安全加固网络邻居发现协议的核心是阻断未授权设备自动识别与响应，同时保留合法即插即用体验；需逐层收敛默认开放通道、部署动态白名单与设备身份绑定、强化固件与通信链路完整性，并辅以实时监控与主动防御。
针对网络邻居发现协议（如 IPv6 ND、mDNS、NetBIOS）的安全加固，核心在于阻断未授权设备的自动识别与响应能力，同时保留合法设备的即插即用体验。关键不是彻底禁用，而是建立可验证、有边界的发现机制。
关闭默认开放的发现通道
多数局域网欺诈始于协议“太热情”——设备无条件响应任意广播请求。需逐层收敛：
- 在 Windows 主机上禁用 TCP/IP NetBIOS：进入【网络适配器属性】→【IPv4 高级设置】→【WINS】选项卡，勾选“禁用 TCP/IP 上的 NetBIOS”。这会关闭 UDP 137/138 和 TCP 139 端口，消除传统 NetBIOS 名称解析带来的仿冒风险。
- 对 IPv6 网络，禁用无状态地址自动配置（SLAAC）中的前缀通告（RA）自动接受：在路由器或主机侧配置 RA Guard 或启用 SEND 协议，拒绝未经签名的路由器公告和邻居公告报文。
- 家庭智能设备（如音箱、Agent）应关闭 mDNS 响应范围——仅响应同一子网内、且源 IP 在白名单中的查询，避免跨墙响应邻居路由器的广播包。
部署动态白名单与设备身份绑定
让设备“自报家门”不再可信，必须要求它“出示证件”：
- 采用 TLS 双向认证 + 设备指纹（如硬件 ID、固件哈希）生成加密 pairing_token，每次发现请求都需携带有效 JWT，含有效期与权限等级（如 auth_level=guest 不得访问摄像头）。
- 白名单更新必须触发双因素确认：APP 端管理员点击“允许”，同时用户需在目标设备上按压物理配对键 3 秒，防止远程劫持配对流程。
- 所有配对记录留存上下文：包括请求者 IP、反向 DNS 名、信号强度（用于排除远距离仿冒）、地理位置粗略信息（如基于 IP 的城市级定位），便于事后审计与异常回溯。
固件与通信链路完整性防护
攻击者常通过降级固件或中间人篡改发现报文实现长期潜伏：
- 设备启动时强制校验固件签名：使用出厂烧录的 RSA 公钥验证当前固件哈希与数字签名，时间戳须在有效期内，否则进入安全模式并告警（FIRMWARE_TAMPERED）。
- 所有邻居发现类通信（如 NS/NA、mDNS response）必须经由 IPSec 或 DTLS 加密封装，确保报文无法被监听、重放或篡改。
- 禁用任何“跳过签名检查”的调试模式或固件刷写接口，即使在恢复出厂设置后也保持签名强制策略。
监控与主动防御补充
静态策略需配合实时感知才能应对新型欺骗：
- 在网络出口或核心交换机部署 IPv6 ND 欺骗检测规则：当同一 IPv6 地址在短时间内从不同 MAC 或不同端口发出 NA 报文，立即丢弃并告警。
- 启用系统级网络保护（如 Windows 网络保护的阻止模式），拦截已知恶意域名发起的发现类 HTTP 请求（例如某些 IoT 设备尝试连接 C2 域名进行设备注册）。
- 对持续扫描局域网（如高频发送 NS/mDNS 查询）的未知设备 IP，自动限速并加入临时观察名单，超阈值则隔离 VLAN。
