企业长期因成本与风险拒绝部署 IPv6，现状是大二层网络共享故障域且安全隔离缺失。文章指出在现有双栈架构下直接启用 IPv6 会加剧不安全，需重新设计网络架构，以 /64 前缀为每台设备分配地址，逐步实现 IPv6-only。
现有网络的结构性缺陷：
现有企业网络普遍采用非结构化大二层设计，单个网段容纳 512 至 1024 个 IPv4 地址。二层交换机通过 STP 连接核心路由器对，核心运行 FHRP 与 VRRP 提供漂浮网关，DHCP 分发默认路由。打印机、PC、移动设备混杂在同一信任域，打印机多未打补丁却可访问互联网，BYOD 设备引入外部恶意代码，病毒可横向扩散至整个网段。原文未给出具体故障发生频率数据。
双栈部署的安全悖论：
在上述环境中叠加 IPv6 会扩大攻击面，因协议栈增加而非减少风险。DHCPv6 与 DHCPv4 机制差异大，无法简单一对一替换，现有地址分配与网关冗余体系难以平滑迁移。因此直接在现网开启双栈非可行选项，必须从架构层面解决二层命运共享、移除 STP 依赖，并为 IPv6-only 奠基。
基于 /64 前缀的新架构思路：
IPv6 地址空间允许按 RFC8273 建议为每台设备预留 /64 网络，打破大二层边界，将故障域缩小至单设备。这种设计消除 STP，采用三层路由到接入层，配合 IPv4-as-a-service 机制在 IPv6 底层承载遗留业务。原文未给出具体部署案例、性能指标或迁移时间表数据。
对运维工程师而言，核心启示是拒绝在脏网络上叠加新协议，而应以 /64 划分为起点重构接入层，利用 IPv6 原生大地址空间实现设备级隔离，再通过隧道或转换技术托管 IPv4 业务，逐步收敛双栈复杂度。
原文: APNIC Blog（2018-01-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog