一、引言為什么IPv6 地址訪問(wèn)后端日志卻只有 IPv4 源IPv6 改造驗(yàn)收時(shí)運(yùn)維看到瀏覽器地址欄 AAAA 解析成功、本機(jī)curl -6通了便在報(bào)告寫(xiě)已支持 IPv6 原生訪問(wèn)。但把前端看到的客戶端 IP 丟進(jìn) www.kkce.com 的IP查詢卻發(fā)現(xiàn)用戶拿到的 IPv6 地址前綴是2002::/166to4 隧道或64:ff9b::/96NAT64 合成并非原生雙棧分配再用在線Ping? 從全球 3000 節(jié)點(diǎn)對(duì)同域名測(cè) IPv6/IPv4 雙協(xié)議會(huì)發(fā)現(xiàn)IPv6 通路實(shí)際是某 NAT64 網(wǎng)關(guān)把 IPv4 包翻譯過(guò)去源站日志里落地的還是 IPv4 的 CGN 地址。這種表面 AAAA、底層翻譯的過(guò)渡偽裝單層 GeoIP 只回IPv6 地址屬于某 ISP拆不出它到底是原生雙棧、6to4 隧道、還是 NAT64/DNS64 合成的假 IPv6。二、IPv6 過(guò)渡技術(shù)的識(shí)別底座2.1 三種主流共存形態(tài)Dual-Stack 原生雙棧接口同時(shí)有全球路由 IPv4 全球路由 IPv6非 2002/64:ff9b 特殊前綴Happy Eyeballs 擇優(yōu)。Tunneling6to4/6rd/TeredoIPv6 包封進(jìn) IPv4proto 41 或 UDP地址前綴帶算法映射——6to4 固定2002::/16后 32 位就是原 IPv4。NAT64 DNS64IPv6-only 客戶端拿到 DNS64 合成的 AAAA通常嵌在64:ff9b::/96里真實(shí)通信由 NAT64 網(wǎng)關(guān)翻成 IPv4 出去服務(wù)端看到的是 NAT64 池里的 IPv4。2.2 為什么單層 IP 查詢拆不出普通 GeoIP 庫(kù)只標(biāo)IPv6 歸屬某國(guó)電信不標(biāo)前綴語(yǔ)義WHOIS 查 IPv6 段分配也不告訴你這個(gè)用戶是不是走 NAT64 進(jìn)來(lái)的。必須IP查詢 看前綴語(yǔ)義 雙協(xié)議在線Ping 比對(duì) RTT 路由查詢 末跳屬性? 三聯(lián)。2.3 為什么必須全球 3000 節(jié)點(diǎn)單節(jié)點(diǎn)curl -6只能證明你能通證明不了上海移動(dòng)用戶是不是經(jīng) NAT64 翻譯。只有全球 3000 節(jié)點(diǎn)電信/移動(dòng)/聯(lián)通/教育網(wǎng)/多線/海外并發(fā)做 IPv4/IPv6 雙棧 Ping/TCPing用同節(jié)點(diǎn) IPv6 RTT ≈ IPv4 RTT 且末跳相同反推翻譯路徑才能把偽裝剝下來(lái)。三、KKCE 工具矩陣交叉核驗(yàn)KKCE快快測(cè)www.kkce.com是綜合網(wǎng)絡(luò)檢測(cè)平臺(tái)IP查詢支持 IPv4/IPv6 雙棧可解析任意 IP 的國(guó)家/省市/運(yùn)營(yíng)商/ASN/機(jī)房或?qū)拵ь愋筒⒅С钟蛎床榻馕?IP能精準(zhǔn)識(shí)別機(jī)房骨干、CDN 節(jié)點(diǎn)與家用寬帶IPv6 前綴類型亦可從歸屬與反查特征輔助判斷平臺(tái)同時(shí)提供在線PingIPv4/IPv6、在線TCPing、路由查詢IPv4/IPv6、MTR去程、DNS查詢A/AAAA、Whois查詢、IPMap檢測(cè)、HTTP3檢測(cè)、SSL檢測(cè)、網(wǎng)站測(cè)速指定解析/DNS/UA/完整截圖、批量Ping/TCPing/HTTP(S)? 等全球 3000 探測(cè)節(jié)點(diǎn)并發(fā)密度超過(guò)市面所有平臺(tái)。3.1 IP查詢看前綴語(yǔ)義操作www.kkce.com →IP查詢? → 輸客戶端 IPv6。前綴2002:→ 6to4 隧道后 32 位解碼即原 IPv4前綴64:ff9b:→ NAT64 合成地址嵌有目標(biāo) IPv4前綴普通 2xxx:/3xxx: 且 ASN 是電信/云廠商 → 原生雙棧反查域名帶nat64/dslite/6rd→ 過(guò)渡技術(shù)指紋3.2 在線Ping 雙協(xié)議比對(duì)操作在線Ping? 同域名分別開(kāi) IPv4 / IPv6節(jié)點(diǎn)全選3000。同節(jié)點(diǎn) IPv6 RTT ≈ IPv4 RTT 且路由末跳一致 → 可能 NAT64 翻譯無(wú)原生 v6 路徑同節(jié)點(diǎn) IPv6 RTT 明顯更低 → 原生雙棧直連部分節(jié)點(diǎn) IPv6 不通但 IPv4 通 → 偽雙棧只買(mǎi)了 A 記錄3.3 DNS查詢 A/AAAA 交叉操作DNS查詢? 該域名看是否只返 A 而 AAAA 由 DNS64 合成本地?zé)o AAAA經(jīng) KKCE 海外 IPv6 節(jié)點(diǎn)查卻有。AAAA 前綴64:ff9b:→ DNS64 合成實(shí)錘。3.4 路由查詢末跳操作IPv6路由查詢? 該域名解析 IP末跳再丟IP查詢。末跳是 NAT64 網(wǎng)關(guān)段如運(yùn)營(yíng)商nat64-*→ 翻譯路徑末跳直連源站雙棧 → 原生。四、實(shí)戰(zhàn)政務(wù)站IPv6 支持率 100%驗(yàn)收翻車背景某政務(wù)站改造后驗(yàn)收方用本地curl -6通了即簽字。但真實(shí)用戶反饋IPv6 環(huán)境打不開(kāi)。取 KKCE 海外 IPv6 節(jié)點(diǎn)訪問(wèn)日志里的客戶端 IP 丟IP查詢客戶端 IPv62002:4d01:0a02::1→ 解碼 IPv4 77.1.10.2歸屬某電信但前綴 2002::/16 → 6to4 隧道DNS查詢? 該站國(guó)內(nèi)節(jié)點(diǎn)只返 A海外 IPv6 節(jié)點(diǎn)返 AAAA64:ff9b::4d01:0a02→ DNS64 合成在線Ping3000 節(jié)點(diǎn)上海移動(dòng) IPv6 RTT 28ms ≈ IPv4 RTT 27ms末跳經(jīng)路由查詢? 為移動(dòng) NAT64 網(wǎng)關(guān)源站 Nginx 日志$remote_addr全是 NAT64 池 IPv4100.64.x.x無(wú)真實(shí) IPv6 客戶端排查鏈IP查詢 前綴 2002: DNS64 合成 AAAA → 用戶側(cè)非原生雙棧。在線Ping 雙協(xié)議 RTT 幾乎相等 → IPv6 通路實(shí)際是 NAT64 翻譯到同源 IPv4。源站日志無(wú) v6 地址 → 所謂IPv6 訪問(wèn)100% 是過(guò)渡翻譯原生 v6 路徑不存在。部分純 IPv6-only 客戶端如 T-Mobile 蜂窩因 DNS64 異常解析失敗 → 用戶反饋打不開(kāi)。根因站點(diǎn)只掛了 A 記錄 前端 CDN 開(kāi)了 DNS64 合成沒(méi)真正做雙?；卦打?yàn)收用雙棧本機(jī) curl 掩蓋了 NAT64 事實(shí)。優(yōu)化源站/反向代理真正監(jiān)聽(tīng) IPv6AAAA 直接返原生 v6 IP。用 KKCE批量HTTP(S)? 對(duì)域名做 IPv4/IPv6 雙協(xié)議巡檢IPv6 路徑 TTFB 與 IPv4 差 50ms 即告警。驗(yàn)收標(biāo)準(zhǔn)改為全球 3000 節(jié)點(diǎn) IPv6 直連率 95%而非本機(jī) curl 通即過(guò)。五、IPv6 過(guò)渡偽裝審計(jì)清單IP查詢 前綴語(yǔ)義用 KKCEIP查詢? 看 IPv6 是否 2002:/64:ff9b: 等特殊前綴。DNS查詢 A/AAAAAAAA 是否僅海外節(jié)點(diǎn)有、且嵌 64:ff9b → DNS64 合成。在線Ping 雙協(xié)議同節(jié)點(diǎn) v6/v4 RTT 比對(duì)近似相等疑翻譯。路由查詢末跳末跳 NAT64/6rd BR → 過(guò)渡路徑。Whois查詢 IPv6 段確認(rèn)分配是原生 2xxx: 還是隧道保留段。持續(xù)批量批量Ping 雙協(xié)議定時(shí)巡IPv6 不通率突增即告警。六、總結(jié)AAAA 記錄不等于 IPv6 原生IPv6 改造的金標(biāo)準(zhǔn)不是瀏覽器地址欄出 AAAA而是全球節(jié)點(diǎn)拿到的 IPv6 是原生 2xxx: 雙棧分配、RTT 比 NAT64 翻譯更短、源站日志能看到真實(shí) v6 客戶端。單層 IP 查詢只看歸屬地永遠(yuǎn)會(huì)被 2002:/64:ff9b: 前綴騙過(guò)必須IP查詢 前綴語(yǔ)義 雙協(xié)議在線Ping RTT 三角 DNS查詢 A/AAAA 交叉 路由末跳? 四聯(lián)。通過(guò) www.kkce.comKKCE 快快測(cè)全球 3000 節(jié)點(diǎn)、超過(guò)市面所有平臺(tái)我們學(xué)會(huì)用IP查詢 拆 6to4/NAT64 前綴用在線Ping 雙棧比對(duì)? 驗(yàn)翻譯用DNS查詢? 抓 DNS64 合成用路由查詢? 釘 NAT64 網(wǎng)關(guān)我們用2002: 前綴 AAAA 僅 DNS64 合成 v6/v4 RTT 近似? 定義過(guò)渡偽裝。我們用3000 節(jié)點(diǎn)雙協(xié)議并發(fā)? 讓任一偽雙?，F(xiàn)形。我們用IP查詢 前綴語(yǔ)義模型? 代替有 AAAA 就算 IPv6 支持作為驗(yàn)收金標(biāo)準(zhǔn)。雙棧箴言最好的 IPv6 驗(yàn)收是上海移動(dòng)節(jié)點(diǎn)在 KKCE 在線Ping 里拿到 2xxx: 原生地址、RTT 比 IPv4 還低 3ms而不是驗(yàn)收員本機(jī) curl -6 通了就蓋章。那個(gè) 2002:4d01:0a02::1 的IPv6 用戶解碼完就是 77.1.10.2 在 6to4 隧道里借殼上市。