☰

OpenWrt 允许 IPv6 规则在本地区域访问具有全局 IPv6 的服务器

tag-icon • tag-icon firewall ipv6 isp openwrt dhcpv6
OpenWrt 允许 IPv6 规则在本地区域访问具有全局 IPv6 的服务器

首先，我有一个域，其 DNS 配置为指向我的设备全局地址，该地址在 dhcpcd.conf 中设置为静态，并使用我的 ISP 全局前缀 xxxx:xxxx:xxxx:de01::3/64。

我使用 Openwrt 路由器作为插入 ISP ONT 的主路由器。我的 IPv4 和 IPv6 互联网连接正常：我可以 ping 或 ping6 到互联网。从 OpenWRT，我的 ISP 为我提供了一个前缀委托 xxxx:xxxx:xxxx:de00/56。

当我用我的 ISP 路由器替换 OpenWRT 路由器时，我的 ISP（或者它自己，我不知道）给它地址 xxxx:xxxx:xxxx:de01::1/64。

通过 ISP 路由器，当我允许防火墙的流量时，可以通过互联网（我的 4G 手机）在地址 xxxx:xxxx:xxxx:de01::3 访问我的服务器，但由于我看到来自 ISP 的 /56 前缀，所以我有点困惑。

我尝试在 LAN 接口上将 IPv6 分配长度设置为 64，将 IPv6 分配提示设置为 1，现在我的 OpenWRT 路由器具有与 ISP 提供给原始路由器的相同地址（LAN1 上的 xxxx:xxxx:xxxx:de01::1/64）。因此，我尝试在防火墙上配置从 WAN 443 到 LAN xxxx:xxxx:xxxx:de01::3 443 的流量规则，但我的手机仍然无法访问我的服务器。

我可能遗漏了一些东西，因为我对 IPv6 还不熟悉，而且我测试了很多配置却没有达到我想要的效果，所以我无法理解发生了什么。

有人能帮助我深入了解到底发生了什么吗？

这是我的配置（OpenWRT 19.07）：

网络：

config interface 'loopback'
        option ifname 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option ula_prefix 'fda0:71fe:ea0f::/48'

config interface 'lan'
        option proto 'static'
        option ipaddr '192.168.1.1'
        option netmask '255.255.255.0'
        option ifname 'lan1'
        option ip6class 'wan6'
        option ip6assign '64'
        option ip6hint '1'

config interface 'wan'
        option ifname 'lan0'
        option proto 'dhcp'
        option vendorid 'neufbox_NB6V-MAIN-bypassed'

config interface 'wan6'
        option ifname 'lan0'
        option proto 'dhcpv6'
        option reqprefix 'auto'
        option reqaddress 'try'

防火墙：

config defaults
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'REJECT'
        option synflood_protect '1'

config zone
        option name 'lan'
        list network 'lan'
        option input 'ACCEPT'
        option output 'ACCEPT'
        option forward 'ACCEPT'

config zone
        option name 'wan'
        list network 'wan'
        list network 'wan6'
        option output 'ACCEPT'
        option mtu_fix '1'
        option input 'REJECT'
        option forward 'REJECT'
        option masq '1'

config forwarding
        option src 'lan'
        option dest 'wan'
config rule
        option name 'Allow-DHCP-Renew'
        option src 'wan'
        option proto 'udp'
        option dest_port '68'
        option target 'ACCEPT'
        option family 'ipv4'

config rule
        option name 'Allow-Ping'
        option src 'wan'
        option proto 'icmp'
        option icmp_type 'echo-request'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-IGMP'
        option src 'wan'
        option proto 'igmp'
        option family 'ipv4'
        option target 'ACCEPT'

config rule
        option name 'Allow-DHCPv6'
        option src 'wan'
        option proto 'udp'
        option src_ip 'fc00::/6'
        option dest_ip 'fc00::/6'
        option dest_port '546'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-MLD'
        option src 'wan'
        option proto 'icmp'
        option src_ip 'fe80::/10'
        list icmp_type '130/0'
        list icmp_type '131/0'
        list icmp_type '132/0'
        list icmp_type '143/0'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Input'
        option src 'wan'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        list icmp_type 'router-solicitation'
        list icmp_type 'neighbour-solicitation'
        list icmp_type 'router-advertisement'
        list icmp_type 'neighbour-advertisement'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-ICMPv6-Forward'
        option src 'wan'
        option dest '*'
        option proto 'icmp'
        list icmp_type 'echo-request'
        list icmp_type 'echo-reply'
        list icmp_type 'destination-unreachable'
        list icmp_type 'packet-too-big'
        list icmp_type 'time-exceeded'
        list icmp_type 'bad-header'
        list icmp_type 'unknown-header-type'
        option limit '1000/sec'
        option family 'ipv6'
        option target 'ACCEPT'

config rule
        option name 'Allow-IPSec-ESP'
        option src 'wan'
        option dest 'lan'
        option proto 'esp'
        option target 'ACCEPT'

config rule
        option name 'Allow-ISAKMP'
        option src 'wan'
        option dest 'lan'
        option dest_port '500'
        option proto 'udp'
       option target 'ACCEPT'

config rule
        option name 'Support-UDP-Traceroute'
        option src 'wan'
        option dest_port '33434:33689'
        option proto 'udp'
        option family 'ipv4'
        option target 'REJECT'
        option enabled '0'

config include
        option path '/etc/firewall.user'

config rule
        option name 'server_80'
        list proto 'tcp'
        option src 'wan'
        option src_port '80'
        option dest 'lan'
        option dest_port '80'
        option target 'ACCEPT'
        list dest_ip 'xxxx:xxxx:xxxx:de01::3'
        option family 'ipv6'

config rule
        option name 'Server_443'
        list proto 'tcp'
        option src 'wan'
        option src_port '443'
        option dest 'lan'
        option dest_port '443'
        option target 'ACCEPT'
        list dest_ip 'xxxx:xxxx:xxxx:de01::3'
        option family 'ipv6'

答案1

因此，我通过在firewall.user中添加自定义规则来使其工作。要使用全局 IPv6 在特定 Lan 设备上打开特定端口，我执行以下操作：

ip6tables -t filter -I FORWARD 1 -p tcp --dport 443 -d xxxx:xxxx:xxxx:de01::3 -j ACCEPT

相关内容