（3）IPv6网络过渡技术安全问题
IPv4向IPv6的过渡是一个长期的过程，在IPv4与IPv6共存时期，为解决两者间互通所采取的各种措施将带来新的安全风险。例如，隧道方式下存在的拒绝服务攻击、中间人攻击，NAT-PT技术下存在的拒绝服务攻击等。
综合以上的分析，笔者认为，尽管IPv6协议在设计时考虑了安全问题，但IPv6网络环境相较于IPv4网络环境在安全性上并没有大的提升。第一，IPv6网络在IP层引入了IPv6协议，在网络架构上采用双栈等过渡技术以IPv4网络为基础进行逐步演进，因此在网络安全架构上没有质的改变。第二，IPSec机制作为IPv6数据包头的一部分内嵌到协议本身，尽管能使IPSec中间路由过程加快，但在IPSec部署实施上与IPv4并没有明显不同，同样需配套PKI等体系的建设。第三，相对于IPv4网络环境而言，在IPv6网络环境中实施扫描和分片类型的攻击将更加困难，但实施溢出类和DDoS等资源占用类攻击并未有难度上的变化，该类攻击在网络攻击危害中仍占据主导地位，IPv6网络环境的安全威胁仍很严峻。第四，IPv6网络同样需考虑应用层、传输层、物理层等的安全。
为防止IPv4网络发展过程中在安全方面出现的亡羊补牢、疲于应付的局面重蹈，电信运营商应在IPv6网络的设计和建设阶段同步考虑安全问题，配合多种手段从多个维度、多个层次构建IPv6网络保障安全体系。
3 电信IPv6网络安全保障体系框架
根据电信网络特点，可将电信IPv6网络安全保障体系分为当前时间点的静态安全防护体系以及后续动态安全运营体系两个层面。通过IPv6网络各平面的隔离控制以及相应安全保护和控制措施的实施保障网络的静态安全；同时通过安全检测和响应等安全基础设施和相关安全管理组织、制度和流程的配套建设，实现对网络安全风险的动态发现和管理，并通过IPv6网络安全业务的开展将安全防护手段向客户网络延伸，加强电信网络的安全可控。最终实现网络持续安全保障和改进的长效目标，形成安全可管可控的电信可信IPv6网络架构。
（1）静态安全防护体系
根据ITU-T X.805标准（端到端通信系统安全框架），网络可分为基础设施层、业务层和应用层，每个网络层次又可以划分为管理、控制和用户三个平面。为了实现层次化、等级化的安全防护，电信IPv6网络静态安全防护体系可考虑通过网络设计和优化来保障网络内在的健壮性，同时清晰地划分业务、管理和控制三个平面，采用多种技术手段隔离管控，并在每个平面实施相应安全防护措施，从而使每个平面在安全方面都具备访问控制、鉴别、不可抵赖、数据保密性、通信安全、完整性、可用性和隐私性8个属性。具体来说，电信运营商可从以下两个方面开展静态安全防护体系的建设。
一方面清晰界定网络层次，进行合理管控，实现业务平面、信令和控制平面、网络和业务管理平面逻辑分离，在每个平面实施相应安全防护措施（在控制平面实现网元设备之间认证及路由信息安全更新与传递；在业务平面实现用户登录认证、业务授权、业务和网络资源可用性保证、业务安全控制要求；在管理平面实现维护终端的认证与授权，核心的数据、应用、系统、网络平台的保护，各支撑系统的承载方式，以及访问控制要求、系统与外部交互要求的相应控制点、内外部的维护管理要求），并有效利用IPv6协议的PSec特性、源地址过滤技术等加强平面内的安全保护。
另一方面合理管控三平面之间的资源互访，在各平面安全域根据各域的特点辅以相应的安全保护和控制措施，在同一物理网络承载不同业务，应实现带宽管理机制，同时业务互访应在应用层进行有限互联，避免网络层直联，并在IPv4/6双栈设备上采用严格的网络过滤和访问控制策略防范IPv4和IPv6安全问题的相互影响。
（2）动态安全运营体系
