Oracle Cloud如何正确放行ICMPv6？配置规则后仍不生效

ICMPv6 正常运行依赖多类基础协议报文，仅放行Ping请求/应答类型、仅配置IPv4侧iptables规则，都会出现「IPv6公网连通、HTTP/HTTPS等TCP流量正常，仅ICMPv6不通」的问题，无需放开全量IPv6流量，按以下步骤配置即可修复。

一、Oracle Cloud VCN侧安全规则配置 #

必须在VCN对应的安全列表/网络安全组中放行以下ICMPv6类型，注意协议项选择ICMPv6，不要误选IPv4的ICMP协议：

• 类型1：目的地不可达
• 类型2：数据包过大（路径MTU发现依赖该类型，缺失会导致大文件传输卡顿）
• 类型3：传输超时
• 类型4：参数错误
• 类型128：Echo Request（入站Ping请求）
• 类型129：Echo Reply（Ping应答）
• 类型133：路由器请求
• 类型134：路由器通告
• 类型135：邻居请求
• 类型136：邻居通告

配置注意事项：

1. 邻居请求/通告、路由器请求/通告四类链路本地报文，源网段需设置为::/0，其余类型可按需限制源访问网段；
2. 勾选规则的无状态选项。ICMP为无状态协议，Oracle Cloud有状态会话跟踪对ICMPv6的适配存在已知问题，勾选无状态可避免会话老化导致的断续不通问题。

二、系统侧防火墙规则配置 #

Ubuntu系统下iptables命令仅对IPv4流量生效，IPv6流量需要通过ip6tables（或nftables）配置规则，执行以下命令添加最小权限放行规则：

# 安装规则持久化组件
apt update && apt install -y iptables-persistent
# 追加必需的ICMPv6放行规则，*跳数限制为255*可拦截伪造的跨网段攻击报文
ip6tables -A INPUT -p icmpv6 --icmpv6-type destination-unreachable -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type time-exceeded -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type parameter-problem -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type echo-request -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type echo-reply -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type neighbor-solicitation -m hl --hl-eq 255 -j ACCEPT
ip6tables -A INPUT -p icmpv6 --icmpv6-type neighbor-advertisement -m hl --hl-eq 255 -j ACCEPT
# 保存规则，重启后不失效
netfilter-persistent save

如果系统启用了ufw防火墙，需要在/etc/ufw/before6.rules中添加上述相同的ICMPv6放行规则，之后执行ufw reload生效即可。配置时可对照已有的ICMPv6规则截图检查，确保没有遗漏上述必需的ICMPv6类型。

三、验证 #

配置完成后等待10秒左右（云平台规则生效延迟），从外部网络Ping VPS对应的IPv6地址即可正常连通，traceroute6、IPv6路径MTU发现等依赖ICMPv6的功能均可正常运行，其余IPv6流量仍按原有规则管控，不存在全量放开的风险。

内容的提问来源于stack exchange，提问作者Abir Dey