IPV6nat问题

你可以IPV6与IPV4并存的

一、两种出口方案优劣对比（直接回答你：只做纯 IPv6 出口可行，但双栈（IPv4+IPv6 出口）更推荐）
方案 1：仅 IPv6 出口（内网 IPv4→公网 IPv6）
实现技术：NAT64
原理：防火墙 / 路由器把内网 IPv4 报文翻译成 IPv6 报文访问纯 IPv6 互联网，回程 IPv6 转 IPv4；配套 DNS64 解析 IPv6 域名给 IPv4 终端。
优点：只拉一条 IPv6 运营商线路，省一条 IPv4 宽带。
致命缺点：
无法访问仅 IPv4 的网站、微信 / 钉钉 / 视频平台、企业 IPv4 业务系统；
NAT64 存在兼容性坑，部分 APP、小程序、内网业务会访问失败；
运营商极少只提供纯 IPv6 专线，基本都是 IPv4+IPv6 双栈。
适用场景：仅测试、实验室环境，不建议企业现网商用。
方案 2：出口双栈（IPv4+IPv6 同时上线，推荐企业标准方案）
内网 PC 双栈 / 仅 IPv4 均可上网：
内网 IPv4 设备：走 NAT44 访问 IPv4 公网；
内网如需 IPv6：设备配 ULA / 公网 PD 前缀，原生 IPv6 访问 IPv6 互联网；
内网纯 IPv4 设备也能通过NAT64访问 IPv6 网站；
兼容性拉满，国内绝大多数网站同时支持 IPv4/IPv6，无业务访问障碍；
运营商宽带默认赠送 IPv6 PD 前缀，无额外成本。
结论
技术上可以只做 IPv6 出口（NAT64），但商用风险极高；
最优方案：出口同时部署 IPv4 NAT44 + IPv6 原生互联网 + NAT64 兼容，兼顾新旧业务。
二、两种核心转换技术说明
1. NAT44（IPv4 内网→IPv4 公网，必配）
传统源 NAT，内网 IPv4 访问 IPv4 互联网，所有企业标配。
2. NAT64（IPv4 内网→IPv6 公网，你需求核心）
网关内置 NAT64 池，把内网 192.168.0.0/10.0.0.0 等私网 IPv4 映射为一段 64:ff9b::/96 的 IPv6 地址，实现跨协议访问；
必须搭配DNS64：DNS 服务器把 A 记录（IPv4）合成 AAAA 记录（IPv6），否则内网 IPv4 终端无法解析 IPv6 域名。
3. DS-Lite（不推荐企业）
运营商侧 CGNAT，企业内网不适用；
4. 6RD（淘汰，忽略）
三、H3C F1000 防火墙完整落地案例（内网纯 IPv4，出口双栈 + NAT64）
前置条件
运营商上联口获取公网 IPv4 地址 + IPv6 PD 前缀（如 2409:xxxx:xxxx::/48）；
防火墙全局开启 IPv6 转发；
内网安全域 trust（IPv4 私网）、外网 untrust（双栈运营商链路）。
步骤 1：全局基础 IPv6 开启
bash
运行
system-view
ipv6
ipv6 unicast-routing
ipv6 unreachables enable
# 开启NAT64全局功能
nat64 enable
# 配置NAT64固定转换前缀（标准64:ff9b::/96，不可修改）
nat64 prefix 64:ff9b:: 96
步骤 2：外网 untrust 接口双栈配置（运营商口）
bash
运行
interface GigabitEthernet 0/0
port link-mode route
# IPv4公网地址
ip address 203.0.113.10 255.255.255.0
# IPv6自动获取运营商PD前缀（拨号/静态按需调整）
ipv6 enable
ipv6 address auto
# 接口放行本机IPv6管理
allow access ping ssh https
步骤 3：内网 trust 三层接口（纯 IPv4，无 IPv6 地址）
bash
运行
interface Vlan-interface 10
ip address 192.168.1.1 255.255.255.0
步骤 4：配置 NAT64 地址池（内网 IPv4 转换为 IPv6 地址段）
bash
运行
nat64 address-group 1 64:ff9b::100 64:ff9b::fff
# 内网所有IPv4流量启用NAT64转换
acl number 3000
rule permit ip source 192.168.1.0 0.0.0.255 any
nat64 policy
rule 10 permit source 3000 address-group 1
步骤 5：DNS64 配置（关键，否则 IPv4 终端无法解析 IPv6 网站）
bash
运行
dns64 enable
# 匹配NAT64前缀
dns64 prefix 64:ff9b:: 96
# 配置公共DNS，同时解析A/AAAA记录
dns server 223.5.5.5
dns server ipv6 2400:3200::1
步骤 6：默认路由（IPv4+IPv6 双栈路由）
bash
运行
# IPv4默认路由走运营商网关
ip route-static 0.0.0.0 0 203.0.113.1
# IPv6默认路由走运营商IPv6网关
ipv6 route-static :: 0 GigabitEthernet 0/0
步骤 7：安全域放行跨协议流量
bash
运行
# trust内网 → untrust外网放行IPv4、IPv6、NAT64转换报文
security-zone interzone trust untrust
rule permit protocol ipv4
rule permit protocol ipv6
rule permit protocol icmpv4
rule permit protocol icmpv6
# untrust→local放行DNS、ICMPv6探测
security-zone interzone untrust local
rule permit protocol udp destination-port 53
rule permit protocol icmpv6
步骤 8：传统 IPv4 NAT44（访问 IPv4 网站必备）
bash
运行
nat address-group 1 203.0.113.50 203.0.113.100
acl number 3000
nat outbound 3000 address-group 1
四、仅纯 IPv6 出口简化配置（仅实验室测试，不建议商用）
删除所有 IPv4 公网地址、NAT44、IPv4 默认路由，仅保留 NAT64+DNS64+IPv6 外网配置；
缺陷：所有仅 IPv4 业务（微信、企业 OA、部分视频）全部无法访问。
五、配套交换机侧补充（内网纯 IPv4 无需改动）
内网接入 / 核心交换机不需要开启 IPv6，终端只分配 IPv4 地址，全部转换工作由出口防火墙 NAT64 完成。
六、常见故障与手册获取渠道
1. 访问 IPv6 网站打不开排查
检查nat64 enable、dns64 enable是否全局开启；
内网 PC DNS 填写防火墙内网 IP，不要填写纯 IPv4 DNS；
安全域放行 ICMPv6、UDP53 DNS 报文；
测试命令 ping ipv6 www.baidu.com 在防火墙上验证连通性。
2. 官方手册 & 案例获取
H3C 官网文档中心：搜索 NAT64 配置指导（Comware V7 防火墙完整手册）；
iKnow 知识库：关键词「内网 IPv4 访问 IPv6 互联网 NAT64 DNS64 案例」；
本地设备命令查看内置手册：display nat64 manual；
400 客服可下发 F1000/MSR 系列 NAT64 标准化实施案例文档。
七、落地总结
技术可行：内网纯 IPv4 只做 IPv6 出口靠NAT64+DNS64实现，但兼容性差，不适合企业正式业务；
最优方案：出口同时部署 IPv4 NAT44 + IPv6 原生互联网 + NAT64 兼容，全网网站全兼容；
核心组件缺一不可：NAT64 地址池、64:ff9b::/96 固定前缀、DNS64 域名解析、IPv6 默认路由、域间放行双栈流量；
内网终端无需修改，保持原有 IPv4 地址即可同时访问 IPv4、IPv6 互联网。