没用 TLS 不代表不会验证签名。比如 Linux 很多发行版下载包都是 http 的，但是并没什么安全隐患的道理。

@yegle 知道问题的原因了。我的 RG 不知道是什么原因，跑的是老版本固件 10.5.3.527171-att。从网上下载了最新的 10.5.6.529454-att 并且升级后 IPv6 的 inbound 就没有再被屏蔽，ICMPv6 和 TCP 连接经测试全部正常。

@hlz0812 北京电信的线路似乎质量非常好，下载能跑到将近 400Mbps。

http://beta.speedtest.net/result/6655198587

$ traceroute st1.bjtelecom.net
traceroute to st1.bjtelecom.net (60.247.96.2), 64 hops max, 52 byte packets
1 192.168.1.1 (192.168.1.1) 0.750 ms 0.522 ms 0.299 ms
2 108-85-104-1.lightspeed.sntcca.sbcglobal.net (108.85.104.1) 2.245 ms 2.139 ms 1.673 ms
3 71.148.135.178 (71.148.135.178) 1.667 ms 2.406 ms 2.354 ms
4 71.145.0.184 (71.145.0.184) 2.623 ms 2.711 ms 2.895 ms
5 12.83.39.181 (12.83.39.181) 6.099 ms 5.783 ms
12.83.39.177 (12.83.39.177) 3.652 ms
6 gar23.sffca.ip.att.net (12.122.114.5) 8.754 ms 7.194 ms 7.826 ms
7 * * *
8 * * *
9 china-telec.ear2.losangeles1.level3.net (4.71.136.202) 14.526 ms 13.664 ms 13.847 ms
10 * * *
11 * * *
12 * * *
13 * * *
14 * * *
15 * * *
16 * * *
17 6.0.142.219.broad.bj.bj.dynamic.163data.com.cn (219.142.0.6) 199.082 ms 198.771 ms 202.150 ms
18 * * *
19 * * *
20 * * *
21 * * *
22 * * *
23 * * *
24 * * *
25 * * *
26 * * *

@yegle 不知道你是如何配置的。我这边测试数据包无法到达防火墙，防火墙上监听也无法看到任何数据包。

RG 的日志显示：
IN=tun6rd MAC=f8:2c:18:xx:xx:xx SRC=2604:axxx:xxxx:xxxx::xxxx:e001 DST=2602:30x:xxxx:xxxx::1 LEN=80 PROTO=TCP DPT=1234 Port Scan

防火墙配置里，Port Scan 检测已经被关闭。

@zhaoweichen AT&T 的 DSL 还不如 Comcast，他们家只有 Fiber 值得用。

@qwvy2g 如果使用 RG 直接上网似乎有 500 个 NAT session 的限制。使用 DMZPlus 后因为不需要 conntrack 而且有公网 IP，基本上只取决于你自己路由器的性能了。

@hlz0812 公网 IP 是有，不过 25，80 等端口在家用宽带上是封的。

@rannnn 太黑了..

@rannnn $110 是带电视的吧。上面的价格是单宽带。

https://i.imgur.com/57caP9d.png

还有一种可能是因为我住的地方可以选择 AT&T 或者 Comcast，所以 Comcast 也许需要被迫降价来吸引客户。具体就不清楚了。

另外发现 AT&T 似乎对家用客户的国际带宽上行有限制，上传不管到哪个国家都是 20Mbps 左右，但是跑美国国内和加拿大的服务器上行流量可以轻松上 1Gbps。这个比较有意思。

到新加坡： http://beta.speedtest.net/result/6652627667
到伦敦： http://beta.speedtest.net/result/6652632862

看来国际带宽还是比较贵。

@Devmingwang 还行吧，只是看网页的话还是完全可以接受的。

能 Ping 通同一字网的其他主机，说明交换机没开 DHCP(v6) Snooping。

的确路由器可以禁用 ARP Learning，强制只使用 DHCP 服务器的 lease 来加 ARP 条目。这类技术在 DHCPv6 上也是存在的，而且极其容易配置。

JunOS 上实现也就一条命令（ DHCP 服务器会默认在 ARP 表里加 lease 的地址）：
set interfaces ge-0/0/1 unit 0 family inet no-neighbor-learn

用 --with-debug 编译 NGINX，打开 debug 日志，可以看出来握手过程和具体失败原因。

Keynote 明确强调 Face ID 只有在机主眼睛看着手机的时候才有效。闭眼或者侧脸的情况下是不会认的。

@orancho ASR1001 噪音太大，家用慎用。

@DesignerSkyline 估计房子卖了就能买得起了 :)

Juniper SRX300，不折腾，对等 1Gbps 无压力。

这明显是电信的锅，2-4 跳竟然还让 192.168.10.0/24 溜过去了，没有严格遵守 RFC 1918：

Because private addresses have no global meaning, routing information
about private networks shall not be propagated on inter-enterprise
links, and packets with private source or destination addresses
should not be forwarded across such links. Routers in networks not
using private address space, especially those of Internet service
providers, are expected to be configured to reject (filter out)
routing information about private networks. If such a router receives
such information the rejection shall not be treated as a routing
protocol error.

其实你自己可以在 DD-WRT 上过滤 RFC 1918 （出 & 入），这样就眼不见心不烦了。