FortiGate 60F + HiNet PPPoE IPv6 全紀錄

確認 IPv6 功能已開啟

到 System → Feature Visibility，確認 IPv6 相關功能已啟用。否則 GUI 裡很多 IPv6 欄位不會出現。

wan2 啟用 PPPoE IPv6 與 DHCPv6-PD

WAN 端要向 HiNet 取得 Prefix Delegation。若第一次沒有協商成功，可先 disable 再 enable DHCPv6-PD 觸發重新協商。

config system interface
    edit "wan2"
        config ipv6
            set ip6-mode pppoe
            set ip6-allowaccess ping https http
            set dhcp6-prefix-delegation enable
        end
    next
end

internal LAN 使用 delegated prefix 並發送 RA

LAN 端不能只是自己亂填 IPv6，而是要吃 WAN 端拿到的 delegated prefix。這裡 IAID 要跟 WAN 端實際 DHCPv6-PD 的 IAID 對上。

config system interface
    edit "internal"
        config ipv6
            set ip6-mode delegated
            set ip6-upstream-interface "wan2"
            set ip6-subnet ::1/64
            set ip6-send-adv enable
            set ip6-max-interval 30
            set ip6-min-interval 10
            config ip6-delegated-prefix-list
                edit 1
                    set upstream-interface "wan2"
                    set autonomous-flag enable
                    set onlink-flag enable
                    set subnet ::/64
                next
            end
        end
    next
end

新增獨立 IPv6 防火牆政策

FortiOS 的 IPv4 / IPv6 policy 是分開的。IPv4 policy 放行不代表 IPv6 也放行，而且 IPv6 不要開 NAT。

config firewall policy
    edit <policy-id>
        set name "SD-WAN-IPv6"
        set srcintf "internal"
        set dstintf "virtual-wan-link"
        set action accept
        set srcaddr6 "all"
        set dstaddr6 "all"
        set schedule "always"
        set service "ALL"
    next
end

SD-WAN 成員補上 IPv6 gateway

這是這次卡最久的一關。wan2 在 SD-WAN Zone 裡時，IPv6 也需要讓 SD-WAN member 知道 gateway6，通常會是 HiNet BRAS 的 link-local 位址。

diagnose sniffer packet ppp2 "icmp6 and ip6[40]==134" 4 1

config system sdwan
    config members
        edit <wan2-member-id>
            set gateway6 fe80::6aab:9ff:fe31:c01
        next
    end
end

IPv6 靜態路由指向 SD-WAN Zone

既然流量要走 SD-WAN Zone，IPv6 default route 也要指到 `virtual-wan-link`，不要直接寫死到 `wan2`。

config router static6
    edit 1
        set sdwan-zone "virtual-wan-link"
    next
end

驗證路由、位址與 client 連線

diagnose ipv6 address list
diagnose firewall proute6 list
get router info6 kernel
execute ping6 2606:4700:4700::1111

LAN 端 Windows 再用 `ipconfig /all` 檢查是否取得 `2001:...` 位址，最後用 test-ipv6.com 驗證。