IPv6 企业双栈部署与排障
企业 IPv6 更适合采用分阶段双栈，而不是一次关闭 IPv4。双栈部署要同时治理地址、路由、DNS、防火墙、应用监听、负载均衡、监控和日志；只给终端分配 IPv6 地址并不代表业务已经可用。
一、规划输入
- 上级分配的 IPv6 前缀、自治系统与出口路由策略；
- 园区、机房、服务器、办公、访客和设备网络的层级；
- SLAAC、DHCPv6 或静态地址的选择；
- DNS AAAA、反向解析和递归解析器能力；
- 防火墙、负载均衡、VPN、WAF、监控和日志的 IPv6 支持情况；
- 应用、数据库、中间件和第三方接口是否真正支持 IPv6。
地址规划应保留层级聚合和增长空间，不建议为“节省地址”设计过小子网。主机标识生成方式还要兼顾隐私、资产定位和日志审计。
二、基础验证
ip -6 addr
ip -6 route
ping -6 2001:4860:4860::8888
dig AAAA example.com
curl -6 -I https://example.com/
ss -lntup
Windows 可使用 ipconfig /all、route print -6、ping -6、Resolve-DnsName -Type AAAA 和 Test-NetConnection。测试时要明确是本地链路地址、全局地址还是临时地址。
三、部署顺序
- 实验网验证出口、路由、DNS、防火墙和监控。
- 先启用基础设施双栈，再启用少量无状态应用。
- 发布 AAAA 记录前验证每个入口、证书和后端路径。
- 使用短 DNS TTL 灰度，并持续比较 IPv4/IPv6 成功率和时延。
- 再扩展到办公终端、服务器和更复杂业务。
- 保留撤销 AAAA、关闭入口 IPv6 或回退路由的明确步骤。
四、防火墙与邻居发现
不要把 IPv6 当作“没有 NAT 就不安全”。IPv6 仍需状态防火墙和最小权限策略。ICMPv6 承担邻居发现、路由器通告和路径 MTU 发现等关键功能，不能简单全部阻断。
应防范异常路由器通告、非法 DHCPv6、扩展头滥用和未纳管隧道，同时避免安全设备因不完整支持而形成绕过路径。
五、常见故障
| 现象 | 优先检查 |
|---|---|
| 有地址无外网 | 默认路由、RA、出口路由、防火墙和上游前缀 |
| 小包通、大包失败 | PMTU、ICMPv6 Packet Too Big、隧道与 MTU |
| 域名偶发慢 | AAAA 已发布但 IPv6 路径不可用，Happy Eyeballs 回退耗时 |
| 仅部分服务可用 | 应用监听地址、负载均衡、反向代理与后端双栈能力 |
| 日志无法定位终端 | 临时地址策略、DHCPv6/DNS/交换机与身份日志关联不足 |
抓包时应同时观察 ICMPv6、Neighbor Solicitation/Advertisement、Router Advertisement、DNS AAAA 和 TCP 握手。
六、验收清单
- IPv4 与 IPv6 分别完成端到端探测；
- DNS A/AAAA、TTL 和回退流程已验证；
- 防火墙策略两套协议一致但不过度复制；
- 监控、日志、资产和安全设备能够识别 IPv6；
- PMTU、分片边界、VPN 和跨运营商路径已测试；
- 应用依赖及第三方回调没有隐藏的 IPv4-only 假设。