4.3. Site Border Router and Firewall Packet Filtering (站点边界路由器与防火墙过滤)

4.3. Site Border Router and Firewall Packet Filtering (站点边界路由器与防火墙数据包过滤)

若带有这些地址的数据包经默认路由发送到站点外, 不会造成严重损害, 但建议默认将路由器配置为: 防止任何带有本地 IPv6 地址的数据包泄漏到站点外, 并防止任何站点前缀被通告到其站点之外.

站点边界路由器与防火墙应配置为: 不将带有本地 IPv6 源或目的地址的数据包转发到站点外, 除非已显式配置了关于特定 /48 或更长本地 IPv6 前缀的路由信息. 这将确保带有本地 IPv6 目的地址的数据包不会经默认路由转发到站点外. 这些设备的默认行为应为: 为这些前缀安装 "reject" (拒绝) 路由. 站点边界路由器应使用适当的 ICMPv6 Destination Unreachable (目的不可达) 消息响应, 以告知源该数据包未被转发 [ICMPV6]. 该反馈对于避免传输层超时很重要.

在 Internet 上维护自治系统之间对等关系的路由器应遵守针对站点边界路由器的建议, 除非另行配置.