IPv6网关的邻居映射怕被伪造通告顶掉？华为静态邻居表项焊死关键地址

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

IPv6网络里，设备靠邻居表项把“IPv6地址—MAC地址”对上号，之后所有去往该地址的报文都按表项封装转发。这张表默认靠动态学习，也就意味着可以被伪造的邻居通告污染：关键服务器的表项一旦被顶掉，报文就被引去了别处，故障现象是时通时断、抓包才发现MAC不对，查起来还容易误判成线路问题。华为允许在网关上手工配置静态邻居表项，把关键映射焊死，动态学习再活跃也盖不过它。

静态表项还有个巧用途：把某些非法报文的目的IPv6地址绑定到一个不存在的MAC上，这类报文封装不出去，等于在网关上就地丢弃。

两种接口的绑定写法

前置条件：接口视图下先使能接口的IPv6功能。VLANIF网关接口配静态邻居，指明对端的VLAN和物理接口：

<HUAWEI> system-view
[HUAWEI] ipv6
[HUAWEI] interface vlanif 100
[HUAWEI-Vlanif100] ipv6 enable
[HUAWEI-Vlanif100] ipv6 neighbor fc00::1 00e0-fc12-3456 vid 2 gigabitethernet 1/0/1

三层路由口直连场景，切三层后直接绑地址与MAC：

<HUAWEI> system-view
[HUAWEI] ipv6
[HUAWEI] interface gigabitethernet 1/0/1
[HUAWEI-GigabitEthernet1/0/1] undo portswitch
[HUAWEI-GigabitEthernet1/0/1] ipv6 enable
[HUAWEI-GigabitEthernet1/0/1] ipv6 neighbor fc00::1 00e0-fc12-3456

纪律与适用边界

两条纪律：一是地址与MAC必须抄准，配错了一对，设备会认认真真地把报文发往错误的MAC，通信直接不通；二是静态表项创建后即进入REACHABLE状态，表示连接该邻居的接口处于Up，它的优先级高于动态学习，动态表项覆盖不了它。

适用面要想清楚：静态绑定适合服务器、网管、对端网关这类地址固定的关键节点，数量有限、位置稳定；终端成百上千的接入网不适合逐条绑定，那类场景的防伪造要交给ND Snooping类机制去做，两套手段各管一段。

验证：display查看邻居表项，静态项状态应为REACHABLE；人为发出伪造通告尝试覆盖，表项的MAC不变，业务无感知。变更服务器网卡时记得同步更新绑定条目，旧MAC绑着新网卡是这类配置常见的遗留问题。

关键映射焊死了，伪造通告就没了落点。安全加固讲究分层，静态邻居是网关侧省事的一层：几条命令，护住的就是那几条不能断的路径。欢迎搜索关注贵州诚鑫致达科技，获取更多IPv6安全加固的实操经验。

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。