① 项目背景
稀土高新区一个集团园区，上级要求完成IPv6规模部署，集成的公司来了三天，把出口地址换成IPv6，内网还是老样子，业务系统访问不了IPv6资源，测评一项都没过。信息中心主任把测评报告拍我桌上，说你看看，钱花了，字也签了，就是不通。
② 咨询设计
IPv6不是换个地址，是从出口到终端的双栈。出口向运营商申请前缀委派，拿到一个/56，核心交换机按VLAN切/64，每个业务段一个。地址分配SLAAC和DHCPv6并行，RA里M和O标志按需设，服务器段用DHCPv6固定地址，终端段用SLAAC。DNS要加AAAA记录，内网解析走双栈转发。有几台老设备不支持IPv6，用NAT64加DNS64做过渡，别硬逼着业务改代码。
③ 施工规划
先出地址规划表，按楼栋、楼层、VLAN分配，预留百分之三十。接入层开RA Guard和DHCPv6 Snooping，这两个不开，一个家用路由器插上来发RA，整层楼的默认网关就被改了，这是IPv6改造最常见的翻车点。ICMPv6不能一禁了之，邻居发现要靠它，禁了全网不通。核心和接入的IPv6路由用OSPFv3，和原有IPv4的OSPF进程分开。终端的地址生存期也要调，RA里的首选生存期设七天、有效生存期三十天，太短会让打印机这类设备频繁换地址，太长又不利于回收。DNS64的前缀用标准64:ff9b::/96，别自己乱改，改完老设备解析全乱。
④ 安全补丁
IPv6没有NAT，内网地址全球可达，很多客户没意识到这一点，以为还跟以前一样藏在NAT后面。出口防火墙必须配默认拒绝的策略，只放行明确的服务；内网做ND Inspection，防地址欺骗；关闭不必要的过渡隧道协议，6to4和Teredo是绕过边界策略的经典通道。上线前从外网做一次IPv6地址扫描，看看有多少设备直接暴露，扫出来十一个，包括两台打印机和一台摄像头。
⑤ 验收交付
内外网IPv6连通率百分之百，访问时延与IPv4差4毫秒以内。双栈终端优先走IPv6，用抓包确认没有回落到IPv4。测评相关项逐条对照，全部达标。交付地址规划表、设备配置备份、以及一份给运维的排障手册，写清楚ping6不通先看RA再看NDP表。
⑥ 售后承诺
IPv6的坑在后头，我们承诺2小时到场，配置模板和规划表终身维护。大年三十电话通着，17704868686。园区扩楼加VLAN，把段号发我们，十分钟给你算出该配的/64。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）