笔误，一年 600 的是 50/10，100/20 一年 960 。

100/20 一年 600 。

然而我们这 360 一年的天天宽带是 20/4 。

他家的硬件确实性价比挺高的，但是软件太拉垮了。

@evemoo
iptables -t nat -I PREROUTING 1 -i eth0 -p tcp --dport 22 -j ACCEPT

@guanyin8cn
可能和这个东西有关。
Support for HTTPSSVC records in DNS.
When enabled, Chrome may query a configured DoH server for HTTPSSVC records. If any HTTPSSVC records are returned, Chrome may upgrade the URL to HTTPS. If the records indicate support for QUIC, Chrome may attempt QUIC on the first connection. – Mac, Windows, Chrome OS, Android

#dns-httpssvc

"Answer": [
{
"name": "v2ex.com.",
"type": 65,
"TTL": 299,
"data": "1 . alpn=h3-29,h3-28,h3-27,h2 ipv4hint=104.20.9.218,104.20.10.218,172.67.3.188 ipv6hint=2606:4700:10::6814:9da,2606:4700:10::6814:ada,2606:4700:10::ac43:3bc"
}
]

@guanyin8cn
我这里不行，SNI 阻断了。
你不要直连，关不关 QUIC 都不影响的。Google 全系开启 QUIC 很多年了，不管 UDP 有没有墙都不影响正常访问。

@evemoo DNAT 前加个规则排除掉吧。

V2 不是被墙了吗，这个 IP 就是 GFW 伪造的用来中断连接的源地址吧。
不过浏览器应该是 TCP 443 连接成功之后才会尝试连接 UDP 443 的，这里面或许有什么别的机制导致了楼主的结果。

主路由上 REJECT 所有 443 、80 端口的 IPv6 出站流量，简单粗暴，还不影响 BT 。

那么我再提醒一下 Microsoft Authenticator 的云同步也不靠谱，请不要被虚假的安全感迷惑而忽略本地备份。

@guanyin8cnq12
现在 TLS 也没法用了。
https://v2ex.com/t/788719

@evemoo
"让 NS 数据走隧道到服务器后再进行 NAT 转换" 你本来就是这样了啊。我看你的拓扑，OpenWrt 没有做 NAT，VPS 上 AllowedIP 也写了 NS 地址。
我的意思是不要用 FullCone 补丁，简单粗暴地把所有入站流量全部转发到 NS 。
iptables -t nat -I POSTROUTING -o eth0 -s 192.168.1.222 -j SNAT --to-source eth0's address
iptables -t nat -I PREROUTING -i eth0 -j DNAT --to-destination 192.168.1.222
类似这样。
另外据 Support，Type B 应该是不影响联机的。
https://www.support.com/how-to/how-to-change-nat-type-on-nintendo-switch-12474

不用 FullCone 补丁，入站流量全部 DNAT 到 NS 呢？

x265 竟然只慢 10%，那换 x264 搞不好能持平甚至反超。

@cwbsw 准确地说，似乎 Firefox 比 Safari 功耗要低一点点。

@tomari
@bigwhite
斗鱼吗，这玩意我台式机都有点卡卡的。但是 M1 完全能 Hold 住。刚看了下小核占用 40%多，大核占用不到 20%，Package 总功耗不到 1W 。不过 Safari 和斗鱼有点兼容性问题，换 Firefox 正常，功耗表现和 Safari 基本一致。

“光猫里面的 V6 防火墙无法设置放行” ——非常可能，所以尽量改桥接。