课题研究 IPv6演进安全 子课题01 · 第06页 / 共8页
01子课题 · IPv6攻击面与威胁建模

IPv6攻击面与威胁建模第06页：双栈等价性与过渡技术攻击面

双栈长期共存使每个服务同时暴露IPv4/IPv6两套攻击面——攻击者无需攻破IPv4侧防御，只需选择防护较弱的一栈即可到达同一后端。本页剖析双栈等价攻击的四大不对称模式（边界/检测/情报/影子资产）与Happy Eyeballs（RFC 8305）竞速语义带来的栈级选路操纵面；系统梳理自动隧道（6to4、Teredo、ISATAP）的废弃进程与残留风险、翻译技术（NAT64/DNS64/464XLAT）的信任边界；并交付核心成果——12域《双栈安全配置等价性核查表》及"策略等价率"指标定义。

双栈等价性Happy EyeballsRFC 83056to4TeredoISATAPNAT64DNS64464XLAT影子资产策略等价率研究状态：研究中
所属专题互联网基础设施安全 › IPv6演进安全
目标受众安全架构师、边界与出口策略工程师、合规审计团队
核心交付12域等价性核查表（可直接转自动化采集）；深度治理见子课题03
‹ 上页：第05页 链路层与邻居发现攻击面
子课题分页12345678
下页：第07页 威胁建模方法论与攻击面清单 ›

01 · 双栈等价攻击：原理与实证模式

1.1 核心机理

双栈（Dual Stack，RFC 4213）主机与双栈服务长期共存于IPv4/IPv6两套地址族——同一应用、同一业务逻辑，却暴露两套独立的协议攻击面。当两侧防护覆盖不对等时（IPv6侧ACL缺失、WAF不监听IPv6、审计不采集v6流量、DDoS清洗只接v4），攻击者无需攻破IPv4侧防御，只需选择防护较弱的一栈即可到达同一后端。实证研究与渗透实践反复出现的模式包括：

  • 边界不对称：IPv4侧全端口受控、IPv6侧"默认开放"——攻击者经v6直达管理面或内部服务；
  • 检测不对称：IDS/日志只采集v4五元组——v6侧攻击行为不可见，"静默突破"窗口拉长；
  • 情报不对称：基于v4 IP的信誉/黑名单体系不覆盖v6地址——封禁与溯源失效；
  • 影子资产：业务方 unaware 的AAAA记录指向未纳管服务（第1页术语），v6入口完全脱离变更管理。

1.2 Happy Eyeballs的调度语义

RFC 8305（Happy Eyeballs v2，2017年12月，取代RFC 6555）定义双栈客户端的并行连接竞速算法：对同一域名同时尝试AAAA/A解析并竞速连接——其本意是平滑双栈体验差异，但副作用是流量路径选择脱离了网络管理员的静态策略：运维以为"走v4"的业务实际经v6，反之亦然。安全含义：

  • 路径操纵面：攻击者向优选路径注入劣化信号（如丢弃v6 SYN），可引导客户端回退至攻击者期望的栈——实现"栈级选路操纵"（概念级利用，需链路或路径位置）；
  • 策略落空面：基于"客户端走v4"假设的审计/管控策略在竞速回退后失效；
  • 治理要点：安全策略必须对双栈两侧分别显式声明并验证，不依赖Happy Eyeballs的默认行为假设。
双栈绕过决策链（攻击者视角概念推演）
用于防御方的核查设计：每一步对应一个可度量的等价性指标
说明：本链为防御核查的概念模型，每一节点对应第7页等价性核查表中的具体条目。

02 · 自动隧道技术：废弃进程与残留风险

技术规范与状态机理残留风险与核查方法
6to4RFC 3056（2001）；2015年5月被RFC 7526废弃（含任播中继前缀192.88.99.0/24归还IANA）以IPv4地址派生2002::/16地址，经任播中继自动隧道互通任播中继可用性差且长期被滥用；存量主机/边界启用状态构成隐蔽外联通道——核查：主机隧道接口、边界协议41（协议号41）过滤
TeredoRFC 4380（2006）；尚无正式废弃RFC，全球中继生态已实质萎缩，企业基线按"视同废弃"处置NAT穿越型UDP隧道（UDP 3544），使NAT后的主机获得全局IPv6可达性绕过边界管控的隐蔽入站通道——Teredo启用的主机可从互联网被直达；核查：企业边界UDP 3544、主机Teredo服务状态
ISATAPRFC 5214（2008）企业内网点对点自动隧道，以IPv4地址派生链路本地型地址内网启用状态需评估——与Rogue RA叠加可形成"隧道入口＋伪造宣告"的组合面；核查：主机ISATAP适配器、DNS中的isatap记录
手工/6in4隧道通用GRE与IPv6-in-IPv4封装显式配置的站点间隧道合法用途与隐蔽通道并存——核查：隧道配置的变更管理与密钥治理；隧道两端策略一致性

治理脉络：IETF对自动隧道的态度清晰且持续收敛——6to4任播中继已由RFC 7526（2015）正式废弃；Teredo与ISATAP虽无正式废弃RFC，但已实质退出主流部署——"自动隧道"作为过渡手段的历史使命基本终结。但废弃标准≠存量消失：终端操作系统长期默认携带这些组件，安全基线必须包含"隧道残留发现与禁用"核查项（第8页基线B-4）。

03 · 翻译技术信任边界：NAT64/DNS64/464XLAT

翻译技术成为双栈收敛期的主流方案，其安全语义与NAT有本质差异——信任边界分析是子课题03的核心内容，本节从攻击面视角输出要点：

技术规范攻击面要点
DNS64RFC 6147（2011）为纯IPv6客户端合成AAAA记录——DNS层投毒影响面被放大到"合成解析"环节；伪造DNS64应答可定向流量至恶意NAT64实例；探测与合规见RFC 7050
NAT64RFC 6146（2011）有状态协议转换——会话表规模是DoS暴露面；IPv4目的地址被编码进IPv6地址（Well-Known Prefix 64:ff9b::/96，RFC 6052），地址语义混淆影响ACL与审计
464XLATRFC 6877（2013）移动网络大规模部署的"CLAT+PLAT"组合——翻译日志（v6会话与v4五元组映射留存）是溯源合规的关键缺口项；协议转换对IPsec/分片的穿越限制需专项评估
  • DNS64信任链：纯v6客户端的解析完全依赖DNS64合成结果——合成环节一旦被污染，后续所有"翻译后连接"随之被操纵；
  • 日志与溯源：翻译设备的地址映射留存是监管与事件响应的基础要求，属基线硬性核查项；
  • 策略一致性：经NAT64到达IPv4互联网的流量应继承与原生v4一致的出口策略——"翻译即放行"是典型配置事故。
  • 演进背景：中国"网络去NAT"专项工作（工业和信息化部办公厅、中央网信办秘书局2024年7月联合印发通知）推动基础电信企业降低NAT44设备使用规模、深化IPv6部署应用——IPv4地址翻译层逐步退出，使NAT64/464XLAT等IPv6侧翻译技术的治理权重持续上升。

04 · 双栈安全配置等价性核查表（核心交付物）

下表为本课题KQ-2的落地工具：12个核查域逐项对比IPv4/IPv6两侧的应然基线与实然核查点，可直接转化为自动化采集脚本与审计问卷：

#核查域IPv4侧应然基线IPv6侧核查点
1边界ACL默认拒绝＋显式放行v6 ACL是否独立存在且同样默认拒绝
2WAF/应用层防护全业务覆盖v6监听地址是否纳入WAF后端池
3IDS/IPS规则集全量启用v6流量是否进入同一检测管道、规则是否v6适配
4日志审计五元组全量留存v6五元组（含扩展头关键信息）是否同等采集
5DDoS清洗接入清洗中心v6流量是否同路径清洗
6Egress过滤出口白名单v6出口策略是否对等、ULA是否误出网
7DNS治理A记录受变更管理AAAA记录是否同等纳管（防影子资产）
8隧道治理非授权隧道禁止6to4/Teredo/ISATAP残留发现与禁用状态
9NDP防护（IPv4：ARP类治理）RA-Guard/SAVI覆盖率（子课题02指标）
10ICMP治理ICMP分级策略是否按RFC 4890建立v6分级基线（第3页）
11漏洞与补丁IPv4相关漏洞同批处置IPv6解析面CVE（如分片/ICMPv6类）是否纳入高危优先级
12演练覆盖v4科目常态化v6科目（Rogue RA/双栈绕过）是否纳入年度演练

指标化要求：每项核查产出布尔结论，汇总为"策略等价率＝达标项数/12"。等价率低于100%即存在结构性绕过面；任何单项不达标都应输出整改工单并复测——该指标并入第7页成熟度评估与第8页治理基线。

本节参考来源（第6页）

[1]

IETF RFC 4213《Basic Transition Mechanisms for IPv6 Hosts and Routers》（2005年10月，双栈基本机制）：rfc-editor.org/rfc/rfc4213；RFC 8305《Happy Eyeballs Version 2: Better Connectivity Using Concurrency》（2017年12月）：rfc-editor.org/rfc/rfc8305；RFC 6555（2012，v1，已被8305取代）：rfc-editor.org/rfc/rfc6555。

[2]

IETF RFC 3056《Connection of IPv6 Domains via IPv4 Clouds (6to4)》（2001年2月）：rfc-editor.org/rfc/rfc3056；RFC 7526《Deprecating the Anycast Prefix for 6to4 Relay Routers》（2015年5月）：rfc-editor.org/rfc/rfc7526。

[3]

IETF RFC 4380《Teredo: Tunneling IPv6 over UDP through Network Address Translations (NATs)》（2006年2月）：rfc-editor.org/rfc/rfc4380。注：Teredo迄今无正式废弃RFC，本课题基于其生态萎缩事实给出"视同废弃"的基线建议。

[4]

IETF RFC 5214《Intra-Site Automatic Tunnel Addressing Protocol (ISATAP)》（2008年3月）：rfc-editor.org/rfc/rfc5214。

[5]

IETF RFC 6146《Stateful NAT64: Network Address and Protocol Translation from IPv6 Clients to IPv4 Servers》（2011年4月）：rfc-editor.org/rfc/rfc6146；RFC 6147《DNS64: DNS Extensions for Network Address Translation from IPv6 Clients to IPv4 Servers》（2011年4月）：rfc-editor.org/rfc/rfc6147；RFC 6052《IPv6 Addressing of IPv4/IPv6 Translators》（2010年10月，Well-Known Prefix 64:ff9b::/96）：rfc-editor.org/rfc/rfc6052。

[6]

IETF RFC 6877《464XLAT: Combination of Stateful and Stateless Translation》（2013年4月）：rfc-editor.org/rfc/rfc6877；RFC 7050《Discovery of the IPv6 Prefix Used for IPv6 Address Synthesis》（2013年11月）：rfc-editor.org/rfc/rfc7050。

[7]

IETF RFC 9098《Operational Implications of IPv6 Packets with Extension Headers》（2021年8月，过渡技术治理章节）：rfc-editor.org/rfc/rfc9098。

‹ 上页：第05页 链路层与邻居发现攻击面
子课题分页12345678
下页：第07页 威胁建模方法论与攻击面清单 ›