CN
EN
在全球IPv4地址池的彻底枯竭背景下，IPv6规模化部署成为了不可逆转的趋势，IPv6不是简单的“地址变长”，其在协议设计、地址结构和安全规模上同IPv4存在本质差异，这导致了防火墙配置也存在差异。
在IPv4时代，NAT（网络地址转换）技术在一定程度上充当了“隐形防火墙”的角色，将内部网络与公网隔离开来。而IPv6的核心理念是“端到端通信”，每一台设备都可以拥有全球唯一的公网IPv6地址，这意味着设备直接暴露在公网之中。防火墙不再仅仅是“访问控制”工具，而是承担起了网络安全的“第一道防线”这一核心职责。
本文将系统梳理IPv4与IPv6防火墙配置的核心差异，提供主流操作系统下的实践指南，并探讨双栈环境下的安全策略设计，帮助读者构建一个安全、稳定、可扩展的下一代网络防火墙体系。
IPv4与IPv6防火墙的核心差异
地址结构与规则表达。IPv4地址为32位，通常表示为点分十进制（如`192.168.1.1`）；IPv6地址为128位，表示为冒号分隔的十六进制（如`2001:db8::1`）。这一差异直接反映在防火墙规则的书写上：
- IPv4规则：基于32位地址和子网掩码进行匹配。
- IPv6规则：基于128位地址和前缀长度进行匹配，支持更灵活的地址聚合与分段。
ICMP的“角色升级”
在IPv4中，ICMP常被视为“可选的辅助协议”，很多管理员出于安全考虑会选择直接屏蔽ICMP。但在IPv6中，ICMPv6是网络正常运行的核心协议——NDP（邻居发现协议）依赖ICMPv6完成路由器发现、地址解析和重定向等关键功能。
因此，IPv6防火墙不能简单地全部屏蔽ICMPv6，而必须有选择性地放行必要的ICMPv6类型（如133-137号类型），否则将导致网络功能异常。
NAT的“缺席”与安全模型重构
IPv4网络中，NAT天然隐藏了内部拓扑，使得外部攻击者难以直接定位内部主机。IPv6摒弃了NAT，强调端到端的透明通信，这要求防火墙必须从“基于NAT的被动防护”转向“基于策略的主动防护”。
这意味着：所有入站流量都需要明确的放行规则；出站流量的审计和管控变得更加重要；状态检测（Stateful Inspection）成为标配能力。
主流操作系统下的IPv6防火墙配置实践
Linux系统：iptables与ip6tables
Linux内核通过Netfilter框架同时支持IPv4和IPv6的包过滤。IPv4使用`iptables`命令，IPv6则使用独立的`ip6tables`命令。
基础配置示例（允许HTTP/HTTPS流量） ：
允许IPv6的HTTP（80端口）入站流量
ip6tables -A INPUT -p tcp --dport 80 -j ACCEPT允许IPv6的HTTPS（443端口）入站流量
ip6tables -A INPUT -p tcp --dport 443 -j ACCEPT允许必要的ICMPv6（切勿全部屏蔽）
ip6tables -A INPUT -p icmpv6 -j ACCEPT允许特定IPv6地址访问：
ip6tables -A INPUT -s 2001:db8::/32 -j ACCEPT设置默认拒绝策略：
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP规则持久化（重启后保留）：
apt install iptables-persistent
netfilter-persistent save配置文件通常存储在`/etc/sysconfig/ip6tables`（CentOS/RHEL）或通过`iptables-persistent`管理（Debian/Ubuntu）。
UFW（Uncomplicated Firewall） 是Debian/Ubuntu系更友好的前端工具，其规则默认同时应用于IPv4和IPv6（即“双栈”模式）。启用前需确认`/etc/default/ufw`中`IPV6=yes`。
Windows系统：高级安全防火墙
Windows Defender防火墙原生支持IPv6，规则配置可通过图形界面或PowerShell完成。
通过PowerShell添加IPv6规则：
允许来自特定IPv6子网的SSH（22端口）入站
New-NetFirewallRule `
-Name "Allow-SSH-From-IPv6-Subnet" `
-DisplayName "Allow SSH from 2001:db8::/32" `
-Direction Inbound `
-Protocol TCP `
-LocalPort 22 `
-RemoteAddress "2001:db8::/32" `
-Action Allow `
-Enabled True屏蔽特定IPv6地址
New-NetFirewallRule `
-Name "Block-IPv6-Address" `
-DisplayName "Block 2001:db8::bad:actor" `
-Direction Inbound `
-RemoteAddress "2001:db8::bad:ac70" `
-Action Block `
-Enabled True允许必要的ICMPv6类型
New-NetFirewallRule `
-Name "Allow-ICMPv6-Essential" `
-DisplayName "Allow Essential ICMPv6" `
-Direction Inbound `
-Protocol ICMPv6 `
-IcmpType 133,134,135,136,137 `
-Action Allow `
-Enabled True通过图形界面配置：
1. 打开“高级安全Windows防火墙”（运行`wf.msc`）
2. 选择“入站规则”或“出站规则”
3. 点击“新建规则” → 选择“自定义”
4. 在“协议和端口”步骤中，协议类型选择“IPv6”
5. 在“作用域”步骤中配置远程IP地址
通过netsh命令（传统方式）：
cmd
netsh advfirewall firewall add rule name="Allow IPv6 HTTPS" protocol=TCP dir=in localport=443 remoteip=::/0 action=allow 从IPv4到IPv6的演进，是网络架构理念和安全模型的深刻变革。防火墙配置逻辑必须随之升级——从“依赖NAT的被动隐藏”转向“基于策略的主动防御”。
