IPv6兼容实践从哪里开始？双栈改造、DNS策略与日志排障要注意什么？

你以为IPv6兼容就是“开个AAAA记录”，结果一上线就出现诡异问题：部分用户打不开、移动网络时好时坏、同一地区有人秒开有人超时；监控只看到DNS解析正常，但业务请求在边缘反复重试；更麻烦的是，日志里全是IPv4地址，你根本追不到真实来源。团队越急越容易乱改：一会儿关AAAA，一会儿改DNS，一会儿调负载均衡，最后把链路搞成“谁也解释不清”的状态。

结论先给到位。
IPv6兼容的正确起点不是DNS，而是先把链路能力补齐：入口、反向代理、应用、依赖、观测全部支持双栈。
DNS策略决定的是“谁会走IPv6”，必须灰度、可回滚、可观测，别一次性全量切。
排障的关键是把日志与指标补齐到能区分IPv4与IPv6，且能定位到真实客户端地址与转发链路。

本文只解决一个问题。
给你一套IPv6兼容落地路径：从双栈改造怎么起步，到DNS策略怎么灰度，再到日志排障应该记录什么，避免“看起来都对，用户却打不开”。

一、从哪里开始做IPv6兼容最稳

1、先盘清你的网站链路有没有“只支持IPv4”的环节

常见断点不在应用，而在中间层：CDN节点、WAF、负载均衡、反向代理、上游依赖、第三方回源、以及内部服务间调用。任何一个环节不支持IPv6，都可能造成IPv6用户访问失败或回源异常。

2、先确定目标是双栈而不是纯IPv6

大多数企业短期目标是双栈：IPv4与IPv6同时可用，由DNS或网络环境选择最合适路径。纯IPv6会把边界条件放大，除非你有非常明确的业务与网络前提，否则不建议一开始就追求纯IPv6。

3、把“可回滚”作为改造前置条件

没有回滚能力的IPv6上线，很容易变成“故障演练”。你要能随时关闭AAAA记录、调整权重、切回IPv4优先，并且能确认回滚后用户恢复是否及时。

4、先补齐观测否则改造等于盲飞

你至少要在监控里看到：IPv6请求占比、IPv6失败率、IPv6延迟分位数、以及按地区与运营商分布。没有这些，DNS策略再聪明也只能靠猜。

二、双栈改造怎么做才不踩坑

1、入口层先支持：CDN与LB的双栈能力

确认CDN与负载均衡是否支持IPv6接入与IPv6回源，是否支持按协议栈分别观测。很多“外面能解析AAAA，但访问失败”，是因为边缘到源站回源链路没有双栈或策略不一致。

2、反向代理与应用层要处理好真实客户端地址

如果你用Nginx、Envoy或其他代理，必须确认它们对IPv6的解析、转发、日志格式都正确。尤其是X-Forwarded-For中携带IPv6时，解析与日志入库不能截断，否则后续风控、限流、审计都会失真。

3、内部依赖与回调地址要避免“只写IPv4”

常见坑是：应用配置里写死IPv4白名单；回调URL只解析A记录；内部服务注册中心只记录IPv4；安全组规则只放行IPv4端口。双栈改造要把这些配置项逐一过一遍，否则外层双栈也会在内层断掉。

4、连接与超时策略要按双栈现实调整

IPv6在某些网络环境下可能出现路径MTU、NAT64、或运营商链路抖动差异。你需要为关键接口设置合理的连接超时与重试策略，避免IPv6失败时“重试风暴”拖垮系统。

三、DNS策略怎么灰度才安全

1、不要把AAAA当成开关要当成流量策略

一开AAAA不等于“少量用户试用”，在某些地区可能直接大量用户走IPv6。DNS策略必须可控：能按地区、运营商、解析线路分组灰度，能做权重与回滚，能快速止损。

2、推荐的灰度顺序

先灰度低风险入口：静态资源域名；再灰度主站域名；最后灰度API与回源依赖多的域名。静态资源出问题影响相对可控，API出问题往往直接影响业务核心链路。

3、TTL与缓存要设计成“能快速收敛”

TTL过长会导致回滚慢，TTL过短又会带来解析压力与抖动。更稳的做法是上线期用较短TTL配合灰度策略，稳定后再逐步拉长TTL，降低解析成本。

4、要明确Happy Eyeballs与客户端选择行为

很多客户端会并行尝试IPv6与IPv4并选择更快的那个。你看到的“DNS返回AAAA但用户仍走IPv4”，可能是客户端策略导致；你看到的“有些用户走IPv6失败但又能回落到IPv4”，也可能是客户端回退机制在帮你兜底。观测必须能区分真实访问栈与回退情况。

四、日志与排障要注意的关键点

1、日志必须完整记录IPv6地址且不截断

不少日志管道或字段长度默认按IPv4设计，导致IPv6被截断或解析失败。你要检查：网关日志、应用日志、WAF日志、审计日志、以及日志入库字段类型与长度，确保IPv6可用。

2、真实客户端地址要分清来源

在CDN与代理链路下，客户端IP通常在X-Forwarded-For或类似头里。你要明确哪一跳写入、哪一跳可信，并在日志里同时记录：remote_addr、XFF链路、以及最终判定的client_ip，避免风控与限流误判。

3、排障要按四段拆开

DNS解析是否返回AAAA。
TCP连接是否能建立。
TLS握手是否稳定。
HTTP是否成功以及状态码结构。
把问题拆成这四段，你才能判断是DNS策略、网络链路、证书与握手，还是应用层错误。

4、落地示例把上线与排障跑通

新手可照抄这一段。
先让静态资源域名支持AAAA并灰度到小比例解析线路；同时在网关与应用日志里新增字段记录ip_stack与client_ip，确保IPv6不截断；监控看IPv6占比、失败率与P95；确认稳定后再灰度主站域名AAAA；出现异常先按DNS、TCP、TLS、HTTP四段定位，并用短TTL快速回滚到IPv4优先。

多人协作时，最容易把排障搞乱的是“改动不可追溯”：有人改DNS权重不记录，有人调整代理配置忘了同步，有人临时加了白名单。拉力猫指纹浏览器更适合把DNS控制台、CDN后台、网关管理台按角色拆成独立工作区，固定会话并留痕，让每次变更可回溯、可回滚，排障不再靠口头对齐。