国内的运营商分配的 IPv6 前缀不固定，请问防火墙应该如何配置？

[keyfunc]

电信很早以前就开始分配长度为 56 的前缀了，但家里有很多智能家居设备和一些压根没防火墙的设备，担心存在安全风险，所以 IPv6 一直是关闭的。

这段时间发现用 P2P 下载时，如果启用了 IPv6 ，整体下载速度能快上不少，所以打算开始用上 IPv6 。 目前在路由侧配置部份防火墙规则，但可以确定的地址也就一些 ULA 和 LLA 地址，GUA 地址是不固定的，所以不太清楚这类地址的规则应该如何配置了。

我需求十分简单，对部份自带防火墙的主机开放所有入站访问，其他主机按实际情况开放个别端口，其他的全部 Drop 掉。

有一些问题想请教大家：

1. 前缀不固定
2. IPv6 地址采用的是 SLAAC 方式分配，我不太清楚这种分配方式接口地址是否固定
3. 设备如何静态配置 IPv6 地址？

因为网络知识比较匮乏，所有来请教下 V2 的大佬们，各位家里用 IPv6 的话，网络是如何规划的？

[billgong]

我这边 SLAAC 是每户一个 /56 的地址固定的，然后我在 pfSense 里划一个 /64 作为内网。我发现设备实际上通过 SLAAC 拿到的地址是和 MAC 绑定的，并不会变。但地方运营商怎么搞我就不知道了。

[kuaner]

用后缀匹配，一般后缀是固定的
::5:6:7:8/::ffff:ffff:ffff:ffff
如果给你分配了有状态的地址，openwrt 的防火墙可以这样匹配规则

[DAPTX4869]

openwrt 防火墙默认是外部全关的, 没这种烦恼
用到的时候放开端口就好了

[keyfunc]

@kuaner 我试试你这种方式，我的主路由是 routeros 的，看下是否支持，谢谢

[keyfunc]

@billgong 好像 Windows 的设备接口地址是随机的，不是 EUI64 ，不知道他的随机会不会变。