内网已经全面IPv6了老系统还在IPv4：USG防火墙NAT64让两代人网络互通

单位推进 IPv6 改造时常遇到这种情况：新建的业务区已经全是 IPv6 终端，而某些老系统、老服务器还长期停留在 IPv4，两边谁也迁就不了谁，业务一对接就卡壳。华为 USG 防火墙的 NAT64 功能就是架在这两代网络之间的翻译官：IPv6 侧发起的访问，经过防火墙把源地址转成 IPv4 地址池中的地址、目的地址按 NAT64 前缀还原成 IPv4 地址，IPv4 服务器毫无感知。下面按官方配置思路走一遍动态 NAT64 的最小可用环境。

第一步，在防火墙面向 IPv6 网络的接口上开启 NAT64。

interface gigabitethernet 0/0/1
 nat64 enable
quit
nat64 prefix 2001:db8:2:: 96

nat64 enable 在接口视图下执行；nat64 prefix 配置 NAT64 前缀，前缀长度支持 32、40、48、56、64、96。要注意前缀不能与设备上任何接口的 IPv6 地址前缀重叠，否则设备会把发往本网段的正常报文误当 NAT64 报文处理。不配置前缀时使用知名前缀 64:ff9b::/96。

第二步，配置 NAT 地址池与动态 NAT64 映射。

nat address-group addressgroup1
 section 1 1.1.1.6 1.1.1.10
quit
nat-policy
 rule name nat64_rule
  nat-type nat64
  source-zone trust
  destination-address 2001:db8:2:: 96
  action source-nat address-group addressgroup1

地址池里的 IPv4 地址将作为转换后报文的源地址；NAT 策略规则里 nat-type nat64 声明这是 NAT64 场景，命中规则的报文把源 IPv6 地址替换为地址池中的 IPv4 地址，目的地址按前缀还原。配套的安全策略按官方安全策略章节放行对应域间流量即可。

第三步，验证。 IPv6 终端上访问映射后的目的地址，防火墙上通过会话表可以看到 NAT64 会话：源是 IPv6、转换后源为地址池地址、目的还原为 IPv4 服务器，业务通则整条链路就通了。实际部署中 NAT64 通常与 DNS64 配合，让终端用域名就能自动拿到带前缀的合成地址，DNS64 侧的前缀要与防火墙保持一致。

三点提醒：一是 NAT64 只解决"IPv6 访问 IPv4"这一个方向，反向访问要另配静态映射；二是地址池的 IPv4 地址要在 IPv4 侧路由可达，服务器回包得能回到防火墙；三是先在测试区验证业务端口和会话老化时间，再往生产推。两代网络的过渡期不必等所有系统搬完，NAT64 先把业务续上，迁移可以按自己的节奏走。贵州诚鑫致达科技做企业网络改造与安全设备部署，IPv6 过渡方案有需要的朋友欢迎搜索"诚鑫致达 网络改造"了解我们的做法。

（约 930 字）

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。