01 · 基线框架总览
IPv6-only安全基线按"接入层—网络层—边界与翻译网关—主机层—监测层"五层组织，共42个可核查配置项（每项含核查方法与依据RFC）。基线设计遵循三条原则：①配置路径与转发路径同权保护（RA/RDNSS/PREF64等配置消息与业务流量受同等防护）；②翻译信任链逐环节可校验（DNS64、前缀、网关三层各设独立核查项）；③例外最小化（残余双栈通道清单化管理，逐项例外审批）。
02 · 接入层基线（9项）
| # | 配置项 | 基线要求 | 依据 |
|---|---|---|---|
| 1 | RA-Guard全端口启用 | 所有接入端口默认启用RA-Guard，仅上联/受信端口放行RA；防分片与隧道封装绕过（要求设备支持RFC 7113加固特性） | RFC 6105/7113 |
| 2 | SAVI地址绑定 | 关键区域（办公、生产）接入设备启用SAVI，建立"地址—端口—主机"绑定，阻断伪造源地址 | RFC 7039 |
| 3 | RDNSS受控使用 | RA中RDNSS仅宣告受控递归地址；禁止用户侧端口发送含RDNSS的RA；评估关闭RDNSS、改用受管DHCPv6的方案 | RFC 8106/6104 |
| 4 | PREF64选项可信源 | PREF64（RFC 8781）仅由受信网关端口宣告；终端CLAT仅接受受信PREF64（配合终端管理策略） | RFC 8781 |
| 5 | MLD Snooping治理 | 启用MLD Snooping并设查询器冗余；防范MLD伪造引发的组播泛洪 | MLD/RFC 3810，运维基线 |
| 6 | DAD保护 | 监测并告警异常DAD交互（持续NS响应模式），防范地址分配拒绝服务 | RFC 4861/6583机理 |
| 7 | NDP表容量与限速 | 邻居缓存表设容量告警与每端口NDP消息限速，缓解表耗尽攻击（RFC 6583模式） | RFC 6583/9099 |
| 8 | 端口安全与NAC | 802.1X/NAC准入与IPv6地址分配联动，未认证终端不进入NDP/SAVI绑定表 | 运维基线 |
| 9 | 用户侧RA发送抑制 | 安全事件响应预案含"用户侧RA检测—定位—阻断"流程与演练记录 | RFC 6104/9099 |
03 · 网络层基线（9项）
| # | 配置项 | 基线要求 | 依据 |
|---|---|---|---|
| 10 | ICMPv6分级过滤 | 按RFC 4890消息类型分级：Type 1/2/3/4及链路段RA等必须放行；杜绝"全丢ICMPv6"配置；过滤伪造的Packet Too Big | RFC 4890/4443 |
| 11 | 扩展头处理基线 | 中间设备对齐RFC 7045透传要求与RFC 9288过滤建议（如丢弃已废弃的路由头类型）；违规组合按既定策略处置 | RFC 7045/9288 |
| 12 | 分片处理基线 | 丢弃重叠分片（RFC 5722）；首分片必须含完整头链与上层头（RFC 7112）；原子分片生成已废弃（RFC 8021），不依赖其工作 | RFC 5722/7112/8021 |
| 13 | uRPF源地址验证 | 核心与边界启用uRPF（BCP 38/84），与SAVI形成接入—网络双层源地址防线 | BCP 38（RFC 2827，经RFC 3704更新） |
| 14 | PMTUD保障 | 链路MTU统一规划；ICMPv6 Packet Too Big全程可达性纳入主动拨测 | RFC 8200/4890 |
| 15 | 路由协议安全 | IGP/BGP会话认证与前缀过滤；IPv6路由表项设规模告警（防泄漏/洪泛） | 运维基线 |
| 16 | 杜绝隐式双栈 | 收敛网段禁用v4地址获取（DHCPv4/IPv4LL），例外须清单登记 | 收敛基线 |
| 17 | IPv4隧道残留排查 | 全网核查6to4/Teredo/ISATAP启用状态并禁用（6to4任播中继已按RFC 7526废弃；受管网络禁用自动隧道见RFC 7123；Teredo无专门废弃RFC） | RFC 7526/7123 |
| 18 | ULA边界策略 | ULA流量不出收敛边界；ULA/GUA选择符合RFC 6724并文档化 | RFC 4193/6724 |
04 · 边界与翻译网关基线（12项）
| # | 配置项 | 基线要求 | 依据 |
|---|---|---|---|
| 19 | DNS64递归防护 | 执行合成的递归解析器纳入重点资产防护（访问控制、补丁、变更双人复核）；exclude名单版本化管理 | RFC 6147 |
| 20 | DNSSEC策略显式化 | 书面决策合成与签名验证的交互策略（仅未签名区域合成/验证器侧合成/拒绝合成三选一并文档化） | RFC 6147第6节 |
| 21 | 探测域名监测 | ipv4only.arpa探测应答纳入监测基线，异常应答（格式/来源不一致）告警 | RFC 7050/8880 |
| 22 | PREF64一致性核查 | 自动比对RA宣告PREF64、DHCPv6下发前缀与PLAT实际前缀，不一致即告警 | RFC 8781/6052 |
| 23 | 翻译前缀规范 | 仅使用RFC 6052 WKP（全局场景）或RFC 8215本地前缀；禁止自定义"类ff9b"前缀 | RFC 6052/8215 |
| 24 | NAT64会话韧性 | 会话表容量按峰值×冗余规划；每源限速；水位告警阈值明确 | RFC 6146/9099 |
| 25 | 网关DDoS联动 | 翻译网关纳入清洗中心高优先级保护对象；制定会话耗尽场景应急预案 | 运维基线 |
| 26 | 分片/扩展头一致性 | 网关分片重组与扩展头处理通过一致性测试集（继承子课题05方法） | RFC 7112/7045 |
| 27 | 日志贯通（CLAT↔PLAT） | 双翻译日志含时间戳、内网v6地址、合成v6地址、公网v4地址+端口，可跨点关联；留存周期满足合规 | 合规基线/RFC 6877场景 |
| 28 | 入站例外管控 | "出网翻译、入网例外"策略文档化；入站例外项逐一登记（业务、地址、期限） | 架构基线 |
| 29 | 网关自身加固 | 管理面隔离、最小化开放服务、双因子运维接入、版本与补丁SLA | 设备基线 |
| 30 | 翻译拨测探针 | 部署端到端翻译可用性探针（合成地址可达、代表性域名翻译验证），纳入SLO看板 | 运维基线 |
05 · 主机层基线（7项）
| # | 配置项 | 基线要求 | 依据 |
|---|---|---|---|
| 31 | 主机防火墙默认拒绝 | 收敛网段主机启用IPv6防火墙默认入站拒绝，按需放通——重建"默认可达"反转后的边界 | 主机基线 |
| 32 | 隐私地址治理 | 临时地址（RFC 8981）按默认或组织调度策略启用；审计走绑定表关联而非静态地址 | RFC 8981/8064 |
| 33 | CLAT受信配置 | 终端CLAT（如Android clatd）仅接受受信PREF64来源；禁止用户手工指定翻译前缀 | RFC 6877/8781 |
| 34 | 仅AAAA应用策略 | 新建应用验收标准含"无IPv4字面量/无IPv4 API依赖"检查（衔接第5页） | 应用基线 |
| 35 | 补丁SLA | 协议栈实现漏洞（历史案例见课题事件档案：CVE-2020-16898等）按高危补丁SLA执行 | MSRC/CVE档案 |
| 36 | RA信任面监控 | 受管终端上报RA异常（多默认路由、RDNSS突变）；EDR/NAC联动处置 | RFC 6104检测思路 |
| 37 | 双栈残留清零 | 收敛网段终端禁用IPv4协议栈（策略下发），例外清单化 | 收敛基线 |
06 · 监测层基线（5项）
| # | 配置项 | 基线要求 | 依据 |
|---|---|---|---|
| 38 | NDP异常检测 | 被动监听RA源/频率/RDNSS突变/异常DAD；告警联动接入层阻断 | RFC 6104/6583 |
| 39 | 翻译会话基线 | NAT64会话量、失败率、前缀分布建立基线，偏离告警 | 运维基线 |
| 40 | PMTUD黑洞拨测 | 周期性大包路径拨测，ICMPv6错误可达性量化 | RFC 4890 |
| 41 | 例外通道审计 | 残余双栈/入站例外通道流量单独建模与定期复核 | 收敛基线 |
| 42 | 演练科目固化 | 年度攻防演练必含：Rogue RA、DNS64投毒（桌面推演）、翻译网关会话耗尽（压测）三科目 | 演练基线 |
基线使用说明：42项基线中，标"高优先"的落地顺序为：1（RA-Guard）、10（ICMPv6分级）、22（PREF64一致性）、24（会话韧性）、27（日志贯通）、31（主机默认拒绝）——六项构成IPv6-only安全的最小闭环，其余项按网络分区滚动补齐。基线核查结果直接喂入第6页成熟度"安全度"评分。
本节参考来源（第4页）
IETF RFC 9099（运营安全考虑，基线框架依据）、RFC 9098（扩展头运营影响）、RFC 6105/7113（RA-Guard及加固）、RFC 7039（SAVI）、RFC 6583（NDP耗尽）：rfc-editor.org/rfc/rfc9099、rfc-editor.org/rfc/rfc9098、rfc-editor.org/rfc/rfc7113。
IETF RFC 4890（ICMPv6过滤）、RFC 4443（ICMPv6）、RFC 5722/7112/7045/9288/8021（分片与扩展头基线，其中扩展头过滤建议为RFC 9288）：rfc-editor.org/rfc/rfc4890、rfc-editor.org/rfc/rfc7112。
IETF RFC 6146/6147/6877/8781/7050/8880（翻译链路基线）、RFC 6052/8215（前缀规范）、RFC 7526（6to4任播中继废弃）、RFC 7123（受管网络禁用6to4/Teredo/ISATAP自动隧道建议）：rfc-editor.org/rfc/rfc6146、rfc-editor.org/rfc/rfc7123。
IETF RFC 8981/8064（隐私地址）、RFC 8106（RDNSS）、RFC 4193/6724（ULA与地址选择）、RFC 2827/3704（BCP 38/84源地址过滤）：rfc-editor.org/rfc/rfc8981、rfc-editor.org/rfc/rfc3704。
Microsoft MSRC CVE档案（协议栈实现漏洞补丁管理依据）：msrc.microsoft.com。