室外到室内弱电箱自己拉三根光纤，方便以后安装多条宽带（血的教训）。室内什么头子都不要紧，跟安宽带的师傅搞好关系，给包烟钱让帮你熔接下头子

@zhs1113 firewall.user 肯定要执行权限才能运行。我是 19.07 ，不用改 28 楼的也没问题。
多个设备那个，-A 是附加到链的最后，先添加的先匹配。我不知道为什么用-A 添加的规则执行不了就用-I 插入到链的开头，后插入的先执行。所以你的规则要么把-A 改成-I，要么把顺序调换下就行了

对于我来说 IPv6 目前最大的意义就是没有公网 IP 的移动宽带和电信互联，对比 IPv4 没有 QoS，直接在本地互联而不会泡省会。

光猫路由器难道不应该默认阻止入站流量吗？不然就是巨大的安全漏洞

@lzl2000 padavan 的 LAN 接口是 br0，如果你只有一个设备需要 IPv6 的话就按 cwbsw 的写法一条命令用! mac-source 写，如果几个设备的话就按我的写法写，注意顺序，后写的先匹配

@lzl2000 ip6tables 规则已经贴出来了，放到自定义防火墙规则里就行了

@JankinAnn 我这联通 IPv6 国内速度也很渣，到其他家宽和到 IDC 都渣，不过竟然没屏蔽 80 端口，带宽和 v4 限制一样。电信和移动互联就很好，而且 UDP 也没有 QoS，IPv4 都要到省会互联，v6 直接在本地就互联了

@qingxi 这不是找到方案了么，iptables 分机器允许下发，操作也简单。dns 方案不够完美，我工作的机器也需要能查询 AAAA 记录，而且经常用到，但是我不想浏览器访问 IPv6 地址

@qingxi 我需要这台机器上有完整的 IPv6 环境，可以做测试，DNS 的方案不太合适

不响应 icmp，使用高位非标准端口，默认 DROP 所有入站包（而不是 REJECT ），这样差不多可以避免绝大多数的扫描，除非专门故意针对你一个人。我用公网 IP 几个月了，没有任何被扫描爆破的记录

@DSLAM https://c.speedtest.net/speedtest-servers-static.php

联通
Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Unicom Liaoning
Latency: 45.03 ms (0.25 ms jitter)
Download: 60.40 Mbps (data used: 57.6 MB)
Upload: 25.10 Mbps (data used: 38.9 MB)
Packet Loss: 0.0%

电信
Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Telecom
Latency: 55.78 ms (128.79 ms jitter)
Download: 0.67 Mbps (data used: 922.6 kB)
Upload: 5.49 Mbps (data used: 8.6 MB)
Packet Loss: 2.7%

真不错，瞬间跑满带宽
speedtest -s 32155

Speedtest by Ookla

Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Mobile Guangdong
Latency: 50.86 ms (0.10 ms jitter)
Download: 380.72 Mbps (data used: 510.1 MB)
Upload: 136.02 Mbps (data used: 195.5 MB)
Packet Loss: 0.0%

@aulong 一个是业务端口的 vlan id 设置，区分 internet 、tr069 那些，还有个是 igmp 里面的组播 vlan id，你两个都设置好了么，两个值不一样

路由器接光猫 iptv 口，手动设置个 IP，udpxy 把组播转成 http 就可以看了，或者局域网直接看组播也可以。组播没有验证，没开 IPTV 业务也可以看，甚至停了宽带也可以看。如果你的光猫里没有设置 IPTV 的话，你需要找人问下 IPTV 业务的 VLAN ID 。

电视上建议 tivimate 这个软件

@swiftg #36，我自己规则没有指定 lan 接口，按照 @cwbsw 的规则加上-i br-lan，WAN 口就也可以获取 IPv6 地址了。

自此问题完美解决，感谢楼上各位大佬的耐心解答指导

@cwbsw 我是写到 firewall.user 的，可能之前手动重启的间隙获取的，目前几个小时过去了没有任何问题了。唯一的小瑕疵，WAN 口也不能获取地址，路由本身不能监听 IPv6 端口了

@cwbsw 十分感谢！我现在用的 openwrt 19.07 和 padavan 。这样手动设置防火墙后貌似可以达到我想要的效果了，openwrt 上的其他设备偶尔还会获得 IPv6 地址，搞不懂为什么，可能防火墙重启了？

openwrt 上设置为
Router Advertisement-Service: Server Mode
DHCPv6-Service: Server Mode
NDP-Proxy: Disabled
DHCPv6-Mode: Stateful only

padavan 上设置为
WAN: Stateless RA
通过 DHCP 获取内网 IPv6 地址:是
启用 LAN 路由器广播: 是
启用 LAN DHCPv6 服务器: Stateful

两个路由器上都用的同样的规则
ip6tables -I INPUT -p udp --dport 547 -j DROP
ip6tables -I INPUT -p icmpv6 -j DROP
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDR --dport 547 -j ACCEPT
ip6tables -I INPUT -p icmpv6 -m mac --mac-source NAS_MAC_ADDR -j ACCEPT

@cwbsw 谢谢。我路由器关闭 RA，nas 上手动添加默认 IPv6 路由，还是 Network is unreachable，ip -6 r add default via fe80::6238:e085:ff05:c9d7 dev ens3，和 RA 自动获取的是一模一样的

@updateing openwrt 里没有 stateful，我猜应该就是对应的 server mode，无论设置为 server mode 还是 relay mode，局域网设备都可以自动获取 IPv6 地址。搜索资料发现 RA 走的 ICMPv6，我就在防火墙把所有 ICMPv6 包 DROP 了，然后单独 ACCEPT nas 的。现在看应该是没问题了。luci 里防火墙设置规则并且拖到最上面不起作用，必须要 ssh 进去手动输 ip6tables 命令才行。

```
ip6tables -I INPUT -p udp --dport 546 -j DROP
ip6tables -I INPUT -p udp --dport 547 -j DROP
ip6tables -I INPUT -p icmpv6 -j DROP
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDRESS --dport 546 -j ACCEPT
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDRESS --dport 547 -j ACCEPT
ip6tables -I INPUT -p icmpv6 -m mac --mac-source NAS_MAC_ADDRESS -j ACCEPT
```