IPv6 入站防火墙如何精细控制？只想开放一台设备，避免全网 IPv6 暴露

[TheNine]

路由器：中兴问天 BE7200 Pro+
WAN1：电信
WAN2：联通
内网：PVE + 多台 LXC / Docker / 普通终端设备
但是我现在的路由只支持开关防火墙，一刀切要么全局域网的设备都裸奔，要么全关闭

有什么方案可以控制想 ipv4 端口转发一样，控制 ipv6 的访问呢
我问了 ai 他建议我换掉路由器上 openwrt

[mangmaimu]

mikrotik 的 RouterOS 轻轻松松管理

[LGA1150]

用 ip6tables 或 nftables 的掩码功能，指定设备的 EUI64 。例：
ip6tables -A FORWARD -o br-lan -d ::200:5eff:feaa:bbcc/::ffff:ffff:ffff:ffff -p tcp --dport 80 -j ACCEPT
其中 200:5eff:feaa:bbcc 是你设备的 EUI64 。如果是 Windows 设备，还需要关闭随机链路地址。
OpenWrt 可以在 luci 界面的防火墙里，新建一个通信规则，填入上述带掩码的地址。

[sonaxyjh]

换 Openwrt 做主路由,当前中兴的改成 AP 模式

[playstation]

确实推荐换 OpenWrt 或者 RouterOS ，普通路由器功能太少了

[sun82kg]

OP 的防火墙，爱快的 ACL 都能精细控制，看你喜欢

[kekylin]

楼上说的软路由方案都可以，我说个硬路由的。打人硕路由器，也可以放行指定设备的指定端口，不用全开全关，我现在用的方案就是打人硕路由器。

[sonnetbreeze]

还是 op 好用，

[TheNine]

入手了 n100 打算装 Op

[ierwinplus]

如果你的漏油器支持 nat66 的话就用 nat66 + 端口映射，就像 IPv4 一样。方法很扭曲但能用

[flynaj]

openwrt 防火墙可以写结尾就行，不过我是全部开放，这么多年以来没有出过问题，v6 跟 v4 不一样，v4 你去开放单扫描机器人都招教不过，v6 全部开放没有发现什么扫描，3389 默认端口都没有一次扫描。