服务器增加 IPv6 地址并发布 AAAA 记录后，原来针对 IPv4 配置的安全组和系统防火墙不一定自动覆盖新协议。IPv6 通常给接口分配可全球路由的地址，不依赖传统 IPv4 NAT 才能通信；如果应用监听 [::] 且入站规则过宽，服务可能直接暴露在公网。启用 IPv6 应当视为一次新的网络上线，而不是给现有地址多加一条 DNS 记录。
NAT 不是完整安全边界
IPv4 家庭和企业网络常借助 NAT 共享公网地址，未配置端口映射时入站连接通常难以直接到达内网设备。但真正控制访问的仍应是有状态防火墙、云安全组和应用认证。IPv6 没有传统地址转换，并不代表它天然不安全；它只是要求团队明确配置入站策略，不能依赖“没有做端口映射”获得偶然阻挡。
先盘点应用实际监听了什么
不少软件使用双栈套接字，监听 [::]:443 时可能同时接收 IPv6 和 IPv4，具体行为受操作系统设置影响。检查 Web、SSH、数据库、容器端口和管理面板的监听地址，确认哪些服务需要公网 IPv6，哪些只应绑定回环或内网接口。
- 业务 Web 端口是否需要双栈公开；
- SSH 和管理后台是否限定到受控来源或专用网络；
- 数据库、缓存、消息队列是否误监听所有 IPv6 接口；
- 容器端口发布是否同时创建了 IPv6 规则；
- 监控与日志是否能记录并解析 IPv6 地址。
云安全组和主机防火墙要分别检查
| 层级 | 检查内容 |
|---|---|
| 云安全组 | IPv6 入站/出站规则、来源前缀、端口和关联实例 |
| 网络 ACL | 子网级 IPv6 规则、返回流量和优先级 |
| 系统防火墙 | nftables、firewalld、ufw 或平台对应规则是否覆盖 IPv6 |
| 应用 | 监听地址、认证、反向代理与访问控制 |
| 外部防护 | CDN/WAF 是否代理 IPv6，源站能否被绕过直连 |
安全组放行不等于主机一定放行，主机规则正确也不能抵消一个过宽的云入口。建议默认拒绝不需要的入站，再按业务开放明确端口和来源。
不要一刀切屏蔽所有 ICMPv6
IPv6 的邻居发现、路径 MTU 发现和错误通知依赖 ICMPv6 的必要类型。全部禁止可能出现“能连接但传大包失败”、邻居不可达或路由异常。应参考操作系统、云平台和网络设备官方建议，允许协议正常运行所需的 ICMPv6，同时限制不必要流量并做好速率控制。
遇到 HTTPS 小页面正常、大响应卡住时，要考虑路径 MTU 与 ICMPv6 被拦截，而不只是应用超时。
AAAA 发布前后的稳妥顺序
- 确认服务器 IPv6 地址、网关、DNS 和出站连通正常。
- 配置云安全组、主机防火墙与应用监听，只开放必要服务。
- 从获授权的外部 IPv6 网络直接测试地址和域名。
- 检查 TLS 证书、SNI、CDN/WAF、日志和告警均支持 IPv6。
- 再发布 AAAA 记录，设置适合变更期的 TTL 并逐步观察。
- 验证 IPv4 与 IPv6 双栈结果，确认失败时客户端不会长时间卡顿。
可以使用极跃圈收录的IP 检测工具辅助核对出口、ASN 和公开可见地址，但端口验收只应针对自己的服务器或明确授权目标。
IPv6 白名单写法要适应前缀
IPv6 地址较长，运营商或云环境可能按前缀分配。企业要明确允许单个地址还是受控网段，不能为了方便直接放行 ::/0。终端使用隐私地址时，接口标识可能变化，不适合按单一临时地址做长期高信任白名单；服务器则应使用稳定、可管理的地址和 DNS。
日志与限流要测试 IPv6 维度
旧日志解析器、数据库字段和 WAF 规则可能假设 IPv4 最长 15 个字符，导致 IPv6 截断或记录失败。按 IP 限流时，也要评估攻击者是否能在分配前缀内更换地址，单地址规则未必足够。不要简单把所有 IPv6 压缩成同一标识，也不能误伤整个运营商大网段。
常见上线故障
IPv4 正常、IPv6 超时：检查 AAAA、路由、安全组和监听。能 ping 但 HTTPS 不通：检查业务端口与 TLS，不要把 ICMP 成功当作应用成功。源站绕过 CDN 可访问：IPv6 防火墙可能没有同步 CDN 回源限制。部分客户端慢：检查错误 AAAA、IPv6 路径和客户端回退时间。
IPv6 上线完成后，把地址、前缀、DNS、规则、负责人和最近测试时间纳入资产台账。每次新增服务都同时审查 IPv4 与 IPv6，才能避免半年后出现“只修了一半防火墙”的配置漂移。
