在 2010 年发布 英国政府 IPv6 推广报告 时，英国约 2500 万个域名服务器中只有不到 30 个拥有 IPv6 地址。这一历史起点有助于解释为什么如此多的地址规划、支持流程和资产记录都是围绕 IPv4 构建的。
管理 IP 地址现在意味着维护一个设备可以使用任一协议的网络环境，有时管理员甚至没有察觉到这一点。行之有效的规范是：每个地址都拥有一个负责的拥有者、一份记载明确的路由意图以及一条可追溯的分配记录。冗余路由没有问题，但权责冲突和不明原因的可达性则是不可接受的。
何时使用 DHCP 静态或保留地址
根据 Internet Society 的英国测量数据，2026 年 8 月，在 5,340,321 个被抓取的主机中，54.27% 采用双栈架构，而 45.73% 仍仅支持 IPv4。这些是对抓取主机的测量结果，而不是企业设备的普查，但它们说明了为什么仅包含 IPv4 的库存不再能完整描述网络团队可能遇到的所有设备。
设备可以通过 IPv6 进行通信，而其服务台记录、防火墙对象和事件工作表可能仍仅包含 IPv4。应将双栈视为包含地址历史记录的第二套记录集，而不仅仅是一种路由能力。
在划分子网之前，请先按设备类型选择分配方式。DHCP 会发放有时间限制的地址分配；而保留（reservation）则通过该服务为特定设备提供可预测的固定地址。DHCP 词汇表 在向网络部门之外的同事解释这一区别时提供了有用的参考。
地址分配方法及其适用时机
| 方法 | 适用场景 | 稳定性 | 主要风险 |
|---|---|---|---|
| 动态 DHCP | 访客、承包商、短期入住客户 | 通常通过续约保留；过期后可重新分配利用 | 若无日志，IP 重用会掩盖原持有者身份 |
| DHCP 保留 | 打印机、接入点、摄像头、IoT 设备 | 固定地址仍由 DHCP 分配 | 设备离线后留下失效的保留记录 |
| 静态配置 | 路由器、防火墙、DNS、带外管理 | 永久有效，直至手动更改 | 无所有者记录的孤立地址 |
| SLAAC | /64 子网上的普通 IPv6 客户端 | 稳定地址可与轮换的隐私地址共存 | 若 IPAM 未记录，主机将不可见 |
| DHCPv6 | 需要服务端分配记录的受支持 IPv6 客户端 | 带有服务端记录的租约 | 若 DNS 未随租约同步更新，会导致范围漂移 |
使租约与设备行为模式相匹配
租约并不意味着每次续约都要更改地址。客户端通常会续订其已持有的地址，因此请勿将 DHCP 频繁变动作为安全控制手段。
对于一个假设的场所，8 小时的访客租约可能适合白天光顾的访客，而员工局域网的租约可以从 1 到 7 天开始。这些只是配置起点，而不是合规性门槛。在调整之前，请先对比地址池使用率、续约流量和访客模式。
对需要稳定地址但仍应保持中央可撤销特性的设备使用保留地址。将手动配置的地址保留在动态地址池之外，并记录负责修改这些地址的管理员。对于必须在没有 DHCP 的情况下启动或保持可管理的底层架构，静态配置是最稳妥的做法。
在 IPv6 上，SLAAC 允许客户端根据公告的前缀构造地址。在客户端支持的情况下，DHCPv6 可以提供分配记录，但它不能替代用于默认路由器发现的路由器公告，也不能自动识别个人。
分配规则： 为每个设备类指定一个默认方法，然后记录例外情况的负责人和原因。
为每个当前的 VLAN 标记其选定的方法。混合用途的 VLAN 可能需要单独且书面化的分类，而不是强制要求每台设备都必须以完全相同的方式运行。
如何规划子网大小并留出扩展空间
根据可同时连接的设备数量进行容量规划，包括备用设备、临时客户端和基础设施。不要仅仅因为另一个站点使用了某个前缀就直接套用。
按网络区域划分的默认前缀大小
这些是工程设计的起点。在采用某行方案之前，请先核实主机需求、云保留和平台支持情况。
| 区域 | IPv4 规划 | IPv6 规划 | 规划说明 |
|---|---|---|---|
| 员工或用户 LAN | /23 或 /24 | /64 | 在 VLAN 填满之前保留下一个网段 |
| 访客 WiFi | 繁忙场所使用 /22 | /64 | 租期短，且无通往员工或服务器的路由 |
| 服务器和基础设施 | /24 或更小，主要是静态地址 | /64 | 正向和反向 DNS 中命名每个受管主机 |
| 管理和带外 | /26 或 /27 | /64 | 不向访客路由，也不直接暴露给互联网 |
| 点对点链路 | /31 | /127 | 仅在两个端点均支持时使用 |
| 场所聚合 | 每个场所一个可汇总的网段 | 通常每个场所一个 /48 | 宣告汇总网段，而不是每个 VLAN |
| 云 VPC 或 VNet | 不重叠的 RFC1918 空间 | 提供商 IPv6 分配 | 在每次合并或对等连接之前检查重叠 |
使用 子网计算器 来核对网段边界和容量，而不是凭记忆计算前缀。对于普通的 IPv4 局域网，请注意区分总地址数和可分配的主机地址数；云平台可能还会预留额外的地址。
对于 IPv6，NHS England 的地址指南 指定了 128 位地址和标准的 64 位子网大小。对于普通的 LAN 和安全网段，请使用 /64，而不是为了节省地址空间而采用更小的客户端子网。
在填充内容之前先构建层级结构
为每个站点分配一个对齐的 IPv4 汇总块。在分配条件允许的情况下，也为其分配一个 IPv6 聚合块，然后在这些边界内划分 VLAN 前缀。
为用户网络预留邻近且对齐正确的增长块。仅凭相邻并不能保证两个前缀可以合并为一个更大的前缀，因此在承诺无痛扩展之前，请检查二进制边界。
私有地址空间并非全球唯一。办公室、收购的企业和云项目可能会独立选择重叠的网段，直到有人请求对等连接时才发现冲突。
单站点草图无需列出单独的地址即可保持清晰易读：
| VLAN 角色 | 已分配前缀 | 父地址块 | 增长保留 |
|---|---|---|---|
| 员工 | /24 | 站点 IPv4 汇总 | 相邻对齐的 /24 |
| 访客 | /22 | 站点 IPv4 汇总 | 独立对齐的 /22 |
| 管理 | /27 | 站点 IPv4 汇总 | 相邻对齐的 /27 |
| IPv6 客户端网段 | 每个 /64 | 站点 IPv6 聚合 | 未分配的网段前缀 |
路由汇总只是为了路由配置的便利，并不意味着赋予每个区域互相通信的权限。请保持访客、管理和服务器策略边界清晰明确。
如何构建受版本控制的地址清单
只有当地址资产清单既能反映计划分配情况又能反映实时配置时，它才是有效的。IP 地址管理 (IPAM) 记录了谁拥有每个前缀、它所支持的业务以及其地址信息出现在何处。请为每个地址保持单一所有者、单一预期的路由以及一条可追溯的记录。
记录前缀、所有者、业务用途、站点、安全区域、分配方法和审查日期。包含临时分配的到期日期，以及公共块的注册表和路由引用。对库存进行版本控制，使每次更改都有审批和明确的差异比对。
按可重复的顺序协调配置
- 注册局记录。 确认组织有权使用的公网分配。
- DNS 区域。 导出正向和反向记录，包括陈旧的 A 和 AAAA 记录。
- DHCP 记录。 收集租约、保留、排除项和 DHCPv6 分配。
- 防火墙和 NAT 对象。 记录转换后的地址、发布的服务和管理规则。
- 云网络。 导出跨相关账户或订阅的 VPC、VNet 和子网分配。
- 路由状态。 将已配置的通告与已学到和已安装的路由进行对比。
最新的导出文件不一定具有权威性。未记录的云子网可能是合法的；而旧的防火墙对象可能会暴露一个当前没有所有者的服务。将每个不匹配项分配给能够确认其用途的人员。
使用明确的生命周期状态，例如已分配、已预留、活跃、已废弃和外部暴露。将暴露视为一个单独的标识：活跃的子网同时也可以是外部暴露的。
核实表面上闲置的资源
检查组织拥有或获准评估的每个地址范围，包括被认为未使用的范围。这有助于在不超出批准边界的前提下，发现遗忘的地址分配和服务。英国国家网络安全中心（NCSC）针对 OT 网络隔离的安全连接指南 侧重于隔离运营技术网络；它并不要求组织对公共地址空间进行扫描。
根据已在授权范围内的来源核对记录，例如 DNS 区域、云网络配置、路由记录和邻居信息。对于敏感或运营技术设备，请遵循组织批准的评估程序。
记录每个 VLAN 代表的边界，包括其前缀和允许的路径。对于英国公共部门环境，记录 PSN 等受限服务是否与计划的地址配置兼容。
将操作程序与库存保存在一起。技术文档软件 有助于组织导出、对账和异常处理程序，而 IPAM 仍然是地址所有权的权威依据。
没有负责人的子网代表着未解决的运维风险。
自动检查预期的网段重叠、缺失负责人以及不一致的 DNS 或策略记录。将实时偏差标记出来供审核，而不是自动删除意料之外的生产路由。
每个地址都应有明确的责任人、预期的路由和可追溯的变更记录。切勿将凭据和可识别的租约历史记录存放在广泛公开的文档库中。
如何分配和回收地址
对服务器、访客网络扩展或云子网使用相同的变更路径。虽然实施方式有所不同，但不能因为部署是自动化的，就省略批准、证据和收回要求。
遵循分配生命周期
- 提交申请。指明所有者、用途、场所、协议和所需的有效期限。确认任何入站连接或供应商依赖项。
- 在场所汇总中检查库存，确认是否存在重叠和容量情况。确认设备类别的分配方法。
- 配置前先预留。记录前缀、到期或复核日期以及变更编号，以便并行申请不会占用该资源。
- 创建或扩展 DHCP 作用域、预留或静态记录。对于双栈网段，配置经批准的 DHCPv6 或 SLAAC 安排。
- 在适当的情况下发布正向和反向 DNS。仅在服务通过 IPv6 测试后才释放 AAAA 记录。
- 从经批准的分配中更新防火墙、NAT 和路由对象。验证预期的源、目的地和返回路径。
- 通过目录和 WiFi 控制器应用客户端访问策略。将员工和访客映射到其获授权的 VLAN，而不是依赖共享密码。
- 捕获凭据。确认租约或邻居表项、DNS 响应以及可与用户、设备或工单关联的分配事件。
- 到期后，删除分配和依赖对象，然后将该前缀标记为已弃用。在将其返回地址池之前，验证残留流量和依赖项已停止。
生命周期图总结了变更控制，但不能替代详细的检查清单。
如果该地址将用于发送电子邮件，请在启用前进行信誉检查。MailGenius 的 邮件黑名单查询 工具可以识别已被列入黑名单的发件地址，不过干净的查询结果并不能完全保证送达率，也无法取代规范的邮件认证。
明确分配事件的责任归属
重复使用后，仅凭地址无法识别其持有者。保留分配的开始和结束时间、协议、设备标识符和相关认证引用，并在 DHCP、RADIUS、控制器和 DNS 中使用统一的时间源。
历史上的 2009 年英国数据保留（欧洲共同体指令）法规 要求公共通信提供商保留特定的通信数据 12 个月，包括具有时间关联的订阅者分配信息。该框架已被取代和修订；它并非针对企业网络的通用现行保留规则。
根据适用的合规义务和业务需求设定保留期限。限制访问权限、保护完整性，并测试获得授权的调查人员是否可以在不暴露无关用户记录的情况下重建分配过程。
对于经过转换的连接，请保留归因所需的映射详细信息，包括共享地址的端口。单次分配事件只是起点，不能替代认证和转换证据。
在保留、租用、转换或重编号之间做出选择
从无法移除的 IPv4 服务开始：合作伙伴连接、供应商白名单、VPN 端点和遗留应用程序。这些依赖关系确定了您的网络资产所需的最小稳定公网占用空间。
为每个环境选择适合的方案，而不是为整个企业制定单一的标准。访客网络和面向供应商的服务具有不同的入站访问、归因和业务连续性要求。
IPv4 保留、租用、转换和重编号选项
| 选项 | 适用场景 | 主要风险 |
|---|---|---|
| 保留自有 IPv4 | 现有的公共空间涵盖合作伙伴、供应商和旧版服务 | 未使用的地址块除非被扫描和记录，否则会被隐藏 |
| 租赁 IPv4 空间 | 存在实际增长需求，且地址块可以记录所有者和路由 | 租赁的范围偏离注册表和路由记录 |
| 运营商级 NAT | 客户端仅需要出站访问权限，且仍可记录归属信息 | 共享地址会使按用户记录日志和入站服务复杂化 |
| 双栈 IPv6 | 服务和客户端已支持 IPv6 并具备匹配的控制措施 | 如果控制措施跟不上，会出现额外的地址记录和绕过风险 |
| 重新编号 | 无法形成汇总或 RFC1918 范围与 VPC 冲突 | 服务中断风险以及应用程序中的硬编码地址问题 |
根据依赖关系而非便利程度进行选择
当您能够为其使用提供合理理由并维护其路由权威时，保留自有的地址空间是有意义的。不要仅仅因为管理员尚未清理未使用的分配，就购买或租用更多地址。
对于租用的网段，请记录出租方、许可用途、路由安排、续约条件和撤回流程。提前规划如果租赁结束，供应商白名单和外部发布的端点将如何变更。在获得适当一方授权进行宣告之前，一个表面上可用的网段并不能直接进行部署。
运营商级 NAT 适合某些出站客户端群体，但它会引入共享地址行为。在将其作为节省措施之前，请先检查应用程序兼容性、端口容量以及关联转换会话的能力。
重新编号通常是解决重叠私有网络更彻底的长期方案。假设一家新收购的酒店的管理网段与云端 VPC 发生冲突：网络地址转换或许能暂时恢复一条狭窄的服务路径，但它无法生成清晰的站点汇总，也无法从应用程序中移除嵌入的地址。
决策评估： 选择您能够安全运维、属性归因和安全撤销的方案，而不仅是配置最快的方案。
对于通过兼容性和运维检查的新环境，请使用双栈。在受限的供应商路径需求发生变化之前，让其保持使用 IPv4。
记录每个网段块的决策，包括证明其合理性的依赖关系以及允许收回的条件。这能为下一位管理员提供保留该分配的理由，或者证明是时候将其删除的证据。
部署双栈且不引入 IPv6 绕过风险
根据 Geoff Huston 的地址报告，2025 年全球区域注册系统内转移了大约 3300 万个 IPv4 地址。这种持续的转移活动是一个有价值的提醒，表明 IPv6 的部署并不会立即消除对 IPv4 的商业和运营依赖。
将 IPv6 作为受控项目来运行。首先盘点应用程序和依赖项，查找内嵌的 IPv4 字面量、特定于协议的 ACL、监控假设以及需要固定 IPv4 终宿端的供应商。
对每次扩展设立把关机制
在具备明确回滚方案的前提下，先对低风险网段进行试点。测试面向用户的实际业务交易，而不仅仅是 ping 通成功，并在扩大部署之前验证故障转移、身份控制和事件可见性。
- 控制发布。 在应用测试、防火墙策略和日志记录获得批准之前，暂不发布 AAAA 记录。必须包含外部路径，而不仅仅是内部访问。
- 使用适当的交换机控制措施保护路由器通告（RA），例如在支持的设备上启用 RA Guard。将预期的 IPv4 安全策略转换为 IPv6 规则，包含必要的 ICMPv6，而不是一味进行盲目拦截。
- 在 SIEM 中实现地址标准化。 相同的文本形式必须保持一致的相关性。仅靠标准化无法关联轮换的隐私地址，因此还需要保留设备和身份上下文。
- 记录每个 VLAN 所选择的 SLAAC 或 DHCPv6 方式。如果两者同时按预期运行，请记录各自的角色以及网络发现如何覆盖这两者。
- 为服务台提供脚本，可将地址解析为其对应的设备、分配周期、前缀和已应用的策略。包含对每种协议的单独测试，以免故障转移掩盖了已损坏的路径。
分别评估就绪状态与依赖关系
对照上线范围内的资产和服务来跟踪技术就绪情况。将 IPv4 依赖项作为单独的台账进行记录，并为每个残留服务指定负责人和移除条件。
- 发现覆盖范围。 每一个在范围内且支持 IPv6 的资产都有可发现的记录和明确的负责所有者。
- 路由和 DNS 一致性。 通告的前缀和发布的记录与批准的配置一致，且差异已被解决。
- 策略覆盖范围。 每一项必需的控制措施都具有 IPv6 实现和已记录的测试结果。
- 暴露异常。 没有解释不清或未经批准的外部可达 IPv6 服务。
- 减少依赖。 登记册显示了哪些服务已不再需要 IPv4，并由事务和故障转移测试提供支持。
不要仅仅因为客户端首选 IPv6 就宣称成功。只有当管理员无需回退到仅限 IPv4 的程序就能对网段进行操作、故障排除和控制安全事件时，才表明该网段已准备就绪。
只有在服务负责人确认正常运行、恢复和供应商连接不再依赖 IPv4 之后，才能停用 IPv4。在该停用测试完成之前，请保留回滚凭据。
让单一系统归口管理所有地址
在添加另一个电子表格之前，请先选择一个单一事实来源系统（system of record）。它应当包含经批准的前缀、所有者、分配方法和生命周期日期，而 DHCP、DNS、防火墙和云账户则提供实施证据。
系统本身并不是承担责任的负责人。请指定一名网络负责人来维护分配策略，并将子网职责下发给能够批准变更和解决疑难问题的具体人员。
在附加接入角色前对站点进行协调与确认
从单个受控站点开始，而不是直接进行全网范围的迁移。导出其作用域、保留地址、静态主机和已连接的云网段，然后将差异转化为受控的工作队列。
- 标记不确定性。 识别重叠、无所有者的分配以及无人能解释其用途的对象。
- 在重新编号前进行调查。 仅在检查依赖关系和流量之后，才对无所有者的范围进行记录或注销。
- 附加网络角色。 将站点的 VLAN 映射到批准的前缀，并区分访客、员工、管理和租户访问权限。
- 测试身份变更。 确认入职、角色变更和撤销能够生成预期的访问策略和可用的审计证据。
目录账户识别个人；DHCP 租约识别分配。请通过认证和控制器事件将这些记录相关联，而不是假设某个地址永久属于某位员工。
保持无线身份层相互独立
在无线接入需要身份验证层的场景中，我们将 Purple 作为云端覆盖层运行在场所现有的接入点上，因此无需拆除和更换现有的设备。我们的平台可提供访客 WiFi、员工 802.1X 安全防护以及 xPSK 私有局域网功能，通过云 RADIUS 替代 FreeRADIUS 或 Windows NPS，从而避免本地认证服务器需要打补丁或进行故障转移。
兼容性取决于控制器的 RADIUS、授权变更 (CoA) 以及围墙花园 (walled-garden) 支持。这是无线身份层面的划分，并不能替代 IPAM、路由控制或地址生命周期记录。
保持分配权威机构与身份验证服务相互独立，并设立清晰的集成边界。访问角色应当是选择一个已批准的网络，而不是创建一个未归档的子网。
明确地址规划的负责人，并在为其分配 WiFi 角色之前先核对好第一个站点。这能为管理员提供坚实的基础，在扩展访问权限的同时不会增加不确定性。
Purple 在现有接入点上提供基于身份的访客、员工和私有网络接入，帮助您将无线接入决策与已记录的网络计划联系起来。访问 Purple 探讨您的控制器兼容性，以及无线身份层如何融入您的地址管理流程。
