内网还是v4终端要访问新v6系统：NAT46静态映射打通
整理自华为官方发布的典型配置案例。
新系统按规划建在了 IPv6 网段上，可办公内网的终端还是清一色 IPv4，两头隔着协议说不上话，难道要把老终端一次性全升级？不必。华为防火墙支持双协议栈加 NAT64 功能，反向用在 v4 访问 v6 的方向上就是 NAT46：给 IPv6 服务器配一个 IPv4 门牌地址，老终端只管访问这个门牌，报文进防火墙换成 v6 侧地址与协议，回程再换回来，两端主机对转换毫无感知。
双栈接口与 NAT64 使能
一侧接 IPv4 内网，一侧接 IPv6 网段，v6 侧接口要同时打开 IPv6 与 NAT64 两个开关，漏掉任何一个映射都不生效；接口分别加入安全区域，策略才有域间可写：
[DeviceA] interface ge 0/0/2
[DeviceA-GE0/0/2] ipv6 enable
[DeviceA-GE0/0/2] ipv6 address 2001:db8:1::2 64
[DeviceA-GE0/0/2] nat64 enable
[DeviceA-GE0/0/2] quit
前缀与静态映射，给 v6 服务器配 v4 门牌
NAT64 前缀用于构造 v4 终端在 v6 网络里的源地址；静态映射把服务器的 v6 地址与 v4 门牌一对一焊死，route 参数让映射直接进路由表：
[DeviceA] nat64 prefix 2001:db8:2:: 96
[DeviceA] nat64 static 2001:db8:1::1 1.1.1.10 route
前缀不配置时缺省使用知名前缀，有规划的单位按自己的地址规划来定。前缀的用途是构造 v4 终端在 v6 世界里的源地址：前缀拼上终端的 IPv4 地址即成，官方会话表回显里能看到前缀后面拖着点分十进制的尾巴，终端身份一眼可辨。route 参数则让这条映射直接进路由表，回程引流少配一条静态。
官方组网里服务器侧还有一步：配好去往前缀网段的路由，下一跳指向防火墙的 v6 接口地址。这一步漏了就是单通——请求进得去，回包找不到路。
安全策略按 v6 真实地址放行
官方特别提示：静态映射场景要放行的是 IPv6 安全策略，目的地址写服务器的 v6 真实地址，而不是那个 v4 门牌——映射只对门牌负责，放行名单仍认服务器本体，审计与日志里看到的都是 v6 侧的来龙去脉：
[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_1
[DeviceA-policy-security-rule-policy_sec_1] source-zone untrust
[DeviceA-policy-security-rule-policy_sec_1] destination-zone trust
[DeviceA-policy-security-rule-policy_sec_1] destination-address 2001:db8:1::1 64
[DeviceA-policy-security-rule-policy_sec_1] action permit
[DeviceA-policy-security-rule-policy_sec_1] quit
验证两条
老终端 ping 门牌地址通、四个包全部有回显，转换链路即为全通；防火墙上再查 IPv6 会话表，能看到 NAT64 标记与两侧地址的对应关系：
<DeviceA> display firewall ipv6 session table
会话表一行读两段：方括号外是 v6 侧的地址与端口，方括号内是换算后的 v4 门牌，转换对应关系一眼见底。
门牌地址只对映射负责，服务器自身仍以 v6 地址对外；台账里把门牌与真实地址成对记录，审计才不会出现两套口径。
避坑三条
- 服务器侧要配好去往 NAT64 前缀网段的路由，回包找不到路是单向通症状的根源；
- 安全策略的目的地址写 v6 真实地址，写成 v4 门牌会一直匹配不上；
- 门牌地址要确保唯一且不与现有 v4 资产冲突，映射表记入台账，日后排障有据可查。
双栈改造与协议过渡方案，贵州诚鑫致达科技提供规划与实施，欢迎搜索联系。
企业存储选型参考｜贵州诚鑫致达
老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。