J'ai mis le QoS tag à 1 (la valeur 0 n'existe pas), et j'ai plus eu internet.
J'ai dû le remettre à none.
Merci pour ton aide, as-tu une autre suggestion ?

Dans mon routeur ASUS, section firewall, sous-section IPv6, je n'ai que des Inbound Firewall Rules avec adresse remote (que l'on peut laisser en blanc), Local IP, port et protocole. Je n'ai rien d'autre.
"Inbound Firewall Rules", c'est quoi, une règle forward ou input/output ?

C'est bien une règle forward. Mais à voir la doc d'Asus, c'est bien expliqué dans le paragraphe sur IPv6 Firewall.
Donc dans local IP, il faut bien mettre ton addresse GUA alors. A tester la solution de Simon avec les sous-réseaux dans remote et local-ip. Pas sûr que cela soit bien accepté pour local-ip par contre.

Tranches conseillées et non pas imposées :

     10.0.0.0        -   10.255.255.255  (10/8 prefix)
     172.16.0.0      -   172.31.255.255  (172.16/12 prefix)
     192.168.0.0     -   192.168.255.255 (192.168/16 prefix)

je doute que livebox 7 les permette toutes.

Alors justement ces adresses doivent bien fonctionner, car j'en connais en 172.16.0.0/12 et 10.0.0.0/8 justement.
Après je peux faire le test... mais si vous voulez rester avec votre adressage actuel, la Livebox 7 n'est simplement pas pour vous, pour remplacer le Cisco. Par contre, elle peut être utilisée en amont du Cisco.

Avec le parefeu, j'ai ajouté une règle qui ouvre le port 6690, mais vers quoi ? Si je mets fe80:: suivi de l'adresse interne de mon Synology, ça marche pas. Il semblerait que je doive mettre l'adresse IPv6 entière; mais seulement Starlink en changela partie prefix de temps en temps @MJules me dit que openwrt accepte de ne mettre que la partie interne. Donc je vais tester (pas eu le temps) si Merlin, lui, accepte.

J'ai tord ?

Non, je pense que tester un autre firmware est une bonne idée, et que tu es dans la bonne démarche. C'est moi qui n'ai pas compris, désolé.

Attention par contre, merlin n'est pas Openwrt (basé dessus peut etre ?). Si ca ne fonctionne pas avec Merlin, ca fonctionnera peut-être avec OpenWRT.

En dernier recours, une solution alternative serait d'accepter le port 6690 inbound vers tout le subnet délégué, ou vers 2406:2d40::/32, depuis 2a01:cb00::/19. Ca diminuerait un peu la sécurité, mais c'est toujours mieux que de tout autoriser: on accepte le traffic depuis le réseau d'Orange vers celui de SpaceX sur le port 6690, peu importe les adresses sources et destination, ce qui permet d'avoir des préfixes qui changent tout en évitant d'exposer le NAS à tout internet.

Tranches conseillées et non pas imposées :

     10.0.0.0        -   10.255.255.255  (10/8 prefix)
     172.16.0.0      -   172.31.255.255  (172.16/12 prefix)
     192.168.0.0     -   192.168.255.255 (192.168/16 prefix)

je doute que livebox 7 les permette toutes.

Pour conclure cette discussion stérile : sur mon LAN je fais ce que je veux (différence entre la route et la piste).

Cordialement ...