配置了IPv6双栈，为什么无法访问IPv6网站？
配置了IPv6双栈却打不开IPv6网站，绝大多数情况下不是“没配好”，而是链路中某一环静默失败了，最直接的排查方法是按“网络接口→路由器→运营商→DNS→防火墙”这条链路由内到外逐层验证。
不少朋友反映,明明服务器或电脑已经开启了IPv6，甚至能拿到IPv6地址，但访问IPv6网站依然超时，这种“配置了双栈、地址也拿到、但就是不通”的现象，在家庭宽带和企业办公网络中都很常见，其实IPv6双栈不像IPv4那样填上地址就能通，它涉及物理链路、路由通告、运营商策略、DNS解析、防火墙规则等多重环节，下面我把常见故障点按排查顺序拆开讲，你照着操作，大概率能找到问题根源。
先搞懂IPv6双栈的“通”与“不通”到底差在哪
双栈（Dual Stack）意味着设备同时运行IPv4和IPv6协议栈，系统会优先尝试IPv6，失败后自动回落到IPv4，IPv6网站打不开”，核心判断标准是：IPv4访问正常，IPv6超时，这不是网站的问题，而是你的IPv6连接通道处于“半开”状态。
一个完整的IPv6访问请求链路包含以下节点：
- 终端设备获取到全局单播地址（GUA，即公网IPv6地址）
- 路由器具备IPv6转发能力并正确下发前缀
- 运营商侧路由可达,ICMPv6不被过滤
- DNS查询返回AAAA记录
- 服务器或客户端防火墙放行IPv6流量
任何一个节点掉链子,浏览器都会一直转圈直到超时，然后降级到IPv4，所以排查的思路，就是从链路最底端往上逐层确认。
如何判断你的IPv6是否真的“通了”
在动手排查之前,先明确两个检测维度：一是地址是否获取成功，二是连通性是否完好，很多用户混淆了“有地址”和“能用”这两个概念。
在Windows系统中，打开命令行窗口，输入以下命令查看当前IPv6地址：
ipconfig /all
重点关注“IPv6地址”那一栏，如果显示以fe80开头的地址，那是链路本地地址，仅用于局域网通信，不能访问公网IPv6网站，如果你只看到fe80地址而没有任何以240e、2408、2409等开头的全局地址，说明运营商根本没有给你分配公网IPv6前缀，路由器也没正确下发。
在终端设备确认拿到全局地址后，再用ping测试连通性：
ping -6 2400:3200::1
这段IP是阿里DNS的IPv6地址,全网可达，如果能ping通，说明公网IPv6路由基本正常；如果超时，问题大概率出在网络出口或运营商侧。
接着做DNS解析测试，判断是否有AAAA记录响应：
nslookup qq.com
看返回结果中是否包含AAAA地址段，如果只有A记录而没有AAAA记录，说明域名解析环节本身就没走IPv6，网站自然打不开。
为什么设备“有IPv6地址”但“ping不通”外部IPv6地址
这是最常见的故障场景,地址有了，但流量出不去，多数情况下是路由器的IPv6功能没有正确配置，现在市面上的家用无线路由器，虽然号称支持IPv6，但默认配置为Native（原生）或Passthrough（透传）模式时，对运营商分发的DHCPv6-PD前缀处理方式不一样，很容易出问题。
排查步骤：
- 登录路由器管理后台（通常是
168.1.1或168.0.1），找到“IPv6设置”页面 - 确认上网方式为“Native（原生IPv6）”或“DHCPv6-PD”
- 确认路由器WAN口获取到了IPv6地址,且LAN口已获取到IPv6前缀
- 确保没有启用“IPv6防火墙”或“IPv6 SPI防火墙”中的阻断选项
行业共识认为,光猫拨号还是路由器拨号，决定了IPv6能否从运营商侧获取，如果你家里是“光猫拨号+路由器自动获取IP”，那路由器上要选择“Passthrough（透传）”模式，让光猫和路由器之间的IPv6地址无缝衔接，而不是NAT模式。
很多双栈配置失败，就是因为光猫和路由器都在拨号，IPv6前缀被两层NAT消耗掉了。
光猫桥接模式下路由器拨号的配置要点
如果你把光猫改成桥接模式,由路由器直接拨号，那么IPv6获取流程相对简单，此时在路由器IPv6设置里选择“DHCPv6-PD”，路由器会向运营商申请一个前缀，然后为内网设备分配地址。
配置完成后，回到Windows系统再执行一次ipconfig /all，此时应出现全局地址，然后ping阿里的IPv6 DNS测试公网连通性。
如果你在这个环节ping通了,但浏览器访问IPv6网站还是超时，那就往下看DNS部分。
DNS解析不到IPv6地址，浏览器白白等半天
ping通公网IPv6地址,说明链路是通的，但访问特定网站超时，问题往往出在DNS没有正确返回AAAA记录，这里你可以用公共DNS做一个交叉验证：
- 首选DNS改为
2400:3200::1（阿里IPv6 DNS） - 备选DNS改为
240C::6666（下一代互联网国家工程中心DNS） - 或者直接用
2606:4700:4700::1111（Cloudflare IPv6 DNS）
修改DNS后,再在命令行执行：
ping -6 qq.com
如果这时能返回IPv6地址且ping通,说明你的网络环境对IPv6 DNS支持存在兼容性问题，部分路由器在处理DNS请求时，会优先响应IPv4的A查询，忽略了AAAA查询，解决方案是把终端的DNS服务器直接指向上述IPv6公共DNS，绕过路由器的DNS转发。
企业网络环境中，如果内部DNS服务器没有开启IPv6解析能力，即使终端获取了IPv6地址，域名解析结果也永远是A记录，浏览器被迫走IPv4，需要在内网DNS服务器的转发器上，添加2400:3200::1作为AAAA记录的递归解析上游。
防火墙和组策略没有为IPv6开绿灯
这是很多用户在服务器上部署IPv6访问时踩的坑,也是经常被忽略的一环，Windows防火墙默认对入站的IPv6流量是拦截的，与IPv4行为一致，但要注意的是，Windows的“文件和打印机共享”规则中的IPv6范围仅限链路本地，不会匹配公网IPv6地址。
你要检查的是“高级安全Windows Defender防火墙”中的入站规则：
- 确认是否存在对本地端口80/443的IPv6放行规则
- 查看规则作用域,“远程地址”一栏是否包含“任何IP地址”或具体的IPv6前缀段
- 确认网络配置文件是否为“域”或“专用”，而不是“公用”
对于Linux服务器,检查ip6tables的INPUT链：
ip6tables -L -n
查看是否放行了TCP/80和TCP/443端口，很多主机商的安全组策略默认只放行了IPv4流量，IPv6流量在云控制台级别的安全组里就被丢弃了，这类问题上云服务器出现概率极高，在简米云、酷番云控制台安全组中，除了IPv4规则，还有独立的IPv6规则条目，必须单独配置放行。
宽带运营商对IPv6 ICMPv6的限制
有些宽带用户在路由器上确实获得了IPv6地址,但ping阿里DNS超时，通过traceroute发现数据包在运营商某一跳被丢弃，这种情况大多数是因为运营商对ICMPv6流量做了限速或过滤，尤其是PPPoE拨号的老宽带套餐。
解决办法是把测试目标从ICMPv6切换为TCP端口探测,用浏览器访问test-ipv6.com，如果页面显示“IPv6无连接”，但地址检测正常，则说明ICMPv6被过滤，这种情况下，IPv6 TCP流量可能仍然正常，直接访问某个IPv6网站测试即可，不一定非要ping通才能用。
如果TCP访问也失败，则可能是运营商根本没有给你分配真正的公网IPv6地址。 部分宽带套餐，尤其是校园网或共享带宽的公寓网，虽然显示了IPv6地址，但其实是私有的ULA地址（
fc00::/7前缀），这种地址无法在全球路由，检查一下你的IPv6地址前缀是否在fc00::/7段内，如果是，说明运营商没有提供公网IPv6接入，你和IPv6网站之间隔着一层NAT，外部流量无法进入，访问也必然失败。
多个场景下的IPv6异常表现汇总
| 场景 | 典型表现 | 核心故障点 |
|---|---|---|
| 家用路由器拨号 | 电脑有地址，ping不通外部 | 路由器的IPv6防火墙设置或不支持DHCPv6-PD |
| 光猫+路由器双重NAT | 路由器获取不到前缀，电脑只有fe80地址 | 光猫应改桥接或路由器设为透传 |
| 企业内网访问IPv6网站超时 | 终端有公网地址，DNS解析正常 | 出口防火墙未放行IPv6出站或内网DNS无AAAA记录 |
| 云服务器IPv6无法访问 | 安全组全放行，ping从外部不通 | 实例未绑定IPv6带宽，或VPC子网未分配IPv6网段 |
前阵子帮一位做跨境贸易的朋友排查过企业网络问题,他们的办公电脑配置了IPv6双栈，内网通过防火墙做NAT出口，结果所有员工都打不开海外IPv6网站，但国内IPv4访问都正常，排查后发现，是出口防火墙的IPv6策略放行规则中，NAT64策略优先于Native IPv6路由，导致IPv6数据包被强制转入IPv4通道，永远无法到达真正的IPv6目的地，关闭NAT64策略后，IPv6访问立即恢复。
类似的情况,在双栈迁移中很常见，不少网管为了过度时期兼容老设备，启用了IPv6地址转换功能，但这会干扰原有的Native IPv6路由逻辑，检查你的路由器或防火墙上是否启用了“IPv6 NPTv6”“NAT64”“DS-Lite”等功能，如果有，建议先关闭，因为这类地址转换功能调试复杂，一旦失配就会影响正常的双栈访问。
补充检查：你是否不小心把IPv6地址配到了错误的网卡上
多网卡环境（比如电脑同时有有线网卡和无线网卡）中，Windows可能为每一块网卡都分配了IPv6地址，但默认路由表只指向其中一块，如果你连接的网络是无线（WLAN），但IPv6默认路由指向了禁用的有线网卡，也会导致“有地址但无法出去”。
在命令行执行：
route print -6
查看0::/0这一条默认路由的“接口”列，是否对应你实际正在使用的网卡的接口索引，如果不一致，禁用另一块网卡，或者手动修改IPv6路由优先级即可。
各类IPv6网站无法访问，到底应该先查什么
很多用户容易在路由器设置里反复折腾,白白浪费时间，你只需要按照以下顺序排查，通常十分钟内就能定位问题：
- 查地址：确认终端是否拿到
240开头的全局单播地址 - 查链路：ping
2400:3200::1，判断路由是否可达 - 查解析：nslookup确认域名是否有AAAA记录
- 查端口：用浏览器访问test-ipv6.com或
ipv6.baidu.com，看最终连通性 - 查安全软件：关闭电脑本地防火墙或安全软件后重试
这里的第四步值得强调一下。直接访问一个具体的IPv6网站是最有说服力的测试，如果你的ping测试和DNS解析都正常，但唯独某些网站打不开，那很可能是该网站自身的IPv6 CDN节点不稳定，或者被防火墙策略干扰这属于网站侧问题，不是你本地环境的问题，判断方式很简单：换一个IPv6网站试试，如果其他IPv6网站能开，说明你的网络OK，之前那个纯粹是该站点的服务问题。
IPv6双栈配置了之后，有哪些问题不是你能解决的
运营商侧的IPv6路由问题属于不可控因素。 电信、联通、移动的IPv6网络建设水平参差不齐，部分老旧的城域网出口没有开启IPv6 BGP路由，导致用户即使正确获取了地址，也无法穿越运营商骨干网，这种情况下你能做的只有打运营商客服确认是否开通了IPv6业务，或者更换宽带接入方式。
某些公共WiFi或酒店网络,内部交换机与AP之间的VLAN对IPv6的DHCPv6中继支持不完整，导致终端只能获取IPv4地址，这种场景下，设备拿不到IPv6地址属于物理网络基础设施限制，不属于你个人终端的问题。
使用场景中常见的“配置IPv6双栈后连接慢”问题
有一部分用户反馈,IPv6网站能打开了，但加载速度比IPv4明显慢，这其实是IPv6连接建立时的PMTUD（路径MTU发现）机制与IPv4不同导致的，尤其是一些老旧的ACL或防火墙丢掉了IPv6的ICMPv6“Packet Too Big”消息，导致大包传输被静默丢弃，TCP连接反复重传，页面加载自然就慢了下来。
排查手段是在终端上用：
netsh interface ipv6 show global
查看MTU相关设置,然后手动把接口MTU降为1280（IPv6最小MTU），再刷新网页看速度是否恢复，如果确实恢复了，那么你的网络链路中存在MTU黑洞，需要调整路由器WAN口的MTU值或TCP MSS钳制策略，这个调优过程不复杂，但确实需要点耐心。
如何从双栈平滑过渡到纯IPv6访问
如果你确认你的网络环境不存在上述问题,可以考虑在DNS层面强制优先使用IPv6地址，多数浏览器会遵循操作系统返回的DNS解析顺序，默认优先IPv6，而Windows环境下，把网卡属性中的“Internet协议版本6（TCP/IPv6）”设置为自动获取，并取消勾选IPv4的DNS选项，只填写IPv6 DNS，这样所有域名解析都走AAAA记录，从系统层面优先IPv6。
对于企业网络,如果已全面部署IPv6，可以在边界防火墙上禁用IPv4 DHCP Option 6（DNS服务器地址），或把IPv4 DNS解析的返回A记录策略设为“禁止回落”，强制客户端使用IPv6访问，这种方式对业务不敏感的场景影响不大，但对于依赖IPv4的旧版运维系统，建议分阶段灰度。
IPv6双栈配置不是“一键开启”就万事大吉的技术，从地址获取、路由转发，到DNS解析和防火墙策略，每一步都值得检查一遍。 当你遇到“配置了IPv6双栈却无法访问IPv6网站”的情况时，按照本文的排查顺序走一遍，绝大多数故障都能定位到具体环节，网络技术就是这样，看似玄学的报错，拆开来看每一步都有迹可循。
Q&A：IPv6网站打不开相关问题解答
问：路由器已经显示获取到IPv6地址，但电脑访问IPv6网站仍然打不开，如何快速定位问题？
答：先检查电脑本身是否拿到了IPv6公网地址，在命令行执行ipconfig查看是否有240开头的地址，如果没有，说明路由器LAN侧没有正确下发IPv6前缀，检查路由器的“IPv6透传”或“DHCPv6-PD”设置，如果电脑有地址，再ping 2400:3200::1，不通说明出口路由有问题，尝试更换路由器固件版本或恢复出厂设置后重新配置双栈。
问：双栈访问时，IPv6解析正常但网站连接超时，是本地问题还是服务器问题？
答：用另一个IPv6网站做对比测试，如果多个IPv6网站都超时，则是本地网络链路问题，按防火墙和运营商顺序排查，如果仅特定网站超时，则是该网站的IPv6服务端或CDN节点故障，与你本地配置无关。
问：企业网络中，终端已配置IPv6双栈，但内网访问互联网IPv6资源全部失败，且ping外部IPv6地址超时，最可能的原因是什么？
答：多数情况下，企业防火墙的出站策略未放行IPv6协议族流量，登录防火墙检查IPv6安全策略，确认源区域与目的区域的“服务”条目中已包含IPv6-ICMP、TCP/80、TCP/443协议类型，同时在内网DNS服务器的转发器配置中，确认允许AAAA记录查询，防火墙默认只放行IPv4流量的情况在政企网络中非常普遍，这一点务必优先确认。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/575418.html
