家庭网络远程访问指南：IPv6 + DDNS、OpenWrt 防火墙放行、VPN 与反向代理
导读摘要：在外面访问家里的 NAS、路由器和电脑，有三条路：IPv6 直连、VPN 回家、反向代理。本文讲清 IPv6 前缀变化怎么用 DDNS 解决、OpenWrt 防火墙怎么只放行需要的端口、OpenVPN / WireGuard / Tailscale 怎么选，以及 Nginx 反代和 HTTPS 证书的注意事项。
简短回答：只想自己远程用，优先选 VPN 回家（WireGuard 或 Tailscale），只暴露一个端口甚至不暴露端口；需要给别人访问网页服务（如相册、网盘），再用 IPv6 + DDNS + 反向代理。不管哪种，都只放行必需的端口。
一、三种远程访问方式
| 方式 | 前提 | 暴露面 | 适合 |
|---|---|---|---|
| VPN 回家（WireGuard / OpenVPN） | 公网 IPv4 或 IPv6 | 只开 1 个 VPN 端口 | 自己访问家里所有设备 |
| Tailscale 等组网工具 | 无 | 不需要开端口 | 没有公网 IP 的家庭 |
| IPv6 + 反向代理 | IPv6 公网地址 | 开放网页服务端口 | 给家人朋友访问网页服务 |
二、IPv6：每台设备都有公网地址
运营商通过「前缀委派（PD）」给路由器分配一段 IPv6 前缀，路由器再给内网每台设备分配公网地址，不再需要 NAT。确认方法：在 OpenWrt 的「网络 → 接口」里看到 wan6 获取到了 IPv6-PD 前缀，内网电脑访问 IPv6 测试网站显示有 IPv6 连接。
问题是前缀会变：很多运营商的前缀会在重新拨号或定期刷新后变化，地址一变，原来记下的 IP 就失效了，这就需要 DDNS。
三、DDNS：让域名自动跟随地址变化
DDNS（动态域名解析）会定时检查当前 IP，有变化就通过 DNS 服务商的 API 更新域名记录。OpenWrt 上安装 luci-app-ddns 即可图形化配置，常见的 Cloudflare、阿里云、DNSPod 都有现成脚本。要点：
- IPv6 要更新的是 AAAA 记录，并且要选「目标设备」的 IPv6，而不是路由器自己的地址（在设备上运行 DDNS 客户端最简单）；
- API 令牌只授予「编辑这一个域名的 DNS」权限；
- TTL 设短一些（如 60–300 秒），地址变化后生效更快。
四、OpenWrt 防火墙：只放行需要的端口
OpenWrt 默认 wan 区域的入站和转发都是拒绝的，这正是我们想要的。要让外网访问某台设备的某个端口，在「网络 → 防火墙 → 通信规则」新建规则：
- 协议：TCP 或 UDP（按服务选择）；
- 源区域：
wan，目标区域：lan； - 目标地址：目标设备的 IPv6 地址。前缀会变时，较新的 OpenWrt（fw4）支持按地址后缀匹配，写法类似
::1234/-64，表示只匹配后 64 位，具体以你所用版本的文档为准； - 目标端口：只填这一个服务的端口，动作选「接受」。
不要图省事放行整台设备的所有端口，家里很多设备（打印机、摄像头、NAS 管理页）的安全性并不适合直接面对公网。
五、VPN 回家：OpenVPN、WireGuard、Tailscale 怎么选
- WireGuard：配置简单、速度快、手机耗电低，OpenWrt 有
luci-proto-wireguard。缺点是只走 UDP，个别网络环境会被限制。 - OpenVPN：历史久、兼容性最好，可以走 TCP 443，在只允许网页流量的网络里更容易连上；缺点是速度和配置复杂度都不如 WireGuard。
- Tailscale：基于 WireGuard 的组网服务，自动打洞，没有公网 IP 也能用，几分钟就能配好；缺点是依赖第三方协调服务器。
连上 VPN 后，访问家里设备就和在家一样，用内网地址即可，不需要为每个服务单独开端口。
六、反向代理和 HTTPS 证书
有多个网页服务时，可以用 Nginx、Caddy 或 Lucky 做反向代理：只开放一个端口，按不同子域名转发到不同的内网服务，并统一配置 HTTPS。注意两点：
- 国内家庭宽带的 80/443 入站通常被封，需要换成高位端口，例如
https://nas.example.com:8443； - 申请证书用 DNS 验证（例如
acme.sh --issue --dns dns_cf -d nas.example.com），因为 HTTP 验证需要 80 端口。证书默认 90 天有效，acme.sh 会自动续期。
七、安全清单
- 能用 VPN 就不直接暴露服务；
- 暴露的服务开启强密码和两步验证，及时更新系统；
- 路由器管理界面、SSH 只允许内网或 VPN 访问；
- 定期检查防火墙规则，删掉不再使用的放行规则。
常见问题
开了 IPv6 后家里设备是不是都暴露在公网了？
OpenWrt 默认防火墙会拒绝从 WAN 主动进入 LAN 的连接，所以默认是安全的。只有你添加了放行规则的端口才会对外开放。
OpenVPN、WireGuard、Tailscale 选哪个？
有公网地址、追求速度选 WireGuard；需要走 TCP 443 穿过严格网络时选 OpenVPN；没有公网 IP 或不想维护服务端选 Tailscale。
为什么申请 HTTPS 证书总是失败？
国内家庭宽带的 80、443 入站端口通常被运营商封锁，HTTP 验证无法完成。改用 DNS 验证（例如 acme.sh 配合 DNS 服务商 API）即可。
💡 机场情报局精选推荐：高品质海外节点与 IEPL 专线是流畅访问的基础，欢迎查阅我们的实时评测：【2026 稳定高速机场推荐榜单】。