问
防火墙PPPOEIPV6拨号上网需要做哪些配置？
1天前提问
- 0关注
- 0收藏，82浏览
# 进入接口视图（通常为物理口如G1/0/1）
interface GigabitEthernet1/0/1
pppoe-client dial-bundle-number 1
# 创建Dialer接口
interface Dialer1
link-protocol ppp
ppp ipcp dns request # 请求DNS服务器
ppp ipv6cp dns request # 请求IPv6 DNS
# 配置PPPoE认证（根据运营商要求）
ppp pap local-user user123 password simple pass123
# 或CHAP认证
ppp chap user user123 password simple pass123
# 启用IPv6
ipv6 address auto # 自动获取IPv6地址
ipv6 address auto link-local
ipv6 enable
# 配置MTU（PPPoE通常为1492）
mtu 1492
tcp mss 1452
# 设置默认路由
ip route-static 0.0.0.0 0 Dialer1
ipv6 route-static :: 0 Dialer1
前置前提
- 运营商光纤已开通 IPv6，光猫桥接模式；
- 运营商 PPPoE 支持IPv6CP 协商 + DHCPv6-PD 前缀委派（下发 / 56、/60、/64 公网前缀）；
- 防火墙 Comware V7 版本（F1000/F5000/M9000 通用逻辑）。
一、全局基础必配（IPv6 协议栈、PD 路由通告）
plaintext
system-view
# 1.全局开启IPv6协议栈（默认关闭，必须开）
ipv6
# 2.自动下发PD前缀对应的静态IPv6路由（内网跨VLAN可达）
ipv6 dhcp advertise pd-route
二、PPPoE 拨号链路配置（外网 WAN）
1. 物理外网口绑定 PPPoE 客户端
plaintext
interface GigabitEthernet 0/0 //连接光猫的WAN口
port link-mode route
pppoe-client dial-bundle-number 1 //绑定拨号组1
2. Dialer 虚拟拨号口（核心 IPv6 协商）
plaintext
interface Dialer 1
port link-mode route
dialer bundle 1
# IPv4拨号基础
ip address ppp-negotiate
ppp chap user 宽带账号
ppp chap password simple 宽带密码
nat outbound //IPv4上网NAT
# IPv6核心配置（缺一不可）
ipv6 enable //接口开启IPv6
ppp ipv6cp enable //开启PPP IPv6地址协商
ipv6 address auto //协商获取防火墙自身公网IPv6地址
ipv6 dhcp client pd ISP-PD rapid-commit //向运营商申请IPv6前缀PD，ISP-PD为前缀名称
三、内网 LAN 接口配置（下放 IPv6 前缀给终端）
内网口支持两种终端获取地址方式：SLAAC 自动生成地址 + DHCPv6 分配 DNS
plaintext
interface GigabitEthernet 0/1 //内网三层口/三层VLANIF
ipv6 enable
# 绑定运营商下发的PD前缀，接口自动生成网关地址
ipv6 address ISP-PD ::1/64
# 开启RA路由通告（终端SLAAC自动生成IPv6公网地址）
undo ipv6 nd ra halt
# 开启DHCPv6服务器，下发DNS、域名
ipv6 dhcp select server
ipv6 dhcp server prefix ISP-PD
# RA携带DNS信息，终端无需单独DHCPv6也能获取DNS
ipv6 nd ra dns server auto
四、IPv6 默认路由（访问互联网）
plaintext
# 所有IPv6流量全部转发至PPPoE拨号口
ipv6 route-static :: 0 Dialer 1 preference 60
五、安全策略放行（IPv4+IPv6 双向放通）
1. IPv4 策略（原有上网策略保留）
安全策略：源内网域→目的外网域，动作允许，NAT outbound。
2. IPv6 策略（必须新增，否则 IPv6 不通）
plaintext
security-policy
rule name LAN_TO_INTERNET_V6
source-zone trust
destination-zone untrust
service ipv6
action permit
六、可选配套优化配置
1. 调整 IPv6 MTU（PPPoE 标准 1492，防分片丢包）
plaintext
interface Dialer 1
ipv6 mtu 1492
2. 内网多 VLAN 复用 PD 前缀
每个内网三层 VLANIF 重复配置
ipv6 address ISP-PD X::1/64，防火墙自动切分前缀分配不同子网。3. 纯 IPv6 环境（无 IPv4）
删除所有 IPv4 相关配置（ip address、nat outbound、IPv4 安全策略），保留 IPv6 整套配置即可。
七、关键概念与配置作用梳理
ppp ipv6cp enable：PPP 协商防火墙自身公网 IPv6 单播地址；ipv6 dhcp client pd：向运营商申请整段公网前缀（PD），内网终端共享公网 IPv6；undo ipv6 nd ra halt：发送 RA 报文，终端自动生成公网 IPv6（SLAAC）；ipv6 dhcp server prefix：下发 IPv6 DNS、域名搜索列表；ipv6 dhcp advertise pd-route：自动生成内网 IPv6 网段路由，多 VLAN 互通。
八、排错查看命令
plaintext
display ipv6 interface Dialer 1 //查看拨号口IPv6地址、PD前缀
display ipv6 dhcp client pd //查看运营商下发的完整公网前缀
display ipv6 routing-table //检查IPv6默认路由
display ipv6 neighbors //查看内网终端IPv6邻居
display security-policy rule match ipv6 //检查IPv6安全策略是否命中
极简总结五大必做模块
- 全局开启 IPv6；
- WAN 口 PPPoE 拨号，开启 IPv6CP+DHCPv6-PD 获取公网地址与前缀；
- 内网口绑定 PD 前缀、开启 RA+DHCPv6 下发地址 / DNS；
- 配置 IPv6 默认路由指向 Dialer；
- 安全策略放行 trust→untrust IPv6 流量。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论