6用户规模约8.36亿，IPv6活跃连接与流量占比持续处于高位区间。
2025年11月发布：截至2025年9月中国IPv6用户数达8.65亿，移动网络IPv6流量占比69.02%，固定网络IPv6流量占比30.63%，IPv6地址资源总量达71590块/32。
THC-IPv6工具包（Marc "van Hauser" Heuse，GitHub开源）；DEF CON 24（2016年8月）"Toxic Proxies"（Alex Chapman与Paul Stone，Context Information Security，Rogue RA+WPAD/PAC劫持链演示）；CVE-2013-3183、CVE-2020-16898、CVE-2022-34718、CVE-2024-38063等协议栈实现漏洞（MSRC）。