ConoHa の VPS を IPv6 対応させる

IPV6_AUTOCONF="no"　#yesをnoへ変更

#下記を追記
IPV6ADDR=IPv6アドレス
IPV6_DEFAULTGW=コントロールパネルで確認できる「ゲートウェイ」のアドレス

# 現在のルールセットを消去
flush ruleset

# 管理者用IPv4アドレスリストを読み込む
include "/etc/nftables/list/admin"
# 日本国内IPv4アドレスリストを読み込む
include "/etc/nftables/list/domestic"

table inet filter {

        set admin {
                type ipv4_addr
                elements = $admin
        }

        set domestic {
                type ipv4_addr
                flags interval
                elements = $domestic
        }

        chain input {
                # 入力チェイン：明示的に許可されないパケットは全て破棄する（policy drop）
                type filter hook input priority 0; policy drop;

                # ループバックインターフェイスのトラフィックは全て許可する
                # （IPv4/IPv6 両方の lo を先に通すため最上段に置く）
                iif lo accept

                # IPv6 を破棄する場合は以下の行を有効化する（下記 ICMPv6 関連ルールは事実上無効化される）
                #meta nfproto ipv6 drop

                # Neighbor Discovery を許可する
                ip6 nexthdr icmpv6 icmpv6 type { nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert } accept

                # ICMPv6 エラーメッセージ（PMTUD などに必須）
                ip6 nexthdr icmpv6 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem } accept

                # MLD（マルチキャストリスナー検出）
                ip6 nexthdr icmpv6 icmpv6 type { mld-listener-query, mld-listener-report, mld-listener-done, mld2-listener-report } accept

                # Ping floods 対策（10/sec を超えた echo-request は drop、それ以下は accept）
                # （ct state established,related より前に置かないと、ping flood の 2発目以降が ESTABLISHED 扱いで rate limit を素通りする）
                ip6 nexthdr icmpv6 icmpv6 type echo-request limit rate over 10/second drop
                ip6 nexthdr icmpv6 icmpv6 type echo-request accept
                ip protocol icmp icmp type echo-request limit rate over 10/second drop
                ip protocol icmp icmp type echo-request accept

                # 関連・確立済みトラフィックは許可する
                ct state established,related accept

                # 不正なトラフィックは全て破棄する
                ct state invalid drop

                # 新規の UDP パケットは UDP チェインで判定する
                meta l4proto udp ct state new jump UDP

                # 新規の TCP 接続開始（SYN のみ立ったパケット）を TCP チェインで判定する
                meta l4proto tcp tcp flags & (fin | syn | rst | ack) == syn ct state new jump TCP

                # 他のルールによって処理されなかったトラフィックは全て拒否する
                meta l4proto udp reject
                meta l4proto tcp reject with tcp reset
        }

        chain forward {
                type filter hook forward priority 0; policy drop;
        }

        chain output {
                type filter hook output priority 0; policy accept;
        }

        chain TCP {
                # 管理者にのみ解放
                # ssh, OLS 管理画面
                tcp dport { 22, 7080 } ip saddr @admin accept

                # 日本国内にのみ開放
                # SMTPS, IMAPS
                tcp dport { 465, 993 } ip saddr @domestic accept

                # 全開放
                # SMTP, HTTP, HTTPS
                tcp dport { 25, 80, 443 } accept
        }

        chain UDP {
                # 全開放
                # http/3
                udp dport { 443 } accept
        }

}