F1000使用IPV4地址访问IPV6互联网

要让内网的 IPv4 设备访问 IPv6 互联网，需要用到地址族转换技术（AFT）。简单来说，就是在防火墙上把 IPv4 数据包“翻译”成 IPv6 数据包发出去，再把回来的 IPv6 包“翻译”回 IPv4。

本质上，这是将防火墙作为 IPv4 和 IPv6 网络之间的翻译网关（AFT（Address Family Translation）-即地址族转换）。

 推荐方案：应用最广的 IVI（无状态AFT）自动映射

IVI 是无状态的转换方式，转换规则简单，性能开销小。它需要你规划一个专用的IPv6 NAT64前缀。它的转换逻辑可以形象地理解为：
“192.168.1.100 → 加上 2024:0000:0000:0000:0000:0000:0000: → 2024::C0A8:0164”。当 IPv4 报文匹配规则，IPv4 源地址会被附加到你指定的 NAT64 前缀上，组成一个 IPv6 地址，然后发往 IPv6 网络。

 配置步骤

1. 接口基础配置与安全域

   # 进入内网接口 G1/0/1（属于 Trust 安全域）

   <Device> system-view [Device] interface GigabitEthernet 1/0/1 [Device-GigabitEthernet1/0/1] ip address 10.1.1.1 24 # 假设内网网关 [Device-GigabitEthernet1/0/1] quit [Device] security-zone name trust [Device-security-zone-Trust] import interface GigabitEthernet 1/0/1 [Device-security-zone-Trust] quit # 进入外网接口 G1/0/2（属于 Untrust 安全域），并配置 IPv6 地址 [Device] interface GigabitEthernet 1/0/2 [Device-GigabitEthernet1/0/2] ipv6 address 2024::1 64 # 假设外网IPv6地址 [Device-GigabitEthernet1/0/2] quit [Device] security-zone name untrust [Device-security-zone-Untrust] import interface GigabitEthernet 1/0/2 [Device-security-zone-Untrust] quit

2. 配置核心 AFT 规则

   # (1) 全局启用IPv6转发

   [Device] ipv6 # (2) 定义ACL，识别哪些内网IPv4地址需要转换 [Device] acl basic 2000 [Device-acl-ipv4-basic-2000] rule permit source 10.1.1.0 0.0.0.255 [Device-acl-ipv4-basic-2000] quit # (3) 配置 NAT64 前缀和IVI前缀[reference:4][reference:5] [Device] aft prefix-nat64 2024:: 96 # 用于IPv4到IPv6的源地址转换[reference:6] [Device] aft prefix-ivi 2013:: # 用于IPv6到IPv4的源地址转换（定义即可）[reference:7] # (4) 配置 IPv4 到 IPv6 的动态目的地址转换策略 # 该策略会将匹配ACL 2000的IPv4报文的源地址，用aft prefix-nat64转换为IPv6地址[reference:8] [Device] aft v4tov6 destination acl number 2000 prefix-ivi 2013::

3. 接口启用 AFT 功能

4.  安全和路由配置（关键步骤）
   a. 安全策略必须放行
   需要创建防火墙安全策略，明确允许地址转换后的流量通过，以及防火墙自身发起的转换处理。

   # 放行内网设备到防火墙设备的流量

   [Device] security-policy ip [Device-security-policy-ip] rule name aft-local-in [Device-security-policy-ip-1-aft-local-in] source-zone trust [Device-security-policy-ip-1-aft-local-in] destination-zone local [Device-security-policy-ip-1-aft-local-in] source-ip-subnet 10.1.1.0 24 # 内网网段 [Device-security-policy-ip-1-aft-local-in] action pass [Device-security-policy-ip-1-aft-local-in] quit # 放行防火墙设备到IPv6网络的流量（关键！设备需要发送转换后的IPv6包） [Device-security-policy-ip] rule name aft-local-out [Device-security-policy-ip-2-aft-local-out] source-zone local [Device-security-policy-ip-2-aft-local-out] destination-zone untrust [Device-security-policy-ip-2-aft-local-out] action pass [Device-security-policy-ip-2-aft-local-out] quit [Device-security-policy-ip] quit b. 配置路由

   内网设备需要有一条去往 IPv6 目标网段的“假”路由指向防火墙。以 Windows 为例（需管理员权限）：

   # 目标NET64前缀是2024::/96，下一跳是防火墙的内网口IPv4地址10.1.1.1[reference:9]

   route add 2024::/96 10.1.1.1

内网 IPv4 地址 → F1000 防火墙 → IPv6 公网出口 → 访问 IPv6 互联网

用到 F1000 的 AFT（Address Family Translation），即 IPv4/IPv6 互转H3C。

1. 组网假设（你对照改接口 / 地址）

• 内网：192.168.0.0/24（IPv4）
• 内网接口：G1/0/1（IPv4）
• 外网接口：G1/0/2（IPv6，已获取运营商 IPv6 地址 / 前缀）
• 外网 IPv6 地址：2001:db8:1::1/64（示例）
• AFT 转换前缀（自定义）：
  • NAT64 前缀：2012::/96
  • IVI 前缀：2013::/32H3C

2. 完整配置（直接复制粘贴）

3. 原理一句话

• 内网 IPv4 包 → 进防火墙内网口 → AFT 4to6 把源 IPv4 映射成 2013::/32 里的 IPv6 地址H3C
• 目的地址（比如 www.baidu.com）会被 DNS64/NAT64 机制解析为 2012::/96 前缀的 IPv6 地址H3C
• 防火墙把整个包转成 IPv6 → 从外网口发往 IPv6 互联网H3C

4. 客户端设置

• 网关：192.168.0.1（防火墙内网口）
• DNS：建议填 IPv6 DNS（如 2400:3200::1），或防火墙开 DNS64

5. 常见坑

1. 接口没敲 aft enable → 不转换，不通H3C
2. 没配置 v4tov6 source 策略 → 源地址转不了H3C
3. 安全策略没放通 Trust→Untrust → 被防火墙拒绝
4. 路由没指向 IPv6 出口 → 流量不走外网