就算 IPV6 普及，端到端直连也难以实现

[cwbsw]

虽然有了全球可路由的 IP 地址，但是位于防火墙后的节点还是无法直接访问。视 IPV6 防火墙安全策略的不同，还是会有类似锥形 NAT 对称 NAT 的访问限制。对于 P2P 应用来说，似乎也没比 IPV4 NAT 的场景好多少啊。

[flyfishcn]

你这么说搞得好像公网 IPv4 位于防火墙之后的节点就能直接访问?如果不是运营商封锁端口（ 80,443 之类的），防火墙规则本来就该你（用户）自己去设置的。

[kyf0722]

我用的 openwrt 默认是外网无法直接访问内部 ipv6 主机的，可能是安全考虑，把防火墙放开就行了，我现在都可以 vnc 远程公司得 macOS

[Tianao]

虽然有了全球可路由的 IP 地址，但是位于防火墙后的节点还是无法直接访问。

所以防火墙规则为什么不放行？

[cwbsw]

@Tianao
你每次开视频会议、玩联机游戏都先去配置防火墙吗？
@kyf0722
所以说点对点直连从来都是安全 /隐私问题，而不是网络层协议的问题。
@flyfishcn
很多时候防火墙你是无法控制的。

[amazingrise]

@cwbsw +1。前段时间鼓捣 ipv6 的时候发现了这一问题。防火墙并不是自己能配置得了的

[Tianao]

@cwbsw 普通用户终端前的防火墙通常情况下应该只禁几个特殊端口，剩下的全开放啊。

[loveour]

是干脆没有公网地址实现直连难，还是有公网地址需要配置防火墙实现直连难？

[Cu635]

@cwbsw
“所以说点对点直连从来都是安全 /隐私问题，而不是网络层协议的问题。”
在技术层面先决支持，然后才能谈安全、隐私问题。

[iwtbauh]

所以才有 UPnP 之类的协议来让应用程序打开防火墙端口啊。

你要是原来 ipv4 都是 cgn，你 UPnP 也是得不到什么改善的。

[ZRS]

v4 有防火墙也不行啊...这和 v4v6 有关系吗

[duoguo]

@kyf0722 我的 openwrt 默认是可以访问内网机器的,但是不能访问路由本身.要远程访问路由要设置防火墙
https://i.loli.net/2019/04/28/5cc5658a9bcb4.jpg

[smallfount]

额...这问题在现有的任何协议都无解吧...这根本不是协议本身做不到而是为了安全考虑不愿意啊。。。
我以前遇到过用 v4 的公网段 IP 做内部使用地址段的，跟 10.0.0.0/8 混着用。。我一个 site 有 2 个完整的 c 段地址给客户端 DHCP 分配。。。这时候显然地址 pool 就不再是限制我直连的问题了。。。然而为啥我还要用 NAT 跟 FW 呢？不就是安全考虑嘛....

[mooncakejs]

家用宽带 光猫会兼任防火墙的功能， 默认打开全部端口？嫌黑客的肉鸡不够多？

[est]

不是很懂 LZ 的思路，你希望有一个网络协议能突破任意防火墙？？？

那防火墙干啥吃的。。。

[WordTian]

一般防火墙都设在光猫上，如果想折腾 v6，至少就该把光猫上的防火墙策略整明白，不然造成安全风险，是得要自己负责的

[liuminghao233]

你应该问这世界上为什么有防火墙

[cwbsw]

@iwtbauh
电信 CGN 是锥形 NAT，借助 STUN 这类机制是可以直连的。将来防火墙后的 V6 节点也是需要 V6 版的 STUN 才能直连。

[cwbsw]

@est
不是我希不希望，这是个客观事实啊。就算没有 NAT，要做点对点的 P2P 应用还是很蛋疼。

[est]

@cwbsw 网络协议设计者没法解决 middlebox 的问题。

[hanguofu]

我用的是移动的家庭宽带，请用这个防