上一篇
为什么ipv6回源的CDN经常回源失败，如何解决
排查思路与解决方案
ipv6回源的CDN回源失败，根因多半不在CDN节点，而在源站IPv6链路的连通性、防火墙策略或DNS解析配置上。 直接上文归纳：先验证源站IPv6地址能否从公网直达，再检查CDN回源HOST和协议配置，最后排查防火墙与路由策略。
ipv6回源失败原因有哪些
源站IPv6地址本身不可达
这是最常见的原因,很多源站虽然配了IPv6地址，但机房的路由器没有宣告这条IP段，或者上游运营商没有放行，从公网ping不通，CDN节点自然也就回源失败。
- 用ping6或ping -6测试源站IPv6地址，确认公网可达。
- 使用在线IPv6连通性检测工具,从多个地域测试。
- 检查源站所在机房的IPv6广播状态,部分小机房需要手动提交工单开通。
防火墙或安全组拦截了回源请求
源站防火墙往往只放行了IPv4规则,IPv6的入站策略被遗漏，CDN回源IP段是固定的，但IPv6的规则和IPv4的规则是分开配置的，漏配的情况相当普遍。
- 检查云服务商安全组,确认IPv6入方向放行了80/443端口。
- 检查源站iptables或firewalld规则,查看是否有IPv6相关策略。
- 部分CDN的IPv6回源会走特定端口,需要确认源站监听地址包含[::]。
CDN回源配置与源站实际监听不匹配
源站只监听了IPv4地址,但CDN侧回源方式选择了IPv6，或者反过来，源站是双栈，但CDN回源强制走IPv6，导致连接失败。
DNS解析指向了错误的IPv6地址
源站DNS记录中的AAAA记录过期或配置错误,CDN节点解析到的IPv6地址已经不是源站的真实地址，据统计，这种配置类错误导致的回源失败占比不低。
CDN回源失败怎么排查
第一步：验证源站IPv6基础连通性
| 测试项 | 命令或工具 | 预期结果 |
|---|---|---|
| 本机到源站IPv6 | ping6 240e:xxx:xxxx::1 | 丢包率0%，延迟正常 |
| 检测TCP端口 | telnet 240e:xxx:xxxx::1 443 | 能建立连接 |
| 从外部节点测试 | 在线端口检测工具 | 多个地域均显示开放 |
如果在第一步就失败,说明源站IPv6公网链路有问题，需要先联系机房解决网络问题。
第二步：检查CDN回源配置项
登录CDN控制台,找到回源配置模块，重点核对以下内容：
- 回源地址填写的是IPv6还是域名,如果是域名，域名解析的AAAA记录是否指向源站真实IPv6地址。
- 回源协议是HTTP还是HTTPS,端口是否与源站监听一致。
- 回源HOST是否填写正确,源站是否需要通过HOST区分站点。
第三步：抓包分析回源链路
在源站上执行tcpdump -i eth0 tcp port 443，观察是否有来自CDN节点的SYN包到达，如果抓不到包，说明请求根本没到源站，问题出在中间链路或CDN节点；如果抓到了包但连接中断，则是源站防火墙或应用层问题。
第四步：切换回源方式做对比测试
在CDN控制台将回源方式临时从IPv6切换为IPv4,如果业务恢复正常，基本可以确认问题出在IPv6回源链路上，再用以下命令做进一步判断：
如果这条命令有响应,说明源站本身没问题，问题在CDN节点到源站的IPv6路由；如果超时，则源站IPv6链路肯定有问题。
ipv6回源和ipv4回源区别
- 路由路径不同：IPv4回源经过的是传统互联网骨干网，IPv6回源可能经过不同的运营商互联节点，路径质量存在差异。
- 防火墙配置独立：IPv4和IPv6的防火墙规则完全独立，放行IPv4不意味着放行IPv6。
- NAT环境复杂度不同：IPv4普遍存在NAT，源站内网IP可以隐藏；IPv6一般使用公网IP直连，源站暴露面更大。
- 运营商兼容性差异：部分中小运营商IPv6路由质量较差，跨网回源时丢包率较高，行业共识认为，IPv6回源的稳定性直接取决于源站机房的上游运营商质量。
源站只支持IPv6时的回源配置方案
如果源站只有IPv6地址,而CDN节点不支持IPv6回源，或者回源质量不佳，可以考虑以下方案。
使用CDN的IPv4到IPv6转换能力
部分主流CDN厂商支持回源地址填写IPv6,节点会自动做协议转换，配置时只需在回源地址处直接填写IPv6地址，CDN内部会完成IPv4到IPv6的映射。
源站前置一个双栈代理
在源站前加一台双栈Nginx或负载均衡器,监听IPv4和IPv6，后端指向纯IPv6的源站，CDN回源走IPv4到代理，代理再通过IPv6转发到源站，这种方式能绕开CDN节点的IPv6支持问题。
使用DNS64 + NAT64网关
如果源站完全无法改造,可以在源站前部署NAT64网关，将CDN节点的IPv4回源请求转换为IPv6请求，这种方式需要额外部署设备，适合企业级用户。
检查CDN节点是否强制走AAAA解析
部分CDN在回源时优先解析AAAA记录,如果解析失败或超时，不会自动降级到A记录，这种情况下，需要手动在CDN侧关闭IPv6回源，或者修正源站的AAAA记录。
Q&A：ipv6回源的CDN回源失败如何快速定位
问：ipv6回源失败时，CDN控制台报错码有什么参考价值？
答：常见报错如522表示连接超时，523表示源站不可达，521表示源站拒绝连接，结合报错码可以缩小排查范围，522优先查路由和防火墙，523优先查源站IPv6公网宣告状态，521优先查源站应用监听状态。
问：源站同时有IPv4和IPv6地址，回源配置应该怎么选？
答：如果业务对延迟敏感，建议优先测试两条链路的稳定性，实际操作中，可以先用IPv4回源保证业务稳定，再逐步切换IPv6流量观察一段时间，切换时先在CDN控制台启用回源IPv6，观察源站访问日志确认回源请求确实走IPv6到达，再完全切换。
问：ipv6回源失败影响面有多大，会不会影响IPv4用户访问？
答：如果CDN节点同时支持IPv4和IPv6回源，且配置了自动降级，IPv4用户通常不受影响，但部分CDN节点在回源失败后会触发全局缓存节点异常，导致边缘节点频繁回源重试，间接影响整体访问质量，建议尽快定位并修复IPv6回源问题，避免影响搜索引擎对站点可用性的评估。
