禁用IPv6可缩小攻击面，尤其在纯IPv4环境中能关闭不必要的监听、规避防火墙绕过、NDP欺骗等风险；首选sysctl永久禁用（安全可逆），其次临时禁用或深度禁用内核模块，并需同步处理容器、网卡及应用层监听。
禁用IPv6确实能缩小攻击面，尤其在纯IPv4环境中——它可关闭不必要的IPv6服务监听、规避因IPv6配置疏漏导致的绕过防火墙、NDP欺骗或SLAAC滥用等风险。关键不在于“一刀切”，而在于选对方法、验证到位、兼顾业务连续性。
首选方式：通过 sysctl 永久禁用（安全可逆）
这是最通用、最稳妥的方式，修改内核运行时参数，不影响系统启动流程，随时可恢复。
- 编辑 /etc/sysctl.conf，追加三行（含回环接口更彻底）：
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1 - 立即加载生效：
sudo sysctl -p - 验证是否成功：
cat /proc/sys/net/ipv6/conf/all/disable_ipv6 —— 输出 1 即生效
ip a | grep inet6 —— 无任何输出表示接口层已清空
应急或验证场景：临时禁用 IPv6
适合渗透测试前快速收口、应急响应中阻断IPv6通道，或验证禁用后服务是否受影响。
- 一条命令禁用全系统 IPv6：
sudo sysctl -w net.ipv6.conf.all.disable_ipv6=1 - 同步禁用默认模板（避免新接口启用 IPv6）：
sudo sysctl -w net.ipv6.conf.default.disable_ipv6=1 - 重启即失效，无需额外清理；如需恢复，把 =1 改为 =0 再执行即可
高安全等级场景：禁用 IPv6 内核模块（彻底移除协议栈）
适用于等保三级加固、隔离网环境，从源头阻止 IPv6 协议栈加载，连 /proc/sys/net/ipv6 目录都会消失。
- 创建或编辑黑名单文件：
echo "blacklist ipv6" | sudo tee /etc/modprobe.d/disable-ipv6.conf
建议补充增强鲁棒性：
echo "install ipv6 /bin/true" | sudo tee -a /etc/modprobe.d/disable-ipv6.conf - 更新 initramfs（部分发行版必需）：
Debian/Ubuntu：sudo update-initramfs -u
RHEL/CentOS/Fedora：sudo dracut -f - 重启后验证：
lsmod | grep ipv6 —— 无输出
find /sys/module/ -name ipv6 —— 无结果
cat /proc/sys/net/ipv6/conf/all/disable_ipv6 2>/dev/null || echo "目录不存在" —— 显示“目录不存在”即成功
配套收敛：容器、网卡与应用层检查
禁用宿主机 IPv6 不等于容器或服务自动跟随，必须单独处理。
- Docker：编辑 /etc/docker/daemon.json，添加 "ipv6": false，再执行 sudo systemctl restart docker
-
单张网卡禁用（如保留管理口 IPv6，但禁用业务口）：
在 /etc/sysctl.conf 中写入 net.ipv6.conf.eth0.disable_ipv6 = 1（替换 eth0 为实际接口名） -
应用层监听检查：
ss -tuln | grep ':.*:' 或 netstat -tuln | grep '::' —— 不应出现任何 IPv6 地址监听 - 清理 hosts 文件：注释掉 /etc/hosts 中的 ::1 localhost 行
-
停用相关服务（如有）：
sudo systemctl stop ip6tables && sudo systemctl disable ip6tables
