问
F5000-M如何配置IPv4网络访问IPv6 Internet中的服务器配置举例
2天前提问
- 0关注
- 0收藏，71浏览
已采纳
你要的是 内网 IPv4 → 公网 IPv6（目标网段未知），这是典型 NAT64（AFT v4tov6 动态） 场景，不需要知道外部 IPv6 网段，也不需要把外部 IPv6 固定映射成某个 IPv4。
一、原理一句话
- 内网 IPv4 用户访问 “虚拟 IPv4 地址段（比如 10.64.0.0/10）”
- 防火墙 AFT：把 源 IPv4 → NAT64 前缀 + IPv4（变成 IPv6），目的虚拟 IPv4 → 自动拼接成真实 IPv6（NAT64 前缀 + 32 位目的）
- 防火墙有 默认 IPv6 路由（0::/0） 指向 IPv6 互联网
- 外网回来的 IPv6 响应，AFT 自动把 目的 IPv6 → 内网 IPv4 转回来
所以：外部 IPv6 不需要你预先知道，也不需要在防火墙上写死。
二、组网（典型）
- Trust：内网 IPv4（192.168.0.0/24）
- Untrust：IPv6 互联网（有默认路由 0::/0）
- 虚拟 IPv4 段：10.64.0.0/10（随便选一个内网不用的私网段）
三、F5000-M 配置（CLI，直接可抄）
1）接口与安全域
bash
运行
# 内网口（IPv4）
interface GigabitEthernet1/0/1
port link-mode route
ip address 192.168.0.1 255.255.255.0
zone trust
aft enable # 关键：接口开 AFT
quit
# 外网口（IPv6）
interface GigabitEthernet1/0/2
port link-mode route
ipv6 address 2409:xxxx:xxxx::1/64 # 你的公网 IPv6
zone untrust
aft enable
quit
# IPv6 默认路由（指向 ISP）
ipv6 route-static :: 0 GigabitEthernet1/0/2 2409:xxxx:xxxx::fe
2）ACL：允许内网 IPv4 做 AFT
bash
运行
acl basic 2000
rule permit source 192.168.0.0 0.0.0.255
quit
3）NAT64 前缀（全局，核心）
选一个 /96 前缀，比如
2012::/96（你自己的，别和公网冲突）：bash
运行
aft prefix-nat64 2012:: 96
作用：
- 内网 IPv4 → 外网 IPv6：源 = 2012:: + 内网 IPv4
- 虚拟 IPv4 → 真实 IPv6：目的 = 2012:: + 虚拟 IPv4 后 32 位
4）v4tov6 动态源转换（SNAT）
bash
运行
aft v4tov6 source acl 2000 prefix-nat64
解释：所有匹配 ACL 2000 的内网 IPv4，自动用 NAT64 前缀转成 IPv6，不用写具体地址。
5）v4tov6 目的转换（DNAT，虚拟 IPv4 → 任意 IPv6）
bash
运行
aft v4tov6 destination prefix-nat64
解释：只要内网访问 虚拟 IPv4（10.64.0.0/10），防火墙就把 目的 IPv4 后 32 位 拼到 NAT64 前缀后面，变成 真实 IPv6 地址，然后查 IPv6 路由转发到互联网。
6）安全策略（放行）
bash
运行
# IPv4→IPv6 放行
security-policy ip
rule name v4-to-v6
source-zone trust
destination-zone untrust
source-address 192.168.0.0 24
destination-address 10.64.0.0 10 # 虚拟 IPv4 段
action pass
quit
四、内网用户怎么用
内网电脑（192.168.0.0/24）：
- 访问 任意 IPv6 网站 = 访问 10.64.0.0/10 里对应 IP
- 举例：
- 真实 IPv6：
2001:db8::1 - 内网访问：
10.64.0.1（后 32 位是0000:0001→ 十进制1）
- 真实 IPv6：
- 可以在内网 DNS 做个 A 记录：把 ***.*** 解析到 10.64.0.1，用户直接域名访问。
五、你疑惑的点解答
“外部互联网 IPv6 地址根本不知道，我在防火墙做的 IPv4 转成 IPv6 的 AFT 地址呀？”
- 你不需要知道外部 IPv6
- 你只需要：
- 配置一个 NAT64 前缀（2012::/96）
- 配置一个 虚拟 IPv4 段（10.64.0.0/10）
- 外网口有 IPv6 默认路由
- AFT 会 动态、自动 把虚拟 IPv4 → 真实 IPv6，把内网 IPv4 → NAT64 前缀 IPv6，全程不需要你写任何外部 IPv6 地址。
六、检查命令
bash
运行
display aft configuration
display aft session
display ipv6 route
实现不了
先把IPV4转成防火墙上联出接口IPV6地址网段，这不就出去了吗，外面回来也能找到我的出接口网段知道下一跳能回程，这样不行吗
zhiliao_WprthO
发表时间：2天前
更多>>
先把IPV4转成防火墙上联出接口IPV6地址网段，这不就出去了吗，外面回来也能找到我的出接口网段知道下一跳能回程，这样不行吗
zhiliao_WprthO
发表时间：2天前
这种无法实现
先把IPV4转成防火墙上联出接口IPV6地址网段，这不就出去了吗，外面回来也能找到我的出接口网段知道下一跳能回程，这样不行吗
zhiliao_WprthO
发表时间：2天前
更多>>
先把IPV4转成防火墙上联出接口IPV6地址网段，这不就出去了吗，外面回来也能找到我的出接口网段知道下一跳能回程，这样不行吗
zhiliao_WprthO
发表时间：2天前
你的理解非常准确，这正是 IPv4 访问 IPv6 互联网时最大的痛点。如果单纯只做 AFT（地址族转换，即 NAT46），内部 IPv4 主机发出的数据包源地址虽然会被转换成 IPv6 地址，但由于互联网上的 IPv6 服务器根本不知道这个转换后的 IPv6 地址，导致回包无法正确路由到你的防火墙，通信也就无法建立。
要完美解决“内部 IPv4 网络访问未知 IPv6 互联网”的问题，在 H3C F5000-M 防火墙上，标准的解决方案是 NAT64 + DNS64 组合技术。
核心原理：为什么需要 NAT64 + DNS64？
- NAT64（解决数据包往返问题）：
它的作用就是你理解的 AFT（NAT46）。当内部 IPv4 主机访问外网时，防火墙会将数据包的源地址从 IPv4 转换为一个防火墙拥有的公网 IPv6 前缀地址。这样，外部 IPv6 服务器回包时，就能顺着这个 IPv6 前缀把数据包准确地送回到你的防火墙，防火墙再将其还原为 IPv4 发给内网主机。 - DNS64（解决“找不到路”的问题）：
这是解决你疑惑的关键。当内网 IPv4 主机想要访问***.***时，它会向防火墙（充当 DNS64 服务器）发起 DNS 查询。- 如果该域名只有 IPv6 地址（AAAA记录），DNS64 会拦截这个响应，并自动合成一个特殊的 IPv6 地址（格式为：
NAT64前缀 + IPv4后缀），然后把这个合成的 IPv6 地址返回给内网主机。 - 内网主机拿到这个合成的 IPv6 地址后发起访问，防火墙识别出这个地址包含自己的 NAT64 前缀，就会自动触发 NAT64 转换，将流量正确地转发到真实的 IPv6 互联网服务器上。
- 如果该域名只有 IPv6 地址（AAAA记录），DNS64 会拦截这个响应，并自动合成一个特殊的 IPv6 地址（格式为：
F5000-M 配置核心步骤
在配置前，请确保你的 F5000-M 软件版本支持 NAT64 和 DNS64 功能，并且你的 WAN 口已经从运营商处获取到了公网 IPv6 地址和前缀。
1. 配置 NAT64 地址池（提供转换后的公网 IPv6 身份）
你需要从运营商分配给你的公网 IPv6 前缀中，拿出一部分地址作为 NAT64 的地址池。
你需要从运营商分配给你的公网 IPv6 前缀中，拿出一部分地址作为 NAT64 的地址池。
- 假设运营商给你的公网 IPv6 前缀是
2408:xxxx:xxxx::/64。 - 你可以配置一个地址池，例如范围是
2408:xxxx:xxxx::100到2408:xxxx:xxxx::200。
2. 配置 DNS64 前缀
DNS64 合成地址时使用的前缀，必须与 NAT64 地址池的前 96 位保持一致。
DNS64 合成地址时使用的前缀，必须与 NAT64 地址池的前 96 位保持一致。
- 如果 NAT64 地址池是
2408:xxxx:xxxx::100，那么 DNS64 前缀就配置为2408:xxxx:xxxx::/96。 - 同时，在防火墙上配置上游 DNS 服务器（如运营商下发的 IPv6 DNS，或公共 IPv6 DNS
2001:4860:4860::8888）。
3. 配置 NAT64 转换策略
在防火墙上配置策略，允许内部 IPv4 网段（如
在防火墙上配置策略，允许内部 IPv4 网段（如
192.168.1.0/24）在访问任意 IPv6 网络时，源地址动态转换为 NAT64 地址池中的 IPv6 地址。4. 配置安全策略
- 放行流量：配置安全策略，允许 Trust 区域（内网 IPv4）到 Untrust 区域（外网 IPv6）的流量通过。
- 放行 ICMPv6：IPv6 网络极其依赖 ICMPv6 协议（类似 IPv4 的 ARP 和 Ping），务必在安全策略中放通 ICMPv6，否则可能导致地址解析失败或链路不通。
5. 修改内网主机的 DNS 设置
将内部 IPv4 网络中主机的 DNS 服务器地址，指向防火墙的内网接口 IPv4 地址。这样内网主机的所有 DNS 解析请求都会经过防火墙，由防火墙的 DNS64 功能进行“合成地址”的处理。
将内部 IPv4 网络中主机的 DNS 服务器地址，指向防火墙的内网接口 IPv4 地址。这样内网主机的所有 DNS 解析请求都会经过防火墙，由防火墙的 DNS64 功能进行“合成地址”的处理。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明