摘要

  • IPv6 重编址不是一条路由命令，而是先建立、后拆除的过程；新旧前缀必须重叠运行，路由、过滤器、主机地址、DNS 与应用依赖才能按各自节奏迁移。
  • 运营推断：地址的首选与有效生命周期、DHCPv6 委派前缀、RDNSS/DNSSL、DNS 正负缓存、源地址选择和长会话共同构成一个变更边界。最慢的一项尚未收敛，就不能视为完成。
  • 协议没有提供端到端的原子回滚。运营方必须在仍控制旧前缀、反向区域和两条流量路径时完成真实演练。

一次已经分裂的切换

设想运营商更换上游时的一个分支站点。新聚合前缀已从上游可见，权威 DNS 也发布了新 AAAA 记录，监测探针能够通过新地址访问服务。然而，分支路由器仍持有旧的委派前缀，某台递归解析器仍返回缓存中的旧记录，一条数据库会话仍绑定旧地址。旧地址被标记为弃用后，新出站连接会避开它；既有会话却不会自动搬迁。

每个子系统都可能报告真实结果：新路由已通、DNS 已改、客户端已有新地址、服务可以访问。整体仍不安全，因为这些结果对应不同的时钟。

RFC 4192把 IPv6 重编址描述为“先建立、后拆除”：旧前缀继续工作时部署新前缀，形成稳定的双前缀阶段，迁移实际使用，最后才移除旧前缀。该文件明确把流程视为需要按环境裁剪的骨架，而非通用自动化配方。协议给出机制，运营方仍要对交易结果负责。

前缀存在于路由之外

IPv6 地址会出现在链路前缀计划、路由器接口、路由器通告、DHCPv6 租约与前缀委派、进出站过滤器、ACL、服务配置、正向和反向 DNS、许可名单、监测目标以及应用缓存中。RFC 6879还强调人工配置、长会话以及不受重编址团队直接控制的外部系统。

因此，资产清单本身就是证据。搜索不到地址字面量并不等于没有依赖：地址可以从前缀推导、保存在进程内存、复制到合作方过滤器，或留在整个重叠期都离线的设备上。回执必须注明检查了哪些表面、对应哪个变更版本、由谁验证、仍有哪些例外。

首选、有效与仍在使用不是一回事

RFC 4862为自动配置地址定义两个时钟：首选生命周期到期后，地址变为弃用；有效生命周期到期后，地址失效。RFC 6724的默认源地址选择规则，在存在合适的首选地址时会避开弃用地址。

弃用会改变新连接的源地址选择，却不能证明旧会话已排空、守护进程已刷新保存的对端地址，或外部客户端不再使用缓存中的旧 AAAA。让旧地址保持有效可以保留恢复面，也可能掩盖依赖，因此流量必须按前缀和会话年龄观察。

RFC 4862 的“两小时规则”还限制未经认证的路由器通告把剩余有效生命周期突然缩短的能力。这是防止伪造通告造成拒绝服务的保护，但也意味着运营方的紧急指令未必是所有主机上的统一断路器。运行手册必须依据主机实际行为，而不是控制器上显示的意图。

分支、解析器与服务各有时钟

RFC 8415在 DHCPv6 地址和委派前缀中携带首选、有效生命周期，并规定续租与重新绑定。客户边缘路由器可能继续持有旧 IA_PD，而上游路由、SLAAC 主机和权威区域已经迁移。重叠期间一直离线的站点，上线时可能带着从未验证过的本地状态。

RFC 8978说明，快速重编址之后，陈旧的 SLAAC 前缀仍可能留在主机上。RFC 9096建议把路由器通告中的相关生命周期与委派前缀剩余有效期协调起来；这是运维约束，并不保证所有客户边缘路由器实现一致。RFC 4472还指出，长时间运行的应用可能在记录 TTL 之后继续保存 DNS 结果；因此应实测应用行为，不能据此假定统一的缓存时长。

DNS 至少增加三种时钟。记录 TTL 决定 AAAA 与 PTR 缓存；主从权威服务器的发布有独立延迟；通过路由器通告学习到的递归 DNS 服务器与搜索列表，则具有 RFC 8106规定的 RDNSS 和 DNSSL 生命周期。更换服务地址与更换“用于找到服务的解析器地址”是两次不同迁移。

只查正向答案仍不够。RFC 2308规定了 DNS 负缓存。如果解析器在新记录创建前查询过，它可能在权威记录发布后继续返回不存在，直至负缓存到期。只记录 AAAA TTL 的变更单无法约束这种故障。

RFC 4861补齐本地控制面：路由器通告中的路由器与前缀信息由主机随时间解释。运营方必须观察主机学到了什么，而不是只检查路由器被配置成发送什么。

收敛取决于最大值，而非平均值

运营推断：有效模型应取所有未解决时钟的最大值：路由、过滤器、PIO、IA_PD、RDNSS、正缓存、负缓存、应用缓存与会话，再加上根本没有计时器的静态例外。

平均值会隐藏离线分支、负缓存较长的解析器、通过工单修改的合作方 ACL，以及只在启动时解析服务器地址的设备。正确分母是所有声明的依赖和观测点，而不是窗口内主动上报的设备。

路由探针只能证明新前缀在一个观测点可达；DNS 查询只能证明一个解析器当前的答案；流量记录只能证明已观测到的使用。任何一项都不能单独授权回收。只有当它们绑定到同一变更版本和同一例外清单时，证据才形成决策。

资料来源