在已有 IPv4 OpenVPN 服务基础上，通过修改 server.conf 与系统转发参数，可为客户端分配原生 IPv6 地址并下发默认路由，实现双栈隧道接入。
OpenVPN 基础部署与 IPv4 配置
使用 Ubuntu 道路战士安装脚本快速完成证书生成、防火墙规则与服务启动。脚本交互需指定外部 IP、UDP 端口（默认 1194）与 DNS。生成的 iptables 规则包含：FORWARD 链放行 RELATED/ESTABLISHED 与 10.8.0.0/24 网段，INPUT 链放行 UDP 1194，NAT 规则将 10.8.0.0/24 源地址 SNAT 至 203.0.113.10。客户端证书存放于家目录，macOS 可用 Tunnelblick 导入 .ovpn 文件连接。
IPv6 隧道开启与地址分配
编辑 /etc/openvpn/server.conf 新增六行指令：server-ipv6 2001:0db8:ee00:abcd::/64 定义客户端地址池；tun-ipv6 与 push tun-ipv6 启用 IPv6 TUN 设备；ifconfig-ipv6 2001:0db8:ee00:abcd::1 2001:0db8:ee00:abcd::2 设定点对点接口地址；push "route-ipv6 2001:0db8:ee00:ee00::2/64" 与 push "route-ipv6 2000::/3" 分别下发服务端侧 /64 与 IPv6 默认路由。服务端自身使用 2001:db8:ee00:ee00::10/64 作为隧道端点。
转发开启与路由下发验证
执行 echo 1 > /proc/sys/net/ipv6/conf/all/forwarding 即时开启转发，持久化需取消 /etc/sysctl.conf 中 net.ipv6.conf.all.forwarding=1 的注释。上游路由器（示例为 Cisco）需配置静态路由：ipv6 route 2001:db8:ee00:abcd::/64 2001:db8:ee00:ee00::10，将客户端地址池指向服务端隧道地址。重启 openvpn 服务后，客户端日志可看到 IPv6 地址与路由，访问 http://test-ipv6.com/ 即可验证原生 IPv6 连通性。
工程师可直接复用该配置模板在现网双栈服务器上部署，无需额外隧道软件即可为远程终端提供原生 IPv6 接入，简化运维并保持与现有 IPv4 VPN 策略一致。
原文: APNIC Blog（2017-06-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog