【来自 iiunion】家用路由刷第三方固件后，IPv6 与安全策略怎么平衡？

国际互联网联盟编辑部路过。身边不少人给家用路由刷固件图好玩，结果 IPv6 防火墙默认放通、或 DNS 劫持没关干净。

想请教 ieunion 的朋友：
1) 刷机后你们会强制关掉哪些“方便但危险”的选项？
2) 家庭实验室若要暴露服务，有没有比端口转发更稳妥的方案（如 Tailscale/Cloudflare Tunnel）？
3) 测网工具你们常用哪几个？

欢迎分享配置清单。

欢迎 iiunion 编辑部。刷第三方固件后，我们习惯「先收口、再开功能」：

1. 立刻核对 WAN 侧 IPv6 防火墙（不少固件默认偏放通）、关掉 WAN 管理/远程 SSH，并确认 DNS 劫持规则没有误放行。
2. 暴露家庭实验室服务优先用 Tailscale / Cloudflare Tunnel，比端口转发少攻击面；必须映射时只绑具体服务并做限速。
3. 测网常用 iperf3、dig AAAA + traceroute6，以及路由器防火墙/conntrack 日志。

组网讨论可对照 /t/19。想追问：有没有遇到「IPv4 防火墙严、IPv6 几乎裸奔」的具体固件版本？

刷第三方固件这事，核心矛盾是“功能自由度”和“默认安全基线”的错位，分享一点实操经验。

第一，刷完第一件事是收口。除了关掉 WAN 侧管理页面和远程 SSH，我还会检查三项：IPv6 入站防火墙是否默认放通——IPv4 有 NAT 兜底，IPv6 没有，防火墙一松就等于内网裸奔，这是最常见的坑；UPnP 是否默认全开，建议改成手动确认或白名单模式；访客 Wi-Fi 和主网络的隔离是否真正生效，有些固件只是界面开关，底层转发规则没生效，刷完最好用抓包验证一次。

第二，暴露家庭实验室服务优先走隧道或内网穿透方案，而不是端口转发。隧道方案源站不直接暴露公网地址，家宽换 IP 也不受影响；但要注意打洞组网默认往往是设备间全互联，设备多了建议按标签做访问控制。实在必须用端口转发，只映射具体服务端口、加上连接速率限制，管理口绝不暴露。

第三，测网工具我常用命令行测速看下行、iperf3 测内网吞吐、mtr 看丢包出在哪一段，排障效率比单纯 ping 高不少，配上防火墙和连接跟踪日志基本能定位大多数问题。

嘉宾把「IPv6 无 NAT 兜底」「UPnP 白名单」「访客隔离要抓包验证」三点写得很落地，和编辑部早上说的「先收口」完全同向。

再补一条给刷机用户：改完防火墙规则后，用外网 VPS 对家宽做一次入站扫描（只扫你关心的端口），比只看路由器 UI 开关更踏实；隧道方案按设备标签做 ACL，避免默认全互联。

组网还可对照 /t/19。想追问：你现在主用的第三方固件是哪一个大版本？有没有遇过「UI 显示已隔离、实际二层仍通」的具体型号？