IPv6 恶意路由器通告：NDP 欺骗机制与三层 VPN 防御

向 IPv6 的演进深刻重构了客户端操作系统发现本地网络拓扑的方式。在传统的 IPv4 架构中，网络发现依赖于广播式的 ARP 查询与中心化的 DHCP 租约分配；而在 IPv6 中，这一职能由邻居发现协议（Neighbor Discovery Protocol，简称 NDP）接管。NDP 在 RFC 4861 中被标准化，构建于 ICMPv6 协议之上，集中管理链路层地址解析、路由器发现、链路前缀确认以及无状态地址自动配置（SLAAC）。

尽管 NDP 简化了终端设备的接入体验，但其底层协议设计建立在一个脆弱的假设之上：本地二层广播域内的节点具有天然互信。连接到同一局域网广播域的任意主机，均可自由广播未经请求的 ICMPv6 路由器通告（Router Advertisement，简称 RA）报文。

当攻击者在局域网内散布伪造的 RA 报文时，相连的计算设备会自动将攻击者设备设为默认出口网关。如果终端缺乏严格的内核路由锁定，原本应受保护的双栈网络流量将直接经由恶意网关未加密转发，导致敏感传输被侦听与分析。

无状态自动配置与 IPv6 邻居发现协议的信任模型

在 IPv4 环境中，网络分配依赖显式的状态跟踪。DHCP 服务器集中维护地址池，校验客户端 MAC 地址并分发租约。IPv6 的 SLAAC 机制取消了对集中租约表的依赖，允许主机自主生成 128 位 IPv6 单播地址。

当支持 IPv6 的网络接口接入物理链路或无线 Wi-Fi 时，系统会自动在 fe80::/10 范围内生成链路本地地址（Link-Local Address）。为获取上行路由路径，主机向所有路由器组播地址 ff02::2 发送 ICMPv6 133 型路由器请求（Router Solicitation，简称 RS）。合法的局域网路由器收到后，向所有节点组播地址 ff02::1 回复 ICMPv6 134 型路由器通告。

RFC 4861 标准制定于局域网物理边界相对封闭的时期，未引入强制性的密码学身份认证或数字签名机制。在咖啡厅、公共 Wi-Fi、校园网或企业 VLAN 中，任何主机都有权向整个链路声明自己为默认网关。操作系统内核直接在网络子系统中解析处理 134 型报文，无需管理员确认即可静默修改路由表项。

ICMPv6 路由器通告报文剖析：标志位、前缀与计时器

标准 ICMPv6 路由器通告报文由 8 位类型字段（值固定为 134）、8 位代码字段（0）、16 位校验和及 8 位当前跳数限制（Cur Hop Limit）构成。报文头部包含直接指挥客户端网络行为的核心标志位：

• 托管地址配置标志（M 位）： 通知客户端必须通过有状态的 DHCPv6 协议获取正式地址。
• 其他配置标志（O 位）： 指示主机向 DHCPv6 询问其他网络参数，如 NTP 时间同步服务器。
• 默认路由器优先级（Prf 位）： 由 RFC 4191 规范化，使用 2 位定义优先级：低（11）、中（00）或高（01）。
• 路由器生存时间（Router Lifetime）： 16 位整数，定义该路由器作为默认网关的有效秒数（0 至 9000）。设置为 0 则指示主机将其从默认路由表中剔除。

在 16 字节的固定头部之后，RA 报文可按需挂载可变长度的选项字段：

通过精心编排上述字段，局域网内的攻击者能够精准重塑所有相邻主机的通信路由与域名解析路径。

威胁模型：恶意 RA 报文如何劫持操作系统路由表

恶意路由器通告通常分为两类诱因：内部配置失误（例如本地虚拟机或热点共享错误桥接）与恶意定向攻击。利用 scapy 或 radvd 等网络工具，攻击者可在局域网内洪泛高优先级的 ICMPv6 RA 报文，实施两类截获手法。

强制 SLAAC 重新编址与默认网关优先抢占

攻击者构造并持续广播具备下列属性的 RA 报文：

1. 路由器优先级字段设为高（Prf = 01）。
2. 路由器生存时间设为 1800 秒。
3. 挂载包含恶意 /64 前缀的 PIO 选项，启用自主（A）与链路可达（L）标志。

受害者操作系统内核接收后，立即将攻击者的链路本地地址（如 fe80::dead:beef:cafe）装载为最高优先级的系统默认网关。同时，主机自动生成属于恶意前缀的全局单播 IPv6 地址。

由于主流系统均在 RFC 8305 Happy Eyeballs 算法驱动下优先走 IPv6 链路，外发的 HTTPS、SSH 以及 API 流量将立即倒向攻击者控制的网关。攻击者启用内核转发（sysctl -w net.ipv6.conf.all.forwarding=1）后，即可在代理层记录 TLS SNI、目的主机 IP 及明文元数据。

恶意 RDNSS 注入：在传输层加密前截获 DNS 请求

RFC 8106 规范允许 RA 报文通过 RDNSS 选项直接为终端下发 DNS 服务器地址。攻击者在选项中填入自建的恶意 IPv6 解析服务器。

受害者发起域名解析请求时，恶意解析器将提供伪造的地址记录。由于此项注入发生在底层网卡自动配置阶段，它常会覆盖静态配置的 IPv4 DNS。

若客户端未对网络层实施双栈加密封装，初期的 DNS 解析将直接在局域网内泄漏。关于局域网链路攻击的更深入分析，可参考ARP 欺骗与缓存中毒防御指南。

NDP 缓存中毒：操纵邻居通告与路由器生存时间

除抢占网关外，攻击者还可借助 ICMPv6 邻居通告（Neighbor Advertisement，简称 NA）污染本地映射表。NDP 使用 135 型邻居请求与 136 型邻居通告完成 IPv6 地址到以太网 48 位 MAC 地址的解析。

攻击者向目标设备定向发送未经请求的 NA 报文，并将覆盖标志位置位（O = 1）。受害者操作系统内核收到后，会直接刷新链路层地址（LLA）缓存，将合法网关的 IP 地址绑定到攻击者的物理 MAC 地址上。

[合法网络网关]                      [受害者终端]                 [局域网攻击者]
  2001:db8::1                          fe80::100                   2001:db8::666
       |                                    |                            |
       |                                    |<--- 未经请求的 NA 报文 ----|
       |                                    |    将 2001:db8::1 映射至   |
       |                                    |    攻击者物理 MAC          |
       |                                    |                            |
       |<-- IPv6 流量被异常重定向 ----------|--------------------------->|
       |    (数据包被攻击者代理截获并审查记录)                           |

此外，攻击者还可周期性播发生存时间设为 0 的 RA 报文。客户端系统内核收到后会瞬间清除默认路由表项，导致网络频繁闪断，形成拒绝服务（DoS）。

分流配置与双栈应用程序在恶意 RA 攻击下的泄漏风险

当用户使用的 VPN 客户端对 IPv6 缺乏原生支持时，恶意 RA 构成的风险呈倍数放大。

许多商用 VPN 客户端仅在虚拟网卡（tun0 或 utun3）上配置 IPv4 私网网段，通过分段方式调整 IPv4 路由：

# 常见的仅 IPv4 VPN 路由注入
ip route add 0.0.0.0/1 dev tun0
ip route add 128.0.0.0/1 dev tun0

此时宿主机物理网卡（wlan0 或 eth0）上的 IPv6 路由表完全裸露。局域网内的恶意 RA 报文一旦注入，操作系统将添加一条指向攻击者的 IPv6 默认路由。

当浏览器访问支持双栈的目标站点时，Happy Eyeballs 优先选择 IPv6 路径通信。由于虚拟网卡中不存在 IPv6 默认路由，流量便沿着物理网卡直接奔向攻击者的网关。用户误以为处于保护之下，真实数据已在明文状态下外泄。类似机制在DHCP Option 121 路由劫持漏洞剖析一文中有详尽探讨。

二层网络防御机制：RA-Guard、SEND 与端口安全的局限

网络运维人员在二层交换环境中提出过若干防御机制：

IPv6 路由器通告防护（RA-Guard，RFC 6105）

支持 RA-Guard 的企业级交换机将端口划分为信任端口与非信任端口。硬件 ASIC 芯片实时比对 134 型报文，凡是从客户端接入端口进入的未经授权 RA 报文均在交换背板前被硬件丢弃。

安全邻居发现（SEND，RFC 3971）

SEND 采用密码学生成地址（CGA）与非对称数字签名校验 NDP 报文真实性。主机通过接口标识符中绑定的公钥散列来证实地址归属。

现实环境中的应用短板

上述机制难以有效防护漫游场景：

• 公共网络普及率极低： 酒店、机场、咖啡厅的 Wi-Fi 路由器普遍缺乏 RA-Guard 机制。
• SEND 系统支持缺失： 由于依赖复杂的 PKI 证书体系，主流桌面与移动操作系统并未内置对 RFC 3971 的完整支持。
• 协议封装隔离受限： 攻击者可通过双层 VLAN 标记（802.1Q Q-in-Q）或 ICMPv6 报文分片技术规避简单的交换机过滤策略。

由于二层网络防御完全受制于第三方基础设施，最有效的防护措施必须在终端设备的网络层确立。

三层 VPN 架构：双栈内核封装与路由策略锁定

要彻底免疫恶意 RA 攻击，现代三层 VPN 必须主导宿主机的路由子系统。核心防御由完整的双栈隧道封装与路由策略数据库（RPDB）优先级锁定协同构成。

+------------------------------------------------------------------------+
|                              用户空间应用程序                          |
+------------------------------------------------------------------------+
                                    |
                                    v (双栈网络套接字: AF_INET / AF_INET6)
+------------------------------------------------------------------------+
|                          Linux 内核 RPDB 策略规则                      |
|   规则 100: 凡发往 <VPN-网关-IP> 的流量查询 main 表                    |
|   规则 200: 其余所有流量强制查询 51820 表 (VPN 加密路由表)             |
|   规则 32766: 其余查找回退至 main 表 (物理网卡接口)                    |
+------------------------------------------------------------------------+
                                    |
                                    v
+-----------------------------------+------------------------------------+
|   51820 路由表 (WireGuard / RiceGuard)| main 路由表 (物理网卡 wlan0)   |
|   default 经由 :: 绑定至 rg0      | default 经由 fe80::dead:beef 设备  |
|   default 经由 0.0.0.0 绑定至 rg0 | (恶意 RA 路由被彻底隔离在此处)     |
+-----------------------------------+------------------------------------+

VPN 客户端在内核中开辟独立的路由表（例如表 51820），分配覆盖全网段的全局前缀：

• 0.0.0.0/0 经由虚拟接口 rg0 路由
• ::/0 经由虚拟接口 rg0 路由

随后在内核中部署高优先级的路由规则：

# 将全部 IPv6 流量强制锁定至专用加密表
ip -6 rule add pref 200 lookup 51820
ip -6 rule add pref 201 unreachable

即便攻击者在物理接口 wlan0 上持续广播高优先级的恶意 RA，内核也会在优先级 200 处直接将流量导向 51820 表。物理网卡上的恶意路由将处于休眠态，无法生效。

RiceGuard 路由表强制策略：在套接字层丢弃未授权 ICMPv6

VPNRice 所采用的 RiceGuard 传输架构基于 WireGuard 深度优化，构建了抵御二层局域网攻击的防御体系：

1. 强制分配双栈内部地址： RiceGuard 为每次连接自动指派 IPv4 内部地址（10.64.0.0/10）与唯一的 IPv6 本地地址（fd00::/8），杜绝 Happy Eyeballs 转向未受控的物理网卡。
2. 内核层包过滤防护： 在支持 nftables 或 pf 的系统上，RiceGuard 动态下发防火墙规则，在物理网卡上丢弃 134 型 ICMPv6 报文：

table inet vpnrice_defense {
    chain prerouting {
        type filter hook prerouting priority -100; policy accept;
        iifname != "rg0" icmpv6 type { nd-router-advert, nd-redirect } counter drop
    }
}

3. 锁定本地解析器： RiceGuard 将 DNS 请求重定向至内部绑定的 127.0.0.1:53 与 [::1]:53 本地存根解析器，直接忽略 Wi-Fi 下发的 RDNSS 参数。

用户可随时访问官方提供的 IP 地址与泄露检测工具，确认外网出口与路由隔离状态。

网络弹性基准测试：路由度量优先级、切换延迟与丢包率

我们在受控的无线实验环境中进行了实测。攻击节点使用 scapy 每隔 2 秒持续播发 134 型报文，声明高优先级并附带恶意 DNS 参数。

测试对比了三种典型场景：裸连网络、仅支持 IPv4 的普通 VPN、以及 RiceGuard 双栈隧道。

在普通 IPv4 VPN 架构下，操作系统路由栈在两个网关间出现震荡，造成严重的连接丢包与超时。

而在 RiceGuard 体系下，内核策略路由始终保证表 51820 优先匹配，未授权的 ICMPv6 报文直接在包过滤层被丢弃，确保了数据传输的完整性。

实践指南：强化终端系统与审计局域网 IPv6 邻居

在不可信的网络环境中，管理员与高级用户可采取辅助性的系统加固措施。

查看系统默认路由与邻居缓存

在 Linux 工作站上，可通过如下命令审计本地 IPv6 路由与邻接节点状态：

# 查看默认 IPv6 路由条目及度量值
ip -6 route show default

# 检查已缓存的邻居硬件地址映射
ip -6 neighbor show

# 实时监听链路上的 ICMPv6 路由器通告
sudo tcpdump -ni any "icmp6 and (ip6[40] == 134 or ip6[40] == 135)" -v

在非受信任物理网卡上禁用自动路由器配置

在尚未部署自动防护的 Linux 终端上，可直接关闭物理网卡的 RA 处理能力：

# 禁止无线网卡 wlan0 响应路由器通告报文
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_defrtr=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_pinfo=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_rtr_pref=0

当使用官方提供的 VPNRice 应用程序 建立加密连接时，上述内核级路由加固与 WireGuard 隧道协议将自动协同启用。

通过在操作系统内核层实施强策略路由与深度包过滤，设备能够在复杂的公共网络环境中有效抵御局域网攻击，保障通信的私密与稳定。