01 · 安全收益再盘点
讨论IPv6-only风险之前，必须先客观承认其真实收益——否则会低估收敛路线的合理性，导致安全团队与演进路线对立。以下收益均附机理与前提条件：
| 收益 | 机理 | 前提条件 |
|---|---|---|
| 攻击面收敛、消除"选弱栈攻击" | 双栈时代同一服务暴露两套攻击面，攻击者可选防护较弱的一栈（典型为IPv6侧无ACL/无WAF覆盖）；单栈化后攻击入口唯一化，防护资源可集中投入 | 收敛必须是"真收敛"——残余双栈网段、例外通道须纳入同等基线，否则攻击面只是"转移"而非"消除" |
| 安全策略一致性 | 无需维护两套ACL、两套检测规则、两套日志模型；策略变更单点生效，降低"改一漏一"的等价性失衡风险（子课题01定义的KQI问题被结构性消解） | 须有基线覆盖收敛前的例外清单；策略表述须协议无关化（以"服务+角色"而非"地址族"为粒度） |
| 端到端可达性恢复 | 去除NAT44后，IPv6端到端连接天然可行——P2P、远程运维、零信任直连等架构不再需要打洞或中继，依赖中继的攻击面收缩 | 须以主机防火墙/微分段承接"默认可达"的新风险（见风险节"主机层默认开放"） |
| 地址真实性与可溯源性增强 | 无需共享地址池，一机多址可被SAVI/DHCPv6日志绑定；无NAT44地址复用造成的"多主机共源地址"溯源歧义 | 隐私地址（RFC 8981）与临时地址调度会增加审计关联难度——须以绑定表与流量日志关联对冲（见风险节） |
| 协议面简化利于检测 | 单一协议栈使流量基线、异常检测规则、分片/扩展头策略的制定与验证环境更干净（子课题05一致性测试的干扰变量减少） | 翻译链路的复合报文（IPv6外层+翻译语义）需检测引擎具备翻译感知能力 |
收益—前提的配套关系：上表每条收益都有明确前提——收益不是IPv6-only"自动附带"的，而是"收敛质量"的函数。第6页成熟度评估框架将每条前提转化为可测量的"安全度"指标，避免组织在前提未满足时误报"已收敛"。
02 · 风险再集中化：三支点深度分析
2.1 支点一：NDP成为唯一配置信任根基
IPv6-only网络中，主机的一切网络配置——默认路由、前缀、DNS（RDNSS，RFC 8106）、翻译前缀（PREF64，RFC 8781）——均来自邻居发现协议（RFC 4861）的RA消息，而RA缺乏密码学认证。双栈时代，一次Rogue RA（RFC 6104）投毒可能被IPv4路径"稀释"；单栈化后，RA即全网配置权威：伪造RA可同时完成"默认路由劫持＋DNS投毒＋翻译路径重定向"的组合攻击（2016年Black Hat USA "Toxic Proxies"研究（Context Information Security）演示的伪造SLAAC配置＋恶意DNS＋WPAD自动代理劫持链在此形态下威力倍增）。失效影响面评估：该支点失效＝全网主机配置被劫持。
2.2 支点二：DNS64/翻译信任链
翻译信任链的三个环节各有独立失效模式：
- DNS64环节：递归解析器被投毒或配置错误→合成错误AAAA→流量被导向错误翻译路径；exclude名单失效→IPv6原生域名被错误翻译（可用性事故）；探测域名（ipv4only.arpa）应答被伪造→客户端错误判定翻译不可用（可用性拒绝）。
- 前缀环节：PREF64与真实网关前缀不一致（RA配置的PREF64≠PLAT实际前缀）→CLAT合成地址无法路由→静默黑洞；本地前缀（RFC 8215）与全局WKP混用→跨网段策略碎片化。
- 翻译网关环节：NAT64会话表耗尽（随机源v6地址的扫描/洪泛可放大该风险）→全网IPv4可达性中断；网关成为DDoS高价值单点；端口分配策略不当→内部多用户碰撞与溯源混淆。
2.3 支点三：ICMPv6治理粒度更细
IPv6-only下ICMPv6承担NDP、MLD、PMTUD、RDNSS/PREF64传递的全部职能，且翻译路径使PMTUD更脆弱（翻译网关减小了有效MTU）。RFC 4890的分级过滤基线在单栈环境中从"建议"升级为"生存必需"——过滤错误不再导致"IPv6侧不通"而是"全网不通"。
2.4 其他结构性风险
| 风险 | 机理与影响 |
|---|---|
| 主机层"默认可达"反转 | 去除NAT44的"意外防火墙"效应后，主机服务默认暴露于全网；须以主机防火墙默认拒绝＋微分段重建边界，否则收敛等于"撤墙" |
| 隐私地址与审计的张力 | 临时地址（RFC 8981）频繁轮换使"按地址追踪主机"失效；审计须转向SAVI绑定（RFC 7039）、DHCPv6日志、NAC准入关联——机制切换期的审计盲区是真实风险窗口 |
| 翻译会话溯源合规 | 464XLAT双翻译点必须日志贯通（CLAT侧记录内网v6↔合成v6映射，PLAT侧记录v6↔公网v4+端口映射），否则安全事件无法还原到人 |
| 残余双栈孤岛 | "先收敛的网段"与"后收敛的网段"并存期，孤岛网段成为整体策略的短板与横向移动跳板——收敛进度差本身成为风险面 |
| 供应链能力错配 | 探测设备、DLP、NAC、流量分析工具的IPv6/翻译感知能力不足，收敛后出现"看不见的安全域" |
03 · 威胁建模：STRIDE × IPv6-only元素矩阵
继承子课题01的STRIDE适配规范，对IPv6-only架构的六个核心元素逐一建模：
| 架构元素 | S 仿冒 | T 篡改 | I 信息泄露 | D 拒绝服务 | 首要控制（详见第4页基线） |
|---|---|---|---|---|---|
| RA/NDP平面 | 伪造RA源（Rogue RA） | 篡改RDNSS/PREF64选项 | NA欺骗截获流量 | DAD干扰、NDP表耗尽（RFC 6583） | RA-Guard（RFC 6105/7113）＋SAVI（RFC 7039）全端口覆盖 |
| DNS64/递归解析 | 伪造递归应答 | 污染合成AAAA/exclude名单 | 查询行为画像 | 解析洪泛、合成放大 | 递归防护＋DNSSEC策略显式决策＋变更管控 |
| 翻译网关（PLAT/NAT64） | 伪造翻译应答/映射 | 篡改会话映射 | 映射表泄露内网结构 | 会话表耗尽、分片处理攻击（继承子课题05） | 网关加固＋容量韧性＋分片基线（RFC 7112等） |
| CLAT终端组件 | 伪造CLAT配置 | 篡改本地合成规则 | CLAT日志泄露 | CLAT资源耗尽拖垮终端 | 受管终端CLAT策略＋仅接受受信PREF64 |
| ICMPv6平面 | 伪造错误消息 | 篡改PMTUD信号 | 错误消息内容推断内网 | ICMPv6洪泛、PMTUD黑洞 | RFC 4890分级过滤＋伪造错误消息过滤 |
| 残余IPv4通道 | 伪造v4侧身份 | 隧道内层篡改 | 隧道绕过审计外泄 | 隧道封装规避检测 | 例外通道清单化＋同等基线＋隧道残留排查 |
04 · 攻击树：翻译链路投毒（概念级）
以"使目标访问攻击者控制的翻译路径"为根节点，概念级攻击树如下（仅描述机理与检测思路，不含实现细节）：
根目标：劫持IPv6-only用户的IPv4资源访问路径 ├─ 分支A：污染DNS64决策 │ ├─ A1 攻击/欺骗递归解析路径（上游投毒、缓存污染） │ ├─ A2 篡改exclude名单配置（运维面） │ └─ A3 伪造ipv4only.arpa探测应答（客户端误判翻译不可用→回退至攻击者诱导路径） ├─ 分支B：伪造PREF64 │ ├─ B1 Rogue RA携带恶意PREF64（需突破RA-Guard——与NDP防护直接对抗） │ └─ B2 篡改DHCPv6/受管下发配置（运维面） └─ 分支C：翻译网关对抗 ├─ C1 会话表耗尽（随机源v6洪泛） ├─ C2 网关分片/扩展头处理差异利用（继承子课题05基线） └─ C3 网关自身漏洞（组件漏洞管理面） 检测思路：分支A→递归侧合成审计＋探测域名应答监测； 分支B→RA源白名单＋PREF64一致性核查（RA配置 vs 网关实际）； 分支C→会话基线偏离告警＋畸形报文检测＋网关版本管理。
对抗关系声明：分支B1的成败取决于RA-Guard/SAVI的部署质量——这是IPv6-only形态下"NDP支点"与"翻译支点"风险的交汇点，也是本课题反复强调NDP防护全端口覆盖的原因。任何仅保护"转发路径"而忽视"配置路径"的防护体系，在IPv6-only环境中都是不完整的。
05 · 失效模式分析（FMEA-lite）
| 失效模式 | 影响 | 严重度 | 缓解与监测 |
|---|---|---|---|
| DNS64服务故障 | 合成中断→纯IPv6客户端访问IPv4资源失败；exclude名单异常→原生v6域名被错误翻译 | 高 | 递归冗余部署；合成成功率与名单一致性纳入SLO监测；exclude变更双人复核 |
| 翻译网关故障/耗尽 | 全网IPv4可达性中断或部分五元组不可用 | 高 | 网关集群化＋会话水位告警＋容量压测；DDoS清洗联动 |
| PMTUD黑洞 | 大报文连接卡死（表现为"网站能ping通但打不开"类故障） | 中 | 网关MTU策略显式配置；ICMPv6 Packet Too Big可达性主动拨测（第6页运行度指标） |
| PREF64不一致 | CLAT合成地址不可路由→静默黑洞，排障困难 | 中 | RA配置与网关前缀一致性自动核查；端到端翻译拨测探针 |
| 审计日志断链 | 安全事件无法溯源到人/终端 | 高 | CLAT↔PLAT日志贯通架构前置设计；日志完整性纳入基线核查 |
| 隐私地址轮换过快 | 审计关联窗口缩短，误报/漏报上升 | 低—中 | 按RFC 8981默认参数治理临时地址调度；绑定表关联为主、地址为辅 |
本节参考来源（第3页）
IETF RFC 4861（NDP）、RFC 6104（Rogue RA问题陈述）、RFC 6583（NDP耗尽）：rfc-editor.org/rfc/rfc4861、rfc-editor.org/rfc/rfc6104。
IETF RFC 7039（SAVI）、RFC 8981（临时地址）、RFC 8106（RDNSS）、RFC 8781（PREF64）、RFC 4890（ICMPv6过滤建议）：rfc-editor.org/rfc/rfc7039、rfc-editor.org/rfc/rfc8981。
IETF RFC 6146（NAT64）、RFC 6147（DNS64，含DNSSEC讨论）、RFC 6877（464XLAT）、RFC 7050/8880（前缀发现/探测域名）：rfc-editor.org/rfc/rfc6147、rfc-editor.org/rfc/rfc7050。
Black Hat USA 2016 "Toxic Proxies"研究（Context Information Security，伪造IPv6配置＋WPAD自动代理劫持链演示）——公开会议资料；Microsoft MSRC（CVE-2020-16898等协议栈实现漏洞档案）：msrc.microsoft.com。