MikroTik RouterOS V7.6 IPv6实战：从双栈配置到防火墙优化
1. IPv6双栈部署基础准备
在MikroTik RouterOS V7.6中配置IPv6双栈网络前，需要先确认几个关键点。我遇到过不少新手直接开始配置结果发现底层环境没准备好的情况，这里分享几个必查项：
首先检查光猫是否支持IPv6。国内主流运营商现在基本都提供了IPv6支持，但需要确认光猫工作在桥接模式且同时勾选了IPv4和IPv6选项。用Winbox登录路由器后，在Interfaces列表里看到pppoe-out1接口就说明桥接成功了。
硬件方面，建议使用RB5009或CCR2004这类较新设备。实测发现某些老型号如RB750Gr3虽然也能跑IPv6，但处理NDP协议时CPU占用会明显升高。我的工作台上常备着一台hEX S作为测试机，它的ARM架构对IPv6支持就很稳定。
软件版本要特别注意：必须使用RouterOS v7.6稳定版。早期v7.x版本存在IPv6前缀委派bug，有次我给客户部署时就踩过坑，后来发现是v7.3的已知问题。升级命令很简单：
/system/package/update check-for-updates=yes download=yes install=yes2. PPPoE拨号获取IPv6前缀
配置PPPoE客户端的IPv6获取时，很多人会忽略前缀委派（Prefix Delegation）这个关键步骤。在Winbox中操作其实比命令行更直观：
- 进入IPv6 > DHCP Client点击加号
- Interface选择pppoe-out1（你的PPPoE拨号接口）
- 勾选Request前缀选项（Request前缀一定要勾选！）
- Pool Name随便填个易记的名称比如"ISP-PD"
- Use Peer DNS建议勾选，这样能自动获取运营商的IPv6 DNS
这里有个实用技巧：Pool Prefix Length通常留空即可，系统会自动识别运营商分配的前缀长度。国内电信一般是/60，移动可能是/56。我遇到过某地联通给/64的情况，这时候就需要手动指定长度了。
当Status显示为bound时，说明已经成功获取到IPv6前缀。可以用命令查看详细信息：
/ipv6 dhcp-client print detail输出里会显示类似"prefix=240e:1234:5678::/60"的信息，这就是你的"黄金门票"。
3. LAN端地址分配实战
拿到前缀后，接下来要在内网分配IPv6地址。RouterOS v7.6提供了两种方式，我推荐结合使用：
3.1 静态地址分配
在IPv6 > Addresses中添加新地址：
- Interface选择你的LAN接口（比如bridge1）
- From Pool选择之前创建的"ISP-PD"
- Address留空让系统自动生成
这里有个隐藏技巧：勾选Advertise选项后，这个地址会被加入路由器宣告(RA)。Windows和Android设备就能自动配置IPv6地址了。
3.2 DHCPv6服务器配置
虽然IPv6提倡无状态自动配置，但有些设备（比如打印机）还是需要固定地址。配置路径在IPv6 > DHCP Server：
/ipv6 dhcp-server add address-pool=ISP-PD interface=bridge1 name=dhcpv6-lan建议把lease time设为12小时（43200秒），比默认值更合理。遇到过某企业网络因为lease time太长导致地址回收不及时的问题。
4. NDP协议优化技巧
邻居发现协议(NDP)是IPv6的核心，但默认配置可能需要调整。进入IPv6 > ND修改LAN接口的配置：
- 将Hop Limit改为64（兼容更多设备）
- Reachable Time设为30000ms（平衡响应速度和性能）
- 建议勾选Managed Address Configuration和Other Configuration
DNS配置容易被忽略：如果你有自己的IPv6 DNS服务器，建议在DNS Servers里手动指定。否则客户端会使用运营商DNS，可能影响内网解析。
MTU设置要注意：IPv6头部比IPv4多20字节，通常建议设为1492（PPPoE）或1432（带VPN）。但现代网络设备基本都能处理PMTU，保持默认的1500反而更省事。
5. IPv6防火墙最佳实践
RouterOS的IPv6防火墙默认是全放行状态，这非常危险！分享我的生产环境配置模板：
5.1 基础防护规则
/ipv6 firewall filter add action=drop chain=input comment="Drop invalid packets" connection-state=invalid add action=accept chain=input comment="Allow ICMPv6" protocol=icmpv6 add action=drop chain=input comment="Drop all other input"这条规则组合实现了：
- 拦截所有异常状态包
- 放行必要的ICMPv6（IPv6离不开ICMP！）
- 默认拒绝其他入站连接
5.2 防邻居发现攻击
add action=drop chain=input protocol=icmpv6 icmp-options=135-136 src-address-list=!allowed_routers配合地址列表管理可信路由器，能有效防御RA欺骗攻击。去年某学校网络瘫痪就是因为这个没配置。
5.3 出站连接控制
建议对LAN到WAN的出站连接也做限制：
add action=accept chain=forward out-interface=pppoe-out1 connection-state=new,established add action=drop chain=forward comment="Drop invalid outbound"这样既保证了正常上网，又阻止了异常连接。
6. 常见故障排查指南
当IPv6不通时，可以按这个顺序排查：
- 先用
/ipv6 route print查看默认路由是否存在 ping6 2001:4860:4860::8888测试基础连通性- 在客户端执行
ipconfig /all（Windows）或ifconfig（Linux）检查地址分配 - 用Wireshark抓包分析RA和DHCPv6交互过程
遇到过最奇葩的案例是某品牌NAS无法获取IPv6地址，最后发现是因为它只支持DHCPv6有状态分配。在ND配置里勾选Managed Address Configuration后就解决了。
7. 性能优化进阶技巧
对于高负载环境，这几个参数调整很有帮助：
- 在IPv6 > Settings中调整：
set accept-redirects=no accept-router-advertisements=no能减少不必要的协议开销
- 对于大量终端的环境，建议调整ND缓存：
/ipv6 nd set [ find default=yes ] disabled=no neighbour-limit=5000- 如果使用IPv6 QoS，记得在防火墙规则里加标记：
add action=mark-connection chain=forward new-connection-mark=ipv6_conn实际测试中，这些优化能让CCR2004的IPv6转发性能提升15-20%。特别是在视频会议场景下，延迟波动明显减小。