要搞明白 IPv6 地址怎么从服务器中继，先记住一句话：中继的本质是让一台同时拥有公网 IPv6 和可用链路的服务器，替那些够不到 IPv6 网络的设备“传话”和“跑腿”，它不是给你生造一个 IP，而是把你已有的 IPv4 流量翻译或转发到 IPv6 世界里。
下面不绕弯子，直接拆开讲配置、原理、对比和坑。
ipv6中继服务器怎么配置
配置之前，先判断你的网络到底卡在哪一步,多数人搞混两种情况：
-
情况 A：设备自己有 IPv6 地址，但是没有公网路由
比如公司内网已经下发240e:xxxx:xxxx开头的地址，可流量出不去，因为路由器不帮忙转发。
这种情况下，中继服务器要干的是 NDP 代理 和 路由通告。 -
情况 B：设备完全没有 IPv6 地址，纯粹是 IPv4 内网
比如老小区宽带，光猫只分 IPv4。
这种情况要上 NAT64 翻译 或 隧道转发,服务器充当协议转换器。
从 Linux 服务器开始：纯中继模式
假设你有一台公网 IPv6 主机，系统是 Ubuntu 或 Debian,操作如下：
-
确认服务器的公网 v6 地址
执行ip -6 addr，看看有没有240e::/32这类全球单播地址，如果只有一个fe80::开头的本地链路地址，那它还没拿到公网 v6,得先找运营商或上游机房申请。 -
开启内核转发
sysctl -w net.ipv6.conf.all.forwarding=1
这一步是让服务器愿意当路由,而不是遇包就丢。
-
装 radvd 做路由通告
apt install radvd，配置文件写清楚要通告哪个前缀、默认网关是谁。
核心配置片段：interface eth0 { AdvSendAdvert on; MinRtrAdvInterval 3; MaxRtrAdvInterval 10; prefix 2001:db8:1::/64 { AdvOnLink on; AdvAutonomous on; }; };systemctl restart radvd。 -
验证终端能不能通
在内网机器上抓包看有没有Router Advertisement报文。
执行ip -6 route，如果出现了default via 2001:db8:1::1这样的默认路由，说明中继已经让内网“看见” IPv6 出口了。
NAT64 模式：没有 v6 地址的设备怎么被中继
如果是给纯 IPv4 设备开通 IPv6 访问能力，用
tayga 这个工具最省事。
- 装好
tayga，配置里指定一个 IPv4 地址池和一个 IPv6 前缀。prefix 64:ff9b::/96 dynamic pool 192.0.2.0/24 - 启动服务后，内网 IPv4 设备不用改任何配置，只要服务器把流量转发到 tayga 进程，就能把 IPv4 包翻译成 IPv6 包发出去。
验证中继真生效了，别只看 ping
真正能证明中继工作的不是内网 ping 通，而是 从外网主动访问你的 IPv6 地址。
比如你用手机 5G 网络（一般有公网 v6）访问服务器的 v6 地址，能通说明链路是通的。只在内网自己 ping 自己，测不出中继服务器帮了什么忙。
弄懂 ipv6地址中继原理，先分清三种模式
不少教程把“中继”和“代理”“隧道”混在一起写，但它们的路径完全不同,理解原理只需要记住流量怎么走。
-
纯路由中继（NDP 代理）
服务器接收内网机器的 IPv6 包，然后像普通路由器一样查表转发，它不做任何改写，包头里的源地址和目标地址都原封不动。
这个模式效率最高,延迟增加几乎可以忽略。 -
协议翻译（NAT64）
内网 IPv4 设备发来一个168.1.10的包，服务器把它改写成一个假的 IPv6 地址，再发到 IPv6 网络。
因为改动包头，连接状态要存在服务器内存里，所以连接数多了对 CPU 有压力。 -
隧道封装（IPv6-in-IPv4）
服务器把 IPv6 包整个塞进一个 IPv4 包里，看起来像寄快递时外面多套了一层箱子，服务器只负责拆箱和打包，不关心内部的 IPv6 地址规划。
这种方式会额外增加 20 字节左右的开销，但实现简单，不少 VPS 商家用来给客户发独立 v6 段。
业内专家指出一个现实：规模越小的网络越适合用服务器做中继，因为它不用换核心交换机，也免去和运营商扯皮要前缀，但代价是单点故障服务器一挂，全网 v6 就断。
ipv6中继和隧道代理的区别不止一个
很多人搜“ipv6中继和隧道代理的区别”，其实是搜“中继、隧道、代理哪个更适合我”，这三者的边界常被混淆,对比表格最直观：
| 对比项 | ipv6中继 | 隧道代理 | 代理服务器 |
|---|---|---|---|
| 工作层 | 网络层（L3）+ 邻居发现 | 网络层封装 | 应用层（L7） |
| 是否改地址 | 通常不改 | 改外层头 | |
| 对端设备感知 | 无感知 | 无感知 | 需要设置代理 |
| 性能损耗 | 极小 | 多一层封装头 | 看代理软件效率 |
| 典型工具 | radvd、NDP代理 | gogo6、sit隧道 | Nginx代理、socks |
中继和隧道最核心的区别在中继转发时，包的内部地址是真实目标地址；隧道则是在原包外面再包一层，原包被当作“货物”运输。 举个生活例子：中继是小区保安帮你指路,隧道是快递公司把整个集装箱原封不动搬走。
选型上给个直接建议：
- 想让 少量 IPv4 设备 蹭 IPv6，选 NAT64 形式的服务器中继。
- 想让 整段 IPv4 网络 拥有 IPv6 访问能力，选 radvd 做纯路由通告。
- 运营商不给你前缀，但你有两台独立服务器，想互通 v6 段,选隧道。
- 只为了访问某个 IPv6 网站（比如高校图书馆），直接在浏览器配代理就行,别折腾服务器中继。
部署ipv6中继服务器，这几个坑绕不开
实操中最容易翻车的三件事,提前说清楚能省一晚上时间。
路由环路：中继服务器把自己绕晕了
中继服务器通告了默认路由 default via 自己的内网地址，但它的上游接口又在同一个网段里自动学习了同样的路由，结果数据包在服务器和交换机之间来回弹。
排查方法： 登录服务器执行 ip -6 route show table all，看有没有重复前缀，如果同一个前缀出现两次，说明 RA 通告和内核自动路由打架了。
解决办法： 在 radvd 配置里给内网接口加上 AdvDefaultLifetime 0,禁止它把自己的链路通告成默认路由。
MTU：包太大被静默丢弃
IPv6 的最小 MTU 是 1280 字节，但 PPPoE 拨号网络的实际 MTU 往往只有 1492，中继后常见的症状是：网页打开一半卡住，视频能加载但刷不动评论。
把内网接口和服务器外网接口的 MTU 统一设置为 1420（低于 1492 且留出多余空间），可以规避绝大多数分片问题，执行：
ip link set dev eth0 mtu 1420
安全：公网中继会被别人蹭
如果你的服务器通告了 2001:db8::/64 这个前缀，理论上任何能触达你内网网段的人都能自动获取地址并借你的服务器上网。
务必在服务器的防火墙里加一条规则：只允许 0.0.0/8、16.0.0/12、168.0.0/16 这三个私网网段的 IPv6 流量走中继转发。 特别是当你给堡垒机做 ipv6中继配置时，建议先把来源 IP 白名单写到 /etc/hosts.allow 或 nftables 里,否则审计日志会塞满陌生连接记录。
地址池设计：别把 v6 前缀切太碎
在 tayga 这类 NAT64 工具里，如果给 ipv6中继地址池分配的是 /126 这种细碎前缀，每个用户只能分到几个地址，连接稍多就耗尽。
规划建议是：内网小于 50 台设备用 /112 足够；大于 200 台再考虑 /96。前缀切分越碎，中继服务器的 NAT64 表项越小，但动态地址冲突的概率越高,需要靠数据库维护状态。
ipv6地址中继后原来的ipv4还能用吗
能，而且必须能，中继服务器永远不会没收你的 IPv4 地址。
- 纯路由中继模式，设备同时挂着
168.x.x和240e:xxxx两个地址，这叫双栈，访问 IPv4 网站走原来的老路，访问 IPv6 网站才经过中继服务器。 - NAT64 模式，内网设备只有 IPv4 地址，中继服务器替它把 IPv6 流量翻译成 IPv4 流量，设备不知道自己访问过 v6 网站,整个过程对终端透明。
所以别担心“上了中继，旧 IP 就没用了”，它更像给一间老房子装了个新门铃，原来的大门照样开。
用起来之前，再想一遍这三件事
中继服务器是不是成了新的单点故障？
如果是，那就跑两个中继点，一个主一个备，用 keepalived 抢一个 VIP 地址。
服务器带宽够不够？ 一个 1Mbps 的小 VPS 去中继一个大办公室的 IPv6 流量，必然卡到怀疑人生，行业共识认为，中继服务器至少要有与出口带宽同等级的流量包，否则 v6 网速会被中继点锁死。
你的前缀是从哪来的？ 中继服务本身不需要额外付费买前缀，上游机房的服务器一般自带 /64；但如果你要自己规划好几个网段，得先问清楚服务商允许通告多少条路由，这一步不确认,后面配置写得再漂亮也是白搭。
顺着这个思路配置，IPv6 中继不会比配 IPv4 的 DHCP 难太多，关键是认清自己属于“缺路由”还是“缺地址”的那类网络,然后选对应的模式去填坑。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/701722.html
