电视盒子开IPv6无法观看网飞netflix；ppgw是否支持ula ipv6地址呢？

[Lovest20018]

因为电视或者盒子播放netflix如果开着ipv6的话，默认连ipv6.inet6能自动获取ula地址的话做ipv6的静态路由应该就可以解决这个问题。

[kkkgo]

v6做静态路由并没有太大意义，因为你最终还是通过v4连接节点。
影响netflix主要在于两方面：
1、DHCP的DNS解析。如果你在仅v4情况下能正常使用netflix，那么说明DNS解析已经成功ppgw。而在有v6的情况下，首先要检查的是，有没有被下发额外IPv6的DNS地址，需要禁止下发IPv6的DNS地址或者下发ppdns的v6地址。再检查nslookup netflix.com是否会出现AAAA的解析结果。当你检查完以上这些，说明DHCP的DNS解析已经做好了，如无意外，你在具备v6地址的PC，打开浏览器应该能正常观看netflix。
2、netflix客户端app的DNS解析。与普通PC不同，netflix客户端会内置硬编码DNS服务器，从而绕过DHCP的DNS解析。根据大多数文章显示，这可能是硬编码了谷歌的DNS。这个的解决方案可以是在路由器上阻止连接谷歌的DNS（从路由器防火墙上DROP掉），此外，可能还需要把dns.google.com和dns.google加入force_dnscrypt_list。具体示例命令如下：

iptables -I FORWARD --destination 8.8.8.8 -j DROP 
iptables -I FORWARD --destination 8.8.4.4 -j DROP 
ip6tables -I FORWARD --destination 2001:4860:4860::8844 -j DROP 
ip6tables -I FORWARD --destination 2001:4860:4860::8888 -j DROP 

某些产品如Google Cast可能强制使用谷歌DNS否则不能启动，可以考虑重定向谷歌DNS到局域网DNS服务，具体示例命令如下：

iptables -t nat -A PREROUTING -s 192.168.x.x/24 -d 8.8.8.8 -p udp --dport 53 -j DNAT --to 192.168.x.x
iptables -t nat -A PREROUTING -s 192.168.x.x/24 -d 8.8.4.4 -p udp --dport 53 -j DNAT --to 192.168.x.x

如果以上两方面都不能解决问题，并且电视盒子不需要v6地址的话，可以考虑对电视盒子禁用v6分配。如下两种方案：
1、DHCPv6服务修改为有状态DHCPv6。由于安卓不支持有状态DHCPv6，所以不会被分配v6地址。
2、DHCPv6服务修改为服务器模式，配置防火墙规则过滤对应mac地址，具体参考命令如下：

# 将FF:FF:FF:FF:FF:FF替换为设备对应地址，将br-lan替换为你的LAN口名称

ip6tables -A input_lan_rule -i br-lan -p ipv6-icmp -m mac  --mac-source FF:FF:FF:FF:FF:FF -j DROP
ip6tables -A input_lan_rule -i br-lan -p udp --dport 547 -m mac  --mac-source FF:FF:FF:FF:FF:FF -j DROP

3、弄一个子路由给电视盒子用，二级路由分配不了v6地址。

如果以上方案都不能解决需求，那么话题回到你想要静态路由上，可以直接考虑对netflix的v6地址段进行DROP，这与你“想通过v6静态路由”来解决问题实际上是一样的，netflix在v6不可用就自然会使用v4，与其考虑怎么静态路由，不如直接DROP掉。

参考资料：

• https://gist.github.com/jamesmacwhite/6a642cb6bad00c5cefa91ec3d742e2a6?permalink_comment_id=3783963
• https://laoo.net/post/52

[Lovest20018]

盒子的netflix也是ip直接访问的，而开了ipv6貌似就v6优先，禁止v6是有效的，毕竟v4的route一直都正常。
而且我之前一直这样用，知识最近iptv都用的v6的源，关闭ipv6就不能看iptv了。

不过我昨晚貌似解决了
我ROS开启了IPV6 ULA ： fd1e::1/64
ipv6 route我做了几条netflix的v6 IP route到 fd1e::99
貌似这样就可以播放了。。paopaodns用的ipv6 yes。
对ipv6基本没什么知识储备，都不知道实际fd1e::99 是什么意思，竟然可以了。。
同时这样还解决了我blbl的问题。

[kkkgo]

如果你没有什么特殊的设置，fd1e::99只是一个没什么特别意义的随机的本地链路地址，你的路由交换网络设备也大概率不会被分配到这个地址，如果你做路由，也就是相当于无法到达路由。这也就是上面最后一段话说的“可以直接考虑对netflix的v6地址段进行DROP，与其考虑怎么静态路由，不如直接DROP掉。”

[Lovest20018]

/ipv6 firewall filter
add chain=forward action=drop src-address=2607:fb10::/32 comment="Netflix ipv6"
add chain=forward action=drop src-address=2620:10c:7000::/44 comment="Netflix ipv6"
add chain=forward action=drop src-address=2a00:86c0::/32 comment="Netflix ipv6"
add chain=forward action=drop src-address=2a03:5640::/32 comment="Netflix ipv6"
奇怪了，我单独这样drop,还是不能播放。但加了ipv6 route,fd1e::xx xx为任何数都是可以播放的。
我ros也只是设置了网桥的ULA IPV6地址为 fd1e::1/64
DHCPV6 Client 没有设置
配置ND /interfaces 新增了bridge 的配置，但没勾选advertise dns。

[kkkgo]

drop掉的应该是dst吧

[Lovest20018]

感谢，是要dst，那这样说明其实我之前router到一个不可达的ipv6地址其实也就是丢弃了，那这样感觉我也没必要设置ULA IPV6了。

[Lovest20018]

/ipv6 firewall filter
add chain=forward action=drop dst-address=2607:fb10::/32 comment="Netflix ipv6"
add chain=forward action=drop dst-address=2620:10c:7000::/44 comment="Netflix ipv6"
add chain=forward action=drop dst-address=2a00:86c0::/32 comment="Netflix ipv6"
add chain=forward action=drop dst-address=2a03:5640::/32 comment="Netflix ipv6"

加个备忘。感谢大佬。

[Rivens7]

Block Netflix IPv6 addresses

ip6tables -A FORWARD -s 2607:fb10::/32 -j DROP -m comment --comment "Netflix ipv6"
ip6tables -A FORWARD -s 2620:10c:7000::/44 -j DROP -m comment --comment "Netflix ipv6"
ip6tables -A FORWARD -s 2a00:86c0::/32 -j DROP -m comment --comment "Netflix ipv6"
ip6tables -A FORWARD -s 2a03:5640::/32 -j DROP -m comment --comment "Netflix ipv6"

[Rivens7]

我写了下openwrt防火墙drop的规则，不知道是否正确，请作者抽空能帮看下

[kkkgo]

应该没啥问题，openwrt的话也可以在web防火墙的通讯规则直接操作。

[Rivens7]

感谢回复，辛苦了