在网站IPv6改造过程中，运维人员经常遇到一个情况：DNS解析已经添加了AAAA记录，使用dig或nslookup查询也能正常返回IPv6地址，但IPv6用户却仍然无法正常访问网站，这到底是什么原因呢？
一、AAAA记录配置层面的常见疏漏
最常见的情况是记录类型填写错误。部分人员可能把IPv6地址填进了A记录，或者在AAAA记录中填写了IPv4地址。正确的配置方式是添加AAAA记录并绑定运营商分配的公网IPv6地址，地址类型填错或记录类型选错都可能导致解析成功但无法通信的情况。
另一种情形是IPv6地址失效。运营商会定期进行网络割接和路由调整，IPv6前缀会发生变更。如果AAAA记录仍然绑定旧前缀地址，虽然能正常返回解析结果，但用户请求无法到达服务器。
二、服务器IPv6地址未持久化生效
服务器网卡配置了IPv6地址，但重启后地址消失。部分运维人员通过命令行临时添加IPv6地址，没有写入网络配置文件。服务器重启后IPv6地址丢失，AAAA记录仍然存在但无法对接服务器。
在服务器上执行ip addr show，确认是否存在scope global的IPv6地址。同时确认内核是否启用了IPv6功能，可以通过cat /proc/sys/net/ipv6/conf/all/disable_ipv6查看，返回0表示已启用，返回1则需要在/etc/sysctl.conf中设置net.ipv6.conf.all.disable_ipv6=0并使其持久化生效。
三、Web服务未监听IPv6端口
Nginx、Apache等Web服务通常默认只监听IPv4地址。Nginx配置中的listen 80等同于监听0.0.0.0:80，不会监听IPv6地址。IPv6请求到达服务器后，由于没有服务在IPv6端口上监听，连接会被直接拒绝或超时。
检查方法是执行ss -tulnp | grep nginx，观察输出中是否同时出现0.0.0.0:80和[::]:80。缺少[::]:80的条目说明Nginx未开启IPv6监听，需要在server配置块中增加listen [::]:80;和listen [::]:443 ssl;并重启服务。Tomcat、Node.js等服务同样需要确认是否绑定了IPv6地址。
四、防火墙规则未同步适配IPv6
IPv4和IPv6的防火墙规则相互独立，需要分别配置。很多服务器在iptables中放行了80和443端口，但没有配置对应的ip6tables规则。IPv6流量到达后会被防火墙丢弃，客户端收不到任何响应，表现为连接超时。
排查方法是查看ip6tables -L -n的输出，确认80和443端口是否存在DROP规则。使用firewalld的系统需要检查IPv6区域的端口放行策略，云服务器还需要单独检查安全组的IPv6入站规则。部分云平台的安全组默认只放行IPv4，IPv6规则需要手动添加。
五、客户端IPv6环境不完整
部分用户设备虽然获取了IPv6地址，但地址类型为fe80开头的链路本地地址，无法用于公网通信。本地路由器未开启IPv6功能或运营商未下发IPv6前缀时，终端可能完全没有可路由的全局IPv6地址。
除了这种情况外，也可能是浏览器DNS设置的问题。Chrome等浏览器默认启用了DoH，使用公共DNS服务器进行解析。如果公共DNS未同步域名的AAAA记录，浏览器会返回解析失败，而系统层面的nslookup查询结果正常。可以尝试关闭浏览器DOH功能或手动清除Chrome的主机缓存。
六、CDN和代理层的IPv6支持状态
如果使用CDN加速，需要确认CDN是否开通了IPv6节点。在DNS后台添加AAAA记录指向CDN节点，如果CDN未开启IPv6功能，CDN节点就不会处理IPv6请求，虽然解析成功但数据无法传输。需要登录CDN控制台确认IPv6功能已开启，同时保证A记录和AAAA记录均指向CDN节点，避免造成协议解析错乱。
此外，源站服务器需放行CDN所有IPv6回源网段的访问权限。如果源站只支持IPv4，可在CDN后台设置IPv6用户访问、IPv4回源的转换模式。
七、路由和运营商链路的可达性
不同运营商和地区的IPv6公网路由覆盖程度存在差异，部分跨运营商的IPv6路由可能缺失，导致数据包在中间跳转时被丢弃。排查时可以使用traceroute6观察数据包在哪一跳中断，判断故障发生在本地网络、运营商骨干网还是目标机房。
服务器缺少IPv6默认网关也会导致出站流量无法正常回包。执行ip -6 route show，确认路由表中是否存在default via条目。缺失默认路由时，IPv6数据包只能到达同网段设备，无法访问外部网络。
八、排查流程建议
建议按照以下顺序排查：
先确认客户端IPv6地址和DNS解析链路是否正常，再验证服务器IPv6地址是否有效、Web服务是否监听IPv6端口，然后再检查服务器防火墙、云安全组以及CDN平台的IPv6放行状态，最后通过traceroute6确认路由可达性。
推荐阅读：
