问一个 ipv6 远程访问家里电脑的问题?

[COW]

背景是这样的，我家里有一个 Windows 台式机（光猫桥接路由器，有公网的 ipv6 ），安装了一个 OpenSSH 服务，台式机里面的 Vmware WS 还开了几台虚拟机。

我现在需求非常简单，所以不想太复杂，就是用另外一台笔记本，手机热点上网，可以直接 ssh ipv6 公网地址访问到家里的台式机上。

但这里有几个问题。
1. 直接暴露 22 端口，即使 ssh 采用密钥登录方式是不是也不够安全？套一个 openvpn 可以解决安全问题么，或者有没有更简单的方法。
2. 由于台式机上那个公网 ipv6 的地址会动态变化，弄个聊天机器人或者邮件定时提醒是个好的方案么？

[motai]

套一层 ssr 或者 vmess 还可以用混淆 用流量卡的定向流量

[nekomiao]

v2 还是牛人多，暴露个 ssh 就能黑。

[johnnyyee]

我也想用 ipv6 ，但是路由器开启 ipv6 后时不时打开 app 或者网页就很慢 QAQ

[hancai2]

换个端口，被扫的概率估计能少 9 层以上吧。 话说开 ipv6 要钱吗

[jtshs256]

@COW 连个 ssh 还是很够的，附送的网页版 terminal 也很方便

[fanersai]

socat 转发端口出去

[yfmir]

1. 换 ssh 端口、改成私钥认证，简单点的办法就是 cf tunnel ，还能绑 2FA ，去买个域名就好了
2. ddns

[SenLief]

你这个需求直接 tailscale 就可以了。

[sl0000]

路由器上开个 ipv6 的 vpn 服务端, 直接连回去最方便

[dyexlzc]

同意楼上，tailscale 会帮你打洞，打洞成功的话。ipv4 也是能直连的
tailscale 的打洞服务器还能自己部署在国内的 ecs 上，成功率很高。
之前我也是一直尝试 ipv6 直连，后面发现家里打开 ipv6 以后，各种 app 会有周期性的刷不出消息的情况，就关掉了，用 tailscale 打洞。zerotier 现在国内打洞&连接成功率不太好了

[sinry]

还是 cf 吧，慢是慢了点

[flynaj]

默认端口要改，IP 用 ddns-go

[LnTrx]

先权衡一下是否想用虚拟组网工具。如果不想用，可以采取以下措施提升安全性：
1. 不要使用默认 22 端口，改一个高位不常用的端口
2. 确保可登录的账号都是强密码，更进一步可以禁止密码、强制使用私钥
3. 确认 IPv6 是 SLAAC 分配的（后缀是一长串），这样极难被扫到
4. 减少 IPv6 主动暴露的情况（例如 BT ），有关事项可以单独分一个 IPv6 地址
5. OpenSSH 问世 20 年，今年才出了首个远程执行漏洞，而且很难被利用。安全起见可以检查是否在受影响的版本。

虽然定时发送 IPv6 地址也是可行的，但 DDNS 在实际使用过程中更方便。

[Jisxu]

tailscale 使用 subnet 功能，v6 公网的话，大概率能打洞成功直接用到宽带的上行。subnet 功能开了之后，你在笔记本上访问你的内网地址，ts 会自动帮你路由过去。而且 ts 有认证机制，你既能完全用上所有的端口，又有足够的安全性

[JKOR]

@wnpllrzodiac 大多数 VPS 的 SSH 端口不也是直接暴露的，而且还是 ipv4 ，禁用密码登录，改用密钥认证，不会有问题的。

[JKOR]

1. 大多数 VPS 的 SSH 端口不也是直接暴露的，而且还是 ipv4 ，禁用密码登录，改用密钥认证，不会有问题的。
2. 关于 ip 变动可以使用 ddns 绑定域名
3. 如果实在担心安全问题，可以使用 cf tunnel ，虽然 cf 国内访问速度不佳，但是 ssh 够用了。

[yc8332]

1. ipv6 的 ssh 应该没什么人扫你，再用证书验证还有 bug 的，估计和你也无关了。。。世界上那些服务器都得跪
2. 动态 ip 的问题就是 ddns ，或者是搞个第三方推送

[lihaohenqiang]

外网访问套个 VPN ，只开放内网端口

[COW]

@yc8332 是的，刚搞了个飞书的自定义机器人，在 ddns-go 里配置下就能自动通知了，现在主要是 Powershell 获取公网的 IPv6 的命令有点理解不了，我得再研究下。