一、四类原因，按出现频率排

二、第一步：先把地址钉死

1. 确认目标主机地址稳定有效：在主机上查当前 IPv6 地址，分清全局地址、链路本地地址、临时地址三种。服务器类设备应配置静态 IPv6，或通过 DHCPv6 绑定固定地址，避开临时隐私地址。
2. 核对前缀与网关：主机地址的前缀长度必须与路由器下发的一致，默认网关指向路由器的链路本地地址。前缀长度错了，主机连外网都成问题，转发自然不成立。
3. 验证路由可达性：从外部网络用 ping6 或 traceroute6 测目标地址。外部 ping 不通，先解决路由和运营商限制，别在端口转发上打转。

三、第二步：防火墙要放行三层

• 主机防火墙：Linux 用 ip6tables 或 firewalld 加 IPv6 入站规则；Windows 在高级防火墙里新建入站规则并指定 IPv6 地址。
• 路由器防火墙：确认 IPv6 防火墙不是全阻断模式，并在转发规则里明确允许目标端口的外部访问。有些路由器需要"防火墙通信规则"和"端口转发条目"同时开启才生效。
• ICMPv6 不能一刀切：IPv6 依赖 ICMPv6 做地址解析与邻居发现，过度拦截 ICMPv6 报文会导致链路根本建立不起来。必要的报文类型必须放行。

最典型的误判：把 IPv4 时代的"禁 ping 更安全"照搬到 IPv6，结果邻居发现失败，端口转发规则再正确也连不通。

四、第三步：由内到外分段测试

这一步决定了你是"猜"还是"查"：

1. 内网先用目标主机的 IPv6 地址直连服务，确认服务本身正常；
2. 再用路由器的外部地址测试转发是否生效，把故障范围从"整条链路"缩到"某一段"；
3. 仍不通就抓包：在主机或路由器上看外部请求有没有到达、在哪被丢弃。请求没到主机 → 问题在路由器或运营商；到了主机没响应 → 查主机防火墙和服务监听。

五、最后两条兜底方案

固件与设备：确认是固件缺陷就升级到最新版；设备本身不支持完整转发，就换支持 IPv6 端口转发的新路由器，或改用其他穿透方案。

动态前缀：运营商动态分配前缀时，可以启用 IPv6 版 DDNS，或用脚本监测前缀变化并自动更新转发规则——否则每次重播号，规则就悄悄失效一次，而你只会觉得"时好时坏"。

一句话收尾：IPv6 转发不是"填一条规则"的事，而是地址、防火墙、设备、运营商四段链路都得通。按顺序分段测，比反复改规则快得多。