悉思IPv6边界防护能力正式上线

悉思正式上线IPv6边界防护能力。IP黑名单补齐IPv6单地址与网段的完整匹配能力，可信代理列表机制同步上线，直连IP判定成为来源识别的统一前提。网络边界防护在IPv4与IPv6双栈环境下形成完整闭环，伪造代理头绕过黑名单的路径被结构性封堵。

发布背景

IPv6的流量占比持续上升，边界防护若只覆盖IPv4，恶意来源即可借道IPv6绕过名单。来源识别还面临代理头伪造问题：无条件信任转发头中的客户端地址，会让黑名单建立在可伪造的数据上。本轮升级同时解决匹配盲区与识别可信两个问题。

功能详情

具体来看，IPv6匹配方面是黑名单支持单地址与CIDR网段，可信代理列表方面是登记可信代理后才采信转发头，直连判定方面是来源识别以直连地址为统一锚点，域名级配置方面是可信代理支持按站点隔离配置，

• IPv6匹配：黑名单支持单地址与CIDR网段
• 可信代理列表：登记可信代理后才采信转发头
• 直连判定：来源识别以直连地址为统一锚点
• 域名级配置：可信代理支持按站点隔离配置

操作路径可以概括为一条主线：IPv6匹配：黑名单支持单地址与CIDR网段，随后可信代理列表：登记可信代理后才采信转发头，随后直连判定：来源识别以直连地址为统一锚点，随后域名级配置：可信代理支持按站点隔离配置。整条路径的操作成本不高，按顺序执行即可完成完整配置。

可信代理机制的设计原则是先确认链路可信再采信转发信息：直连地址命中可信列表时，转发头中的客户端地址才作为识别结果，否则一律按直连处理。上CDN或走负载均衡的站点把代理网段配入列表即可恢复真实来源识别。

使用方式

• 黑名单管理界面录入IPv4与IPv6的地址或网段；
• 经代理接入的站点在安全配置中登记代理网段；
• 日志分析的可疑来源可直接发起拉黑；
• 名单变更实时生效无需重启。

可信代理的配置建议精确到代理服务商的回源网段，过宽的可信范围会引入伪造空间。直连部署的站点保持空列表即获得最严格的判定标准。

双栈适配说明

IPv6防护的适配覆盖地址处理的完整链路：名单录入支持双栈格式，地址比较前做规范化统一，网段匹配按各自协议的位数语义执行。日志记录的地址形态保持双栈兼容，分析统计不因协议差异产生口径分裂。双栈适配的完整性让防护能力覆盖全部流量形态，IPv6不再是安全体系的短板。

名单治理说明

黑名单的治理建议建立常规机制：名单条目的拉黑依据留痕，误封的申诉与解封流程顺畅，长期条目的有效性定期复核。名单膨胀会带来维护成本与误封风险，治理机制让名单保持精准。自动拉黑与人工复核的组合，是名单治理在效率与准确之间的平衡选择。

适用场景与后续计划

边界防护能力适用于全部对外提供服务的站点，双栈环境与代理链路环境是本轮升级的直接受益场景。悉思开发团队表示，边界防护将与日志分析持续联动：可疑来源的发现、拉黑、验证形成闭环操作流，名单的有效性数据也将可视化呈现。访问边界的安全水位将随防护体系的建设持续抬升。