1. 课程导入与迁移工程全景
当企业网络从“能通”走向“可管、可扩、可审计”，NAT 与 IPv6 迁移就会同时出现在网络改造清单上。很多工程师第一次接触这两个主题时，会把它们当成两个独立知识点：NAT 是地址转换，IPv6 是下一代协议。但在真实工程中，它们往往出现在同一条迁移路径上——IPv4 地址枯竭迫使网络使用 NAT 延长寿命，而业务增长、合规要求和云网融合又推动网络向 IPv6 演进。理解这两者的工程关系，比单独记住 NAT 的几种类型或 IPv6 的地址格式更重要。
本课程围绕“NAT 与 IPv6 网络迁移工程”展开，目标不是停留在概念背诵，而是让读者能够看懂迁移场景、设计地址方案、配置关键设备、验证业务连通性，并判断迁移是否达到预期。第 1 章作为导入，先建立一张全局地图：我们面对的是什么网络，迁移的驱动力来自哪里，核心挑战有哪些，后续 30 章分别解决什么问题。
迁移工程的全景视图
一个典型的企业网络迁移工程，通常不是“把 IPv4 关掉，打开 IPv6”这么简单。更常见的情况是：核心业务仍在 IPv4 上运行，新增分支、物联网终端或云上业务要求 IPv6 接入；同时，IPv4 公网地址不足，出口必须依赖 NAT 或 NAT64 等转换技术。于是网络会经历一个长期共存的阶段，形成“双栈 + 转换 + 隧道”并存的混合架构。
下面这张图给出迁移工程的全景关系：左侧是 IPv4 域，右侧是 IPv6 域，中间是共存与转换区。图中同时标出了地址、协议、转换设备和关键判断点，帮助读者先看清“谁和谁说话、靠什么转换、在哪里验证”。
核心挑战：不是协议切换，而是工程约束
从全景图可以看到，迁移工程的核心难点集中在“共存与转换区”。这里有几个必须提前识别的约束。
第一，地址重叠与转换状态。IPv4 私网地址在多个分支重复使用是常态，NAT 设备需要维护会话表，记录“内网地址:端口 ↔ 公网地址:端口”的映射。一旦会话老化时间设置过短，长连接业务可能中断；设置过长，公网端口资源又会被耗尽。例如某出口路由器公网地址池只有 1 个地址，可用端口约 6.4 万个，若内部有 2000 个终端同时访问外部，平均每个终端占用 32 个端口，就会接近上限。工程上需要根据并发会话数、端口复用率和业务类型估算地址池规模。
第二，双栈选路与回退。当终端同时拥有 IPv4 和 IPv6 地址时，操作系统通常优先选择 IPv6。如果 IPv6 路径质量差或目标不可达，业务可能先尝试 IPv6 超时，再回退 IPv4，导致首包时延增加。实际项目中需要验证 DNS 解析顺序、路由优先级和 Happy Eyeballs 行为，必要时通过策略调整优先级。
第三，安全策略的对称性。IPv4 侧通常有成熟的 ACL、防火墙和 NAT 映射规则；IPv6 侧地址空间巨大，若直接沿用“先通再管”的思路，容易遗漏 ICMPv6、RA Guard、DHCPv6 防护等关键策略。迁移前应把安全策略作为独立检查项，而不是迁移完成后再补。
学习地图：30 章如何组织
本课程后续内容按“基础—设计—实施—验证—优化”推进，但不会机械地每章都走五步。大致可以分为几个板块：
- 基础与原理：NAT 类型、地址转换过程、IPv6 地址结构与邻居发现机制，建立必要的协议直觉。
- 方案与设计：双栈、NAT64/DNS64、隧道、地址规划、路由与安全策略设计，回答“选哪条路”。
- 配置与实施：在路由器、防火墙、Linux 主机和云网关上完成关键配置，给出可参考的命令与参数。
- 验证与排障：用 ping、traceroute、tcpdump、会话表、DNS 查询和日志判断迁移是否成功，定位常见故障。
- 优化与复盘：会话老化、端口复用、性能压测、回退策略和迁移割接窗口管理。
每一章都会围绕一个可执行的问题展开，而不是只讲概念。例如讲 NAT 时会给出具体的地址池计算和会话表查看方法；讲 IPv6 时会给出前缀划分示例和 RA 配置片段；讲迁移时会给出割接检查表和回退判断条件。
实战目标：学完能做什么
完成本课程后，读者应能独立完成以下任务：
- 根据企业现有 IPv4 网络和业务需求，判断应采用双栈、NAT64 还是隧道方案，并说明理由。
- 为一个中型园区网规划 IPv6 地址前缀，例如申请到 2001:db8:acad::/48，能够划分出办公、服务器、管理、物联网等 /64 子网。
- 在出口设备上配置 NAT44 或 NAT64，并验证内部终端访问外部资源时的地址转换结果。
- 使用抓包和会话表判断 NAT 映射是否建立、IPv6 邻居是否可达、DNS64 是否返回合成地址。
- 制定迁移割接检查表，包含回退条件、验证命令和业务确认点。