有一个 IPv6 防火墙总开关就够了

[LnTrx]

2022 年了，很多家用路由器还是没有 IPv6 防火墙的开关，这不应该。
但也有不少人希望路由的防火墙能像 IPv4 那样提供开放端口、控制映射等高级功能，楼主觉得大可不必。

原因如下：

1. IPv4 下暴露端口最大的威胁是被人扫到，而 IPv6 的 SLAAC 和隐私扩展机制使得终端极难被外部暴力扫描发现（不含网关）。现代操作系统通常自带有防火墙，即使 IPv6 用户的主动访问被探测并发起回访，只要没有乱改配置风险也不大。

2. SLAAC 和隐私扩展机制使得用户的 IPv6 地址是经常变化的，用户要么需要设法固定地址，要么就得不断调整防火墙配置，无论哪种都非常麻烦。（楼主还没找到可以根据终端 MAC 自动配置的方案，如有还请指出）

3. 点对点直连才是互联网本来的样子。当用户被 IPv4 NAT 保护惯了，突然回到无阻碍直连的状态反而没有安全感，这才是反常。如果为了顺从过去的习惯，在网关默认屏蔽入站连接，那么当需要开放端口时就又得搞出一套适用于 IPv6 的打洞机制。应该没有人希望在 IPv6 时代还要折腾 UPnP 、NAT-PMP 、Hole Punching 之类的事情吧？

需要指出的是，在 IPv6 地址长期固定的服务端场景下，网关防火墙的精细控制还是有意义的。
如果有考虑不周的地方，欢迎交流讨论。

[cwek]

@LnTrx 前缀转换，实际相当于 1:1 NAT （而且可以不是 NPAT ），不需要保存会话，然后给网内给 ULA ，ULA 不全局路由，相当于内网，需要对外的话就是放开对应主机号的前缀转换，一切基本和以前 NAT 状态一样，对得外自然自己解决防火墙问题，路由器还是路由器，NAT 机制相对地弱化。

[LnTrx]

@cwek 还是没看出来，这相比公网 IPv6+防火墙的方案有什么额外的好处？

[fastcache]

@ppbaozi 请教下
1 ） IPv6 前缀会变，怎样全局放行？
2 ）哪里看群晖 DS 打开的端口？

[ppbaozi]

@fastcache
1.不指定原地址和目的地址的端口放行，需要软路由，ros 之类高阶一点的路由
2.群晖的端口具体的服务具体去看就完事，bt 默认会开 upup ，在路由里也能看到

[Cyberpower]

遇到了同样的问题，请问 op 最后解决了吗，网件没有防火墙设置功能。