IPv6 基本不做 NAT
IPv6 的地址空间足够大，设计上就是端到端可直达，所以双栈站点通常只在 IPv6 侧单独规划地址与安全策略，不做地址转换。只有特定场景才需要转换：上游前缀频繁变更时用 NPTv6 做无状态前缀翻译，需要隐藏内网结构时评估有状态的 NAT66。
基本信息
| NAT66 | 有状态的前缀与端口转换，思路接近 IPv4 NAT |
|---|---|
| NPTv6 | 无状态前缀翻译，只改前缀、保留端口语义 |
| 适用场景 | 内网地址段稳定、上游前缀会变动 |
| 默认选择 | 能做纯路由就不做转换 |
典型使用场景
- 双栈改造时评估 IPv6 侧是否需要转换
- 运营商更换上游前缀，内网地址不想重编
- 需要隐藏内网 IPv6 编址结构
- 安全策略设计时确认 IPv6 侧的暴露面
- 发现双栈站点的 IPv6 侧可被直连访问
选型建议
选型建议
# 内网已有 IPv6 规划 → 优先纯路由，不做转换
# 需要隐藏内网结构 → 评估有状态 NAT66
# 只是上游前缀会变 → NPTv6 更轻量，保留端口语义
# 无论选哪种，IPv6 侧的安全策略都要单独写一份三种方式对比
| 方式 | 状态 | 主要用途 |
|---|---|---|
| NAT66 | 有状态，维护转换表 | 隐藏内网结构、集中出口 |
| NPTv6 | 无状态，只改前缀 | 应对上游前缀变更 |
| 纯路由 | 无转换 | 绝大多数双栈场景 |
NAT66 会破坏端到端特性，部分依赖地址的协议（如某些 IPsec 配置）需要重新核对，启用前评估业务影响。
双栈站点只做 IPv4 侧的转换与策略时，IPv6 侧常常处于无策略状态，暴露面必须单独评估。
IPv6 暴露面盘点可以双管齐下：把公网 DNS 记录、主机实际监听的服务与安全策略逐项对齐，避免出现策略里没有、公网上却可达的服务。