IPv6探测报文借差错通道摸内网？华为ICMPv6按类关停收发

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

ICMPv6是IPv6网络的报信员，主机不可达、端口不可达、跳数超限这些差错都靠它传递。但报信员也可能被坏人利用：网络流量大、频繁出现不可达现象时，设备要接收处理大量ICMPv6报文，负担明显加重、性能下滑；更要紧的是，网络攻击者经常利用ICMPv6差错报文非法刺探网络内部结构——哪些地址存在、哪些端口没开，差错报文都会「实话实说」。华为设备支持对ICMPv6报文按类型控制发送或接收，借报信通道发起的探测可以逐类关停。

两种指名方式

设备支持按ICMPv6名称或Type/Code两种方式指定报文类型。常用的几类：echo（Type 128）与echo-reply（Type 129）对应ping请求与应答；host-unreachable（Type 1、Code 3）、port-unreachable（Type 1、Code 4）是主机与端口不可达；hop-limit-exceeded（Type 3、Code 0）是跳数超限；redirect（Type 137）是重定向；还有router-advertisement、neighbor-solicitation等NDP相关报文，各有对应名称。

整机总闸与组播ECHO开关

系统视图下配置，管的是整机。进入系统视图后，按需关闭发送或接收：

system-view

ipv6 icmp { icmpv6Type icmpv6Code | all-famous } send disable

ipv6 icmp { icmpv6Type icmpv6Code | all-famous } receive disable

参数可以写具体的类型加代码，也可以用all-famous一次覆盖常见类型。组播ECHO有个单独开关——去使能「收到组播ECHO报文后回复应答」的功能：

ipv6 icmp multicast-address echo receive disable

接口级细控

只想在某个接口上做精细化控制，就进接口视图操作。进入系统视图、接口视图，三层接口按需切换模式并使能IPv6：

interface interface-type interface-number

undo portswitch

ipv6 enable

接口视图下可关的类型更聚焦在差错与探测类。跳数超限、主机不可达、端口不可达三类差错报文的发送都可以关：

ipv6 icmp hop-limit-exceeded send disable

ipv6 icmp host-unreachable send disable

ipv6 icmp port-unreachable send disable

组播ECHO应答、探测回显类报文同样支持按接口关闭：

ipv6 icmp multicast-address echo receive disable

ipv6 icmp probe-echo-request { send | receive } disable

ipv6 icmp probe-echo-reply { send | receive } disable

配置完退出接口视图即可：

quit

验证与保留项

效果验证围绕「关了什么测什么」：比如关了某接口host-unreachable的发送后，构造发往不存在主机的流量，对端不再收到来自该接口的主机不可达差错；关了探测回显应答后，外部对该接口的探测请求石沉大海。反过来要提醒的是，echo与echo-reply支撑着日常ping测试，如果没有外部探测防护的明确需求，这两类建议保留，免得自己排障时连不通。

按类型收放ICMPv6，既给设备减负，又把网络结构的「口风」收紧。贵州诚鑫致达科技在IPv6割接验收时会逐台核对差错报文收发策略与运维探测需求的平衡，欢迎搜索关注获取更多IPv6安全配置经验。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。