实战：IPv6 地址正确，服务却连不上

拥有公网 IPv6 地址只是第一步。服务监听、系统防火墙、云安全组与客户端路径都需要支持，不能根据 IPv4 可用就推断 IPv6 已经放行。

<!-- more -->

## 先核对地址和默认路由

区分链路本地地址、全局地址与临时地址。查看默认路由，再用具有 IPv6 能力的目标验证出站。出站成功仍不证明公网入站可用。

## 检查服务绑定范围

ss 输出中的 IPv6 监听地址可帮助判断服务是否接受目标连接。双栈行为受系统和程序设置影响，不能简单把一个通配监听当作所有协议都已正确配置。

## 逐层读取规则

云平台安全组、宿主机 nftables 或其他防火墙可能共同生效。先读取规则，按实际部署管理，不要混用多套管理工具或直接清空防火墙。ICMPv6 对邻居发现与路径 MTU 有重要作用。

## 从外部做完整请求

从确有 IPv6 连接的客户端测试 TCP 与 TLS，再看应用响应。UDP 服务需要自己的协议验证。最终应确认 AAAA 与真实可用地址一致，否则部分用户会遇到回退延迟。

## 操作参考

```text
ip -6 addr show
ip -6 route show
ss -lnt
# 需要相应权限，只读取现有规则
nft list ruleset
```

示例占位符需替换为自己的环境。涉及生产服务时先保留备份，阅读命令用途后再执行。

## 参考资料

- [官方说明](https://www.rfc-editor.org/rfc/rfc4890)
- [专题阅读路线](/topics/)