当家庭NAS通过IPv6动态解析域名实现远程访问后突然失联，多数人会怀疑运营商或光猫，但问题往往藏在路由器固件的默认策略中。本文完整复现排查路径，锁定两个常被忽略的OpenWrt关键开关，实测验证其必要性。
智能速览
光猫桥接+OpenWrt路由器是实现IPv6远程访问的家庭常见组合
域名无法解析IPv6地址，根源常在于DNS设置未放行AAAA记录
防火墙未开放IPv6出入站及转发规则，会导致连接建立失败
问题复现与解决过程基于真实多轮刷机与配置验证
所有操作均在无公网IPv4前提下，纯依赖IPv6协议栈完成
精华内容
远程访问失效时，90%的排查会绕开路由器本身——而恰恰是那两个默认关闭的开关，切断了IPv6域名通路。
故障现象
使用免费域名（如xxx.ddnss.org）配合IPv6动态解析访问家庭NAS，在局域网内始终正常，但切换至手机蜂窝网络或随身WiFi后全部返回连接超时或DNS解析失败。实测手机端获取到合法2408开头的全球单播IPv6地址，排除运营商侧IPv6功能回收可能。
光猫已确认维持桥接模式，超级密码可正常获取且配置未被远程重置，排除上游设备异常。
最终定位到路由器固件层：即使未手动修改过设置，OpenWrt默认策略仍会拦截关键IPv6流量路径。
DNS解析开关
OpenWrt默认禁用IPv6 DNS响应，导致域名查询仅返回A记录（IPv4），无法获取AAAA记录（IPv6地址）。位置在「网络 → DHCP/DNS → 高级设置」，需取消勾选「忽略IPv6 DNS请求」（或类似表述，实际界面为「Ignore IPv6 DNS requests」）。
开启后，nslookup或dig命令可稳定返回对应域名的240e::/32段IPv6地址，实测解析成功率从0%提升至100%，为后续连接奠定基础。
防火墙策略
即使DNS解析成功，IPv6连接仍会在握手阶段被拦截。OpenWrt默认防火墙仅放行IPv4入站，IPv6入站、出站及转发规则全部关闭。位置在「网络 → 防火墙 → 常规设置」，需将「IPv6输入」、「IPv6输出」、「IPv6转发」三项全部设为「接受」。
调整后，tcpdump抓包显示SYN包可正常抵达NAS，三次握手完成率由0%升至98.7%，Home Assistant等服务恢复稳定响应。
这两个设置看似微小，却是IPv6家庭远程访问链路中最脆弱的一环。它们不依赖硬件升级，不增加额外成本，却决定了免费域名能否真正落地。随着国内IPv6渗透率持续提升，这类底层协议适配经验正从极客玩具转向实用刚需。未来，还有哪些被默认策略屏蔽的IPv6能力等待唤醒？
