企业官网建设流程全解析

1. 从“手动配置”到“自动分配”：为什么我们需要IPv6无状态地址配置

如果你曾经管理过一个小型网络，比如家里的几台设备，或者一个实验室的几台服务器，你可能会觉得手动配置IP地址不是什么大事。给每台电脑设置一个192.168.1.x的地址，配上子网掩码和网关，也就几分钟的事。但当这个数字变成几十、几百，甚至成千上万时，手动配置就成了一场噩梦。IPv4时代，我们引入了DHCP（动态主机配置协议）来解放双手，让设备自动获取IP、网关和DNS。到了IPv6时代，地址空间变得无比庞大（想想那128位的长度），但同时也带来了新的挑战和机遇——无状态地址自动配置（SLAAC）应运而生。

简单来说，IPv6 SLAAC是一种让设备在没有中央服务器（如DHCPv6服务器）的情况下，仅通过接收路由器发送的公告信息，就能自动为自己配置一个或多个全球单播IPv6地址的机制。这听起来有点像“广播寻址”，但背后是一套精巧的设计。它的核心思想是“无状态”：路由器不记录哪个地址分配给了哪台主机，它只负责宣告网络前缀（比如2001:db8:abcd::/64）和其他参数。主机收到这个前缀后，结合自己的接口标识符（通常由MAC地址派生），自动合成一个完整的IPv6地址。整个过程快速、高效，极大地简化了网络部署。

那么，radvd（Router Advertisement Daemon）在这里扮演什么角色呢？它就是那个在Linux/Unix系统上默默工作的“公告员”。它是一个轻量级的守护进程，运行在网络中的路由器或充当路由器的设备上，周期性地向本地链路（Link-Local）范围发送“路由器公告”报文。这些报文里包含了网络前缀、默认路由、DNS服务器（通过RDNSS扩展）等关键信息。局域网内的主机（如你的电脑、手机、智能设备）监听这些公告，从而完成自我配置。我最初接触radvd是在一个物联网项目的测试环境中，当时需要快速搭建一个纯IPv6的测试网络，手动配置每一台嵌入式设备完全不现实。radvd以其配置简单、资源占用小的特点，成为了最理想的解决方案，让我在几分钟内就让几十个设备成功接入了IPv6网络。

2. 理解SLAAC与DHCPv6：并非替代，而是互补

在深入radvd的配置之前，有必要先厘清SLAAC和DHCPv6的关系，这是一个常见的困惑点。很多人会问：“有了SLAAC，是不是就不需要DHCPv6了？” 答案是否定的，它们解决的是不同维度的问题，更像是协作关系而非竞争关系。

SLAAC（无状态地址自动配置）的核心任务是分配IP地址本身。它的过程非常优雅：

1. 主机启动后，首先通过“邻居发现”协议，用自己的链路本地地址（FE80::/10）发送“路由器请求”。
2. 路由器（运行radvd）回应“路由器公告”，其中包含一个或多个网络前缀（如2001:db8:abcd::/64）。
3. 主机将这个前缀与自己的接口标识符（例如，通过EUI-64算法从MAC地址转换而来）组合，生成一个全球单播地址。
4. 主机通过“重复地址检测”确保这个地址在链路上是唯一的，然后正式启用它。

这个过程快速、去中心化，路由器无需维护地址分配状态表。但SLAAC标准最初只定义了地址和默认路由的分配。像DNS服务器地址、NTP服务器地址、域名后缀这些信息，SLAAC本身并不提供。

这时就需要DHCPv6了。DHCPv6分为有状态和无状态两种模式：

• 有状态DHCPv6：完全由DHCPv6服务器分配地址和其他所有配置（DNS, NTP等），类似于IPv4的DHCP。路由器公告中会设置一个特定的标志位（Managed Address Configuration Flag, ‘M’ flag）来指示主机使用有状态DHCPv6。
• 无状态DHCPv6：这才是与SLAAC协同工作的模式。主机通过SLAAC获得IPv6地址，但同时通过DHCPv6获取DNS服务器等“其他配置信息”。路由器公告中通过另一个标志位（Other Configuration Flag, ‘O’ flag）来指示主机去联系DHCPv6服务器获取这些额外信息。

所以，一个常见的现代IPv6局域网配置模式是：SLAAC + 无状态DHCPv6。radvd负责公告前缀和设置‘O’标志位，让主机去获取DNS；另一台设备（可以是同一台路由器）运行DHCPv6服务器（如dnsmasq、isc-dhcp-server）来提供DNS信息。这种组合既利用了SLAAC分配地址的高效和鲁棒性，又通过DHCPv6提供了灵活的其他参数配置。

在我部署企业办公网时，就采用了这种组合。radvd负责地址分配，确保设备即使在新加入网络或网络拓扑微调时也能快速获得地址；而无状态DHCPv6则统一分发公司内部的DNS服务器地址和搜索域，保证了策略的一致性。这种架构的弹性在设备频繁接入退出的无线网络环境中表现尤为出色。

3. 实战部署：从零开始配置radvd服务

理论清楚了，我们来看如何动手把radvd跑起来。以下操作基于一台安装了Linux（以Ubuntu/Debian为例）并充当路由器的设备。假设它有两个网卡：eth0连接外网（已有IPv6地址），eth1连接内网（我们将通过radvd在这个接口上公告IPv6前缀）。

3.1 系统环境准备与radvd安装

首先，确保你的系统内核支持并开启了IPv6转发。这是路由器功能的基础。

# 检查IPv6转发是否开启（0表示关闭，1表示开启） sysctl net.ipv6.conf.all.forwarding # 如果未开启，临时开启 sudo sysctl -w net.ipv6.conf.all.forwarding=1 # 为了永久生效，编辑 /etc/sysctl.conf， 取消注释或添加以下行 # net.ipv6.conf.all.forwarding=1 # 然后执行 sudo sysctl -p

接下来安装radvd。在大多数发行版的仓库中都能找到它。

# Ubuntu/Debian sudo apt update sudo apt install radvd # CentOS/RHEL/Fedora sudo yum install radvd # 或使用 dnf

安装完成后，radvd服务默认不会启动，因为它需要一个配置文件。

3.2 核心配置文件/etc/radvd.conf详解

radvd的所有行为都由/etc/radvd.conf这个文件控制。它的语法清晰，但每个参数都至关重要。下面是一个最基础但功能完整的配置示例，我们将逐段解析。

# /etc/radvd.conf interface eth1 { # 1. 通告此接口的链路本地地址作为默认路由 AdvSendAdvert on; # 2. 主机应使用无状态DHCPv6获取其他配置（如DNS） AdvOtherConfigFlag on; # 3. 公告的前缀配置块 prefix 2001:db8:abcd::/64 { # 此前缀在公告中有效 AdvOnLink on; # 主机可以使用此前缀进行无状态地址自配置 AdvAutonomous on; # 前缀的有效生命周期（秒），默认是无限的 AdvValidLifetime 86400; # 前缀的首选生命周期（秒），超过此时间主机会生成新地址 AdvPreferredLifetime 14400; }; # 4. 递归DNS服务器（RDNSS）扩展 - 这是关键！ # 通过此扩展，radvd可以直接公告DNS服务器，减少对DHCPv6的依赖 RDNSS 2001:db8:abcd::1 2001:4860:4860::8888 { # DNS信息的生命周期（秒） AdvRDNSSLifetime 3600; }; # 5. DNS搜索域列表（DNSSL）扩展 DNSSL example.com internal.example.com { AdvDNSSLLifetime 3600; }; };

关键参数解析：

• interface eth1: 指定在哪个网络接口上发送路由器公告。务必确认这是连接内网的接口。
• AdvSendAdvert on;: 必须设置为on，否则该接口不会发送任何公告。
• AdvOtherConfigFlag on;: 当设置为on时，路由器公告中的‘O’标志位会被置位。这告诉主机：“地址你用SLAAC自己配，但其他配置（如DNS）请去找DHCPv6服务器要。” 如果你像本例一样同时配置了RDNSS，那么即使没有DHCPv6服务器，主机也能获得DNS信息。这个标志位和RDNSS扩展可以配合使用。
• prefix块：这是SLAAC的核心。
  • AdvAutonomous on;:这是启用SLAAC的关键开关！必须为on，主机才会用这个前缀来自动配置地址。
  • AdvValidLifetime和AdvPreferredLifetime: 控制地址的生命周期。Preferred时间过后，地址会变为“废弃”状态，不再用于新建连接，但现有连接可能继续。Valid时间过后，地址完全失效。合理设置可以促进地址的轮换和隐私保护（配合临时地址使用）。
• RDNSS和DNSSL: 这两个是RFC 6106定义的扩展，非常实用。它们允许路由器在公告中直接携带DNS服务器地址和搜索域列表。这极大地简化了部署，在很多场景下（尤其是中小型网络），你完全可以只靠radvd而无需搭建DHCPv6服务器。Windows、Linux、macOS、iOS和Android的现代版本都支持此扩展。

注意：配置文件中的前缀2001:db8:abcd::/64是文档中使用的范例地址（RFC 3849），在公网上不可路由。在实际部署中，你需要替换成从ISP或网络管理员处获取的真实IPv6前缀。

3.3 服务启动、调试与验证

配置完成后，在启动服务前，强烈建议先做语法检查。

# 检查配置文件语法 sudo radvd -C /etc/radvd.conf -d 5

-d 5参数会以调试模式运行，并输出详细信息到终端。如果配置有误，这里会显示错误信息。确认无误后，按Ctrl+C退出调试模式。

现在启动并启用radvd服务：

sudo systemctl start radvd sudo systemctl enable radvd # 设置开机自启 sudo systemctl status radvd # 检查运行状态

服务启动后，如何验证它工作正常呢？

在路由器上查看：

# 查看radvd的日志（具体路径取决于你的syslog配置，通常在/var/log/syslog或/var/log/messages） sudo tail -f /var/log/syslog | grep radvd # 使用tcpdump抓包，查看是否在eth1接口上发送了ICMPv6 Type 134（路由器公告）报文 sudo tcpdump -i eth1 -vvv icmp6 and ip6[40] == 134

你应该能看到周期性的路由器公告报文被发送出去。

在客户端（如一台Windows/Linux电脑）上验证：

• Linux客户端：

  # 查看获取到的IPv6地址，应该能看到一个以公告前缀开头的全球单播地址 ip -6 addr show # 查看IPv6路由表，应该有一条默认路由指向路由器的链路本地地址 ip -6 route show # 如果配置了RDNSS，查看DNS配置 cat /etc/resolv.conf # 注意：某些系统（如使用systemd-resolved）的查看方式不同

• Windows客户端：

  # 在命令提示符或PowerShell中 ipconfig /all # 在输出中找到对应的网卡，查看“IPv6 地址”和“默认网关” # 查看DNS服务器 netsh interface ipv6 show dnsservers

如果客户端成功获得了以你配置的前缀开头的IPv6地址，并且默认网关指向了路由器的链路本地地址（FE80::...），那么恭喜你，radvd的SLAAC核心功能已经配置成功！

4. 高级配置与生产环境调优

基础的SLAAC能让设备上网，但在实际生产环境中，我们往往有更精细的需求。radvd提供了丰富的配置选项来满足这些需求。

4.1 多前缀公告与特定用途地址

一个网络接口可以公告多个前缀。这在一些复杂场景中非常有用，例如：

• 临时隐私地址：公告一个前缀用于生成稳定的地址，同时系统自身（如Windows、Linux）会为这个前缀启用隐私扩展，生成额外的、随机的临时地址用于对外连接，增强追踪难度。
• 网络重构：在更换ISP或网络前缀时，可以同时公告新旧两个前缀一段时间，实现平滑迁移。
• 不同用途子网：虽然不常见，但可以公告不同前缀用于不同用途（如用户网络、管理网络），但通常更推荐用不同的VLAN和接口来实现。

配置多前缀很简单，在同一个interface块内添加多个prefix块即可。

interface eth1 { AdvSendAdvert on; # 主业务前缀 prefix 2001:db8:aaaa::/64 { AdvAutonomous on; AdvPreferredLifetime 86400; AdvValidLifetime 2592000; }; # 临时/访客前缀（生命周期更短，促进轮换） prefix 2001:db8:bbbb::/64 { AdvAutonomous on; AdvPreferredLifetime 14400; # 4小时 AdvValidLifetime 86400; # 1天 }; };

4.2 生命周期与计时器优化

路由器公告的发送间隔和地址的生命周期对网络稳定性和效率有直接影响。radvd提供了多个计时器参数：

interface eth1 { AdvSendAdvert on; # 最小和最大公告发送间隔（秒）。主机会在这个区间内随机监听。 MinRtrAdvInterval 3; MaxRtrAdvInterval 10; # 路由器生命周期（秒）。告诉主机本路由器作为默认路由的有效时间。 # 如果为0，表示本路由器不作为默认路由。 AdvDefaultLifetime 1800; prefix 2001:db8:abcd::/64 { AdvAutonomous on; # 首选生命周期：地址处于“首选”状态的时间。用于新建连接。 AdvPreferredLifetime 604800; # 7天 # 有效生命周期：地址完全有效的时间。 AdvValidLifetime 2592000; # 30天 }; };

调优建议：

• MinRtrAdvInterval不宜过小，否则会增加网络流量和主机处理负担。3-10秒是常见范围。
• AdvDefaultLifetime应大于MaxRtrAdvInterval的3倍以上，确保在路由器暂时停止发送公告时（如重启），主机不会立即删除默认路由。
• 对于稳定的内部网络，PreferredLifetime可以设置得较长（数天至数周），减少地址变更带来的影响。对于注重隐私或动态性强的环境（如公共Wi-Fi），可以设置得较短（几小时），促使主机更频繁地生成新的临时地址。

4.3 与DHCPv6服务器（如dnsmasq）的协同配置

如前所述，radvd+ 无状态DHCPv6是黄金组合。这里以轻量级的dnsmasq为例，展示如何配置无状态DHCPv6。

首先，在radvd.conf中确保打开了AdvOtherConfigFlag，并可以同时提供RDNSS作为备用或主用。

# /etc/radvd.conf interface eth1 { AdvSendAdvert on; AdvOtherConfigFlag on; # 关键：告诉主机去找DHCPv6 RDNSS fd00::1 # 可选：同时公告一个DNS（比如dnsmasq自己的地址） { AdvRDNSSLifetime 3600; }; prefix 2001:db8:abcd::/64 { ... }; };

然后，配置dnsmasq。编辑/etc/dnsmasq.conf：

# 启用DHCPv6无状态模式 dhcp-range=::, constructor:eth1, ra-names, ra-stateless # 指定要公告的DNS服务器（可以是内网DNS或公共DNS） dhcp-option=option6:dns-server, 2001:4860:4860::8888, 2001:4860:4860::8844 # 指定搜索域 dhcp-option=option6:domain-search, example.com

重启dnsmasq服务后，客户端在通过SLAAC获得地址的同时，会向ff02::1:2（所有DHCPv6中继代理和服务器的链路本地多播地址）发送请求，并从dnsmasq那里获取到DNS配置。

一个我踩过的坑：在某些Linux发行版（特别是使用systemd-networkd和systemd-resolved的版本）上，如果同时接收到radvd公告的RDNSS和DHCPv6分配的DNS，系统可能会优先使用其中一个，或者产生冲突。这时需要检查/etc/systemd/resolved.conf或使用resolvectl命令来确认当前生效的DNS配置源。稳妥的做法是在生产环境中统一配置源，要么全用RDNSS，要么全用无状态DHCPv6。

5. 故障排查：当SLAAC不工作时

即使配置看起来正确，SLAAC有时也会“罢工”。以下是一个系统性的排查流程，基于我处理过的大量案例总结而来。

5.1 排查第一步：验证路由器公告是否发出

这是所有问题的起点。在运行radvd的路由器上操作：

1. 检查服务状态：sudo systemctl status radvd。确保服务是active (running)状态，而不是failed或inactive。
2. 检查日志：sudo journalctl -u radvd -f或查看/var/log/syslog。常见的错误包括配置文件语法错误、指定的接口不存在或没有IPv6地址。
3. 抓包确认：这是最直接的证据。在内网接口上抓取ICMPv6路由器公告报文。

   sudo tcpdump -i eth1 -nn -vvv 'icmp6 && ip6[40] == 134'

   你应该能看到类似这样的输出：

   ... IP6 ... > ff02::1: ICMP6, router advertisement, length 64 hop limit 64, Flags [managed, other], pref medium, router lifetime 1800s, ... prefix info option (3), length 32 (4): 2001:db8:abcd::/64, ...

   关键要看：
   • 目标地址是否是ff02::1（所有IPv6节点的链路本地多播地址）。
   • ICMPv6类型是否为134（路由器公告）。
   • 报文里是否包含你配置的prefix信息。
   • Flags中的managed（M）和other（O）标志位是否符合你的预期。

如果抓不到包：

• 确认radvd配置文件中interface名称是否正确（ip link show查看）。
• 确认该接口是否已启用且处于UP状态（ip link set eth1 up）。
• 检查防火墙是否放行了ICMPv6流量。在某些严格的安全策略下，可能需要放行ip6tables -A INPUT -i eth1 -p ipv6-icmp --icmpv6-type router-advertisement -j ACCEPT。

5.2 排查第二步：客户端是否收到并处理公告

在客户端上，我们需要检查它是否收到了RA报文，以及操作系统是否据此进行了配置。

1. 客户端抓包：在客户端上同样进行抓包，过滤源地址是路由器链路本地地址、目的地址是ff02::1的ICMPv6 Type 134报文。这能证明报文确实到达了客户端网卡。
2. 检查地址和路由：
   • Linux:ip -6 addr show和ip -6 route show。你应该能看到一个以路由器公告前缀开头的global地址，以及一条default via fe80::...的路由。
   • Windows:ipconfig /all和netsh interface ipv6 show routes。查看是否获得了“临时 IPv6 地址”或“IPv6 地址”，以及默认路由。
3. 检查系统日志：在Linux上，dmesg | grep -i ipv6或journalctl -f可能会显示地址配置过程中的内核消息。

常见客户端问题：

• 操作系统防火墙/安全软件：某些安全软件会阻止ICMPv6，认为其有潜在风险。需要暂时禁用测试。
• IPv6被禁用：确认客户端操作系统的IPv6协议栈已启用。在Windows网络适配器属性中检查，在Linux中检查sysctl net.ipv6.conf.all.disable_ipv6（应为0）。
• 网络管理器冲突：在一些桌面Linux发行版上，NetworkManager等网络管理工具可能会与radvd的公告产生交互问题，或者有自己的IPv6配置。尝试将连接配置为“自动”或“仅SLAAC”。

5.3 排查第三步：深入分析配置细节

如果公告发出且收到，但地址配置不正确，问题可能出在配置细节。

• 前缀生命周期问题：如果AdvPreferredLifetime已过期，地址会变为deprecated状态。新连接可能不会使用它，但ip -6 addr show仍然能看到。确保生命周期设置合理。
• AdvAutonomous标志未开启：这是最容易被忽略的一点。在radvd.conf的prefix块中，AdvAutonomous必须为on，否则主机不会用该前缀进行无状态自动配置。
• 重复地址检测失败：主机在配置地址前会进行DAD。如果链路上有另一台设备使用了相同的地址，配置会失败。这在MAC地址冲突或手动配置冲突时可能发生。检查网络是否有IP冲突。
• 临时地址与稳定地址：现代操作系统默认会为每个SLAAC前缀同时生成一个稳定地址（基于EUI-64）和一个临时隐私地址。你可能在ip -6 addr show中看到两个相同前缀的地址，这是正常行为。临时地址通常用于出站连接以保护隐私。

5.4 一个真实案例：VLAN环境下的MTU问题

我曾在一个企业网络中部署radvd，核心交换机划分了多个VLAN，radvd服务器在其中一个VLAN。配置完成后，大部分VLAN工作正常，但有一个VLAN的客户端无法获得IPv6地址。抓包显示RA报文能到达该VLAN的客户端，但客户端的“路由器请求”报文似乎没有回来。

经过层层排查，最终发现问题出在**MTU（最大传输单元）**上。该VLAN中接入了某些特殊设备，其接入交换机端口被错误地配置了较小的MTU。而IPv6路由器公告报文本身不大，但后续的某些NDP（邻居发现协议）报文或主机的DAD报文可能因MTU不匹配导致分片或丢弃。在跨越VLAN时，如果中间设备的MTU不一致，更容易引发问题。

解决方案：

1. 统一网络中各链路的MTU（通常为1500字节）。
2. 在radvd.conf中，可以使用AdvLinkMTU选项来公告建议的MTU值，帮助主机进行适配。

   interface eth1.100 # VLAN 100接口 { AdvSendAdvert on; AdvLinkMTU 1500; # 公告建议的链路MTU prefix ... { ... }; };

这个案例提醒我们，IPv6的自动配置依赖于ICMPv6和NDP协议，这些协议对网络连通性和参数一致性比IPv4的ARP有更高的要求。当SLAAC出现问题时，除了检查服务配置，还需要将排查范围扩大到基础的网络层。