IPv6 基础：地址、SLAAC 与邻居发现

理解地址及其作用范围

IPv4 使用 32 位、以十进制表示的地址；IPv6 使用 128 位，写成八组十六进制数。IPv6 使用组播而不是广播，路由器不会对 IPv6 包进行分片。一个接口通常可以同时持有多个 IPv6 地址。

每组内的前导零可以省略。连续的全零组可以用 :: 替代，但每个地址只能使用一次。为了保持文档一致，应使用小写，并压缩最长的连续零组。例如，2001:0db8:0000:0000:0000:0000:0000:0001 可以先写为 2001:db8:0:0:0:0:0:1，再缩写为 2001:db8::1。

• 全球单播，以 2000::/3 为例：用于全球可路由通信。
• 链路本地地址 fe80::/10：作用于接口所在链路，不离开该链路。
• 唯一本地地址 fc00::/7：用于私有路由环境。
• 组播地址 ff00::/8：用于一对多通信。
• 回环地址 ::1/128：指本地主机。未指定地址为 ::。

SLAAC 与 EUI-64 示例

路由器通告发布前缀和标志。无状态地址自动配置允许主机根据通告前缀及接口标识符生成地址。这里用修改后的 EUI-64 展示构造接口标识符的一种方法；不能据此理解为每个地址都必须暴露基于 MAC 生成的标识符。

从 MAC 00:11:22:33:44:55 出发，在两半之间插入 FF:FE，并翻转首字节的通用/本地位，得到 02:11:22:FF:FE:33:44:55。生成的接口标识符为 0211:22ff:fe33:4455。与前缀 2001:db8:1:1 结合，示例地址是 2001:db8:1:1:0211:22ff:fe33:4455。

邻居发现承担多项任务

ICMPv6 邻居发现用于寻找邻居和路由器、检查可达性，并支持重复地址检测。SLAAC 使用路由器通告；DHCPv6 可以提供额外信息或有状态地址。默认网关通过路由器通告学习，而不是通过常规的 DHCPv6 网关选项获得。

封禁所有 ICMPv6 会破坏必要功能。应有针对性地允许所需消息类型，并控制不需要的流量。诊断路由和本地通信时，地址作用范围与前缀同样重要。

有计划地运行 IPv6

许多系统默认启用 IPv6。只监控 IPv4 可能遗漏不受控路径和配置错误。地址规划、AAAA 记录、路由、防火墙、VPN、监控和日志，都必须覆盖两种协议。NAT 不是必需的安全组成部分；入站连接应由有状态防火墙规则控制。

双栈支持逐步采用 IPv6，但暂时增加了排障范围。应明确、分别测试 IPv4 和 IPv6，避免一条正常路径掩盖另一条故障路径。