直接禁用内核IPv6模块是最彻底的收敛方式，能从源头移除协议栈、使/proc/sys/net/ipv6目录消失；适用于等保三级、隔离网等高安全场景，需通过modprobe黑名单、更新initramfs并重启生效。
直接禁用内核 IPv6 模块是最彻底的收敛方式，能从协议栈源头移除 IPv6 支持，连 /proc/sys/net/ipv6 目录都会消失，显著缩小攻击面。适用于等保三级、隔离网、渗透测试靶机或对 IPv6 完全无需求的生产环境。
确认当前 IPv6 模块加载状态
执行以下命令，查看 ipv6 是否已作为内核模块加载：
lsmod | grep -i ipv6
若有输出（如 ipv6 491520 48 sit,...），说明模块已加载；若无输出，可能已禁用或未编译进内核。再检查模块是否存在：
find /lib/modules/$(uname -r) -mmin -10 -name 'ipv6.ko*'
有结果表示系统具备 IPv6 模块能力，可进行黑名单操作。
通过 modprobe 黑名单永久禁用
这是主流发行版通用、安全且可逆的方法：
- 创建或编辑黑名单配置文件：
sudo tee /etc/modprobe.d/disable-ipv6.conf <<EOF
blacklist ipv6
install ipv6 /bin/true
EOF - 其中
blacklist ipv6阻止模块自动加载；install ipv6 /bin/true确保即使被显式调用（如modprobe ipv6）也静默失败，增强鲁棒性 - 部分旧系统（如 RHEL5/CentOS5）还需额外屏蔽协议族：
echo "alias net-pf-10 off" | sudo tee -a /etc/modprobe.d/disable-ipv6.conf
更新 initramfs 并重启生效
仅写黑名单还不够——如果 IPv6 模块被打包进 initramfs，系统在早期启动阶段仍可能加载它：
- Debian/Ubuntu 系统：
sudo update-initramfs -u - RHEL/CentOS/Fedora 系统：
sudo dracut -f - 重启后验证：
lsmod | grep -i ipv6 → 应无输出
ls /sys/module/ | grep ipv6 → 应无结果
cat /proc/sys/net/ipv6/conf/all/disable_ipv6 2>/dev/null || echo "目录不存在" → 显示“目录不存在”即成功
配套清理与服务级加固
禁用内核模块只是第一步，还需同步处理依赖项：
- 停用并禁用 IPv6 相关服务：
sudo systemctl stop ip6tables && sudo systemctl disable ip6tables（如有） - 清理 hosts 中 IPv6 本地解析：
注释掉/etc/hosts中的::1 localhost ...行 - Docker 用户需单独配置：
在/etc/docker/daemon.json中添加"ipv6": false，再 sudo systemctl restart docker - 验证监听端口是否清空：
ss -tuln | grep ':.*:' 或 netstat -tuln | grep '::' → 不应出现任何 IPv6 地址监听
