當 英國政府的 IPv6 推廣報告 於 2010 年發布時，在英國約 2500 萬個名稱伺服器中，擁有 IPv6 位址的不到 30 個。這個歷史起點有助於解釋為什麼會有如此多的 IP 位址規劃、支援流程和資產記錄都是圍繞著 IPv4 建置的。
管理 IP 位址現在意味著維護一個裝置可以使用任一協定的環境，有時管理員甚至並未察覺。最佳的管理原則是每個 IP 位址都必須有唯一的負責所有人、一個記錄在案的路由意圖，以及一份可追溯的分配記錄。冗餘路由完全沒有問題；但產權衝突與原因不明的可達性則不被允許。
何時使用 DHCP 靜態或預留位址
根據 Internet Society 的英國測量結果，2026 年 8 月，在 5,340,321 個被檢索的主機中，有 54.27% 為雙堆疊，而 45.73% 仍僅支援 IPv4。這些是對檢索主機的測量結果，並非企業裝置的全查普查，但它們說明了為何僅有 IPv4 的資產清單已無法完整描述網路團隊可能遇到的所有狀況。
當裝置透過 IPv6 進行通訊時，其服務台記錄、防火牆物件和事件工作表可能仍僅包含 IPv4。請將雙軌堆疊（dual-stack）視為第二套記錄集（包含位址歷史記錄），而不僅僅是一種路由功能。
在劃分子網路之前，請先依裝置類別選擇分配方法。DHCP 會發放具備時間限制的 IP 位址分配；而預留（Reservation）則能透過相同的服務賦予特定裝置可預測的 IP 位址。DHCP 詞彙表 在向網路團隊以外的同事解釋此差異時，提供了非常有用的參考。
位址指派方法與使用時機
| 方法 | 適用對象 | 穩定度 | 主要風險 |
|---|---|---|---|
| 動態 DHCP | 訪客、承包商、短期停留的用戶端 | 通常可在續約時保留；到期後可重複使用 | 無紀錄情況下的重複使用會隱藏 address 的持有人 |
| DHCP 預留 | 印表機、無線基地台、攝影機、IoT | 固定 address 仍由 DHCP 發放 | 裝置離開後留下過期的預留紀錄 |
| 靜態設定 | 路由器、防火牆、DNS、頻外管理 | 永久有效，直到手動變更 | 無擁有者紀錄的孤立 address |
| SLAAC | 在 /64 上的一般 IPv6 用戶端 | 穩定的 address 可能與輪替的隱私 address 共存 | 若 IPAM 未曾偵測到 host，則 host 將無法被視見 |
| DHCPv6 | 需要伺服器端分配紀錄的受支援 IPv6 用戶端 | 帶有伺服器端紀錄的 Lease | 若 DNS 未隨 lease 更新，會導致 Scope 偏移 |
使租約期搭配裝置行為模式
租約在每次續約時並不一定會強制變更 IP 位址。用戶端通常會續租已持有的位址，因此請勿將 DHCP 頻繁更換位址視為安全控制手段。
假設對於某個場地，八小時的訪客租約可能適合白天訪客，而員工區域網路則可以從一到七天的租約開始。這些是設定的起始點，而非合規門檻。在調整之前，請先比較池佔用率、續約流量與造訪模式。
針對需要穩定定址但仍需保持可集中撤銷的設備使用保留區。將手動設定的位址保留在動態池之外，並記錄負責變更這些位址的管理者。對於必須在沒有 DHCP 的情況下啟動或保持可管理的基礎架構而言，靜態設定是最合理的做法。
在 IPv6 上，SLAAC 允許用戶端從通告的前綴建構位址。在用戶端支援的情況下，DHCPv6 可以提供指派記錄，但它無法取代用於預設路由器探索的路由器通告，也無法自動辨識特定人員。
指派規則：為每個裝置類別提供預設方法，並記錄例外狀況的負責人與原因。
為每個目前的 VLAN 標籤其選擇的方法。混合用途的 VLAN 可能需要獨立且記載於檔案中的類別，而非採用要求每台裝置行為必須完全相同的的人為規則。
如何規劃子網路大小並預留成長空間
請依據可同時連線的裝置數量來估算規模，包含替換裝置、過渡性用戶端與基礎設施。不要僅因為另一個據點使用了某個前綴就直接採用。
依網路區域劃分的預設前綴大小
這些是工程起點。採用任何列出的方案前，請先驗證主機需求、雲端預留空間與平台支援度。
| 區域 | IPv4 規劃 | IPv6 規劃 | 規劃備註 |
|---|---|---|---|
| 員工或使用者 LAN | /23 或 /24 | /64 | 在 VLAN 填滿前，預留下一個區塊空間 |
| 訪客 WiFi | 繁忙場館使用 /22 | /64 | 短租約且不提供連至員工或伺服器的路由 |
| 伺服器與基礎架構 | /24 或更小，大多為靜態 | /64 | 每個受管理的主機皆在正向與反向 DNS 中命名 |
| 管理與帶外 (Out-of-band) | /26 或 /27 | /64 | 不路由至訪客，亦不直接暴露於網際網路 |
| 點對點連線 | /31 | /127 | 僅在兩個端點皆支援時使用 |
| 據點聚合 | 每個據點一個可摘要的區塊 | 通常每個據點一個 /48 | 宣告摘要，而非每個 VLAN |
| 雲端 VPC 或 VNet | 不重疊的 RFC1918 空間 | 業者提供之 IPv6 分配 | 在每次合併或對等連線之前檢查重疊狀況 |
請使用 子網路計算機 來檢查邊界與容量，而不是憑記憶進行字首算術。對於一般的 IPv4 區域網路，請區分總位址與可指派的主機位址；雲端平台可能會預留額外的位址。
針對 IPv6，NHS England 的定址指引 指定了 128 位元位址和標準的 64 位元子網路大小。一般 LAN 和安全區隔請使用 /64，而不是為了節省位址空間而使用更小的用戶端子網路。
在填入內容前先建立階層結構
為每個據點提供一致的 IPv4 彙整區塊。在配額允許的情況下，也請提供 IPv6 彙整區塊，並在這些邊界內劃分 VLAN 前綴。
為使用者網路預留相鄰且正確對齊的成長區塊。單憑相鄰性無法保證兩個前綴能合併為更大的前綴，因此在承諾無痛擴充之前，請先確認二進位邊界。
私有位址空間並非全球唯一。分公司、收購的企業與雲端專案可能會各自選擇重疊的範圍，並在有人請求對等連線（peering）時才發現衝突。
單一據點草圖無需列出個別位址即可保持可讀性：
| VLAN 角色 | 配額前綴 | 父級區塊 | 成長預留空間 |
|---|---|---|---|
| 員工 | /24 | 站點 IPv4 彙整 | 相鄰對齊的 /24 |
| 訪客 | /22 | 站點 IPv4 彙整 | 獨立對齊的 /22 |
| 管理 | /27 | 站點 IPv4 彙整 | 相鄰對齊的 /27 |
| IPv6 用戶端網段 | 各 /64 | 站點 IPv6 聚合 | 未分配的網段前綴 |
摘要（summary）是為了路由便利性，並非允許每個區域相互通訊。請保持訪客、管理與伺服器策略邊界清晰明確。
如何建立版本控制的位址清冊
位址清冊只有在同時反映預期分配與即時設定時才有用。IP 位址管理 (IPAM) 會記錄誰擁有每個字首、其支援的內容以及其位址資訊出現的位置。為每個位址保持單一擁有者、單一預期路由與單一可追蹤的記錄。
記錄前綴、所有者、業務目的、站點、安全性分區、指派方式和審查日期。包含臨時分配的到期日，以及公有區塊的註冊表與路由參考。進行清冊版本控制，讓每次變更都擁有核准記錄與有意義的差異比對。
以可重複的順序調和配置
- 註冊表紀錄。 確認組織有權使用的公用分配。
- DNS 區域。 匯出正向與反向紀錄，包含過期的 A 和 AAAA 項目。
- DHCP 紀錄。 收集 lease、預留、排除項目與 DHCPv6 分配。
- 防火牆與 NAT 物件。 記錄轉換後的 address、發布的服務和管理規則。
- 雲端網路。 匯出相關帳號或訂閱中的 VPC、VNet 與子網路分配。
- 路由狀態。 將已設定的宣告與已學習並安裝的路由進行比較。
最新的匯出資料不一定具有權威性。未記錄的雲端子網路可能是合法的；舊的防火牆物件可能會暴露目前沒有擁有者的服務。請將每個不吻合之處指派給能確認其用途的人員。
使用明確的生命週期狀態，例如 已分配 (allocated)、預留 (reserved)、作用中 (active)、已廢棄 (deprecated) 以及 外部暴露 (externally exposed)。請將暴露狀態視為獨立標籤：作用中的子網路同時也可能處於外部暴露狀態。
驗證看似空白的項目
檢查組織擁有或獲授權評估的每個 IP 位址範圍，包括被認為未在使用中的範圍。這有助於在不超出獲准邊界的情況下，發現被遺忘的分配與服務。英國國家網路安全中心（NCSC）的 OT 網路區隔安全連線指引 著重於營運技術網路的隔離；並非指示組織去掃描公有 IP 位址空間。
根據已在授權範圍內的來源確認記錄，例如 DNS 區段、雲端網路設定、路由記錄和鄰居資訊。對於敏感或營運技術（OT）設備，請遵循組織核准的評估程序。
記錄每個 VLAN 所代表的邊界，包含其前綴和允許的路徑。對於英國公用事業部門環境，請記錄受限服務（例如 PSN）是否與預計的位址設定相容。
將作業程序與清冊一併妥善保存。技術文件軟體 有助於整理匯出、對帳和異常處理程序，而 IPAM 仍是位址所有權的權威來源。
沒有負責人的子網路就是未解決的維運風險。
針對預期的重疊、遺失的擁有者以及不一致的 DNS 或策略記錄自動進行檢查。標示即時偏離以供審查，而非自動刪除未預期的正式環境路由。
每個位址都應具備一位負責的擁有者、一條預期路由與可追溯的變更記錄。請勿將憑證與可識別的租約歷史記錄存放於可廣泛存取的說明檔案庫中。
如何分配與退役位址
對伺服器、訪客網路擴充或雲端子網路使用相同的變更路徑。雖然實作方式不同，但不能因為部署自動化，就忽視核准、證據與收回等要求。
遵循分配生命週期
- 提出申請。 指明擁有者、用途、據點、協定與所需的有效期限。確認任何輸入連線或供應商相依性。
- 檢查資產清單，並在據點摘要中確認是否有重疊與容量狀況。確認該裝置類別的指派方式。
- 設定前先預留。 記錄字首、到期日或審查日期，以及變更參考號碼，避免平行申請重複佔用。
- 建立或擴充 DHCP 範圍、預留或靜態記錄。對於雙堆疊區段，請設定經核准的 DHCPv6 或 SLAAC 安排。
- 在適當之處發佈正向與反向 DNS。僅在服務通過 IPv6 測試後才釋出 AAAA 記錄。
- 根據核准的分配更新防火牆、NAT 與路由物件。驗證預期的來源、目的地與回傳路徑。
- 透過目錄與 WiFi 控制器套用用戶端存取策略。將員工與訪客對映至其獲授權的 VLAN，而非依賴共用複雜密碼。
- 擷取證據。 確認租約或鄰居項目、DNS 回應，以及可與使用者、裝置或工單相關聯的分配事件。
- 到期時，移除分配與相依物件，接著將字首標示為廢棄。在將其歸還至位址池之前，請先確認殘留流量與相依性皆已停止。
生命週期圖摘要說明了變更控制流程，但並未取代詳細的檢查清單。
如果該位址將用於傳送電子郵件，請在啟用前進行信譽檢查。MailGenius 的 電子郵件黑名單查詢 可以識別列出清單中的傳送位址，不過乾淨的結果並不保證能成功送達，也不能取代適當的郵件驗證。
建立分配事件的權責歸屬
位址重複使用後，單憑位址無法識別其持有者。請保留指派的開始與結束時間、通訊協定、裝置識別碼和相關驗證參考，並針對 DHCP、RADIUS、控制器和 DNS 使用統一的時間來源。
歷史上的 英國資料保留（歐盟指令）法規 2009 曾要求公眾通訊提供業者將指定的通訊資料保留 12 個月，包括附帶時間戳記的用戶分配資訊。該框架此後已被廢止與修訂；它並不是企業網路當前通用的強制資料保留規則。
根據適用的合規義務與業務需求設定保留期限。限制存取權限、保護完整性，並測試獲得授權的調查人員是否能在不暴露無關使用者記錄的情況下，重建指派過程。
對於轉譯後的連線，請保留歸因所需的對照詳細資料，包括共享位址的連接埠。單一分配事件只是起點，無法替代驗證與轉譯證據。
選擇保留、租賃、轉換或重新編址
從您無法移除的 IPv4 服務開始：合作夥伴連線、供應商允許清單、VPN 端點和舊版應用程式。這些相依性確立了您資產所需的最小穩定公用網路足跡。
請依據個別環境選擇方案，而不是全公司採用單一標準。訪客網路與面向供應商的服務，在網入存取、歸因和營運持續性方面有著不同的需求。
IPv4 保留、租賃、轉換與重新編址選項
| 選項 | 適用時機 | 主要風險 |
|---|---|---|
| 保留既有 IPv4 | 現有的公有位址空間涵蓋合作夥伴、供應商與舊版服務 | 未使用的區塊除非經過掃描與記錄，否則容易被忽視 |
| 租用 IPv4 空間 | 有實質成長需求，且該區塊可記錄擁有者與路由資訊 | 租用的位址範圍可能與註冊表及路由記錄產生偏差 |
| 電信級 NAT | 用戶端僅需要外連存取，且仍可記錄歸屬資訊 | 共享位址會使單一使用者記錄與進站服務變得複雜 |
| 雙層協定堆疊 IPv6 | 服務與用戶端已具備 IPv6 支援能力並配置相符的控管機制 | 若控管機制跟不上，可能增加額外位址記錄與繞過風險 |
| 重新編號 | 無法形成彙整，或是 RFC1918 範圍與 VPC 發生衝突 | 服務中斷風險以及應用程式中硬編碼的位址問題 |
依相依性而非方便性進行選擇
當您可以證明其使用的合理性並維持其路由授權時，保留擁有的空間才有意義。不要只因為管理者尚未調和未使用的分配，就購買或租用更多位址。
對於租用的網段，請記錄出租者、允許的用途、路由安排、續約條件與撤回流程。規劃如果租約結束，供應商白名單與外部發布的端點將如何變更。在適當的方授權宣告之前，表面上可用的網段是無法部署的。
電信級 NAT 適合某些外網用戶端群組，但它會引入共用位址行為。在將其視為節約措施之前，請檢查應用程式相容性、連接埠容量以及關聯轉換工作階段的能力。
重新編號通常是解決私有網路重疊問題更乾淨的長期解答。假設某個被收購飯店的管理範圍與雲端 VPC 發生衝突：轉譯或許能暫時復原一條狹窄的服務路徑，但無法產生一致的據點摘要，也無法從應用程式中移除內嵌位址。
決策測試：請選擇您能夠安全維運、歸因與撤銷的選項，而非僅選擇配置速度最快的選項。
針對通過相容性與營運檢查的新環境採用雙堆疊（Dual-stack）。在受限的供應商路徑需求改變之前，請繼續使用 IPv4。
記錄每個區塊的處置決定，包括合理化該項決定的相依性，以及允許收回的條件。這能為下一位管理者提供保留分配的理由，或是證明該是時候移除該分配的證據。
在不繞過 IPv6 的情況下推廣雙堆疊
根據 Geoff Huston 的 IP 位址報告，2025 年全球區域網際網路註冊機構系統內轉移了約 3,300 萬個 IPv4 位址。這種持續的轉移活動提醒我們，部署 IPv6 並不會立即消除商業與營運上對 IPv4 的依賴。
將 IPv6 作為可控計畫來執行。首先盤點應用程式與相依性，找出嵌入的 IPv4 字面值、特定協定的 ACL、監控假設，以及需要固定 IPv4 端點的供應商。
嚴格把關每次擴充
先對低風險區段進行試點並定義復原計畫。測試面向使用者的交易，而不僅是成功的 ping，並在擴大部署前驗證備援切換、身分控制與事件可視性。
- 控制發布。 在應用程式測試、防火牆策略和記錄稽核通過之前，暫緩發布 AAAA 紀錄。必須包含外部路徑，而非僅限內部存取。
- 使用適當的交換器控制項（例如受支援的 RA Guard）保護路由器公告（Router Advertisement）。將預期的 IPv4 安全策略轉換為 IPv6 規則，包含必要的 ICMPv6，而非無差別地封鎖。
- 在 SIEM 中將 address 進行標準化。 等效的文字形式必須保持一致的關聯。單靠標準化無法連結輪替的隱私 address，因此也必須保留裝置與身分上下文。
- 記錄每個 VLAN 的 SLAAC 或 DHCPv6 選擇。若兩者皆為特意運作，請記錄各自的角色以及偵測機制如何涵蓋兩者。
- 為服務台（helpdesk）提供指令碼，將 address 解析至其裝置、分配期間、前綴和已套用的策略。為每種協定包含獨立的測試，使遞補機制（fallback）不會遮蔽失效的路徑。
分別衡量就緒度與相依性
針對上線部署範圍內的資產與服務追蹤技術準備度。將 IPv4 相依性作為獨立清冊進行追蹤，並為每個剩餘的服務指定擁有者與移除條件。
- 探索涵蓋範圍。 範圍內每個支援 IPv6 的資產皆具備可探索的記錄與明確的負責人。
- 路由與 DNS 一致性。 播送的前綴與發布的記錄符合核准的設定，且已解決所有不一致問題。
- 政策涵蓋範圍。 每項必要的控管機制皆有 IPv6 實作項目與記錄的測試結果。
- 暴露例外情況。 沒有任何可從外部存取的 IPv6 服務處於未說明或未核准狀態。
- 減少依賴性。 名冊顯示哪些服務已不再需要 IPv4，並有交易與備援測試提供支援。
不要因為用戶端偏好 IPv6 就宣稱成功。只有當管理員能夠維運、排除故障並控制安全事件，且無需退回到純 IPv4 流程時，才能宣稱該網段已準備就緒。
僅在服務擁有者確認正常運作、復原與供應商連線不再依賴 IPv4 後，才停用 IPv4。在該停用經過測試之前，請保留復原證據。
讓單一系統成為所有位址的擁有者
在新增另一個試算表之前，請先選擇一個記錄系統。它應該包含經核准的前綴、擁有者、指派方法和生命週期日期，而 DHCP、DNS、防火牆與雲端帳戶則提供實作證據。
系統並非負責任的人類擁有者。請指定一名負責維護分配策略的網路主管，並將子網路責任委派給能夠核准變更與解決疑義的人員。
在套用存取角色前先進行據點調和
從有邊界的據點開始，而不是進行全區移轉。匯出其範疇、預留、靜態主機與已連線的雲端範圍，然後將差異轉化為可控的工作佇列。
- 標示不確定性。 找出重疊、無人負責的配額，以及用途無法說明的物件。
- 重新編號前先調查。 務必在檢查依賴關係與流量後，才對無人負責的範圍進行記錄或淘汰。
- 附加網路角色。 將站點的 VLAN 映照至核准的前綴，並區分訪客、員工、管理員與租戶存取權限。
- 測試身分變更。 確認入職、角色變更與撤銷能產生預期的存取政策與可用的稽核證據。
目錄帳戶用於識別個人；DHCP 租約用於識別指派關係。請透過驗證與控制器事件來連結這些記錄，而不是假設某個位址永久屬於某位員工。
保持無線身分層獨立
在無線存取需要該身分識別層之處，我們將 Purple 作為雲端覆蓋層，運行於場地已擁有的存取點上，因此無需拆除重換。我們的平台提供訪客 WiFi、員工 802.1X 安全性與 xPSK 私人區域網路，並以雲端 RADIUS 取代 FreeRADIUS 或 Windows NPS，因此無需修補或進行區域端驗證伺服器的故障轉移。
相容性取決於控制器的 RADIUS、授權變更（change-of-authorisation）與 Captive Portal 支援。這是無線身分識別切片，並非用於取代 IPAM、路由控制或位址生命週期記錄。
保持分配授權機構與驗證服務相互獨立，並具備明確的整合邊界。存取角色應選擇經過核准的網路，而非建立未記錄的子網路。
指定位址規劃的擁有者，並在為其附加 WiFi 角色之前先調和第一個據點。這能為管理者提供穩固的基礎，在擴展存取的同時不會增加不確定性。
Purple 在現有的存取點上提供基於身分識別的訪客、員工與私人網路存取，協助您將無線存取決策連結至已記錄的網路計畫。請造訪 Purple，以討論您的控制器相容性，以及無線身分識別層如何納入您的位址管理流程。
