如何实现IPv6公网接入？

Question

如何在现有家庭路由器环境下实现IPv6公网接入，且确保终端设备获取到全球单播地址？常见问题包括：光猫桥接模式下路由器未启用IPv6支持、ISP虽分配前缀但未正确开启PD（Prefix Delegation）前缀委派功能，导致无法向下级设备分发IPv6地址；防火墙规则误拦截ICMPv6或RA报文，影响地址自动配置。如何排查并正确配置路由器的IPv6模式（如DHCPv6-PD）、验证ISP支持情况，并确保内网设备能正常获取公网IPv6地址并实现双向通信？

Answer 1

家庭路由器环境下实现IPv6公网接入的深度解析与实践

一、IPv6基础概念回顾：从地址类型到自动配置机制

IPv6相较于IPv4最显著的优势在于巨大的地址空间和内置的自动配置能力。全球单播地址（Global Unicast Address, GUA）是公网可路由的IPv6地址，格式通常以2xxx::/3开头。终端设备获取GUA主要依赖两种机制：

• SLAAC（Stateless Address Autoconfiguration）：基于ICMPv6的Router Advertisement（RA）报文自动生成地址。
• DHCPv6-PD（Prefix Delegation）：由ISP通过DHCPv6向家庭路由器委派一个前缀（如/56或/60），再由路由器向下级设备分发子前缀。

在实际部署中，若RA报文被防火墙拦截，或PD未启用，则会导致内网设备无法获取GUA。

二、网络拓扑结构分析：光猫与路由器的角色划分

典型的家庭网络架构如下表所示：

设备	工作模式	IPv6功能职责	常见问题
光猫（ONT）	桥接模式 / 路由模式	透传或终结PPPoE连接	路由模式下可能禁用PD转发
家用路由器	NAT + DHCPv6客户端	请求PD并为LAN侧分配前缀	未开启IPv6支持或配置错误
终端设备	IPv6主机	接收RA或DHCPv6响应	无GUA仅链路本地地址

三、排查流程图：系统性诊断IPv6接入失败原因

graph TD
    A[确认光猫处于桥接模式] --> B{路由器能否获取WAN侧IPv6地址?}
    B -- 否 --> C[检查ISP是否支持IPv6]
    B -- 是 --> D{是否收到PD前缀?}
    D -- 否 --> E[启用DHCPv6-PD客户端]
    D -- 是 --> F{LAN侧是否发送RA报文?}
    F -- 否 --> G[开启路由器RA服务]
    F -- 是 --> H{终端是否有GUA?}
    H -- 否 --> I[检查防火墙是否过滤ICMPv6]
    H -- 是 --> J[测试双向通信: ping6 & traceroute6]
    

四、关键配置步骤详解：以OpenWrt为例启用DHCPv6-PD

以下为基于Linux平台的家庭路由器典型配置流程：

1. 登录路由器管理界面，进入“网络 → 接口 → WAN”
2. 在“IPv6设置”中选择“使用DHCPv6客户端”
3. 勾选“请求IPv6前缀委派（DHCPv6-PD）”
4. 指定委派大小（通常为/56或/60）
5. 切换至LAN接口，配置IPv6分配方式为“从WAN接口继承前缀”
6. 启用“通告此接口上的IPv6连接”
7. 设置RA服务模式为“服务器模式”
8. 保存并应用配置
9. 重启网络服务或重启设备
10. 使用命令行验证：ubus call network.interface.wan6 status

五、ISP支持验证方法与工具链

并非所有运营商均默认开通IPv6。可通过以下方式验证：

• 访问https://test-ipv6.com检测公网IPv6连通性
• 执行curl -6 ifconfig.co查看出口IP是否为GUA
• 联系客服确认是否启用DHCPv6-PD支持
• 抓包分析WAN口流量：tcpdump -i eth0 icmp6 or port 546

若ISP仅提供Native IPv6但不支持PD，则需在路由器上手动配置静态前缀并启用SLAAC。

六、防火墙策略调整：保障ICMPv6与RA报文通行

IPv6依赖ICMPv6进行邻居发现（NDP）、路径MTU发现等关键功能。常见误拦截场景包括：

报文类型	目的	必要性	iptables/ip6tables规则建议
Router Advertisement (ICMPv6 Type 134)	地址自动配置	必需	-A INPUT -i br-lan -p ipv6-icmp --icmpv6-type 134 -j ACCEPT
Neighbor Solicitation (Type 135)	ARP替代	必需	-A INPUT -i br-lan -p ipv6-icmp --icmpv6-type 135 -j ACCEPT
Packet Too Big (Type 2)	MTU发现	推荐	-A FORWARD -p ipv6-icmp --icmpv7-type 2 -j ACCEPT

七、终端设备验证与故障定位

完成配置后，在终端执行以下命令验证：

# Linux/macOS
ip -6 addr show scope global
ping6 google.com

# Windows
ipconfig | findstr "IPv6"
ping -6 google.com

# 检查默认路由
ip -6 route show default
    

若仅有fe80::开头的链路本地地址，说明SLAAC未生效；若存在2xxx::地址但无法访问外网，需检查默认路由及防火墙NPTv6规则。