フレッツ光クロスのONUに直接ルータを接続している構成を想定しています。
IPv4 over IPv6トンネルの接続に失敗する場合は、 clear nat64 map-e rule persistent を実行した後、
WAN Interface を shutdown / no shutdown を試行ください。

LAN側インタフェース及びIPアドレス、NAT/DHCP/ZBFW設定等は別途設定ください。

各種確認コマンド

show nat64 map-e
show nat64 statistics
show ip nat translations
show nat64 translations
show platform hardware qfp active statistics drop
show platform hardware qfp active feature nat datapath statistics
show platform hardware qfp active feature nat datapath sess-dump
debug ip nat ACL_NAT detailed
debug nat64 detail
debug platform hardware qfp active feature nat64 data detail

SD-WANの場合の注意事項

SD-WANでは、ターミナルからDER形式の証明書を16進数（hex）表記で直接入力してインポートすることはできません。
そのため、ルート証明書 はファイル形式でルータにインポートする必要があります。
まず、copy コマンドを使用して、ルート証明書をルータの bootflash: にアップロードしてください。 以下は、ルート証明書のファイル名を TP.ca とした場合の設定例です。

config-transaction
 crypto pki trustpoint TP
  enrollment url bootflash:
  revocation-check none
  fingerprint 925A8F8D2C6D04E0665F596AFF22D863E8256F3F
  commit
 end
crypto pki authenticate TP

Router#crypto pki authenticate TP
Reading file from bootflash:TP.ca
Certificate has the following attributes:
       Fingerprint MD5: 324A4BBB C863699B BE749AC6 DD1D4624
      Fingerprint SHA1: AD7E1C28 B064EF8F 60034020 14C3D0E3 370EB58A
Trustpoint Fingerprint: AD7E1C28 B064EF8F 60034020 14C3D0E3 370EB58A
Certificate validated - fingerprints matched.
Trustpoint CA certificate accepted.