IPv6 出口改造：向运营商申请什么地址？NPTv6 / NAT66 怎么配？

IPv6 出口改造：向运营商申请什么地址？NPTv6 / NAT66 怎么配？  

    分享AF IPv6改造的实施经历，欢迎交换意见。

    —— 深信服 AF 8.0.45 / 8.0.107 · 两张矩阵讲透 12 个场景。

说明

    场景限定：防火墙出口路由模式部署。文中“任意前缀”指不限制前缀大小，实际以运营商能分配的前缀为准。

    关于无线网段必须为 /64：无线终端（手机、平板、笔记本等）普遍依赖无状态地址自动配置（SLAAC）自动取址，其机制要求路由器通告（RA）中的前缀长度必须为 64 位——RFC 4291 规定 IPv6 接口标识（IID）固定为 64 位，RFC 4862 规定 SLAAC 仅对 64 位前缀定义地址生成，同链路邻居发现（NDP）也依赖共享同一 /64 前缀；若无线网段规划为非 /64，无线终端将无法自动获取地址。有线终端可通过有状态 DHCPv6 或静态配置取址，前缀长度不受此限制，故规划为 ≥/64。

    内网总 /64 段数口径：矩阵行维度“内网总 /64 段数”为无线与有线规划网段去重后的独立 /64 数量（无线可为一段或多段 /64，有线 ≥/64）；若某段包含另一段，被包含段不重复计数。即 1 段 = 无线有线同一段（包含），≥2 段 = 不包含或多段。

    上网前缀换算（NPTv6 场景，1:1 地址量对应）：内网 1 段 /64 → 运营商上网 /64；2 段 → /63；3~4 段 → /62；5~8 段 → /61；通用口径为 ≤ 64−⌈log₂N⌉（N = 内网总段数）。

1. 背景与两种技术路线

    按国家 IPv6 规模部署要求，分支机构互联网出口要做双栈改造。单位内部使用自己规划的内网 IPv6 地址，出口防火墙负责与运营商互联和地址转换。改造前先想清楚三件事：向运营商申请什么地址（互联地址 + 上网地址，以及能否同段）、默认路由怎么配、地址转换怎么配。

表1 两种技术路线对照

设备版本	支持技术	说明
AF 8.0.45（老架构）	仅 NPTv6	前缀翻译，1:1 地址数映射
AF 8.0.107（新架构）	NPTv6 + NAT66	NAT66 为源地址转换，更灵活

2. 矩阵一：向运营商申请什么地址

    内网形态（内网总 /64 段数）× 技术路线，共 12 种组合，见表2。

表2 运营商 IPv6 地址申请矩阵

#	内网总 /64 段数	运营商需提供 · 互联地址	运营商需提供 · 上网地址	互联 / 上网同段
老架构（推荐 8.0.45）· NPTv6
1	1 段 /64	任意前缀	= /64	禁止同段
2	2 段 /64	任意前缀	< /64（= /63）	禁止同段
3	3 段 /64	任意前缀	< /64（3~4 段 ≈ /62）	禁止同段
4	N 段 /64（N≥4）	任意前缀	< /64（≤ 64−⌈log₂N⌉）	禁止同段
新架构（推荐 8.0.107）· NPTv6 —— 与老架构 NPTv6 完全一致
5	1 段 /64	任意前缀	= /64	禁止同段
6	2 段 /64	任意前缀	< /64（= /63）	禁止同段
7	3 段 /64	任意前缀	< /64（3~4 段 ≈ /62）	禁止同段
8	N 段 /64（N≥4）	任意前缀	< /64（≤ 64−⌈log₂N⌉）	禁止同段
新架构（推荐 8.0.107）· NAT66 —— 互联、上网均任意前缀，同段与否均可
9	1 段 /64	任意前缀	任意前缀	可同 / 可不同段
10	2 段 /64	任意前缀	任意前缀	可同 / 可不同段
11	3 段 /64	任意前缀	任意前缀	可同 / 可不同段
12	N 段 /64（N≥4）	任意前缀	任意前缀	可同 / 可不同段

    规律：NPTv6（无论 8.0.45 还是 8.0.107）上网地址大小与内网规模挂钩——内网 1 段 → 上网 =/64；≥2 段 → 上网 < /64（按地址总量换算）；互联地址只需“任意前缀”；互联与上网不能同段。NAT66（8.0.107）互联、上网都只需“任意前缀”，同段与否都可以，向运营商申请最宽松。

3. 矩阵二：默认路由与地址转换怎么配

    路由配置在全部 12 个场景下完全一致（NPTv6 / NAT66 均不改变路由结构）：

    IPv6 默认路由：目的地址 ::/0，下一跳【运营商侧网关 IPv6】（运营商互联地址对端），出接口 = 上联 WAN 口 / 自动选择。

    IPv6 回包路由：目的【内网 IPv6 网段】（有多少 /64 段就逐段填写），下一跳【内网核心交换机互联 IPv6 地址】，出接口 = 内联口。

    要点：转换发生在转发面，默认路由只要求互联段可达；转换后的上网前缀流量同样走 ::/0 默认路由。

表3 默认路由与地址转换配置矩阵

#	内网总 /64 段数	运营商上网前缀	地址转换方式	转换配置要点	转换条目
老架构（推荐 8.0.45）· NPTv6 —— 前缀映射，老架构仅支持 NPTv6
1	1 段 /64	= /64	NPTv6 前缀映射	内部单 /64 ↔ 运营商上网 /64，一条映射覆盖全部内网地址	1 条
2	2 段 /64	< /64（/63）	NPTv6 前缀映射	两段 /64 分别映射到运营商 /63 上网前缀的前、后半段，逐段配置	2 条
3	3 段 /64	< /64（≈/62）	NPTv6 前缀映射	各段逐条映射到运营商 /62 上网前缀内；多段连续可聚合为更少条目	3 条
4	N 段 /64（N≥4）	< /64（≤64−⌈log₂N⌉）	NPTv6 前缀映射	按段逐条映射，覆盖全部内网段；多段连续可聚合为 1 条	= 段数
新架构（推荐 8.0.107）· NPTv6 —— 转换配置与老架构 NPTv6 完全一致
5	1 段 /64	= /64	NPTv6 前缀映射	同 #1：内部单 /64 ↔ 运营商上网 /64，一条映射即可	1 条
6	2 段 /64	< /64（/63）	NPTv6 前缀映射	同 #2：两段分别映射到运营商 /63 上网前缀前、后半段	2 条
7	3 段 /64	< /64（≈/62）	NPTv6 前缀映射	同 #3：逐段映射，连续可聚合	3 条
8	N 段 /64（N≥4）	< /64（≤64−⌈log₂N⌉）	NPTv6 前缀映射	同 #4：按段逐条映射，覆盖全部内网段	= 段数
新架构（推荐 8.0.107）· NAT66 —— 一条转换即可：全部内网 IPv6 网段写入同一网络对象作为源地址
9	1 段 /64	任意前缀	NAT66 源地址转换	1 条转换：源地址 = 网络对象（单 /64），转换到【运营商 IPv6 上网地址池】，目的区域 Outside	1 条
10	2 段 /64	任意前缀	NAT66 源地址转换	1 条转换：源地址 = 网络对象（两段 /64 都写进同一对象），转换到【运营商 IPv6 上网地址池】	1 条
11	3 段 /64	任意前缀	NAT66 源地址转换	1 条转换：源地址 = 网络对象（全部多段 /64 写进同一对象），转换到【运营商 IPv6 上网地址池】	1 条
12	N 段 /64（N≥4）	任意前缀	NAT66 源地址转换	1 条转换：源地址 = 网络对象（全部独立 /64 段写进同一对象），转换到【运营商 IPv6 上网地址池】	1 条

    为什么 NAT66 一条就够：NPTv6 每条映射只能对应一个“内部前缀 ↔ 外部前缀”对，无法用网络对象合并，必须按段配置；NAT66 按网络对象匹配源地址，所以不管几段，一个对象全搞定。

4. 避坑清单

    1. NPTv6 场景互联地址和上网地址不能同段，申请时就要与运营商确认，否则回包路由会冲突。

    2. AF 8.0.45 只有 NPTv6，需要 NAT66 的灵活性必须换成新架构 AF。

    3. 上网前缀按内网规模申请：内网 1 段 → 运营商给 /64 就够；≥2 段 → 要 < /64，别多申请浪费、也别少申请不够映射。

    4. NAT66 别一段配一条转换，一个网络对象全搞定，后续加网段只改对象不改转换。

    5. 转换条目配完记得核对回包路由：内网每段都要有指向核心交换机的回程路由，漏一段断一段。

5. 结语

    两张矩阵覆盖了防火墙出口路由模式下最常见的 12 种组合，按内网总段数和技术路线查表即可，不用每次现场推。