NAS IPv6 远程访问：光猫、防火墙、DDNS 怎么配
前几天有人问我一个问题：家里宽带没有公网 IPv4，QuickConnect 用得难受，是不是只能去买个中转。
我说先别花钱，你打开手机流量、关掉 Wi-Fi，把 NAS 的 IPv6 地址粘进浏览器试一下。他试完回了一句：怎么这么快。
这件事有点反常识——很多人还在为"公网 IP"发愁的时候，家里那条宽带其实已经悄悄发了公网 IPv6，只是没人在路由器上把它放出来。这一篇讲的就是放出来之后，还得过的三关：光猫和路由器、防火墙、DDNS。
先确认一件事：你家可能已经有 IPv6 了
2026 年 7 月 28 日，第五届中国 IPv6 创新发展大会上发布了《中国 IPv6 发展报告（2026）》。报告里的两个数字挺能说明问题：截至 2025 年 12 月，我国 IPv6 活跃用户 8.69 亿，占网民 77.38%；截至 2026 年 6 月，全国家庭网关 IPv6 开启率 98.41%，运营商定制家庭路由器的 IPv6 支持率 99.12%。
同一个月，中央网信委印发了《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030 年）》，里面提到要"加快向 IPv6 单栈演进"。这话对着读者翻译一下就是：以后想拿公网 IPv4 只会更难，IPv6 是长期方向，不是临时替代品。
所以别急着下判断，先做三个动作：
- 看 DSM 有没有拿到地址。「控制面板 > 网络 > 网络界面」，选中正在用的那块网卡，点「编辑」，切到 IPv6 标签。这里如果是「自动」并且下面真的显示了一串地址，说明这一层已经通了。
- 用手机流量访问一次。关掉 Wi-Fi，浏览器里输入
http://[你的IPv6地址]:5000——注意地址要套方括号，这是 IPv6 在 URL 里的写法，不套直接打不开。国内运营商常见的段是 240e、2408、2409 开头（分别多见于电信、联通、移动），具体以你自己看到的为准。 - 确认地址不是内网段。以 fe80 开头的是链路本地地址，只能在局域网里用，不算数；能当公网地址用的是 2400::/12 这类全局单播地址。
三步都过，那你手上已经有一条比中继快得多的路了，剩下的只是把它配稳。
第一关：光猫和路由器，得先有人把前缀拿到手
IPv6 的家宽和 IPv4 有个根本差别：它不是给你一个地址，而是给你一段前缀，再由家里的路由器把这段前缀分给每台设备。这段前缀的行话叫前缀委派，也就是 PD。
关键就在"谁拨号"这件事上。光猫自己拨号（路由模式）的时候，前缀在光猫手里，路由器只是二级路由，这时候你几乎必然要进光猫里翻一遍设置；光猫改桥接、由自己的路由器拨号，前缀才落在你手上。群晖的 DSM 帮助文档里对这件事写得很直白：DHCP-PD 这个选项"需要 ISP 支持，且仅在路由器模式下工作"——NAS 自己拨号才轮得到它去要前缀。
桥接这件事本身值不值得做，我在光猫改桥接那篇里算过账：它换的是控制权，不是带宽。但对 IPv6 来说，控制权这件事的权重比 IPv4 更高，因为前缀在谁手里，防火墙就在谁手里。
路由器这头的设置没什么花活，难的是选对类型。华硕官方 FAQ 里列了它支持的七种 IPv6 连接类型：Native、静态 IPv6、Passthrough、FLET'S IPv6 Service，以及 Tunnel 6to4、6in4、6rd 三种隧道。国内家宽绝大多数选 Native 就对了；后面那几种隧道是历史遗留和境外运营商专用的方案，选错的表现是"看起来开了，实际一个包都出不去"，还很难查。
还有一个特别容易被忽略的：光猫自己的 IPv6 防火墙。光猫在路由模式下，入站流量是先撞到光猫的。你在自己路由器上放行得再漂亮，包根本没进来过——这类"我明明开了却连不上"，九成卡在这一层。
第二关：IPv6 没有 NAT，门口只剩防火墙这一道门
这是整篇里最需要改变观念的一段。
IPv4 时代，我们习惯了"没有公网 IP 就等于安全"——NAT 顺手把外面的入站请求全挡了，虽然那本来不是它的职责。IPv6 里这层缓冲不存在：每台设备都有自己的公网地址，路由器的活儿是"转发"，不是"藏起来"。所以防火墙不再是可选的加固项，它是唯一的边界。
厂商默认也是这么做的。华硕官方 FAQ 的原话是：路由器在默认情况下，不允许所有未知设备进入局域网或通过路由器进入内部设备，目的是避免路由器及后端设备遭受攻击。要放行，路径是「防火墙 > 一般设置 > IPv6 防火墙」（默认已启用），然后在「传入防火墙规则」里建规则。这条 FAQ 还给了几个硬信息：最多 128 条规则；每条要填服务名称、远程 IP 或 CIDR、本地 IP、通信端口范围、协议；而且这个功能只支持 IPv6 地址，填 IPv4 没用。
照这个结构，正确的姿势其实只有一句话：只放行 NAS 的一个端口，别开"所有端口、所有来源"。
- 远程 IP 那一栏能填就填。它的意思是"只允许这些来源进来"，比留空（任何来源都能敲）安全一个量级。缺点是手机流量换基站后地址会变，得留点余地。
- 本地 IP 填 NAS 的 IPv6 地址，端口只写你真正要用的那一个。DSM 的 5000/5001 是管理入口，能不摆到公网就别摆；常用做法是走反向代理只开一个 443，或者干脆换个非标端口降低噪音。
- 如果放行的是"任何来源"，那 NAS 侧的认证就必须补齐：自动封锁、帐户保护、双重验证，这三项在 DSM 里都是现成的。
群晖这边也有一层。官方 DSM 功能页把它的防火墙描述为"基于配置文件的 IPv4/IPv6 双重架构"，规则可以按 IP 或端口限制、并决定在哪个接口生效。这里有个官方帮助文档里写明的细节值得记：如果 NAS 是通过 PPPoE 拨号上网的，相关防火墙规则必须建在对应的 PPPoE 接口上，建在 LAN 接口上是不会生效的。
第三关：地址会变，所以得有 DDNS
运营商给你的前缀是有租期的，光猫重启、线路重拨、局端调整，都可能换一段。前缀一变，NAS 的整个地址就变了——这就是为什么"直接记 IP"在 IPv6 上比 IPv4 更不现实：IPv4 地址你还能背下来，IPv6 那串东西没人背。
好消息是群晖自己就支持。官方 DSM 功能页的原话是，Synology 提供免费的 DDNS 服务，该服务支持 IPv4 和 IPv6；SRM（群晖路由器系统）的帮助页写得更绝对一点："仅 Synology DDNS 支持 IPv6 服务"。
路径在「控制面板 > 外部访问 > DDNS」，点新增，服务供应商选 Synology，主机名填个 xxx.synology.me，顺手可以把 Let's Encrypt 证书和 Heartbeat（掉线提醒）勾上——这几步都是官方帮助页里列的。
有一点我得说实话：官方帮助页只列了一个「外部地址」输入框，而网上不少教程说新版弹窗里会分成 IPv4 和 IPv6 两栏。我没法替你确认你的 DSM 版本长哪样，以你自己机器上的界面为准，能填 IPv6 就填 IPv6，IPv4 那栏如果没有公网地址就停用。
如果你有自己的域名，或者想让它盯得更勤，开源工具 ddns-go 是个常见选择。仓库是 MIT 协议，README 里有专门写给群晖的一节，步骤照抄就行：套件中心装 Docker → 注册表搜 ddns-go 下载 → 映像里启动 jeessy/ddns-go → 高级设置里网络勾选"使用与 Docker Host 相同的网络"、勾上自动重新启动 → 浏览器打开 http://群晖IP:9876 配置。命令行方式也行：
docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go它的默认行为里有两个数字要留意：默认每 5 分钟同步一次，页面默认勾选"禁止从公网访问"。后一个默认值别去关，那个网页里存着你的域名商密钥。
顺手把 DSM 那一页也对一遍
DSM 的 IPv6 设置就在「控制面板 > 网络 > 网络界面」，选中网卡点编辑，IPv6 标签下有三类选项（官方帮助页原文）：
- 自动：按路由器的 RA 通告生成地址，下面还能细分无状态、无状态加 DHCPv6、有状态（需要开 DHCPv6 服务器并填地址池）。家宽选这个就够。
- 手动：自己填 IPv6 地址、前缀长度、默认网关。前缀会变的环境里，手动反而更麻烦。
- 关闭，以及 6in4、6to4、DHCP-PD、IPv6 Tunneling 这几种过渡机制。除了 DHCP-PD（NAS 自己拨号时用），其余几种基本是给没有原生 IPv6 的网络兜底的，家宽用不上。
三个没人提前告诉你的坑
一、对面也得有 IPv6。这是最常见的"配好了却打不开"。公司的办公网、不少商场和酒店的 Wi-Fi 是关着 IPv6 的，从这些网络访问一个只有 IPv6 地址的域名，请求会直接失败，跟你的配置无关。手机流量目前基本都带 IPv6，所以排查时优先用流量试，别用某个具体 Wi-Fi 下结论。
二、前缀一变，防火墙规则会静默失效。路由器里那条规则的"本地 IP"填的是一个完整地址，前半段是运营商给的前缀。前缀换了，这条规则就指向了一个不存在的地址——它不会报错，只是不再匹配，然后你就"突然连不上了"。这也是为什么 IPv6 直连的稳定性口碑不如它该有的那么好。我自己的做法是：前缀变化频繁的环境，与其跟规则较劲，不如把认证做扎实、端口开得尽量少。
三、域名一旦挂上证书，就等于公开。用 Let's Encrypt 签发证书时，域名会进入证书透明日志（CT），这是公开可查的机制，不是漏洞。再叠加 DDNS 域名本身容易猜（xxx.synology.me 这种），等于把"我家有个 NAS，地址在这"写在公告板上。这不代表不能用，而是说明：能不能连上，和该不该公开，是两个问题。自己用就自己用，别到处贴地址。
另外提一句端口：家宽的 80、443 入站，各地运营商的政策不一样，有的直接封。所以日常访问用非标端口、或者走反向代理，比死磕 80/443 现实。具体封不封，拿手机流量试一次就知道，别信别人的"我们这边可以"。
最后是边界问题：上面讲的都是访问自己的设备。如果想让别人通过这个地址访问你的网站或服务，那是另一件事——对外提供互联网信息服务涉及备案，家庭宽带的服务条款通常也不允许。这篇不涉及那部分，也不建议拿家宽去做。
我的判断：这三类人，答案不一样
家里 IPv6 稳定、只自己和家人用——值得弄，而且性价比高得离谱。一次配置换来的是一条不经过任何第三方中继的直连，速度上限就是你家宽带的上行；这笔账我在上行那篇里算过，你在外面拉文件的天花板从来不是 NAS，是那 30M 上行。
一年用三五次，只想在外面临时看张照片——别折腾，QuickConnect 就够了。它的价值不是快，是"什么都不用配，也不会把自家门开着"。为什么它有时候慢，我在QuickConnect 那篇里拆过三段连接机制，看完你就知道自己的情况值不值得换路。
想拿家宽对外提供服务——不建议。暴露面、备案、宽带条款，三样都不站在你这边。真要做，去租一台正经的服务器，别拿家里的机器顶。
最后给个顺序上的建议，这是我踩过坑之后的结论：先在 NAS 上把 IPv6 弄通、用手机流量能直连，再考虑 DDNS 和防火墙规则。顺序反了，你会同时在光猫、路由器、DDNS 三个地方排查，最后大概率放弃在第二步。上面三关是按"数据流进来的方向"排的，不是按难度排的。
如果你还停在"我到底该选哪种远程访问"这一步，先看四种方案的账那篇，它算的是成本、门槛和暴露面；这一篇算的是 IPv6 这条路具体怎么落地。没有 IPv6 的兜底方案（内网穿透怎么选），是这个系列的下一个话题。
本文依据：《中国 IPv6 发展报告（2026）》（2026-07-28 发布）、中央网信委《深化互联网协议第六版（IPv6）技术创新和融合应用实施方案（2026—2030 年）》、群晖官方 DSM 功能页与 DSM 7 帮助文档（DDNS、网络界面、防火墙三节）、华硕官方 FAQ 1013638（IPv6 防火墙）与 113990（IPv6 设置）、ddns-go 仓库 README 与 LICENSE（10-26 读取）。界面路径、字段名称与运营商策略各版本各地不同，请以你自己设备上的显示为准；"前缀变化导致规则失效""80/443 入站被封"属经验判断，未做逐地区实测。
