这是一个创建于 1005 天前的主题，其中的信息可能已经有所发展或是发生改变。
背景：坐标成都，电信 ZXHN F450 光猫拨号上网，在后台的 [防火墙] 设置选项中关闭了 [启用 IPV6 SESSION ] 选项，因此家里的设备基本上都获取到了 IPV6 地址，并且家里的小服务器可以通过移动联通 4G 公网访问到（打开 HTTP 、HTTPS 网页以及其他端口服务）。
- 这个 [启用 IPV6 SESSION ] 选项关闭后所有网内设备就通过 IPV6 暴露到公网了，是否存在了更多的安全隐患？在不将光猫改桥接的情况下能不能像 IPV4 一样设置端口映射仅仅允许必要的设备暴露必要的端口？或者通过其他方式提升安全性。
- 公网是否可以通过路由的 WAN IPV6 地址打开路由的设置界面？目前尝试了从公网无法打开，不知道是不是因为封掉了 80 和 8080 端口的原因，还是说路由器本身有相关的配置？能在公网打开感觉也不安全
 |
1
yin1999 2022-02-12 23:57:20 +08:00 via Android
一般是路由器的防火墙不允许从 wan 口访问 Web 网管的，你可以试试能不能 ping 通路由器
|
 |
2
troilus OP @yin1999 尝试了下， 路由的 V4 和 V6 的 WAN 口在内网、外网都不能 ping 通，但是在内网可以通过 V6 的 WAN 口地址打开设置界面，V4 的不行，只能 192.168.1.1
|
 |
3
jousca 2022-02-13 00:23:57 +08:00
1 、由于 V6 地址的随机性和海量，有人扫到你地址的概率极小……
2 、一般情况下路由器的管理页面只在 LAN 端口开放，你从 WAN 过去的数据包到不了 LAN 口。 3 、由于第一条，你被人黑的概率几乎是 0…… |
 |
4
LnTrx 2022-02-13 00:35:31 +08:00
IPv4 下端口暴露最大的风险是被别人扫到，但只要主机 IPv6 是 SLAAC 获取的，家庭内部终端被扫到的概率极小。
即使你主动访问被探测、回访，家用设备的现代操作系统通常自带有防火墙，正确配置的话风险不大。 网络中的网关设备（光猫、路由）有一定可能会被主动探测到。这些设备通常只向内网开放登陆界面，但如果魔改过的话建议测试确认一下是否配置正确。 |
 |
5
tediorelee 2022-02-13 00:39:33 +08:00
我超最近正好想搞 ipv6 ，同成都电信，求教教
|
|
6
LnTrx 2022-02-13 00:42:44 +08:00
值得一提的是，IPv6 下不能再依赖 IPv4 NAT 环境所形成的陈规。如果端口映射还需要设计协议由网关设备来处理，那 IPv6 就有种搞了个寂寞的感觉。
|
 |
7
duke807 2022-02-13 00:59:35 +08:00 via Android  2
覺得 ipv6 暴露公網不安全的建議不要用手機，因為手機都是 ipv6 暴露在公網的
對於電腦，不要用不安全的軟件及開不安全的服務，最好不要用不安全的系統，你們一定懂我說的是哪家系統 |
 |
8
acbot 2022-02-13 08:47:20 +08:00
目前除 OP 这些软路由之外其他绝大多数家用和企业级的路由器或者光猫这些硬件设备都不支持 v6 指定端口开放功能。有的设备甚至连关闭 v6 防火墙的功能都没有，入连接默认都是直接 drop 。如果你的设备支持关闭应该说现阶段已经很不错了。关闭之后配置好内网所有机器的系统防火墙问题不大的。因为默认情况下系统都是隔一段时间生成一个新的临时地址然后用这个地址上网。
|
|
10
troilus OP @tediorelee 我是直接进光猫 8080 的防火墙 里[启用 IPV6 SESSION ]关了就可以了
|
|
11
LnTrx 2022-02-13 15:02:33 +08:00
@acbot 有一个 IPv6 总开关就够了。
点对点直连才是互联网本来的样子。当用户被 IPv4 NAT 保护惯了，突然回到这种状态反而没有安全感，这才是反常。 SLAAC 的 IP 地址是变动的，本来就不太好配防火墙。精细的端口控制，留给那种 IP 地址固定的服务端场景就好了。 |
|
12
acbot 2022-02-13 16:36:48 +08:00
@LnTrx 问题就在于现在很多设备连这个总开关都不提供，很多所谓支持 v6 的设备仅仅是停留在对外访问的基础上。
SLAAC 也可以生成固定后缀的 ipv6 地址（通过 eui64 / stable-privacy 或者是自定义后缀实现）这样不论前缀怎么变化，防火墙通过负（反）掩码匹配固定后缀就可以实现指定设备指定端口开放。 |
 |
13
user10010 2022-02-14 10:31:12 +08:00
由于我宽带移机后，公网 ip 掉了，IOS 移动端也基本只能通过 IPV6 连回去。
我的主路由是小米，小米默认关闭了 wan-ipv6 访问路由器管理地址，所以只有在内网启一个其他设备，在该设备上获取公网 ipv6 地址，并开一个 v2rayserver ，自己在外网就通过 ipv6 连接该 v2 节点回家。 当然也可以更换主路由为 openwrt ，在上面配置 ipv6 防火墙，把内外设备 ipv6 分配功能关闭了，然后在 openewrt 上搭建一个 v2rayserver ，并开启该端口，外网就通过 ipv6 连接该 v2 节点回家。 |
|
14
user10010 2022-02-14 10:31:59 +08:00 1
@tediorelee 看我回复
|
 |
15
Dragonphy 2022-04-16 17:41:07 +08:00
现在我也遇到了相同的问题，所以，关掉「启用 IPV6 SESSION 」到底危不危险
|
Select Language