IPv6 从入门到公网直连：OpenWrt PD 下发、防火墙、DDNS、隧道兜底全流程

---

### 2. OpenWrt / iStoreOS 核心配置（主路由模式为例）

#### 2.1 网络 → 接口 → WAN / WAN6

```text
【WAN】(IPv4 PPPoE)
协议: PPPoE
用户名/密码: 运营商给的
IPv6 设置: 勾选「请求 IPv6 前缀 (PD)」
PD 请求长度: 56  (或 60，视运营商下发)
PD 分配长度: 64  (每个 LAN 切 /64)

【WAN6】(IPv6 独立接口，可选)
协议: DHCPv6 客户端
请求 IPv6 地址: 勾选
请求 IPv6 前缀 (PD): 勾选
PD 请求长度: 56
自定义 DUID: 留空（或填固定值，防重拨前缀变）

协议: 静态地址
IPv6 分配长度: 64  (每个 LAN /64)
IPv6 分配提示: ::1 / ::2 / ::3 ...  (不同 LAN 填不同 hint，避免冲突)
IPv6 分配模式: 「路由通告 (RA) + 无状态 DHCPv6」  (推荐)
或「有状态 DHCPv6」  (需固定后缀时)
RA 生命周期: 1800 秒
RA 最小间隔: 200 秒

本地 IPv6 DNS 服务器: 勾选（OpenWrt 自身做 DNS）
IPv6 动态 DNS: 如需自动注册主机名 → 勾选「启用动态 DNS (DHCPv6)」
DHCPv6 服务: 「仅无状态」或「有状态」（按需）
RA 服务: 「服务器模式」
NDP 代理: 如有旁路网关/多子网需勾选

# Linux/macOS/Windows/手机连上 LAN 后，无需任何配置
ip -6 addr show scope global
# 应看到：2001:db8:abcd:1::xxxx:xxxx:xxxx:xxxx/64  (GUA)
# 以及：fe80::xxxx:xxxx:xxxx:xxxx/64  (Link-Local)
# 临时地址（隐私扩展）：2001:db8:abcd:1::yyyy:yyyy:yyyy:yyyy/64 scope global temporary dynamic

# 测试直连
ping -6 ipv6.google.com
curl -6 https://ipv6.ip.sb

# 监听双栈
server {
    listen 80;
    listen [::]:80;          # 关键：方括号括起 IPv6
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name nas.example.com;
    # ...
}

# docker-compose.yml
services:
  jellyfin:
    network_mode: host      # 直接监听宿主机 [::]:8096
    # 或 bridge 模式 + 端口映射
    # ports:
    #   - "8096:8096"
    #   - "[::]:8096:8096"  # 显式双栈映射

# /etc/ssh/sshd_config
ListenAddress 0.0.0.0
ListenAddress ::

# /etc/samba/smb.conf
[global]
  bind interfaces only = yes
  interfaces = lo eth0  # IPv6 自动包含

# 安装
opkg update && opkg install ddns-scripts_ cloudflare.com-v4v6  # 或 aliyun.com-v4v6

config ddns 'global'
    option date_format '%F %R'
    option log_lines '250'

config service 'ipv6_cf'
    option enabled '1'
    option interface 'wan'          # 或 wan6
    option ip_source 'network'
    option ip_network 'wan6'
    option use_syslog '2'
    option use_https '1'
    option cacert '/etc/ssl/certs/ca-certificates.crt'
    option service_name 'cloudflare.com-v4v6'
    option domain 'nas.example.com'
    option username '[email protected]'
    option password 'CF_Global_API_Key_或_Token'
    option check_interval '10'
    option force_interval '72'
    option retry_interval '60'
    option ip_version 'ipv6'

/etc/init.d/ddns enable && /etc/init.d/ddns start
logread -f -e ddns

services:
  ddns-updater:
    image: qmcgaw/ddns-updater:latest
    container_name: ddns-updater
    restart: unless-stopped
    environment:
      - TZ=Asia/Shanghai
      - PROVIDER=cloudflare
      - DOMAINS=nas.example.com,ha.example.com
      - TOKEN=your_cf_token
      - IPV4=false
      - IPV6=true
      - SCHEDULE=@every 5m
    volumes:
      - /data/config/ddns-updater:/config

# 1. HE 官网创建 Tunnel → 记下 Server IPv4、Client IPv6、Routed /48
# 2. OpenWrt 安装 6in4 包
opkg install 6in4
# 3. 网络 → 接口 → 新建接口 HE-IPv6
# 协议: 6in4
# 对端 IPv4: HE 给的 Server IPv4
# 本地 IPv6: HE 给的 Client IPv6 (如 2001:470:xxxx:xxxx::2/64)
# 路由前缀: HE 给的 Routed /48 (如 2001:470:yyyy::/48)
# 防火墙区域: wan
# 4. 启用 → 自动在 LAN 下发 /64 子网

#!/usr/bin/env bash
set -euo pipefail
LOG=/var/log/ipv6-check.log
exec >>"$LOG" 2>&1
echo "===== $(date -Is) IPv6 健康检查 ====="

# 1. WAN 口 IPv6
WAN6=$(ip -6 addr show dev wan scope global 2>/dev/null | head -1)
echo "WAN IPv6: ${WAN6:-无}"

# 2. PD 前缀
PD=$(ip -6 route show table all | grep -E '::/56|::/60' | head -1)
echo "PD 前缀: ${PD:-无}"

# 3. LAN 设备 IPv6
LAN6=$(ip -6 addr show dev br-lan scope global 2>/dev/null | head -1)
echo "LAN IPv6: ${LAN6:-无}"

# 4. 外网连通性
ping -6 -c 2 -W 3 ipv6.google.com >/dev/null 2>&1 && echo "IPv6 连通: ✅" || echo "IPv6 连通: ❌"

# 5. DDNS 解析是否匹配当前 WAN IPv6
CURRENT=$(ip -6 addr show dev wan scope global | awk '/inet6/{print $2}' | cut -d/ -f1 | head -1)
DNS=$(dig +short AAAA nas.example.com @1.1.1.1 | head -1)
if [[ "$CURRENT" == "$DNS" ]]; then
    echo "DDNS 同步: ✅ ($CURRENT)"
else
    echo "DDNS 同步: ❌ 当前 $CURRENT vs DNS $DNS"
fi

# 6. 防火墙关键规则
for t in 1 2 3 4 128 129 130 131 132 133 134 135 136; do
    iptables -t filter -C forwarding_wan_rule -p ipv6-icmp --icmpv6-type $t -j ACCEPT 2>/dev/null || echo "缺失 ICMPv6 type $t 转发规则"
done

echo "===== 检查结束 ====="

chmod +x /usr/local/bin/check-ipv6.sh
# 加入 crontab 每 10 分钟
echo "*/10 * * * * /usr/local/bin/check-ipv6.sh" >> /etc/crontabs/root
/etc/init.d/cron restart

# docker-compose.yml：macvlan 让容器直接拿 LAN 侧公网 IPv6
networks:
  macvlan_net:
    driver: macvlan
    driver_opts:
      parent: br-lan      # 或 eth0
      mode: bridge
    ipam:
      config:
        - subnet: "2001:db8:abcd:1::/64"   # 必须是 LAN 实际前缀
          gateway: "2001:db8:abcd:1::1"

services:
  jellyfin:
    image: jellyfin/jellyfin:latest
    networks:
      macvlan_net:
        ipv4_address: 192.168.10.50
        ipv6_address: 2001:db8:abcd:1::50
    # 容器内直接拥有公网 IPv6，无需端口映射