内网 IPv6 的典型问题
内网 IPv6 的风险多数来自被忘记的启用：操作系统默认可能已开启 IPv6 并自动获取地址，而防火墙、访问控制与资产台账仍只按 IPv4 规划。结果是终端和服务之间存在一条不受既有策略约束的通道。检查要确认三件事：地址从哪来、路由通告由谁发出、访问控制是否覆盖这一栈。
基本信息
| 核查对象 | 路由通告来源、地址分配方式、访问控制规则 |
|---|---|
| 风险 | IPv6 通道绕过既有 IPv4 侧防护 |
| 常见成因 | 系统默认启用，网络侧未做规划 |
| 处置方向 | 统一规划启用，或按规范关闭非必要启用 |
| 配套要求 | 防火墙规则与资产台账需同时覆盖 |
典型使用场景
- 网络基线核查：确认内网是否存在无规划的 IPv6 使用
- 策略一致性评估：核对两栈的访问控制规则是否等效
- 终端抽样检查：确认终端是否自动获取到可用地址
- 变更前评估：关闭或规划 IPv6 前摸清现有使用情况
- 长期监控：把 IPv6 启用状态纳入定期的网络基线核查
检查要点
检查要点
1. 抽样终端与服务器，查看是否存在自动配置的地址
2. 核查交换机与路由设备的路由通告配置策略
3. 核对两栈防火墙规则的一致性，找出只覆盖单栈的条目
4. 确认地址分配与台账是否包含 IPv6 记录
5. 输出：启用现状、双栈差异与收敛建议检查项与判定
| 检查项 | 正常情况 | 异常信号 |
|---|---|---|
| 地址获取 | 按规划分配或明确关闭 | 终端普遍存在自动配置地址 |
| 路由通告 | 由受控设备统一发布 | 存在非受控来源的通告 |
| 访问控制 | 两栈规则等效 | 仅 IPv4 有规则，另一栈默认放行 |
| 资产台账 | 包含两栈记录 | 台账只有 IPv4 地址 |
| DNS 记录 | 两栈解析一致 | 存在未登记的 AAAA 记录 |
IPv6 的风险点在于被忘记的启用：把它纳入网络基线定期核查，比一次性清理更能防止问题回潮。
只查服务器会漏掉主要暴露面：终端数量大、自动配置比例高，抽样要以终端为主。