O que pode estar causando que servidores HTTPS específicos de IPv6 enviem um número excessivo de pacotes RST?

Question

Os navegadores de clientes em minha rede doméstica habilitada para IPv6 interrompem o tempo limite ao tentar carregar https: // URLs de sites IPv6 específicos, como os operados pela CloudFlare. Nessas situações, o log ao vivo no meu firewall mostra que está silenciosamente descartando muitos pacotes RST de entrada do servidor HTTPS remoto. Outros sites IPv6, como o link , são carregados imediatamente, sem nenhum problema, enviando pequenos ou nenhum pacote RST à minha rede. A única solução bem-sucedida que tenho agora é uma diretiva de firewall que bloqueia o acesso HTTPS de saída a intervalos de endereços IPv6 específicos, forçando efetivamente que os navegadores atinjam os servidores HTTPS problemáticos pelo IPv4. Uma opção menos atraente é desligar completamente o IPv6 desabilitando o 6rd e o radvd.

Aqui estão alguns detalhes pertinentes do ambiente:

• A conexão com a Internet é CenturyLink ADSL2 + PPPoE com endereço IPv4 estático simples
• O modem DSL é Actiontec C1000A com o firmware mais recente aplicado
• O Firewall é Sophos UTM v9.2 , que lida com DHCP, encaminhamento de DNS, filtro de pacotes e dentro de radvd
• O modem lida com NAT para IPv4 e 6º para IPv6
• As redes compartilhadas pela LAN e pela interface externa do firewall são 192.168.0.0/24 e fd00 :: / 64
• Redes compartilhadas por máquinas cliente e interface interna do firewall são 192.168.1.0/24 e 2602: xxxx: xxxx: xxxx :: / 64
• O tráfego é roteado da LAN do modem para a interface externa do firewall por meio de rotas estáticas no modem em vez do NAT no firewall

Quando se trata de HTTPS sobre IPv6, os sites do Google são bem carregados para mim, enquanto os sites hospedados no CloudFlare invariavelmente falham. Ambas são grandes empresas com equipes de especialistas em redes, então eu nem tenho certeza se a CloudFlare está fazendo algo errado aqui.

Alguém mais está vendo os servidores HTTPS da CloudFlare enviando muitos pacotes de redefinição no IPv6, mas não no IPv4?

O meu ISP, CenturyLink, poderia forjar os pacotes RST em alguma tentativa equivocada de me ajudar ou me proteger?

As redefinições estão sendo enviadas porque meu navegador não está satisfeito com algum aspecto da implementação SSL do servidor?