问题：OpenWrt启用IPv6 PD后无法访问IPv6网络？

Question

在使用OpenWrt配置IPv6前缀委派（PD）后，部分用户遇到无法访问IPv6网络的问题。常见原因之一是PD前缀未正确下发至LAN侧接口，导致局域网设备无法获取有效IPv6地址。此外，防火墙规则未放行IPv6流量、路由器未启用IPv6转发功能或上游ISP不支持PD也常引发此问题。建议检查`/etc/config/dhcp`中`ra-management`和`prefix delegation`设置是否合理，并确认WAN口成功获取到IPv6前缀。通过日志分析与网络抓包可进一步定位故障点。

Answer 1

一、问题概述与初步排查

在OpenWrt系统中配置IPv6前缀委派（Prefix Delegation，简称PD）后，部分用户报告无法访问IPv6网络。该问题的常见原因包括：PD前缀未正确下发至LAN侧接口、防火墙规则未放行IPv6流量、路由器未启用IPv6转发功能或上游ISP不支持PD。

首先应确认是否从WAN口成功获取到IPv6前缀。可以通过命令行查看：

ubus call network.interface.wan6 status

若返回结果中没有`ipv6-prefix`字段，则说明WAN口尚未获得有效的IPv6 PD前缀。

二、深入分析：DHCPv6与RA配置检查

在OpenWrt中，IPv6地址分配和前缀委派主要由odhcpd服务管理。其配置文件位于/etc/config/dhcp。

关键配置项包括：

• option ra-management：控制是否通过RA（Router Advertisement）进行地址管理。
• option prefix delegation：决定是否允许前缀委派。

示例配置如下：

config dhcp 'lan'
        option interface 'lan'
        option start '100'
        option limit '150'
        option leasetime '12h'
        option dhcpv6 'server'
        option ra 'server'
        option ra_management '1'
        option prefix_delegation '1'

如果上述配置缺失或设置错误，可能导致LAN侧设备无法正常获取IPv6地址。

三、系统级配置验证与日志分析

除了配置文件外，还需确保系统层面启用了IPv6转发功能：

sysctl -w net.ipv6.conf.all.forwarding=1

建议将此设置写入/etc/sysctl.d/95-ipv6-forwarding.conf以持久化。

进一步可通过日志追踪问题来源：

logread | grep odhcpd

典型日志内容可能包含前缀请求失败、接口状态异常等信息。

四、网络抓包辅助诊断

使用tcpdump对WAN口进行IPv6相关协议抓包有助于定位问题根源：

tcpdump -i wan -nn port 547 or port 546

观察是否有来自ISP的DHCPv6响应，以及PD前缀是否被正确分发。

此外，可使用Wireshark等工具对抓包文件进行详细分析，判断是否存在协议交互失败。

五、防火墙与安全策略检查

即使IPv6地址已成功分配，也可能因防火墙限制导致网络不通。需确认以下几点：

• IPv6链（例如INPUT、FORWARD）是否放行ICMPv6和DHCPv6协议。
• 是否启用了IPv6 NAT（如需要）。
• Zone间转发策略是否允许IPv6流量。

示例防火墙规则片段：

config rule
        option name 'Allow-DHCPv6'
        option src 'wan'
        option proto 'udp'
        option port '546:547'
        option family 'ipv6'
        option target 'ACCEPT'

六、流程图与总结性思考

整个故障排查过程可以归纳为如下流程图：

graph TD
      A[WAN口获取PD前缀] --> B{是否成功?}
      B -- 否 --> C[联系ISP确认支持PD]
      B -- 是 --> D[检查/etc/config/dhcp配置]
      D --> E{ra-management和prefix-delegation是否启用?}
      E -- 否 --> F[修改配置并重启odhcpd]
      E -- 是 --> G[检查sysctl IPv6转发设置]
      G --> H{是否启用?}
      H -- 否 --> I[启用IPv6转发]
      H -- 是 --> J[抓包分析WAN口IPv6交互]
      J --> K{是否有有效PD响应?}
      K -- 否 --> L[重新拨号或重启wan6接口]
      K -- 是 --> M[检查防火墙规则]
      M --> N{是否放行IPv6流量?}
      N -- 否 --> O[调整防火墙策略]
      N -- 是 --> P[尝试终端ping6测试]