国内 ipv6 普及了，但是好像没卵用

[wangbenjun5]

很多年前就开始吹 ipv4 地址不够用啦，ipv6 可以给地球上每一粒沙子分布一个独立 ip，可以互联互通……

10 多年过去了，最近几年国家也在大力推进 ipv6 部署，众所周知，现在手机基本上早已经都是 ipv6 地址了，很多固网宽带也已经是 ipv6 了。

比如我家的新办理的电信宽带，一开始就是 ipv6，访问很多网站也都是走的 ipv6，然并卵，就我个人而言，和 ipv4 没啥区别，墙依然在，而且也没法在公司直接远程家里电脑，还得端口映射或者 teamviwer……(最开始电信给的还是内网 ipv4 地址，打电话让改的公网)

至于家里的智能设备，我用的小米的摄像头和空调伴侣，实际上它是先连 WiFi，通过 WiFi 上网(或者蓝牙)，根本不依赖 ipv6，再说了，如果真的直连 ipv6，那安全性估计够呛。

本质上，很多家里的路由器就是一道防火墙，很少有人直接电脑拨号上网，家里设备分配的 ip 还是内网 ip，就算运营商给你一个公网 ip 有啥用呢？还不得端口映射一下

所以有没有吊大的告诉我，现阶段 ipv6 到底有啥好处？

[1nakaELYBbsXbZxY]

再等等

[wazon]

> 路由器是不是依然是一道防火墙?

IPv6 的路由器是真正的“路由”，不会像 NAT 一样，天生自带类似防火墙的特性
也就是说，只要运营商、路由器、设备自身的防火墙没有阻挡，正确配置 IPv6 的设备就是公网上的设备，可以在外部直接通过 IP 地址访问
在这种情况下，DMZ 、NAT-PMP 、UPnP 之类打洞操作的都不再被需要

不过需要指出的是：
个别光猫、一些国产路由器的防火墙默认禁止 IPv6 入站（ https://www.v2ex.com/t/660812 ）
IPv6 下也可以有 NAT，但这严重违背了 IPv6 的设计初衷，目前也缺乏相应的打洞技术支持

[txydhr]

@zhigang1992 确实会被扫描，但是扫描 ipv6 的成本极高。ipv4 家用局域网一般也就 255 个地址，而 ipv6 规范规定的最小局域网（/64 ）内就多达 18,446,744,073,709,551,616 个，扫都扫不完，而且一般家用设备过一段时间就会自动更换地址。对于 nas 等固定 ip 后缀的，确实需要在 nas 上设置防火墙，和 ipv4 下开启 dmz 的用法差不多。

[villivateur]

回楼主的附言，双方都是 ipv6，且路由器支持 ipv6，且路由器没有防火墙的话，是可以直连的。如果是 ipv4 的话，就算你路由器没有防火墙（ emmm ），也不能直连

[villivateur]

我现在就是用电信的 ipv6 连我家移动的 ipv6 NAS

[wangbenjun5]

@wazon 感谢解答，了解了

[wangbenjun5]

@villivateur 哦，了解了

[zhigang1992]

@wazon 多谢回答！！！

比如说现在用的 mac，所有 macOS 电脑默认防火墙是关闭的。

但是我现在居然已经分配到了一个 IPv6 的地址😂

所以我在访问 V2EX 的过程中，链路上所有的机器都可以知道我的 IP 。

网站，网站服务提供商（阿里云等），阿里云的 ISP，骨干网，我的 ISP，都可以拿到 这台 mac 的地址。

他们还可以建一个表来共享一下。

那么我在 brew 中的 MySQL 按理说可以被他们任何一个人扫描到。

然后如果我这台机器被入侵了，他可以在这台机器里面以内网方式扫描并攻击所有的其它机器。

所以，NAT 是不是强制我们开启一个防火墙。虽然这可能不是他的本意。

所以我在访问 V2EX 的过程中，链路上所有的机器都可以知道我的 IP 。

网站，网站服务提供商（阿里云等），阿里云的 ISP，骨干网，我的 ISP，都可以拿到 这台 mac 的地址。

他们还可以建一个表来共享一下。

那么我在 brew 中的 MySQL 按理说可以被他们任何一个人扫描到。

然后如果我这台机器被入侵了，他可以在这台机器里面以内网方式扫描并攻击所有的其它机器。

所以，NAT 是不是强制我们开启一个防火墙。虽然这可能不是他的本意。

[zhigang1992]

尴尬，粘贴来两边 T_T

[geekvcn]

@zhigang1992 都叫你了解下隐私扩展了，请你先看看自己的 MAC 有几个 V6 地址，了解这几个地址分别是干嘛用的，并且如果 IPv6 防火墙部署在路由器上，各个设备并不需要单独设置防火墙，只要在路由器上配置就行了和你所想要的 NAT 的效果类似

[gqfBzoLVY3Wl4Tng]

@lekai63 #14 有没有什么文章 /教程可以参考啊，Google 了一遍都没合适的，

[kebumail]

你们可以打电话就给公网 IP ？我问邻居一个电信的经理说我们这里很难，定位安徽省会 nj

[wazon]

@zhigang1992
用现代 SLAAC 的机制分配的 IPv6 地址：
被暴力扫描端口的风险相比 IPv4 大大下降（ IPv4 下是很常见的攻击形式，尤其是 22 、3389 ）
对于你主动访问的网站，ISP 、网站会知道你的临时 IP 。在 IP 有效期内，如果网站是恶意的，不设防的端口会有风险。
对于完全自用的服务，ISP 会知道你设备的稳定 IP 。ISP 中有内鬼也是有可能的，不过相比恶意网站，出问题的可能性很小

如果不考虑 ISP 层面的风险，家用路由器可以不设 IPv6 防火墙。
分类来看：
物联网设备因为访问的对象固定、可信，难以被外人发现
个人计算机、NAS 等有现代操作系统的设备，一般有完善的防火墙和安全机制。只有主动访问的网站才知道你的 IP 。即使访问到恶意网站，机器自身的防火墙也能起到保护作用。如果有临时 IP 机制，那攻击的时间窗更是进一步被缩小。
机器内自用的端口，绑定 localhost 应该是常识
局域网内自用的端口，可以仅绑定 IPv4 （好像也可以用 IPv6 的链路本地地址）

而对于高于家用级的安全要求，还是在路由器防火墙上设置普遍禁止、个别允许的入站规则更为保险

总的来说：
对于普通用户，IPv6 的隐私扩展和操作系统自身的安全机制依然可以保证日常使用的安全性
对于专业用户，在设备之间相互连接、被外网访问方面有了更大的自主设置余地，也存在成熟的 IPv6 防火墙以适应更高的安全需要
当然，更大的自由度总是会为“作死行为”提供更多的空间，但这不会在总体上影响 IPv6 积极意义

[swiftg]

对于我来说 IPv6 目前最大的意义就是没有公网 IP 的移动宽带和电信互联，对比 IPv4 没有 QoS，直接在本地互联而不会泡省会。

光猫路由器难道不应该默认阻止入站流量吗？不然就是巨大的安全漏洞

[wazon]

@swiftg 默认禁止入站问题不大。真正的问题其实是很多路由器在操作界面根本没有 IPv6 防火墙的开关（ t/660812 ）

[newmlp]

ipv6 还有内网？

[newmlp]

@wangbenjun5 你仔细去了解下 ipv6 的地址分配机制，不存在 nat 的

[xhqppp]

@wangbenjun5 ipv6 是给你分配个 ipv6 段，下面的设备都是公网 ipv6

[newmlp]

@zhigang1992 ipv6 数量级都可以给每个沙子分配 ip 地址了，扫描成本太高了吧

[SaigyoujiYuyuko]

广东这边的话... 我是深圳电信 用过一段时间的 v6 有一些不方便:
yum 啥的 默认 v6 感觉这 v6 是半残吧 速度很慢
虽然说 80/443 端口没封 但是去访问 v6 网站 还是很慢 有时候甚至打不开