OpenWrt如何配置IPv6 ACL规则？

Question

在OpenWrt系统中配置IPv6 ACL（访问控制列表）时，常见问题是：如何通过防火墙规则限制特定IPv6地址的访问？用户常因不熟悉`ip6tables`语法或误配Zone策略，导致ACL失效。例如，即使添加了拒绝某全球单播IPv6地址的规则，设备仍可通信。问题根源通常在于规则顺序、未指定正确链（如FORWARD或INPUT），或被上级策略覆盖。此外，SLAAC或DHCPv6动态分配的地址也增加了规则持久化难度。如何正确编写`ip6tables`规则并集成到OpenWrt防火墙配置中，确保IPv6 ACL稳定生效？

Answer 1

在OpenWrt系统中配置IPv6 ACL的深度解析与实践

1. IPv6 ACL基础概念与OpenWrt防火墙架构

访问控制列表（ACL）是网络安全策略的核心组件，用于控制数据包的进出。在IPv6环境下，由于地址空间庞大、地址分配机制多样（如SLAAC、DHCPv6），传统基于IPv4的ACL配置经验难以直接迁移。

OpenWrt使用firewall3作为默认防火墙管理器，底层依赖ip6tables处理IPv6流量。其核心结构由Zone、Forwarding规则和自定义规则链构成。

• Zone：逻辑网络区域（如wan、lan）
• Chain：对应iptables中的INPUT、FORWARD、OUTPUT
• Policy：Zone内默认行为（accept/drop/reject）

理解这些抽象层对正确配置IPv6 ACL至关重要。

2. 常见问题分析：为何ACL规则看似无效？

问题现象	可能原因	诊断方法
拒绝规则未生效	规则顺序靠后，被ACCEPT规则提前匹配	ip6tables -L FORWARD -n -v
动态地址无法持久控制	SLAAC导致EUI-64地址变化	检查RA通告与主机地址生成方式
本地服务仍可访问	误用FORWARD链而非INPUT链	确认目标是转发流量还是本机服务
规则重启后丢失	手动添加未写入配置文件	检查/etc/config/firewall
跨Zone通信绕过限制	Zone间forward策略为accept	uci show firewall.@forwarding[0]

3. 正确编写ip6tables规则的语法要点

直接操作ip6tables需掌握以下关键语法：

# 拒绝来自特定IPv6地址的转发流量
ip6tables -I FORWARD -s 2001:db8::100 -j REJECT --reject-with icmp6-adm-prohibited

# 限制访问本机SSH服务
ip6tables -I INPUT -p tcp --dport 22 -s 2001:db8::/64 -j DROP

# 允许但限速某网段ICMPv6
ip6tables -A FORWARD -p ipv6-icmp -s 2001:db8:1::/64 -m limit --limit 5/s -j ACCEPT

注意：-I插入规则到链首，确保优先级；-A追加至末尾，易被覆盖。

4. 集成到OpenWrt UCI配置系统的标准方法

为保证规则持久化，应通过UCI接口写入/etc/config/firewall：

config rule
    option name 'Block_Malicious_IPv6'
    option family 'ipv6'
    option src 'lan'
    option dest 'wan'
    option proto 'all'
    option src_ip '2001:db8::200'
    option target 'REJECT'
    option reject_with 'icmp6-adm-prohibited'
    option enabled '1'

应用配置：/etc/init.d/firewall restart

5. 动态IPv6地址场景下的持久化策略

针对SLAAC或DHCPv6导致的地址变动，建议采用以下方案：

1. 基于前缀过滤：option src_ip '2001:db8:1::/64'
2. 结合设备MAC绑定静态IPv6（通过DHCPv6 Server配置）
3. 使用NDP代理+静态DUID分配
4. 部署RADIUS或802.1X认证实现身份驱动的ACL

示例：强制客户端使用固定IAID/DUID获取相同地址。

6. 调试与验证流程图

graph TD A[发现ACL未生效] --> B{检查规则是否存在} B -->|否| C[添加ip6tables规则] B -->|是| D[查看规则顺序] D --> E{是否在ACCEPT之前?} E -->|否| F[调整插入位置 -I] E -->|是| G{目标流量路径?} G --> H[INPUT链: 本机服务] G --> I[FORWARD链: 转发流量] G --> J[OUTPUT链: 出站] H --> K[确认服务监听IPv6] I --> L[检查Zone Forward策略] L --> M{Policy是否allow?} M -->|是| N[修改forwarding rule] M -->|否| O[继续排查路由/NAT]

7. 高级技巧：结合脚本实现智能ACL管理

创建定时任务监控日志并自动封禁异常IPv6地址：

#!/bin/sh
LOGFILE="/var/log/messages"
BLOCKED=$(grep "IPv6 attack" $LOGFILE | awk '{print $NF}' | sort -u)
for ip in $BLOCKED; do
    if ! ip6tables -C FORWARD -s $ip -j REJECT >/dev/null; then
        ip6tables -I FORWARD -s $ip -j REJECT --reject-with icmp6-adm-prohibited
        uci add firewall rule
        uci set firewall.@rule[-1].name="AutoBlock_$ip"
        uci set firewall.@rule[-1].family=ipv6
        uci set firewall.@rule[-1].src_ip=$ip
        uci set firewall.@rule[-1].target=REJECT
        uci commit firewall
    fi
done

此脚本可集成至cron每日执行，实现自动化威胁响应。