openwrt配置防火墙实现公网ipv6访问nas

mcgram

虽然ipv6多到可以给每粒沙子赋予一个地址，但粗暴的关闭防火墙把家里所有设备都暴露给公网总归有隐患。
我的环境是移动公网动态ipv6，这两天各种搜索，b站各种找教程，恩山都翻烂了。。。。。。试过socat，lucky，防火墙指令，最后还是在openwrt自带的图形界面设置成功的。

首页-网络-防火墙：
【常规设置】不用动。这页管着全局，优先性低于后面的端口转发和通信规则。
【端口转发】不用动。我试用只对ipv4起作用，可我这个版本的固件设置里面明明有ipv6选项，我猜是公网ipv6直达设备所以不存在转发？
【通信规则】拉到下面点添加，名字自定义，协议按照自己需求选择，
      源地址可留空或填运营商ipv6前缀比如移动是2409::/16，填上之后就只放行移动流量进入（这里指的是外网你用的运营商而非你家宽带的运营商），可填多个，
      源端口我试过填端口却不能访问不知道怎么回事所以留空，
      目标地址ipv6写法就是本帖发帖目的：
              设备的公网ipv6地址由八组字符组成，前四组由运营商决定经常变动即所谓动态ip，后四组是根据设备mac地址计算得出固定不变，规则就是复制你设备的ipv6地址后四组，在其前面加上两个冒号::，在其后面加上/::ffff:ffff:ffff:ffff，
              最后效果就是::1234:1234:1234:1234/::ffff:ffff:ffff:ffff。 有时会遇到设备固定ip部分不足四组，或者你觉得四组太长懒得打，只写最后一组也是可以，::1234/::ffff。只写后两组就这样 ::1234:1234/::ffff:ffff。自己变通。
      目标端口填你想访问的端口，多个端口号之间用空格分隔，想开放nas全部端口就留空，操作选接受，其他设置部分默认或按需设置。
最后保存，勾选，保存并应用，如果没起作用尝试启动项里重启firewall。

这样就实现了只暴露特定设备给外网并且无论该设备的动态ipv6如何变化都有效。



（补充一点，我遇到过后四组ipv6每次重启都变的情况，是n1盒子刷了armbian，不清楚是刷机后mac丢失还是armbian的隐私策略，需要固定mac，这里提醒一下诸位如遇到自行研究）

Ainndy

/::ffff:ffff:ffff:ffff这一部分是啥意思？

avin4

然后你还需要在公网IP变动后整个法子写shell script知道变动后的IP
所以你还需要DDNS
再然后提醒一下，运营商对于这种使用公网IP开放web端口对外提供服务的行为是很不爽的，协议里明令禁止，小心点。

wildess

avin4 发表于 2023-11-2 13:40
然后你还需要在公网IP变动后整个法子写shell script知道变动后的IP
所以你还需要DDNS
再然后提醒一下，运营 ...

我用这种方法很久了没问题，不过我不是nas，我是其他的网盘程序。

mailmei

lucky真是神器，架设FTP和域名一条龙，很好用，自带每步等免费域名规则填写简单，配个aria2下载和IPV6，真不错。

liaohcai

mailmei 发表于 2023-11-2 21:28
lucky真是神器，架设FTP和域名一条龙，很好用，自带每步等免费域名规则填写简单，配个aria2下载和IPV6，真 ...

安装也简单

cjh328

Ainndy 发表于 2023-11-2 12:54
/::ffff:ffff:ffff:ffff这一部分是啥意思？

这种写法是IPv6的地址匹配，ffff 对应位置的地址一致就能匹配上。
效果就是 IPv6-PD 前缀动态变化后规则还是有效的。

cjh328

avin4 发表于 2023-11-2 13:40
然后你还需要在公网IP变动后整个法子写shell script知道变动后的IP
所以你还需要DDNS
再然后提醒一下，运营 ...

1. ifstatus wan_6 |jsonfilter -e '@["ipv6-prefix"][0].address'

复制代码

这条命令可以获取 ISP 分配的动态 IPv6-PD

angelo1030

你怎么要搞那么麻烦看我的  大概意思就是 放行移动联通电信的IPV6 不过不上网海淘也不需要其他的地址

Ainndy

cjh328 发表于 2023-11-3 09:10
这种写法是IPv6的地址匹配，ffff 对应位置的地址一致就能匹配上。
效果就是 IPv6-PD 前缀动态变化后规则 ...

我看有些写法是在/后面加数字就行了

cjh328

就比如这个源地址写法， 2408::/16 ，这个是匹配 IPv6 前缀，
防火墙前缀写法就是允许网段内所有的主机，那不等于防火墙允许所有流量通过了

angelo1030

cjh328 发表于 2023-11-3 11:14
就比如这个源地址写法， 2408::/16 ，这个是匹配 IPv6 前缀，
防火墙前缀写法就是允许网段内所有的主机， ...

前面是所有地址  后面不是还有个端口么  类似IPV4的端口放行
再者用ipv6必须用域名 我这边是使用一个机顶盒挂ddns-go 解析所有域名再使用Nginx反向代理都通过80端口访问
示例
机顶盒 ubuntu系统开放80端口本地地址192.168.1.254外网地址XXXXX，使用ddns-go解析音乐.com，影视.com，小说，云笔记等为机顶盒IPV6地址，再使用Nginx反向代理
Nginx配置：
音乐.com指向音乐服务192.168.1.2:32400 通过80端口访问
视频.com指向视频服务192.168.1.2:8096 通过80端口访问
至于用机顶盒挂Nginx就是你说的安全问题

juskyle

好使  按照你的方法 我的也配置成功了

感谢!!!!!

15415415

我也发现 ipv6 开放ssh访问配置，防火墙通讯规则的源端口不能填写，填了反而不行。填写目标端口即可

Friday007

学无止境，多谢分享！