人们是否真的要在他们的私人networking上使用公共IPv6地址？

IPv6是如何工作的？

总之，是的。 IPv6地址空间如此大幅度增加的主要原因之一就是摆脱了像NAT这样的创新技术，简化了networking路由。

但是不要混淆公众地址和公众可访问的主机的概念。 即使他们有公共地址，仍然会有“内部”服务器不能访问互联网。 他们将像防火墙一样受到防火墙的保护。 但是，决定今天只有内部服务器需要明天向互联网开放一项特定的服务也会容易得多。

公司是否真的要用公有地址build立所有的内部机器？

在我看来，聪明的人会的。 但是，正如你可能已经注意到的，这将需要相当长的一段时间。

我们在公司networking中为所有设备使用公共IPv6地址。

我们在网关上使用有状态的防火墙，

• 允许所有icmpv6
• 允许来自内部networking的新连接
• 允许build立从公共到内部的连接

没有公共交通（ICMP和build立的连接除外）应该进入我们的networking。

到目前为止，我们没有这个设置的问题，它完美的作品。

如果不需要外部连接，则可以使用专用networking。 这也是在IPv6中定义私有地址空间的原因。

NAT是为了延迟IPv4地址空间耗尽而发明的。 NAT导致应用程序出现问题，并使得应用程序与NAT一起工作，需要更多的黑客攻击与IP的原始devise相冲突。

所以，最好的办法就是像Yarik一样工作，在networking边缘使用适当的状态防火墙。

如前所述，这就是知识产权devise工作的方式，而且工作得很好。 NAT有时会引入恼人的问题。 有人把NAT描述为“隐藏”内部IP作为一个优势，但也可能是一个缺点。

我在一个拥有/ 16的地方工作，我们在每台设备（包括打印机，手机和电子时钟）上使用了可公开路由的IPv4地址。 它工作得很好，另外它使得追踪不当用户和设备变得更容易。 它还限制了这些用户的影响，因此，如果有人设法开始传播恶意软件或被强奸，则不太可能影响（比方说）您的邮件服务器的通信能力，因为它被列入黑名单而不受阻碍。

IPv6的支持者把NAT看作是缓解IPv4地址耗尽的临时手段，因此IPv6不需要NAT。

但是，除了停止地址耗尽以外，NAT还有一些优点。

1. NAT将您的内部地址从互联网连接中分离出来。
2. 至less在linux上，NAT往往会失败closures。 如果iptables规则无法加载，那么具有私有IP的设备将不能连接到互联网，这将很快被注意到并修复。 另一方面，数据包检测防火墙如果打开了IP转发，但iptables规则未加载，则很容易失败。
3. NAT隐藏哪个内部机器发出请求。 隐私扩展在某种程度上对此有所帮助，但它们不隐藏子网，它们是客户端function，所以客户端操作系统而不是networkingpipe理员select是否使用它们。

因此，我希望至less有一些公司select使用与IPv4相同的方式部署v6。 其他人可能会与IPv6支持者站在一起，转而使用防火墙，但不支持地址转换。

我强烈地鼓励你（和其他任何考虑使用IPv6实现NAT的人）在阅读RFC 4864之后重新考虑如何去做，而不是NAT

我已经读过，但是我不认为它提供了NAT的完整代表。

1. NAT将您的内部地址从互联网连接中分离出来。

IPv6的支持者对此有三种解决scheme，在并行运行多个地址，自动将提供者的dynamic地址分配给内部networking，并使用ULA提供长期的本地地址。

并行运行不同生命周期的地址会造成非永久性地址在长期configuration中不利的结果。 以并行方式运行多个互联网地址具有这样的问题：客户端操作系统没有装备来知道他们的分组将从哪个互联网网关离开。

前缀委派在单级场景下得到了稳固的实施，其中一个CPE路由器从ISP请求一个前缀并将其分配给一个或多个本地接口，但目前似乎没有一个好的多级分类的实现客户网站。

2. 至less在linux上，NAT往往会失败closures。 如果iptables规则无法加载，那么具有私有IP的设备将不能连接到互联网，这将很快被注意到并修复。 另一方面，数据包检测防火墙如果打开了IP转发，但iptables规则未加载，则很容易失败。

IPv6支持者似乎没有提供任何答案。 他们似乎只是假设事故不会发生。

3. NAT隐藏哪个内部机器发出请求。

隐私扩展在某种程度上对此有所帮助，但它们不隐藏子网，它们是客户端function，所以客户端操作系统而不是networkingpipe理员select是否使用它们。

有一个build议/ 128个单独的机器，然后创buildIGP条目路由他们，但我没有意识到任何人在实践中实际执行这个。