01 · 分层治理基线
按"接入—网络—边界—主机—监测"五层落地第7页控制矩阵，各层控制项均标注规范依据与核查方法：
| 层级 | 控制项 | 规范依据 |
|---|---|---|
| 接入层 | 交换机对RA/ND的防护（RA-Guard/SAVI）——扩展头与分片的前提是链路可信，接入层失守则上层皆空谈 | RFC 6105/7039（子课题02） |
| 网络层 | 逐跳选项最小集策略；路由头类型白名单（未部署SRv6则丢弃RH0/RH2/SRH）；扩展头链解析深度声明 | RFC 7045/5095/8754 |
| 边界层 | 分片会话化检测（首分片五元组＋后续一致性）；重叠/微小分片模式处置；PTB透传＋速率限制＋来源核验；MSS钳制；ICMPv6分级过滤 | RFC 4890/7112/5722/7045 |
| 主机层 | 协议栈补丁节奏；重组槽位/字节双限额；ID随机化；PLPMTUD启用（TCP）；DNS缓冲区按RFC 8900约束；分片ND报文静默丢弃（RFC 6980，核查suppress_frag_ndisc类开关） | RFC 4821/8899/8900/7739方向/6980 |
| 监测层 | 分片率基线；四类异常分片模式检出；PTB行为分析；重组资源计数器；EH组合探针处置比对 | 本子课题第3、5、6页监测思路 |
02 · 配置核查清单（实施版）
| 编号 | 核查项 | 核查方法 | 对应清单 |
|---|---|---|---|
| K-01 | 防火墙IPv6策略与IPv4等价性声明 | 策略比对＋渗透验证 | AS-EH-04/06 |
| K-02 | 分片会话化与重组后检测能力 | L3/L4用例矩阵测试 | AS-EH-04/05 |
| K-03 | 重叠分片整包丢弃（RFC 5722） | 一致性测试＋终端内核参数核查 | AS-EH-01 |
| K-04 | 首分片完整性校验（RFC 7112） | 用例矩阵＋设备文档比对 | AS-EH-04 |
| K-05 | 原子分片响应探测 | PTB探针（授权环境） | AS-EH-02 |
| K-06 | PTB透传与过滤策略合规（RFC 4890） | ACL审计＋黑洞健康指标 | AS-EH-11 |
| K-07 | 路由头类型白名单 | 配置核查＋RH0/RH2/SRH用例 | AS-EH-09 |
| K-08 | 重组资源限额（终端/网关） | 内核参数＋压力验证 | AS-EH-05/12 |
| K-09 | 翻译器/隧道分片处理 | RFC 7915符合性＋双端比对 | AS-EH-15 |
| K-10 | IPv6相关CVE补丁时效 | 漏洞情报比对＋变更记录 | AS-EH-16 |
03 · 工具生态（防御与测评用途）
| 工具 | 用途定位 | 性质 |
|---|---|---|
| Scapy | 报文构造框架：一致性测试矩阵生成、诊断探针 | 开源（GPLv2） |
| Wireshark / tcpdump | 三视角观测的抓包分析基准；分片重组可视化 | 开源 |
| Chiron（SI6 Networks） | IPv6安全评估框架：扩展头/分片组合构造与测试 | 开源（研究主导） |
| SI6 Networks IPv6 Toolkit | Fernando Gont主导的协议测试工具集（含分片相关工具） | 开源（研究主导） |
| THC-IPv6（van Hauser） | 经典IPv6攻击/测试套件（fragment6等分片工具） | 开源（GitHub维护） |
| Suricata / Snort | IDS/IPS引擎：IPv6分片重组与检测规则载体 | 开源（Suricata为GPLv2） |
| path MTU诊断工具 | ping -M do、tracepath6等系统自带诊断 | 系统自带 |
工具使用合规：上述构造类工具仅应在自有或书面授权环境使用，测试速率受限、全程留档；本课题页面不提供任何工具的具体攻击用法指引。
04 · 监测建设要点
- 分片率与形态基线：分片报文占比、平均片数、协议分布、四类异常模式命中数——基线偏离即告警（规则细节见第3页指纹与第4页模式清单）；
- PTB行为分析：PTB速率/来源/MTU值分布、载荷引用抽样校验、MTU缓存变化曲线——覆盖AS-EH-10/11/12；
- 资源侧指标：重组槽位占用、分片丢弃计数、重组超时计数——资源耗尽攻击的先行指标；
- EH组合观测：路由头/逐跳选项出现率与类型分布——RH0残留与SRv6白名单违背的直接信号；
- 引擎侧：Suricata等引擎启用IPv6分片重组预处理；规则覆盖按清单条目映射，并保留原始分片pcap供回溯。
05 · 六步实施路线
06 · 成熟度评估指标（6项模板）
| 指标 | 定义与采集方式 | 目标参考 |
|---|---|---|
| 双栈策略等价率 | IPv6侧与IPv4侧对等覆盖的策略项占比（人工台账＋自动比对） | 100% |
| 分片会话化覆盖率 | 具备分片有状态检测的边界设备占比 | 100% |
| 一致性测试通过率 | L4级恶意用例的合规处置占比（每季度复测） | ≥95% |
| PMTUD黑洞率 | 抽样路径大包成功率低于阈值的占比（持续探测） | 0 |
| IPv6补丁时效 | 相关CVE从披露到内部修复的平均天数 | ≤30天（高危≤7天） |
| 演练检出率 | 演练中监测规则对预设行为的检出占比 | ≥90% |
注：目标值为治理模板参考，各组织应结合自身风险偏好与监管要求调整；指标定义对齐子课题06的演进成熟度框架。
07 · 常见失败模式与对策
| 失败模式 | 对策 |
|---|---|
| "全丢分片"式懒惰防御 | 业务兼容性与防御等效之间需按L1基线自学习确定放行形态，一刀切丢弃会把压力转嫁给上层重传并掩盖真实攻击信号 |
| 设备文档与实测不一致 | 以一致性测试实测为准绳建立"文档—实测"差异档案，采购合同加入解析能力声明条款 |
| 只查边界、不管主机 | 重组资源限额与补丁节奏属主机层基线，边界通过不等于端点免疫（AS-EH-05/16） |
| 忽视翻译/隧道设备 | NAT64/SIIT/隧道网关纳入一致性测试与监测范围，双端比对分片形态 |
| 基线建成后不复测 | 固件升级与规则库更新会改变处置行为，季度复测纳入变更管理 |
08 · 与课题体系的输出衔接
- 本子课题治理基线并入子课题06的IPv6-only分场景基线与成熟度框架；
- 一致性测试方法学向子课题01的攻击面治理基线复用；
- 分片/PTB监测规则接入子课题04的IPv6态势感知数据管道；
- 翻译与隧道设备基线与子课题03的过渡技术治理清单合并执行；
- 全部16条清单条目（AS-EH-01…16）回挂子课题01总攻击面清单的"协议解析面"域。
本节参考来源（第8页）
治理基线所依据的规范与工具来源汇总如下（与前7页引用一致，不重复展开）。
IETF RFC 4890（2007年）、RFC 5722（2009年）、RFC 7045（2013年）、RFC 7112（2013年）、RFC 8021（2017年）、RFC 9098（2021年）：RFC Editor官方档案 rfc-editor.org。
IETF RFC 4821（2007年）、RFC 8899（2020年）、RFC 8900（2020年）：PLPMTUD/DPLPMTUD与DNS避免分片基线。
IETF RFC 8754（2020年）、RFC 8402（2018年）、RFC 9197（2022年）：SRv6与IOAM部署形态依据。
Scapy（scapy.net）、Suricata（suricata.io）、THC-IPv6（github.com/vanhauser-thc/thc-ipv6）、SI6 Networks工具（si6networks.com/tools）。
Microsoft MSRC漏洞档案（CVE-2013-3183、CVE-2020-16898、CVE-2021-24074、CVE-2021-24086、CVE-2022-34718、CVE-2024-38063）：msrc.microsoft.com。
中央网信办等三部门《深入推进IPv6规模部署和应用两年行动计划（2024—2025年）》（2023年）：IPv6安全能力建设的政策对齐依据：cac.gov.cn。