在法国用 Orange 光纤 + Freebox 做端口映射踩的记录

法国这边很多公寓预装了 Orange 的光纤，光猫是 Livebox，但有人为了用 Freebox 的 NAS 功能会再串一台 Freebox。我这边是 Orange Livebox 4 做桥接（mode bridge 其实是 DMZ），后端接 Freebox Pop，下面挂一台 QNAP TS-233 跑 2TB 的小备份。现象很具体：从外网访问 NAS 的 WebDAV，用手机 4G 可以，用公司 Wi-Fi 不行，换回家里 Wi-Fi 又正常。

先确认不是 Freebox 的锅。在 Freebox OS 里把 NAS 的端口映射写好：

Freebox OS → 设置 → 端口映射
  协议: TCP
  目标 IP: 192.168.1.20
  端口范围: 5006
  外部端口: 5006

然后用 curl -v telnet://<公网IP>:5006 分别从 4G 和公司网络试。4G 通，公司这边直接卡在 SYN。这一步基本排除了 Freebox 配置，问题在 Orange 侧或者上游。

接着去 Livebox 管理页（192.168.1.1）看 DMZ。Livebox 4 的 DMZ 指向 Freebox 的 WAN 口 IP，这一步很多人会漏：DMZ 不是桥接，它只是把未匹配的流量全转给 Freebox，但 Livebox 自己的防火墙仍会拦一部分入站。我当时的做法是把 DMZ 指向 Freebox 后，在 Livebox 里把「防火墙」调到最低（Niveau de pare-feu: Faible）。代价是 Livebox 那层几乎裸奔，所以后端 Freebox 必须自己扛住，不能图省事把 Freebox 防火墙也关了。

为什么公司网络不行而 4G 行：公司出口对非常用端口做了出站限制，5006 这种端口大概率被拦。这个不是法国运营商的问题，是公司网络策略。我当时的误判是先去改 Orange 的端口转发，浪费了一个晚上。后来用 nmap -p 5006 <公网IP> 从公司跑，直接 filtered，才反应过来。

会失效的地方：Orange 的公网 IP 是动态的，重启 Livebox 或线路维护后会变，DDNS 必须挂上，我用的是 Freebox 自带的 DDNS，但它是给 Freebox 自己的，NAS 要单独在 QNAP 里配 no-ip。另外 Livebox 的 DMZ 在某些固件版本里对 IPv6 不生效，IPv6 入站还是会被拦，这点我没有完全验证，只知道我这边 IPv6 访问一直是 timeout。

最后留个具体问题：在法国用 Orange 光纤又不想动 DMZ 的人，有没有人试过把 Livebox 完全换成桥接模式（不是 DMZ），后端直接 PPPoE 拨号？我看到的说法是 Orange 的 PPPoE 需要特定 VLAN 和认证，不确定现在 Livebox 4 之后的型号还允不允许这么干。