IPv6 校验实战:配置防火墙和路由前先挑出非法地址

写防火墙规则那天,我对着一份从内部 wiki 复制过来的允许列表发愁。三十多条 IPv6 地址,有的来自旧的网络设计文档,有的是同事手敲进工单的,格式参差不齐。肉眼扫了两遍,看着都像那么回事,可一旦其中一条悄悄写错,要么规则加载报错,要么更糟,放进去一条根本不存在的非法地址,留下安全隐患。我不想靠手指头一段一段数十六进制,于是把整列直接粘进 IPv6 地址列表校验器,让浏览器逐行替我判断。

IPv6 合法到底看什么

一个标准 IPv6 地址是八组四位十六进制数,用冒号分隔,比如 2001:0db8:0000:0000:0000:0000:0000:0001。为了写起来不那么折磨人,规范允许两种缩写:每组前导的零可以省略,连续全零的组可以用双冒号 :: 折叠。但这里有个最容易踩的坑,双冒号在一个地址里只能出现一次,出现两次解析器就没法确定中间到底补几组零,这条地址直接判非法。

除了双冒号规则,常见的非法形态还有几类:某一组超过四位或者出现 g 到 z 这种超出十六进制范围的字母,分组数量多于八组,以及把内嵌 IPv4 的写法弄错。校验器会按这些真实规则逐条过一遍,而不是简单跑个正则糊弄过去。

一个真实的输入输出例子

我故意把一份混着错误的清单贴进去,看它怎么判。输入这样几行:

2001:db8::1
fe80::1
2001:db8::g1
2001:0db8:0000:0000:0000:0000:0000:0001
2001::db8::1

输出报告里,前两行 2001:db8::1 和 fe80::1 标为有效,第四行那条完整写法也通过。重点是它精准抓出了两条非法的:2001:db8::g1 因为含有十六进制里不存在的字母 g 被标记原因 invalid hextet,2001::db8::1 因为出现了两个 :: 被判 multiple double-colon。每一条不通过的行都带着原因留在结果里,我不用猜哪儿错了,照着改就行。

为什么配置前这一步不能省

防火墙和路由场景里,一条格式错误的地址造成的麻烦分两种。第一种是温柔的:规则文件加载时直接报语法错误,你被迫回头排查,浪费十几分钟。第二种是隐蔽的:某些设备对宽松格式容忍度高,会把一条本该报错的地址默默吞下,生成的规则跟你想的完全不是一回事,等到流量出问题才发现。校验这一步,就是在地址进配置之前先把这两类风险都拦在门外。

我习惯先校验,再把通过的列表去重排序,导出成 CSV 留一份审计记录。需要把规范化后的写法统一一遍时,顺手用 IPv6 地址规范化工具 把所有缩写展开或折叠成一致形式,这样防火墙规则里就不会出现同一个地址两种写法、对不上号的尴尬。

本地处理,拓扑不出本机

网络地址列表往往直接暴露内网结构,这种东西我不放心丢给在线服务。这个校验器的解析、校验、去重、导出全部在浏览器标签页里跑,上传的本地文本文件也只通过浏览器的 File API 在本机读取,不会发到任何服务器。你的拓扑信息留在你这台机器上,这是配置类工具该有的底线。

实际用下来,从粘贴到拿到带原因的报告也就几秒钟。清单不大的时候直接粘文本,文件大一点就读本地文件,导出格式可以在 CSV、JSON、Markdown 之间切换,交接给脚本或工单系统都方便。下次再写一长串防火墙允许列表,先过一遍校验,比事后排查省心太多。

---

Made by Toolora · Updated 2026-06-13