“ SSH如何连接IPv6？”，“ssh user@fe80::1%eth0——这串命令里怎么还有个百分号？”，“为什么我用IPv6地址连服务器，终端一直报错？”，“scp传文件时明明输入了IPv6地址，为什么提示无法解析？”

随着全球IPv6部署率在2026年已突破45%，越来越多的云服务器、家庭宽带和物联网设备开始原生支持IPv6。SSH作为远程运维的“生命线”，如何正确地通过IPv6建立连接，已成为每一位技术人员的必修课。

然而，SSH连接IPv6并非简单地“把地址换一下就完事”。IPv6地址中的冒号与端口号分隔符冲突、链路本地地址需要指定网卡、shell中的方括号需要转义——这些细节一旦出错，轻则连接失败，重则让你在排障时原地转圈。

今天，我们就一次性把SSH over IPv6的所有知识点讲透。

SSH连接IPv6的三种场景

根据目标主机的IPv6地址类型，SSH连接可以划分为三种截然不同的场景：

场景一：全球单播地址（GUA）

这是最常见的场景。目标服务器拥有一个全球唯一的公网IPv6地址（如`2001:db8::10`），可以从任意支持IPv6的网络直接访问。

连接方式最直接：

ssh user@2001:db8::10

就这么简单——与IPv4的连接方式几乎一模一样。

场景二：链路本地地址（Link-Local Address）

链路本地地址以`fe80::`开头，仅在当前物理链路（同一广播域）内有效，不能跨网段路由。当你需要连接同一台交换机下的另一台服务器，而对方没有配置全球IPv6地址时，就需要使用链路本地地址。

关键差异：必须指定网络接口（即“从哪个网卡出去”），否则SSH不知道通过哪块网卡到达目标。

ssh user@fe80::1%eth0

这里的`%eth0`就是“从eth0网卡出去”的意思。在Windows上则可能是`%以太网`或`%Wi-Fi`。

场景三：通过域名连接（AAAA记录）

如果目标服务器配置了IPv6的AAAA DNS记录，那么直接用域名连接即可，SSH会自动选择IPv6：

ssh user@server.example.com

如果你想要强制使用IPv6（即使域名同时有IPv4的A记录和IPv6的AAAA记录），可以加上`-6`参数：

ssh -6 user@server.example.com

IPv6地址格式：方括号不是装饰品，是“保命符”

这是SSH连接IPv6时最容易踩的坑。

IPv6地址中包含冒号（`:`），而SSH命令中端口号也是用冒号分隔的（如`-p 2222`或`user@host:port`）。当你在SCP或rsync中同时指定IPv6地址和端口时，解析器根本无法区分“地址中的冒号”和“端口分隔符”。

解决方案：用方括号`[]`将IPv6地址包裹起来。

错误写法——SSH无法解析

scp file.txt user@2001:db8::10:/remote/path/

正确写法——地址用方括号包裹

scp file.txt user@[2001:db8::10]:/remote/path/

但这里还有一个“坑中坑” ：方括号在shell中是特殊字符（用于通配符匹配），必须进行转义，否则shell会尝试将其解释为通配符模式。

正确写法——方括号需要转义

scp file.txt user@\[2001:db8::10\]:/remote/path/

或者用引号包裹整个参数

scp file.txt "user@[2001:db8::10]:/remote/path/"

很多新手在这个环节反复报错，却不知道问题出在一个小小的方括号上。

强制使用IPv6：`-6`参数与`AddressFamily`配置

命令行方式：`-6`参数

当你明确知道目标只支持IPv6，或者想测试IPv6连通性时，可以使用`-6`参数强制SSH只使用IPv6：

ssh -6 user@2001:db8::10

这个参数同样适用于SCP、SFTP和ssh-keyscan等工具：

scp -6 file.txt user@[2001:db8::10]:/remote/path/

sftp -6 user@2001:db8::10

ssh-keyscan -6 2001:db8::10

对应的，`-4`参数则强制使用IPv4。

永久配置：`~/.ssh/config`

如果你所在的网络环境IPv6是默认通道，每次手动加`-6`未免太麻烦。可以在SSH客户端配置文件中设置永久偏好：

对所有连接强制使用IPv6

Host

AddressFamily inet6

仅对特定服务器强制使用IPv6

Host myserver

HostName 2001:db8::10

User admin

AddressFamily inet6

`AddressFamily`参数有三个可选值：

- `any`：默认值，IPv4和IPv6均可

- `inet`：仅IPv4

- `inet6`：仅IPv6

服务端配置：让SSH服务正确监听IPv6

客户端能连上来，前提是服务端在正确监听。SSH服务端的配置文件是`/etc/ssh/sshd_config`。

默认行为：同时监听IPv4和IPv6

默认情况下，`sshd`会同时监听IPv4和IPv6的所有地址。如果一切正常，你不需要做任何修改。

指定监听特定IPv6地址

如果你只想让SSH监听某个特定的IPv6地址（而不是所有地址），可以使用`ListenAddress`指令：

/etc/ssh/sshd_config

ListenAddress 2001:db8::10

常见故障：`fatal: Cannot bind any address`

这是IPv6环境下SSH服务启动时最常见的错误。根本原因：`/etc/ssh/sshd_config`中的`AddressFamily`被设置为`inet6`（仅IPv6），但系统并未启用IPv6支持。

解决方案：

1. 通过VNC或本地控制台登录服务器

2. 编辑`/etc/ssh/sshd_config`，将`AddressFamily inet6`改为`AddressFamily any`或`AddressFamily inet`

3. 重启SSH服务：

sudo systemctl restart sshd

防火墙配置

即使SSH配置完全正确，防火墙也可能成为“拦路虎”。

Linux ip6tables IPv6的防火墙规则使用独立的`ip6tables`命令：

允许来自特定IPv6地址的SSH入站连接

ip6tables -A INPUT -p tcp -s 2001:db8::1/128 --dport 22 -j ACCEPT

5.2 UFW（Ubuntu/Debian）

UFW默认支持IPv6，但需要确认`/etc/default/ufw`中`IPV6=yes`：

放行SSH的IPv6流量

ufw allow from 2001:db8::1 to any port 22 proto tcp

Windows防火墙使用PowerShell添加IPv6入站规则：

powershell

New-NetFirewallRule -DisplayName "Allow SSH IPv6" -Direction Inbound -Protocol TCP -LocalPort 22 -RemoteAddress "2001:db8::1" -Action Allow

故障排查：连不上时按这个顺序查

当SSH over IPv6连接失败时，按以下步骤逐一排查：

第一步：确认本机IPv6是否启用

cat /proc/sys/net/ipv6/conf/all/disable_ipv6

返回`0`表示已启用，返回`1`表示已禁用。

第二步：测试IPv6网络连通性

ping6 2001:db8::10

如果ping不通，说明网络层就有问题，SSH不可能通。

第三步：确认目标端口是否开放

nc -6 -zv 2001:db8::10 22

第四步：检查SSH服务是否在监听IPv6

sudo netstat -tlnp | grep sshd

输出中应包含`tcp6`和`:::`或具体的IPv6地址。

第五步：查看详细连接日志

ssh -v -6 user@2001:db8::10

`-v`参数会输出详细的连接过程，帮助定位具体哪一步出了问题。

SSH over IPv6并不是什么高深的技术，但它确实藏着一堆“细节陷阱”——方括号要转义、链路本地地址要加%网卡、AddressFamily要配对。任何一个环节出错，都会让你在排障时耗费大量时间。