01 · 治理基线总核查表（12域）
第4页42项基线按管理视角重组为12个核查域，用于管理层汇报与年度审计；每项核查结论分"通过/整改中/未启动"三态，自动汇总为第6页S1基线覆盖率。
| 域 | 核查域 | 覆盖基线项 | 责任方 |
|---|---|---|---|
| C1 | NDP与链路防护 | 基线项1—2、5—9 | 网络接入团队 |
| C2 | 地址配置权威治理 | 基线项3—4（RDNSS/PREF64可信源） | 网络架构团队 |
| C3 | ICMPv6与报文基线 | 基线项10—15 | 网络与安全团队 |
| C4 | 翻译前缀与解析链 | 基线项19—23 | DNS与网络团队 |
| C5 | 翻译网关与容量韧性 | 基线项24—26、29—30 | 网络与SRE团队 |
| C6 | 日志与溯源合规 | 基线项27 | 安全运营团队 |
| C7 | 例外通道管理 | 基线项16、28、41 | 架构与变更委员会 |
| C8 | 终端与主机基线 | 基线项31—37 | 终端/系统管理团队 |
| C9 | 隐私地址与审计关联 | 基线项32＋SAVI关联机制 | 安全运营团队 |
| C10 | 监测与拨测体系 | 基线项38—40 | SOC/NOC |
| C11 | 演练与应急响应 | 基线项42＋分支B/C处置预案 | 红蓝对抗团队 |
| C12 | 应用兼容验收 | 第5页A1—A6标准 | 研发与测试团队 |
02 · 工具生态
| 环节 | 工具/平台 | 用途与说明 |
|---|---|---|
| 协议验证 | THC-IPv6工具包、SI6 Networks IPv6 Toolkit、Chiron | NDP/RA攻击面验证、RA-Guard有效性测试（仅限授权环境使用；THC-IPv6自2011年起开源维护） |
| 翻译链验证 | 自研拨测探针＋公开检测服务（如test-ipv6.com类服务作辅助参考） | 翻译可用性、探测链验证、PMTUD黑洞拨测；第三方服务结果仅作旁证 |
| 地址测绘 | ZMap（IPv6目标扫描）、Nmap、IPv6 Hitlist Service（学术项目） | 收敛前后影子IPv6资产核查（继承子课题04方法） |
| 流量分析 | 具备IPv6感知能力的NetFlow/IPFIX采集、开源检测引擎（Suricata/Snort IPv6规则集） | 翻译会话基线、NDP异常、例外通道审计——评估现有引擎的翻译语义覆盖度 |
| 测量对标 | Google IPv6 Statistics、APNIC Labs、CNNIC/中国信通院公开数据、CAIDA | 部署度外部对标（口径差异须注明） |
| 配置核查 | 网络配置采集与合规平台（商用或自研，如基于NETCONF/YANG的采集） | 42项基线自动化核查、RA-Guard/SAVI覆盖率统计（S1/S2指标数据源） |
工具使用纪律：攻击面验证类工具（THC-IPv6等）仅可在自有或获书面授权环境使用；采购或自研的检测引擎上线前须验证其对"翻译后报文语义"（IPv4嵌入式地址还原、CLAT日志字段）的解析能力，避免"工具上线即盲区"。
03 · 六步实施路线
3.1 各步放行条件（Gate Criteria）
| 步骤 | 放行条件（Gate） |
|---|---|
| Step1→2 | 《残余IPv4依赖清单》经业务方会签；影子IPv6资产首轮核查完成 |
| Step2→3 | 42项基线差距分析完成；例外通道政策经变更委员会批准；PREF64决策文档化 |
| Step3→4 | 试点网段高优先六项基线全通过；A1—A6验收通过率达标（建议≥95%）；翻译拨测SLO连续4周达标 |
| Step4→5 | 收敛率过半（D1）；S1≥80%；首轮三科目演练完成且发现项有整改计划 |
| Step5→6 | 成熟度达L5特征且连续两个季度维持；残余例外均有到期日 |
04 · KPI与验收标准
- 安全KPI：S1基线覆盖率（季度，目标L4≥80%/L5≥95%）；S2 NDP防护覆盖率（目标100%）；S3翻译信任链一致性（季度核查100%通过）；演练发现项闭环率（年度≥90%）。
- 运行KPI：O1翻译可用性≥99.9%（组织自定）；O2 PMTUD黑洞率季度环比下降或维持低位；O3翻译类故障MTTR分段目标逐年下降。
- 交付KPI：例外通道台账覆盖率100%；审计日志贯通验证季度100%；兼容性验收报告随每次发布归档。
- 红线条款：任一红线触发即冻结收敛进度——①S3连续两季度不通过；②日志贯通验证失败；③演练发现高危NDP防护缺口未整改。
05 · 常见失败模式与对策
| 失败模式 | 对策 |
|---|---|
| "先上线再补基线"的路径依赖 | 把高优先六项基线设为试点放行条件（Gate机制），安全团队持有否决权 |
| 例外通道"临时变永久" | 例外台账强制到期日与季度复核；逾期自动升级至架构委员会 |
| 监测工具"上线即盲区" | 采购验收含"翻译语义解析能力"测试用例；每年复测 |
| 成熟度评估形式化 | 指标自动采集＋安全度一票降级＋快照留痕两年 |
| 组织内"进度竞赛" | 部署度权重低于安全度的评分设计；红线条款冻结机制 |
| 忽视终端能力碎片化 | BYOD/IoT兼容性实测前置；不可假设CLAT能力（第5页纪律） |
06 · 课题总结与展望
本子课题完成了IPv6-only演进安全的完整闭环：目标架构解构（第2页）→风险再评估（第3页）→分层基线（第4页）→兼容治理（第5页）→成熟度评估（第6页）→场景实践（第7页）→实施路线（第8页）。核心结论：IPv6-only的安全本质是"收敛质量"而非"收敛速度"——三支点（NDP防护、翻译信任链、ICMPv6治理）的基线完备性决定收敛形态是"攻击面收敛"还是"风险换壳"。展望三个方向：①翻译技术的进一步收敛（MAP族无状态方案的防护语义研究）；②IoT大规模单栈化下的轻量认证与微分段；③IPv6-only环境下的攻防演练标准化（三科目扩展为场景化演练矩阵）。本课题成果将随IETF 6man/v6ops标准演进与国家政策节点持续滚动更新——《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》已将"推进单栈技术攻关和部署应用"列为10个方面重点任务之一（含IPv6单栈组网架构攻关、单栈演进实施指南与能力评测体系），雄安IPv6单栈部署行动（2026年7月启动）提供了政策驱动型演进样板，组织路线设计应与该类政策节点对齐。
与其他子课题的衔接提示：实施过程中如遇到NDP防护机制选型（RA-Guard设备能力评估）、隧道残留排查、扩展头设备一致性测试、地址测绘工具链等专项问题，请回到子课题02—05的对应章节；本子课题提供的是"收敛形态"下的集成视图。
本节参考来源（第8页）
IETF RFC 9099（运营安全考虑）、RFC 9098（扩展头运营影响）、RFC 9386（企业部署指南，实施路线依据）：rfc-editor.org/rfc/rfc9099、rfc-editor.org/rfc/rfc9098、rfc-editor.org/rfc/rfc9386。
IETF RFC 6877/6146/6147/8781/7050/8880（翻译链工具与拨测口径）：rfc-editor.org/rfc/rfc6877。
THC-IPv6（van Hauser维护，GitHub开源）：github.com/vanhauser-thc/thc-ipv6；SI6 Networks IPv6 Toolkit：si6networks.com/tools/ipv6toolkit；ZMap：github.com/zmap/zmap。
中央网信办等三部门《深入推进IPv6规模部署和应用两年行动计划（2024—2025年）》（2023年）：cac.gov.cn；《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030年）》（中央网信委，2026年7月，单栈攻关与部署任务）：cac.gov.cn/2026-07/21/c_1786380789785396.htm；CNNIC：cnnic.cn；中国信通院：caict.ac.cn。
IPv6 Hitlist Service（学术项目）：ipv6hitlist.github.io；CAIDA：caida.org。