如何将指定IPv6网段拆分为AWS WAF Classic支持的合规网段？

针对你的需求，原IPv4网段147.161.128.0/17对应的IPv6范围是::ffff:147.161.128.0到::ffff:147.161.255.255，对应CIDR为::ffff:147.161.128.0/113，但该前缀长度不在AWS WAF Classic允许的列表中。以下是精确覆盖原范围的解决方案：

精确覆盖方案：拆分/128网段 #

由于AWS仅接受/24、/32、/48、/56、/64、/128这些IPv6前缀长度，而原范围无法被单个合规前缀精确覆盖，唯一精确匹配的方式是将原范围拆分为32768个/128网段（每个对应原IPv4网段内的一个IPv4地址）。

批量生成脚本示例 #

可以用Python脚本快速生成所有合规网段：

import ipaddress

# 定义原IPv4网段
ipv4_network = ipaddress.IPv4Network('147.161.128.0/17', strict=False)

# 生成对应IPv6 /128网段列表
ipv6_cidr_list = []
for ipv4_addr in ipv4_network.hosts():
    ipv6_addr = ipaddress.IPv6Address(f'::ffff:{ipv4_addr}')
    ipv6_cidr_list.append(f'{ipv6_addr}/128')

# 可将结果写入文件或直接复制到AWS WAF配置
# with open('ipv6_cidrs.txt', 'w') as f:
#     f.write('\n'.join(ipv6_cidr_list))

执行后会生成完整的/128网段列表，每个条目严格对应原IPv4网段内的一个地址，完全符合AWS WAF Classic的格式要求。

近似覆盖方案（不推荐，仅作备选） #

如果无法处理大量/128网段，可使用更大的合规前缀，但会包含原IPv4范围外的地址：

• ::ffff:147.161.0.0/96：覆盖所有::ffff:147.161.x.x的IPv6地址，包含目标范围但额外覆盖了147.161.0.0-147.161.127.255对应的IPv6地址
• 此方案不符合“与原IPv4网段范围一致”的要求，仅适合对范围精度要求较低的场景

内容的提问来源于stack exchange，提问作者Wintermute