开个新坑：写给 Geek 们的小范围 IPv6 组网最佳实践

[raysonx]

自 2017 年底，国内大多数地区的固定宽带和移动网络就开始提供 IPv6 接入了，平时逛宽带症候群区时也经常看到关于 IPv6 的种种问题。可能因为最近几年越来来多的用户失去了公网 IPv4 地址，肉眼可见 IPv6 有了更多的讨论度。

本人自从十几年前就开始玩 IPv6 了，也在 V2EX 发过几篇关于 IPv6 的文章。之前曾打算专门抽出时间写一系列文章，旨在帮助各位 V 站 的 Geek 们在家庭等小范围进行 IPv6 组网，并为常见的问题提供解决方案，但是这个计划一再搁置，最终也没有去做。今天看到有人在我之前的帖子回复希望我能写点教程，这才又想起这件事。

之前发过的帖主要有：

• 发现好多人对 IPv6 还比较陌生，那就来普及一些基础知识吧
• 为你的 IPv6 局域网配置 ULA 吧
• 开启 IPv6 后网速变得很慢？可能是 PMTU 黑洞的问题

根据我逛 V 站和其他地方得来的经验，我暂时想到了下面这些主题（想到的很多，不一定会写哪几个），不知各位有没有要补充的或者对某一方面特别感兴趣的？如果某一方面有很多人感兴趣，那我就多写一点或者提早写那一篇。目前想到的主题有：

• 基础概念，如地址格式、子网划分、寻址过程（单播、组播、路由）、DNS 等
• 地址分配 （无状态、有状态、DHCPv6-PD 、隐私扩展等）
• 网络拓扑设计与网关配置
• 各种系统下配置简单 IPv6 网关的最佳实践，如 OpenWRT 、RouterOS 、VyOS 、甚至是用普通的 Linux 发行版作路由器（配置比较麻烦可能懒得写）
• 防火墙
• 动态 DNS （ DDNS ）
• 网络地址转换（ NPTv6 、NAT66 ）
• IPv6 路由 ：静态路由、动态路由（ OSPFv3 、BGP ）
• 各种隧道技术的应用，比如用 VPN 接通两地的内网、远程访问内网（内网穿透）等

[raysonx]

@veSir 需要。LUCI 上打开 Firewall 设置，点击 WAN 这个 zone 的设置，勾选 MSS clamping 。

[silverwolf]

@raysonx 成功了🎉

上面那个 radvd.conf 有语法错误，改为：

```
interface eth0
{
AdvSendAdvert on;
AdvDefaultLifetime 0;
prefix fd07:2023::/64 {};
};
```

[silverwolf]

@silverwolf 我一开始看 error :6 不知道是什么语法错误，把第 6 行移出来就通过了

[Jirajine]

@raysonx 不工作的应用应该不多吧，也就 p2p 、nat traversal 以及网络相关的工具需要适配，普通应用应该是无感的（“fakeip”不会 break 的应用 nat64 应该也不会）。

为不同设备配置不同的防火墙规则是刚需，比如限速、劫持、策略路由。因为 ap 的缘故我没法让设备通过不同 ssid 接入不同的 vlan ，即使换了 ap 这样也不方便，会破坏不同设备间依赖内网直连的应用。

稳定地址不仅是内网通信，docker/虚拟机等不少应用也依赖稳定地址，ula 又失去了入站连通性，ula 配合 NAPT 无状态前缀转换好像很不错，但应用不一定能正确处理地址发现的问题。
以及配置 ipv6 相关的 nat 基本要手写防火墙规则，也不好维护。

[u20237]

至少得实现聊天/上传/下载吧？那么根服务器在哪？

[Tink]

感谢大佬分享

[WhatTheBridgeSay]

我现在最想知道的是有没有可能在网关上 DDNS 更新局域网设备 SLAAC 出来的 IPV6 地址，以及 NDP 代理具体是是干嘛用的，按我的理解是用于设备发现用的，那是不是可以网关可以用来获取局域网设备的 IPV6 进而 DDNS ？

[yzc27]

想请教一下大佬，路由器有 ipv6 防火墙开关，但没具体设置。把这个防火墙打开，那么这个路由器下面的设备的 ipv6 是不是处于被保护的状态？之面看有人说这个防火墙只保护路由器本身，它下面设备还是“裸奔”。

[sky96111]

我最近使用 WireGuard IPv6 组网的时候遇到了 MTU 的问题，client 使用 wg 默认的 1420 ，服务端 OpenWrt 使用 PPPoE 拨号，dhcpv6-pd 获取 ipv6 地址。同时开启区域转发、MSS 钳制、IP 动态伪装，访问服务端出现有些资源无法访问，ping 又是正常的情况
发现是 MTU 的问题后，用 ping -s 降低包大小进行测试，一直降低到 1382 时才正常
想请教一下，为什么 MTU 会是 1382 ？而且它似乎有点太低了

[raysonx]

@Jirajine 不工作的应用非常多，你试试就知道了。


@WhatTheBridgeSay 有可能，但好像没有现成的实现，之前曾打算自己开发一个，但好像大家的兴趣不大。NDP proxy 类似于 IPv4 下的 ARP proxy ，一种让两个广播域共享同一网段的 hack 。

@yzc27 路由器型号千奇百怪，无法统一回答。

@sky96111 PPPoE 下 WireGuard 的 MTU 设定为 1412 就可以了。

[latteczy]

请教一下，家里的网络已经支持 IPv6 ，主机也可以访问 IPv6 ，但是只有我的 MacBook 无法访问 IPv6 ，我的 MacBook 也有 IPv6 地址，但是 ping IPv6 网站解析出来的都是 IPv4 地址（比如 ping mirrors.aliyun.com ），在我家里的其他设备上 ping 这个域名解析出来的都是 IPv6 地址。
请问这可能是什么原因？

[raysonx]

@latteczy mac 要用 ping6

[t123yh]

IPv6 怎么实现出口分流呢，比如我同时拉了电信和移动的宽带，是否可能在路由器上自动区分出口

[huaxie1988]

@sky96111 测试的时候应该是 1384 吧？ 1500-8 Bytes (PPPOE) – 40 Bytes (IPv6) – 8 Bytes (UDP) – 32 Bytes (WG) -20 Bytes (IPv4)-8 Bytes (ICMP)，算出来就是 1384 ，mtu 1412

[huaxie1988]

@t123yh 不用分流，只要把 2 个地址都分到用户侧，ipv6 会自动分流,IPV6 源地址选择有个特性，是优选和目标地址最长前缀匹配的地址，所以访问电信就选电信地址，访问移动就走移动地址，然后路由器上根据源地址送到对应的出口去，全自动分流。

[latteczy]

@raysonx #32 感觉不是这个原因，在 mac 上刷 test-ipv6.com 也显示不支持 IPv6 ，就很奇怪。

[raysonx]

@latteczy 所以你的 mac 真的获得 ipv6 地址了吗？你可以在 mac 上运行下面的命令并把结果发给我 （邮箱 base64 bWVAeXV4LmltCg==）看看:

ifconfig

netstat -nr

[ttvast]

不用 nat 的 ipv6 就是垃圾。
用了 nat ，为啥不直接用 v4 。

除非宽带服务商给我分配固定/56 的网段。

[LodonBoy10086]

raysonx 你好，有个有意思的防火墙相关 chaifeng/ufw-docker 。我想问问，怎么把它转成 ipv6 版?有什么其他的注意事项。

[echo1937]

楼主有博客吗，方便进行历史内容的搜索和查看。