所有 IPv6 地址都被视为公共地址，正确的术语是全球单播地址，这意味着我们所有的设备都可以从互联网上看到。

在 IPv6 中，IPv4 中的 NAT（网络地址转换）概念实际上是不必要的，因为可用地址空间巨大，几乎每个设备都可以拥有全球唯一的地址。

但是，在某些情况下，您可能需要实施类似于 NAT 的隔离或访问控制形式，以管理通过 IPv6 的“专用”网络和“公共”互联网之间的流量。

下面我们描述如何在 MikroTik 中配置一个常见场景来处理这种情况：

第 1 步：IPv6 地址分配

首先，确保您的互联网服务提供商 (ISP) 已为您分配了一组 IPv6 地址。您将将此块的一部分用于您的内部网络。

1. 为 WAN 接口分配地址：在 MikroTik 中配置 WAN 接口，以静态或通过 DHCPv6 从 ISP 接收 IPv6 地址，具体取决于 ISP 提供 IPv6 连接的方式。
2. 为内部网络分配地址：为本地网络定义 IPv6 块的一部分。这可以在 MikroTik 的 IPv6 菜单下完成，分配静态地址或使用 DHCPv6 服务器将地址分配给您的内部设备。

第2步：防火墙配置

尽管 NAT 不是必需的，但防火墙在 IPv6 网络的安全中发挥着至关重要的作用，可以根据您的策略过滤传入和传出流量。

1. 入站防火墙规则：在 MikroTik 防火墙中配置规则，以限制从互联网到内部网络的未经授权的访问。这可能包括阻止某些端口或协议，并仅允许特定的传入流量到达定义的服务。
2. 出站防火墙规则：同样，您可以配置规则来管理出站流量，尽管默认情况下，大多数防火墙允许所有出站流量。

步骤 3：配置前缀委派（如果适用）

如果 MikroTik 路由器后面的设备也需要全局 IPv6 地址，则可以使用前缀委派将分配的 IPv6 块的分段分配给这些设备或子网。

步骤 4：配置 IPv6 隐私扩展（如果需要）

SLAAC（无状态地址自动配置）的隐私扩展允许网络上的设备使用定期更改的 IPv6 地址，从而增强用户隐私。

其他注意事项

• 安全：虽然 IPv6 消除了地址管理中 NAT 的需要，但安全性也不容忽视。确保实施可靠的安全策略，其中包括配置良好的防火墙。
• 设备支持：验证您的所有设备是否支持 IPv6。尽管大多数现代设备都可以执行此操作，但某些较旧的设备可能不兼容。

在 MikroTik 中为“公共”到“私有”网络场景配置 IPv6 主要涉及管理地址分配和防火墙配置，无需 NAT 即可保持网络安全。

这表明 IPv6 在地址管理和网络安全方面比 IPv4 提供了进步和改进的功能。