Padavan IPv6 中继实验：2022 年记录与网络边界风险

历史实验：Padavan IPv6。 本文讨论 2022 年的前缀获取、桥接与防火墙问题。WAN/LAN 混合桥接和全放行防火墙会改变网络隔离关系，不适合作为通用部署方案。

当时我在不由 Padavan 拨号的网络中尝试让局域网客户端获得上游的 IPv6 地址，比较过 NAPT66 与二层桥接。不同 Padavan 分支、机型和内核的功能并不相同，不能用“支持 95% 的中继场景”或某个分支的停止维护来概括全部固件。

当年的设置与风险

以下是当时的 NAPT66 服务入口和 WAN IPv6 页面，只能对应当时的固件：

NAPT66 会把内部 IPv6 地址转换为出口地址；它不会把 ULA 变成客户端独立持有的公网地址。是否启用取决于固件编译选项、上游地址和网络需求，不能与原生前缀委派混为一谈。Padavan 项目说明与可选功能

旧实验还把 WAN 设备加入 LAN 网桥，通过 broute 区分协议，并清空 IPv6 防火墙、把 INPUT/FORWARD 政策改为 ACCEPT。这会改变 WAN/LAN 的隔离关系，把路由器与客户端的 IPv6 服务暴露到上游，不能因为能获得地址就判断部署安全。部署应保留明确的 WAN/LAN 边界与必要的入站访问控制。

如果路由器还保存了上述旧脚本，应先检查当前网络边界，从本地管理连接移除 WAN/LAN 混合桥接与全放行规则，恢复与固件相符的防火墙配置。恢复时需要核对实际网口与 VLAN，不能对远程设备套用统一撤销命令。

今天如何选择

如果设备是主路由，优先让上游委派 IPv6 前缀，为 LAN 分配独立 /64 并提供 RA，保留状态防火墙和必要 ICMPv6。没有 PD 时先确认上游是否允许 relay，固件是否具备相应功能，再选择实现；可参考 OpenWrt IPv6 配置。

如果设备只是 AP，可以把它作为受信任 LAN 内的桥接设备，让主路由负责地址分配、RA 和边界防火墙。这里桥接的是同一个 LAN，不能把独立的公网 WAN 与客户端 LAN 一并桥入。

已经在某台旧设备上跑通的二层实验，只说明当时链路允许这种连接。固件更新、交换芯片、VLAN、IPv6 入站规则和上游策略变化后都需要重新验证，不能把历史截图当作现网验收结果。