内容摘要：家里那台群晖NAS的Download Station突然连不上PT站了。查了半天，Tracker报错显示"Connection refused"。路由器日志里IPv4地址池告急，几十个设备抢那点NAT

家里那台群晖NAS的启用其组Download Station突然连不上PT站了。查了半天，及件工具Tracker报错显示"Connection refused"。启用其组路由器日志里IPv4地址池告急，及件工具几十个设备抢那点NAT端口。启用其组我这才想起来，及件工具电信光猫的启用其组IPv6开关好像一直没动过。

登录光猫后台，及件工具找到网络设置里的启用其组IP模式。默认勾的及件工具是IPv4，旁边IPv6的启用其组复选框空着。切过去，及件工具保存，启用其组重启光猫。及件工具三分钟后，启用其组群晖控制面板的网络界面多出一行240e开头的地址。Tracker立刻活了。就这么简单，但之前压根没意识到问题出在协议栈上。

光猫只是起点

光猫开了IPv6，不代表内网设备就能用。路由器得跟着配。我用的华硕AX86U，后台WAN口设置里要把IPv6连接类型改成"Native"，DHCP-PD打开。LAN口这边选"Stateless"，前缀委派让路由器自动从电信那边要一段地址。改完重启，电脑上ipconfig一看，除了192.168.x.x，还多了个240e开头的全局地址。

但这时候有个坑。Windows默认优先走IPv6，可有些老服务只监听IPv4。我那个自建的RustDesk中继服务器就翻车了——客户端走IPv6连过去，服务端没绑v6地址，直接超时。解决办法要么让服务端监听::，要么在客户端强制走v4。我选了前者，改一行配置的事。

那些绕不开的工具

纯IPv6环境里干活，手头得备几样东西。第一个是ping6，Linux下现在直接ping -6也行。有次帮朋友调OpenWrt，他路由器拿不到IPv6前缀，我让他ping6 240c::6666——这是下一代互联网国家工程中心的公共DNS。通的话说明链路没问题，不通就得查光猫的VLAN绑定。

第二个是traceroute6。IPv6没有NAT，路径比v4干净得多。有回访问GitHub慢，traceroute6显示在电信骨干网某个节点丢包。换了个HE.net的隧道，绕过去，速度正常了。这种临时方案不优雅，但管用。

第三个是nmap的v6扫描。给内网做资产盘点时，nmap -6 -sT 240e:xxxx::/64能扫出一堆开了SSH的设备。提醒一句，别扫公网段，运营商那边有流量清洗。

应用层的适配

Nginx要加listen [::]:80;和listen [::]:443 ssl;。Docker默认不启用IPv6，得在daemon.json里写"ipv6": true, "fixed-cidr-v6": "fd00::/80"。然后docker network create --ipv6建网络。我那个Home Assistant容器就是这么搞的，手机在外面用蜂窝网络直连家里HA，走v6不用内网穿透。

还有个冷门但好用的东西：ndppd。有些老路由器不支持前缀委派，但运营商又只给/60的段。这时候在Linux网关上跑ndppd做NDP代理，把整个/64代理给内网。我拿一台树莓派4B干这事，跑了半年没重启过。

别急着关防火墙

IPv6没有NAT这层遮羞布，每台设备都是公网可达。我见过有人图省事直接ip6tables -F，结果群晖的SSH被爆破。正确做法是默认DROP，只放行需要的端口。OpenWrt的防火墙规则里，WAN区域的IPv6转发默认就是拒绝的，别手贱改成接受。

现在家里网络跑双栈，PT下载走v6直连，速度比之前v4端口映射稳得多。偶尔遇到只有v4的站点，系统自动回退，用户无感。回头看，折腾这半天的成本，也就是光猫后台点几下，路由器改几行配置。剩下的，都是工具链的事。