開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
OpenWrt IPv6 前綴委派：網絡與防火牆檢查
Ryan Foster
2026年10月11日· 7 分鐘讀完
OpenWrt IPv6 前綴委派會把 ISP 提供的地址區塊分配給下游網絡，與取得一個 WAN 地址是兩回事。委派區塊、LAN 通告、客戶端路由及防火牆方向應分開核對，尤其在 ISP 更換前綴後要重新檢查。
關鍵要點
- WAN 地址不代表已有可供 LAN 分配的前綴。
- RA 提供路由器資料；DHCPv6 不能取代預設路由器通告。
- 路由器 input 與 LAN forward 規則保護不同目的地。
- 保留必要 ICMPv6，不要用全面封鎖排錯。
- 還原本地設定不能迫使 ISP 重新分配舊前綴。
OpenWrt IPv6 前綴委派需要甚麼條件？
本文適用於 OpenWrt 25.12 穩定系列及 fw4/nftables、支援 DHCPv6 前綴委派的 ISP，以及一個受控下游 LAN。內容依據官方文件和標準，沒有進行完整路由器端到端實測。表中的預期現象與失敗處理是讀者驗收要求，並非作者量度結果。［1］
更改共享路由器前，先做網絡責任與還原檢查。OpenWrt 若只是同子網旁路閘道，不要在該 LAN 再開 RA 服務來模擬路由下游網絡。先找出真正接收 ISP 委派的路由器。
如果仍以 IPv4 連接埠映射理解 IPv6，先看 IPv4 與 IPv6 地址差異。公網地址分配和私人服務存取是不同任務，家庭閘道與上網出口比較有助作決定。本文不建立遙距存取服務。
步驟 1：保存基線，分清 WAN、PD 與 LAN
使用已正常運作的有線 IPv4 管理入口，不能依賴將要改動的 IPv6。建立新連線並確認本地還原方法。將 network、DHCP、防火牆設定私密備份至路由器以外，亦記下含有地址的服務記錄及動態 DNS 設定。
在 Network → Interfaces 找到真正的上游 IPv6 邏輯介面，可能是 wan6；PPP 亦可自動建立 wan_6。新增 DHCPv6 客戶端前先查看現有介面，避免重複。分別記下委派前綴、長度及壽命、下游分配和客戶端地址。［2］
| 對象 | 檢查內容 | 不代表甚麼 |
|---|---|---|
| WAN 地址 | 上游介面地址與路由 | ISP 已為 LAN 委派空間 |
| 委派前綴 | IPv6-PD 區塊與壽命 | LAN 通告或防火牆正確 |
| LAN 分配 | 從委派區塊劃出的子網 | 每部客戶端都有可用預設路由 |
| 客戶端地址 | 全域、本地與鏈路本地地址 | 外部主機可連接服務 |
| 預設路由 | 真正下一跳及介面 | DNS 及回程正常 |
ISP 沒有提供 PD 就停止此路徑，查詢其支援的下游設定。不要複製無關靜態前綴，也不要暗中轉用 NDP 代理、中繼或 NAT66；這些是前提不同的設計。2001:db8::/32 等文件地址只是佔位，不能當成 ISP 真實分配。
步驟 2：請求 OpenWrt DHCPv6 PD，分配一個 LAN 子網
在既有上游 DHCPv6 介面查看 Request IPv6-prefix of length。除非 ISP 有明確要求，通常先用 auto，對應 UCI reqprefix。它只提出請求，不能迫使 ISP 提供指定大小。保留上游前綴委派功能，讓地址空間可分配至下游。［2］
在受控 LAN 將 IPv6 assignment length 設為 64，即 ip6assign: 64，用於這個普通客戶端子網。委派 /56 或 /60 可容納多個 /64 LAN；單一 /64 無法為每個 VLAN 再產生獨立 /64。不要用重疊分配假裝解決空間不足。
只有需要指定現有空間內的優先子前綴識別碼才用 ip6hint；只有有意選擇前綴來源才用 ip6class。它們不能創造不存在的 ISP 委派。查看實際分配，不要假設要求的 hint 一定獲採用。［2］
每次在 LuCI 套用一項改動後重讀介面狀態，不要反覆重啟 WAN 希望取回偏好的前綴。上游不提供 PD，或 LAN 未獲分配時，停在該層，不要先改應用程式或入站防火牆。
步驟 3：核對通告、地址及客戶端路由
在這個路由下游 LAN 的 DHCP IPv6 設定查看 RA-Service 與 DHCPv6-Service，採用符合現有客戶端設計的 server 角色。不要只因論壇範例使用便開啟 relay 或 NDP 代理；上游介面不應發出這些下游通告。［2］［3］
RA 傳達預設路由器資料，亦可支援 SLAAC 地址設定。DHCPv6 可提供其他設定，受支援客戶端也可取得地址；只收到 DHCPv6 資料不代表已有預設 IPv6 路由器。多個全域地址、臨時私隱地址及鏈路本地地址可正常並存，要先分類才判斷請求用了哪個來源。［4］
在 OpenWrt 將下方 wan6 換成真正上游介面。這些是檢查指令，沒有模擬輸出，亦不證明 ISP 提供特定前綴。公開家庭地址或完整診斷匯出前，先檢查當中的私隱資料。［3］
ifstatus wan6
ifstatus lan
ip -6 address show
ip -6 route show
ip -6 rule show
Linux 測試客戶端可查看 ip -6 address show 和 ip -6 route show，其他系統使用相應地址及路由畫面。確認新請求使用目前全域來源及預期路由器。分開測試客戶端至路由器、路由器至上游、客戶端至上游；路由器成功不代表 LAN 轉送正常。
OpenWrt IPv6 防火牆應如何處理入站流量？
以 input 規則保護路由器，以 forward 規則保護下游主機。fw4 規則指定目的區域時涉及轉送；沒有目的區域通常針對路由器本身。應查看實際產生的規則和區域成員，不能只憑地址匹配判斷方向。［5］
WAN 管理預設維持拒絕，不新增 LuCI 或 SSH 的 WAN input ACCEPT，也不為打通服務而全面開放 WAN 至 LAN。保留 DHCPv6 客戶端所需流量及必要 ICMPv6。鄰居探索、路徑 MTU 與錯誤訊號依賴 ICMPv6，無差別封鎖會破壞原本有效的連線。［2］［4］［6］
有意公開私人服務前，先採用受限制 NAS 存取設計。授權公網測試須明確指定目前目的地址、協議、連接埠、來源限制及主機防火牆。全域地址不是公開管理介面的許可，沒有 IPv4 式 NAT 也不等於沒有 IPv6 防火牆保護。
步驟 4：復查前綴變更，取得授權外部證據
觀察自然變更，或在獲准時段只續租、重新連接授權測試上游。記下新舊 PD、有效與優先壽命及下游分配。不要反覆中斷全屋連線來強迫變更，也不能保證換前綴。
檢查防火牆、DNS 記錄、允許清單、服務綁定及監察內寫死的地址。若介面或區域策略能準確表達權限，優先避免硬編碼 ISP 前綴。舊字面地址可能不再匹配，過闊替代又可暴露其他裝置。保留來源限制，只更新本次負責的引用。
舊地址可能對既有連線仍有效，卻已不適合新連線。查看通告壽命、來源選擇及新工作階段，不要刪除客戶端所有 IPv6 地址。RFC 4861 與 RFC 4862 說明通告和地址壽命，實際過渡則由 ISP 及客戶端決定。［4］
| 檢查方法 | 預期現象 | 失敗處理 |
|---|---|---|
| 重讀 PD 與 LAN 狀態 | 目前 LAN 子網屬真實委派區塊 | 先查 ISP 委派與分配，再查客戶端 |
| 查看客戶端 RA、地址及預設路由 | 有目前來源與預期下一跳 | 核對通告與客戶端設定 |
| 建立新授權 IPv6 出站請求 | 路由器及客戶端各自路徑正常 | 分開來源路由、轉送、DNS、回程故障 |
| 從獲准獨立 IPv6 網絡嘗試路由管理 | 無成功 WAN 管理工作階段 | 停止並撤銷意外 input 權限 |
| 測試有意允許的服務及一個未允許連接埠 | 只有約定服務可連線 | 查路由轉送、主機防火牆、綁定及 ISP 過濾 |
| 只重連或重新啟動測試路由器後再測 | 儲存意圖保留，地址引用仍有效 | 還原本次改動並重讀目前 PD |
客戶端可核對可見公網 IPv6 出口，但要與入站存取分開。另有隧道時，檢查非預期 IPv6 繞行。出站網頁回應不能證明 WAN 管理已封鎖。
沒有授權外部 IPv6 觀察點，入站驗證須記為未執行，不能聲稱公網暴露驗收完成。外部請求失敗本身亦不能確定阻擋位置，要對照路由器計數器、主機防火牆及服務狀態。只觀察獲准主機和連接埠，不掃描其他人的網絡。
步驟 5：還原設定，不能假裝還原 ISP 分配
只撤銷本次 reqprefix、LAN 分配、通告變更，以及臨時服務權限或地址引用。在各自所屬的設定中還原已記錄原值，保留後來無關編輯。套用高風險改動前，先重新連接獨立有線管理路徑。
還原後重讀目前真正委派及 LAN 分配。ISP 可能保留新前綴，還原設定備份不能預留或取回舊前綴。將 DNS 與精確地址規則對應目前授權地址，確認服務使用情況後才移除過時引用。
關閉臨時外部測試權限，停止自己建立的測試服務，再從授權外部樣本確認不再可達。重測正常 LAN DNS、IPv4/IPv6 新請求及新的本地管理連線。無法證明已還原，就停止後續改動並在本地復原，不能靠放寬防火牆打通。
總結
- 分別核對 WAN 地址、前綴委派與 LAN 分發。
- 通告及預設路由要符合真正的下游拓撲。
- 獨立審視 input、forward 與必要 ICMPv6。
- 還原設定意圖，並與 ISP 目前前綴核對。
常見問題
WAN 有全域地址，LAN 就已有委派嗎？
不是。WAN 地址與前綴委派是分開的結果。先查看 IPv6-PD 區塊及下游分配，再期待客戶端取得全域可路由地址。
要求 /56 可以迫使 ISP 提供嗎？
不能。請求受 ISP 服務與分配政策約束。使用其支援值；拓撲所需空間超過委派時應停止。
客戶端有地址但不能 IPv6 上網，為甚麼？
可能缺少預設路由器通告、有效來源選擇、轉送權限或上游回程。分開查看客戶端與路由器地址及路由。
應全面封鎖 ICMPv6 來隱藏網絡嗎？
不應。必要 ICMPv6 支援鄰居探索、錯誤和路徑 MTU。保留文件要求的保護與訊息類型，不全面封鎖亦不全面放行。
有公網 IPv6 就不用防火牆嗎？
仍然需要。全域可路由地址只代表可能存在路徑，路由器及主機防火牆決定新入站是否獲准。應明確驗證服務邊界。
舊前綴防火牆規則會自行更新嗎？
不要假設字面地址會隨重新編號變更。檢查地址規則及 DNS，保留限制，只更新用途與責任清楚的引用。
還原備份能取回 ISP 舊前綴嗎？
只能還原本地設定，不能還原 ISP 分配。復原後重讀實際委派，將合法地址引用配合目前前綴。
來源:
- OpenWrt — 25.12.0 release notes — https://openwrt.org/releases/25.12/notes-25.12.0
- OpenWrt — IPv6 configuration — https://openwrt.org/docs/guide-user/network/ipv6/configuration
- OpenWrt — IPv6 troubleshooting — https://openwrt.org/docs/guide-user/network/ipv6/troubleshooting
- IETF — RFC 4861 and RFC 4862, Neighbor Discovery and Stateless Address Autoconfiguration — https://www.rfc-editor.org/rfc/rfc4861 ; https://www.rfc-editor.org/rfc/rfc4862
- OpenWrt — Firewall configuration — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
- IETF — RFC 4890, Recommendations for Filtering ICMPv6 Messages — https://www.rfc-editor.org/rfc/rfc4890
Sources checked 2026 年 10 月 11 日。
延伸閱讀:
