真正禁用IPv6协议栈必须通过GPO推送注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters下的DisabledComponents值设为0xFF（十六进制），重启后验证netsh、reg query及sc命令结果，并注意Kerberos、DirectAccess等潜在影响。
直接在客户端网络适配器属性里勾选或取消 ipv6，并不能真正禁用协议栈，gpo 管理的关键在于修改底层注册表并确保策略持久生效。
真正禁用 IPv6 协议栈
域内统一禁用 IPv6，必须通过 GPO 推送注册表项，而非依赖界面勾选：
- 路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters
- 新建或修改 DWORD 值：DisabledComponents
- 设为 0xFF（十六进制） 表示完全禁用 IPv6 栈（含隧道、Teredo、ISATAP 等）
- 仅设为 0x20 仅禁用 LAN 接口上的 IPv6，环回和隧道仍可用，不满足彻底禁用需求
- 修改后需重启计算机，仅执行 gpupdate /force 不生效
GPO 中正确配置注册表策略
不能使用模糊的“禁用 IPv6”模板，必须手动配置组策略首选项：
- 打开 GPMC → 编辑目标 GPO → 计算机配置 → 策略 → 组策略首选项 → 注册表
- 新建注册表项：操作类型选“更新”，路径填完整注册表路径，键名填 DisabledComponents
- 值类型选 REG_DWORD，数值数据填 0xFF（勾选“十六进制”）
- 务必取消勾选“应用此项首选项时删除该注册表项（如果不存在）”，避免被其他策略覆盖
验证是否真正生效
不能只看网络连接属性里的复选框状态，应通过命令行确认：
- netsh interface ipv6 show interfaces —— 返回“找不到元素”才表示协议栈已卸载
- reg query "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents —— 确认返回值为 0xff
- sc query tcpip6 —— 应显示 STATE : 4 WIN32_EXIT_CODE : 1068（依赖服务不存在），而非 RUNNING
- 抓包验证：Wireshark 过滤 ip.version == 6，常规通信中不应捕获到 IPv6 流量
注意潜在影响
盲目禁用 IPv6 可能干扰依赖它的系统功能：
- Kerberos 认证在部分场景下会尝试 IPv6 DNS 解析，失败可能导致登录延迟或失败
- DirectAccess 完全基于 IPv6，禁用后将无法使用
- Windows 更新、SMB 直连、某些 .NET 应用可能隐式调用 IPv6 逻辑，引发连接异常
- 建议先在测试 OU 中部署并观察 3–5 天，确认无业务影响再推广
