适用场景

IPv6 上线后常见的三个问题：终端拿到地址但上不了网（缺 RA 或路由）、地址冲突（ND 无防护）、应用只监听 IPv4。

配置步骤（ND 与 RA 安全防护）

# 华为
dhcp snooping enable
ipv6 nd snooping enable
ipv6 nd ra guard
# H3C
ipv6 nd ra guard
ipv6 nd snooping enable
# 接入层开启，上联口设为信任

关键参数与建议

  • 地址分配：SLAAC（简单）vs DHCPv6（可管理、可审计），按管理要求选
  • RA 通告参数（前缀、网关、DNS）要统一，避免多台设备都发 RA
  • ND 安全：开启 RA Guard、ND Snooping 防地址欺骗
  • 双栈应用要监听 :: ，并确认防火墙同时放通 IPv6 策略
  • 过渡技术按场景选：双栈优先，隧道技术与 NAT64 仅作过渡

容易踩的坑

  • 未开 RA Guard，伪造 RA 可劫持全网 IPv6 流量
  • 接入与上联口配置相同，合法 RA 被一起拦截
  • 只防 IPv4 ARP 欺骗忽略 IPv6 ND 欺骗

验证与巡检

display ipv6 nd snooping
display ipv6 nd ra guard
  • 巡检：RA Guard 仅信任上联、ND Snooping 表正常

小结

IPv6 验收与 IPv4 不同的一点：一定要在纯 IPv6 环境测一次（关闭 IPv4），否则很多问题会被 IPv4 兜底掩盖。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。