没有公网IP怎么远程连家里？IPv6直连一分钱不花，但地址会变和两层防火墙得先摆平

表弟上个月出差，路上想连家里那台群晖翻照片，QuickConnect转了半天圈。他家是移动宽带，我一听就知道怎么回事—— WAN口IP是100.64开头的运营商大院，没有公网IPv4，端口转发配了也白配。后来我帮他把IPv6直连这条路走通了，手机流量直接填家里NAS的地址就能进管理页，速度跑满他家上行。但这一路踩的坑，比开v6本身多得多，记下来给同病相怜的人参考。

先说清楚：v6直连为什么连端口转发都省了

IPv4的年代，公网IP是稀缺货，一个家庭一个都给不起，运营商只能让几十户挤一个公网IP，中间靠NAT翻译。你想从外面连家里某台设备，得先连到路由器这个「传达室」，再由端口转发规则把你领到具体设备。公网IP没有，传达室就是封死的。

IPv6的逻辑整个反过来了。地址多到每台设备都能领一个全球唯一的门牌，2409开头的（移动）、240e开头的（电信）、2408开头的（联通），地址长啥样怎么拆开读，我在IPv6地址那篇里写过。没有NAT这层翻译官，外面的包直接砸到你设备的门牌上。路由器从「传达室」退回了「看大门的」——只管拦不拦，不管转不转。

顺带一个白捡的好处：玩过端口转发NAT回流的人都知道，IPv4在家测试自己的公网地址会撞回流坑，得切手机流量测。v6没这回事，没有NAT就没有回流，在家在外面访问行为是一致的。双重NAT那种光猫压一层、路由器压一层的叠加债，v6也从根上绕开了。

第一步：验两头、找地址，方括号别漏

v6直连的硬前提是两头都得有IPv6，缺一头这条路就死。

家里那头，连上WiFi用手机浏览器开 test-ipv6.com，打分10分就是通了。只有家这头通还不行——你出门在外用的网络也得有。手机流量现在基本都下发v6，三大运营商的4G、5G都支持，这个九成不用操心。真正容易翻车的是公司WiFi、商场WiFi这类，很多压根没开v6，我写FN Connect那篇就撞过：家里的NAS有v6，公司网络没有，照样只能走中继慢慢挪。

表弟家路由器是水星的，v6开关在后台一眼就能看到；小米机器的开关位置又不一样，这两篇我之前都写过路径，水星的在这、小米的在这。要是光猫这层就把v6吃了，还得去光猫后台翻，那是另一摊事，光猫开v6我也单独记过。验完两头都是10分，才轮到下一步。

找地址：浏览器里那对方括号是关键

在NAS的网络接口页（Windows就是ipconfig）能看到一串v6地址。注意两条：fe80开头的是内线电话，出不了门，别拿它连；要拿2409、240e这种开头的全球门牌。

然后用手机流量（把WiFi关掉），浏览器里输入：

http://[2409:8089:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx]:5000

这里有个九成新人都会栽的坑：地址两边必须套方括号。不套的话，浏览器会把冒号当成别的语法解析，直接把你这串当成搜索词丢给搜索引擎了。端口号写在方括号外面。这个语法是URL规范定死的，套上就通，不套就搜索，没有中间状态。我表弟第一趟就卡在这，还以为地址抄错了，来回核对了三遍。

用了一周连不上了：地址会变，且有两个来源

直连通的那天表弟很兴奋，地址存书签里天天用。第八天，连不上了。

这是v6直连的头号坑：地址会变，而且变的原因有两个，得分开治。

第一个来源是前缀变。v6地址的前64位是运营商分配的前缀，家宽的这种前缀不给固定，一般一两天就换一次，光猫一重启更是必换——他那次是小区停电半天，来电之后前缀直接换了新的。前缀一换，整串地址跟着变，书签里的旧地址就成了废纸。

第二个来源是设备自己的临时地址。为了隐私，系统会定期换后64位的随机后缀，Windows叫「临时IPv6地址」，默认一天轮换一次新的。就算前缀不变，Windows自己也会把地址换了。

治法：把后缀钉住。Windows上用管理员身份开命令提示符，敲两条命令：

netsh interface ipv6 set privacy state=disabled store=persistent

netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent

重启之后ipconfig里就不会再冒临时地址，后缀固定成网卡自己的标识，前缀怎么换、后缀都认得是它。NAS这边省心，群晖 DSM 的网络接口里地址后缀本来就相对稳定，重点防前缀就行。

真正的拦路虎是防火墙，还得过两层

地址钉住了，可能还是连不上——那是被防火墙拦了。v6直连要过两道闸，一道都不能漏。

第一道在路由器。v6时代每台设备都是公网门牌，路由器的v6防火墙默认全拦入站，这个默认值是对的，不拦才叫裸奔。但拦了你得会放行：水星、腾达这些的后台有v6防火墙的图形开关，勾上放行就行；小米官方固件最麻烦，没有图形界面，得开SSH改防火墙配置，新手我不建议碰，这几家各自的脾气我写过。表弟家的水星算运气好，后台点两下的事。

第二道在设备本体。群晖的防火墙默认是停用的，不拦，这道基本白送；但Windows默认防火墙是开着拦入站的，想从外面连家里电脑，得在「高级安全防火墙」里给对应端口建一条入站规则。很多人路由器放行了还是连不上，九成是漏了设备自己这道。

排查有个省事的顺序：人在家连同一WiFi测，通，说明设备本体这层过了；切手机流量测，不通，问题在路由器那道闸。两头分开测，比瞎猜快得多。

一劳永逸：让ddns-go帮你追着地址跑

后缀钉住了，前缀还是会换，总不能每次停电都远程让家里人抄地址。正路是DDNS：域名挂一条AAAA记录（v6版解析），配个客户端盯着地址，一变就自动更新。

这里有个群晖用户必踩的坑：群晖自带的DDNS界面没有AAAA选项，外部地址栏只认IPv4，原生功能走不通v6这条路。主流做法是装个开源的ddns-go：群晖Docker里一条命令的事，镜像跑起来网页里选服务商（阿里云、腾讯云DNSPod都支持），它自己认得出v6地址，前缀一换几十秒内AAAA记录就跟着更新。Docker这套我不展开了，入门那篇够用。

域名一年几十块，不想花钱也有办法：DNSPod这类有免费的二级域名可用，白嫖也能跑。配完之后，你连的就再也不是那串会变的地址，而是一个固定域名：

http://nas.你的域名:5000

方括号都不用了，这才是给人用的写法。

这条路适合谁，不适合谁

折腾完这一套，我把几条远程回家的路放一起对个账：

我家自己有公网IPv4，端口转发够用，v6对我就是备用通道。表弟家这种没公网IP、又嫌中继慢的，v6直连是唯一白嫖还能跑满速的路——远程访问NAS的三条路里，他的条件下v6从备胎变成了正宫。要是你家宽带连v6都不给，那就别硬撑了，中继慢归慢，好歹是个能落地的方案。

顺序上给个收尾：先test-ipv6验两头，再手填地址试通（记得方括号），通了再钉后缀、放两层防火墙，ddns-go挂上就算完事。哪一步卡住就停在哪步修，别一口气全配完再回头找毛病。