摘要

  • /64 的全量穷举依然不现实，但连续分配、低位短地址、IPv4 映射和 EUI-64 等习惯，会把有效搜索空间压缩成小得多的候选集合。
  • DNS、流记录、邻居缓存和主动探测各自只看见一部分网络；发现一个地址不等于证明设备身份，更不等于完成资产盘点。

很多 IPv6 网络的第一批地址，不是由密码学意义上的随机性生成的，而是由人的记忆生成的。路由器用 ::1，DNS 服务器用 ::53，Web 服务用 ::80，DHCPv6 从某个低位开始依次发号。每个决定都很方便，也都在回答同一个外部问题：值得先去哪里找。

Tim Chown 的两份 IETF 文档，恰好记录了行业对这个问题的认识变化。2008 年，他在 RFC 5157 中说明，IPv6 子网主机密度很低，沿用 IPv4 的暴力扫描效率会大幅下降。但该文没有把稀疏性写成安全边界：它明确提醒运营者，不要只靠地址不可预测性，并建议避免连续编号。

2016 年，Chown 与 Fernando Gont 合著 RFC 7707，正式取代 RFC 5157。变化不在算术。遍历一个 /64 的全部接口标识符，仍然不是常规扫描器能完成的任务。变化在问题本身：攻击者为什么要遍历全部空间？如果能先识别地址政策，或者从别的系统拿到已经出现过的地址，他只需生成一份候选表。

64 位长度，不等于 64 位未知

RFC 7707 列出的每一种缩减，都有明确前提。连续发放的 DHCPv6 地址，可能只剩 8 位或 16 位值得搜索。常见的低位地址把大量高位留作零，实际目标往往集中在 2^8 或 2^16 的范围内；文档给出的该类最坏情形也只是 2^24。把 IPv4 地址嵌进接口标识符，等于把候选范围交回较小的 IPv4 前缀。把服务端口写进地址，则把业务用途也变成了线索。

传统 SLAAC 使用 Modified EUI-64 时，接口标识符还可能暴露网卡厂商的 OUI 结构。知道厂商后，一些情形下的候选范围会收缩为 24 位；特定虚拟化平台的分配区间还可能更窄。这些数字不是普遍的“破解时间”，而是条件性上限。网络若没有采用该模式，模式就不会凭空出现。

因此，地址规划不只是资源管理表，它也是暴露面。分配规则决定了外部观察者可以从一个样本外推多少。一个可记忆地址填满的 /64，名义上很大，真正的未知量却可能很小。

RFC 8064 后来建议，把 RFC 7217 定义的稳定、语义不透明接口标识符作为 SLAAC 默认方案，避免嵌入稳定的链路层地址。这样可以在保留同一网络内稳定性的同时，降低跨网络关联、扫描和针对设备类型的利用风险。不过，“不透明”不是访问控制。只要服务出现在公开 DNS 或真实流量里，它仍然可见。

有些清单根本不靠扫描产生

公开 DNS 会主动告诉世界邮件中继和网站的 IPv6 地址。开放的区域传送、可猜的主机名、反向 DNS 树，都可能继续扩展清单。公开邮件归档、搜索索引和点对点协议，也会留下曾经活跃的地址。

到了本地网络，线索更多。邻居缓存保存同一链路上近期见过的节点；路由表和路由协议暴露前缀与基础设施；配置文件和日志记住依赖关系；IPFIX 记录经过某个导出点的源地址；SNMP、traceroute6 和被动流量观察各自提供新的观察位置。

这些数据不能混用成一个“真实资产数”。DNS 记录证明某个名称发布过某个地址，不证明服务此刻在线。IPFIX 只覆盖经过指定路由器的流量，既看不到从未发包的静默节点，也看不到别处的链路本地通信。邻居缓存有链路范围和老化时间。一次探测收到回应，只说明在某种报文与策略条件下该地址回应过；没有回应，可能是不存在，也可能是过滤、休眠或探测方式错误。

更关键的是，地址、设备、业务、责任主体和安全事件是五种不同的主张。把它们直接拼成一个结论，得到的不是情报，而是未经说明的推断。

防守方需要证明“没有漏”

攻击者找到一个目标就能获益，运营者却要解释清单之外还有什么。RFC 9099 因而把 IPv6 资产盘点明确列为安全运营问题。

该文给出的不是单一工具，而是互补视角。IPFIX 能高效发现经过观测路由器发包的节点，却遗漏静默节点和链路本地地址。邻居缓存可以补上特定链路的参与者。本地网段的全节点组播请求可能得到另一批回应。DNS、日志和服务发现继续补充，但仍然没有任何一项天然完整。

可用的控制方法是一套对账机制。IPAM 和 DHCPv6 租约说明“允许存在什么”；SLAAC 与路由通告政策说明“地址可能怎样形成”；邻居与交换网络观测说明“链路上出现过什么”；流量遥测说明“什么经过了某个边界”；DNS 与服务目录说明“组织公开了什么”；主动验证再回答“这个候选当前是否回应”。

真正有价值的是差异。观测到却没有分配记录的地址，可能是未纳管资产；分配过却从未观测到的地址，可能已过期、处于静默或落在盲区；公开 AAAA 记录没有负责人，可能是被遗忘的暴露面。但“可能”必须保留。差异是调查入口，不是自动归因。

Chown 的贡献在于把两种轻率判断一起排除：IPv6 既不是可以按 IPv4 方法完整扫完的小网，也不是凭借巨大空间就自动安全的黑箱。每种发现方法只能出具带有时间、位置和盲区的收据。

来源