技术帮助 · 发布时间：
网站的 IPv4 页面正常，不代表 IPv6 也经过清洗。客户端可能通过 AAAA 记录直接访问 IPv6 地址；如果该地址未纳入防护，洪泛流量就可能绕过 IPv4 清洗链路。验证“IPv6网站遭遇洪泛时清洗服务的双栈防护覆盖”，关键是分别追踪两种协议的入口、清洗路径和回源结果，而不是只检查控制台里是否显示一个域名。
先核对防护对象与实际流量路径
请提供商明确列出受保护的 IPv4 地址、IPv6 前缀、域名、端口和协议，并确认 IPv6 是由同一清洗策略处理，还是需要单独开通。域名防护、IP 防护和云平台安全组的范围可能不同；仅有域名接入，也不必然覆盖未经过代理的服务端口。
从 DNS 开始核对：A 记录指向的 IPv4 入口与 AAAA 记录指向的 IPv6 入口，是否都属于清洗服务公布的接入范围。再请提供商说明采用何种引流方式，例如 BGP 路由引流或代理转发，以及清洗后如何回源。Anycast 地址可能由不同地点接入，但这本身不能证明每个协议族、端口和业务都已纳入防护。
按协议分别执行验证
- 确认解析结果。在多个网络环境查询 A、AAAA 记录，记录解析地址、TTL 和查询时间。检查是否存在旧记录、未受保护的备用地址，或只供 IPv6 访问的子域名。
- 分别建立连接。对同一域名使用支持 IPv4、IPv6 的客户端工具分别发起请求，例如 curl 的 IPv4 或 IPv6 强制选项。记录连接到的远端地址、响应状态和时间；必要时用 traceroute 或 MTR 观察路径。路由变化只能作为线索，不能单独当作清洗成功的证明。
- 核对服务端日志。在源站或负载均衡器检查连接的地址族、来源地址及时间戳，并与清洗平台的事件记录对照。若源站日志只记录代理地址，应通过可信的代理日志或平台事件核验，不要把客户端传递的任意转发头当成可靠证据。
- 验证绕过可能。检查源站是否能被公网直接访问。若业务设计要求所有流量先经清洗，应使用云防火墙或主机访问控制，仅允许平台确认的回源来源；IPv4、IPv6 规则要分别检查，避免只封了 IPv4 直连。
- 安排受控测试。先取得提供商和业务负责人的书面许可，约定测试地址、时段、协议、速率上限、停止条件及联系人。优先使用服务商认可的测试方式或低风险流量，不要自行向公网发起洪泛。逐项确认告警、限流或清洗事件是否可见，以及正常请求能否持续访问。
用证据而非宣传语判定覆盖
检查面板与应急流程
要求平台展示或书面确认 IPv4、IPv6 分开的流量图、事件时间线、丢弃或转发统计，以及受影响的目标地址和端口。指标名称和统计口径可能因平台而异，应先确认计数发生在清洗前还是清洗后。还要问清通知渠道、值守联系人、切换步骤、误拦截申诉方式，以及攻击结束后如何恢复正常路由。
区分覆盖缺口与应用故障
若 IPv4 可用而 IPv6 超时，先分别排查 AAAA 记录、IPv6 路由、防火墙规则、监听地址和回源连通性；这不一定就是清洗失效。若两种协议均能到达清洗入口，但源站仍承受异常流量，则应核查是否有其他地址、端口或服务入口绕过平台。验证记录至少应保存测试时间、客户端网络、解析结果、远端地址、平台事件编号和处置结论，便于复查。
常见问题
只有 IPv4 地址需要做 IPv6 验证吗？
只要域名发布了 AAAA 记录，或服务存在可公网访问的 IPv6 地址，就应确认该入口是否受保护；没有 IPv6 服务时，也应核实没有遗留的可达入口。
能否用一次正常访问证明清洗有效？
不能。正常访问只能证明当时的连接可达，不能证明遭遇洪泛时会触发清洗。需要结合平台覆盖范围、事件记录和获准的受控验证。
IPv4、IPv6 必须使用同一清洗节点吗？
不必。两者可能采用不同引流路径或节点；判断标准是协议、地址、端口和业务是否都在约定范围内，并能提供相应的监测与应急证据。
最终应把地址清单、解析结果、回源限制、平台事件和测试记录逐项对齐。只有这些证据同时覆盖两种协议，才能较有把握地确认“IPv6网站遭遇洪泛时清洗服务的双栈防护覆盖”符合实际部署，而非仅停留在产品说明中。
