国家和北京出台政策，要求国企、文旅公园这类公共网站必须支持 IPv6 网络访问。
这家客户是朝阳区国企运营的大型公园，官网用来给游客发公告、做游览科普。
1.现状问题：网站服务器还是老的 IPv4，没有做好 IPv6 适配。IPv6 网络的用户打开网页，经常图片空白、按钮点不动（行业叫IPv6 天窗问题）。虽然首页能打开，但通不过官方 IPv6 合规检查。
2.改造目标：不用改动现有网站服务器，通过网络设备改造，让用 IPv6 网络的游客可以完整正常浏览整个网站，图片、外链全部正常加载，满足政策要求。
3.主要设备：华为 USG6615E 防火墙（出口双机热备，本次改造核心设备）、USG6625E 防火墙、S12700E 核心交换机、S7706 汇聚交换机。
出口防火墙做 NAT64 协议转换，搭配第三方负载均衡解决网页天窗问题
简单讲：用户是 IPv6 网络，网站服务器还是 IPv4。防火墙充当 “翻译官”，把用户 IPv6 流量翻译成 IPv4 发给网站；网站返回的数据，再翻译回 IPv6 还给用户，网站服务器本身不用做任何改动。
1. 解决网页天窗问题
网页里很多图片、插件是外部第三方资源，这些资源只支持 IPv4。
部署第三方负载均衡 AD 做代理：IPv6 用户访问这些外部资源时，由代理设备帮忙去拉取资源，再转换成 IPv6 返回给用户，解决图片空白问题。
2. 网络部署逻辑
用户访问流程：IPv6 游客 →运营商网络→出口交换机→USG6615E 防火墙（做协议翻译）→内网旧网站服务器 重点：服务器返回的数据必须原路回到防火墙，不然网络会单向不通。
3. 设备调试配置
① 防火墙开启 IPv6 功能，配置公网 IPv6 地址；
② 配置 NAT64 地址池，做好地址翻译规则，外网 IPv6 地址映射到内网网站；
③ 安全策略：只开放网页需要的 80、443 端口，别的端口全部封掉，同时开启访问日志方便排查问题；
④ 防火墙是两台双机热备，主设备坏了备机顶上，保障业务不断。
4. 割接上线和回退预案
上线前完整备份设备配置。一步步配置完成后，先用公网 IPv6 网络测试网页访问，确认全部正常，再修改域名 IPv6 解析正式上线。
一旦出问题，可以快速删掉域名记录、相关配置，回退到改造之前的状态。
1.用户体验：IPv6 网络的游客可以完整打开公园官网，图片、外链资源全部正常，不再出现页面残缺；
2.改造代价：原有网站服务器不用升级改动，减少改造风险；
3.安全稳定：只开放网页必要端口，两台防火墙互为备份，故障不中断业务；访问有日志可以溯源；
4.政策合规：顺利通过 IPv6 官方监测，满足国家、北京市的政策要求，提升公园数字化公共服务能力。