问

防火墙是否支持双栈

IPv6

14小时前提问

0关注
0收藏，44浏览

一叶秋尹鹏

一叶秋尹鹏零段

粉丝：0人关注：0人

问题描述：

H3C SecPath F1000-S-EI 防火墙：支持情况存在矛盾

对于这台设备，官方来源的信息并不一致，需要你特别注意：

官方产品介绍支持：在H3C官方的产品介绍中，F1000-S-EI被明确列为“支持IPv4/IPv6双协议栈”。相关的产品手册也列出了IPv6基础命令、DHCPv6、IPv6路由等配置项，表明设备具备相应的功能模块。
官方知识库提示“基本不支持”：然而，在H3C的官方技术社区（KMS）中，有工程师针对“F1000-S-EI是否支持IPv6”的回答明确指出：“目前来说这两款设备较老，支持的ipv6的功能有限，性能也有限。基本上理解为不支持，不建议使用这两天设备作为IPV6的转发设备”。

结论：虽然产品规格书写明支持，但官方技术社区的实际反馈认为其IPv6功能非常有限，不推荐作为生产环境中的IPv6转发设备。如果你的IPv6流量需要经过此防火墙，可能会遇到性能瓶颈或功能缺失..这个是正确的吗？

3 个回答

按时间按赞数

IT小工

IT小工九段

粉丝：43人关注：2人

1、产品规格（纸面能力，彩页 / 配置手册）

✅支持：

IPv6 报文转发、IPv6 域间安全策略、IPv6 状态检测 ASPF
IPv6 静态路由、RIPng、OSPFv3；DHCPv6 Server/Relay
IPv6 ACL、IPv6 会话限制、GRE 手工隧道
基础 NAT64（部分版本）

手册里 IPv6 全套命令存在，实验室、小规模低流量场景可以正常跑 IPv6，所以产品资料标注支持双栈。

2、KMS 工程师所说的限制（工程生产重点）

F1000-S-EI 属于较早一代 F1000 平台，硬件芯片对 IPv6 没有硬件加速：

IPv6 流量全部走 CPU 软转发，IPv6 吞吐、新建连接数远低于 IPv4，无法达到彩页上 IPv4 标称性能。
IPv6 对应的 DPI（IPS、AV、应用识别、URL 过滤）很多特征库适配不完善；部分 IPv6 ALG、深度安全功能存在缺陷 / 版本 bug。
双栈同时跑大流量，CPU 占用会明显升高，高并发 IPv6 业务容易出现延迟、丢包。
老版本固件部分 IPv6 特性不稳定（比如 BGP4+、IPv6 会话同步、双机热备 IPv6 会话同步存在缺陷）。

工程师原话的本质：能配置、能通，但性能和深度安全能力弱，不适合作为大规模、高带宽生产出口做 IPv6 转发，不是完全不能用。

3、分场景能不能上生产

✅适合：小规模内网 IPv6、低带宽 IPv6 接入，仅基础包过滤，不开 IPS/AV 等 DPI 深度安全，流量不大的场景（如少量测试、内网业务 IPv6）。
❌不适合：互联网出口，IPv6 大带宽、高并发，并且需要开启 IPS、AV、应用审计等深度安全防护的生产环境。

4、落地建议

若要启用双栈，优先升级到该机型最新稳定 V7 版本，修复已知 IPv6 缺陷。
IPv6 流量尽量关闭 DPI 深度检测，减轻 CPU 压力；仅保留基础域间策略放行。
上线前做压测，持续监控display cpu-usage，观察 IPv6 流量上来后的 CPU 负载。
业务是运营商级 / 高带宽 IPv6 出口，建议更换新一代 F1000 系列（带 IPv6 硬件加速平台）。

一句话精简版

F1000-S-EI在功能上支持 IPv4/IPv6 双栈，手册和彩页描述无误；但该老平台 IPv6 无硬件加速，依靠 CPU 软转发，深度安全特性适配不完善，小规模低流量 IPv6 可用，不适合高带宽、高并发的生产出口 IPv6 业务，也就是 KMS 工程师所说 “基本理解为不建议使用” 的含义。