云主机IPv6公网接入与双栈改造清单，首先要回答两个问题：现有服务是否必须继续通过IPv4访问，以及云平台是否支持在同一网络中配置IPv4和IPv6。原生双栈通常改动较少；需要适配旧系统或第三方依赖时，可分层改造，但不能把IPv6地址配置成功等同于服务已对公网可用。
先选路径：原生双栈还是分层改造
原生双栈：新建或网络条件成熟时优先评估
原生双栈让云主机同时拥有IPv4、IPv6连通能力，客户端可依据DNS解析结果选择协议。若云平台的虚拟网络、子网、路由表、安全组和公网出口均支持IPv6，通常可沿用现有服务端口，分别检查两套协议的监听和访问规则。优点是路径直接、便于逐步开放；缺点是应用、防火墙和监控必须同时正确处理两类地址。
改造接入：旧依赖无法一次升级时分阶段实施
如果应用仍绑定IPv4地址、访问控制规则只识别IPv4，或外部依赖没有IPv6服务，可在入口使用支持IPv6的负载均衡或反向代理，再由内部网络连接现有服务。出站访问方面，NAT64/DNS64可帮助部分IPv6客户端访问IPv4目标，但它不等于让IPv4客户端直接访问IPv6服务器，也不替代公网入站设计。改造能缩小应用变更范围，却增加代理、转换和故障排查环节。
上线前的六项检查
- 确认云网络能力。检查云主机所在地域和网络产品是否支持IPv6地址分配、路由及公网入站；核对控制台实际分配的前缀，不要自行假设网段大小。
- 检查操作系统配置。确认网卡获得IPv6地址和默认路由，应用监听在预期地址上。Linux可用 ip -6 addr、ip -6 route 查看地址与路由；再用 ss -lnt 核对服务端口。
- 逐层配置防火墙。检查云安全组、网络访问控制和主机防火墙是否分别允许所需的IPv6流量。只开放业务必需端口，避免因测试方便将全部端口对 ::/0 放开。保留必要的ICMPv6通信，过度拦截可能影响邻居发现或路径MTU探测。
- 核对应用与依赖。排查配置文件中的IPv4字面量、只接受IPv4的回调白名单、数据库连接策略、日志解析和访问控制代码。IPv4与IPv6地址格式不同，若程序把地址当作固定格式字符串处理，需验证解析、存储和展示逻辑。
- 配置DNS并保留回退。在确认IPv6服务可用后添加AAAA记录；已有IPv4服务且仍需兼容时保留A记录。逐步调整DNS解析，记录变更前后的TTL和回退方式，避免客户端缓存导致切换结果不一致。
- 从外部验证整条链路。使用支持IPv6的外部网络检查域名AAAA解析，并通过 curl -6 请求实际业务地址；再分别验证IPv4访问、证书、重定向、健康检查和日志记录。不要只在云主机内部测试，因为内部连通不代表公网路由和安全组已放通。
按兼容边界分批放量
较稳妥的做法是先选一台非关键云主机或测试环境，完成网络、应用和监控验证，再开放少量入口并观察连接失败、超时及错误日志。确认常见客户端和外部依赖没有明显问题后，再扩展到其他实例。监控指标应能区分IPv4与IPv6流量；出现异常时，可先撤回AAAA记录或入口转发，同时保留原IPv4路径。
最终决策不必追求一次性改完：网络和应用均支持时采用原生双栈；只有入口能升级、后端依赖暂时受限时采用代理或网关过渡。把地址、路由、安全组、DNS、应用兼容和回退流程逐项核对，云主机IPv6公网接入与双栈改造清单才真正能用于上线验收。
常见问题
加了AAAA记录就能通过IPv6访问吗？
不能。还需确认IPv6地址、路由、云安全组、主机防火墙和应用监听均已配置，并从公网验证。
保留A记录会影响IPv6用户吗？
通常不会。A记录提供IPv4解析，AAAA记录提供IPv6解析；客户端如何选择地址取决于其网络和解析行为，因此两条路径都应分别测试。
IPv6防火墙可以直接照搬IPv4规则吗？
不能假设规则会自动同步。应检查云平台与主机上的IPv6规则，并按业务需要单独配置和验证。
