| 加固项 | IPv6 路由通告防护 |
|---|---|
| 适用平台 | Linux（静态地址或不用 IPv6 的主机） |
| 风险等级 | 中 |
| 基线 | accept_ra=0；accept_redirects=0（all/default，IPv6） |
核查与加固
核查与加固
sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.all.accept_redirects
cat >> /etc/sysctl.d/99-hardening.conf <<'EOF'
net.ipv6.conf.all.accept_ra = 0
net.ipv6.conf.default.accept_ra = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
EOF
sysctl --system依赖 SLAAC 自动获取地址的网络里 accept_ra=0 会让主机失去 IPv6 地址与默认路由；云上变更前在测试机验证。