Первый исходящий IPv6 работает отлично. Я пытаюсь протестировать всё, чтобы потом написать руководство по HE.net Tunnel с USG.

Вот что работает:  
1. Пинг с роутера на Google по IPv6  
2. Пинг с MacBook по Wi-Fi на Google и другие хосты по IPv6  
3. Использование сайтов через IPv6 с Mac  
4. Подключение по SSH к хостам через IPv6  
5. Пинг хоста за USG  
6. Пинг адреса tun0 на USG (который не должен использоваться как активный интерфейс)  

Что не работает:  
1. Нельзя запинговать IPv6-адрес eth0 USG  
2. Нельзя подключиться по SSH к роутеру через IPv6-адрес eth0  

Вот конфигурация:  
ethernet eth0 {  
 address dhcp  
 firewall {  
   in {  
     name WAN_IN  
   }  
   local {  
     name WAN_LOCAL  
   }  
 }  
}  

ethernet eth1 {  
 address 192.168.1.1/24  
 firewall {  
   in {  
     name LAN_IN  
   }  
   local {  
     name LAN_LOCAL  
   }  
   out {  
     name LAN_OUT  
   }  
 }  
 ipv6 {  
   address {  
     eui64 2001:470:1f11:815::1/64  
   }  
   dup-addr-detect-transmits 1  
   router-advert {  
     cur-hop-limit 64  
     link-mtu 0  
     managed-flag false  
     max-interval 600  
     name-server 2001:470:20::2  
     other-config-flag false  
     prefix 2001:470:1f11:815::/64 {  
       autonomous-flag true  
       on-link-flag true  
       valid-lifetime 2592000  
     }  
     reachable-time 0  
     retrans-timer 0  
     send-advert true  
   }  
 }  
 vif 100 {  
   address 10.0.100.1/24  
   firewall {  
     in {  
       name LAN_IN  
     }  
     local {  
       name LAN_LOCAL  
     }  
     out {  
       name LAN_OUT  
     }  
   }  
 }  
}  

ethernet eth2 {  
 disable  
}  

loopback lo {  
}  

tunnel tun0 {  
 address 2001:470:1f10:815::2/64  
 description "HE IPv6 Tunnel"  
 encapsulation sit  
 local-ip 68.113.177.144  
 multicast disable  
 remote-ip 209.51.181.2  
 ttl 255  
}  

Когда я делаю пинг с удалённого хоста, получаю:  
shawn@wfs01:~$ ping6 2001:470:1f10:815::2  
PING 2001:470:1f10:815::2(2001:470:1f10:815::2) 56 data bytes  
64 bytes from 2001:470:1f10:815::2: icmp_seq=1 ttl=58 time=57.8 ms  
64 bytes from 2001:470:1f10:815::2: icmp_seq=2 ttl=58 time=57.4 ms  
64 bytes from 2001:470:1f10:815::2: icmp_seq=3 ttl=58 time=67.7 ms  

shawn@wfs01:~$ ping6 2001:470:1f11:815::1  
PING 2001:470:1f11:815::1(2001:470:1f11:815::1) 56 data bytes  
From 2001:470:1f10:815::2 icmp_seq=1 Destination unreachable: Address unreachable  
From 2001:470:1f10:815::2 icmp_seq=2 Destination unreachable: Address unreachable  

Для тех, кто не знаком с HE.net TunnelBroker: вам дают два очень похожих адреса из пространства /64, обычно отличающихся всего одним битом в сегменте /48.  

Мой адрес туннеля — 2001:470:1f10:815::2 (::1 — другой конец)  
Мой сегмент /64 — 2001:470:1f11:815::/64, то есть роутер получает адрес 2001:470:1f11:815::1/64  

Как видите, роутер шлёт пакеты с туннельного адреса tun0, и приходит сообщение Destination Unreachable.  

Что я сделал не так?