2402:4E00地址段IPv6配置失败如何排查？

Question

问题：在配置以2402:4E00开头的IPv6地址时，设备无法获取网络连接，且ping测试超时。已确认手动配置的IPv6地址属于2402:4E00::/32地址段，网关和前缀长度设置正确，但邻居发现协议（NDP）无法正常解析网关MAC地址，导致通信失败。怀疑是本地链路配置、路由器通告（RA）策略或运营商对2402:4E00地址段实施了访问控制所致。如何系统排查该IPv6地址段配置失败的根本原因？

Answer 1

一、现象确认与基础连通性验证

当配置以 2402:4E00::/32 开头的IPv6地址后，设备无法获取网络连接，且执行ping测试时出现超时。首先应确认以下几点：

1. 确认接口已启用IPv6协议栈（如Linux中检查/proc/sys/net/ipv6/conf/all/disable_ipv6是否为0）。
2. 使用ip -6 addr show或ifconfig验证IPv6地址是否正确绑定至物理/逻辑接口。
3. 检查默认路由是否已通过ip -6 route show显示指向正确的网关地址。
4. 尝试ping本地链路地址（fe80::/10）上的网关，例如：ping6 fe80::1%eth0，验证二层可达性。
5. 若本地链路ping失败，则问题可能位于NDP或MAC层通信层面。
6. 使用tcpdump -i eth0 icmp6抓包观察是否有Neighbor Solicitation（NS）发出但无Advertisement（NA）响应。
7. 确认接口MTU设置合理（通常为1500），避免因分片导致ICMPv6不可达。
8. 检查防火墙规则（如iptables/ip6tables）是否过滤了ICMPv6类型135/136（NS/NA）消息。

二、邻居发现协议（NDP）深度分析

NDP是IPv6替代ARP的核心机制，负责解析下一跳的链路层地址。当前现象“无法解析网关MAC”表明NS请求未获响应。

排查项	检测命令	预期结果
是否存在NS报文发出	tcpdump -nnei eth0 icmp6 && ping6 2402:4e00::1	可见Solicitation报文
是否有NA响应返回	同上抓包输出	应收到Target MAC地址响应
NDP缓存状态	ip -6 neigh show	状态应为REACHABLE或STALE
网关是否启用了代理NDP	联系运营商或查看设备配置	跨子网场景需开启

三、路由器通告（RA）策略影响评估

即使手动配置地址，RA仍会影响主机行为（如默认网关学习、地址自动配置标志位等）。某些情况下，错误的RA会干扰静态配置。

# 监听RA报文内容
rdisc6 eth0

# 输出示例：
Router Advertisement from fe80::xxxx:xxxx:xxxx
  Prefix: 2402:4e00::/32, Flags: M-0 O-0, Valid: 86400s
  Route Information: ::/0, Preference: Medium
  MTU: 1500

• 若RA中包含2402:4E00::/32前缀但设置了自主配置禁用（A=0），可能导致系统不生成地址。
• 检查内核参数：accept_ra 和 autoconf 是否允许接收RA并用于路由更新。
• 在关键服务器上建议关闭不必要的RA处理：
  sysctl -w net.ipv6.conf.eth0.accept_ra=0
• 某些厂商设备会在收到冲突RA时清空现有路由表项。

四、运营商级访问控制与地址段策略限制

2402:4E00::/32为中国移动分配的公网IPv6地址段，常用于家庭宽带和企业专线。然而，部分区域存在如下限制：

1. 仅允许DHCPv6或SLAAC方式获取地址，拒绝手动配置流量通过。
2. PPPoE会话绑定特定DUID或IAID，非授权地址被ACL屏蔽。
3. 城域网边缘路由器部署了RA-Guard或NDP-Snooping，阻止伪造NS/NA。
4. 源地址有效性检查（SAVI）机制丢弃未登记的2402:4E00地址包。

可通过以下方式间接验证：

# 发送自定义IPv6包测试穿透能力
scapy
>> send(IPv6(src="2402:4e00::100", dst="2404:6800:4008:c0f::9e")/ICMPv6EchoRequest())

若外出包被丢弃而其他源地址可通，则极可能是运营商实施了源地址过滤。

五、系统化排查流程图

graph TD A[开始: 配置2402:4E00::/32地址] --> B{能否ping本地链路网关?} B -- 否 --> C[检查物理层与接口状态] B -- 是 --> D[发送NS请求?] C --> E[tcpdump抓包分析] D -- 否 --> E D -- 是 --> F[是否有NA响应?] F -- 否 --> G[检查网关NDP服务/代理设置] F -- 是 --> H[检查路由表与转发策略] G --> I[联系ISP确认NDP策略] H --> J{能否访问外网v6资源?} J -- 否 --> K[检查运营商ACL/SAGI限制] J -- 是 --> L[成功] K --> M[改用DHCPv6或SLAAC获取地址]