@lzl2000 padavan 的 LAN 接口是 br0，如果你只有一个设备需要 IPv6 的话就按 cwbsw 的写法一条命令用! mac-source 写，如果几个设备的话就按我的写法写，注意顺序，后写的先匹配

@lzl2000 ip6tables 规则已经贴出来了，放到自定义防火墙规则里就行了

@JankinAnn 我这联通 IPv6 国内速度也很渣，到其他家宽和到 IDC 都渣，不过竟然没屏蔽 80 端口，带宽和 v4 限制一样。电信和移动互联就很好，而且 UDP 也没有 QoS，IPv4 都要到省会互联，v6 直接在本地就互联了

@qingxi 这不是找到方案了么，iptables 分机器允许下发，操作也简单。dns 方案不够完美，我工作的机器也需要能查询 AAAA 记录，而且经常用到，但是我不想浏览器访问 IPv6 地址

@qingxi 我需要这台机器上有完整的 IPv6 环境，可以做测试，DNS 的方案不太合适

不响应 icmp，使用高位非标准端口，默认 DROP 所有入站包（而不是 REJECT ），这样差不多可以避免绝大多数的扫描，除非专门故意针对你一个人。我用公网 IP 几个月了，没有任何被扫描爆破的记录

@DSLAM https://c.speedtest.net/speedtest-servers-static.php

联通
Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Unicom Liaoning
Latency: 45.03 ms (0.25 ms jitter)
Download: 60.40 Mbps (data used: 57.6 MB)
Upload: 25.10 Mbps (data used: 38.9 MB)
Packet Loss: 0.0%

电信
Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Telecom
Latency: 55.78 ms (128.79 ms jitter)
Download: 0.67 Mbps (data used: 922.6 kB)
Upload: 5.49 Mbps (data used: 8.6 MB)
Packet Loss: 2.7%

真不错，瞬间跑满带宽
speedtest -s 32155

Speedtest by Ookla

Server: China Mobile Hong Kong - Hong Kong (id = 32155)
ISP: China Mobile Guangdong
Latency: 50.86 ms (0.10 ms jitter)
Download: 380.72 Mbps (data used: 510.1 MB)
Upload: 136.02 Mbps (data used: 195.5 MB)
Packet Loss: 0.0%

@aulong 一个是业务端口的 vlan id 设置，区分 internet 、tr069 那些，还有个是 igmp 里面的组播 vlan id，你两个都设置好了么，两个值不一样

路由器接光猫 iptv 口，手动设置个 IP，udpxy 把组播转成 http 就可以看了，或者局域网直接看组播也可以。组播没有验证，没开 IPTV 业务也可以看，甚至停了宽带也可以看。如果你的光猫里没有设置 IPTV 的话，你需要找人问下 IPTV 业务的 VLAN ID 。

电视上建议 tivimate 这个软件

@swiftg #36，我自己规则没有指定 lan 接口，按照 @cwbsw 的规则加上-i br-lan，WAN 口就也可以获取 IPv6 地址了。

自此问题完美解决，感谢楼上各位大佬的耐心解答指导

@cwbsw 我是写到 firewall.user 的，可能之前手动重启的间隙获取的，目前几个小时过去了没有任何问题了。唯一的小瑕疵，WAN 口也不能获取地址，路由本身不能监听 IPv6 端口了

@cwbsw 十分感谢！我现在用的 openwrt 19.07 和 padavan 。这样手动设置防火墙后貌似可以达到我想要的效果了，openwrt 上的其他设备偶尔还会获得 IPv6 地址，搞不懂为什么，可能防火墙重启了？

openwrt 上设置为
Router Advertisement-Service: Server Mode
DHCPv6-Service: Server Mode
NDP-Proxy: Disabled
DHCPv6-Mode: Stateful only

padavan 上设置为
WAN: Stateless RA
通过 DHCP 获取内网 IPv6 地址:是
启用 LAN 路由器广播: 是
启用 LAN DHCPv6 服务器: Stateful

两个路由器上都用的同样的规则
ip6tables -I INPUT -p udp --dport 547 -j DROP
ip6tables -I INPUT -p icmpv6 -j DROP
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDR --dport 547 -j ACCEPT
ip6tables -I INPUT -p icmpv6 -m mac --mac-source NAS_MAC_ADDR -j ACCEPT

@cwbsw 谢谢。我路由器关闭 RA，nas 上手动添加默认 IPv6 路由，还是 Network is unreachable，ip -6 r add default via fe80::6238:e085:ff05:c9d7 dev ens3，和 RA 自动获取的是一模一样的

@updateing openwrt 里没有 stateful，我猜应该就是对应的 server mode，无论设置为 server mode 还是 relay mode，局域网设备都可以自动获取 IPv6 地址。搜索资料发现 RA 走的 ICMPv6，我就在防火墙把所有 ICMPv6 包 DROP 了，然后单独 ACCEPT nas 的。现在看应该是没问题了。luci 里防火墙设置规则并且拖到最上面不起作用，必须要 ssh 进去手动输 ip6tables 命令才行。

```
ip6tables -I INPUT -p udp --dport 546 -j DROP
ip6tables -I INPUT -p udp --dport 547 -j DROP
ip6tables -I INPUT -p icmpv6 -j DROP
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDRESS --dport 546 -j ACCEPT
ip6tables -I INPUT -p udp -m mac --mac-source NAS_MAC_ADDRESS --dport 547 -j ACCEPT
ip6tables -I INPUT -p icmpv6 -m mac --mac-source NAS_MAC_ADDRESS -j ACCEPT
```

@cwbsw 谢谢你的提醒，我发现之前屏蔽了 DHCPv6 后客户端获取的 IP 果然是通过 RA 获取的。

我尝试关闭 RA，可是 nas 虽然有 DHCPv6 获取的 IPv6 地址，却不能上网了，出站都是 Network is unreachable

@hand515 三家的 IPv6 出口带宽都太小，V 站联通走日本，但是延迟炸裂，移动走香港，电信走美国，丢包都很严重，总之出国根本没法使用

@Archeb 我也是这么想的，但是我尝试屏蔽内网所有的 DHCPv6 流量（ udp 546，547 端口），但是没有成功，设备照样可以获取 IPv6 地址。

可否指导下怎么设置防火墙？