IPv6は“ポート開放してないから安心”ではない｜IPoE時代に見落としやすいこと【OpenWrt集中連載019】
IPv4のPort Forward一覧は空。だから、LAN内のNASやカメラへ外から届く入口はない。
そう考えているなら、IPv6側も確認してください。IPv6の外部着信は、ルーターと端末のファイアウォールで制御します。
対象はLN6001-JPのメーカー提供のOpenWrtベースのOS（ver. 1.2.0.15）です。全回線の試験結果ではなく、IPv6の状態・分離・外部着信を確認するガイドです。変更は契約と利用中モジュールの公式手順へ合わせます。
今回使っているOpenWrtルーターはこちらです。
IPv4とIPv6を二本の経路として見る
Webサイトが開いても、IPv4・IPv6の両方が正常とは限りません。別々に確かめます。
確認項目も分けます。
WAN状態: ifstatus wan と ifstatus wan6
経路: ip route show と ip -6 route show
DNS: AレコードとAAAAレコード
公開: IPv4のDNATとIPv6の許可ルール
外部テスト: IPv4接続とIPv6接続
IPoE接続の問題は、回線設定を先に見る
IPv6 IPoEとIPv4 over IPv6は別です。IPv6は通るのにIPv4サイトが開かない場合は、契約VNE、ONU・HGWの構成、オートIPoEの状態を014の回線判定で確認します。
IPv6を無効にするとIPoEやIPv4 over IPv6にも影響するため、まずどちらの経路が止まっているかを切り分けてください。
IPv6アドレスがあることと、外から届くことは別
LAN端末に 2000::/3 の範囲にあるグローバルユニキャストIPv6アドレスが付いていても、それだけで外部公開されたとは限りません。
外から届くには、少なくとも次が関係します。
上流からそのIPv6プレフィックスへ経路がある
ルーターのWAN→LAN転送が許可されている
端末側ファイアウォールが許可している
対象サービスがIPv6で待ち受けている
反対に、Port Forwardを作っていなくても、IPv6用のTraffic RuleでWANからLAN端末への通信を許可すれば、外から届く場合があります。
安全性を「NATの内側だから」で説明せず、「WANから始まるIPv6通信をFirewallで拒否し、必要な例外だけ許可している」と説明できる状態にします。
WAN6からLAN端末まで五段階で確認する
IPv6は、どこで止まっているかを順番に見ます。
WAN6がupで、IPv6アドレスや配信情報がある
IPv6のデフォルトルートがある
上流からPrefix DelegationまたはRAを受けている
LANへRA・DHCPv6が配られ、端末にIPv6が付く
Firewallと外部テストが意図どおり
一度に設定を変えず、最初に欠けた段階へ戻ります。
まずWAN6とIPv6経路を見る
LN6001-JPへSSHで入り、読み取りだけ行います。
ifstatus wan6
ip -6 addr show
ip -6 route show
logread | grep -Ei 'wan6|odhcp6c|ipv6|prefix|ra' | tail -n 120
確認するのは、WAN6がupか、ルーター自身にIPv6アドレスがあるか、default のIPv6経路があるか、委譲されたプレフィックスの情報があるかです。
リンクローカルアドレス fe80::/10 だけでは、インターネットへIPv6通信できる証拠になりません。デフォルト経路と上流からの配信状態も合わせて見ます。
Prefix DelegationをLANへ分ける
Prefix Delegationは、プロバイダから受け取ったIPv6プレフィックスをLANやGuestなどの下流ネットワークへ割り当てる仕組みです。
OpenWrtでは、ip6assign や ip6hint などで下流ネットワークへの割り当てを調整できます。ただし、回線から受け取れるプレフィックス長によって、作れる下流サブネット数が変わります。
Linksys公式案内では、LN6001-JPはDHCPv6-PD /56 とRA /64 の回線に対応するとされています。ホームゲートウェイ配下では配信方式が変わる場合があるため、上流機器の役割も確認します。
LANへIPv6が付かない時に、いきなりFirewallを緩めないでください。まず、上流プレフィックス、下流割り当て、RA・DHCPv6の順に見ます。
RAとDHCPv6は端末への案内役
RA（Router Advertisement）は、IPv6プレフィックスやデフォルトルーターなどを端末へ案内します。DHCPv6は、構成に応じてアドレスや追加情報を配ります。
OpenWrtの標準的なIPv6構成では、odhcp6c が上流のDHCPv6クライアント、odhcpd が下流のRA・DHCPv6サーバーとして関係します。
確認例です。
uci show network
uci show dhcp
ip -6 neigh show
端末側では、グローバルIPv6、リンクローカルIPv6、デフォルトルーター、DNSの状態を確認します。端末が一時アドレスを複数持つこともあるため、アドレス一つだけを固定的な機器IDとして扱わないほうが安全です。
FirewallはInputとForwardを分ける
IPv6の着信でも、誰宛てかを分けます。
Input: インターネットからルーター自身へ向かう通信
Forward: インターネットからLAN内端末へ通過する通信
LuCIでは、Firewallのzone既定方針、zone forwarding、Traffic Rulesを確認します。WAN側InputとForwardを拒否し、必要なICMPv6などの標準例外と、自分が意図して作ったサービスだけを許可します。
読み取り確認です。
uci show firewall
ip6tables-save
ルール名だけで判断せず、送信元zone、宛先zone、宛先IPv6、プロトコル、ポート、family を見ます。IPv4用のルールを作ったつもりでも、family指定や宛先条件によってIPv6へ影響する可能性があります。
IPv4のPort ForwardとIPv6の許可ルールを混ぜない
IPv4のPort Forwardは、WAN側のIPv4アドレスとポートをLAN内のプライベートIPv4へ変換して転送します。
IPv6では、端末のグローバルIPv6へ向かう通信を、Firewallで通すか止めるかが中心です。NAT66など別構成もありますが、標準的な理解を混ぜないため、まずは「IPv6は許可ルール」と考えます。
次の管理面は、IPv4でもIPv6でもインターネットへ直接公開しません。
LuCIとSSH
NAS・カメラ・録画機の管理画面
RDP
バックアップ装置やハイパーバイザー
自分だけが使うなら、WireGuardやTailscaleなどのVPNを先に検討します。
Guest・IoTの分離をIPv6でも確認する
IPv4でGuest→LANを止めても、IPv6側のzoneやTraffic Ruleが広ければ、設計と違う経路が残る可能性があります。
テストするのは次の組み合わせです。
Guest端末からインターネットへIPv4・IPv6で出られる
Guest端末からNASへIPv4・IPv6のどちらでも届かない
Guest端末からLuCI・SSHへ届かない
IoTから管理PCやNASへ不要な通信が届かない
Staffや管理VPNから必要な機器へだけ届く
GuestでIPv6を使わない設計も選べます。ただし、「よく分からないから全体でIPv6を無効にする」のではなく、そのzoneで使わない理由と影響を残します。
DNSフィルターとVPNもIPv6を含める
広告ブロック、家族向けDNS、ログ、VPNをIPv4だけで検証すると、端末がIPv6のDNSや経路を使った時にポリシーが揃わないことがあります。
DNS
AレコードだけでなくAAAAレコードも解決されます。端末へ案内するIPv6 DNS、ルーターのDNS転送、DoHなどアプリ内DNSの扱いを確認します。
VPN
IPv4だけをVPNへ通し、IPv6が通常回線から出る構成では、利用者が期待する「全通信をVPNへ」が成立しません。VPNをLANアクセスだけに使うのか、IPv4・IPv6のインターネット通信も通すのかを明確にします。
DNSやVPNが悪いのではなく、二本の経路に同じ方針を適用したかを確認することが重要です。
ICMPv6は一括で止めない
ICMPv6は、IPv6のエラー通知、近隣探索、経路やMTUに関わります。IPv4のping応答と同じ感覚で、すべて止めないでください。
特にPath MTU Discoveryでは、経路上でパケットが大きすぎる時に Packet Too Big を送信元へ返します。RFC 8201は、この通知が届かないと、TCP接続は始まるのにデータ転送で止まる「ブラックホール接続」が起こり得ると説明しています。
「小さいページは開くが、大きな転送や特定サイトだけ止まる」場合、MTU、トンネル、ICMPv6の許可を確認します。
必要なICMPv6種類を理解せず、WANからのICMPv6を一つの広い拒否ルールで上書きしないでください。OpenWrtの既定ルールを基準にします。
外部テストはIPv4とIPv6を別々に行う
スマートフォンの携帯回線や、管理下の外部接続から確認します。
対象端末がIPv6で待ち受けているか確認する
IPv6の宛先アドレスを特定する
許可していない管理ポートへ届かないことを確認する
意図したVPNや公開サービスだけが使えることを確認する
IPv4側も同じように別テストする
IPv6アドレス、ホスト名、ポートを不特定の外部スキャンサービスへ入力する場合は、そのサービスの運営者と保存方針を確認してください。自分で管理する外部端末から試す方法もあります。
接続できない理由が、本当にFirewallかを確かめる
外部端末にIPv6の経路がない、宛先アドレスが古い、対象サービスが停止している場合も、接続は失敗します。これを「Firewallで遮断できた」と数えないようにします。外部端末がIPv6通信できることと、管理用LANから対象サービスへ届くことを先に確認してください。
回線の再接続などでプレフィックスや端末アドレスが変わった場合は、固定のIPv6アドレスを条件にした許可ルールと、実際の宛先を照合します。届かないからと宛先条件を外すのではなく、必要な宛先だけを再確認します。意図しない公開が見つかった時は該当する例外を閉じ、同じ外部端末から再テストします。
症状から確認場所へ戻る
WAN6はupだがLAN端末にIPv6が付かない
Prefix DelegationまたはRA配信、LANのip6assign、odhcpd、上流HGWの構成を確認します。
IPv6は通るがIPv4サイトが開かない
IPv4 over IPv6の方式判定、オートIPoEモジュール、契約VNE、MAP-E・DS-Lite・IPIPの状態を確認します。
IPv4は通るがIPv6が通らない
WAN6、IPv6 default route、プレフィックス、RA・DHCPv6、端末側アドレスを上流から順に見ます。
一部のサイトや大きな転送だけ止まる
MTU、PMTUD、ICMPv6 Packet Too Big、VPNやIPv4 over IPv6トンネルの影響を確認します。
GuestからNASへIPv6だけ届く
GuestのIPv6プレフィックス、zone、Guest→LANのforwarding、familyが広いTraffic Rule、NAS側Firewallを確認します。
IPv6運用メモを一枚持つ
回線方式、VNE、ONU・HGW・LN6001-JPの接続順
WAN6の状態と委譲プレフィックスの種類
LAN・Guest・IoTへ割り当てるIPv6サブネット
IPv6のInput・Forward・Traffic Rules
IPv4・IPv6それぞれの外部テスト結果
DNS、VPN、フィルターで両方を扱う方針
最終確認日と変更理由
IPv6プレフィックスや端末アドレスは変わる場合があります。アドレス値だけでなく、「どのzoneの、どの用途の端末か」を一緒に記録します。
次に読むなら
IPoE回線を見分ける: IPv6はつながるのにIPv4が開かない？｜LN6001-JPでIPoE回線をまず見分ける
firewall zoneを整理する: GuestからNASを見せない｜firewall zoneを部屋分けで理解する
ポート公開を判断する: そのポート、本当に開ける？｜NAS・カメラを外に出す前の判断順
