IPv6 ACL 与 IPv4 的差异
IPv6 流量的过滤要用 IPv6 ACL，不能复用 IPv4 的规则。两个关键差异：地址与掩码用「前缀/长度」写法而不是通配符掩码；IPv6 没有 ARP，地址解析完全依赖 ICMPv6 的邻居发现（ND）报文。任何过滤策略都必须放行邻居发现，否则会出现「地址配好了却互相不通」的现象，症状与链路故障高度相似。
基本信息
| 适用平台 | 支持 IPv6 的华为 VRP、思科 IOS、H3C Comware 设备 |
|---|---|
| 华为命令 | acl ipv6 number / acl ipv6 name，视图内配 rule |
| 思科命令 | ipv6 access-list 名称，接口下 ipv6 traffic-filter 引用 |
| H3C 命令 | acl ipv6 basic / acl ipv6 advanced，接口下 packet-filter ipv6 引用 |
| 地址写法 | 前缀/长度，例如 2001:db8:1::/64 |
| 必放行项 | ICMPv6 邻居发现相关报文（邻居请求、邻居通告） |
典型使用场景
- IPv6 业务网段访问控制：限制哪些前缀能访问哪些端口
- 双栈管理面加固：只允许特定管理前缀访问设备管理接口
- 过渡期管控：IPv6 策略往往滞后于 IPv4，用 ACL 先补上临时限制
- 流量清洗：阻断来自特定 IPv6 前缀的异常流量
- 策略对称性检查：IPv4 已有的限制同步到 IPv6，避免出现绕过路径
华为 VRP
华为 VRP
[Huawei] acl ipv6 number 3000
[Huawei-acl6-adv-3000] rule 5 permit tcp source 2001:db8:1::/64 destination-port eq 443
[Huawei-acl6-adv-3000] rule 10 permit icmpv6 # 邻居发现必须放行
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl ipv6 3000
<Huawei> display acl ipv6 all # 查看规则与命中计数思科 IOS
思科 IOS
SW-CORE-01(config)# ipv6 access-list V6WEB
SW-CORE-01(config-ipv6-acl)# permit tcp 2001:DB8:1::/64 any eq 443
SW-CORE-01(config-ipv6-acl)# permit icmp any any nd-na # 邻居通告
SW-CORE-01(config-ipv6-acl)# permit icmp any any nd-ns # 邻居请求
SW-CORE-01(config)# interface GigabitEthernet0/1
SW-CORE-01(config-if)# ipv6 traffic-filter V6WEB in
SW-CORE-01# show ipv6 access-list V6WEBH3C Comware
H3C Comware
[H3C] acl ipv6 advanced 3000
[H3C-acl-ipv6-adv-3000] rule 5 permit tcp source 2001:DB8:1::/64 destination-port eq 443
[H3C-acl-ipv6-adv-3000] rule 10 permit icmpv6
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] packet-filter ipv6 3000 inbound
<H3C> display acl ipv6 allIPv4 与 IPv6 ACL 差异
| 维度 | IPv4 ACL | IPv6 ACL |
|---|---|---|
| 地址掩码写法 | 通配符掩码（0.0.0.255） | 前缀长度（2001:db8::/64） |
| 地址解析 | ARP | ICMPv6 邻居发现（ND） |
| 协议关键字 | tcp / udp / icmp | tcp / udp / icmpv6 |
| 接口引用 | traffic-filter / access-group | 多带 ipv6 关键字区分 |
| 隐式行为 | 末尾隐式拒绝 | 末尾隐式拒绝，ND 不放行即全网不通 |
IPv6 ACL 默认同样拒绝未匹配流量。过滤策略若无条件放行 ICMPv6 邻居发现报文，终端之间会在地址配置正常的情况下完全不通，而 ping 网关也可能失败，症状与链路故障高度相似，排查时容易被引到错误方向。
排查手法：先看规则的命中计数确认策略确实被匹配（display acl ipv6 / show ipv6 access-list 会显示每条规则的匹配数），再核对接口引用的方向与 ACL 编号是否对应。两端地址能配上但互 ping 不通时，优先怀疑邻居发现报文被拦，而不是链路故障。