IPv6地址配置实战：从理论到思科设备部署

1. 为什么你需要关心IPv6？从“够用”到“必须用”的转变

如果你还在用IPv4管理网络，感觉好像也还行，地址不够就上NAT（网络地址转换），内部设备用私有地址，对外一个公网IP搞定。这就像一家公司所有人共用一个对外的电话号码，内部用分机号联系。过去二十年，我们一直这么凑合着，而且凑合得还不错。

但凑合的日子快到头了。IPv4地址池在全球范围内早已枯竭，亚太地区更是早就分完了。这带来的直接问题就是，你新开一个数据中心、部署一批物联网设备，或者想给公司的每台打印机、每个传感器都分配一个独立的公网地址时，会发现“巧妇难为无米之炊”。NAT虽然解决了连通性问题，但它破坏了互联网“端到端透明”的初心，增加了网络架构的复杂性，对某些需要直接寻址的应用（比如视频会议、在线游戏、物联网设备直连）并不友好。

这时候，IPv6就不是一个“未来可期”的技术选项，而是一个“迫在眉睫”的解决方案。它拥有2的128次方个地址，这个数字大到什么程度呢？有人比喻，它足够给地球上的每一粒沙子都分配一个IP地址。这意味着，从你的手机、电脑，到家里的智能灯泡、冰箱，再到工厂里的每一个传感器，都可以拥有一个全球唯一的公网地址，实现真正的万物互联。

我刚开始接触IPv6时也觉得头大，一堆冒号分隔的十六进制数，看着就眼晕。但实际配置下来，尤其是用思科设备实操了几遍之后，发现它的逻辑其实比IPv4在某些方面更清晰、更自动化。这篇文章，我就以一个老网工的身份，带你从最基础的理论捋清楚，然后手把手在思科路由器上把IPv6配通，让你不仅能看懂，更能亲手做出来。

2. 彻底搞懂IPv6地址：告别死记硬背

IPv6地址长128位，是IPv4地址长度的4倍。书写上用十六进制，每16位（4个十六进制字符）为一组，共8组，组之间用冒号分隔。比如 2001:0db8:85a3:0000:0000:8a2e:0370:7334。看起来很长，但别怕，有几个简化规则能让你轻松不少：

1. 省略前导零：每一组中开头的零可以省略。比如 0db8 可以写成 db8，0370 可以写成 370。上面的地址可以简化为 2001:db8:85a3:0:0:8a2e:370:7334。
2. 压缩连续的零组：连续多组全是0的，可以用双冒号 :: 代替，但在整个地址中只能使用一次（防止歧义）。上面的地址可以进一步压缩为 2001:db8:85a3::8a2e:370:7334，这就清爽多了。

理解了格式，我们来看核心的地址类型。IPv6取消了广播，这是一个重要的设计改进，因为广播流量在网络中效率低下。主要的地址类型如下：

这里我想特别强调一下链路本地地址。在IPv4里，我们没有完全对应的概念。在IPv6中，只要你在一个接口上启用了IPv6（比如简单敲个 ipv6 enable），即使你没配置任何全局地址，系统也会立刻用FE80::/10前缀加上接口标识符（通常由MAC地址衍生）自动生成一个链路本地地址。这个地址是很多IPv6基础协议（如NDP，邻居发现协议）运行的基石。你经常会在查看接口信息时看到它。

3. IPv6地址配置的两种核心模式：自动 vs. 手动

给设备分配IPv6地址，主要有两大流派：无状态自动配置（SLAAC） 和 有状态DHCPv6。理解它们的区别，是你能否灵活部署的关键。

3.1 无状态自动配置：路由器喊一嗓子，设备自己搞定

这是IPv6最酷的特性之一，极大地简化了终端设备的配置。整个过程可以想象成这样：

1. 主机刚接入网络，它先用自己的链路本地地址在链路上喊：“我是新来的，谁是这条路的管理员（路由器）啊？”——这叫做发送路由器请求消息。
2. 链路上的路由器听到后，会定期或响应请求，广播（实际上是组播）一条路由器通告消息。这条消息里包含一个关键信息：网络前缀（比如 2001:db8:1:1::/64）。
3. 主机收到这个前缀后，结合自己接口的标识符（通常是基于MAC地址通过EUI-64算法生成的64位标识），自己拼凑出一个完整的128位全局单播地址。例如，前缀是 2001:db8:1:1::/64，接口ID是 ::1:2FF:FE03:4D5，那么主机的全局地址就是 2001:db8:1:1:1:2FF:FE03:4D5。

优点：配置极其简单，网络管理员只需要在路由器上配置好前缀并开启通告，终端设备无需任何设置就能上网。非常适合手机、平板、物联网设备等大量终端。 缺点：只分配地址，不分配DNS服务器等其他信息（虽然现代路由器通告可以携带DNS信息，即RDNSS，但这并非最初标准的一部分）。

在思科设备上，让一个接口使用SLAAC获取地址非常简单，在接口配置模式下一条命令：ipv6 address autoconfig。这个命令会让接口监听路由器通告，并自动生成地址。

3.2 有状态DHCPv6：像IPv4时代一样集中管理

如果你需要更严格的控制，比如不仅要分配地址，还要统一指定DNS服务器、域名、NTP服务器等，那就需要用到DHCPv6服务器。这个过程和IPv4的DHCP很像：

1. 主机发送DHCPv6请求。
2. DHCPv6服务器从地址池中挑选一个地址，连同其他配置参数一起分配给主机。
3. 主机使用服务器分配的地址和参数。

优点：集中管理，地址分配有记录可查，可以分配除地址外的全套网络参数。 缺点：需要额外部署和维护DHCPv6服务器。

在思科路由器上，你可以把它配置成一台DHCPv6服务器，为同一链路上的其他设备提供服务。我们会在后面的实战部分详细配置。

一个重要选择：在实际网络中，路由器通告（RA）消息中的两个标志位（M标志和O标志）决定了主机采用哪种方式：

• M标志（Managed Address Configuration）置1：主机使用有状态DHCPv6获取地址。
• O标志（Other Configuration）置1：主机使用SLAAC获取地址，但其他信息（如DNS）从DHCPv6服务器获取。
• 两者都为0：主机仅使用SLAAC。

4. 实战演练：在思科路由器上部署IPv6网络

光说不练假把式，我们用一个经典的实验拓扑来把理论落地。假设我们有两台思科路由器（R1和R2），通过串行链路背靠背连接。R1作为网络的核心，连接着一个内部局域网（比如GigabitEthernet0/0接口），我们需要在这个局域网内同时演示SLAAC和DHCPv6。

4.1 基础准备：启用IPv6路由与接口地址

首先，全局启用IPv6单播路由，这是让路由器能够转发IPv6数据包的前提。在全局配置模式下：

R1(config)# ipv6 unicast-routing

接下来，给路由器的接口配置IPv6地址。我们给R1连接内部局域网的G0/0接口配置一个全局单播地址。这里介绍两种常用方法：

方法一：手动指定完整地址

R1(config)# interface GigabitEthernet0/0
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64

这条命令直接赋予了接口地址 2001:db8:acad:1::1，子网前缀长度是64位。

方法二：使用EUI-64格式自动生成接口ID

R1(config-if)# ipv6 address 2001:db8:acad:1::/64 eui-64

这条命令只指定了网络前缀 2001:db8:acad:1::/64，后面的64位接口标识符由路由器使用EUI-64算法自动生成（通常基于接口的MAC地址）。配置完成后，你可以用 show ipv6 interface brief 查看，接口的地址会是类似 2001:DB8:ACAD:1:200:5EFF:FE66:5100 这样的形式。

4.2 场景一：配置无状态自动配置（SLAAC）

要让局域网内的主机通过SLAAC获取地址，R1作为路由器需要主动发送路由器通告（RA）。当我们给接口配置了全局单播地址并启用了 ipv6 unicast-routing 后，RA默认就会周期性地发送出去。

但是，我们可以调整RA的行为。比如，我们希望明确通告 2001:db8:acad:1::/64 这个前缀，并且设置标志位，指明主机仅使用SLAAC（M=0， O=0）。

R1(config)# interface GigabitEthernet0/0
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64
! 通告指定的前缀，并设置无管理地址配置和其他配置标志
R1(config-if)# ipv6 nd prefix 2001:db8:acad:1::/64 no-autoconfig
! 实际上，`no-autoconfig`参数表示此前缀不用于自动配置，这里我们通常直接使用地址配置，RA会自动包含该前缀。
! 更直接的控制RA标志位的方法是：
R1(config-if)# ipv6 nd managed-config-flag
! 将M标志置1（如果我们需要DHCPv6）。对于纯SLAAC，我们不需要设置这个。
R1(config-if)# ipv6 nd other-config-flag
! 将O标志置1（如果我们需要DHCPv6分配其他信息）。对于纯SLAAC，我们也不需要设置这个。
! 对于纯SLAAC，最简单的就是只配置接口地址，其他保持默认。

此时，连接到R1的G0/0接口下的主机（比如一台配置了“自动获取IPv6地址”的Windows PC），就会收到RA，并自动生成一个 2001:db8:acad:1:xxx:xxx:xxx:xxx 格式的全局地址和一个链路本地地址。

4.3 场景二：搭建有状态DHCPv6服务器

现在，假设我们需要更集中的控制，要为局域网内的设备通过DHCPv6分配地址、DNS和域名。

第一步：创建DHCPv6地址池

R1(config)# ipv6 dhcp pool LAN-POOL
R1(config-dhcpv6)# address prefix 2001:db8:acad:1::/64
! 定义要分配的网络前缀
R1(config-dhcpv6)# dns-server 2001:4860:4860::8888
! 指定DNS服务器，这里用了Google的公共IPv6 DNS
R1(config-dhcpv6)# domain-name mycompany.local
! 指定域名后缀

这个地址池名叫LAN-POOL，它定义了可分配的地址范围和其他参数。

第二步：在接口上启用DHCPv6服务器并关联地址池

R1(config)# interface GigabitEthernet0/0
R1(config-if)# ipv6 dhcp server LAN-POOL
! 将该接口关联到我们创建的DHCPv6地址池

第三步：修改路由器通告，指示主机使用DHCPv6 默认的RA是让主机用SLAAC。要让他们用DHCPv6，需要设置M标志。

R1(config-if)# ipv6 nd managed-config-flag
! 设置M标志为1，告诉主机“请使用有状态DHCPv6获取地址”
R1(config-if)# ipv6 nd other-config-flag
! 设置O标志为1，告诉主机“其他配置信息也请从DHCPv6获取”

设置了M标志后，主机就会忽略SLAAC生成的地址，转而向DHCPv6服务器（也就是R1）请求地址。

4.4 验证与排错：看看配好了没

配置完了，一定要验证。最常用的几条命令：

• show ipv6 interface brief：查看所有接口的IPv6地址摘要，快速确认地址是否配置成功，链路是否UP。
• show ipv6 interface [interface-type interface-number]：查看特定接口的详细信息，包括所有配置的地址（全局、链路本地）、加入的组播组，以及至关重要的RA间隔、跳数限制和标志位（M/O）。
• show ipv6 dhcp pool：查看DHCPv6地址池的配置详情，包括前缀、活动租赁数等。
• show ipv6 dhcp binding：查看当前DHCPv6服务器已经分配出去的地址绑定信息，这是确认DHCPv6是否工作的关键。
• debug ipv6 dhcp detail：在怀疑DHCPv6有问题时，打开调试信息（慎用，信息量很大），可以看到DHCPv6报文交互的整个过程。

在主机端（比如Windows），可以用 ipconfig /all 查看获取到的IPv6地址，注意看是“临时地址”（SLAAC生成）还是“DHCPv6 IAID”分配的地址。在Linux上，可以用 ip -6 addr show 命令。

5. 进阶话题与常见“坑点”指南

当你把基础配置跑通后，可能会遇到一些更实际的问题。这里分享几个我踩过的坑和对应的解决方案。

坑点一：链路本地地址的通信 前面说过，链路本地地址只能在同一个二层链路内通信。如果你想从R1 ping R2的链路本地地址 fe80::...，必须指定出口接口，因为路由器可能有多个接口都有fe80开头的地址。

R1# ping fe80::2
% Output interface ambiguous, use interface name instead
R1# ping fe80::2 source gigabitethernet0/0
! 或者更明确地指定源地址和出口接口
R1# ping fe80::2 source gigabitethernet0/0

坑点二：路由协议支持IPv6 OSPFv3、EIGRP for IPv6、RIPng是常用的IPv6路由协议。它们的配置逻辑和IPv4版本类似，但命令和进程是独立的。启用前务必确认IOS版本支持。例如，配置OSPFv3：

R1(config)# ipv6 router ospf 1
R1(config-rtr)# router-id 1.1.1.1
R1(config-rtr)# exit
R1(config)# interface GigabitEthernet0/0
R1(config-if)# ipv6 ospf 1 area 0

坑点三：安全考虑——RA防护 在接入层，如果有一台恶意主机冒充路由器发送RA报文，可能会引导其他主机将流量发送到错误的地方，造成中间人攻击或网络中断。在企业网络中，建议在交换机上配置RA防护功能。这需要在支持IPv6 Snooping的交换机上，在接入端口上启用相关策略，拒绝非授权端口的RA报文。

坑点四：双栈环境的优先级 当设备同时拥有IPv4和IPv6地址（双栈）时，应用会优先使用哪种协议？这取决于操作系统的“地址选择”策略。通常，现代操作系统会优先尝试IPv6连接。你可以通过 ping 一个同时有AAAA记录（IPv6）和A记录（IPv4）的域名来测试。理解这一点对排查“有地址却不通”的问题很有帮助。

配置IPv6，尤其是第一次从纯IPv4环境迁移过来，感觉像是在学一门新的方言。但一旦你理解了它的地址结构、自动配置的优雅以及路由协议的工作方式，就会发现它其实是一套设计得更简洁、更面向未来的体系。我的建议是，不要试图一次性在生产网络里全上IPv6，可以先在实验室环境，或者某个非核心的业务网段做试点，从配置静态地址互联开始，再到启用SLAAC，最后尝试DHCPv6和动态路由。每一步都做好验证和记录，遇到问题多查文档、多用 show 和 debug 命令。当你亲手让两台路由器通过IPv6 ping通，或者看到终端设备自动获取到一个全球单播地址时，那种成就感会让你觉得，拥抱这个“地址多到用不完”的新时代，还是挺值得的。