开启 3 天免费试用
注册即可免费体验全部高级功能。
*仅限新用户；每位用户只能获得一次试用。
OpenWrt IPv6 前缀委派：网络与防火墙检查
Ryan Foster
2026年10月11日· 7 分钟阅读
OpenWrt IPv6 前缀委派把 ISP 提供的地址块分给下游网络，与仅获得一个 WAN 地址不同。委派块、LAN 通告、客户端路由和防火墙方向须分开核验，尤其要在 ISP 更换前缀后复查。
关键要点
- WAN 地址不能证明已有可分给 LAN 的委派前缀。
- RA 提供路由器信息；DHCPv6 不能替代默认路由器通告。
- 路由器 input 和 LAN forward 规则保护不同目的地。
- 保留必要 ICMPv6，不用全禁来排障。
- 恢复本地配置不能强制 ISP 重新发放旧前缀。
OpenWrt IPv6 前缀委派需要什么条件？
本文适用于 OpenWrt 25.12 稳定系列、fw4/nftables、支持 DHCPv6 前缀委派的 ISP，以及一个受控下游 LAN。步骤依据官方文档和标准，未进行完整路由器端到端实测。验证表中的现象与失败处理是读者验收条件，不是作者测量结果。［1］
修改共享路由前，先完成网络责任与恢复检查。若 OpenWrt 只是同网段旁路网关，不要在该 LAN 再开 RA 服务来假装下游路由网络。先找出真正接收 ISP 委派的路由器。
若仍按 IPv4 端口映射理解 IPv6 地址，先读 IPv4 与 IPv6 地址差别。公网地址分配与访问私有服务是不同任务，家庭网关与互联网出口比较可帮助选择。本文不会创建远程访问服务。
步骤 1：保存基线，分清 WAN、PD 和 LAN
使用正常的有线 IPv4 管理入口，不能依赖即将修改的 IPv6。新建会话并确认本地恢复方法。将 network、DHCP、防火墙配置私密备份到路由器之外，同时记录含地址的服务信息及动态 DNS 设置。
在 Network → Interfaces 找到实际 IPv6 上游逻辑接口，可能叫 wan6，PPP 也可能自动生成 wan_6。先检查已有接口，再决定是否需要 DHCPv6 客户端，避免重复。分别记录委派前缀、长度及寿命、下游分配和客户端地址。［2］
| 对象 | 检查内容 | 不能证明什么 |
|---|---|---|
| WAN 地址 | 上游接口地址及路由 | ISP 已为 LAN 委派地址空间 |
| 委派前缀 | IPv6-PD 地址块及寿命 | LAN 通告或防火墙策略正确 |
| LAN 分配 | 从委派块划出的子网 | 每个客户端都有可用默认路由 |
| 客户端地址 | 全局、本地及链路本地地址 | 外部主机能连接服务 |
| 默认路由 | 实际下一跳及接口 | DNS 和返程正常 |
ISP 未提供 PD 时，停止本路径，询问其支持的下游配置。不要复制无关静态前缀，也不要悄悄改为 NDP 代理、中继或 NAT66；它们是前提不同的其他设计。2001:db8::/32 等文档地址只是占位，绝不能作为真实 ISP 分配使用。
步骤 2：请求 OpenWrt DHCPv6 PD，给一个 LAN 分配子网
在既有上游 DHCPv6 接口查看 Request IPv6-prefix of length。除非 ISP 明确要求其他值，通常从 auto 开始，对应 UCI reqprefix。这是请求，不能强迫 ISP 分配指定大小。保留上游前缀委派功能，以便向下游分配。［2］
在受控 LAN 将 IPv6 assignment length 设为 64，即 ip6assign: 64，用于这个普通客户端子网。委派 /56 或 /60 能容纳多个 /64 LAN；只得到一个 /64 不能为每个 VLAN 再提供独立 /64。不要用重叠分配“修复”空间不足。
只有需要指定可用空间内的优选子前缀标识才用 ip6hint；只有有意选择前缀来源才用 ip6class。它们不能创造不存在的 ISP 委派。检查实际分配，不假定请求的 hint 一定获满足。［2］
每次只通过 LuCI 应用一项改动，再读接口状态。不要反复重启 WAN 来碰运气找回偏好的前缀。上游无 PD 或 LAN 未获分配，就停在这一层，不先改应用或入站防火墙。
步骤 3：检查通告、地址及客户端路由
在这个路由下游 LAN 的 DHCP IPv6 设置检查 RA-Service 和 DHCPv6-Service，采用符合现有客户端设计的 server 角色。不能因为论坛示例用了就打开 relay 或 NDP 代理；上游接口不应发出这些下游通告。［2］［3］
RA 提供默认路由器信息，并可支持 SLAAC 地址配置。DHCPv6 能提供其他配置，受支持客户端也可据此获地址；只有 DHCPv6 信息不能证明已有默认 IPv6 路由器。多个全局地址、临时隐私地址和链路本地地址可以合法并存，先分类再判断请求使用哪个来源。［4］
在 OpenWrt 把下面 wan6 替换为实际上游接口。这是检查命令，没有示例输出，也不证明 ISP 会提供某种前缀。公开家庭地址或完整诊断导出前应检查隐私内容。［3］
ifstatus wan6
ifstatus lan
ip -6 address show
ip -6 route show
ip -6 rule show
Linux 测试客户端可查看 ip -6 address show 和 ip -6 route show，其他系统使用对应地址及路由视图。确认新请求使用当前全局来源及预期路由器。分别测试客户端到路由器、路由器到上游、客户端到上游；路由器成功不能证明 LAN 转发正常。
OpenWrt IPv6 防火墙如何处理入站？
用 input 规则保护路由器，用 forward 规则保护下游主机。fw4 中指定目的区域的规则涉及转发；没有目的区域通常指向路由器本机。审查实际生成规则和区域成员，不能只凭地址匹配推断方向。［5］
WAN 管理默认保持拒绝，不增加 LuCI 或 SSH 的 WAN input ACCEPT，也不为让服务可达而全开 WAN 到 LAN。保留 DHCPv6 客户端所需流量和必要 ICMPv6；邻居发现、路径 MTU 和错误信令依赖 ICMPv6，无差别拦截会破坏本来有效的连接。［2］［4］［6］
有意公开私有服务前，先采用受限 NAS 访问设计。授权公网测试必须明确当前目标、协议、端口、来源限制及主机防火墙。全局地址不等于允许暴露管理界面，没有 IPv4 式 NAT 也不等于没有 IPv6 防火墙保护。
步骤 4：复查前缀变化，使用获授权外部证据
观察自然变化，或在获准窗口只续租、重连授权测试上游。记录新旧 PD、有效及优选寿命、下游分配。不要反复中断全家连接来强迫变化，也不能保证换前缀。
检查防火墙、DNS 记录、允许名单、服务绑定和监控中写死的地址。若接口或区域策略能准确表达权限，优先避免硬编码 ISP 前缀。旧地址规则可能不再匹配，过宽替代又可能暴露其他设备。保留来源限制，只更新本次负责的引用。
旧地址可能对现有连接仍有效，却已不适合新连接。检查通告寿命、来源选择和新会话，不要删除客户端全部 IPv6 地址。RFC 4861 和 RFC 4862 描述通告及地址寿命，实际过渡由 ISP 和客户端决定。［4］
| 检查方法 | 预期现象 | 失败处理 |
|---|---|---|
| 重读 PD 与 LAN 状态 | 当前 LAN 子网属于真实委派块 | 先查 ISP 委派和分配，再查客户端 |
| 检查客户端 RA、地址、默认路由 | 有当前来源及正确下一跳 | 检查通告和客户端配置 |
| 新建获准 IPv6 出站请求 | 路由器与客户端各自路径正常 | 分离来源路由、转发、DNS 和返程故障 |
| 从授权独立 IPv6 网络尝试路由管理 | 无成功 WAN 管理会话 | 停止并撤销意外 input 权限 |
| 测试有意许可的服务及一个未许可端口 | 只有约定服务可连接 | 检查路由转发、主机防火墙、绑定及 ISP 过滤 |
| 仅重连或重启测试路由器后复测 | 保存意图保留，地址引用仍有效 | 恢复本次改动并重读当前 PD |
在客户端核对可见公网 IPv6 出口，把它与入站访问分开。有隧道时再检查非预期 IPv6 绕行。出站网页响应不能证明 WAN 管理已阻断。
没有获授权外部 IPv6 观察点，入站核验就记录为未执行，不能声称公网暴露验收完成。外部请求失败本身也不能定位阻断点，要与路由器计数器、主机防火墙及服务状态对应。仅观察获准主机和端口，不扫描其他用户网络。
步骤 5：恢复配置，不能假装恢复 ISP 分配
只撤销本次 reqprefix、LAN 分配、通告改动，以及临时服务权限或地址引用。在各自所属的配置中恢复记录的原值，保留之后无关编辑。高风险应用前先重新接入独立有线管理路径。
恢复后重读目前实际委派及 LAN 分配。ISP 可能保留新前缀；恢复配置备份不能预约或找回旧前缀。让 DNS 和精确地址规则与当前授权地址一致，确认服务使用情况后才删除过期引用。
关闭临时外部测试权限，停止自己创建的测试服务，从授权外部样本验证不再可达。再测正常 LAN DNS、IPv4/IPv6 新请求和新本地管理会话。无法证实恢复就停止后续修改并本地恢复，不能放宽防火墙凑通。
总结
- 分别核验 WAN 地址、前缀委派及 LAN 分发。
- 通告和默认路由必须符合真实下游拓扑。
- 独立审查 input、forward 和必要 ICMPv6。
- 恢复配置意图，并与 ISP 当前前缀核对。
常见问题
WAN 有全局地址就说明 LAN 已获委派吗？
不是。WAN 地址和委派是独立结果。先查看 IPv6-PD 块及下游分配，再期待客户端获得全局可路由地址。
请求 /56 能强迫 ISP 提供吗？
不能。请求受 ISP 服务和分配策略约束。使用其支持的设置，拓扑需要的空间超过委派时应停止。
客户端有地址却不能 IPv6 上网，为何？
可能缺少默认路由器通告、有效来源选择、转发许可或上游返程。分别检查客户端与路由器地址和路由。
应全禁 ICMPv6 来隐藏网络吗？
不应。必要 ICMPv6 支持邻居发现、错误和路径 MTU。保留文档规定的保护及所需消息类型，既不全禁也不全开。
公网 IPv6 不需要防火墙吗？
需要。全局路由地址只说明可能存在路径，路由器和主机防火墙决定新入站能否建立。应明确核验服务边界。
写了旧前缀的防火墙会自行更新吗？
不能假定字面地址跟随重编号。检查地址规则和 DNS，保留限制，只更新用途及责任都明确的引用。
恢复备份能找回 ISP 旧前缀吗？
只能恢复本地设置，不能恢复 ISP 分配。恢复后读取真实委派，使合法地址引用适应当前前缀。
来源:
- OpenWrt — 25.12.0 release notes — https://openwrt.org/releases/25.12/notes-25.12.0
- OpenWrt — IPv6 configuration — https://openwrt.org/docs/guide-user/network/ipv6/configuration
- OpenWrt — IPv6 troubleshooting — https://openwrt.org/docs/guide-user/network/ipv6/troubleshooting
- IETF — RFC 4861 and RFC 4862, Neighbor Discovery and Stateless Address Autoconfiguration — https://www.rfc-editor.org/rfc/rfc4861 ; https://www.rfc-editor.org/rfc/rfc4862
- OpenWrt — Firewall configuration — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
- IETF — RFC 4890, Recommendations for Filtering ICMPv6 Messages — https://www.rfc-editor.org/rfc/rfc4890
Sources checked 2026 年 10 月 11 日。
延伸阅读:
