請教試用IPv6 Dual stack的Windows 防火牆設定應該是怎樣比較合適?

[fierycloud]

因為目前i-040gw有直接提供IPV6區域網路，所以修正下。

一、電腦環境是Win7及Win10(不同電腦):
1.
關閉所有通道上的IPv6 (https://support.microsoft.com/zh-tw/kb/929852)。
且關閉ISATAP、Teredo、6to4。 (可能各作業系統不太一樣。)
網路的IPv6維持勾選(取消勾選似乎只會關閉非通道的IPv6。但本文目的是要維持非通道IPv6，僅關閉通道IPv6)。)
(IP Helper 維持預設的開啟。本來有嘗試關閉過，感覺有比較快，但是因為這樣會有一堆netsh命令失效。而且其實目的也是要在Dual Stack的狀況下，關閉應該已經不需要的通道。以下列指令替代。)
netsh interface isatap set state disabled
netsh interface 6to4 set state disabled
netsh interface teredo set state disabled


使用ipconfig /all看有沒有撥號與網路卡以外的通道?

主要使用Chrome瀏覽。一般使用上因為只有瀏覽網路，所以應該算是正常。 (i-040gw有開DHCP跟無線)

2.使用speed guide網站的TCP Optimizer 4，測試(連到www.google.com 的，應該是各網站不同)MTU，040gw預設是PPPOE(自動1492)跟IPOE(應該是沒用過)。

區域網路測起來是1492，區域網路預設是1500，改成1492；
寬頻連線(PPPOE撥號)測起來是1480，預設本來就1480。

改法是參照網路搜尋到的，先找出要改的網路介面idx。
(因為如果有亂動過registry，可能就不太適合用 名稱，可能出現element not found 元素找不到，比較適合用idx。)

(1)以系統管理員權限開啟命令提示字元，
netsh interface ipv4 show interface

Idx Met MTU 狀態 名稱
--- ---------- ---------- ------------ ---------------------------
24 10 1480 connected Hinet IPv6
1 4275 4294967295 connected Loopback Pseudo-Interface 1
5 4235 1500 connected 乙太網路

(2)
netsh interface ipv4 set subinterface "5" mtu=1492 store=persistent
netsh interface ipv6 set subinterface "5" mtu=1492 store=persistent
(本來040gw的區網沒有直接硬體撥號支援IPV6的時候，區域網路中的IPV6協定，個人是設定成沒有勾選的狀態。 實際上如果真的不需要，似乎應該是要關閉所有通道上的IPv6，而不是不勾選IPv6。)

(其實區域網路的部分，似乎沒有作用，因為Win10區域網路似乎會停止，會顯示無網際網路存取。Win7是顯示多重網路(更新都有安裝)。)

二、只是因為於網站IPv6 test - IPv6/4 connectivity and speed test 測試的時候，IPv6 connectivity下， 有一項ICMP 顯示Filtered。17分。 所以就想嘗試一下點選該項右側顯示的ICMP相關設定。

有嘗試網路上搜尋到的兩種Windows防火牆設定方向:
1.開啟預設的"檔案及印表機共用"ICMPv6 in out相關，維持Filtered，17分(應該是因為一個是網域；一個公共與私人的，但預設遠端是本機子網路。)
2.自訂輸入規則的(網域、公共、私人)ICMPv6的"回應要求"(變成Reachable，19分)；及"重新導向"(維持Filtered，17分)。
但至少在個人一般網路瀏覽環境，兩者皆感覺沒有變化。

然後因為有些文章是提及ICMP開啟回應也可能會Ping的相關攻擊，所以如果完成相關線上服務支援需求，應該要回復成關閉狀態(某電腦廠商的服務網站Q&A)。
才發覺到，應該要更限縮下開啟的範圍，比如埠?之類的。

3.所以重新看了一遍WIKI的Path_MTU_Discovery，似乎是提及IPv4是使用 (Type 3, Code 4)，IPv6是使用TYPE2。不過在防火牆設定時，是顯示已經有相同的規則，才發現是不是因為已經有ICMPv4(核心網路功能 - 需要無法與目的地取得連線片段) 及IPv6"封包太大"的預設開啟值。
感覺上此時個人使用的一般網路瀏覽環境也沒有變化。(... ...因為就是預設值)

4.不過似乎沒有"ICMPv4封包太大"的預設值。但是ICMPv4下有"封包太大"可以設定。不曉得作用是如何? 只是設定後感覺沒變化。(好像有順一點，但也可能是錯覺。)

因此想請教Windows 防火牆設定應該是怎樣比較合適? 包含輸出輸入、IPV4、IPV6
(目前的進展是覺得，是不是應該就限定欲開放的網路程式，比如Chorme的ICMPv6 Echo權限，不過該狀況下還是Filtered，17分。)

20190819 目前是在Windows防火牆與comodo防火牆，都開放所有ICMPv6進出。 只開放出不行，只開放進可以，但是如果開放進出，感覺上，一堆支持完全IPv6的網站，在comodo防火牆的統計上，會幾乎都能變成IPv6在進出。 感覺有比較好，實際上好像跟只開放進沒差。

[琥珀]

http://ipv6-test.com/，三、四分
http://test-ipv6.com/，零分

分數本身不重要，可以上網最重要。

Windows 10 服務，任意變更設定，通常愈改愈糟。

[fierycloud]

此篇，無法取得IPV6 DNS的狀況(1607 14393)，自1703 15063.13開始，是正常的 (因為全新安裝完，去注意的時候已經是升級.13的狀況)

一、
另一臺Win7都是正常自動取得。

一台Win10更新至14393.10- .223時 (之前1511版應該是正常，更新完都會自動升級，看到的時候就是.10，不知道.0是怎樣)，PPPOE不能自動取得IPv6版的DNS位址(IP&Gateway正常)；IPv4的正常。

1.網路連線詳細資料是以下

連線特定 DNS 尾碼: 這項是空白
描述: ... ...
實體位址: ‎這項是空白
DHCP 已啟用: 否
IPv4 位址: ... ...
IPv4 子網路遮罩: 255.255.255.255
IPv4 預設閘道: 這項是空白
IPv4 DNS 伺服器: 168.95.1.1, 168.95.192.1
IPv4 WINS 伺服器: 這項是空白
NetBIOS over Tcpip 已啟用: 否
IPv6 位址: ... ...
連結-本機 IPv6 位址: ... ...
IPv6 預設閘道: ... ...
IPv6 DNS 伺服器: 這項是空白，但是根據http://www.ipv6.hinet.net/form/HiNet...ct-setting.pdf 應該是要有DNS

2.ipconfig /all 也只有同上兩組IPv4的Hinet DNS， 沒有IPv6的Hinet DNS

3.測試網站是顯示

IPv6 test - IPv6/4 connectivity and speed test
... ...
SLAAC No (因為一直都這樣，是表示沒有用到SLAAC?)
... ...
DNS4 + IP6 Reachable
DNS6 + IP4 Unreachable
DNS6 + IP6 Unreachable

A.撥號(4、6都選)與區網(4、6都選，或是只有選4)，都選自動取得DNS的時候，同上，DNS僅第一項正常。
B.撥號(4、6都選)與區網(選4)，只要撥號的4，有手動填DNS(8.8.8.8；168.95.1.1)，6是自動DNS，DNS三項都會是正常的。(此時ipconfig /all並不會顯示有v6DNS，但仍會有v6閘道，IP)
(但是在另一台Win7 即使，撥號只勾選IPv6與自動，區域網路只勾選v4，仍是正常的，反正就是可以自動取得v6的DNS，閘道，IP)
C.如果撥號只選6，手動填DNS時，ipv6-test.com 測出來的Browser Default 項目會是IPv4。

二、
有試過以下都無效
1.設定-網路與網際網路-狀態-網路重設 (會顯示再5分鐘重開)
2.netcfg -d (P.S.本來以為以上兩種重設可以重設所有連線相關序號，但是不行。 而且不會動到PPPOE的設定)
3.

ipconfig /flushdns
* ipconfig /release
* ipconfig /release6
* ipconfig /renew
* ipconfig /renew6
* ipconfig /registerdns
arp -d *
arp -d -a
nbtstat -R
nbtstat -RR
route -f
netsh interface ipv4 delete arpcache
netsh interface ipv4 delete destinationcache
netsh interface ipv4 delete neighbors
netsh interface ipv4 reset
netsh interface ipv6 delete destinationcache
netsh interface ipv6 delete neighbors
netsh interface ipv6 reset
netsh interface ipv6 6to4 set state disabled
netsh interface ipv6 isatap set state disabled
netsh interface 6to4 set state disabled
netsh interface teredo set state disabled
netsh interface isatap set state disabled
netsh interface httpstunnel reset
netsh interface portproxy reset
netsh interface tcp reset
netsh interface udp reset
netsh advfirewall reset
netsh winhttp reset proxy
netsh int ipv4 set global sourceroutingbehavior=drop
*netsh int ipv4 set global sourceroutingbehavior=dontforward
Netsh int ipv4 set global reassemblylimit=0
Netsh int ipv6 set global reassemblylimit=0
*Netsh int ipv6 set global reassemblylimit=267748640
netsh winsock reset

重新開機
另有設定LAN的MTU為1492。(目前WAN中PPPOE似乎無法更改成手動MTU)
目前是21H1，還有嘗試關閉LAN IPv6的RDNSS，因為電腦端LAN會有來自DHCP跟RDNSS的兩組DNS.(雖然目前LAN的IPv6都取消勾選，因為感覺可以大幅減少一些感覺就是怪怪的狀況。)

netsh interface ipv4 set subinterface "6" mtu=1492 store=persistent
netsh interface ipv6 set subinterface "6" mtu=1492 store=persistent
netsh int ipv6 set interface "6" rabaseddnsconfig=disabled
netsh winsock reset

netsh int ipv4 reset、netsh int ipv6 reset 有出現access denied。
(1)搜尋到開啟存取權限就會正常(重開機就會鎖回去)，不過，因為裡面沒內容不曉得究竟是重置了那些項目(之前沒內容，reset 都成功後，還是沒內容)。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nsi\{eb004a00-9b1a-11d4-9123-0050047759bc}\26
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nsi\{eb004a01-9b1a-11d4-9123-0050047759bc}\25

(2)似乎也可用(系統管理員權限開啟的)PowerShell (不過效果未知。自定的DNS似乎不會變化，其他未知)
SG :: How to repair TCP/IP and Winsock
Remove-NetIPAddress

4.DISM.exe /Online /Cleanup-image /Restorehealth (因為有想過會不會是安裝過程有遺失檔案，但是看起來沒作用，在最新版中似乎會連上網更新)
Dism.exe /online /Cleanup-Image /StartComponentCleanup /ResetBase (清理，但是只適用於Win 8.1以後)
5.重新啟動控制台-系統管理工具-服務-DNS Client 以及 DHCP Client
6.使用媒體製作工具，重新下載安裝也無效。 但是有發現如果1.2.3.4.都做一次，開機時進安全模式再出來，開機時跟網路會比較順。

三、
還是只是最近Hinet DNS不穩定(但是另一台Win7似乎都正常)

四、
感覺比較接近的是stateful 或是stateless DHCP的設定之類的
比如這2篇，但是試過似乎沒作用。
https://support.microsoft.com/en-us/kb/961433
https://support.microsoft.com/en-us/kb/2822311

以下應該是原狀。DNS切換成自動或是自訂都是這樣。但是正常來說，似乎advertise、routerdiscovery、advertisedefaultroute、managedaddress、otherstateful的啟用與否，似乎都會有點不同。
netsh int ipv6 show int
netsh int ipv6 show int "X" (填寫上項命令中要查詢的IDX號)

可以自動取得IPv6 DNS的那台Win7

IPv6
----------------------------------------------
IfLuid : ppp_5
IfIndex : 608
狀態 : connected
計量 : 20
連結 MTU : 1480 位元組
可連線時間 : 15500 毫秒
基本可連線時間 : 30000 毫秒
重新傳輸間隔 : 1000 毫秒
DAD 傳輸 : 3
站台首碼長度 : 64
站台識別碼 : 1
轉送 : disabled
公告 : disabled
芳鄰探索 : enabled
芳鄰無法連線偵測功能 : disabled
路由器探索 : enabled
管理的位址設定 : disabled
其他可設定狀態設定 : enabled
弱式主機傳送 : disabled
弱式主機接收 : disabled
使用自動計量 : enabled
略過預設路由 : disabled
通告的路由器存留期 : 1800 秒
通告預設路由 : disabled
目前的躍點限制 : 64
強制 ARPND 喚醒模式 : disabled
導向 MAC 喚醒模式 : disabled

無法自動取得IPv6 DNS的Win 10(但是可以自動取得IPV4)

IPV6
----------------------------------------------
IfLuid : ppp_0
IfIndex : 23
狀態 : connected
計量 : 25
連結 MTU : 1480 位元組
可連線時間 : 22500 毫秒
基本可連線時間 : 30000 毫秒
重新傳輸間隔 : 1000 毫秒
DAD 傳輸 : 3
站台首碼長度 : 64
站台識別碼 : 1
轉送 : disabled
公告 : disabled
芳鄰探索 : enabled
芳鄰無法連線偵測功能 : disabled
路由器探索 : enabled
管理的位址設定 : disabled
其他可設定狀態設定 : enabled
弱式主機傳送 : disabled
弱式主機接收 : disabled
使用自動計量 : enabled
略過預設路由 : disabled
通告的路由器存留期 : 1800 秒
通告預設路由 : disabled
目前的躍點限制 : 64
強制 ARPND 喚醒模式 : disabled
導向 MAC 喚醒模式 : disabled
ECN 功能 : application

五、
不過只要手動輸入DNS的IPv6位址，就正常。 (包含手動輸入中華電信的IPv6 DNS)
比如說 使用自訂的不同的幾個來源的DNS

https://101.101.101.101/index.html#
2001:de4::101
2001:de4::102

http://www.ipv6.hinet.net/form/HiNet...ed_setting.pdf
2001:b000:168::1
2001:b000:168::2

或是

https://developers.google.com/speed/...dns/docs/using
2001:4860:4860::8888
2001:4860:4860::8844

或是

https://developers.cloudflare.com/1.....1.1.1/windows
2606:4700:4700::1111
2606:4700:4700::1001

或是

https://www.quad9.net/service/servic...-and-features/
2620:fe::fe
2620:fe::9

或是

https://support.opendns.com/hc/en-us...cisco-umbrella
2620:119:35::35
2620:119:53::53

發現暫時解決方案，就是在連線完成的時候，執行ipconfig /renew6即可。(重開機或是重新連線會失效，需要每次... ...)
https://social.technet.microsoft.com...tpronetworking

20231106 DNS Benchmark / add/remove / Rebuild custom list /執行完後的結果。

Server IP	Reverse DNS	Owner
168. 95. 1. 1	dns.hinet.net	HINET Data Communication Business Group, TW
168. 95. 192. 1	dns.hinet.net	HINET Data Communication Business Group, TW
101. 101. 101. 101	twnic-public-dns.twnic.tw	TWNIC-NET-AS Taiwan Network Information Center, TW
1. 0. 0. 1	one.one.one.one	CLOUDFLARENET, US
1. 1. 1. 1	one.one.one.one	CLOUDFLARENET, US
101. 102. 103. 104	twnic-public-dns.twnic.tw	GOOGLE-CLOUD-PLATFORM, US
1. 0. 0. 2	None	CLOUDFLARENET, US
1. 1. 1. 2	None	CLOUDFLARENET, US
8. 8. 4. 4	dns.google	GOOGLE, US
8. 8. 8. 8	dns.google	GOOGLE, US
149. 112. 112. 112	dns.quad9.net	QUAD9-AS-1, CH
208. 67. 222. 220	resolver3.opendns.com	OPENDNS, US
208. 67. 222. 123	resolver1-fs.opendns.com	OPENDNS, US
208. 67. 222. 222	resolver1.opendns.com	OPENDNS, US
9. 9. 9. 9	dns9.quad9.net	QUAD9-AS-1, CH
223. 6. 6. 6	public2.alidns.com	ALIBABA-CN-NET Alibaba US Technology Co., Ltd., CN
223. 5. 5. 5	public1.alidns.com	ALIBABA-CN-NET Alibaba US Technology Co., Ltd., CN
129. 250. 35. 250	x.ns.gin.ntt.net	NTT-LTD-2914, US
129. 250. 35. 251	y.ns.gin.ntt.net	NTT-LTD-2914, US
208. 67. 220. 123	resolver2-fs.opendns.com	OPENDNS, US
208. 67. 220. 222	resolver4.opendns.com	OPENDNS, US
76. 76. 2. 2	p2.freedns.controld.com	CONTROLD, CA
76. 76. 10. 2	s2.freedns.controld.com	CONTROLD, CA
185. 228. 168. 9	security-filter-dns.cleanbrowsing.org	CIDNOC, US
204. 117. 214. 10	ns1.sprintlink.net	SPRINTLINK, US
208. 67. 220. 220	dns.opendns.com	OPENDNS, US
94. 140. 15. 15	dns.adguard.com	ADGUARD, CY
94. 140. 14. 14	dns.adguard.com	ADGUARD, CY
199. 2. 252. 10	ns2.sprintlink.net	SPRINTLINK, US
204. 97. 212. 10	ns3.sprintlink.net	SPRINTLINK, US
156. 154. 71. 22	None	SECURITYSERVICES, US
198. 153. 192. 1	None	SECURITYSERVICES, US
156. 154. 71. 2	None	SECURITYSERVICES, US
156. 154. 71. 25	None	SECURITYSERVICES, US
52. 80. 66. 66	ec2-52-80-66-66.cn-north-1.compute.amazonaws.com.cn	BJ-GUANGHUAN-AP Beijing Guanghuan Xinwang Digital, CN
156. 154. 71. 1	rdns2.ultradns.net	SECURITYSERVICES, US
103. 87. 68. 194	dns.bebasid.com	IDNIC-ATHARVA-AS-ID PT Atharva Telematika Persada, ID
119. 29. 29. 29	pdns.dnspod.cn	TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue, C
119. 28. 28. 28	pdns.dnspod.cn	TENCENT-NET-AP-CN Tencent Building, Kejizhongyi Avenue, C
24. 113. 32. 29	ns1.wavecable.com	AS-WAVE-1, US
24. 113. 32. 30	ns2.wavecable.com	AS-WAVE-1, US
204. 194. 232. 200	None	OPENDNS, US
4. 2. 2. 2	b.resolvers.level3.net	LEVEL3, US
4. 2. 2. 3	c.resolvers.level3.net	LEVEL3, US
4. 2. 2. 1	a.resolvers.level3.net	LEVEL3, US
4. 2. 2. 5	e.resolvers.level3.net	LEVEL3, US
4. 2. 2. 6	f.resolvers.level3.net	LEVEL3, US
204. 194. 234. 200	None	OPENDNS, US
4. 2. 2. 4	d.resolvers.level3.net	LEVEL3, US
185. 228. 169. 9	security-filter-dns2.cleanbrowsing.org	CIDNOC, US
156. 154. 70. 22	None	SECURITYSERVICES, US
198. 153. 194. 1	None	SECURITYSERVICES, US
156. 154. 70. 25	None	SECURITYSERVICES, US
156. 154. 70. 1	rdns1.ultradns.net	SECURITYSERVICES, US
156. 154. 70. 2	None	SECURITYSERVICES, US
149. 112. 122. 20	protected.canadianshield.cira.ca	CIRADNS3, CA
76. 76. 19. 19	None	AMAZON-02, US
76. 223. 122. 150	None	AMAZON-02, US
114. 114. 114. 114	public1.114dns.com	COGENT-174, US
193. 110. 81. 0	dns0.eu	DNS0EU, FR
185. 253. 5. 9	zero.dns0.eu	DNS0EU, FR
193. 110. 81. 1	kids.dns0.eu	DNS0EU, FR
185. 253. 5. 1	kids.dns0.eu	DNS0EU, FR
185. 253. 5. 0	dns0.eu	DNS0EU, FR
193. 110. 81. 9	zero.dns0.eu	DNS0EU, FR
149. 112. 121. 20	protected.canadianshield.cira.ca	CIRADNS3, CA

[fierycloud]

P.S. 嘗試選擇完全重設了一下，結果SLID不見了... ...
(因為看到有些網路討論，SLID在接頭沒有拔除的狀況下，似乎不能變更，所以應該是不會不見，但就是不見了。 )

部分回復出廠預設值(保留用戶原設定參數)
請注意，按下部分回復預設值後，SLID、撥接設定與 Wi-Fi設定將被保存，
其餘設定將會全部回復原廠預設值。

按下部分回復預設值後，以下的設定將會被套用:
LAN IP: 192.168.1.1
部分回復預設值

完全回復出廠預設值(用戶設定參數會完全清除)
如欲清空所有自訂的設定並復原成原廠設定，請按完全回復預設值
按下完全回復預設值後，以下的設定將會被套用:
LAN IP: 192.168.1.1
完全回復預設值

SLID 回復成Default。
設定完PPPOE，但無法連線。 所以就打了障礙申告電話... ...
但是幾分鐘後，重開，居然就可以連線了... ...
(首次來裝設的時候，師傅也是詢問使用帳號密碼後設定的)

(打了障礙申告電話，本來是說要明天早上，但約10分鐘後，就有師傅說要過來重新設定SLID，因為會有另外的驗證機制，可能會有上網問題，大概再5分鐘後，就到府。設定SLID完成。要打開、拔光纖插頭後，才能設定。 )

但還是一樣，家中win10那台電腦無法以自動的方式，取得IPv6 DNS(IPv6 IP 及Gateway正常) (Win7那台全部正常)

P.S.
師傅特別告知，有重新設定PPPOE，是wifi.hinet.net的，可以少占用一個撥接取得的IP。
(可能是來自於目前光世代基本型(數據機內建)的家用第一路免費WIFI方案。(應該幾年以前以前就有某些是內建免費提供家用WIFI的，比如光世代一定速度以上，只是當時方案不叫這名字)
http://wifi.hinet.net/pwlan/rates/index.html#home_wifi
因為其告知是內部設定，專屬的一組帳號(原帳號@wifi.hinet.net)與密碼。 可以使用hinet電話客服與原申請人申請! (網頁上的是加密狀態，如果韌體更新等因素，可能記錄下的密碼是不同編碼而無法使用。)

(不過之前使用的DSL6641K，也有被遠端設定成wifi.hinet.net的帳號，以及開啟DHCP與無線功能，應該也包含可能是家中有申請WIFI無限通的關係吧! 因為之前家用WIFI似乎要收69?元的月租費的時候，WIFI無限通的方案是有包含免費家用WIFI!

目前家中該光世代線路還是有使用WIFI無限通。

兩者是不是使用相同的帳號密碼就不得而知，因為使用者不在家中。

首次裝機時，師傅有問過家中是否有申請家用無線網路，因為他們的施工文件有顯示出來。
當時也還有問過當時的師傅，如果其中一方改了wifi.hinet.net密碼，是不是會彼此影響到，比如使用WIFI無限通的人改了密碼，是不是數據機的也要改... ...
不曉得是不是因為這樣，所以當時首次裝機的師傅，沒有直接設定WIFI那組帳號密碼，才改用向家中詢問的帳密，也不得而知。)

PS. SLID 可以查詢，附掛號碼。
https://ccs.hinet.net/month_status_cht_big5.htm

[fierycloud]

IPv6 test - IPv6/4 connectivity and speed test，三、四分
Test your IPv6.，零分

分數本身不重要，可以上網最重要。

Windows 10 服務，任意變更設定，通常愈改愈糟。

如果是工作用電腦應該不太適合亂開放設定
因為查詢到，使用Dual Stack，可以嘗試關閉各種通道相關。 (關閉之後，連一般操作，都感覺真的順暢很多。當然也可能是錯覺。)
直接關閉三個有關的。 另外兩個目前只嘗試直接重設。 因為通常都只有看到前三個。 (Win7 跟Win10 命令不太一樣?)
netsh interface isatap set state disabled
netsh interface 6to4 set state state=disabled
netsh interface teredo set state disable
netsh interface portproxy reset
netsh interface httpstunnel reset

關閉通道上的IPv6
https://support.microsoft.com/zh-tw/...nts-in-windows

(關閉IP Helper 其實感覺變快的效果，應該是來自關閉通道。)

[fierycloud]

如果是工作用電腦應該不太適合亂開放設定。

因為突然覺得，既有的規則，看起來都是有限定網路種類，比如說本機子網路與網域。所以目前是嘗試另外設定開放了ICMPv4與v6各自的輸入(與輸出)規則。 感覺上似乎有變順，但是可能也沒有或無關。
Windows 防火牆-進階設定-輸入(與輸出)規則-新增規則-自訂-所有程式-ICMPv4與v6，各自設一次。

PS. 有使用Cfos speed 因此防火牆跟防毒也都有開放spd.exe。(cfosspeed.exe 根據說明沒有網路存取。另有開放防毒。) 不過最新BETA版，似乎跟最新版韌體的040gw有衝突? 其狀態視窗，不知何時開始，就會不斷消失或出現! 但是該時段網路感覺並不會斷斷續續!

[fierycloud]

如果是工作用電腦應該不太適合亂開放設定。
(上一篇的，另開放輸入(與輸出)的ICMP v4與v6規則後，只有由17分變成到19分，仍沒有IPv6 hostname)

剛發現 分數變成20/20了 有出現IPv6 hostname
IPv6 test - IPv6/4 connectivity and speed test

是不是Hinet有甚麼設定更新，有沒有電腦端要設定甚麼，可能會更合適之類的?
比如說Cfos speed 重新設定校正，winsock 重設，寬頻撥號重設之類的

PS. 040gw韌體似乎更新了 I040GWR170508
而且可以硬體PPPOE取得IPV6

[fierycloud]

P.S. 以下是不太相關的事。(而且網路嚴重緩慢的狀況，在手動與用其他程式刪除後，就有緩和，關閉通道後，感覺又更順了一點，如果單純直接執行以下程式，是否能清理，不得而知，僅供參考。 應該不太適合在工作用電腦上亂試。)

突然發現了一個可以重整文中提到的，家中電腦，有數百個(600多)interface Index number，的程式。
(似乎是因為這個BUG
https://support.microsoft.com/en-us/...er-you-restart
家人不曉得為什麼，明明是桌上型電腦，也沒有無線網路卡，但是就嘗試開啟了無線基地台?(沒有成功，但是虛擬通道網路卡增加的原因應該也只有這個比較接近。) 加上原本Win7 IPV6預設是開啟 ，可能因此，反正就出現#600多個區域網路與#3-400個虛擬通道網路卡。 網路因此變得很緩慢，連嘗試更換網路卡驅動程式都要很久。 移除後就有變快。)

JJClements.co.uk
JJClements.co.uk
2) I found a copy (Unknown Adapter Fix.zip) of a Microsoft tool called ndiscleanup.exe that can be used to clean the registry of networking information. From an elevated command prompt I ran the x64 version of ndiscleanup.exe:

ndiscleanup.exe -cleanup -all

第一次執行之後，有顯示500多項無法移除。
(因為之前試過很多網路上提到方法，包含安裝更新與關閉通道(或關閉IPv6)後，直接進去registry刪除，或是有人寫好的6to4remover之類的。 但是並不會重置其號碼。結果就是整個很亂，連寬頻連線都不會出現在網路與共用中心，只會出現在下一層的介面卡；而且之前似乎介面卡中的區域網路名稱是區域網路，後來變成網路，目前是變成乙太網路。)
再執行一次，是顯示移除項目為零。
重新開機後，整個序號看起來是重置過的。 (而且寬頻連線也出現在共用中心了)
包含目前有在使用的區域網路以及寬頻連線，interface index number都恢復到應該是正常的值，在20以內。 (原來應該一個是604，一個是605。(因為一直嘗試各種方法，包含增刪registry，以及網路卡移除、重裝、或更新，還有寬頻撥號刪除與重設。 結果就是號碼一直增加))

route print 可以看到有作用的。基本上就跟前文中提到的 netsh interface ipv4 show interface 效果類似。

ps. windows 10 網路重設，似乎也會重新整理所有介面的序號。(PPPOE除外)

[fierycloud]

目前是只另外開放輸入的ICMPv6 v4 回應要求以外的
然後因為最近040gwgw按鈕壞掉，按下後要有個力量到底才會亮燈，所以換了另一個，應該是堪用品，因為本來有寫線路號碼，不過比本來的採購年度晚一年。
之後，韌體是被更新到I040GWR200110。 設定是被中華電信人員建議關閉IPv6分配功能，因為似乎常會有問題。

嘗試把電腦端intel 217 乙太網路的IPv6取消後，40gw的溫度有時可以降到45度，通常是51-52度左右。(電腦都用寬頻連線撥號。IPv4 IPv6上網 所以其實就算把乙太網路的IPv4 IPv6都取消，不影響寬頻連線撥號。)
不曉得跟TCP-IPv6 Checksum Offload有沒有關係。(因為之前試過，好像不太影響溫度)
https://downloadcenter.intel.com/dow...d%20Capability
因為家中電腦都是用設定成PPPOE，所以目前都把乙太網路的IPv6都取消勾選。 (讓移動設備可以有IPv6)

20H2時，從CIS改用Tiny wall。 因為感覺變慢(CIS沒有對應更新版?)，但是不裝防火牆好像又比較會某些網頁不顯示(但是看起來閘道器不會像20H1時那樣，如果不開放ICMPV6 RA135會消失)。 看不懂得都沒開放(自動學習到的，看不懂的程式都取消開放)。

uBlock Oigin，除了原本的全選之外，有另訂閱這些列表。

https://raw.githubusercontent.com/AdguardTeam/AdguardFilters/master/BaseFilter/sections/cryptominers.txt
https://raw.githubusercontent.com/AdguardTeam/FiltersRegistry/master/filters/filter_224_Chinese/filter.txt
https://raw.githubusercontent.com/hoshsadiq/adblock-nocoin-list/master/nocoin.txt
https://raw.githubusercontent.com/privacy-protection-tools/anti-AD/master/anti-ad-adguard.txt
https://raw.githubusercontent.com/liamengland1/miscfilters/master/antipaywall.txt
https://gitlab.com/magnolia1234/bypass-paywalls-clean-filters/-/raw/main/bpc-paywall-filter.txt

突然才發現，原來IPv6通道是出現在有真實IPv4時? 所以，其實問題是PPPOE取得真實IPv4時發生的? 一些Dualstack取消tunnel的建議，其實也只有該連線有真實IPv4，系統才會嘗試建立IPv6通道?
https://techcommunity.microsoft.com/...ss/ba-p/256720

目前嘗試在防火牆的Layer3 IPv4v6，都阻擋outbound UDP，目的地80、443。(因為不知道要阻擋那些) 因為突然覺得，Windows Chrome嘗試關閉QIUC、mdns，感覺似乎有順一點點? (前幾年有試過，但是沒有特別的感覺) 而且目前似乎連一些移動設備的G跟F的APP、A CDN、C CDN等幾年前都開始支援QUIC，所以這些不會自己撥號取得各自IP的設備，其實對外都是同一個IP(包含同Prefix的IPv6，可能只是不需要NAT，但還算成同一個IP UDP Flood計數的單位?)，相關UDP封包計數防止Flood，可能會被途中的ISP等合併計算的? 所以阻擋看看。 感覺有變快a 包含電腦的g地圖等 !
(chrome關閉或啟動了能阻擋或是過濾公有位址進入專有位址的相關flag。 包含部分Android移動設備的chrome。 因為突然才覺得，啟動#block-insecure-private-network-requests之後，本來常常會怪怪的滑鼠，變得正常許多? 難道是日常瀏覽的網頁有甚麼問題? 就嘗試關閉或啟動了一些!
Disable
#enable-quic
#media-router-cast-allow-all-ips
#allow-all-sites-to-initiate-mirroring
#tab-hover-card-images

Enable
#block-insecure-private-network-requests
#private-network-access-send-preflights
#private-network-access-respect-preflight-results
#strict-origin-isolation
#enable-async-dns
)
(後來發現，滑鼠抖動，鍵盤亂跳，可能是裝置管理員中USB跟滑鼠鍵盤的省電功能影響的)

(嘗試封鎖了，UDP傳出到80、443)
嘗試設定WIFI VLan 4082 Pbit0 (跟PPPOE預設一樣)，以及把Wan 中的bridge的兩個PPPOE內 action 下的4082改成4080 (因為突然發現，其他網友貼的40gwQ(300M?) bridge 是0-4080?；另一種r開頭的，Bridge是跟IPoe都是4081? 所以其實，應該是能用相關vlan tag? )。
另使用gpedit/msc 關閉多點傳送名稱解析、關閉智慧多重主目錄名稱解析、關閉智慧通訊協定重新排序、關閉主要DNS尾碼轉移、關閉允許DNS尾碼附加到不完整的多重標籤名稱查詢、關閉NETBIOS。開啟DDR、DOH。
目前把區域網路MTU原本的預設1500改成Windows PPPOE的1480；40gw wan2 pppoe 也F12 移掉disable 啟動 mtu debug mode manual 1480的。 感覺好像有一點差? 但是也可能完全無關? 總不會是有些常瀏覽頁面也是用相關值? (不過似乎連幾家公共DNS都有可能持續調整MTU之類的?)
以及關閉IPV4 V6DNS下 DHCP passthrough、option61之類的，因為預設是開前三個的? 且裡面通常是4081，似乎是DHCP，MOD用的? 但是目前沒有使用。 IPv6那個好像只有開第一個passthrough。全部關掉。

gpedit.msc 系統範本、網路、TCPIP， 關閉了IPHTTPS、teredo、ISATAP、6to4。
DoH感覺怪怪的，svchost.exe只會用UDP 53，嘗試早期Win11版本的網頁建議，手動加上autoupgrade=yes之後，就有用TCP443。

因為有的DOH443的，似乎是有跟一般53的有分開，一樣的域名可能會是不同的實際IP，所以有的域名的部分是不能直接改成IP? (有的比較新的，就只有提供DOH443的。 不過也有還是只有提供53的。)
但是不直接用IP，使用域名的DOH位址，其實，一開始還是會通過未加密的UDP53? 因為至少DDR也是要先把域名轉成IP?
沒過濾

netsh dns add global doh=yes ddr=yes
沒過濾
netsh dns add encryption server=1.1.1.1 dohtemplate=https://1.1.1.1/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=1.0.0.1 dohtemplate=https://1.0.0.1/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1111 dohtemplate=https://[2606:4700:4700::1111]/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1001 dohtemplate=https://[2606:4700:4700::1001]/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=8.8.8.8 dohtemplate=https://8.8.8.8/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=8.8.4.4 dohtemplate=https://8.8.4.4/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2001:4860:4860::8888 dohtemplate=https://[2001:4860:4860::8888]/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2001:4860:4860::8844 dohtemplate=https://[2001:4860:4860::8844]/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=101.101.101.101 dohtemplate=https://101.101.101.101/dns-query autoupgrade=yes udpfallback=no
*netsh dns add encryption server=101.102.103.104 dohtemplate=https://101.102.103.104/dns-query autoupgrade=yes udpfallback=no (*沒有A record?)
netsh dns add encryption server=2001:de4::101 dohtemplate=https://2001:de4::101/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2001:de4::102 dohtemplate=https://2001:de4::102/dns-query autoupgrade=yes udpfallback=no

有過濾
netsh dns add encryption server=1.1.1.2 dohtemplate=https://1.1.1.2/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=1.0.0.2 dohtemplate=https://1.0.0.2/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1112 dohtemplate=https://[2606:4700:4700::1112]/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1002 dohtemplate=https://[2606:4700:4700::1002]/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=9.9.9.9 dohtemplate=https://9.9.9.9/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=149.112.112.112 dohtemplate=https://149.112.112.112/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:fe::fe dohtemplate=https://[2620:fe::fe]/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:fe::9 dohtemplate=https://[2620:fe::9]/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=149.112.121.20 dohtemplate=https://149.112.121.20/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=149.112.122.20 dohtemplate=https://149.112.122.20/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:10A:80BB::20 dohtemplate=https://2620:10A:80BB::20/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:10A:80BC::20 dohtemplate=https://2620:10A:80BC::20/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=94.140.14.14 dohtemplate=https://94.140.14.14/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=94.140.15.15 dohtemplate=https://94.140.15.15/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a10:50c0::ad1:ff dohtemplate=https://2a10:50c0::ad1:ff/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a10:50c0::ad2:ff dohtemplate=https://2a10:50c0::ad2:ff/dns-query autoupgrade=yes udpfallback=no

HKLM\System\CurrentControlSet\Services\Dnscache\Parameters\DohWellKnownServers

預設有加入DOH的會出現在這邊。22H2可以手動增加，就可以不只使用在該列表中的。
比如說Hinet目前似乎https://dns.hinet.net/dns-query https://doh.hinet.net/dns-query 都能通過443 DOH! (但是似乎如果設定其他商可能有的一開始會解不出來域名不能用? 可能需要把域名的部分改成IP?)

有些ECS DNS似乎會跟有些CDN之類的，搭起來不見得是最佳的路由? 特別是比如說DNS商也有CDN業務的? 或者是ISP有很多不同的網段的? 甚或是連到境外，反而比境內ISP間互聯更快? 有的DNS原本有過濾功能，不過多數開始取消、或改成要付費! 比如說O改成U之後!

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters\DohWellKnownServers

沒過濾
53 443 same
https://dns.twnic.tw/dns-query

53 443 different
https://doh.umbrella.com/dns-query
https://doh.opendns.com/dns-query


有過濾
53 443 same
https://security.cloudflare-dns.com/dns-query
https://dns.quad9.net/dns-query
Block ads
https://dns.adguard-dns.com/dns-query

53 443 different
https://doh.cleanbrowsing.org/doh/security-filter/
https://freedns.controld.com/p1
https://protected.canadianshield.cira.ca/dns-query
https://dns0.eu
Block ads
https://freedns.controld.com/p2
https://kids.dns0.eu/



netsh dns add global doh=yes ddr=yes

沒過濾
netsh dns add encryption server=101.101.101.101 dohtemplate=https://dns.twnic.tw/dns-query autoupgrade=yes udpfallback=no
*(沒有A record?) netsh dns add encryption server=101.102.103.104 dohtemplate=https://dns.twnic.tw/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2001:de4::101 dohtemplate=https://dns.twnic.tw/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2001:de4::102 dohtemplate=https://dns.twnic.tw/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=208.67.222.222 dohtemplate=https://doh.umbrella.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=208.67.220.220 dohtemplate=https://doh.umbrella.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:119:35::35 dohtemplate=https://doh.umbrella.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:119:53::53 dohtemplate=https://doh.umbrella.com/dns-query autoupgrade=yes udpfallback=no


有過濾
53 443 same
netsh dns add encryption server=1.1.1.2 dohtemplate=https://security.cloudflare-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=1.0.0.2 dohtemplate=https://security.cloudflare-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1112 dohtemplate=https://security.cloudflare-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:4700:4700::1002 dohtemplate=https://security.cloudflare-dns.com/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=9.9.9.9 dohtemplate=https://dns.quad9.net/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=149.112.112.112 dohtemplate=https://dns.quad9.net/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:fe::fe dohtemplate=https://dns.quad9.net/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:fe::9 dohtemplate=https://dns.quad9.net/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=149.112.121.20 dohtemplate=https://protected.canadianshield.cira.ca/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=149.112.122.20 dohtemplate=https://protected.canadianshield.cira.ca/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:10A:80BB::20 dohtemplate=https://protected.canadianshield.cira.ca/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2620:10A:80BC::20 dohtemplate=https://protected.canadianshield.cira.ca/dns-query autoupgrade=yes udpfallback=no

netsh dns add encryption server=94.140.14.14 dohtemplate=https://dns.adguard-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=94.140.15.15 dohtemplate=https://dns.adguard-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a10:50c0::ad1:ff dohtemplate=https://dns.adguard-dns.com/dns-query autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a10:50c0::ad2:ff dohtemplate=https://dns.adguard-dns.com/dns-query autoupgrade=yes udpfallback=no



53 443 different
netsh dns add encryption server=185.228.168.9 dohtemplate=https://doh.cleanbrowsing.org/doh/security-filter/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=185.228.169.9 dohtemplate=https://doh.cleanbrowsing.org/doh/security-filter/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0d:2a00:1::2 dohtemplate=https://doh.cleanbrowsing.org/doh/security-filter/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0d:2a00:2::2 dohtemplate=https://doh.cleanbrowsing.org/doh/security-filter/ autoupgrade=yes udpfallback=no

netsh dns add encryption server=76.76.2.1 dohtemplate=https://freedns.controld.com/p1 autoupgrade=yes udpfallback=no
netsh dns add encryption server=76.76.10.1 dohtemplate=https://freedns.controld.com/p1 autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:1a40::1 dohtemplate=https://freedns.controld.com/p1 autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:1a40:1::1 dohtemplate=https://freedns.controld.com/p1 autoupgrade=yes udpfallback=no

netsh dns add encryption server=76.76.2.2 dohtemplate=https://freedns.controld.com/p2 autoupgrade=yes udpfallback=no
netsh dns add encryption server=76.76.10.2 dohtemplate=https://freedns.controld.com/p2 autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:1a40::2 dohtemplate=https://freedns.controld.com/p2 autoupgrade=yes udpfallback=no
netsh dns add encryption server=2606:1a40:1::2 dohtemplate=https://freedns.controld.com/p2 autoupgrade=yes udpfallback=no

netsh dns add encryption server=193.110.81.0 dohtemplate=https://dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=185.253.5.0 dohtemplate=https://dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0f:fc80:: dohtemplate=https://dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0f:fc81:: dohtemplate=https://dns0.eu/ autoupgrade=yes udpfallback=no

netsh dns add encryption server=193.110.81.1 dohtemplate=https://kids.dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=185.253.5.1 dohtemplate=https://kids.dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0f:fc80::1 dohtemplate=https://kids.dns0.eu/ autoupgrade=yes udpfallback=no
netsh dns add encryption server=2a0f:fc81::1 dohtemplate=https://kids.dns0.eu/ autoupgrade=yes udpfallback=no

瀏覽器也可以? 用空格分隔?(雖然是policy的說明)
https://chromeenterprise.google/poli...HttpsTemplates
The URI template of the desired DNS-over-HTTPS resolver. To specify multiple DNS-over-HTTPS resolvers, separate the corresponding URI templates with spaces.
類似這樣

https://[2606:4700:4700::1002]/dns-query https://[2620:fe::9]/dns-query https://[2606:4700:4700::1112]/dns-query https://[2620:fe::fe]/dns-query https://1.0.0.2/dns-query https://149.112.112.112/dns-query https://1.1.1.2/dns-query https://9.9.9.9/dns-query

{?dns}是一些範本有(有的時有時無)? 所以就嘗試加上去。

https://source.chromium.org/chromium...vider_entry.cc

chrome.cloudflare-dns.com
mozilla.cloudflare-dns.com
opera.cloudflare-dns.com
edge.cloudflare-dns.com

查看TCP的相關

Get-NetTCPSetting | Select SettingName, CongestionProvider

win11 22h2嘗試開啟TCP BBRv2 (但似乎不適用於會通過無線網路的那一端，包含WIFI、4G等)

netsh int tcp set supplemental Template=Internet CongestionProvider=bbr2
netsh int tcp set supplemental Template=Datacenter CongestionProvider=bbr2
netsh int tcp set supplemental Template=Compat CongestionProvider=bbr2
netsh int tcp set supplemental Template=DatacenterCustom CongestionProvider=bbr2
netsh int tcp set supplemental Template=InternetCustom CongestionProvider=bbr2

還原

netsh int tcp set supplemental template=internet congestionprovider=CUBIC
netsh int tcp set supplemental template=internetcustom congestionprovider=CUBIC
netsh int tcp set supplemental template=Compat congestionprovider=NewReno
netsh int tcp set supplemental template=Datacenter congestionprovider=CUBIC
netsh int tcp set supplemental template=Datacentercustom congestionprovider=CUBIC