HomePod 在发 Thread/HomeKit IPv6 RA，怎么规避？

[xiaoxiannv]

除了把 HomePod 放到 IoT VLAN ，还有什么更优雅的解决方案吗？

[starryloki]

我是接入了 Miktorik 的交换机，交换机上配置 Port Rule 阻断这个端口所有的 IPv6 流量

[xiaoxiannv]

@starryloki 我是软路由+ap ，AP 是 MTK 方案，开启了硬件转发，tcpdump 根本看不到 RA

[starryloki]

@xiaoxiannv 硬件加速确实看不到，mikrotik 交换机 port rule 的原理是基于识别二层中 IPv6 协议头的流量，所以 block 得比较彻底。
如果想从三层 Firewall 中下手，只能在指定端口让内核处理流量，再去 nft 之类的地方拦截 IPv6 ，感觉多加一个网口专门用来接 atv 会比较好

[xiaoxiannv]

@starryloki 其实不行的，理论上说 ap 上拦不了 ra ，上游再怎么加设备，也解决不了下游 homepod 发 ra 到 ap ，所有连 ap 的 wifi 设备，都会因为硬转发，透传继承到 homepod 的 ra

[starryloki]

@xiaoxiannv 当然不是接到 ap 上，直接给一个单独的网口接入到软路由/Firewall ，不过才发现标题写的是 HomePod ，我的是 Apple TV ，虽然问题一样但我的可以插网线

[xiaoxiannv]

@starryloki 是这样的，openwrt 软终端没有加速，可以抓到 ra ，但 ap 就无能为力了

[z5238384]

规避这个是因为什么？ 这玩意儿不是只对 thread 网络发么

[xiaoxiannv]

@z5238384 强迫症啊，手机 ip 地址无故多个 ipv6 地址

[starryloki]

@z5238384 会出现比如内网规划了 dhcp6s 分配地址，Apple TV 同时会发出 ra 分发一个内网前缀，有的设备就会用这个前缀去访问其他设备导致管理混乱

[xiaoxiannv]

@starryloki 解决了，ros+ap ，ros 里加了 IoT 隔离，所有的物联网设备全塞进去，国产设备，谁也不知道他们偷偷在干啥，把不信任的关进技术的笼子。

[xiaoxiannv]

@z5238384 不光 homepod ，智能家居，监控等一系列，还是不够相信国产商业闭源的底线和逻辑，他们就 iot 老老实实呆着吧

[xiaoxiannv]

@starryloki
IoT → 主网：阻止；
IoT → 光猫：阻止；
IoT → Internet：允许；
主网 → IoT：允许；
IoT → RouterOS：只允许 DHCP 、DNS 、mDNS 、ICMP ；
IoT 无法访问 WinBox 、WebFig 、SSH 、SMB 。

[starryloki]

@xiaoxiannv #12 我也有类似的 IoT 隔离操作，是基于 VLAN 的

[xiaoxiannv]

@starryloki 嗯，一样，实现原理都差别不大

[xiaoke]

@xiaoxiannv 请问 ap 必须支持 vlan 吗，我也发现 apple tv 在发 IPv6 RA 。。。

[xiaoxiannv]

@xiaoke 对，理论上 vlan 在哪头都行，只要是 vlan ，只有 vlan 才能挡住 ra （ ap 硬转发开启的情况下）

[xiaoke]

@xiaoxiannv

弄了 vlan ，如果手机跟 TV 不在同一个 vlan ， 会影响 airplay 吧

[xiaoxiannv]

@xiaoke mdns 转发啊

[xiaoke]

@xiaoxiannv

收到，谢谢

[gigishy]

@xiaoxiannv #11
我是这么做的：
首先，国产 HomeKit 设备一概不用它们的 app （会少功能），直接家庭 app 里添加设备
最关键的是第二点，使用一个支持 HomeKit 的网络设备，比如 linksys 的 ac6600 以后 mesh 型号，这样能傻瓜式地，不需要操任何心地确保 HomeKit 设备只能局域网通讯，连不通它们的厂家。
但是你在外可以通过家庭 app 完全无阻碍地查看和使用这些 HomeKit 设备，比如摄像头、智能插座等。