企业IPv6双栈迁移：DNS、源站、Cloudflare与回滚顺序

企业给网站增加IPv6时，最安全的办法通常是先验证源站和防火墙，再灰度发布AAAA，保留可工作的IPv4路径。如果站点接入Cloudflare这样的反向代理，需要把“访问者到边缘”和“边缘到源站”分开验收：访客可以通过IPv6访问代理，不等于源站已启用IPv6。

先画清两段连接，避免验证错对象

连接段	要核实的问题	可用的核对方式
客户端 → DNS/CDN	域名是否发布AAAA，IPv6访问能否走通	dig AAAA、curl -6访问公共域名
CDN/反代 → 源站	代理实际通过IPv4还是IPv6访问源站	控制面板源站地址、日志、授权测试域名
公网 → 源站	IPv6路由、监听、防火墙、证书是否正确	从允许的IPv6外部测试机验证应用

Cloudflare的官方说明指出，开启IPv6兼容后代理记录可自动产生AAAA；当代理记录同时配置了IPv4和IPv6源站地址时，其回源可能优先IPv4。因此不能根据公共域名能用IPv6访问，就删除仍然在工作的IPv4回源路径。

第一阶段：在不影响生产域名的情况下检查IPv6

在测试环境或有授权的测试域名，先确认服务商分配的地址是可路由公网IPv6，网络有默认路由、入站ACL允许业务端口，Web服务绑定IPv6监听地址。检查前备份Web配置、防火墙规则、DNS记录及TLS证书；保留控制台或带外登录，以免变更网络规则后无法远程连接。

ip -6 addr show
ip -6 route show
ss -lnt
# 以下 example.com 替换为你控制的测试域名
dig AAAA example.com +short
curl -6 -I https://example.com/
curl -4 -I https://example.com/

示例命令适用于装有相应命令行工具的Linux客户端。ip -6确认本机配置，ss看监听端口，dig看域名解析，curl测协议栈上的HTTP响应；它们解决的是不同问题。若通过Cloudflare代理，curl测到的是代理入口而非源站，源站应经授权的独立测试路径验证。

第二阶段：发布AAAA之前的验证顺序

1. 检查HTTPS证书、Web监听、防火墙、IPv6默认路由；从外部IPv6网络访问实际业务URL而不仅是首页。
2. 确认CDN/WAF、负载均衡、API回调、日志与监控是否识别IPv6地址；需要真实客户端IP的业务要正确使用受信任代理头。
3. 记录当前DNS TTL并在维护窗口灰度增加AAAA。原A记录暂时保留，方便IPv4-only用户访问。
4. 分别跟踪IPv4/IPv6的错误率、握手时间、关键API可用性与用户地域分布，不能只看网页能否打开。

失败时如何回滚

出现IPv6-only客户端无法连接时，先确认问题是在公共DNS/代理还是源站。DNS-only域名可以撤回新增AAAA并等待TTL缓存逐步失效，保留A记录；接入CDN代理的域名则需要按服务商的IPv6兼容设置与源站连接配置处理，而不是假设删掉自建AAAA就能关闭代理边缘IPv6。网络防火墙/路由回滚请先确保仍有控制台或其他管理通道，避免误操作引发停机。

如果源站被WAF保护，不要为了测试将真实源站IP公开暴露；优先使用受控测试主机名、访问策略或内部探针。邮件服务器、支付回调和第三方API也应单独覆盖验证，因为它们可能使用与网站不同的网络和安全策略。

完成验收的最低标准

DNS解析、IPv4与IPv6的HTTP访问、证书和关键业务流程均可用；CDN与源站的实际回源协议符合你的部署目标；告警监控能区分两个协议栈；已演练过撤销AAAA或恢复代理设置。有关代理域名的具体行为可查Cloudflare IPv6兼容官方文档。

Cloudflare双栈验收要分别证明边缘入口和真实回源

Cloudflare 2026年更新的IPv6兼容文档说明，代理开启IPv6后可自动对访客提供AAAA；当同一代理记录的源站同时配置IPv4和IPv6时，Cloudflare倾向通过IPv4连接源站。因此外部 `curl -6` 返回200只验证到边缘网络的IPv6访问，不证明源站真的支持IPv6。要证明第二段，可用独立受控的源站探针或服务端访问日志，检查源站连接地址族。

迁移演练可拆成四个独立开关：受控域名的IPv6解析、源站IPv6监听、IPv6防火墙放行、CDN代理开关。每变更一个开关都记录A/AAAA快照和成功标准。中文实践文中使用IPv6-only家宽源站加Cloudflare代理对外提供双栈访问，说明边缘双栈与源站双栈不是同一个命题；但该个人案例的Lucky/DDNS组合并不是企业全部网络的通用拓扑。企业还需按自己的源站访问控制、WAF和证书策略逐一验证。