2024年，工信部发布了《关于开展“网络去NAT”专项工作 进一步深化IPv6部署应用的通知》，加速了国内网络由IPv4向IPv6的转型步伐。未来，各行各业将逐步去NAT，逐步向IPv6迁移。在此过程中，网络安全解决方案和产品能力将面临新的挑战，需要根据IPv6环境进行针对性的调整。 在当前的网络环境中，随着远程办公、物联网（IoT）和云计算的普及，企业网络边界逐渐模糊，传统的边界安全模型越来越难以应对。如何确保每次访问的合法性和安全性？尤其是在IPv4环境下，由于广泛应用的网络地址转换（NAT）和动态IP分配技术，导致设备IP频繁变化，甚至隐藏在多个设备之后。这不仅增加了溯源难度，还影响到对访问主体的可信度评估，产生了“无法确认你是你”的困境。 在这种背景下，零信任架构逐渐成为一种有效的安全策略。本文将重点探讨零信任架构与IPv6结合带来的安全提升，如何应对这一系列的挑战。

 

零信任架构简介

零信任架构是一种安全模型，其核心理念是“永不信任，始终验证”。与传统的“信任但验证”模型不同，零信任架构在设计时假设所有的网络流量，无论来自内部还是外部，都不可被信任。无论是用户、设备、应用程序还是服务，都必须经过严格的身份验证和授权才允许访问资源。市面上已经有各种文章介绍过零信任的基本概念，这里不过多赘述。  

IPv6网络的安全优势

IPv6是互联网协议的下一代版本，其最大特点是提供了一个极为庞大的地址空间（128位地址），相比IPv4（32位地址）能够支持更多的设备接入，解决了IPv4地址枯竭的问题。 IPv6不仅仅是地址空间的扩展，它还引入了多种增强的安全特性，包括：


更强的身份验证

IPv6网络可为每个终端配置全球唯一的“身份证”，可以应用到网络资产探测、流量综合分析及流量行为异常检测、资产唯一标识等场景。每个IPv6地址都是全球唯一的，且可以在不同的网络环境中分配，减少了IP地址碰撞的可能性。为通信双方提供数据完整性保护、数据内容的机密性验证、有限的数据流机密性保证和数据起源验证，并提供了抗报文重放保护。因而，可以将用户、报文和攻击一一对应，实现对用户行为的安全监控，在网络层实现端到端数据加密传输。

传输安全能力增强

IPv6支持IPSec（互联网协议安全性）协议，这为数据的加密和身份验证提供了原生支持，有助于提高数据传输的安全性。

监控、检测与溯源能力增强

IPv6网络可以规范地址管理策略，实现终端标识信息与位置信息的扩展、实现用户与IP绑定，禁止自生成地址和隐私扩展地址等。在威胁的检测和阻断方面，通过基于媒体访问控制(Media Access Control,MAC)地址或端口的阻断可以精确地识别和阻断威胁终端，通过五元组/三元组精准阻断威胁流量而不影响正常业务。IPv4网络中由于大量私网的存在，使得恶意行为很难溯源，在IPv6网络中，节点采用公网地址取代私网地址，每一个地址都是真实的，易于对威胁行为溯源。

随着IPv6在全球范围内的推广和部署，越来越多的企业开始过渡到IPv6网络环境中，这为零信任架构的实施提供了新的技术平台和可能性。