关于在小型办公网络中禁用ICMPv6、IGMPv2等不必要网络协议的技术咨询

嘿，兄弟，我懂你这种从小团队熬到规模变大，突然要操心网络安全的焦虑——毕竟之前可能随便弄弄就行，现在突然一堆陌生流量冒出来，谁都会慌。咱们一个个来拆解你提到的这些协议，看看哪些真能禁，哪些得小心：

• ICMPv6：你说它用于主机发现，而且电脑只需要和服务器通信不用互访。其实ICMPv6不只是主机发现，它是IPv6网络的「基础胶水」——比如邻居发现（ND）、路径MTU探测这些关键功能都依赖它。如果完全禁用，IPv6可能直接瘫掉。不过如果你的网络根本没在用IPv6，那可以在本地网卡和服务器上都关掉IPv6协议，这样就不会有ICMPv6流量了。要是还在用IPv6，那别全禁，倒是可以通过组策略限制不必要的ICMPv6类型，比如把那些用于主机发现的请求给拦了，但得留着必要的维护报文。

• IGMPv2：你考虑把除了服务器和路由器之外的交换机端口设为「protected」，这个思路挺对的！因为protected端口之间不能互相通信，刚好符合你「电脑只和服务器/路由器说话」的需求。至于IGMPv2，它是用来管理组播组的，如果你网络里确实没用到组播（比如没有视频会议、IPTV这类服务），那可以在交换机上全局禁用IGMP snooping，或者在客户端网卡上禁用IGMP协议。不过要注意，有些系统服务可能偷偷用组播，禁之前最好先观察几天，看看有没有业务受影响。

• ARP：兄弟，你可别一棍子把ARP打死啊！ARP是IPv4网络里的核心协议——电脑要知道对方的MAC地址才能通信，全靠ARP解析。确实，ARP欺骗是常见的MITM攻击手段，但解决方案不是禁用ARP，而是启用ARP防护：比如在交换机上开ARP inspection（动态ARP检测），绑定IP和MAC地址，或者在客户端用组策略启用ARP缓存保护。真禁用ARP的话，你的IPv4网络直接就没法通信了，这绝对是捡芝麻丢西瓜。

• SSDP：这个是UPnP相关的协议，用来发现网络设备和服务的，确实容易被滥用（比如用来做DDoS反射攻击）。如果你的办公网络里没有用到UPnP设备（比如智能路由器、网络打印机的自动发现），那完全可以禁掉它。可以通过组策略禁用Windows的SSDP服务，或者在防火墙里拦截UDP 1900端口的流量，这样就能把SSDP广告流量掐掉。

总的来说，核心思路是：别盲目禁用核心协议，而是针对非必要的功能做限制，同时启用对应的防护机制。另外，建议你先把每个协议的流量抓包分析几天，确认确实没有业务依赖再动手，不然不小心禁了关键服务，同事们得找你麻烦咯😉

备注：内容来源于stack exchange，提问作者user1087985