我们不断创新和探索

只为企业品牌重塑

网站 IPv6 升级，为什么我的网站不支持 IPv6 授权体系？

发布作者：发布时间：2023-03-29 19:14:04 阅读次数：51260

我国正在大力发展 IPv6 网络，对于网站管理员来说，肯定对 IPv6 改造不陌生，在做 IPv6 改造的过程中，需要通过国家 IPv6 发展监测平台（以下简称平台）进行检测，并达到平台的标准。平台目前共包含 7 项指标，DNS 记录、首页可达、域名授权体系、域名解析时延、TCP 时延、服务器响应首包时延、首页响应时延、下载速度。

根据这 7 项的测评结果，平台会给出网站是否支持 IPv6 访问的结论。

一般情况下，只要域名可以解析出 AAAA 记录，且 AAAA 记录所指向的服务器可正常访问（即首页可达），就可以得到网站支持 IPv6 的结论。

如下图，本站的测试结论是支持 IPv6 访问，但不支持 IPv6 授权体系。

最后终于搞清楚了为什么我的网站会提示不支持 IPv6 授权体系了。

什么是 IPv6 授权体系

先说到底啥是 IPv6 授权体系。IPv6 授权体系是指在 DNS 递归过程中，所有环节都使用了支持 IPv6 的 DNS 服务。可能这句话并不是很好理解，换言之，就是说如果我们的域名可以在纯 IPv6 环境中成功递归解析出 AAAA 记录，就说明这个域名是支持 IPv6 授权体系的。

测试方法

OK，基于该评判标准，我们来看看这个域到底卡在哪里了。因为写这个文章前，www.txisfine.cn 已经支持了 IPv6 授权体系，所以我们以 yun.txisfine.cn 这个域名为例进行测试。

方法 1）找个 IPv6 环境，本机配一个 IPv6 的 DNS，例如 DNSPod 的 DNS 2402:4e00::，使用 dig -6 +trace 命令进行测试。

开始递归。dig yun.txisfine.cn -6 +trace

我们发现，dig 到这里，已经出不来具体的值了，而是以 dig: couldn’t get address for ‘ns2.tdnsv8.com’: no more 结束了。这个时候，我们这个 yun.txisfine.cn 域名就已经不支持 IPv6 授权体系了。

总结一下，就是我们使用 dig -6 +trace 去解析该域名，看能不能出最后的 AAAA 记录。若不能，则为不支持。

方法 2）先解析一下这个域名，能解析出 AAAA 记录，然后一层一层去查权威域的 NS，看看权威域名是不是又 IPv6，任意一层卡住了不支持 IPv6 即为不支持 IPv6 授权体系。

测试命令为 dig NS +trace 和 dig AAAA +trace。

检测工具

我们可以使用以下两个工具，进行检测。两者只是发起的网络不同，但测试标准是一样的。

其中国家 IPv6 发展监测平台，每天测试上限是 1000 次，测试要赶早哦~

刨坑

硬性指标：
1）你的域名权威域服务器必须具有 IPv6 地址！且在 NS 记录中配置了这些 IPv6 地址。
2）你的域名记录有对应的 IPv6 地址！且 IPv6 是可访问的。

如果你是直接域名 AAAA 到了 IPv6 地址上，只要权威域 NS 支持 IPv6，就满足 IPv6 授权体系了。

但如果你域名是 CNAME 指向给 CDN、云 WAF 等外域名地址。这个时候也需要 CNAME 指向的域名的 NS 也支持 IPv6 才可以。我就是之前套了 CDN，某一层 CNAME 记录的 NS 不支持 IPv6，影响了整体的 IPv6 支持度评级。
因为外域的 NS 不受我们控制，所以建议咨询 CDN，云 WAF 等厂商，让他们协助解决。

这也是为啥 yun.txisfine.cn 不支持 IPv6 授权体系，而 www.txisfine.cn 支持 IPv6 授权体系的原因，因为两者使用的 CNAME 记录不一样，yun 的 CNMAE 的 NS 没有 AAAA 记录，而 www 的是有的。