文章总结： 中国IPv6发展呈现三大结构性矛盾：教育网资源丰富但运营商主导流量，各省资源均衡但激活集中于发达地区，网络安全威胁地理极化且类型异质。报告建议从规模扩张转向质量提升，推动企业级应用改造，培育本地应用生态，建立基于地理威胁画像的精准治理体系，以实现IPv6从规模优势向质量优势转化。
综合评分： 88
文章分类： 网络安全,威胁情报,数据安全,云安全,安全运营
【独家观察】我国IPv6活跃情况的运营商级观察报告
中国电信天翼安全
数世咨询
2025年12月4日 16:00
河北
当我们观察中国 IPv6 部署时，常常会看到这样的数据： 8.68 亿活跃用户、 7 万多个地址块的部署。然而，数字背后的真实图景是什么？为什么教育网拥有最多的地址资源，却不是最活跃的网络？为什么广东一个省就占据了全国九成以上的恶意事件？河南又为什么在 IPv6 活跃度上跻身全国前三？
本报告基于中国电信测绘产品云堤·广目和运营商级威胁情报监控能力的真实数据，从运营商视角出发，揭示中国IPv6生态中三个鲜为人知的结构性特征：机构间“有资源不等于有流量”的巨大反差、省域间“资源均衡但激活失衡”的空间分化，以及网络安全威胁“极度集中却高度异质”的分布。这些发现不仅关乎对IPv6部署质量的真实评估，更直接影响着未来网络治理的策略方向。
01
规模之下的结构性矛盾
IPv6作为下一代互联网协议，凭借近乎无限的地址空间和更强的安全特性，正在取代日渐枯竭的IPv4资源。据国家IPv6发展监测平台数据，截至2025年11月，我国IPv6活跃用户数已达8.68亿，/32地址块拥有量达71598块，占全球总量的14.57%，成为全球IPv6部署规模最大的国家之一。
然而，亮眼的宏观数据并不能完全反映生态的真实运行状态。不同机构的资源配置效率、各省份的实际激活水平、网络空间恶意活动的分布特征，都存在显著的结构性差异。作为IPv6流量的实际承载者，运营商掌握着最真实的一手数据。
02
谁真正在使用 IPv6 ？机构间的资源悖论
一个令人意外的发现是：拥有最多IPv6地址的机构，并不是网络上最活跃的那一个。
教育网拥有最大规模的IPv6地址空间，远超网络运营单位和互联网企业，这源于其作为技术先行者的历史地位和科研网络的特殊需求。但它的活跃地址数却只能排到第四位。大量地址被科研内网、云平台私有池占据，处于沉睡状态。
真正驱动IPv6流量的是三大运营商。电信、移动、联通虽然在资源持有量上略逊一筹，却在活跃地址数上实现了反超。电信日活地址数占据榜首——这背后是数亿台手机的快速地址轮换，是千万家庭宽带默认开启的原生IPv6连接。这些面向普通用户的“最后一公里”，才是IPv6从账面数字转化为真实流量的关键。
云服务商的表现则相对保守。阿里云的资源量与活跃度均处于中游，这反映出企业客户对IPv6改造的成本收益考量——迁移需要投入，但短期收益并不明显。这种“运营商主导、教育网储备、云平台观望”的三元格局，预计将在未来相当长时间内持续。
03
流量在哪里？省域间的 “ 冰火两重天 ”
从地址资源的分配来看，全国各省相对均衡——每个省份都较为超前地获得了远超过实际需求量的配额。这反映了IPv6地址充裕的本质特征：分配不再是零和博弈，按需分配成为主流。
但当我们看向活跃地址的分布时则会发现：北京以绝对优势领跑全国，河南和广东紧随其后形成第一梯队。这三地的共同特征是：庞大的网民基数+高密度的数据中心+成熟的运营商网络。
河南的崛起尤为值得关注。作为人口第三大省，河南的互联网渗透率提升直接转化为IPv6流量的爆发式增长，这与广东、浙江等传统互联网强省形成了有趣的对比。IPv6时代，流量地理正在被重新书写——不再完全由经济实力决定，而是由人口规模×移动互联网活跃度×运营商部署成熟度三方面因素共同塑造。
相比之下，中西部省份的集体滞后并非因为缺少地址资源，而是本地应用生态的不成熟。当地企业网站、政务平台、内容分发网络的IPv6改造进度，远远落后于基础设施建设。这就像修好了高速公路，却发现路上跑的车寥寥无几。
04
威胁在何方？安全态势的地理极化
当我们将目光投向IPv6网络空间的恶意活动时，会发现一个更加极端的分布特征。
从威胁类型看，恶意软件一家独大，占比超过97%。这说明传统威胁已经完成了向IPv6协议栈的迁移——黑客们只需简单的协议适配，就能让既有的恶意代码在新环境中继续作恶。矿池活动位居第二，显示出加密货币挖矿开始探索IPv6地址空间的隐蔽性优势。钓鱼、远程控制等威胁虽然存在，但相较IPv4时代仍处于起步阶段。
但真正令人震惊的是地理分布：广东一个省就占据了全国恶意事件总量的94.6%。这一极端集中背后是多重因素的叠加。珠三角作为全国最大的互联网出口和数据中心集群，为恶意活动提供了充裕的网络资源和隐蔽空间；大量中小IDC和VPS服务商的安全审核相对宽松，使其成为黑产基础设施的首选托管地；再加上可能存在的大规模僵尸网络或被攻陷的IoT设备持续产生攻击流量，三者共同造就了这一黑产枢纽。
更有意思的是省内威胁类型的差异。广东几乎全是恶意软件（99.70%），呈现高度同质化特征，暗示存在某个超大规模僵尸网络在持续输出攻击。而新疆则截然不同——矿池占比高达79.64%，远超恶意软件的8.14%。这与当地的能源成本优势高度契合：廉价电力吸引了加密货币挖矿产业，也吸引了相应的网络威胁。四川的矿池占比52.11%，同样体现了水电资源富集地的威胁画像。还有一些省份展现出独特的威胁偏好：江苏的钓鱼事件占比16.98%，与其经济发达、在线金融交易活跃密切相关；陕西、贵州的远程控制事件占比异常突出（20.99%、30.82%），前者与高校科研院所密集有关，后者则与大数据产业集聚但安全能力滞后有关。
与广东形成鲜明对比的是，北京、上海、江苏等互联网产业发达地区的恶意事件数处于中游水平，显著低于其IPv6活跃度排名。这种”活跃度高、恶意事件少”的现象，源于大型互联网企业、金融机构主导的网络环境具备更严格的安全管控和更快的响应机制。
05
结语——从规模到质量： IPv6 治理的转型之路
本报告揭示了中国IPv6发展的三个关键矛盾：
-
矛盾一：资源持有与实际贡献的背离。教育网和云厂商掌握巨量地址，但真正承载流量的是运营商网络。这提醒我们，评估IPv6部署不能只看地址分配量，更要看实际激活率。
-
矛盾二：资源均衡配置与激活高度集中的反差。全国各省都获得了充足的地址空间，但流量和应用却高度集中在少数发达地区。这说明IPv6的资源竞争已经从“有没有”转向“用不用”。未来，应用生态建设将成为关键。
-
矛盾三：安全威胁的地理极化与类型异质化。广东一省占据全国九成以上的恶意事件，但不同省份的威胁类型却呈现高度差异化。传统的“一刀切”防护策略已经失效，需要建立基于地理威胁画像的精准治理体系。
这些矛盾共同指向一个核心命题：中国IPv6已经完成了规模部署的初级阶段，现在需要从数量扩张转向质量提升，从资源分配转向激活优化，从粗放防护转向精准治理。对于运营商而言，需要在持续扩大C端覆盖的同时，推动企业级应用的IPv6改造，缩小资源持有与实际激活的鸿沟。对于中西部地区而言，应将重心从基础设施投入转向本地应用生态培育，避免陷入有资源、无应用的低效陷阱。对于网络安全治理而言，需要针对广东等黑产枢纽地区实施基础设施溯源和全链条打击，针对新疆、四川等矿池高发区强化异常流量监测，针对江苏、陕西、贵州等特定威胁突出区域加强终端防护和用户安全教育。
未来，随着物联网、工业互联网、车联网等新型应用的规模化落地，IPv6将从可用走向好用，从覆盖走向承载。中国电信将以网络测绘能力和威胁情报监控能力为抓手，以各项网络产品和安全能力为依托，在网络能力建设、生态协同推进、安全态势感知三个维度持续发力，将海量地址资源转化为真正支撑数字中国建设的基础能力。唯有正视差异、精准施策，方能推动我国IPv6从规模优势向质量优势转化，真正实现建设全球领先的IPv6技术、产业、设施、应用和安全体系的目标。
本文作者：中国电信天翼安全
— 【 THE END 】—
🎉 大家期盼很久的#数字安全交流群来了！快来加入我们的粉丝群吧！
🎁多种报告，产业趋势、技术趋势
这里汇聚了行业内的精英，共同探讨最新产业趋势、技术趋势等热门话题。我们还有准备了专属福利，只为回馈最忠实的您！
👉 扫码立即加入，精彩不容错过！
😄嘻嘻，我们群里见！
更多推荐
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：数世咨询 中国电信天翼安全《【独家观察】我国IPv6活跃情况的运营商级观察报告》