NAT46 通过协议转换让纯 IPv4 客户端访问纯 IPv6 服务器，避免双栈部署负担。本文实测在 FortiOS 7.0.9 上配置虚拟 IP 与 IPv6 地址池，验证了无状态 IP/ICMP 转换（SIIT，RFC 7915）的可行性，且无需 DNS64 支持。
适用场景与原理：
当服务端仅部署 IPv6（如作者的树莓派 random.weberlab.de 仅有 AAAA 记录），但需服务纯 IPv4 客户端时，可在网关部署 NAT46。NAT46 代理不必位于客户端与服务器的直接路径上，只需路由可达。公共 DNS 需为 NAT46 网关的 IPv4 地址配置 A 记录（示例用 random46.weberlab.de），客户端解析该域名即可发起 IPv4 连接，网关按 RFC 7915 定义的无状态算法在 IPv4 与 IPv6 间转换 IP 与 ICMP 报文。与 NAT64 不同，NAT46 不依赖 DNS64 合成 AAAA 记录，DNS 部署更简单。
FortiGate 配置步骤：
作者在 FortiWiFi-61E（FortiOS v7.0.9）上完成配置：首先创建“虚拟 IP”对象，将公网 IPv4 地址映射至内部服务器的 IPv6 地址；其次定义 IPv6 地址池，供防火墙作为转换后报文的源地址。配置完成后，IPv4 客户端访问映射的公网 IPv4，流量经 NAT46 网关转换为 IPv6 抵达服务器，返回报文再反向转换。作者通过 Wireshark 抓包确认了地址转换过程，PCAP 文件可供下载分析。
运维取舍与局限：
作者指出 FortiGate 在可靠性与稳健性上存在不足，但其 NAT46 功能属少数厂商原生支持的特性。NAT46 仅为过渡期权宜之计，长期仍应推进全网 IPv6 部署。生产环境需评估：单点网关的性能瓶颈、ICMP 差错报文转换的完整性、以及无状态转换对分片报文的处理能力。若流量规模大或要求高可用，建议改用成熟的反向代理或负载均衡器实现协议转换。
对网络工程师而言，NAT46 是在不改造服务端、不引入 DNS64 的前提下，以最小改动让存量 IPv4 客户端访问新建 IPv6 服务的实用手段。在 FortiGate 上仅需两步配置即可落地，适合中小规模场景快速验证；但需明确其过渡性质，规划双栈或纯 IPv6 迁移路径才是根本出路。
原文: APNIC Blog（2023-02-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog