在政企机构IPv6改造验收或日常监测中，AAAA记录检测不通过是经常遇到的一个问题。那导致AAAA记录不通过的原因到底是什么呢？本文国科云结合多年IPv6改造和检测经验，详细介绍下这个问题。
一、AAAA记录本身没有配对或配错
最直接的一种情况，是域名的AAAA记录压根不存在。在IPv6网络下，终端访问网站时会优先查询域名的AAAA记录，如果AAAA记录缺失，DNS解析就会失败，不会自动回退到A记录。有的运维人员把IPv6地址填进了A记录，或者在AAAA记录中填写了IPv4地址，这种情况同样会判定为不通过。
记录存在但地址类型不对，也会导致检测失败。AAAA记录应当绑定运营商分配的公网IPv6地址。以fe80::开头的链路本地地址和ULA私有地址只能用于局域网内部通信，填到公网域名上会出现解析成功但无法连通的结果，检测环节通常把这类地址视为无效。
配置范围不完整是另一个容易被忽略的点。有些单位只给首页主域名添加了AAAA记录，www业务域名、静态资源域名、API接口域名或CDN加速域名没有同步配置。检测工具对页面深度或全域名覆盖进行验证时，缺失AAAA记录的子域名就会触发不通过。
二、权威DNS或递归链路不支持IPv6查询
AAAA记录存放在权威DNS上，如果权威DNS服务器本身没有监听IPv6端口，或者它所在的网络链路没有完整支持IPv6协议，IPv6环境下的递归DNS就无法通过IPv6网络向它发起查询请求。这种情况下，记录在后台看是存在的，但IPv6侧的检测工具拿不到解析结果。
还有一种情况是权威DNS后台的安全策略或配置限制了AAAA记录的返回。记录已经添加，但服务器在响应时不返回它，外部检测同样会判定失败。
递归DNS链路也需要一并检查。用户终端发出的AAAA查询要经过递归服务器逐级转发，如果中间某个递归节点只支持IPv4传输，AAAA查询请求就无法被正常转发到权威DNS，检测工具从IPv6侧发起的解析会超时或返回空结果。
三、服务器侧没有真正“接住”IPv6请求
AAAA记录检测通过，只说明DNS层面返回了IPv6地址。检测工具如果进一步验证连通性，就会接触到服务器侧的配置。Web服务默认只监听IPv4地址是比较常见的情况。Nginx的listen 80等同于监听0.0.0.0:80，不会自动覆盖IPv6地址。IPv6请求到达服务器后，没有服务在对应端口上监听，连接会被拒绝或超时。
防火墙规则没有同步适配也会造成同样的结果。IPv4和IPv6的防火墙规则相互独立，iptables放行了80和443端口，并不代表ip6tables也做了对应放行。IPv6流量到达后被防火墙丢弃，检测工具看到的仍然是连接失败。云服务器的安全组也需要单独确认IPv6入站规则是否已添加。
服务器IPv6地址未持久化生效属于较隐蔽的一类原因。地址通过命令行临时添加，没有写入网络配置文件，服务器重启后地址消失，AAAA记录仍然存在，但已经无法对接任何主机。此外，IPv6地址前缀由运营商动态分配，前缀变更后AAAA记录仍然绑定旧地址，解析可以返回结果，请求却无法到达服务器。
四、CDN和代理场景下的特殊原因
使用CDN加速的域名，检测不通过的原因往往不在源站，而在CDN平台侧的IPv6功能是否真正开启。在DNS后台添加AAAA记录指向CDN节点，如果CDN控制台没有开通IPv6节点权限，节点本身不监听IPv6请求，解析可以成功，数据无法传输。
CNAME记录与AAAA记录的共存限制也需要留意。域名如果已经配置CNAME指向CDN调度域名，按照DNS规范，同一节点上不能再配置AAAA记录。部分检测体系对通过CNAME间接触达IPv6的方式并不认定为域名自身具备IPv6解析能力。需要在架构上把服务发现域名和业务域名的职责分开处理，才能同时满足CNAME使用和AAAA记录存在的要求。
五、检测工具自身的判定口径差异
不同检测平台对“通过”的定义并不完全一致。有的只验证AAAA记录是否存在，有的会进一步验证IPv6地址是否可达、端口是否响应、页面资源是否完整加载。一个域名可能有AAAA记录但无法实际连通，也可能通过NAT64/DNS64机制在没有AAAA记录的情况下让IPv6用户完成访问。检测结果不通过时，需要先看清工具报错的具体层级：是记录缺失，是解析超时，还是连通性验证失败。不同层级的排查方向差别很大。
六、排查顺序上的建议
遇到AAAA记录检测不通过，可以按由外到内的顺序逐层确认。先用dig AAAA或nslookup -type=AAAA确认记录是否存在、地址格式是否正确、覆盖的域名是否完整。记录确认无误后，检查权威DNS是否支持IPv6查询，递归链路是否存在纯IPv4节点。DNS层面通过后，再到目标服务器上确认IPv6地址是否为公网全局地址、Web服务是否监听[::]端口、ip6tables和安全组是否放行。使用CDN的域名，把CDN控制台的IPv6开关状态作为独立项核对。地址前缀变更较频繁的环境，把AAAA记录的TTL设短一些，可以缩短前缀变化后解析失效的窗口期。
AAAA记录检测不通过很少是单一原因造成的。把记录配置、DNS链路、服务器监听、CDN状态几个环节分开检查，比反复修改记录本身更接近问题的实际位置。
| 国科云可提供政府网站IPv6改造与全维度检测服务，覆盖域名解析核查、多层级页面连通校验、内容一致性比对、业务功能验证及安全配置检测，对照国标与监测平台要求开展评估，助力站点完成IPv6合规建设与持续监测。【点击咨询体验】
推荐阅读：
