IPv6的普及正在改变互联网流量的构成。根据主要运营商的统计数据，国内移动网络的IPv6流量占比已经超过50%，部分场景甚至达到70%以上。对于高防CDN来说，这意味着相当比例的用户请求和攻击流量可能通过IPv6协议到达。如果清洗链路只适配IPv4，IPv6流量会成为防护盲区。
本文拆解高防CDN在双栈环境下的适配逻辑，说明IPv6场景下防护链路需要关注的三个环节，以及为什么“支持IPv6访问”和“支持IPv6防护”是两回事。
一、流量牵引：IPv6地址的解析与调度
高防CDN的流量牵引依赖DNS解析。在双栈环境下，域名需要同时配置IPv4（A记录）和IPv6（AAAA记录）的解析。用户的客户端根据自身网络环境选择使用IPv4还是IPv6访问。
流量牵引的第一个适配点是AAAA记录的解析调度。调度系统需要像处理A记录一样，根据各节点的实时负载、地理位置、运营商线路等因素，为IPv6用户返回最优的清洗节点地址。如果AAAA记录只返回一个固定的节点地址，或者调度精度低于A记录，IPv6用户的访问质量会明显下降。这与高防CDN的BGP Anycast就近接入中提到的路由层调度逻辑是配套的——Anycast负责路由层面的就近接入，DNS调度负责应用层面的节点分配，两者都需要在IPv6环境下完整适配。
流量牵引的第二个适配点是IPv6地址的归属判断。IPv4地址可以通过地理位置库和运营商库判断归属，IPv6地址的归属判断相对复杂——IPv6地址空间巨大，地址分配策略与IPv4不同。清洗中心需要具备IPv6地址的归属判断能力，才能准确识别攻击流量的来源地域和运营商。
二、协议解析：IPv6数据包的清洗处理
IPv4和IPv6的数据包格式不同。IPv6的包头结构、扩展头机制、地址长度都与IPv4有差异。清洗设备需要具备IPv6数据包的完整解析能力，才能对IPv6流量进行检测和过滤。
协议解析的第一个适配点是IPv6扩展头的处理。IPv6支持多种扩展头（Hop-by-Hop、Routing、Fragment、Destination Options等），攻击者可能利用扩展头的组合构造畸形数据包，绕过清洗设备的检测。清洗设备需要能够解析扩展头链，识别异常组合。
协议解析的第二个适配点是IPv6分片的处理。IPv6的分片机制与IPv4不同，分片信息存储在扩展头中。攻击者可能利用IPv6分片构造分片重叠攻击或分片洪泛攻击。清洗设备需要具备IPv6分片的重组和检测能力。
协议解析的第三个适配点是IPv6的邻居发现协议（NDP）防护。NDP是IPv6中替代ARP的协议，攻击者可能利用NDP发起邻居发现欺骗攻击，劫持流量。清洗设备需要具备NDP流量的检测和过滤能力。
三、清洗策略：IPv6攻击的识别与拦截
IPv6场景下的攻击类型与IPv4类似——DDoS洪泛、CC攻击、反射放大攻击都可能通过IPv6发起。但部分攻击手法在IPv6环境下有新的变种。
IPv6反射放大攻击。 IPv6环境下存在新的反射放大源，例如IPv6的DNS查询、DHCPv6服务、mDNS服务等。攻击者可以利用这些服务发起反射放大攻击。清洗设备需要具备针对IPv6反射源的识别能力。
IPv6地址扫描。 IPv6地址空间巨大，传统的地址扫描方式在IPv6环境下不再适用。攻击者可能通过DNS查询、日志泄露、邻居发现等方式收集IPv6地址。清洗设备需要监控异常的IPv6地址探测行为。
IPv6与IPv4的混合攻击。 攻击者可能同时通过IPv4和IPv6发起攻击，试图绕过只防护单一协议的清洗设备。清洗链路需要同时处理两种协议的流量，且策略保持一致。
| 环节 | 适配内容 | 关键问题 |
|---|---|---|
| 流量牵引 | AAAA记录解析、IPv6地址归属判断 | 调度精度是否与IPv4一致？ |
| 协议解析 | IPv6扩展头、分片、NDP | 是否支持完整的IPv6协议栈解析？ |
| 清洗策略 | IPv6反射源识别、地址扫描监控、混合攻击防护 | 策略是否与IPv4一致？ |
四、双栈环境的防护评估要点
评估高防CDN的IPv6防护能力时，需要确认以下事项。第一，是否支持AAAA记录解析。 域名能否通过IPv6访问，解析调度是否与IPv4同等精度。第二，清洗设备是否支持IPv6协议栈。 能否解析IPv6数据包、扩展头、分片，是否具备IPv6攻击的识别能力。第三，清洗策略是否双栈一致。 IPv4和IPv6的防护策略是否统一，是否存在防护盲区。第四，日志和监控是否覆盖IPv6。 攻击溯源和流量分析是否包含IPv6维度。
对于业务用户和攻击流量都涉及IPv6的场景，双栈防护能力是高防CDN防护方案的必备项。部分服务商的IPv6支持可能只覆盖内容分发，不覆盖安全清洗。评估时需要明确区分“支持IPv6访问”和“支持IPv6防护”，两者不是一回事。
五、结语
IPv6的普及正在改变高防CDN的防护边界。流量牵引需要支持AAAA记录解析和IPv6地址归属判断，协议解析需要覆盖IPv6数据包、扩展头、分片，清洗策略需要识别IPv6特有的攻击变种。双栈环境下的防护不是简单地“加一个IPv6地址”，而是需要清洗链路的完整适配。评估时确认服务商是否支持IPv6防护，比只看“是否支持IPv6访问”更能说明防护链路的完整性。
