全球单播地址从哪来
IPv6 的全球单播地址（GUA）目前从 2000::/3 分配，也就是 2000:: 到 3fff:ffff:… 这个范围。地址按 IANA → RIR → ISP/LIR → 用户的顺序逐级下发：运营商从区域互联网注册机构拿到较大的块（典型起点是 /32），再向下分配给企业与家庭用户。企业一般得到一个 /48，家庭常见 /56。
地址里能读出什么
由于分配是逐级进行的，GUA 的前几位往往能读出运营商与地区信息：前 3 位固定表示这是全球单播，接下来的位段对应 RIR 与运营商编号。不过由于用户可以自由划分子网，后 64 位与具体的物理位置没有固定关系，不能像 IPv4 那样凭地址段推断机房。
没有 NAT 的端到端
GUA 是全球可路由地址，IPv6 的默认设计是不做 NAT：每个终端都能拥有自己的全局地址，端到端可达。这意味着安全边界必须由防火墙承担——默认拒绝入向、只放行必要服务，而不是依赖地址转换带来的那点隐蔽性。双栈环境下，很多主机同时拥有 IPv4 私网地址与 IPv6 全局地址，策略要两条都覆盖。
基本信息
| 当前分配范围 | 2000::/3（2000:: – 3fff:ffff:…） |
|---|---|
| 分配链路 | IANA → RIR → ISP/LIR → 用户 |
| 企业典型大小 | /48（部分 /56） |
| 家庭典型大小 | /56 或 /48 |
| 单条链路 | /64 |
| 规范依据 | RFC 4291、RFC 3587、各 RIR 分配政策 |
典型使用场景
- 企业向运营商申请 IPv6 地址，评估诉求应为 /48 起
- 云上启用 IPv6：多数云平台给 VPC 分配 GUA 前缀并支持与本地互联
- 主机自动配置：终端从 RA 拿到 /64 前缀并生成全局地址
- 对外发布服务：用 GUA 直接提供服务，不再依赖地址转换
- 日志与审计：按前缀归属判断流量来源的运营商与地区
查看全局地址
查看全局地址
ip -6 addr show scope global
# inet6 2001:db8:1:2::10/64 scope global dynamic ← 2000::/3 内的可路由地址
ip -6 route show default # 默认路由通常来自 RA
ip -6 addr show scope link # 对比：fe80:: 开头的链路本地地址分配链路与典型大小
| 层级 | 典型大小 | 说明 |
|---|---|---|
| IANA → RIR | 大块（/12 级口径） | 按区域划拨 |
| RIR → ISP/LIR | /32 起，按规模更大 | 运营商地址池 |
| ISP → 企业站点 | /48 | 可切 65536 个 /64 |
| ISP → 家庭 | /56 或 /48 | 可切 256 个 /64 |
| 单条链路 | /64 | SLAAC 的最小单元 |
IPv6 地址不会像 IPv4 那样因为短缺而做 NAT，但防火墙与访问控制必须同步建设：没有 NAT 缓冲后，内部服务如果直接在全局地址上监听，就可能被公网直接扫到。默认拒绝入向是 IPv6 部署的基本前提。
把 /64 当成站点块是常见误解：站点惯例是 /48 或 /56，/64 只是单条链路。向运营商只申请 /64 会导致后续新增 VLAN 时无处可分，只能重新申请并全网改址。