DHCPv6

用了段时间发现问题，做些更正：

1. 应将直连的域名加入 nameserver-policy 查询 system ，根据文档的 DNS 处理流程，即使是 DIRECT 出站仍优先查询 nameserver-policy ，此前末行配置了通配符 "+" 全部查询走代理查询，导致连接非境内 CDN
2. GFWList 模式未配置通配符，但 win-update 属于 geolocation-!cn 未匹配境内 CDN ，也需要单独查询 system
3. google-cn 应改为 google 并添加至 nameserver-policy ，无需求可删除


规则仅供参考，依据个人口味酌情添加：


fake-ip-filter:
- DOMAIN,iosapps.itunes.apple.com,real-ip
- GEOSITE,apple-update,real-ip
- GEOSITE,win-update,real-ip
- GEOSITE,private,real-ip
- GEOSITE,category-ntp,real-ip
- GEOSITE,connectivity-check,real-ip
# - GEOSITE,google,fake-ip
- GEOSITE,china-list,real-ip
- MATCH,fake-ip
nameserver: [system]
nameserver-policy:
DOMAIN,iosapps.itunes.apple.com: system
# GEOSITE:google: 8.8.8.8#代理节点
GEOSITE:apple-update,win-update,private,category-ntp,connectivity-check,china-list: system
+: 8.8.8.8#代理节点


乱，逐渐理解为什么有人不这么搞了（

@cj323 在文末的第一个链接

@qazwsxkevin 不算科普只是使用经验，虚拟机默认的 NAT 模式，是可以像 WSL2 一样可以正常代理。不够硬是因为 TUN 为 Layer 3 设备用不了 VirtualBox NDIS6 桥接驱动，实在要用 Bridge 模式可以装 TAP 网卡，或者桥接物理网卡改 DNS 及网关。

@qwx 透明日志也不错，不过几个 G 的话 NTM 普通 x86 机器也能应付，或者做流镜像。个人感觉做好 PKI 管理与黑盒检测并不冲突，角色不同顾虑不同，对于权限和管理混乱的环境，黑盒检测确有一定帮助。

期待 HTTP/3 与 ECH 大规模运用，逐步架空上网审计设备（

Panabit NTM 免费版是有类似功能，旁路嗅探证书并推送过期消息，只是不太想用他们的产品，记得是网卡 Polling 模式用户态处理。

@WordlessEcho 是的，以前用 23.05 在 LuCI 填写的前缀能通过校验，但无法发送 Solicit 请求。升级 24.10 后抓包观察到携带了自定义前缀，重启 PPPoE 接口后获取的前缀与 Hint 一致。

特别的，对于电信 vBRAS ，只重启接口，前缀可能不会变化，需发送 Release 释放先前的前缀，可执行 kill -SIGUSR2 $(pgrep odhcp6c) 或修改下列配置重启接口。

重启时不要发送 Release：取消勾选
uci set network.wan6.norelease='0'

最好固定 AC ，几个月下来公网 v4 和 v6 PD 都没有变动，BRAS 文档没看到 allow-hint 控制项，也许能坚持好一段时间。

https://www.v2ex.com/t/1069456

说错了是 ASPF 状态防火墙。如果不改桥接，光猫可能自带了类似的功能，默认阻止入站，感觉内网 ULA + NAPT66 还是不太优雅。

补充一点，AR 的包过滤防火墙不工作在 IPv6 下，可能需要借助流策略单向阻断入站请求。

在这里 ndppd 不适用，不改桥接的情况下把前缀拉到 AR 有两种办法：

1. 光猫支持 DHCPv6-PD Server 的情况下，AR 作为 IA_PD Client ，无需配置静态路由
2. 光猫把整段 56 路由到 AR 的 LLA ，需要光猫支持 IPv6 静态路由

测试光猫是否支持 IA_PD Server
dhcpv6 client pd CT # 在 AR 对接光猫的接口获取前缀
display dhcpv6 client prefix # 查看前缀大概率只有 64

路由可达后 AR 再通过 SLAAC 或 DHCPv6 下发给终端

可发送联系方式至 Y29udGFjdEBub29rLW5ldC5saW5r
OP 这种情况比直接在 PE 接口配 56 好多了，参考 https://www.v2ex.com/t/1048099