产品标注“支持IPv6”，不一定代表IPv6入口、清洗能力和防护策略都已启用。验证抗DDoS产品的IPv6防护覆盖与双栈验证方法，应把客户端访问结果与产品侧流量记录、源站日志相互对照。以下六步适用于网站、API及其他提供IPv4/IPv6双栈访问的服务；测试前先确认地址和流量均由你管理，并取得相关运维方许可。
第一步：核对受保护的IPv6地址
从产品控制台、接入配置或服务商提供的配置清单中，确认保护对象是否明确包含业务实际使用的公网IPv6地址或前缀。逐项核对对外入口、负载均衡器和源站之间的关系：有些架构只把入口地址接入清洗，源站地址则不应直接暴露；另一些架构需由网络路由将目标前缀引向防护平台。
同时问清支持范围：是否接收IPv6流量、是否对IPv6执行清洗、是否覆盖传输层与应用层防护，以及超出能力范围时如何处置。只有地址可达或能转发流量，不能单独证明具备完整防护。
第二步：分别检查IPv4与IPv6解析
从外部网络查询业务域名的A记录和AAAA记录，确认IPv4、IPv6分别指向预期入口。可使用dig查询；若AAAA记录指向源站而A记录指向防护入口，双栈用户就可能走不同路径。还要检查多条记录、CDN或负载均衡配置，避免只核对单个地址。
记录查询时间、所用递归解析器和返回地址。缓存可能导致不同网络暂时看到不同结果，因此应在至少两个独立网络复核；记录差异时先排除缓存和配置发布延迟，不要据此直接判定防护失效。
第三步：分别发起双栈连接
用支持IPv6的主机测试同一个域名，避免只在浏览器中观察页面是否打开。命令行可分别执行：
- IPv4：curl -4 -I https://example.com
- IPv6：curl -6 -I https://example.com
将示例域名替换为自有测试域名。检查两种连接是否成功、返回的状态码和证书是否符合预期，并记录连接失败、超时或重定向情况。若IPv6测试主机本身没有IPv6出口，测试结果只能说明客户端网络不具备条件，不能说明产品覆盖情况。
第四步：追踪IPv6实际经过的入口
成功连接后，结合产品侧连接记录、流量统计和源站访问日志，确认请求是否到达预期防护入口，再由该入口转发至源站。源站日志中出现客户端原始地址、代理地址或转发头，取决于产品的转发模式；应按已配置的信任规则解读，不能仅凭日志中的一个地址判断路径。
可用traceroute -6辅助观察网络路由，但中间设备可能不回应探测报文，路由也可能因运营商或时间变化而不同。路由输出适合作为线索，不应替代产品侧流量证据。
第五步：比较两种地址族的防护策略
逐项对比IPv4与IPv6的防护对象、访问控制、速率限制、连接数限制、应用规则和告警配置。重点检查规则是否绑定了特定地址族，以及IPv6较长地址或前缀匹配是否按预期工作。若产品分别配置策略，应确认两套规则都已启用；若采用统一策略，则核实统一策略确实作用于IPv6流量。
可在授权的测试环境中，从IPv4和IPv6分别访问一个无副作用的测试页面，并查看同一条规则是否产生对应记录。不要通过向生产系统制造大流量来验证清洗能力；需要验证抗压或攻击处置时，应使用服务商批准的演练方式、范围和时间。
第六步：验证故障处理与持续监测
确认IPv6入口异常时的处置方式，包括告警渠道、切换责任方、恢复步骤及回滚条件。选择低风险维护窗口，在获批情况下验证备用路径或配置回退；如果无法安全切换，就检查配置记录和演练文档，不要为测试直接撤销生产路由。
将A、AAAA查询结果、curl测试结果、产品侧记录和源站日志按时间对应保存。建议在上线、网络调整和规则变更后复测；测试频率由业务变更节奏及风险决定。这样形成的抗DDoS产品的IPv6防护覆盖与双栈验证方法，能区分“客户端不能走IPv6”“解析指向错误”和“产品未保护IPv6入口”等不同问题。
常见问题
浏览器能打开网站，是否说明IPv6防护正常？
不能。双栈浏览器可能自动改用IPv4。应分别强制使用IPv4和IPv6测试，并核对产品侧记录。
IPv6的ping不通，是否代表入口不可用？
不一定。网络或主机可能过滤ICMP。应结合curl连接、路由线索和防护平台记录判断。
必须同时保护IPv4和IPv6吗？
如果两种地址族都对外提供服务，就应分别确认入口和策略覆盖；停用其中一种也应同步检查解析与对外路由。
多久复测一次？
没有适用于所有业务的固定周期。至少在接入、地址或路由调整、防护规则变更后复测，并按风险安排日常检查。
