在法國用 Orange 光纖跑自架服務：Livebox 端口轉發的實測與坑

去年底把家裡的 ADSL 換成 Orange 光纖，合約是 Livebox Fibre，申請時選了固定 IP 選項（Orange 叫它 IP fixe，要另外加錢，我這區每月多 5 歐左右）。換過去之後想做的第一件事，就是把放在儲藏室那台舊 NUC 上的服務從區網推到外網：一個給家人用的相簿、一個給自己用的 Gitea，還有一個只開給法國境內 IP 的 Prometheus。數據量不大，相簿大概 40GB，Gitea 的 repo 加起來不到 2GB，但我不想把這些東西塞進雲端，原因後面再說。

先講實際動手。Livebox 的管理介面在 192.168.1.1，登入後「Paramètres avancés」→「NAT」→「Baux DHCP statiques」，先把 NUC 的 MAC 綁成固定內網 IP，這步不做後面會亂。接著同一頁的「Règles NAT」新增端口轉發，介面欄位是法文，對照如下：

Nom de l'application : gitea-ssh
Protocole           : TCP
Port externe        : 2222
Port interne        : 22
Adresse IP interne  : 192.168.1.42

HTTP 的 80/443 我沒有直接開在 Livebox 上，而是轉到 NUC 上的一台 Caddy，憑證用 DNS challenge 申請，這樣就不用把 80 端口暴露給 Let’s Encrypt 的驗證流量。Caddyfile 大概是這樣：

git.example.fr {
    reverse_proxy 127.0.0.1:3000
}

為什麼這樣做：Livebox 的端口轉發規則數量有限（我這版韌體大概 20 條左右），而且它的防火牆只能做很粗的 IP 過濾，與其把每個服務都開一條規則，不如只開 443 給 Caddy，後面要加服務就改 Caddyfile，不用再動路由器。代價是 Caddy 掛掉就全掛，所以我在 NUC 上加了 systemd 的 restart，並且讓 Prometheus 從內網去戳它。

會失效的地方有幾個。第一，Orange 的固定 IP 不是真的「永遠不變」，換約或搬家重綁線路時會換，我上次改方案就從 90.x 跳到另一個網段，DDNS 沒設好就斷了兩天。第二，Livebox 的 NAT 規則在韌體更新後偶爾會被清掉，我遇過一次，介面還在但實際沒生效，重新儲存一次才好。第三，如果你開 2222 給 SSH，法國有些公司網路會擋非 22 的 SSH 端口，我從客戶那邊就連不上，後來乾脆只留 443 走 HTTPS。

我踩最痛的一次是：以為固定 IP 開好就萬事，結果 Livebox 預設的「Pare-feu」等級是 Moyen，它會擋掉一部分 inbound，我規則設對了但外面連不進來，查了半天才發現要調成 Faible 或自訂。

想問有在法國用 Free 或 Bouygues 光纖自架的人：你們的盒子在端口轉發上有没有類似的「規則存在但不生效」情況，還是只有 Orange 這版韌體會這樣？