2026年，IPv6从“政策推动”变成了“现实压力”。云厂商默认分配IPv6地址，运营商网络天然优先走IPv6，手机移动网络在多数场景下IPv6的优先级已经高于IPv4。如果你的服务器只监听IPv4，相当于主动把相当一部分用户拒之门外。

但直接“All in IPv6”并不现实——上游依赖可能不支持、第三方API可能只有IPv4、内网老设备不兼容。最稳妥的方案是双栈（Dual-Stack） ：同一台服务器同时运行IPv4和IPv6协议栈，两种地址并存，根据客户端能力自动选择最优路径。

为什么需要双栈：从网络演进看必要性

IPv4地址池早在2011年就已耗尽，APNIC区域的IPv4地址资源尤其紧张。与此同时，全球IPv6流量持续攀升，移动网络和主要云服务商已普遍将IPv6作为默认协议。在这种背景下，服务器仅支持IPv4会导致两个实际问题：一是来自IPv6-only网络的用户完全无法访问，二是IPv6优先的移动客户端可能因协议不匹配出现超时。

双栈方案让服务器同时拥有IPv4和IPv6地址，客户端根据自身网络环境选择连接方式。双栈环境也扩大了攻击面，必须针对IPv6协议特性实施专项防护，防火墙和入侵检测设备都需要能处理IPv6流量，确保双栈环境下对IPv4和IPv6实施同等力度的安全管控。

第一步：确认内核是否支持IPv6

现代Linux发行版默认启用IPv6，但部分云主机镜像或安全加固模板可能主动禁用了它。登录服务器后，先确认内核参数：

sysctl net.ipv6.conf.all.disable_ipv6

如果返回`1`，说明IPv6被禁用了，需要临时启用：

sysctl -w net.ipv6.conf.all.disable_ipv6=0

要永久生效，编辑`/etc/sysctl.conf`，将`net.ipv6.conf.all.disable_ipv6`和`net.ipv6.conf.default.disable_ipv6`都设为`0`，然后执行`sysctl -p`。

第二步：为网卡分配IPv6地址

双栈的核心是同一块物理网卡上同时绑定IPv4和IPv6地址。配置方式取决于系统使用的网络管理工具。

使用nmcli（RHEL/CentOS/Rocky Linux/新版本Ubuntu）

`nmcli`是目前推荐的方式，语法统一，兼容性最好。假设网卡连接名为`eth0`，执行以下命令同时设置IPv4和IPv6：

nmcli connection modify eth0 \

ipv4.addresses "192.0.2.10/24" \

ipv4.gateway "192.0.2.1" \

ipv4.dns "8.8.8.8,114.114.114.114" \

ipv4.method manual \

ipv6.addresses "2001:db8::10/64" \

ipv6.gateway "2001:db8::1" \

ipv6.dns "2001:4860:4860::8888" \

ipv6.method manual

nmcli connection up eth0

如果IPv6使用SLAAC自动配置，将`ipv6.method`改为`auto`即可。

使用Netplan（Ubuntu 18.04+）

编辑`/etc/netplan/01-netcfg.yaml`：

yaml

network:

version: 2

renderer: networkd

ethernets:

eth0:

addresses:

- 192.0.2.10/24

- 2001:db8::10/64

routes:

- to: default

via: 192.0.2.1

- to: ::/0

via: 2001:db8::1

nameservers:

addresses:

- 8.8.8.8

- 2001:4860:4860::8888

执行`sudo netplan apply`应用配置。

快速验证：执行`ip addr show eth0`，输出中应同时看到`inet 192.0.2.10`和`inet6 2001:db8::10`两行。用`ping -4 8.8.8.8`和`ping -6 2001:4860:4860::8888`分别测试两条协议栈的连通性。

第三步：让服务监听双栈端口

这是双栈配置中最容易出问题的环节。很多服务默认只监听IPv4，AAAA记录加了、客户端能连上，但端口没有监听，结果就是超时。

以Nginx为例，仅写`listen 80;`只监听IPv4。双栈的正确写法是同时添加`[::]:80`：

nginx

server {

listen 80;

listen [::]:80;

server_name example.com;

...

}

`[::]`是IPv6的“任意地址”写法，等价于IPv4的`0.0.0.0`。漏掉这一行，所有IPv6请求都会在连接建立后超时。

其他常见服务同理：Apache需要`Listen [::]:80`，SSH需要确认`AddressFamily`设置为`any`（默认值），数据库服务需要检查`bind-address`是否允许IPv6连接。

第四步：同步IPv6防火墙规则

IPv4和IPv6的防火墙是两套独立规则。很多人在iptables中放行了80端口，但忘记在ip6tables中做同样的操作，导致IPv6流量直接被丢弃。

使用iptables的系统，需要同步添加：

ip6tables -A INPUT -p tcp --dport 80 -j ACCEPT

ip6tables -A INPUT -p tcp --dport 443 -j ACCEPT

使用firewalld的系统，需要同时管理两个zone：

firewall-cmd --permanent --add-service=http --zone=public

firewall-cmd --permanent --add-service=http --zone=public --ipv6

firewall-cmd --reload

使用nftables的系统，规则需要同时匹配IPv4和IPv6，或在两个family中分别定义。

特别提醒：云服务商的安全组同样可能只配置了IPv4规则。需要登录控制台，确认安全组中同时为IPv6添加了入站和出站规则。

第五步：配置DNS解析与验证

服务器双栈就绪后，需要在DNS中添加AAAA记录：

example.com.    IN  A     192.0.2.10

example.com.    IN  AAAA  2001:db8::10

A记录和AAAA记录同时存在时，支持IPv6的客户端优先使用AAAA记录，IPv4-only的客户端回退到A记录。这个优先级机制由客户端操作系统的RFC 6724地址选择策略决定，服务端无需干预。

验证方法：使用`dig example.com AAAA`确认AAAA记录已生效，然后用`curl -6 https://example.com`强制走IPv6访问，确认服务正常响应。

双栈配置的常见坑与排查思路

服务监听未同步是最常见的失败原因。排查时先用`ss -tlnp | grep -E ':80|:443'`查看端口监听情况，如果只看到IPv4地址（如`0.0.0.0:80`）而没有IPv6地址（`[::]:80`），说明服务配置需要修改。

防火墙规则不对称是第二个高频问题。如果`curl -6`返回超时但`curl -4`正常，优先检查ip6tables或nftables是否放行了对应端口。

云平台安全组未放行IPv6在初次配置时容易被忽略。部分云服务商的安全组默认只对IPv4生效，需要手动为IPv6添加规则。

上游依赖不支持IPv6是暂时无法通过服务器端配置解决的。如果应用需要调用的第三方API只有IPv4地址，双栈服务器可以通过NAT64或DNS64实现IPv6到IPv4的转换，但这会增加架构复杂度，需要单独评估。

基础设施层的双栈就绪度

双栈配置能否顺利落地，除了服务器端的技术操作，还取决于底层基础设施是否提供了完整的IPv6支持。并非所有云服务商的所有产品线都默认启用IPv6，在选购服务器时需要确认所选的实例类型是否支持双栈。

华纳云作为APNIC和ARIN的正式会员单位，持有自有ASN号及独立IP地址资源，具备自主的路由策略调优能力。对于需要部署双栈网络的业务场景，华纳云的香港及美国节点提供CN2 GIA精品线路接入，三网直连优化，IPv4和IPv6流量都能获得稳定的传输质量。全系标配独享带宽与企业级NVMe SSD，从网络层到存储层为双栈应用提供了扎实的运行基础。续费同价政策确保长期运行成本可预期。

双栈不是“开关一按”的简单操作，它涉及地址分配、服务监听、防火墙同步、DNS解析四个层面的协同。 每一步都做到位，才能真正实现“IPv4用户和IPv6用户都能正常访问”。访问华纳云官网，查看适合双栈部署场景的云服务器方案。