补充一点：IPv6真正令人遗憾的是，它是过去时代的遗物

在IPv6的世界里，你的家庭路由器仍然像IPv4一样进行防火墙设置（NAT只是额外的意外防火墙功能），你仍然可以在笔记本电脑上跳过防火墙 拥有全局分配的地址空间并不意味着连接性的开放

在防火墙后面的设备可以通过IPv6路由，并不意味着你默认就可以连接到它们。如果你想连接，必须在防火墙中明确允许。这和你之前用IPv4时打开端口并进行端口转发是一样的。只是在IPv6中你不需要NAT和端口转发。有些人需要它，有些人不需要。这和打开端口的情况一样。

有一个解决方案：RFC6887。 你在网络边缘有一个防火墙。它默认阻止传入连接，但支持端口控制协议。那些未打补丁的旧版iOS设备仍然处于防火墙之后，因为你的十年老网络打印机本来就不需要全球连接，也不会请求它。真正需要端到端连接的应用程序会发出请求，然后防火墙会为它们打开端口，而不需要不熟练的用户手动配置任何东西。 该协议是NAT-PMP（RFC6886）的演进，用于创建IPv4的NAT映射，但RFC6887支持IPv6，并且“映射”只是打开传入端口而不需要NAT。

> 你要怎么做，培训用户登录他们的路由器并开启流量？ 你已经做了几十年了。你提供一个客户终端路由器，它默认拒绝传入流量，允许所有传出流量，这样事情基本上和现在用这些相同规则的IPv4一样。 在公开可路由的网络中，网络防火墙仍然存在。如果我想让我的游戏机允许传入流量用于游戏匹配，我可以这么做。或者有系统可以自动配置。但这样我就不用让多个设备争夺有限的端口范围，每个设备都有比它们能处理的更多的IP和端口。

我见过的每一个家用路由器都会默认丢弃未请求的IPv6数据包。但这并不意味着点对点路由突然变得不可能。 IPv6使点对点路由变得更容易，即使在默认防火墙会丢弃未请求数据包的环境中。你仍然可以使用STUN等标准NAT穿透技术，与防火墙后的IPv6设备进行通信，而且效果更好，因为IPv6不需要跟踪和预测标准NAT的端口映射。两个点对点系统都可以向彼此的IPv6地址发送未请求的数据包，并使用特定端口，知道该端口号不会被重新映射，因此它们的传出数据包中包含的地址和端口数据是正确的，可以确保防火墙将这些地址和端口上的传入流量视为已请求的。 这在处理CGNAT时尤其有用，你的住宅…

另一种现实是所有设备都能连接到其他所有设备，并且内置了针对通常由防火墙解决的问题的缓解措施吗？

天啊，不，不，不。一遍又一遍地听到这个真是令人沮丧。NAT 不是防火墙。防火墙就是防火墙，任何合理的网络管理员都会使用它（同样，任何合理的合格的 ISP 也会为那些不太懂的用户提供带有防火墙的设备）。一点知识是很危险的……

这似乎把问题混淆了？ “所有设备都可以路由”是个好主意，因为这意味着当我们需要设备可以路由时，有一个简单且明显的方法可以做到。 但我们最终却陷入了 NAT 的境地：我们仍然需要很多设备可以路由，因此我们启用各种变通方法和不明显的方式来实现这一点，这既带来了不合理的安全幻觉，又使网络配置变得足够难以理解，从而增加了故障的风险。 比如 UPnP 就不应该存在（实际上我现在把它关掉了，因为 UDP 穿洞工作得很好，但所有这些都很疯狂）。