本文目录导读：
IPv6邻居发现协议（NDP，Neighbor Discovery Protocol）是IPv6网络的核心机制，负责地址解析（类似ARP）、无状态地址自动配置（SLAAC）、路由器发现、重复地址检测（DAD）等关键功能，其设计之初并未充分考虑安全性,导致面临多种攻击威胁。
针对NDP的防护，可以从协议扩展、网络设备配置和监测与日常管理三个层面进行。
核心威胁概述
在讨论防护之前,先了解主要攻击类型：
- 邻居欺骗/地址解析欺骗： 伪造NA（邻居通告）或NS（邻居请求）消息,劫持IPv6流量。
- 路由器欺骗： 伪造RA（路由器通告）消息，伪装为默认路由器,将所有流量引向攻击者。
- 重复地址检测（DAD）拒绝服务： 持续对目标IP地址发送“占用”回应,使新节点无法获得有效地址。
- 路由信息伪造： 伪造RD（重定向）消息,误导流量路径。
核心防护方案
使用SEcure Neighbor Discovery （SEND）—— 最有效的协议级防护
SEND是RFC 3971定义的扩展机制,通过加密手段对NDP消息进行身份验证和完整性保护。
- 核心机制：
- CGA（Cryptographically Generated Addresses，密码生成地址）： 主机使用其公钥和辅助参数生成接口标识符（IPv6地址的后64位），这样,地址本身与公钥绑定。
- RSA/DSA签名： NDP消息附带发送者的数字签名,接收方可通过CGA验证签名。
- 授权证书（可选）： 路由器可使用X.509证书证明其授权角色。
- 防护效果： 能有效防御地址欺骗、路由器欺骗、DAD拒绝服务等,攻击者无法伪造合法的CGA地址签名。
- 部署挑战： 计算开销相对较大（虽对现代CPU影响不大），且需要全网设备（主机和路由器）支持SEND，当前在通用PC操作系统（如Windows、Linux）中默认未广泛启用,更多用于企业级或专用网络。
网络设备配置层面的防护（最广泛、最实用的方案）
在交换机、路由器等网络设备上通过配置ACL（访问控制列表）、过滤规则和特定功能来限制NDP行为。
-
RA Guard（ICMPv6 Type 134）—— 防御路由器欺骗：
- 原理： 在交换机或接入网关上配置，只允许从特定的、已信任的端口（连接到合法路由器的端口）接收RA消息，其他端口（如用户接入端口）接收到的RA消息会被丢弃。
- 效果： 阻止非授权设备发送虚假路由器通告。
- 注意： 必须确认RA Guard的生效位置配置正确，避免被绕过（如通过IPv6 in IPv6隧道）。
-
NDP Inspection —— 防御地址欺骗：
- 原理： 类似IPv4中的DAI（动态ARP检测），交换机监听NDP消息，建立一个合法的IPv6- MAC地址绑定表（通过DHCPv6监听或手动定义），对于非法的NS/NA/RA消息（如声明已绑定表中其他设备的IP，或使用非法的MAC）,交换机直接丢弃。
- 效果： 抵御地址欺骗,阻止中间人攻击。
- 常见厂商实现： 思科有IPv6 RA Guard和NDP Inspection（通常与DHCPv6 Snooping配合）；Huawei有ND Snooping；Juniper有NDP filtering等。
-
DHCPv6 Guard —— 防御DHCPv6攻击：
- 原理： 只允许从信任端口接收DHCPv6服务端（Server）报文,拒绝从用户端口伪装的DHCPv6服务器。
-
Router Advertisement Guard —— 细化RA过滤：
- 原理： 除仅允许特定端口外，还可检查RA消息中的特定参数（如管理地址配置标志值、首选/有效生存期等）是否在允许范围内。
-
IPv6 ACL精细控制：
- 原理： 在路由器或防火墙上，仅允许必要的ICMPv6类型（如NS/NA/RS/RA等）从受信任的源地址发出，拒绝未知源发送的更新、重定向等。
结合DHCPv6 —— 集中管理与限制
- 原理： 不使用SLAAC（无状态自动配置），而是让全网使用DHCPv6或DHCPv6-PD（前缀委派）集中分配地址和配置参数,这相当于将NDP中地址分配功能交给了可审计的集中管理服务器。
- 防护效果： 大大降低了地址随机性，并可在DHCPv6服务器上记录所有地址分配日志，攻击者即使发送假RA,也无法提供合法的DHCPv6地址分配。
- 注意： DHCPv6本身也有攻击面（需要DHCPv6 Guard防护）,但集中管理使安全边界更清晰。
持续监测与异常检测
- 使用网络监测工具： 部署NetFlow/sFlow/IPFIX等监测IPv6流量，关注突发的NA/RA/RS消息数量。
- 检测攻击特征：
- 某个MAC地址短时间内发送大量NS消息（扫描攻击）。
- 非路由器节点发送RA消息。
- RA消息中广告的MTU不合理或生存期过长/过短。
- 同一个IPv6地址被多个MAC地址声称（地址欺骗）。
- 日志审计： 启用设备对NDP相关日志的记录,定期审计异常事件。
不同场景下的选择建议
| 场景 | 推荐方案 | 原因 |
|---|---|---|
| 数据中心网络 | SEND + NDP Inspection + RA Guard | 高安全需求，设备可控，可强制启用SEND。 |
| 企业园区网 | RA Guard + NDP Inspection + DHCPv6 | 用户设备类型复杂，不一定都支持SEND，靠交换机层过滤胜于依赖主机。 |
| 运营商骨干网 | 路由认证（IPsec/BGPsec） + 设备ACL | 主要威胁来源是伪造的NDP和路由协议，应使用IPsec或认证头对关键NDP消息签名，并在边界过滤非必要的ICMPv6类型。 |
| 家用/小型网络 | RA Guard（部分路由器支持） + 防火墙 | 通常只能依靠路由器固件的安全策略，保持路由器固件更新，启用防火墙。 |
| IoT/嵌入式设备 | SEND + 硬件绑定 | 资源受限，但CGA成本可控；应确保设备使用唯一的、不可伪造的NDP地址。 |
总结与最佳实践
一个有效的NDP防护体系应该是纵深防御：
- 最上层先过滤： 在网络边界（如核心路由器、入网点）的ACL中，拒绝源地址不是链路本地地址的NDP消息（NDP必须使用链路本地地址）。
deny icmp any any nd-ns（非链路本地源）。 - 核心层集中防御： 在接入层交换机上部署RA Guard和NDP Inspection，这是最实用、部署成本最低的防线,可以阻挡绝大多数路由器和地址欺骗攻击。
- 管理层面收紧： 使用DHCPv6或有状态DHCPv6-PD替代SLAAC，集中管理地址分配，并开启DHCPv6 Guard。
- 高级别可叠加： 在必要的网络内部（如管理网段、关键服务器集群）启用SEND或IPsec AH对NDP消息进行密码学签名。
- 别忘了基操： 确保全网所有网络设备（路由、交换、主机）的操作系统、NDP栈、网络驱动都是最新版本,修复已知漏洞。
一句话总结： 最有效的攻击通常来自内部欺骗，在接入交换机上严格限制RA消息的来源端口（RA Guard）和绑定IPv6-MAC关系（NDP Inspection）是成本最低、效果最显著的基础防线；对于高安全等级环境，应强制全网启用SEND协议来根除伪造。
