op 要自己会 linux ，撸起来才好用，否则官方功能太少，第三方乱七八糟，国人里面可能用最多的 lean 版本还守着 18 的 luci 用到天荒地老。

@mikususu33
-i br-lan 这里，如果你的局域网接口不是 br-lan 这个设备，请自己替换 br-lan 为指定的接口。

@mikususu33
ipset create ipv6macs hash:mac
ipset add ipv6macs mac1
ipset add ipv6macs mac2
ipset add ipv6macs mac3

ip6tables -t mangle -I PREROUTING -i br-lan -p ipv6-icmp -m set ! --match-set ipv6macs src -j DROP
ip6tables -t mangle -I PREROUTING -i br-lan -p udp --dport 547 -m set ! --match-set ipv6macs src -j DROP

刚特地下了个 lean 版本的测试了，上面的防火墙规则，确保可行，把上面的代码，复制到 自定义防火墙规则 里面，mac 1 mac2 mac3 替换成需要获取 ipv6 的机器。

@mikususu33

ipset create ipv6macs hash:mac
ipset add ipv6macs mac1
ipset add ipv6macs mac2
ipset add ipv6macs mac3

ip6tables -I input_lan_rule -p ipv6-icmp -m set ! --match-set ipv6macs src -j DROP
ip6tables -I input_lan_rule -p udp --dport 547 -m set ! --match-set ipv6macs src -j DROP

没有环境，没测试过，你试试

# 下面的代码中 mac1 mac2 mac3 是你想获得 ipv6 地址的客户端的 mac 地址，自己换上就行了，想更多加个,号继续填就行了

nft insert rule inet fw4 mangle_prerouting meta nfproto ipv6 udp dport 547 ether saddr !={ mac1, mac2, mac3 } counter drop comment \" 阻止 dhcpv6 \"

nft insert rule inet fw4 mangle_prerouting icmpv6 type { 133-143 } ether saddr !={ mac1, mac2, mac3 } counter drop comment \" 阻止 slaac \"

@blueboyggh
nft insert rule inet fw4 forward_lan meta nfproto ipv6 meta oifname pppoe-wan ether saddr 阻止的 MAC counter drop

这是新的语法，你可以试试，这句命令的意思是阻止了，该 mac 发起的所有 ipv6 请求，如果有多个 mac ，可以复制添加多条。

其实更好的办法可以新建一个 LAN ，然后把你不用 v6 的客户端放在这个 lan 里面，然后关掉这个 lan 的 ipv6 。

流量过滤链 "mangle_forward"
钩子：forward(捕获发送到其他主机的传入数据包)，优先级：-150
策略：accept (继续处理不匹配的数据包)
规则匹配 规则操作
#规则评论：Zone wan IPv4/IPv6 ingress MTU fixing 入口设备名 于集合 { eth1, pppoe-wan }eth1
pppoe-wan 中 TCP 标记 是 syn 将标头字段 TCP 最大报文段长度设为有效的路由 MTU
#规则评论：Zone wan IPv4/IPv6 egress MTU fixing 出口设备的名称 于集合 { eth1, pppoe-wan }eth1
pppoe-wan 中 TCP 标记 是 syn 将标头字段 TCP 最大报文段长度设为有效的路由 MTU

openwrt 23.05 有 mss 钳制啊

23.05 没发现问题。

你这防火墙规则就错哪去了，
按你的说法，src 起码要填 wan ，还有 wan 进来的数据，是获取不到目标的 mac 地址的，你这填了也白填。

旁路没法接管 ipv6 网关的，Ipv6 的网关是通过主路由 RA 下发的。
所有 IPV6 流量直接走主路由出去了。你的旁路由，在 Ipv6 看来是个空气。

@jizni 我这里电信，路由器 3 天重播日志。。。。

@n18255447846 这玩意运行在 netfilter 之前，用不到 iptables nftables

江西 3 天准时重播

旁路还有一个很大的死穴，就是 ipv6 的网关问题很麻烦。

@yyysuo 旁路，影响更小了，旁路拓扑，下载流量几乎不经过旁路，直连性能优势更是无从谈起。

看了下性能测试，直连的 IP 压根就不应该进代理程序，用 nftables 直接绕过。

@victorkk 把来自 ps ip 的 TCP 连接直连就行了吧。