IPv4地址枯竭这句话，我干网络这行十几年，几乎每年都能看到有人把它当成焦虑贩卖的标题。但说实话，从“即将枯竭”到“正在枯竭”再到“已经枯竭”，这十几年我是真真切切看着它在发生。如今这已经不是一个预测性的话题，而是每一个做网络、做运维、做应用开发的人都能感受到的现实约束。
不过大家嘴上都在聊IPv6，真把它讲透的没几个。多数人的认知还停留在“IPv6就是地址长一点、多一点”，但实际接触下来会发现，地址长度只是最表层的差异，真正影响我们工作方式的，是它的地址分配逻辑、无状态自动配置、邻居发现机制，以及和现有IPv4网络长期共存的过渡策略。这篇主要想从一个从业者的角度，把IPv6的优势、部署现状和实操里的坑一次说清楚。不管你是做运维的、做开发的，还是家里宽带用户想搞清楚自己路由器上那个IPv6开关到底有什么用，这篇都适合你。
1. IPv4地址枯竭：焦虑是真的，但也别只会背那个42亿数字
1.1 42.9亿个地址听起来不少，怎么就不够用？
IPv4的地址空间是2的32次方，也就是约42.9亿个地址。这个数字在互联网刚起步的年代，简直像天文数字一样充裕，因为设计者根本预想不到之后会出现人手一台联网设备的场景。
问题出在早期地址分配的方式上。那时候用的是分类编址，A类地址每个网络可以容纳1677万台主机，B类可以容纳65534台，C类只有254台。听上去挺有层次，但实际操作中浪费极其夸张：一个机构申请一个A类地址段，实际上可能只用了几千个地址，剩下的大片地址就永远躺在那里没人用。等到后来意识到问题严重，才提出CIDR无类别域间路由和VLSM可变长子网掩码来救场，这确实缓解了分配效率的问题，但并没有增加哪怕一个地址。地址池总量就摆在那里，怎么精打细算都改变不了坐吃山空的结局。
我入行那会儿，正好赶上全球IPv4地址池加速枯竭的阶段。先是顶层地址池用尽，然后是全球各地区注册机构手里的地址陆续见底，最后各运营商和云厂商手里的存量地址也变成了稀缺资源。那种感觉就像一个大水库，明知道水还剩多少，但每年新增的水龙头却越来越多。
1.2 NAT是救火队员，不是长久方案
IPv4不够用怎么办？当年的解决方案是NAT网络地址转换。大家家里路由器上的192.168.x.x私网地址，背后其实就是一整片设备共用一个公网IP。运营商再做一层运营商级NAT，更是把一大片用户藏在少数几个公网地址后面。
NAT确实把地址枯竭的问题往后推了很多年，这套方案便宜、有效、部署即用，所以全球都在这么干。但它是有代价的，而且这个代价随着业务形态的变化越来越大。
最典型的问题就是端到端通信变得非常别扭。在纯IPv4的世界里，两个设备想直接建立通信，中间隔着NAT就没法直接互通，必须想各种办法打洞、中转、搭桥。做P2P传输、游戏联机、视频通话、远程桌面，全都绕不开NAT类型的问题，NAT类型严格的时候，两个客户端根本连不上对方。还有FTP这种祖传协议，主动模式、被动模式里全是地址转换的阴影，做了十几年运维的人谁没被FTP的NAT问题折磨过。
所以说NAT是救火队员，不是长治久安的方案，它能延缓枯竭，但解决不了端到端的问题。
1.3 移动互联网和物联网把这根弦推到了极限
要说真正把IPv4枯竭推向临界点的，是两波浪潮的叠加。第一波是移动互联网，每个人都至少有一台手机，手机出厂默认就要联网分配地址，几亿台手机一拥而上，对地址的消耗速度是指数级的。第二波是物联网，智能家电、摄像头、传感器、车联网设备，每一个都要身份、都要地址，这要是搁IPv4时代，地址配额根本就是天文数字。
实际工作中我遇到过不少这样的情形：企业内部设备不够分，只能不断叠加NAT层级，办公网一层、机房一层、云端一层。每一层NAT都意味着排障链路变长，日志里看到的源地址全是假的，做风控、做审计、做安全策略都变得越来越困难。这也是后来很多企业开始认真考虑IPv6的动因之一，因为地址枯竭不只是技术问题，更是业务问题。
2. IPv6究竟强在哪：不只是“地址变长了”
2.1 128位地址空间这个概念，值得掰开揉碎讲
IPv6最常被提起的就是地址从32位变成128位，即2的128次方个地址。这个数字大到什么程度呢，我每次给人解释都会用这么一个比喻：如果把地球上的每一粒沙子都分配几十亿个IPv6地址，这个池子依然是用不完的。
和IPv4最大的区别还不在数量本身，在于它彻底改变了过去那种“地址不够就要凑合”的生存逻辑。在IPv6的规划里，不需要NAT去勉强延续，哪怕一个家庭的局域网都可以分到一个外层前缀，内部再随意划分子网，每个设备都拿到一个全球唯一的、公网可达的地址。这意味着端到端的通信能力回来了，互通性回来了，排障的时候再也不用一层层去翻NAT转换表。
地址结构本身也更讲究层次化设计。全球单播地址的前缀规划按TLA、NLA这种层级结构做了聚合，运营商之间只要交换少量聚合路由，骨干路由器的路由表就能保持精简。当年IPv4因为“路由表膨胀”头疼的问题，在IPv6的世界里先天就要好处理很多。
在实操里，IPv6地址的表示也比IPv4麻烦一点，冒号十六进制的格式看起来很长，例如2408:XXXX:XXXX:1::A这种写法。这里有一个小技巧：连续的全零段可以用双冒号::压缩一次，比如2001:db8:0:0:0:0:0:1可以写成2001:db8::1。还有一个习惯问题，手输IPv6地址容易错，但熟悉之后会发现它比IPv4更规整，因为每段固定16位，位数不需要像IPv4那样靠点分十进制猜来猜去。
2.2 无状态即插即用，SLAAC到底做了什么
IPv4时代，设备接入网络想要一个地址，正常情况下得有一个DHCP服务器给它分配。家里的路由器在跑DHCP，公司的DHCP服务器上还挂着地址池、租期、保留绑定这些配置。一旦DHCP服务器挂了，新设备全都拿不到地址，老设备的租约也慢慢熬干。
IPv6引入了一个颠覆性的机制——SLAAC，无状态地址自动配置。简单来说，路由器周期性地发送路由器通告，告诉链路里的设备“我这个前缀是什么”，设备收到之后自己用这个前缀加上一个接口标识拼出一个IPv6地址，根本不需要一个中心化的服务器来发地址、记录租约。
这种机制的好处是即插即用，一件设备物理接入就能自动拿到地址上网，配置量趋近于零。它让终端的部署成本下降了很多，尤其是面对物联网设备、智能硬件这种海量接入场景，SLAAC几乎是唯一现实的方案。不过无状态带来的管理难题也客观存在：设备自己拼地址，管理员很难像IPv4的DHCP那样用租约列表去追踪每一台设备的地址情况。所以在需要更精细的管理时，IPv6也有DHCPv6来补齐，它可以把DNS、域名后缀这些信息一并下发。
这里有个实用细节很容易被忽略：SLAAC本身默认不分配DNS服务器信息，纯SLAAC网络里设备拿到了IPv6地址却不知道去哪找DNS，这在实际部署中非常坑。要么配合DHCPv6下发DNS，要么在RA路由通告里携带DNS选项，否则很容易出现“能Ping通但打不开网页”的怪状态。
2.3 丢广播、留组播，NDP和IPv6路由的工作方式
IPv4网络里广播是一个又土又暴力的机制：ARP地址解析协议靠广播喊“谁是这个IP”，发现邻居也靠广播，整条链路上所有设备都会收到这些请求，既浪费带宽又容易被放大攻击。
IPv6直接把广播取消了，替代方案是组播。地址解析、路由器发现、重复地址检测这些操作都通过组播去完成，只有感兴趣的节点才会接收，效率完全不是一回事。这一套在IPv6里有个专门的名字叫邻居发现协议NDP。NDP承担了IPv4里ARP加ICMP路由发现加重定向的混合职能，包括地址解析、邻居不可达检测、前缀发现、重复地址检测和重定向。
举个实际例子：新设备接入一个IPv6网络，它会向组播地址发送一个邻居请求，问链路上有没有其他人也打算用我这个地址，如果有回应说明地址冲突，没有就正式启用。整个过程不需要额外的ARP广播，也不需要中心节点来管，纯靠链路本地通信完成。
但NDP也带来一个运维上的新坑，防火墙如果不知道放行ICMPv6的相关报文，整个IPv6的网络就变得极其诡异。IPv4的防火墙屏蔽Ping还好，顶多是不好排查；IPv6里如果屏蔽了邻居发现的报文，设备之间就像在黑灯瞎火的走廊里互相喊但看不清谁是谁，表面上指示灯都亮着，实际业务全断。
2.4 关于安全：IPsec不是免费午餐，这个误解需要纠正
市面上提到IPv6安全，最常见的说法就是“IPv6自带IPsec，所以天生安全”。这话在IPv6早期设计的确是一种美好愿望，但真相并不是这样。
IPsec确实是一个完整的安全协议套件，提供加密、完整性校验和防重放，而且IPv6的扩展头机制很适合挂载IPsec。但在后来的标准演进中，IPsec在IPv6里的地位从“必须实现”变成了“应当实现”，实际部署中很多节点根本没有启用IPsec。换句话说，IPv6地址是公网可达的，不代表你的IPv6流量自动加密了，更不代表你的防火墙能自动防攻击。
我自己测试过不少网络环境，开启IPv6之后，端口扫描照样扫得到一堆开放端口，并没有因为地址空间变大就安全了。地址空间大确实让盲目扫描的难度提升了一些，但如今攻击者完全可以利用路由通告、NDP探测、DNS反向映射来发现活跃主机，指望靠地址量级做安全是自欺欺人的。
真正要做好的IPv6安全，依然是老一套：主机防火墙、边界防火墙、入站过滤、日志审计、前缀过滤。IPv6只是换了一个地址平面，安全方法论并没有改变。
3. 部署现状：别再问“IPv6到底来没来”
3.1 移动网络和家庭宽带，其实早就跑在IPv6上了
很多人一提到IPv6总觉得还在试验阶段，但如果你在手机上看一下网络详情，大概率会发现自己的数据连接已经拿到IPv6地址了。移动网络是IPv4地址压力最大的场景，运营商用户基数大、人均占用的连接数又高，不引入IPv6根本扛不住，所以运营商的移动网络很早就开始做IPv6改造，而且推进速度比较快。
什么概念呢，现在的主流手机在默认状态下基本都是IPv6优先，也就是同时有IPv4和IPv6地址时，系统会优先尝试用IPv6去访问目标网站，只有目标只支持IPv4时才回落到IPv4。这背后的机制是RFC 6724的地址选择规则，大家日常用手机刷网页、看视频，其实很多流量早就在走IPv6了，只是用户感知不到而已。
家庭宽带这块也差不多。现在很多宽带用户的光猫和路由器后台里其实都已经默认分配了IPv6前缀，只不过大多数人的注意力不在这上面，从来没注意过。我帮朋友排查网络问题的时候，经常是让他看一眼路由器状态页，结果IPv6一栏里WAN地址、LAN前缀早就在了，只是他从没翻到过那一页。
但家庭宽带的IPv6落地质量差异很大，有些区域只是分配了一个/64前缀，路由器只能给整个内网分一个网段，家里搞多VLAN、多种网段的基本就废了。有些区域干脆就没有分IPv6前缀，后台页面上那个IPv6开关永远是灰色的。这种区域差异短期内不太可能彻底抹平。
3.2 云、CDN和大站的IPv6情况：挂不挂AAAA记录差别很大
内容侧和云侧的IPv6部署，直接决定了普通用户能不能真正用上IPv6。目前主流的云平台基本都支持IPv6了，但支持的深度不一样。有的云主机申请一个IPv6地址就和购买云盘一样简单，一步到位；有的则要自己折腾IPv6网关、NAT64、双栈VPC，流程繁复，劝退不少用户。
CDN行业对IPv6的接纳程度普遍比较高。大流量内容分发场景对地址资源的需求本来就大，而且CDN厂商做技术的资源也更充足，所以大型网站的静态资源基本都有IPv6能力了。但网站首屏的HTML页面是否解析AAAA记录，是否双栈返回，就是另一回事了。
我自己遇到过不少网站，AAAA记录挂在DNS里，但解析之后回源链路没适配好，IPv6用户访问时要么超时、要么证书链路报错、要么被安全组件拦截。这就是典型的“表面支持，实际半残”。所以说看一个网站是不是真的支持IPv6，不要只看有没有AAAA记录，要实际用IPv6环境去访问、去下载、去传数据，才能真正感受到体验顺不顺。
还有一个经常被忽视的地方是邮件服务器。很多人觉得自己域名解析了AAAA就是支持IPv6了，结果邮件服务器的发送环节根本没接IPv6，或者反向解析PTR记录没配，发出的邮件很容易被对端当成垃圾邮件。IPv6不是加上就完事，配套的反向DNS、SPF记录、域密钥都要跟着更新一遍。
3.3 双栈是主旋律，过渡技术里NAT64还有戏
过渡技术这个题目，过去十几年折腾出过差不多一箩筐的方案：6to4、Teredo、ISATAP、6over4，光是记这些名字就够人喝一壶的。实际走到今天，能稳定活在生产环境里的方案已经比较清晰了。
目前全球通行的主流策略是双栈，就是IPv4和IPv6同时跑，老用户继续用IPv4，新用户走IPv6，两边互不相欠。这套方案的好处是兼容性最强，风险最小，缺点是仍然要同时维护两套地址体系，地址枯竭的问题在纯IPv4侧依然没解决。
另外一类比较有实用价值的是NAT64和DNS64的组合。NAT64负责把IPv6报文转换成IPv4报文，DNS64负责在DNS层面把只有IPv4记录的域名“合成”成IPv6地址，让一个纯IPv6-only终端也能访问只有IPv4的站点。这个方案在运营商的新建网络里很常见，因为纯IPv6接入对运营商地址收益和管理简化最有吸引力，但用户还要访问老旧的IPv4站点，NAT64就成了基础底座。
6to4和Teredo这两兄弟基本已经退出历史舞台，性能差、兼容性差、安全隐患多，我在生产环境里看到它们的概率极低，遇到之后的第一反应也是建议直接关掉。技术迭代就是这样一个淘汰过程，各种思路都试过、吵过、踩过坑，最后沉淀出来的才进生产环境。
4. 自己动手：检查、开启、配置IPv6的完整路径
4.1 先确认你到底有没有在用IPv6
聊了这么多理论，不如先动手验证一下自己到底有没有在用IPv6。我平时排障的第一件事就是确认终端状态，方法很简单，不需要装任何第三方工具。
Windows电脑直接打开命令行，输入ipconfig，会看到网卡信息里有一堆地址。如果出现两百多位的冒号分隔的IPv6地址，尤其是开头以24开头的、30开头的，那就说明你已经在用运营商分配的IPv6了。如果没有，再往后翻，本地回环地址和链路本地地址不算数，真正有效的必须是2001、240e、2408之类可全局路由的全球单播地址。
macOS和Linux这边类似，ifconfig或ip -6 addr show都可以看到IPv6地址。拿到地址之后还只是第一步，紧接着要做的是连通性测试。可以直接Ping一个IPv6地址来验证基础联通，也可以通过专门的IPv6连通性测试网站来检测，这类页面会依次检测IPv6地址连通性、DNS解析是否支持IPv6、以及是否存在IPv4泄漏等问题，测完会给你打分。
我个人的习惯是三个步骤连着做：先看有没有地址，再Ping通不通，最后用测试页面上层应用是否正常。如果只有地址但Ping不通，大概率是对端不支持或者中间路由出了问题；如果Ping得通但测试页面提示“IPv6 DNS解析失败”，那就要优先排查本机DNS设置以及运营商的DNS是否支持AAAA记录解析。
4.2 家用路由器开启IPv6的具体步骤
家用路由器这块，市面上的主流品牌基本都内置了IPv6开关，位置一般藏在“网络设置”或者“上网设置”的子菜单里，有的叫IPv6，有的叫“IPv6配置”。开启思路大同小异，最重要的其实是分清接入模式。
如果你的家宽是常见的PPPoE拨号上网，路由器里的IPv6接入方式应该选“PPPoE”，也就是让路由器拿着同一个拨号账号去同时获取IPv4和IPv6地址。如果你家光猫已经做了路由模式，路由器这边获取到的是运营商DHCP分配的地址，那么IPv6接入方式对应的选项一般是“DHCP”或者“Native”。还有一种情况是光猫改了桥接，路由器直接拨号，而光猫只是透传，那么只要PPPoE拨号能成功，IPv6前缀也会自动下发。
开启之后，LAN侧的设置是关键。家用路由器默认应该开启“IPv6路由器通告”和“DHCPv6服务器”，让内网设备通过SLAAC加DHCPv6拿到地址和DNS配置。这里有一个很需要注意的点：有的路由器默认把IPv6地址分配方式定死在“静态”或者“仅用DHCPv6”，这样部分设备可能只能拿到IPv4，你的手机和笔记本连上了Wi-Fi但IPv6实际上是缺失的，所以分配方式一定要选“无状态+有状态混合”模式。
实测下来，家里路由器开了IPv6之后最直观的变化是访问那些硬性要求IPv6的资源不再转圈了，比如PT站、某些国际学术资源、还有Windows更新部分节点。但要注意，开了IPv6之后主机的防火墙规则也会跟着变，倘若路由器自带的IPv6防火墙过于宽松，内网设备相当于直接曝光在公网，这是非常危险的一件事。建议开启之后顺便检查一下路由器防火墙上有没有对入站方向的默认策略，如果不能理解那些规则，就保持默认并定期升级固件，尽量避免自己乱改。
4.3 服务器站点接入IPv6要注意什么
如果你有一台云服务器或者自建机房里的服务器，要给站点接入IPv6，步骤和IPv4并没有本质区别，但多出几个细节必须处理干净。第一个就是DNS记录，除了A记录还得解析一条AAAA记录到服务器的IPv6地址，不然IPv6用户根本找不到你的站点。
其次是安全组和防火墙，这是最容易翻车的一环。IPv6的入站规则配置和IPv4安全组是独立的，很多人在云控制台上只给IPv4的80和443端口配了放行，换到IPv6之后所有端口全部默认拒绝，然后一口咬定是“IPv6连不上”。数据库、SSH、监控、备份这些服务如果要在IPv6上工作，安全组规则必须逐一补齐，尤其是ICMPv6相关报文，建议明确放行，否则MTU探测和邻居发现都可能出问题。
应用层协议和日志系统也要跟着改造。不少老掉牙的服务代码里写死了IPv4地址校验，拿IPv6地址一塞进去就报错；日志系统里存储的IP字段还按IPv4长度去设计，IPv6地址塞进去直接截断。办公场景里我见过太多这种历史包袱，所以如果你的业务要正式开放IPv6，我建议提前做一轮代码审查，把和IP相关的字符串处理、日志分析和访问控制都测一遍IPv6场景。
5. 常见问题排查与避坑心得
5.1 我遇到的典型IPv6故障清单
做IPv6这一年多来，我前前后后整理过不少故障案例，这里挑几个最有代表性的说说。
第一个怪现象是路由器WAN口有IPv6地址、LAN侧也发着前缀，但电脑就是拿不到IPv6。排查下来往往是路由器LAN侧的RA路由器通告没开，设备没有触发SLAAC，自然拼不出地址。路由器的IPv6开关开了、WAN侧地址也有了，很多人就以为万事大吉，其实LAN侧分发选项也要核对一遍，这个选项在各个品牌路由器里的名字五花八门，有的叫“下发前缀”、有的叫“Router Advertisement”、有的叫“IPv6地址分配”。
第二种情况是设备拿到了IPv6地址，Ping得通IPv6的Ping包，但打开浏览器访问网站就是不行。这种一般不是路由问题，而是DNS问题：设备的IPv6 DNS地址配置出错，或者没有通过DHCPv6获得DNS服务器，导致AAAA记录根本无法解析。用命令行nslookup试一下解析目标域名，如果返回不了IPv6地址，基本就锁定了这一环。
第三种非常隐蔽的问题出现在MTU上。IPv6对分片的处理方式和IPv4不一样，IPv4允许路上路由器帮忙分片，IPv6则要求端到端做路径MTU发现，也就是先发大包探测，收到“包太大”的ICMPv6消息再缩小。倘若防火墙或者设备把ICMPv6类型2报文丢弃了，源端就永远等不到降MTU的通知，业务就卡在“大包发不过去、小包正常”的诡异状态。表现就是网页能打开一部分、视频卡顿、SSH偶尔断流，但小数据包都正常，这类问题排查起来特别耗时间。
5.2 这几个坑，几乎每个新手都会踩
IPv6开启之后，第一件要留神的事是“裸奔”。IPv4时代大家习惯了内网私有地址天然躲在NAT后面，觉得安全无忧，IPv6给了每个设备一个公网可路由的地址，这层天然屏障直接没了。我见过不少家庭用户，开了IPv6之后连路由器的默认防火墙都不检查，结果打印机、NAS、摄像头全部处于完全暴露状态。开IPv6之前，务必确认路由器的IPv6防火墙默认策略至少是“阻止入站”，有特殊需求再按端口一步步放行。
第二个大坑是运营商只给一个/64前缀。从纯技术角度，/64是最科学的前缀长度，因为SLAAC必须依赖64位接口标识，低于/64就没办法做无状态配置。但不少家宽用户希望自己在路由器后面划多个网段、做VLAN隔离、给不同设备分不同子网，结果运营商只给了一个/64，LAN侧设备再想分配子网，就完全不够用了。遇到这种情况，只能看运营商有没有开通更大前缀的业务，比如一些网络环境里会提供/56或/60。如果是企业网络，建议在申请IPv6资源时直接明确要求/48甚至更短一段，给内部留够规划空间。
第三类坑是老旧设备与IPv6的兼容性问题。物联网时代各种智能家居设备鱼龙混杂，很多设备出厂时的协议栈停留在IPv4专用年代，开启IPv6之后它们既拿不到IPv6地址，又可能因为在双栈环境里走了错误的网络路径而表现异常。我处理过智能音箱配网失败、摄像头连不上云服务器这类问题，最后都是暂时关闭Wi-Fi的IPv6或者单独划分一个IPv4-only的SSID解决的。新设备看规格表的时候多留意一下“IPv6 Ready”之类的标识，条件允许尽量买支持IPv6的新款，省得后续折腾。
5.3 报错速查表
为了让你少走几步弯路，我把日常排障里遇到的高频问题整理成了速查表，按现象定位原因，基本可以覆盖90%的日常故障。
| 故障现象 | 可能原因 | 快速排查方向 |
|---|---|---|
| 电脑无IPv6地址 | 路由器RA未开启或网卡禁用IPv6 | 检查LAN侧RA/DHCPv6设置；Windows确认ipconfig里IPv6协议启用 |
| 手机Wi-Fi有IPv6，流量打不开网页 | 运营商侧DNS未返回AAAA记录 | 切换DNS服务器手动指定IPv6 DNS试一下 |
| Ping IPv6通但网页打不开 | 本机DNS没有AAAA结果或系统DNS/代理干扰 | nslookup验证AAAA解析结果，检查DNS配置 |
| 视频会议/在线游戏延迟高 | 路由路径回程绕路或中间丢弃ICMPv6大包 | traceroute6对比路径，测试将MTU手动降低后再看表现 |
| 内网NAS等设备外部访问不到 | 路由器IPv6防火墙默认拒绝入站或过滤策略过严 | 放行需要对外开放的端口并限制来源IP范围 |
| IPv6地址变化频繁 | 系统启用了隐私扩展或运营商动态前缀变更 | 这是正常机制，如需固定地址可配置静态地址或检查前缀租约 |
| 邮件发信被对方标记垃圾 | 发信IPv6地址缺少PTR反向解析 | 联系服务器服务商配好IPv6的PTR记录，同时检查SPF处理IPv6列表 |
上次整理完这张表之后，我再想强调一个容易被忽略的点：如果故障集中在“某个特定网站打不开”，不要急着怀疑自己的IPv6配置，先试试在IPv4环境里访问该网站是否正常。如果IPv4下也有问题，那就是目标站点自身的事，跟你的网络没关系；如果IPv4正常、IPv6有问题，那再按表一层层往“DNS-路由-防火墙-应用适配”四个方向查，会快得多。
最后分享一个我自己的操作习惯
做了这么多年网络，我对IPv6的态度其实经历过一个明显转变。早期觉得这东西短期内用不上，拖着不学不部署也没问题；后来被实际业务里的地址不够用、NAT层层加码折磨过之后，才意识到晚动手不如早动手。现在不管是做新系统规划、写安全基线、选型设备，我都会主动把IPv6考虑进去，宁可先开着、对着文档把防火墙规则配透，也不愿等到业务上线了再临时补课。
这个小习惯想推荐给大家：每当你新配置完一台支持IPv6的设备或应用，一定要当场做一轮完整的双栈验证，包括地址获取、Ping通、域名AAAA解析、上层应用连通、防火墙规则生效五个步骤。当时顺手做完这套检查只要几分钟，但可以避免很多“以为配好了结果业务跑不起来”的事后焦虑。技术这东西，不怕不会，就怕一知半解地上了生产环境，IPv6的收益是长期的，踩坑也是长期的，早一点认真对待，总比被故障推着走强得多。
