Cisco 200-301: IPv6 定址與 IPv6 路由 — 學習指南

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

屬於 Cisco CCNA 200-301 — 學習指南. 使用經過驗證的解答練習： Cisco 考試中心, 或參加限時模擬考試： ExamRoll.io.

總覽

IPv6 取代了容易耗盡的 IPv4 位址系統，提供更龐大、結構化的位址空間，以及無需廣播即可運作的控制層協定。本節將解釋 IPv6 的位址與路由概念，並說明相關的設定要點以及設計選擇背後的運維考量。重點將放在故障模式、第一跳的安全性，以及實用的故障排除流程。

IPv6 位址基礎

標記法、壓縮與擴展：

• IPv6 位址是 128 位元的值，以八組 16 位元的 hextet（十六進位四位數組）形式書寫，並以冒號分隔 (例如，2001:0db8:0000:0000:0500:000a:400f:583b)。
• hextet 內的開頭零可以省略。一段連續的全零 hextet 可以使用 :: 壓縮一次。壓縮範例：2001:db8::500:a:400f:583b。
• 擴展則是反向操作，還原被省略的零與 hextet。

位址類型：

• 全球單點傳播 (Global unicast, GUA): 2000::/3。可在公網路由；類似於 IPv4 的公有位址。用於跨網域通訊。
• 唯一本地位址 (Unique local, ULA): fc00::/7 (本地指派通常使用 fd00::/8)。可在單一站點或透過 VPN 連接的多個站點內連通，但不應用於公網路由。對於內部穩定性及實驗室/測試環境很有用。
• 鏈路本地位址 (Link-local): fe80::/10。每個 IPv6 介面都必須有；用於鏈路上的通訊 (如 NDP) 及作為路由的下一跳。絕不會被路由到鏈路之外。
• 多點傳播 (Multicast): ff00::/8。取代廣播。範圍 (Scope) 定義了可達性 (例如，ff02::/16 是鏈路本地範圍)。
• 任播 (Anycast): 將一個單點傳播位址設定在多個介面上；路由會將封包傳送到拓撲上最近的介面。常用於 DNS 或 leaf-spine 架構中的預設閘道等服務。Anycast 沒有特殊的位元模式；它是一種運維實踐。

前綴、介面識別碼與子網路規劃：

• 最常見的 LAN 前綴長度是 /64。SLAAC 要求使用 /64。介面識別碼 (Interface identifiers, IID) 為 64 位元。
• IID 的形成方式：
  • EUI-64 從介面的 MAC 位址衍生出 IID，方法是在中間插入 fffe 並反轉通用/本地位元 (第 7 位元)。Cisco IOS 範例：

undefined

。

• 隱私 IID (臨時位址) 會隨機化 IID 以減輕主機被追蹤的風險；RFC 7217 定義了每個前綴穩定但隨機的 IID。
• 規劃指南：
  • 使用分層匯總 (例如，每個站點一個 /48，每棟建築一個 /56，每個 VLAN 一個 /64)。
  • 點對點鏈路可使用 /127 來消除子網路路由器任播 (subnet-router anycast) 並防止某些掃描/ND 耗盡攻擊；若在此類鏈路上使用 SLAAC，則保留 /64。
  • 將 GUA 保留給可連上 Internet 的網路；對於純內部網段，可考慮使用 ULA，以將內部定址與 ISP 分配的位址脫鉤。避免使用 NAT66；若因政策或供應商獨立性需要進行轉換，應優先考慮使用 NPTv6 前綴轉換，並謹慎確保其對稱性。

IPv6 自動設定、鄰居發現與多點傳播

路由器通告 (RA) 與位址指派：

• RA 傳遞鏈路上的前綴、預設閘道生命週期以及控制主機行為的旗標：
  • SLAAC：主機使用 RA 的前綴資訊選項 (Prefix Information Options, PIO) 來建立 IID (EUI-64 或隱私 IID)。
  • 無狀態 DHCPv6：RA 的「其他設定」(Other Configuration) 旗標被設定；主機使用 DHCPv6 取得 DNS 及其他參數，但不取得位址。
  • 有狀態 DHCPv6：RA 的「受管理」(Managed) 旗標被設定；主機從 DHCPv6 取得位址與參數。RA 仍可能提供預設閘道。
• Cisco 注意事項：當啟用

undefined

且鏈路前綴存在時，L3 介面會發送 RA。可透過

undefined

指令調整發送間隔與旗標。

• 在 SVI 上發出無狀態 DHCPv6 信號的範例：

undefined

undefined

undefined

鄰居發現協定 (NDP) 與 ICMPv6：

• ICMPv6 是 IPv6 控制的基礎，包含：路由器請求 (RS)、路由器通告 (RA)、鄰居請求 (NS)、鄰居通告 (NA) 與重導 (Redirect)。
• 重複位址偵測 (Duplicate Address Detection, DAD) 會對目標位址的請求節點多點傳播群組發送 NS；若收到回應 (NA)，則該位址不會被指派。
• 預設路由器的選擇來自 RA；鄰居與預設路由器會被快取在鄰居快取 (Neighbor Cache) 中 (類似於 ARP 表)。運維問題通常源於過期或不完整的鄰居快取項目。

多點傳播行為與請求節點多點傳播：

• IPv6 沒有廣播。多點傳播群組針對特定功能：
  • ff02::1 所有節點 (啟用 IPv6 時，每個介面都會加入)。
  • ff02::2 所有路由器 (路由器介面會加入；主機則不會)。
  • ff02::1:ffXX:XXXX 請求節點多點傳播；每個指派的單點/任播位址都會使用其位址的末 24 位元，對應到一個請求節點群組。NDP 使用它來有效率地解析 L2 位址。
• IPv6 多點傳播的第二層對應使用 MAC 位址 33:33:xx:xx:xx:xx。交換器上的乙太網路多點傳播過濾與 MLD snooping 可防止過度的流量泛濫。

常見的故障模式與權衡取捨：

• 遺失或被過濾的 RA 會導致主機僅能自我設定鏈路本地位址；連線能力看起來僅限於本地鏈路。
• RA 旗標設定錯誤會導致非預期地依賴 DHCPv6，或缺乏 DNS 設定。
• EUI-64 會暴露由 OUI 衍生的識別碼；隱私 IID 雖然減輕了追蹤風險，但犧牲了用於 ACL 的運維穩定性。
• 當同一鏈路上存在類似任播的重複位址時，會發生 DAD 失敗；應據此協調閘道備援設計。

IPv6 路由與遷移

靜態路由與預設路由：

• 預設路由：::/0。範例：
  • ipv6 route ::/0 GigabitEthernet0/0 fe80::1
  • 當使用 link-local next hop 時，需包含出口介面以消除範圍的歧義。
• 網路路由範例：
  • ipv6 route 2001:db8:20::/48 2001:db8:10:1::2
  • ipv6 route 2001:db8:30::/48 GigabitEthernet0/1 fe80::2
• 操作注意事項：
  • 遞迴 next-hop 解析需要一個鄰居條目；ND 失敗在 CEF 中會顯示為未解析的鄰接關係 (unresolved adjacencies)。
  • Administrative distance 和 metric 決定了候選路由中的偏好順序；轉送時使用最長前綴匹配 (longest prefix match)。

路由表查詢：

• 最長前綴匹配會選擇最精確的路由；如果長度相同，則路由選擇會考慮協定偏好和 metric。Connected 和 local 路由最被優先採用，並提供直接連接的 next hop。

雙協定堆疊 (Dual-stack)、隧道 (tunneling) 與遷移：

• Dual-stack：平行執行 IPv4 和 IPv6。最容易進行故障排除並提供原生效能；但會使控制平面 (control-plane) 和安全策略的工作量加倍。
• 隧道 (IPv6-in-IPv4)：手動或動態隧道、GRE 和 6RD 可在 IPv4 核心網路上承載 IPv6。當供應商缺乏原生 IPv6 支援時很有用；MTU 和 PMTUD 的考量至關重要。隧道會增加封裝的額外負擔和操作複雜性。
• 轉譯 (Translation)：NAT64/DNS64 讓僅支援 IPv6 的客戶端能夠連線到僅支援 IPv4 的伺服器。這會引入狀態 (state)、協定邊緣案例 (例如嵌入式 IP、字面值) 和除錯的複雜性。NPTv6 提供無狀態的前綴轉譯，以實現供應商獨立性與對稱路徑。
• 設計權衡：
  • 優先在網路邊緣部署原生 dual-stack，然後再部署到核心。
  • 將隧道作為過渡性的基礎架構，並制定明確的汰除計畫。
  • 對於僅支援 IPv6 的網段，需規劃應用程式的就緒性以及 NAT64 的部署位置。

IPv6 第一躍點安全概念：

• RA Guard：在不受信任的存取埠上阻擋未經授權的 RA；防止惡意的閘道器 (rogue gateways)。
• DHCPv6 Guard：阻擋未經授權的 DHCPv6 伺服器訊息。
• IPv6 Snooping and Binding Table：學習 IPv6-to-MAC-to-port 的綁定關係，以供強制執行功能使用。
• IPv6 Source Guard and ND Inspection：強制執行來源位址的有效性，並根據綁定表驗證 NDP 訊息，以阻止偽冒攻擊 (spoofing)。
• SeND (Secure NDP) 存在但因 PKI 的複雜性而很少被部署。
• MLD Snooping：將多點傳播 (multicast) 限制在感興趣的接收者；減少廣播風暴 (flooding)。

驗證與故障排除工作流程

基準檢查：

• 確保全域 IPv6 已啟用：show running-config | include ipv6 unicast-routing。
• 介面狀態與定址：show ipv6 interface brief；show ipv6 interface 以確認 link-local、RA 設定及 ND 參數。
• 驗證主機學習到的 RA 與預設路由器：show ipv6 routers，並在主機上檢查預設路由及 SLAAC/DHCPv6 狀態。

芳鄰探索與路徑解析：

• 檢查芳鄰快取：show ipv6 neighbors；若條目過時則執行 clear ipv6 neighbors。
• 使用 ping 與 traceroute 搭配 IPv6；同時測試 link-local（需指定送出介面）與全域位址，以隔離 on-link 與 off-link 的問題。

路由：

• 檢查路由表：show ipv6 route；確認目標的最長相符路由。
• 驗證靜態路由與 next-hop 的可達性；對於 link-local 的 next-hop，確認指定的出口介面擁有處於 REACH 或 STALE 狀態的芳鄰。
• CEF 與 adjacency：show ipv6 cef exact-route 以查看已解析的 adjacency；若未解析，則表示發生 ND 或類似 ARP 的故障。

控制平面健康狀態：

• ICMPv6 計數器：show ipv6 traffic 以觀察 NS/NA/RA/RS 的流量與丟棄情況。
• 在交換器上，驗證第一跳安全策略與 MLD snooping 狀態，確保合法的控制流量未被阻擋。

常見陷阱：

• 在路由器上忘記設定 ipv6 unicast-routing 會導致無法發送 RA 及進行路由。
• 錯誤設定的前綴長度會導致主機錯誤地將目標視為 on-link 或 off-link；症狀包括對 off-link 前綴發出 NDP 查詢，或缺少預設路由。
• 跨通道的 MTU/分片問題會破壞 PMTUD；觀察超大 ICMPv6「Packet Too Big」封包的處理情況。

實際問題情境

Northwind Textiles 公司正在其總部園區推行 IPv6，但其 MPLS WAN 在未來六個月內仍僅支援 IPv4。挑戰在於：為使用者 VLAN 提供雙協定堆疊（dual-stack）服務、原生的 IPv6 網際網路存取，以及安全的第一跳行為，同時利用 IPv4 MPLS 核心網路在建築物之間傳輸 IPv6 流量。

解決方案：

1. 啟用 IPv6 並建立定址計畫

• 在園區路由器與 SVI 上設定 ipv6 unicast-routing。從 ISP 指派一個 /48 的 GUA，例如 2001:db8:1200::/48，並為每個使用者 VLAN 切割出 /64 的子網路，在路由點對點鏈路上使用 /127。理由：/64 支援 SLAAC；在 P2P 鏈路上使用 /127 可減少攻擊面並消除子網路路由器 anycast 的問題。

2. 部署 SLAAC 並搭配無狀態 DHCPv6 提供 DNS

• 在 SVI 上，設定 ipv6 address ::1/64 與 ipv6 nd other-config-flag。建立 DHCPv6 以提供 RDNSS 選項，或使用無狀態 DHCPv6 來提供 DNS 伺服器。理由：SLAAC 能將用戶端的設定開銷降到最低；無狀態 DHCPv6 則能在不增加位址狀態的情況下，提供關鍵的非位址參數。

3. 跨 MPLS 核心建立 IPv6-in-IPv4 GRE 通道

• 在建築物路由器之間建立帶有 keepalives 的點對點 GRE 通道；在通道上運行 IPv6 IGP 或設定靜態 IPv6 路由。理由：GRE 能將 IPv6 封裝在僅支援 IPv4 的供應商網路上，並提供可預測的路徑；keepalives 可偵測路徑故障。調整 MTU（透過 tunnel path-mtu-discovery 或 interface mtu tuning）以避免分片。

4. 從網際網路邊界宣告預設路由

• 在網際網路邊界，安裝一條指向 ISP 的 ipv6 route ::/0 路由，並將此預設路由宣告至園區 IGP 中。理由：集中化的出口可確保對稱的流量與一致的策略控制；分發預設路由則能簡化園區內的路由。

5. 在存取層交換器上保護第一跳安全

• 在面向使用者的連接埠上啟用 RA Guard 與 DHCPv6 Guard；啟用 IPv6 Snooping 以填充綁定表，並強制執行 IPv6 Source Guard。理由：防止惡意的 RA 與未經授權的 DHCPv6 伺服器；來源驗證可阻止偽冒攻擊與芳鄰快取中毒。

6. 標準化 IID 與隱私保護

• 對於基礎設施介面，使用穩定的 IID（手動設定 ::1、::2）或在適當情況下使用 EUI-64；對於使用者，則允許使用隱私擴充。理由：可預測的基礎設施位址能簡化維運；隱私 IID 則能在不影響閘道器運作的情況下，保護使用者免於被追蹤。

7. 驗證與監控

• 使用 show ipv6 interface 與 show ipv6 routers 驗證 RA；使用 show ipv6 neighbors 與 show interfaces tunnel 確認芳鄰表與通道的 adjacency。利用 show ipv6 traffic 與可用的 netflow/IPFIX 建立基準線。理由：及早建立基準線有助於快速識別異常；ND 與通道的健康狀態直接影響轉送效能。

8. 針對僅支援 IPv6 服務的應變計畫

• 如果需要一個僅支援 IPv6 的試點網段，可在園區邊界部署 NAT64/DNS64，以存取僅支援 IPv4 的網站。理由：NAT64 能夠逐步導入 IPv6，同時避免在特定的現代化端點上使用雙協定堆疊；限定範圍的使用可將轉換的複雜性控制在一定程度內。

此計畫能在最小干擾下啟用 IPv6，控制第一跳的風險，並透過受控的通道技術彌補供應商暫時的缺口，直到端到端的原生 IPv6 可用為止。

← IPv4 定址、子網路切割與路由 · 所有領域 · 動態路由與 IP 連通性 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →