本文属于《写给 Geek 们的 IPv6 组网最佳实践》系列，旨在为需要小范围 IPv6 组网（如家庭组网）的爱好者们提供最佳实践方案和常见问题解答，部分概念性内容为方便理解可能会过度简化，部分方案可能不适用企业宽带接入、大规模组网等场景。首发于 V2EX ，转载请注明出处。关于此系列的介绍，见 https://v2ex.com/t/955078#reply36 。 勘误等内容将更新在附言区。
IPv6 下 LAN 侧每一台机器都会获得独立的公网 IPv6 地址。
目前国内绝大多数地区的家庭带宽是通过 PPPoE 虚拟拨号接入的，下发的 IPv6 前缀会在每次重新拨号后发生变化。这就需要我们重新给 LAN 侧的设备分配 IPv6 地址，以及处理前缀变化造成的种种问题，如服务发现及防火墙配置。
假设光猫运行在桥接模式，路由器拨号获得 IPv6 PD 前缀 2001:db8:beef:1200::/56。路由器下联一个 LAN ，指定 PD 前缀的 SLA ID 为1（也就是从2001:db8:beef:1200::/56 挑选第 1 个（从 0 开始数）/64子网），路由器会将2001:db8:beef:1201::/64 这个子前缀划为给 LAN 。正确配置的情况下所有 LAN 下的设备都将获得2001:db8:beef:1201:xxxx:xxxx:xxxx:xxxx/64 格式的地址。
此时路由器上的 PPPoE 断开后重拨，ISP 下发新的 PD 前缀 2001:db8:dead:ab00::/56。此时路由器应该向 LAN 下的所有设备宣告原前缀2001:db8:beef:1201::/64失效，并重新下发 2001:db8:dead:ab01::/64 前缀，否则 LAN 下的设备可能会因为继续使用老前缀而导网络中断。
前面说了，SLAAC 可以由服务器主动通知用户设备前缀失效。但这只是协议支持。如果重新拨号后老前缀没有失效或者新前缀没有下发，说明你的路由器固件存在问题。在条件允许的情况下，换一个其他的的固件吧。
新版 OpenWRT 是没有问题的。
如果使用 VyOS 1.4 ，可以设置 set service router-advert interface eth0 prefix ::/64 deprecate-prefix，其中 eth0 是 LAN 口网卡名。
如果是在 Linux 上跑 radvd ，修改radvd.conf，端号配置中加上 DeprecatePrefix on; ，并配置脚本使 pppoe 重拨后重启 radvd 。
如果你想在网关路由器上为每台终端设备配置防火墙规则，但又无从下手（因为终端设备没有固定的 IPv6 地址），可以使用下面的方法。
首先需要明确的是，在使用 SLAAC 无状态地址分配时，路由器只宣告子网的前缀，而 64 位的后缀完全由终端设备自己决定。
目前大多数新的操作系统下，一个前缀会生成两个 IPv6 地址：永久地址和临时地址。
临时地址的后缀完全是随机生成的，用于发起访问，每隔一段时间会自动变化，在一定程度保护你的隐私（防追踪）。Linux 下使用ip a命令或者 mac 系统下 ifconfig 命令，如果一个地址后面有 temporary 标记，则表明这是个临时地址。iOS 系统下，第二个无状态地址是临时地址。中文 Windows 系统下 ipconfig 命令会直接标明哪个地址是临时地址。
永久地址的后缀是由特定的哈希算法生成的。这个哈希由网卡的 mac 地址和一个随机数共同决定。只要你的前缀不变并且 mac 地址不变，后缀就不会变。因此适合对外提供服务。但是如果前缀变了，则后缀也会跟着变化。（当你配置了 ULA 时，因为 ULA 的前缀是不变的，所以这个 ULA 地址是静态的）。iOS 系统连接 Wi-Fi 时，默认会使用随机 mac 地址，因此后缀会经常变化，这个功能可以在 Wi-Fi 设置中关闭。
部分老系统、老的网络管理软件的永久地址仅仅是 mac 地址的变形，这种生成方式叫做 Modified EUI-64 。判断方法为，如果永久地址的后 64 位形如：xxxx:xxff:fexx:xxxx ，即中间 16 位是 ff:fe ，则该地址是使用 Modified EUI-64 生成的。在这种配置下，只要 mac 地址不变，后缀就不会变，因此可以视作固定后缀。这种生成方式会对外暴露你的 mac 地址，看你介意不介意了。
SLAAC 下的后缀可以手动指定。
比如 Linux 下可以用 ip token set ::1234 dev eth0指定后缀固定为 1234 （其中 eth0 是网卡名）。这个命令是运行时命令，无法在系统重启后保持，实际使用时需要配置到网络管理软件（如 Network Manager, systemd-networkd, ifupdown 等）中，例如：
nmcli c mod eth0 ipv6.token ::1234
nmcli c mod eth0 ipv6.addr-gen-mode stable-privacy
iface eth0 inet6 static
autoconf 1
accept_ra 2
privext 1
post-up /sbin/ip token set ::11 dev $IFACE
[Match]
Name=eth0
[Network]
IPv6AcceptRA=true
[IPv6AcceptRA]
Token=static:::1234
本文到此结束，如果各位有各种系统下的具体兼容情况和配置命令，可以在评论中补充，我会定期更新到附言中或者放到新帖中。
这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。
V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。
V2EX is a community of developers, designers and creative people.