IPv6 暴露面检查
IPv4 侧防护完善不等于整体安全。很多环境只在 IPv4 上做了访问控制与防护策略，而服务依然双栈监听，域名也配置了 IPv6 解析记录，于是 IPv6 侧成为一条没有策略覆盖的通道，绕过原有的限制。检查要确认三件事：域名是否存在 IPv6 解析、关键服务是否双栈监听、防火墙与防护设备是否有对应的 IPv6 规则并实际生效。
基本信息
| 核查内容 | 域名解析记录、双栈监听状态、防火墙 IPv6 规则 |
|---|---|
| 主要风险 | 防护策略只在 IPv4 生效，IPv6 直达目标 |
| 检查方法 | 按域名与端口在 IPv6 侧复测可达性 |
| 修复方向 | IPv6 规则与 IPv4 同步维护，保持策略一致 |
典型使用场景
- 对外站点：域名同时解析到 IPv6 地址，外部可直连
- 内网服务：主机自动获得 IPv6 地址，同网段可互相直达
- 管理通道：管理界面仅限制了 IPv4 来源，IPv6 未受限
- 负载均衡与内容分发：边缘节点放行策略差异造成双侧不一致
- 云环境：安全组与子网策略只覆盖一种地址族
- 隧道接入：主机经隧道机制获得 IPv6 能力，即使网络未部署原生 IPv6 也可能出现绕过策略的通道
检查示例
检查示例
curl -6 -sI https://target.example/ | head -5 # 强制走 IPv6 访问
# 对比 IPv4 与 IPv6 的响应差异，确认策略是否双侧一致
dig AAAA target.example +short # 查看解析记录
# 对关键端口在 IPv6 侧复测暴露面（授权范围内、限速）
# 记录：可达地址族、响应差异与端口状态双侧对比检查项
| 检查项 | IPv4 侧 | IPv6 侧关注点 |
|---|---|---|
| 域名解析 | 地址记录 | 是否有对应解析并指向真实地址 |
| 服务监听 | 常见配置完备 | 是否双栈监听而策略缺失 |
| 访问控制 | 规则较完整 | 规则是否同步维护并生效 |
| 防护设备 | 策略覆盖 | 是否支持并启用同等级策略 |
修复思路是保持策略一致：新增或变更访问控制时，两种地址族同步维护，并在变更流程中把 IPv6 作为必查项。
内网主机常自动获取地址：即使没有专用规划，终端之间也可能建立 IPv6 直连，分段限制需要在两种地址族上同时落地。