@LGA1150 嗯，是的，如果是改成网桥的话，eth1 和 pppoe 就都得切换到网桥上，于是，问题依旧（网桥变成了原先的 eth1 ），所以，确实无法单纯使用网桥来区分。

@LGA1150
我的光猫的超管被重置了，试了一些方法也没能拿到，所以，我并没有通过 vlan 号划分 VLAN ，但是过程中发现可以设置 MAC VLAN ，所以我的需求可以通过 MAC VLAN 来完成。

不过，理论上来说（由于软路由在远程，一旦配错了，得等 WatchCat 重置配置，所以没试这个方案）：由于上层的光猫是路由+桥接混合模式，光猫完全是可以通过链路层的帧信息区分开 PPP 帧和以太网帧的，至于帧 tag 中的 VLAN 号，应该只有在光猫中也配置了 VLAN 号光猫才会去识别和判断。所以，如果是使用 VLAN 号来划分的话，可能也只需要在软路由一侧设置 VLAN 号就可以了。

最终使用 MAC VLAN 进行的设置如下：
https://imgur.com/ctS3KDV
https://imgur.com/M2M1fYD
https://imgur.com/ohGt2IB

设置完之后，在使用 bwm-ng 时可以使用替换原先的 eth1 来分别监测路由（ wan ）和桥接模式（ wan_c ）的流量
bwm-ng -d 1 -t 1000 -I pppoe-wan,eth1_bridge

@kk2syc 感谢，我试试

fail2ban 了解一下。

https://blog.twofei.com/896/
按照帖子里的说法，是不是只要找到 Hub 对应的 GPIO 设备路径，给设备模拟发送一个低电平信号就行了？

@yolee599 Device 是挂接到 Hub 上的，就像楼上的大侠说的，如果 Hub 有硬件线路链接到 device 的电源开关。就可以通过 Hub 开启 device 的电源了吧。
需求不是硬盘的联动休眠和唤醒（这个是需要 device 已经处于通电和通信状态的，这样才可以通过 device 改变硬盘的状态）

是不是自带的文件管理器导致的？
连接到 usb 之后，选择用三方文件管理器打开 usb 设备试试（比如 es 文件浏览器），我没遇到这种情况。

@52txr 你是不是开了 real ip?的模块。开了就会重写源地址，然后走到 allow ip 就会被拦住。

@52txr 你的回复里这两个请求，都是 Baiduspider 的，你是不是没有开 cf 的那个防止爬虫的保护？

```shell
#!/bin/sh
set -o pipefail

export _ipv4Range=`curl --retry 10 --retry-delay 5 -s https://www.cloudflare-cn.com/ips-v4`
if [[ $? -ne 0 ]]; then
export _ipv4Range=`curl --retry 10 --retry-delay 5 -s https://www.cloudflare.com/ips-v4`
if [[ $? -ne 0 ]]; then
exit 1
fi
fi

export _ipv6Range=`curl --retry 10 --retry-delay 5 -s https://www.cloudflare-cn.com/ips-v6`
if [[ $? -ne 0 ]]; then
export _ipv6Range=`curl --retry 10 --retry-delay 5 -s https://www.cloudflare.com/ips-v6`
if [[ $? -ne 0 ]]; then
exit 1
fi
fi

#nginx real_ip
_tmpConf="/tmp/._$(date '+%Y-%m-%d-%H-%M')-$(cat /proc/sys/kernel/random/uuid).txt"
_target='/etc/nginx/conf.d/common/cloudflare/_real_ip_from-ip-set.conf'
{
echo "# Generated by ${0}"
echo "# At $(date)"
echo "# IPV4"
for i in ${_ipv4Range} ;do echo "set_real_ip_from ${i};" ;done
echo ""
echo "# IPV6"
for i in ${_ipv6Range} ;do echo "set_real_ip_from ${i};" ;done
echo ""
} |tee ${_tmpConf}
if [[ $? -eq 0 ]]; then
mv "${_tmpConf}" "${_target}"

nginx -t
if [[ $? -eq 0 ]]; then
echo "Nginx 配置正常，重载配置！"
nginx -s reload
else
/app/scripts/bin/gotify.sh --title "${_target} 文件更新成功，但 Nginx 配置有误" "请修复后手动重载 Nginx ！\n""nginx -s reload"
fi
fi

#nginx allow-ip-set
#sleep 1
_tmpConf="/tmp/._$(date '+%Y-%m-%d-%H-%M')-$(cat /proc/sys/kernel/random/uuid).txt"
_target='/etc/nginx/conf.d/common/cloudflare/_allow-ip-set.conf'
{
echo "# Generated by ${0}"
echo "# At $(date)"
echo "# IPV4"
for i in ${_ipv4Range} ;do echo "allow ${i};" ;done
echo ""
echo "# IPV6"
for i in ${_ipv6Range} ;do echo "allow ${i};" ;done
echo ""
} |tee ${_tmpConf}
if [[ $? -eq 0 ]]; then
mv "${_tmpConf}" "${_target}"

nginx -t
if [[ $? -eq 0 ]]; then
echo "Nginx 配置正常，重载配置！"
nginx -s reload
else
/app/scripts/bin/gotify.sh --title "${_target} 文件更新成功，但 Nginx 配置有误" "请修复后手动重载 Nginx ！\n""nginx -s reload"
fi
fi

```

我这边用来更新 allow ip 配置文件的脚本

@yaocf 如果不是源站地址泄露。针对这种情况，简单点的处理：在 nginx 里写方法去匹配 cf 给的 real ip （本地通过 include nginx 配置文件维护一个变量，保存所有恶意 ip ），然后直接返回 404 ，就不会打到业务代码上了。然后可以配合 fail2ban 自动更新恶意 ip 的配置文件。

@52txr 首先看看是不是源站地址泄露（查看请求头，是否是 cloudflare 的请求），大多数情况下，恶意地址会被 cf 自动拦截验证的。源站泄露可以先 sni 分流，针对 cf 的域名，开 nginx 的 allow ip ，只允许 cf 的地址进行请求。

tcpdump ，然后用表达式筛选。

@coolloves 我这边`docker_app_*`区域上的入站只要一关，ipv6 请求就会出问题：比如 qbittorrent 会出现：能获取到 ipv6 地址，但是连不上 ipv6 对端，也无法访问其他的 ipv6 公网服务。比如`api6.ipify.org`连 ping 都 ping 不通。

@yaocf LCP 响应，在接口设置的高级设置里。

另外，openwrt 的 pppoe 有个类似心跳的机制，如果是它报错，可以试着改心跳间隔，一定程度上能减少重连。

另外，看看有没有路由日志。比如 openwrt ，把日志找出来，也能辅助排查。

观察每次重启时有什么特点，或者正在进行什么操作。
Tips：大流量或者多目标节点数目的 UDP 上传，会被判定为 pcdn ，而自动重连。
比如 BT 下载之类的工具。网心云之类的 pcdn 服务。