是否可以在防火墙级别将全局 IPv6 地址 NAT 转换为内部 IPv4 地址？

Question

作为一个组织，我们刚刚请求了我们的第一个 IPv6 分配。目前，我们是一个完全 IPv4 的组织，在我们的边缘路由器上配置了全球 IPv4 地址分配，并（主要）用于 NAT，通过边缘防火墙到内部托管的具有私有 IPv4 地址的 Web 服务器。

我很欣赏让我们的面向外部的服务可用于 IPv6 互联网的一种方法是在内部网络中实施 IPv6 双栈，并直接将全球可访问的 IPv6 地址（除了现有的 IPv4 地址）分配给这些服务器。

然而，即使在阅读了大量关于 IPv6 过渡技术和 NAT 在 IPv6 世界中的利弊的帖子和文章之后，我仍然不完全确定我们是否可以从本质上复制我们现有的设置，但使用 IPv6 地址，即我们可以在我们的边缘路由器上配置一个全局可路由的 IPv6 接口，在我们的防火墙上配置一个关联的 IPv6“外部”接口，并简单地将全球面向 IPv6 地址的 1:1 NAT 配置为 IPv4 地址？

这显然基于以下原则：我们与 ISP 有 IPv6 BGP 对等安排，并且我们的内部寻址需求由 RFC1918 满足，但我们希望使选定的外部服务 IPv6 可访问。

Answer 1

正如第一条评论中所说，我还强烈建议转向双栈，因为从长远来看，它比实施 NAT 解决方案更便宜。（无论如何你都必须这样做，那为什么现在不呢？）

但是，对于您的问题，有两种可能的解决方案/解决方法：

• 支持NAT64的路由器；
• 具有本机 IPv6 支持的负载平衡器，通过 IPv4 平衡其背后的服务器。