路由器上的 ipv6 防火墙本地 IP 应该怎样设置

[sunhelter]

路由器型号是 AX82U ，联通宽带，没有公网 ipv4 ，所以手撸了一个 DDNS 小程序定时更新自己域名对应的 ipv6 地址，需要放行几个自定义的端口来外部访问

路由器的防火墙可以设置放行端口，和对应的本机 IP ，ipv4 的话手动指定 DHCP 就可以固定住 IP ，但是 ipv6 是根据前缀和后缀拼接的，通过日志发现每过 48 小时路由器就会分配新的 ipv6 地址，也就是前缀会不断变化，那这个本机 IP 应该如何填写？

另外感觉 ipv6 的 DNS 貌似不是很稳定，手机上用 RD Client 连接要多连几次才能连上

感谢#5 ，重新搜索了一下，答案如下：

目标地址填成这样：
::aaaa:bbbb:cccc:dddd/::ffff:ffff:ffff:ffff
其中:aaaa:bbbb:cccc:dddd 是 EUI-64 后缀，可以通过客户端 MAC 地址计算得到，是固定的（且 dddd 就是客户端 MAC 后四位）


动态匹配 EUI-64 后缀
考虑到前缀变化因素，要访问特定设备，就是让 IPTABLES 匹配特定设备的 EUI-64 后缀放通这个地址：

ip6tables -I FORWARD -d ::abcd:1234:5678:90ef/::ffff:ffff:ffff:ffff -j ACCEPT
可见 iptables 对 v6 地址的匹配掩码可以非常灵活，不像 v4 下只按前缀适配。坑的就是这个特征是没有文档的，目前文档中写的 mask 解释还是适配 IPv4 的内容，有人专门发邮件去 netfilter 列表问了才知道。IPv6 地址中，双冒号::的写法代表是前 /后均为 0 位，双冒号只能出现一次。

来自 <https://www.right.com.cn/forum/forum.php?mod=redirect&goto=findpost&ptid=4052554&pid=11231442>

[kxy09]

每个设备都单独部署 ddns

[sunhelter]

@kxy09 我想问的是路由器防火墙里的本地 IP 要怎么填，DDNS 的话已经部署好了

[linhu66]

联通宽带有公网 IPV4 的

[LisaSue]

ipv6 ula 看看，或者说也有本地链路地址，fe80+mac 算出来的

[app13]

用 eui64 地址呗，后缀由 mac 地址生成，openwrt 可以用 mask 的方式写 ipv6 防火墙规则，例如
::1234:56ff:fe78:9012/::ffff:ffff:ffff:ffff

[LnTrx]

我是直接网关放行，安全性交给设备防火墙处理。如果一定要在网关，目前比较可行的做法是给设备配置固定的后缀。

[littlewing]

在 forward 链上放行就行了，不用写 ip

[sunhelter]

@LnTrx 目前就是不知道这个固定后缀在路由器的防火墙里怎么填，总是说格式不正确。

不过我感觉靠设备自己的防火墙应该可行

[kmvvv]

我是#5 楼的方法，路由器桥接，主机设置 eui64 地址，路由器防火墙根据后缀匹配放行指定端口，用的 ddns-go 可以正则匹配本机网卡地址