家庭网络 IPv6 安全加固实战：SLAAC 隐私扩展、RA Guard 与防火墙入站防护

摘要

很多家庭在开通 IPv6 后只关心"能不能上网"，却忽略了 IPv6 是端到端公网地址，每个设备都直接暴露在全球路由中。本文从 SLAAC 隐私扩展、RA Guard、防火墙入站策略三个层面，给出一套可落地的家庭 IPv6 安全加固方案。

为什么 IPv6 比 IPv4 更需要防火墙

IPv4 时代，光猫或路由器上的 NAT 天然屏蔽了外部主动发起的连接——内网设备没有公网地址，互联网无法"找到"它。但 IPv6 默认给每个设备分配一个全球可达的地址（GUA），NAT 不再存在，传统"靠 NAT 保平安"的假设彻底失效。

这意味着：你的手机、电视、智能音箱，每一台都可能直接收到来自全球的入站探测和扫描。如果不做安全加固，任何开放端口的服务、未打补丁的系统，都会成为攻击入口。所以 IPv6 的第一条铁律是——地址可达不等于端口开放，但防火墙必须显式放行。

第一步：用 SLAAC 隐私扩展隐藏设备身份

默认的 SLAAC 地址通常基于 MAC 地址生成（EUI-64），同一个设备无论换哪个网络，后 64 位都不变，长期可被跨网络追踪。开启隐私扩展（RFC 4941）后，系统会周期性生成随机的临时地址作为源地址出网，对外暴露的地址每天都在变。

在 OpenWrt 上，编辑 /etc/config/network，在 lan 接口下增加：

option ip6ifaceid 'random'

并在 /etc/sysctl.conf 中确认：

net.ipv6.conf.all.use_tempaddr=2
net.ipv6.conf.default.use_tempaddr=2

其中 use_tempaddr=2 表示"优先使用临时隐私地址"。重启网络后，ip -6 addr 应能看到以 temporary 标记的地址。

第二步：用 RA Guard 防止非法路由器欺骗

IPv6 地址自动配置依赖路由器通告（RA）。如果内网有人私接路由器，或攻击者伪造 RA 报文，就可能把全屋流量导向恶意网关（中间人攻击）。RA Guard 能在交换机或路由器层面丢弃非授权端口发出的 RA 报文。

在支持 nftables 的 OpenWrt 上，可用 nftables 在桥接层丢弃 RA：

nft add table bridge raguard
nft add chain bridge raguard input '{ type filter hook input priority -300; }'
nft add rule bridge raguard input iifname "br-lan" ether type ip6 ip6 nexthdr icmpv6 icmpv6 type router-advert drop

注意：只在内网桥接口（如 br-lan）上丢弃，保留上游 WAN 口的 RA 放行，否则会断网。对于 AP 模式的子路由，应在上游交换机端口开启 RA Guard，而不是在 AP 本地。

第三步：显式防火墙入站策略（默认拒绝）

关键点是：IPv6 防火墙必须默认拒绝 forward 入站，再按需放行。OpenWrt 的 wan6 区域默认已是 REJECT，但要确认没有手滑改成 ACCEPT。

在 /etc/config/firewall 中检查：

config zone
    option name 'wan6'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '0'
    option mtu_fix '1'

同时建议为需要被外网访问的服务（如 Home Assistant、NAS）建立独立的放行规则并限制源前缀，而不是对全网开放。例如仅允许自家办公网段访问 NAS 的 IPv6 管理端口。

第四步：关闭不必要的监听与设备隔离

即使防火墙正确，也不该让所有设备都暴露。建议：

用 ss -tulnp 周期性检查各设备监听端口，关闭无用的 UPnP、Telnet。
把摄像头、IoT 等高风险设备放入独立 VLAN，仅允许其主动出网，禁止入站与跨段访问。
对暴露公网的服务强制 TLS + 强密码 + 失败锁定，避免弱口令被扫库。

第五步：验证加固是否生效

从外部（手机 4G/5G）用 ping -6 你的地址 测试，默认应不可达（符合预期）。
用 nmap -6 你的GUA 扫描，确认只有显式放行的端口可见。
观察 logread | grep raguard 是否有丢弃记录，验证 RA Guard 工作。

小结

IPv6 让家庭网络真正进入了"每台设备都有公网身份"的时代。安全加固不必复杂：隐私扩展防追踪、RA Guard 防欺骗、默认拒绝防火墙防入侵，三者构成基础防线。记住，IPv6 没有 NAT 兜底，显式的防火墙策略是你唯一的护城河。