内网设备有独立的 ipv6 地址，在相对安全的前提下，怎么满足可以外网直连某些端口的需求？

[wanmyj]

RT ，路由器的入站数据如果拒绝，就会满足不了需求，但如果打开，会不会也不大安全

[duanxianze]

只开 ssh22 端口，只允许密钥登录，其他服务通过 ssh 隧道转发，很安全，虽然防不了被 ddos

[xbin]

ipv6.addr-gen-mode 设置为 eui64 后可以固定后缀,然后根据后缀单独开放防火墙
参考: https://lxnchan.cn/openwrt-firewalld-ipv6.html

[wanmyj]

@xbin 这篇帖子写的非常好，能非常好的解决这个问题。
@duanxianze SSH 转发是一个方式，但可能会有 IPV6 地址变动的情况，结合 2#的方式倒是一个不错的方式。测试也是 OK 的