IPv6-only 网络中的代理 NAT64 与 DNS64 兼容性测试
代理在办公室双栈网络上全部通过，并不代表它能在 IPv6-only 的移动或企业网络上稳定运行。网关域名可能解析异常，应用可能写死 IPv4 地址，本地 DNS 与代理端 DNS 可能混淆，甚至隧道建立成功后才在协议转换或目标抓取阶段失败。
本指南把这些风险变成可重复的验收流程，适用于住宅代理、轮换代理、静态代理网关，以及合规的网页抓取、广告验证、市场研究和数据采集。
先拆清两段链路
DNS64 为仅有 IPv4 地址的名称合成 IPv6 答案，NAT64 在 IPv6 客户端与 IPv4 目标之间转换流量。两者都无法自动修复应用内部的 IPv4 假设。
代理工作流必须分开测试：客户端到代理网关的解析、连接与认证；代理网关到目标的远端解析、出口选择、TLS 与内容校验。代理握手成功只说明第一段可达，不能证明第二段正常。
建立四格验收矩阵
在同一组获授权目标上测试：
- 双栈客户端访问双栈目标；
- IPv6-only 客户端经 DNS64/NAT64 访问 IPv4-only 目标；
- IPv6-only 客户端访问支持 IPv6 的目标；
- 经批准的 IPv4 控制路径访问同一个 IPv4-only 目标。
保持请求方法、请求头、认证方式、会话策略、并发和内容校验规则一致。样本要能暴露间歇性问题，但重试必须有上限，避免掩盖故障或给目标增加压力。
七步验证流程
1. 在真实测试网络内解析
从 IPv6-only 环境解析代理网关和目标名称，记录 A、AAAA、解析器、TTL、查询延迟及是否疑似合成。不要用另一网络上的电脑查询结果替代。
始终优先使用主机名，不要在代码中嵌入 IPv4 字面量，也不要自行把熟悉的前缀拼到 IPv4 地址上；实际网络可能使用专用转换前缀。
2. 区分本地 DNS 与代理 DNS
如果协议支持，分别测试客户端解析目标和代理端远程解析目标。SOCKS5 远程 DNS、HTTP CONNECT 和应用层代理设置可能走完全不同的路径。每条记录都要明确解析发生的位置。
3. 验证网关传输
记录地址族、连接耗时、认证结果、代理协议和隧道建立结果。TLS 代理网关必须按主机名验证证书，直接替换成 IP 会破坏证书校验并掩盖真正问题。
4. 同时覆盖 IPv4-only 与 IPv6 目标
只使用自有或明确获授权的目标。除状态码外，还应验证预期内容标记、响应大小范围和目标侧可观察的出口属性，避免把拦截页、门户页或转换错误页当成成功。
5. 测试轮换与粘性会话
对轮换住宅代理分别运行按请求轮换和限定时长的粘性会话。确认协议转换没有改变预期会话键，也没有造成仅在某个地址族出现的异常抖动。比较有效结果率，而不是只看 IP 是否变化。
6. 注入受控失败
在隔离测试账户和授权端点上测试无效域名、关闭端口、过期测试凭据与不可达端点。DNS、传输、认证和目标错误必须返回不同类别。不要用无关公共系统做故障注入。
7. 验证恢复与缓存
修复条件后继续观察 DNS TTL 和连接池复用。过期的合成地址或旧连接可能让已恢复链路仍看似故障。分别记录首次恢复请求和稳定阶段。
验收指标
只有当 IPv6-only 单元达到业务阈值时才批准上线：
- 网关 DNS 与连接成功率；
- 代理认证和隧道成功率；
- IPv4-only 与 IPv6 目标的有效内容率；
- 有效结果的 p50、p95、p99 延迟；
- 请求地区与观察到的出口地区一致性；
- 重试放大受控；
- 粘性会话稳定；
- 错误分类明确且可操作。
应同时比较 IPv6-only 与双栈控制组的绝对差距，不能脱离基线只看一个漂亮的成功率。
常见故障判断
网关域名可用，但 IPv4 字面量失败： 应用绕过了 DNS64，改用名称和地址族无关的 API。
HTTP 代理正常但 SOCKS 失败： SOCKS 客户端可能在本地解析或调用了仅支持单一地址族的接口，检查远程 DNS 模式。
隧道成功但内容无效： 检查代理到目标这一段、TLS 主机名、出口地址族、目标策略和拦截页识别。
切换网络后首个请求失败： 排查过期 DNS、缓存的转换前缀、旧连接与重试时机。
出口地区异常： NAT64 可达性和代理地理定位是两个问题，应重新核对请求地区、观察证据与回退策略。
发布检查清单
- [ ] 网关和目标未写死 IPv4 地址。
- [ ] 在真实 IPv6-only 网络内完成解析。
- [ ] 本地 DNS 与代理 DNS 分开标记。
- [ ] IPv4-only 和 IPv6 目标均返回有效内容。
- [ ] 认证、隧道、TLS、HTTP 与内容错误可区分。
- [ ] 轮换与粘性会话达到有效结果目标。
- [ ] 已观察 TTL 和连接池恢复。
- [ ] 重试有上限、有退避、可计量。
- [ ] 日志不含密码、令牌、Cookie 或不必要的完整 IP。
常见问题
代理出口支持 IPv6，是否就代表 IPv6-only 客户端兼容？
不是。客户端可能在到达代理网关前就因解析或传输失败，必须分两段验证。
所有请求都应使用客户端网络的 DNS64 吗？
不一定。解析位置取决于代理协议以及隐私和路由目标，关键是明确解析发生在哪里并分别测试。
公共 IPv6 测试页能代替本流程吗？
不能。它无法验证代理认证、远程 DNS、出口轮换、目标内容和真实工作负载。
合规与安全
只测试自有或获授权的目标和账户，遵守 robots 规则、服务条款、速率限制、隐私义务和适用法律。减少网络标识符留存，诊断日志不得记录代理凭据或客户数据。
下一步可执行多区域路由策略测试、代理地理定位共识测试和DNS TTL 故障切换验证。
资料说明：互联网工程任务组 RFC 7050，2013 年 11 月；RFC 8880，2020 年 8 月；RFC 9872，2025 年 9 月。Apple Developer《Supporting IPv6 DNS64/NAT64 Networks》，2026 年 9 月复核。
