IPv6 地址里的设备线索
使用无状态自动配置且未启用隐私扩展时，IPv6 地址的后 64 位由网卡 MAC 按 EUI-64 规则生成，其中嵌有 MAC 的全部字节。排查设备归属时先看地址的构造方式，判断它属于 EUI-64、隐私扩展还是手工指定，再决定能否从地址反推网卡。判断错了会把两个不同设备关联到一起。
基本信息
| EUI-64 构造 | 64 位前缀 + 由 MAC 转换的 64 位接口标识 |
|---|---|
| 转换规则 | MAC 中间插入 fffe，并把第一个字节的第 7 位取反 |
| 隐私扩展 | RFC 4941，接口标识随机且定期更换，不含 MAC |
| 查看命令 | ip -6 addr show / netsh interface ipv6 show address |
典型使用场景
- 日志里只有 IPv6 源地址，需要判断能否反推网卡
- 核查网络设备与服务端网卡的地址是否由 EUI-64 生成
- 把地址归属结论与交换机 MAC 表相互印证
- 识别终端启用了隐私扩展，避免做出无依据的归属推断
- 对同一网段的地址归类，判断哪些主机保留了可识别标识
- 评估地址规划是否留下可被枚举的设备标识
地址构成检查
地址构成检查
ip -6 addr show dev eth0 | head -6 # 查看接口地址与 scope
sysctl net.ipv6.conf.eth0.use_tempaddr # 2 表示启用隐私扩展
# EUI-64 与 MAC 的对应关系
# 2001:db8::0211:22ff:fe33:4455 <- MAC 00:11:22:33:44:55
# 规律：MAC 中间插入 fffe（ff:fe），首字节 00 取反后变 02地址段落读法
| 部分 | 含义 | 判读要点 |
|---|---|---|
| 前 64 位 | 网络前缀 | 由路由器通告分配，来自地址规划 |
| 后 64 位 | 接口标识 | 出现 ff:fe 且第 7 位规律翻转多为 EUI-64 |
| 后半随机 | 隐私扩展地址 | 无法反推 MAC，需借助其他来源 |
| ::1 / fe80:: | 回环与链路本地 | 链路本地地址可能同样由 MAC 生成 |
现代桌面与移动系统多数默认启用隐私扩展，EUI-64 更常出现在服务器网卡与网络设备接口上，判断前先确认系统策略。
把隐私扩展地址当成 EUI-64 解读会得出错误归属；结论必须有交换机 MAC 表或认证日志旁证。
同一接口通常同时存在链路本地地址与全局地址，两者的接口标识由同一算法生成，可以互相校验推演结果是否正确。