双栈与过渡技术安全第02页：双栈架构安全模型与等价性核查

01 · 双栈机制回顾与安全语义

1.1 双栈的基本形态

双栈（Dual-Stack）指主机或路由器同时运行完整的IPv4与IPv6协议栈（RFC 4213）。双栈节点同时拥有两类地址：IPv4地址与一组IPv6地址（链路本地fe80::/10、全球单播或唯一本地地址、以及可能的临时地址）。应用层服务通常在两个协议族上分别监听，客户端则按地址选择策略（RFC 6724，取代RFC 3484）与Happy Eyeballs算法（RFC 8305，见第5页）决定实际使用的连接路径。RFC 8504（IPv6节点要求）与RFC 9098均要求：支持IPv6的节点在双栈环境中必须显式管理两套配置，而不是假设"一套策略自然覆盖另一套"。

1.2 双栈引出的五个关键安全语义

1.3 "影子IPv6资产"的形成机制

双栈环境下最常见的治理痛点是影子IPv6资产：业务方并未感知、安全团队未纳管的IPv6可达入口。形成路径包括：①域名同时存在A与AAAA记录，而安全设备只监测A记录指向的v4入口；②操作系统与中间件默认监听v6（如Linux默认sshd同时监听:::与0.0.0.0）；③CDN/云负载均衡自动分配v6入口而源站策略未同步；④容器编排与Service Mesh的双栈默认配置。RFC 9098明确将"双栈部署中的地址与监听审计"列为运营安全的基本动作。资产发现方法与子课题04的测绘流水线衔接（多源AAAA收集+主动探测验证）。

02 · 双栈安全等价性核查清单

等价性核查是本课题的核心交付物。以下清单覆盖八大防护域，每域给出"IPv4常规覆盖—IPv6常见缺口—核查方法"三列，可直接用于企业自查（自动化核查脚本思路见第8页）。

03 · 默认启用与"看不见的监听"

3.1 操作系统的双栈默认行为

主流操作系统在现代版本中默认启用IPv6且优先使用：Windows自Vista起默认启用IPv6（并曾默认启用Teredo隧道组件，见第3页）；Linux主流发行版默认启用IPv6内核栈与SLAAC；macOS/iOS亦默认启用并支持优先使用IPv6（Happy Eyeballs）。这意味着"没有IPv6规划"不等于"没有IPv6暴露"——只要链路内出现RA（无论合法与否），主机即可自动获得v6连通性。RFC 9098建议：不打算启用IPv6的组织应显式禁用并监测异常启用，而非依赖默认关闭。

3.2 双栈套接字与IPv4-mapped地址

应用经IPv6双栈套接字（如Linux上绑定:::）可同时接受v4与v6连接，其中v4对端以IPv4-mapped地址（::ffff:a.b.c.d）表示。该设计的副作用包括：①应用与日志若未规范化映射地址，会出现"同一连接两种表示"的审计混乱；②历史上不同系统对v4-mapped报文的处理差异引入过安全问题，现代内核普遍收紧；③仅监听:::而误以为"只开了v6"是常见误判。核查要点：枚举全部监听套接字（ss -lntup / netstat），同时记录v4与v6绑定状态，并确认IPV6_V6ONLY行为符合预期。

3.3 临时地址与审计适配

隐私扩展临时地址（RFC 8981）下，主机会对外使用随时间轮换的临时地址。防御侧含义：基于长期IP封禁/白名单的控制在v6上失效，审计必须转向"身份（账号/证书/设备指纹）+ 行为"关联；企业网可选择策略化关闭临时地址以换取审计连续性，但需评估隐私影响（RFC 9098建议组织在隐私与审计之间明确策略并文档化）。

3.4 DNS解析面：双栈资产的"第一道门牌"

双栈可达性首先由DNS决定：域名同时发布A与AAAA记录，客户端才会获得两栈连接选项。由此产生三项审计要求：①记录完整性监测——对全部自有域名持续采集A/AAAA记录及其变更，AAAA记录的任何新增/删除/指向变化都应触发安全流程（AAAA指向何处，等于宣告v6入口开在哪里）；②解析一致性核查——多解析点（本地递归、公共递归、分地域）交叉验证A/AAAA应答一致，防范解析操纵（第5页"解析一致性"指标）；③加密DNS治理——终端经DoH/DoQ绕过组织解析器时，上述监测与DNS64合成均失效，应结合DDR/DNR（RFC 9462/9463）将终端引导至网络指定解析器（第4页翻译链治理衔接）。

04 · 等价性核查方法论（五步）

4.1 关键度量指标

• 策略等价率：已核查防护域中"等价"项占比；目标值100%，"缺口"项必须为0。
• 影子资产率：资产台账中未纳入任一防护体系的v6入口占比。
• 双栈流量不对称度：按协议族统计的入/出流量比异常（如某服务v4流量正常而v6流量趋零，可能意味着v6入口失效或未被使用——反之亦然）。
• v6日志完整率：v6会话日志中包含完整五元组（含源/目的v6地址）的比例。

4.2 常见误配置模式（基于公开运维文献归纳）

• "IPv6默认放行"策略：早期为求连通性在v6侧配置any-any，演进后无人收敛。
• ICMPv6两极化：全丢（破坏PMTUD与NDP，违反RFC 4890）或全放（放大NDP攻击面）——正确做法是按消息类型分级放行。
• 只监测A记录：DNS监控与威胁情报流程仅覆盖IPv4解析，AAAA变化无感知。
• 扫描器单栈：漏洞扫描平台未配置v6地址段，影子资产从未进入扫描范围。

05 · 双栈绕过攻击面分析（概念级）

按本课题合规边界，此处仅以概念方式描述绕过逻辑，用于指导核查优先级，不提供可复用攻击步骤：

• 协议族选择绕过：攻击者优先探测v6入口（通常防护较弱），成功后全程经v6交互，v4侧严密的WAF/IPS形同虚设。
• 准入绕过：v4准入依赖DHCP登记，而v6 SLAAC无需登记——未授权设备可自动获得地址并访问"仅v6可达"的内网系统。
• 审计绕过：出口仅审计v4代理，v6流量直连出网导致敏感操作无日志。
• 回退操纵：对v6路径注入劣化信号迫使客户端回退v4（详见第5页路径操纵分析）。

06 · 研究边界小结

• 本章核查清单适用于组织自查与第三方评估；涉及主动探测与测试载荷的步骤须在授权环境执行。
• 双栈等价性是持续状态而非一次性项目：策略变更、新业务上线、云资源配置漂移都会引入新的缺口，需将核查纳入变更管理流程。
• 下一页转入自动隧道技术安全——这是双栈之外另一大类"边界可穿透"风险来源。

本节参考来源（第2页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。