DDoS防护页面显示“已开启”，不等于IPv6请求已经经过防护。验证DDoS防护服务对IPv6业务的支持能力验证，要先确认IPv6流量实际走哪条路，再核对拦截效果和费用如何计算。尤其是双栈业务，IPv4正常而IPv6绕过防护、回源失败或计费口径不同，都可能让结论失真。
先画出IPv6请求的实际路径
一条常见路径是：用户设备通过IPv6访问域名，DNS返回AAAA记录，流量进入防护服务或边缘节点，再转发到源站。若域名同时有A记录，客户端可能优先使用其中一种协议；只测试域名首页，无法证明IPv6链路已被验证。
先记录域名的AAAA记录、业务入口地址、源站地址，以及防护服务是否接管IPv6入口。可分别从具备IPv6连接的网络使用 dig AAAA 查询解析结果、用 curl -6 -I 请求站点，并用 traceroute -6 观察路由。结果受本地网络、解析缓存和运营商路由影响，宜从至少两个不同网络复核。
同时确认回源协议和源站监听地址。入口支持IPv6，不代表源站也必须直接暴露IPv6：有的架构在边缘终止IPv6连接，再通过IPv4回源；关键是供应商明确说明支持方式，并能提供与本业务对应的配置和日志证据。
用分层检查验证防护效果
检查地址与策略覆盖
核对防护规则是否应用于实际的IPv6入口及对应主机名，而不是仅绑定IPv4地址。IPv6地址范围通常以CIDR前缀表达；逐项检查业务前缀、端口和协议范围，确认规则变更后没有遗漏新入口。还要问清日志是否保留原始客户端IPv6地址，还是显示代理节点地址，以免误判来源。
检查正常流量和异常处理
在已授权、可回滚的测试环境中，先建立正常基线：记录IPv6请求成功率、响应时间、源站连接情况和防护日志。再与服务商约定测试窗口及安全边界，通过其认可的测试方式验证告警、限速或清洗流程；不要自行向公网发起洪泛流量。测试后比对入口计数、拦截记录和源站日志，确认攻击流量被处理的同时，正常请求仍能到达。
IPv6使用ICMPv6完成邻居发现等网络功能，不能把“拦截ICMP”当作通用防护办法。还应检查路径MTU发现是否正常：IPv6链路的最小MTU为1280字节，若必要的差错报文被不当过滤，可能出现小请求成功、大响应卡住等问题。对TCP连接耗尽、UDP流量异常等风险，应分别确认服务商支持的检测范围与处置方式，不能仅凭“支持IPv6”字样推断所有攻击类型都覆盖。
把测试结果与费用口径对齐
DDoS防护服务对IPv6业务的支持能力验证还要核对合同、控制台和账单的定义是否一致。不同服务可能按防护带宽、清洗流量、业务实例、请求量或固定套餐计费；IPv6流量是否计入同一额度、超额后如何处置，应逐项询问并留存书面说明。不要把“防护容量”直接等同于可免费使用的业务带宽。
| 核对项 | 需要确认的内容 |
|---|---|
| 流量范围 | IPv6入站、回源和清洗后的流量分别如何统计。 |
| 计费单位 | 按带宽峰值、流量、请求量还是实例收费；峰值采样周期和超额规则是什么。 |
| 服务边界 | 是否包含IPv6入口、回源、日志和故障支持，哪些能力需要另行配置。 |
| 故障处理 | 清洗异常、误拦截或配置错误时，谁能操作，如何恢复并验证。 |
比较服务时，固定费用较易预算，但要确认容量与支持范围；按量费用更贴近实际使用，却可能随突发流量变化。具体成本取决于合同、流量形态和计量规则，不宜只比较报价中的单一带宽数字。
按清单完成一次验证
- 列出业务域名、AAAA记录、入口和源站，标明IPv6是否经过防护节点。
- 从IPv6网络分别测试DNS解析、连接、响应和关键业务操作，并保存时间、网络位置及结果。
- 与服务商确认受控测试范围，检查日志、告警、拦截动作和恢复流程。
- 对照账单规则核实IPv6流量、清洗流量和超额处理方式，形成书面结论。
最终报告应写明哪些IPv6入口已覆盖、哪些攻击类型经过验证、测试环境有哪些限制，以及费用适用条件。这样的DDoS防护服务对IPv6业务的支持能力验证，比单看产品宣传或开关状态更能支持上线与采购决策。
常见问题
有AAAA记录，就说明防护生效了吗？
不是。AAAA只说明域名发布了IPv6地址，还需确认该地址对应的流量经过防护，并能从IPv6网络完成实际业务请求。
源站没有公网IPv6，还能提供IPv6防护吗？
可能可以由边缘节点接收IPv6流量后再回源，但要核实服务架构、回源协议、源站可达性和日志字段，不能仅凭入口支持作判断。
验证时能否直接模拟大流量攻击？
不应未经授权这样做。应先取得服务商和业务负责方许可，限定测试环境、时段和强度，并优先使用服务商认可的演练方式。