一种适用于联通ZXHN G7606V6光猫的，在自带的openwrt子系统操作主系统ipv6防火墙的方法

首先自己找办法获得超密和telnet(i use taobao)

既然你搜到了这篇文章，证明你应该成功进入光猫内置的lxc容器了。该lxc容器运行着运营商定制的openwrt系统。

情景

我成功在子系统内部署了sshd(port 2200)，兴高采烈的从外网访问发现ipv6有防火墙。光猫管理页只能控制ipv6防火墙开关，没有适用于ipv6的端口转发。考虑直接操作ip6tables

正文

在容器内执行

/ # grep CapEff /proc/self/status
CapEff: 0000003ffff7ffff

其中0000003ffff7ffff表示该容器被授予了iptables权限（linux Capability）

怎么读懂Capability（点击展开）

CapEff = 0000003F FFFF7FFF
         ~~~~~~~~ ~~~~~~~~
         高32位   低32位
以低32位为例
FFFF7FFF = 1111 1111 1111 1111  0111 1111 1111 1111
从右往左数 bit0 ~ bit31

bit 位	能力名	作用
0	CAP_CHOWN		修改文件所有者（基本没用）
1	CAP_DAC_OVERRIDE	跳过文件权限检查（偶尔有用）
12	CAP_NET_ADMIN		核心：配置网络、iptables/ip6tables、网卡、路由
13	CAP_NET_RAW		原生套接字、抓包
19	CAP_SYS_PTRACE		跟踪 / 查看主机进程（证明你能看主机 init）
21	CAP_SYS_ADMIN		mount/umount、操作 /proc、命名空间、绑定挂载
30	CAP_AUDIT_CONTROL	审计系统配置
31	CAP_SETFCAP		给文件设置能力

正常lxc特权容器是0000003fffffffff，但这里0000003ffff7ffff不影响，缺少的是审计权限。

---

好消息：容器能直接操作iptables防火墙

坏消息：容器没有iptables程序

通过telnet登录光猫主系统,从/bin/拷贝一份iptables到子系统。我只通过ipv6从公网访问光猫。所以我只拷贝ip6tables
cp /bin/ip6tables /opt/cu/apps/apps/root/ip6tables

然后重新登录容器，执行/root/ip6tables -I INPUT -i ppp0 -p tcp --dport 2200 -j ACCEPT

enjoy!