01 · 边界过滤基线：隧道流量的默认拒绝
1.1 默认阻断清单
过渡技术治理的第一道防线在边界。RFC 9098（IPv6运营安全考虑）将"对不需要的过渡机制进行显式过滤"列为运营安全基本动作。结合第3页分析，边界默认策略应为：
| 流量类型 | 建议默认策略 | 依据/说明 |
|---|---|---|
| IPv4协议号41（6in4/6to4/ISATAP封装） | 入站+出站双向拒绝 | RFC 7526（6to4任播中继废弃）、RFC 9098过滤要求及Teredo事实弃用共识（Windows 10 1803+默认禁用）；例外仅限白名单6in4互联 |
| UDP 3544（Teredo） | 入站+出站双向拒绝 | Teredo无废弃RFC但已被主流平台事实弃用；边界阻断是消除其隐蔽通道面的结构性措施 |
| 外部PREF64前缀入站 | 拒绝 | 防止地址语义混淆；内部翻译前缀使用网络特定前缀（RFC 6052） |
| 合法6in4隧道（例外） | 精确白名单（固定对端） | RFC 4213要求手工隧道使用IPsec保护；例外策略须经审批并监测 |
1.2 例外流程的双要件
任何隧道例外须同时满足：①技术要件——固定对端地址、IPsec保护（RFC 4213）、流量特征文档化；②管理要件——申请审批、有效期、复审机制、流量基线监测。缺任一要件即视为违规放行。该流程与第3页§05.2一致，应写入组织的安全策略文件而非停留在口头约定。
02 · 手工隧道与隧道代理安全
2.1 6in4隧道的安全要求
6in4（IPv4协议41）是早期IPv6骨干互联的常见形式，RFC 4213安全考虑章节明确要求：手工配置的隧道应使用IPsec保护——未受保护的隧道报文可被沿途任意节点观察与篡改。现实运营中需额外关注：①隧道两端设备的固件/系统补丁基线；②隧道接口的MTU配置与PMTUD表现；③隧道流量是否纳入与物理链路同级的监控。
2.2 隧道代理（Tunnel Broker）服务的风险点
公共隧道代理服务（如Hurricane Electric免费提供的Tunnelbroker等，以服务商官方说明为准）使组织可经IPv4快速获得IPv6接入。风险点包括：①账号凭证即网络入口——凭证泄露等于向攻击者开放经代理的IPv6通道；②代理分配的IPv6前缀（常为/48）若被滥用（垃圾邮件、攻击溯源至组织），声誉与合规风险由注册方承担；③经代理的入站流量绕过组织既有IPv4边界策略——衔接第2页的等价性核查：使用隧道代理获得的v6入口必须纳入防护体系，而不是作为"测试通道"游离在策略之外。
治理红线：生产环境中使用公共隧道代理仅应作为临时过渡手段；任何长期依赖须评估替代方案（双栈接入或翻译服务）。隧道代理账号启用多因素认证（如服务商支持）、定期轮换凭证、监控前缀宣告（BGP层面）与异常出向流量。
03 · NAT64/PLAT网关加固基线
3.1 设备级基线
- 高可用与会话保持：PLAT故障即大片用户断网——主备/集群部署、状态同步、灰度升级流程；
- 状态资源防护：每用户会话配额、新会话速率限制、状态表水位告警、畸形报文丢弃计数监控；
- ALG策略显式化：默认无ALG（RFC 6146语义），逐应用评估是否启用ALG或改走代理；
- ICMP忠实转换验证：按RFC 7915验证Packet Too Big/Destination Unreachable的端到端传递——这是PMTUD与故障诊断的生命线；
- 分片处理核查：翻译引入的头部尺寸变化与分片重组策略需经测试矩阵验证（衔接子课题05中间设备一致性测试方法）；
- DDoS弹性：网关自身成为攻击焦点——上联清洗、ANYCAST部署（大型网络）、控制面防护。
3.2 CLAT侧基线（464XLAT）
- 终端CLAT组件版本纳入基线管理；
- CLAT与PLAT的会话超时参数协调，避免双层状态错配引发的间歇断连；
- MTU/MSS钳制策略验证（翻译开销+可能的隧道叠加）。
04 · IPv4-mapped地址与双栈套接字边界
双栈套接字（绑定:::的IPv6监听套接字）可经IPv4-mapped地址（::ffff:a.b.c.d）接受IPv4连接，其处理细节历史上引入过多类安全问题（不同内核对v4-mapped报文的校验差异）。运营核查要点：
- 监听面审计：枚举全部监听套接字及其v6only标志（ss -lntup输出中的v6only列），确认与预期一致；
- 日志规范化：应用日志统一将::ffff:a.b.c.d规范化为a.b.c.d表示，避免同一连接两种表示造成的审计混乱；
- 访问控制一致性：基于v4地址的ACL对经映射地址进入的连接是否同样生效，须在授权环境实测验证。
05 · 日志、审计与合规要求
5.1 翻译映射日志的最小字段集
翻译网关是IPv6-only网络中IPv4可达性的唯一汇聚点，其映射日志是审计与溯源的唯一完整凭据。建议最小字段集：内部IPv6五元组、外部IPv4五元组、映射建立/拆除时间戳、用户/前缀标识、协议类型、字节计数。464XLAT场景下CLAT与PLAT日志需可关联（时间同步精度与关联键设计）。
5.2 合规要点
- 日志留存：《网络安全法》第21条要求采取技术措施监测、记录网络运行状态与网络安全事件，相关网络日志留存不少于六个月——翻译映射日志作为网络运行日志适用该要求；
- 溯源连续性：映射日志的完整性直接决定"从外部IPv4地址溯源到内部IPv6用户"的能力，日志缺口等同于溯源断链；
- 时间同步：全网设备统一可信时间源（NTP/PTP），否则跨设备日志关联失真；
- 隐私最小化：映射日志含用户行为信息，访问权限、脱敏与留存周期需在合规框架内明确（衔接《个人信息保护法》要求）。
5.3 审计核查清单
- □ 映射日志字段完整性抽测（每月抽样回放会话可还原）；
- □ 日志留存周期合规核查（≥6个月）；
- □ 时钟同步状态核查；
- □ 日志访问权限与审计；
- □ 网关配置变更审计与双人复核。
06 · 双栈策略一致性审计流程
07 · 研究边界小结
- 本章基线综合RFC 4213/6146/6052/9098与《网络安全法》要求整理；具体设备实现以厂商文档为准。
- 过渡网关与边界是"收敛后的信任焦点"：隧道阻断、网关加固、映射审计三件事做好，过渡技术风险即收敛为可管理状态。
- 下一页转入案例实证与检测方法——用公开案例检验本章基线的有效性。
本节参考来源（第6页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
IETF RFC 4213（手工隧道及IPsec要求）：rfc-editor.org/rfc/rfc4213。
IETF RFC 9098《Operational Security Considerations for IPv6 Networks》（2021，过渡机制过滤要求）：rfc-editor.org/rfc/rfc9098。
IETF RFC 6146（NAT64）、RFC 7915（IP/ICMP翻译算法）：rfc-editor.org/rfc/rfc6146、rfc-editor.org/rfc/rfc7915。
IETF RFC 6052（Well-Known Prefix与地址过滤考虑）：rfc-editor.org/rfc/rfc6052。
Hurricane Electric Tunnelbroker（公共隧道代理服务，以官方说明为准）：tunnelbroker.net。
《中华人民共和国网络安全法》（2017年施行）第21条（日志留存不少于六个月）：官方发布渠道。