1. 为什么要在 eNSP 里动手搭 DHCPv6从手动配死到地址自动下发1.1 这个实验到底在解决什么问题先说个很多人都有过的经历刚接触 IPv6 的时候总觉得它和 IPv4 没什么本质区别——无非就是把 32 位的地址换成了 128 位把点分十进制换成了冒号分十六进制配置的时候多敲几行地址、掩码、网关就行了。抱着这种想法去配 IPv6 地址确实也能通但一旦设备数量多起来问题就来了几十台路由器、交换机、终端每一台都要手工规划地址段、逐个接口敲地址稍不留神就把某一段前缀写错排查起来眼睛都快看瞎了。我最初在华为 eNSP 里做 IPv6 实验时就是这个状态。拓扑不算大三台路由器加两台 PC地址却理了半天R1 的 G0/0/0 要配 2001:db8:1::1/64R2 的环回口要配 2001:db8:3::1/128PC1 要手动填 2001:db8:1::10/64 和网关 2001:db8:1::1……配置本身不难难的是维护。只要拓扑里加一台设备或者某段前缀规划调整所有相关设备的地址都得跟着改一遍。DHCPv6 解决的就是这个问题。它的核心价值不是自动发个地址这么简单而是把地址池、前缀、DNS 等参数集中在服务器侧统一管理。终端设备开机后通过 DHCPv6 报文自动获取地址网络侧调整地址规划时只要改服务器配置终端无需任何操作。在 eNSP 里把 DHCPv6 跑通相当于用最小的成本把 IPv6 地址自动化管理的整套逻辑过了一遍。这套思路放到真实网络里完全通用只是把 eNSP 里的路由器换成了运营商的 DHCPv6 服务器或企业核心设备而已。所以这篇博文面向的读者很明确已经会用 eNSP 搭基础拓扑、懂静态 IPv6 配置但还没系统接触过 DHCPv6 的人。我会把实验的完整过程拆开讲包括拓扑设计、地址规划、有状态与无状态的区别、配置命令逐条解释、抓包验证方法以及我在实际操作里遇到的各种想当然导致的坑。1.2 有状态与无状态先搞清楚 DHCPv6 的两种玩法配置 DHCPv6 之前必须先分清一个概念IPv6 地址的自动配置并不只有 DHCPv6 一种方式它和 IPv4 时代要么 DHCP、要么手工的二元结构完全不同。IPv6 的地址自动获取分为有状态和无状态两条路线两者可以独立使用也可以组合使用。无状态方式的核心是路由器通告报文Router AdvertisementRA。路由器周期性地在链路上发送 RA里面携带了前缀信息比如 2001:db8:1::/64和其他参数。终端收到 RA 后自己根据前缀加接口标识通常是 EUI-64 算法基于 MAC 地址生成拼出完整的 IPv6 地址。这个过程不需要 DHCPv6 服务器参与终端自己动手就能拿到地址。它的缺点是地址完全由终端自己生成网络侧无法统一记录谁用了哪个地址审计和管理都麻烦。有状态方式就是我们这篇博文的主角 DHCPv6。终端发送 Solicit 报文去寻找 DHCPv6 服务器服务器回应 Advertise终端再发 Request服务器最后发 Reply四步交互后终端拿到服务器分配的地址。这种方式的优势在于地址由服务器统一分配和管理和 IPv4 的 DHCP 体验几乎一样能记录地址分配情况也能通过地址池做策略控制。更关键的是 RA 报文里的两个标志位M 标志Managed flag和 O 标志Other Configuration flag。M 标志为 1 时终端会通过 DHCPv6 获取地址O 标志为 1 时终端通过 DHCPv6 获取 DNS、域名等其他配置信息但地址仍由无状态自动配置生成。实际部署中最常见的是地址用无状态、其他参数用 DHCPv6的混合模式以及地址和参数全部走 DHCPv6的全有状态模式。eNSP 实验里我两种都试过这篇以全有状态为主要配置对象后面会专门讲混合模式的配置差异。在这里特别强调一下 RA 和 DHCPv6 的关系很多人以为 DHCPv6 配置好了终端就会自动来拿地址。不对。客户端是否会发起 DHCPv6 流程很大程度上取决于它收到的 RA 报文里的 M 和 O 标志。如果路由器接口没有开启 RA 发送功能或者 M 标志没置位终端可能根本不会发送 Solicit 报文。这个点是最容易掉坑的地方后面配置部分会再回到它。2. 拓扑设计与地址规划这一步做不好后面全是坑2.1 选择什么拓扑最合适eNSP 里的 DHCPv6 实验不需要复杂的网络。我试过多种拓扑最后固定下来用这个一台路由器当作 DHCPv6 服务器这里沿用习惯叫法实际上在 eNSP 里是用路由器开启 DHCPv6 服务一台交换机做二层透传两台 PC 模拟终端设备。拓扑结构大概是这样PC1 和 PC2 分别接在交换机的两个端口上交换机上联路由器路由器这边同时承担网关和 DHCPv6 服务器的角色。这个拓扑的优势在于足够简单能把注意力集中在协议本身。如果你想把实验做得更有层次可以在路由器和交换机之间再加一台路由器作为中间的转发设备但二层转发不会影响 DHCPv6 的工作逻辑反而增加排查难度。我建议第一次做的人老老实实用最简单的三设备拓扑跑通之后再往里面加设备。华为 eNSP 里默认的设备类型中AR 系列路由器、S5700 交换机都支持 IPv6。PC 的话注意选终端类型启动之后可以配置 IPv6 地址和网关。很多人一开始会选错成服务器或云导致后面 PC 无法正常获取地址这个细节虽然小但确实有人栽在这里。2.2 IPv6 地址段和前缀怎么分规划实验地址段时我推荐用文档预留的 IPv6 地址段 2001:db8::/32这是 RFC 3849 专门为文档和示例用途保留的段不会和公网地址冲突也不会闹出我把某个真实前缀配进实验的笑话。在这个大段下面再按子网划分。我这次实验用的规划如下业务网段2001:db8:1::/64给 PC1 和 PC2 所在的链路使用。网关地址2001:db8:1::1/64配置在路由器连接交换机的接口上。DHCPv6 地址池范围2001:db8:1::100 到 2001:db8:1::200方便观察地址分配规律。DNS 服务器地址2001:db8:1::2 和 2001:db8:1::3虽然是模拟环境里并不存在的地址但配置它有助于观察 O 标志和 DNS 下发的效果。为什么地址池要和网关同段因为终端获取到 IPv6 地址后需要通过邻居发现协议NDP找到网关 MAC 才能转发报文如果 DHCPv6 分配了不同子网的地址而该子网在本地链路上没有对应网关终端就会陷入有地址但不通的尴尬境地。初学者最容易犯这个错误把地址池规划到和网关完全不同的网段。前缀长度的选择也值得说一句。实际生产网络中运营商通常分配 /56 甚至 /48 的前缀给用户企业内部再往下划分 /64 子网实验环境用 /64 就足够了。因为 IPv6 的地址自动配置包括 SLAAC要求子网前缀必须刚好是 64 位也就是 /64这是 NDP 和地址生成机制的基础。严格来说链路本地地址和手工地址也可以用非 /64 前缀但自动配置场景下建议全部规整为 /64省心。2.3 接口要开哪些功能拓扑和地址规划好后动手配置前还要想清楚一件事哪些接口需要开启 IPv6哪些接口需要开 DHCPv6 服务哪些接口需要发 RA。这三者的关系如果没理清配置命令敲上去也白搭。路由器上连接 PC 一侧的接口要同时开启 IPv6 能力、配置 IPv6 网关地址、开启 RA 发送功能。只有接口启用 IPv6 后路由器的 IPv6 协议栈才会工作只有配了 IPv6 地址接口才有资格作为该链路上的默认网关只有开了 RA 功能PC 才能感知到这条链路上的网关和前缀信息进而决定是否发起 DHCPv6。路由器上连接其他路由器如果有的接口则相对简单只需要配置 IPv6 地址和路由即可不需要开 RA。RA 只在终端所在的广播链路上有意义路由器之间的点对点链路上开 RA 不仅多余还可能造成不必要的邻居发现报文。交换机的配置就简单多了和 IPv4 场景一样只需要把端口划入对应 VLAN开启 IPv6 相关功能不是必须的二层交换本身不感知 IPv6 地址。不过建议仍然在交换机上开启 IPv6 能力避免后续扩展实验比如跨 VLAN 路由时还要回头补。3. 核心配置逐条拆解DHCPv6 服务器和客户端的完整配置过程3.1 服务器侧配置命令解析下面进入正题。在华为设备上配置 DHCPv6 服务器核心命令分三大块全局启用 DHCPv6 服务、定义地址池、绑定接口。我直接在路由器上操作完整的配置过程如下。第一步开启路由器的 DHCPv6 服务功能[R1] dhcpv6 server这条命令在系统视图下执行作用是开启路由器的 DHCPv6 服务器功能。如果不执行后续的地址池和接口绑定命令虽然能敲进去但实际不会生效。顺带说明华为的设备默认不开启这个服务所以这一步务必记得。第二步创建 IPv6 地址池并配置参数[R1] ipv6 dhcp pool dhcpv6-pool1 [R1-dhcpv6-pool-dhcpv6-pool1] address prefix 2001:db8:1::/64 lifetime preferred 600 valid 1200 [R1-dhcpv6-pool-dhcpv6-pool1] dns-server 2001:db8:1::2 [R1-dhcpv6-pool-dhcpv6-pool1] quit这里有两个关键点需要展开解释。address prefix命令后面跟的虽然是一个 /64 前缀但华为设备默认会从前缀里取一段作为可分配地址范围。如果希望限制分配范围比如从 100 到 200可以用address range命令显式指定[R1-dhcpv6-pool-dhcpv6-pool1] address range 2001:db8:1::100 2001:db8:1::200我在实验初期没加这条结果终端获取到的地址是从前缀起始位置开始分配的虽然不影响通信但观察起来不够直观。加上 range 之后地址分配规律一目了然。lifetime preferred 600 valid 1200分别设置了首选生命周期和有效生命周期。preferred lifetime 是指地址可以被正常使用的期限超过之后地址进入弃用状态不能主动发起新连接valid lifetime 是指地址允许存在的最大期限超过之后地址完全失效。这个参数在实际网络里影响很大因为终端会在 preferred lifetime 快到期时主动续租。实验场景设 600 秒和 1200 秒是为了方便观察地址续租过程生产环境通常设成更长的值比如 4 小时到 7 天不等。第三步在接口视图下启用 DHCPv6 服务器功能并开启 RA[R1] interface GigabitEthernet0/0/0 [R1-GigabitEthernet0/0/0] ipv6 enable [R1-GigabitEthernet0/0/0] ipv6 address 2001:db8:1::1/64 [R1-GigabitEthernet0/0/0] dhcpv6 server dhcpv6-pool1 [R1-GigabitEthernet0/0/0] undo ipv6 nd ra halt最后一条命令值得单独拿出来说。华为路由器的接口默认不会主动发送 RA 报文可以理解为 RA 发送功能处于暂停状态必须通过undo ipv6 nd ra halt来取消暂停。很多人在配置了 DHCPv6 服务器和接口绑定后发现 PC 迟迟不获取地址查了无数遍配置最后发现是 RA 没开。不过这里还涉及一个细节如果想让客户端通过 DHCPv6 获取地址RA 报文中的 M 标志必须置 1。华为设备上开启 DHCPv6 服务器功能后接口发出的 RA 报文默认会继承 M 标志为 1 吗答案是肯定的但我还是建议显式配置避免不同版本设备行为不一致。命令如下[R1-GigabitEthernet0/0/0] ipv6 nd managed-config-flag这条命令把 RA 报文的 M 标志位置 1明确告诉链路上的终端地址和参数都通过 DHCPv6 获取。与之配套的还有ipv6 nd other-config-flag命令用于把 O 标志位置 1。在全有状态模式下M 和 O 都置位在无状态 DHCPv6 下发 DNS 的混合模式下只置 O 即可。这两者的区别我在后面的混合模式小节再细讲。如果希望终端即使不通过 DHCPv6 也能自己生成地址即 SLAAC 和 DHCPv6 同时可用可以保留 RA 中的前缀信息终端就会同时具备两种地址来源。但实验里为了清晰地观察 DHCPv6 地址获取过程我建议屏蔽 RA 中的前缀让终端只能通过 DHCPv6 获取地址。华为设备上可以通过ipv6 nd prefix default no-autoconfig这样的命令来实现不过不同版本命令可能有差异如果执行不成功就跳过不影响核心实验。3.2 客户端侧在 eNSP 的 PC 上验证自动获取服务器侧配置完成后接下来看客户端怎么验证。eNSP 的终端设备PC配置 IPv6 地址有两种方式手动指定和自动获取。自动获取模式下PC 会监听链路上的 RA 报文并根据 RA 的标志位决定是否发起 DHCPv6 流程。在 PC1 上打开 IPv6 配置界面选择自动获取或类似选项应用后稍等片刻再用 ipconfig 命令查看地址信息。正常情况下PC1 会拿到一个 2001:db8:1::/64 段内的地址地址的具体值由服务器的地址池决定。如果地址池配置了address range就会落到指定范围内。这里有个我一开始忽略的细节eNSP 里的 PC 终端在开机启动后和真实操作系统一样会先发送路由器请求报文Router SolicitationRS来催促链路上的路由器尽快发送 RA。如果此时路由器的接口已经配置完成PC 通常在几秒内就能完成地址获取。如果启动顺序颠倒比如 PC 先启动、路由器后启动PC 可能已经进入了等待状态需要手动重新触发一次地址获取。在 eNSP 里最简单的做法是给 PC 的网卡禁用再启用或者在命令行里执行 ipconfig release 和 ipconfig renew 组合操作。真实物理机上也是同样的思路拔插网线或者禁用再启用网卡即可。3.3 常用验证命令与输出解读服务器侧的验证比 PC 侧更直观。进入路由器系统视图后常用的检查命令主要有以下几条。第一条是查看 DHCPv6 地址池信息[R1] display ipv6 dhcp pool输出会列出每个地址池的前缀、已分配地址数、空闲地址数、DNS 服务器等参数。我习惯先看已分配地址数是否为 0。如果 PC 已经成功获取地址而这里显示 0说明数据面或报文转发出了问题需要结合抓包进一步排查。第二条是查看 DHCPv6 的绑定关系[R1] display ipv6 dhcp server binding这条命令能看到哪个客户端通过 DUID 标识在哪个接口下获取了哪个 IPv6 地址、租约剩余时长等信息。它可以直接回答PC1 到底拿到的是哪个地址这个问题非常适合验证地址池范围配置是否正确。第三条是查看接口的 IPv6 状态和 RA 相关统计[R1] display ipv6 interface GigabitEthernet0/0/0输出中会包含接口的 IPv6 地址、链路本地地址以及 RA 报文的发送情况。如果ipv6 nd managed-config-flag配置成功这里也能看到对应标志位的状态。第四条是检查 IPv6 邻居表[R1] display ipv6 neighbors这条命令可以确认路由器是否已经解析到 PC 的链路层地址。如果 PC 拿到了 IPv6 地址但路由器的邻居表中没有对应条目说明 PC 虽然从 DHCPv6 拿到了地址但还没有和网关完成邻居发现过程后续通信会失败。这在拿到了地址但 ping 不通的故障排查里非常关键。我在实际实验时通常按这个顺序排错先看 PC 有没有地址再看服务器绑定表有没有记录再看接口 RA 状态最后看邻居表。按这个顺序走一遍大多数问题都能定位到具体环节。4. 抓包看协议DHCPv6 地址获取全过程还原4.1 四步交互的完整报文流程配置跑通只是第一步。如果想要真正理解 DHCPv6光看命令输出不够必须抓包看报文。DHCPv6 基于 UDP 运行客户端发送报文到组播地址 ff02::1:2所有 DHCPv6 服务器和中继服务器回应报文到 ff02::1:3所有 DHCPv6 客户端源目端口分别是 546 和 547。标准的 DHCPv6 地址分配过程是四次交互客户端发送 Solicit 报文询问链路上有没有 DHCPv6 服务器可以提供地址。服务器收到后回应 Advertise 报文告知客户端自己可以提供地址并附上可分配的地址和参数。客户端选择一个服务器如果有多台服务器响应客户端依据 Server Identifier 和优先级选择发送 Request 报文正式请求地址。服务器收到 Request 后回复 Reply 报文最终确认地址分配结果包含地址、租期、DNS 等参数。需要说明的是在实际抓包中如果链路上只有一台服务器且配置没有歧义整个流程在毫秒级完成速度快到你可能错过前几个报文。eNSP 抓包时可以先把 PC 的 IPv6 禁用再启用同时开始在接口上的抓包这样能完整看到从 RS/RA 到 Solicit/Reply 的全过程。多提一句RS 和 RA 是 NDP邻居发现协议的报文不属于 DHCPv6 的范畴但它们在时序上通常会出现在 DHCPv6 报文之前。这是因为终端在决定是否需要 DHCPv6之前必须先通过 RA 获知链路信息。看抓包时如果把 RS/RA 和 Solicit/Reply 混在一起看很容易对到底是谁触发了谁产生误解。我的理解是DHCPv6 客户端是在收到 RA 且 RA 中 M 标志为 1 之后才进入寻找 DHCPv6 服务器状态的——至少在标准实现中是如此。4.2 eNSP 里怎么抓包eNSP 自带的抓包功能和 Wireshark 类似操作也不复杂。在拓扑图上右键点击路由器和交换机之间的链路选择开始抓包然后再去 PC 上触发地址获取抓包窗口里就会实时显示经过该链路的所有报文。不过 eNSP 抓包有个限制它抓取的是链路上的 Ethernet 帧如果拓扑里有二层交换机交换机端口之间的流量不一定都能在任意一条链路上看到完整内容。比如 PC1 的发包如果从交换机端口 1 进入、从端口 2 出去你在路由器侧链路上抓到的只有从交换机出来的帧PC1 到交换机之间的报文看不到。DHCPv6 报文本身是广播或多播性质的所以大概率能抓到但如果你的拓扑中有多个网段或 VLAN 隔离就需要在合适的链路上抓包。为了简化分析我建议在最简单的PC1 直连路由器模式下先完成抓包实验等理解了完整流程后再接入交换机。抓包窗口里重点关注报文的源目地址、端口号和包类型。Solicit 和 Advertise 报文里包含的关键字段有Client Identifier客户端 DUID由 PC 的 MAC 地址生成、Server Identifier服务器 DUID、IANA 选项里面包含客户端请求的地址或服务器分配的地址、IA Address 选项实际分配的地址及租期、DNS Servers 选项等。对照这些字段能直观看到地址池的配置结果是如何传递到 PC 的。4.3 常见异常报文情形抓包最常见的价值是你在配置看起来全对但实际不通时能从报文中找到问题根源。我总结了几种常见的异常情形。第一种抓包只看到 RS没有后续。这说明 RA 报文没有正确发给客户端或者客户端对 RA 里的标志位不敏感。优先检查路由器接口上是否执行了undo ipv6 nd ra halt以及ipv6 nd managed-config-flag是否生效。第二种有 Solicit 但没有 Advertise。这说明 DHCPv6 服务器收到了请求但没有响应。原因通常是地址池没有配置前缀或范围或者服务器功能没启用。在 eNSP 里还有一种可能路由器上同时存在多个接口开启了 DHCPv6服务器接口选错了。第三种有 Advertise 但没有 Request。这种情况相对少见但多见于客户端同时收到多台服务器的 Advertise、选择了其中一台、但报文在链路上异常丢失。排查时可以临时关闭其他 DHCPv6 服务器或者检查 PC 的配置是否有残留。第四种Reply 报文中包含错误状态码Status Code 选项为 NotOnLink 或 NoAddrsAvail。NoAddrsAvail 代表服务器地址池已耗尽实验里通常是因为地址范围太小NotOnLink 代表服务器分配的地址与前缀不匹配通常是地址池和接口所在子网不一致。这两种状态码直接在报文中就能看到排查效率非常高。5. 排错实战我在这类实验里踩过的坑5.1 路由器不回应 Solicit一个隐藏开关的问题做 DHCPv6 实验的第一天我按记忆里的配置敲完命令PC 上等了半天IPv6 地址始终是空的。检查服务器配置地址池有接口绑定有接口 IPv6 地址也有IPv6 邻居表里甚至能看到 PC 的 MAC。但服务器就是不回 Advertise。排查过程是这样的先在 PC 侧抓包确认 PC 确实在发 Solicit 报文再去路由器接口下抓包发现 Solicit 也到了路由器。问题出在路由器接到 Solicit 后没有回应。此时再查地址池发现一个问题——我没执行dhcpv6 server这条全局命令。对就是那一句看起来配不配都行的开关命令。华为设备的 DHCPv6 服务器功能默认是关闭的不打开它地址池配置得再漂亮也是摆设。这个坑在文档里写得很清楚但实际操作中太容易被忽略了因为它是全局配置不绑定在某个接口下不像接口配置那样让人有配置感。我的建议是每次配置 DHCPv6 服务器第一行就敲dhcpv6 server然后检查配置时第一眼也看它。细节决定成败这句话在这个实验里非常贴切。5.2 拿到了地址但 ping 不通邻居表和路由表的锅另一个常见问题是PC 能通过 DHCPv6 拿到 2001:db8:1::/64 的地址但 PC1 ping PC2 不通甚至 ping 网关也不通。拿到地址说明 DHCPv6 流程完成了但地址可用性和 DHCPv6 的成功并不是一回事。我在这个坑里花了比较久的时间。后来细查发现PC1 确实拿到了地址但路由器邻居表里没有 PC1 的条目。PC1 发出 ICMPv6 Echo Request 时第一跳必须通过邻居发现协议解析网关的 MAC 地址这个解析过程如果失败报文根本发不出去。为什么解析失败因为我当时为了做纯 DHCPv6实验把 RA 报文里的前缀自动配置功能关了但 PC 的 ND 流程仍然依赖 RA 中包含的网关信息。网关信息如果缺失PC 就不知道该把报文交给谁。解决方法是检查 RA 报文中是否携带了正确的前缀和网关选项。在 eNSP 中最简单的方式是确认接口配置了 IPv6 地址后不要过度修改 RA 的默认行为。默认情况下RA 会携带接口的前缀信息终端据此完成邻居发现和默认网关设置。如果你确实需要关闭前缀自动配置请确保网关信息仍然通过其他方式比如 DHCPv6 下发的路由信息选项提供给终端否则就会出现地址有了、路不通的尴尬局面。还有一种情况是 PC 的 IPv6 报文离开了本链路但路由器没有路由把它转发到目的地。实验拓扑里如果有多台路由器别忘记配置 IPv6 静态路由或动态路由协议。IPv4 时代配完接口还要配路由IPv6 时代也是一样这个条件反射不能丢。5.3 混合模式下 PC 拿不到 DNS第三种坑出现在混合模式实验中。当时我想复现实际网络中常见的无状态地址 DHCPv6 下发 DNS场景于是把 RA 的 M 标志去除只保留了 O 标志并希望通过 DHCPv6 给 PC 下发 DNS 服务器地址。配置如下[R1-GigabitEthernet0/0/0] ipv6 nd other-config-flag然后我把地址池里的 DNS 服务器配置保留。预期效果是 PC 使用 SLAAC 自动生成地址同时通过 DHCPv6 获取 DNS。但实际结果是 PC 的 IPv6 地址正常生成DNS 却是空的。后来抓包才明白O 标志置位后PC 确实会发送 Solicit 报文去请求其他配置但这个类型的 Solicit 里不会请求地址只请求 DNS 等参数。问题出在我的地址池里虽然配置了 DNS但服务器侧没有正确识别这类仅信息请求或者 eNSP 的 PC 对混合模式的支持不完整。这个问题的最终解决方式比较务实在 PC 上检查一下是否支持混合模式。如果 eNSP 版本里的终端模拟能力有限完全不必死磕实验目的是理解机制不是替代真实操作系统。我在真实 Linux 或 Windows 环境里操作时混合模式是正常工作的。对 eNSP 实验来说能做到全有状态模式下拿到地址和 DNS就已经达标了。6. 从实验到生产DHCPv6 部署的几个现实差异6.1 模拟器可以做什么、不能做什么eNSP 很适合做 DHCPv6 的功能验证和协议理解但它毕竟是一个模拟环境和真实网络有几个明显差异。第一性能差异。eNSP 里的数据面和控制面由软件模拟报文处理速度远低于真实设备。在实验里你很难感受到高负载下 DHCPv6 服务器的表现比如地址池耗尽时大量客户端同时请求会怎样。真实设备在高并发场景下可能出现拒绝服务、地址冲突等问题必须进行压力测试。第二终端差异。eNSP 的 PC 是一个很简化的终端模型它的 DHCPv6 客户端行为与 Windows、Linux、macOS 有较大差异。比如真实操作系统在无状态模式下获取 DNS 的机制、续租的时间策略、RA 消息中多个前缀的处理方式等都比模拟终端复杂。做实验时记住一点eNSP 里跑通了不代表所有真实终端的兼容性都验证过了反之亦然。第三功能边界。现代企业网络中的 DHCPv6 经常涉及中继DHCPv6 Relay、前缀委派Prefix Delegation、地址分配策略如按用户分配固定前缀、用户认证与计费等高级功能。eNSP 对中继和前缀委派有基础支持但策略和计费相关的内容基本无法模拟。如果你需要在真实网络上做 DHCPv6 规划建议在 eNSP 里把基础流程吃透后再用模拟器配合真机或虚拟机做补充验证。6.2 地址池规划与租期设计建议真实网络部署 DHCPv6 时地址池规划方式与实验有差别。核心区别在于实验环境通常只有一个网段一个地址池真实网络往往有多个子网每个子网对应不同的业务、安全域或用户类型需要多地址池与接口绑定。地址池范围方面生产环境一般不建议把整个 /64 都放进地址池。IPv6 地址空间可以支撑海量设备但过大的地址池会给地址管理和审计带来压力。建议从网段中划出一段比如 .1000 开始用于 DHCPv6 动态分配其余保留给静态地址、设备管理地址或特殊用途。有条件时按用户类型分池比如办公区一个池、访客一个池便于差异化控制。租期设计方面要看业务场景。移动性强的终端如员工笔记本电脑在不同办公区移动建议用较短的租期4 到 12 小时这样地址回收快、减少地址浪费固定终端如打印机、门禁控制器可以用较长的租期48 小时到 7 天减少续租报文对网络的冲击。需要注意IPv6 地址的 preferred lifetime 和 valid lifetime 要一起规划两者相差太大可能导致终端在地址还在 valid 但已 preferred 过期时无法主动发起新连接。DNS 等参数的下发也要认真对待。实验中我总把 DNS 地址设成一个不存在的地址因为只是为了验证字段。真实部署中 DNS 地址错误会造成终端能上网但解析不了域名这类问题的隐蔽性很强排查时很容易忽略是 DHCPv6 下发参数的问题。6.3 安全方面的几个注意点最后说安全。这部分内容在 eNSP 实验里很难体现但真实部署时必须考虑。一是 DHCPv6 报文默认没有认证机制。攻击者对 DHCPv6 的影响和 IPv4 的 DHCP 攻击类似它可以伪装成 DHCPv6 服务器向终端下发恶意网关或 DNS 地址劫持流量。在实际网络中如果交换机支持 DHCPv6 Snooping务必开启。它会在交换机上建立 DHCPv6 绑定表限制可信端口阻止非法 DHCPv6 服务器的报文进入网络。二是 RA 报文的安全问题。RA 报文在无状态自动配置中扮演重要角色攻击者可以伪造 RA 报文宣称自己是网关从而劫持终端流量。IPv6 的 RA Snooping 和 RA Guard 技术就是用来抑制这类攻击的。在生产网络上不要把v6 好简单、配完就好当作风控原则安全防护要和 IPv4 同等重视。三是因为 DHCPv6 会将地址和 DUID 关联实际网络的操作维护需要结合地址表与接入端口标识来审计。如果终端 MAC 变化比如 VLAN 重新认证导致系统分配新 MAC会生成新的 DUID 和地址需要定期核对地址绑定信息。这在实验里基本遇不到但在生产环境中是日常工作。7. 几个提高效率的小习惯和后续扩展方向写到这里博文的主体内容已经讲完了。最后分享几个我在反复做这个实验后总结的小习惯以及可以继续深挖的方向。习惯一配置前先写好地址规划表。每一行是什么网段、网关是谁、DHCPv6 池范围是什么、DNS 是什么先写在本子上再敲命令。磨刀不误砍柴工这能让实验时间缩短一半以上。习惯二每配置完一个功能马上验证一个功能。比如配完地址池就display ipv6 dhcp pool配完接口就display ipv6 interface不要再等所有配置完成后再总验证。因为 DHCPv6 的排错链路比较长如果一次配置了十几个命令再查很多错误根本记不清是哪一步造成的。习惯三练好清空重来的功夫。eNSP 里实验环境弄乱了重置设备配置比在真实设备上方便得多不用有心理压力。我经常在排查 20 分钟无果后直接把路由器删掉重新拉一台配置重新敲一遍往往新配置一次就通了——这说明故障多半是上次配置里的细微差错而不是协议本身的问题。后续你可以继续做这几个扩展实验在交换机上配置 DHCPv6 Relay把 PC 的 DHCPv6 请求中继到另一台路由器模拟跨网段地址分配。配置无状态 DHCPv6 实验观察 SLAAC 地址生成与 DHCPv6 DNS 下发的混合流程。在路由器上启用 DHCPv6 Prefix Delegation模拟上游网络向下游设备委派前缀的场景这对理解家庭和企业接入场景尤其有帮助。我在实际项目里最深的体会是IPv6 地址配置本身不难难的是从手工思维切换到自动分配思维。DHCPv6 的报文字段、租期概念、RA 标志位这些细节看起来零零碎碎但把它们串起来想整个地址分配体系就是一个完整的闭环。而把这个闭环在 eNSP 里亲手搭一遍比看十遍文档都管用。