IPv6 configuració xarxes avançades: guia pràctica completa

Informatec Digital » Recursos » IPv6 configuració xarxes avançades: guia pràctica completa

Fer el salt a IPv6 en una xarxa avançada ja no és “per més endavant”: teletreball, més dispositius, serveis al núvol i l'escassetat d'IPv4 fan que sigui un canvi que tard o d'hora hauràs d'abordar. El millor és que, amb una bona planificació, pots desplegar IPv6 a la teva xarxa corporativa o llar avançada sense tornar-te boig i aprofitant els seus avantatges reals de rendiment, seguretat i escalabilitat.

En aquest article hilarem molt fi : què és IPv6, com encaixa amb IPv4 (dual stack, transició), com es configura en routers típics (ASUS, Omada, UniFi, FRITZ!Box, etc.), com dividir un /48 corporatiu en VLAN, quines opcions triar en els menús d'IPv6, com controlar convé conèixer en sistemes com Windows perquè tot funcioni com esperes.

Què és IPv6 i per què hauríeu d'activar-lo ja

IPv6 és la versió moderna del protocol IP , dissenyada per substituir progressivament IPv4 i, sobretot, per resoldre l'esgotament d'adreces públiques. Mentre que IPv4 utilitza adreces de 32 bits (uns 4.294 milions d'adreces teòriques), IPv6 utilitza 128 bits, cosa que es tradueix en una quantitat astronòmica d'adreces, de l'ordre de 340 sextillones.

A la pràctica, això significa que pots donar una adreça pública única a pràcticament cada dispositiu, màquina virtual, contenidor o servei, evitant molts malabarismes amb NAT, ports i traduccions complexes. A més, IPv6 incorpora millores natives en autoconfiguració, segmentació de xarxes i suport per a serveis avançats.

Quan us connecteu a un lloc web , el nom de domini es resol en una adreça IP (v4 o v6) que serveix per identificar la destinació a la xarxa. A IPv4 estàs acostumat a veure adreces com ara 192.168.1.1 o 10.0.0.1. A IPv6 el format és hexadecimal i es representa amb blocs separats per dos punts, per exemple 2001:db8:abcd:1::1.

Avui dia, la majoria d'operadors estan desplegant IPv6 en mode dual stack, és a dir, proporcionen al client adreces IPv4 i IPv6 simultàniament. El sistema i les aplicacions trien quin protocol utilitzar segons les polítiques de preferència, normalment prioritzant IPv6 quan està disponible i és funcional.

Tipus de connexió IPv6 i mecanismes de transició

Abans de tocar res al router , heu de saber quin tipus de connexió IPv6 us ofereix el vostre proveïdor d'Internet (ISP). És molt habitual que hagis de triar aquest tipus a la secció WAN o Internet de l'equip: si no el coneixes, pregunta a l'ISP, perquè en depèn la configuració correcta d'IPv6 a la teva xarxa.

Entre els tipus més habituals a routers domèstics i corporatius trobaràs opcions com:

• natiu (de vegades anomenat “Native” o simplement “IPv6”): l'operador encamina directament un prefix IPv6 fins al teu router, sense túnels especials. És el cas ideal i el més senzill de gestionar.
• IPv6 estàtica: l'ISP t'assigna un bloc fix (per exemple un /48 o /56) i tu configures manualment l'adreça i el prefix a la interfície WAN de l'encaminador.
• Passar per: el router actua com a “pont” i deixa que el dispositiu del darrere obtingui directament la configuració IPv6 (típic en alguns escenaris amb IP automàtica a WAN).
• Túnels 6to4, 6in4 i 6rd: mecanismes de transició que encapsulen paquets IPv6 dins IPv4 quan el proveïdor o la infraestructura intermèdia encara no suporta IPv6 nadiu. 6rd, per exemple, és una variant “ràpida” de desplegament sense estat semblant a 6to4.
• Serveis específics com FLET's IPv6: molt usats al Japó, on alguns proveïdors implementen solucions pròpies que requereixen plantilles de configuració específiques al router.

En qualsevol cas, el punt clau és que configuriu primer la connexió IPv4 WAN (IP automàtica, PPPoE, IP estàtica, etc.) i, a partir d'aquí, seleccioneu el tipus IPv6 corresponent. Molts encaminadors fins i tot emplenen automàticament part dels paràmetres IPv6 quan detecten correctament el tipus de connexió.

Configurar IPv6 en un router típic (exemple ASUS)

Prenem com a referència un router ASUS , perquè els seus menús són força representatius del que veuràs en moltes altres marques. El flux general sol ser molt semblant: accés a la interfície web, ajustament de la WAN i després secció específica d'IPv6 dins de Configuració avançada.

Passos habituals per activar IPv6 en un router d'aquest tipus serien:

1. Connectar un ordinador al router via cable o WiFi i accedir a la interfície web, ja sigui mitjançant la IP LAN (per exemple 192.168.1.1) o una URL específica com http://www.asusrouter.com.
2. Inicieu sessió a la consola d'administració amb lusuari i la contrasenya de lequip. Si els heu oblidat, no queda altra que restaurar el router a valors de fàbrica i tornar a configurar-lo.
3. Verificar primer el tipus de connexió WAN IPv4 a l'apartat WAN > Connexió a Internet. Aquí veuràs si estàs usant PPPoE, IP automàtica (DHCP), IP estàtica, etc.
4. Entrar al menú d'IPv6 dins de la configuració avançada i seleccionar el Tipus de connexió IPv6 d'acord amb això.

Per exemple, una combinació típica sol ser:

• Si la WAN IPv4 és a PPPoE, seleccionar tipus IPv6 natiu. L'encaminador aprofitarà la sessió PPPoE per obtenir la informació d'IPv6 de l'operador.
• Si la WAN IPv4 és IP estàtica, triar IPv6 estàtica a la secció d'IPv6 i omplir manualment adreça, prefix, porta d'enllaç i DNS que us hagi donat l'ISP.
• Si la WAN IPv4 és a IP automàtica (DHCP), moltes guies recomanen utilitzar Passar per perquè la configuració IPv6 passi directament al dispositiu que ho requereixi o es gestioni automàticament.

Després d'aplicar els canvis , el router sol reiniciar parcialment el servei de xarxa. Una manera ràpida de verificar que esteu rebent paràmetres IPv6 és tornar a iniciar sessió i revisar la secció de configuració LAN IPv6: si veieu adreces i prefixos assignats, la part de WAN IPv6 està funcionant.

Per confirmar la connectivitat real , una prova recomanada és visitar una pàgina de test com a test-ipv6.com, que analitza si el teu navegador i el teu proveïdor suporten correctament el protocol i t'indica si estàs operant en dual stack, si hi ha errors de DNS o si només tens IPv4.

Desplegament d'IPv6 a xarxes avançades amb VLAN i prefixos /48

En entorns una mica més seriosos , com oficines amb diverses VLAN i equipament tipus UniFi o Omada, el més habitual és que l'ISP lliuri un prefix estàtic gran, per exemple un /48. A partir d'aquí, el teu treball consisteix a trossejar aquest bloc en subxarxes /64 (o altres, si la plataforma ho suporta) que assignaràs a cada VLAN o segment lògic.

Suposem que el vostre proveïdor us dóna un /48 de l'estil 2001:b33f:f33d::/48 ia la interfície WAN del vostre router uses 2001:b33f:f33d::2, tenint com a router de l'ISP 2001:b33f:f33d:: Aquesta configuració a la WAN és simplement lenllaç cap a fora. L'important és com reparteixes aquest /48 a la part LAN.

A IPv6 és molt comú treballar amb /64 a cada enllaç de capa 2, perquè és la mida recomanada per permetre autoconfiguració (SLAAC) i altres funcions. A partir d'un /48 tens 2^(64-48) = 65.536 subxarxes /64 disponibles; vaja, que vas sobrat per assignar blocs còmodament a cada VLAN, xarxa WiFi de convidats, DMZ, etc.

A la configuració de la interfície LAN del teu router (per exemple a UniFi o en una porta d'enllaç Omada) veuràs un camp d'“adreça IPv6” o “prefix IPv6” i un desplegable amb longituds de màscara entre /64 i /127. El que és habitual i recomanable és deixar /64, llevat que tinguis un cas molt particular.

La idea és una cosa així :

• VLAN 10 (xarxa corporativa): 2001:b33f:f33d:10::/64
• VLAN 20 (convidats): 2001:b33f:f33d:20::/64
• VLAN 30 (servidors): 2001:b33f:f33d:30::/64
• VLAN 40 (laboratori/IoT): 2001:b33f:f33d:40::/64

A cada VLAN el router tindrà una adreça vàlida dins d'aquest /64, que farà de porta d'enllaç per als clients, per exemple 2001:b33f:f33d:10::1 per a la VLAN 10, 2001:b33f:f33d:20::1 per a la 20, i així successivament. El camp que molts equips etiqueten com a “IP de porta d'enllaç/Subred” es refereix justament a aquesta adreça del router juntament amb la longitud del prefix (/64).

Pel que fa als clients , normalment obtindran una única adreça IPv6 global dins de la subxarxa /64 assignada, ja sigui mitjançant SLAAC, DHCPv6 o una combinació de tots dos (SLAAC per a la IP i DHCPv6 per a paràmetres addicionals com DNS). No se sol delegar subxarxes completes a cada dispositiu excepte en contextos molt concrets (per exemple, routers interns que al seu torn distribueixen prefixos mitjançant DHCPv6-PD).

En repartir l'espai d'adreces entre diverses VLAN , més que preocupar-te pel consum (tens prefixos de sobres), t'interessa que l'esquema sigui ordenat i fàcil d'entendre: fer servir números de VLAN en els darrers 16 bits del prefix, reservar rangs consecutius per a serveis interns, separar convidats, IoT i producció amb blocs ben diferenciats, etc.

Autoconfiguració, DAD i paràmetres avançats d'IPv6 en interfícies

Quan habiliteu IPv6 en una interfície (LAN, VLAN, túnel, etc.), molts sistemes permeten ajustar paràmetres avançats que per defecte vénen raonablement ben afinats. El més normal és no tocar-los llevat que tinguis un requisit molt concret a la teva xarxa.

Un d'aquests paràmetres és el “Límit de salt” (hop limit), que és l'equivalent al TTL a IPv4: el nombre màxim de salts de router que pot fer un paquet abans de ser descartat. El valor per defecte més estès és 64, que sol ser més que suficient fins i tot en xarxes grans.

Un altre ajustament habitual és el nombre de transmissions de DAD (Duplicate Address Detection). IPv6 executa un procés per comprovar que una adreça no està duplicada a la xarxa abans de fer-la servir. Un valor típic és 1, que redueix el temps de configuració mantenint una comprovació mínima. Si es posa a 0, es desactiva la detecció d'adreces duplicades, cosa que normalment no es recomana tret d'escenaris molt controlats.

A la majoria de controladors i encaminadors veuràs aquests paràmetres dins d'una pestanya específica d'IPv6 en editar la interfície. La pròpia documentació sol indicar que es deixin els valors per defecte tret que sàpigues exactament el que estàs canviant i per què.

Control d'accés i seguretat a IPv6: ACL en lloc de NAT

Una diferència molt important davant d'IPv4 és que a IPv6 no es fa servir NAT de la mateixa manera. Cada dispositiu pot tenir adreces globals enrutable directament des dInternet, així que la primera barrera de seguretat passa a ser el firewall/ACL de la porta denllaç en lloc del propi efecte secundari del NAT.

A gateways tipus Omada , la funcionalitat de llistes de control d'accés (ACL) per a IPv6 és clau. Permet a l'administrador definir regles que filtren trànsit segons l'adreça d'origen, l'adreça de destinació, els ports o els protocols, i decidir si es permet o es denega cada tipus de trànsit.

Per defecte, moltes portes d'enllaç Omada ja bloquegen accessos des de xarxes externes a xarxes internes quan es tracta de trànsit IPv6, justament perquè no hi ha NAT que “oculti” les adreces internes. És a dir, es talla d'arrel l'entrada des d'Internet al teu LAN tret que obris forats explícits.

Per a escenaris típics de control d'accés IPv6 , teniu diversos patrons de configuració:

• Impedir l'accés des d'Internet cap a la xarxa interna: sol estar bloquejat de sèrie, però pots revisar o endurir encara més la política amb ACL addicionals a IPv6.
• Permetre l'accés cap a un servidor intern (per exemple, un servidor web en una VLAN de servidors): es defineix un grup d'adreces IPv6 internes (my_server) i un grup amb clients o rangs externs (my_client) i es crea una regla ACL del tipus WAN-IN que permeti aquest trànsit.
• Restringir l'accés a Internet de certs equips (per exemple, ordinadors dels nens o dispositius IoT): es crea un grup IPv6 amb aquests clients (children_pc) i un altre que representi Internet, i s'afegeix una regla ACL LAN->WAN en mode Denegar per a aquest grup.

El flux de treball a Omada es resumeix en: configurar correctament la connexió WAN IPv6, habilitar i establir el mode d'IPv6 a les LAN/VLAN, definir grups IPv6 amb les adreces o rangs que t'interessen i finalment crear regles ACL de porta d'enllaç on tries adreça de trànsit (IN, OUT, LAN->WAN), política ( basats en aquests grups.

És important assegurar-se que el microprogramari de la porta denllaç està actualitzat, perquè les funcions més modernes de control daccés IPv6 poden requerir versions recents del programari de sistema.

Activació d'IPv6 en entorns domèstics i petites oficines

En un escenari domèstic o de petita oficina , el procés dactivació dIPv6 sol ser menys intimidant del que sembla. El més important és que l'ISP ja estigui oferint suport IPv6 a la teva línia i que l'encaminador ho entengui correctament.

Els passos generals serien :

1. Confirmar amb el proveïdor que la vostra connexió suporta IPv6 i en quina manera (dual stack, només IPv6 amb NAT64, etc.). Pregunta també si has de canviar l'ordinador o el microprogramari.
2. Verificar que el router suporta IPv6, cosa habitual en equips moderns com FRITZ!Box, routers ASUS, TP-Link Archer (C, AX, etc.), Omada, UniFi, etc.
3. Entrar a la interfície web del router (192.168.1.1, 192.168.0.1 o una altra, segons fabricant) i cercar l'apartat d'IPv6 a les opcions avançades o al menú de xarxa.
4. Activar IPv6 i triar el tipus de connexió indicat per l'ISP: DHCPv6, PPPoE amb IPv6 nadiu, IP estàtica, túnel 6rd, etc.
5. Aplicar els canvis i reiniciar si cal. Després, comprovar amb una web com a test-ipv6.com si la teva sortida a Internet ja està usant IPv6.

A la majoria de sistemes operatius moderns (Windows 10/11, macOS, Linux, Android, iOS), IPv6 ve activat de fàbrica. A Windows, per exemple, només cal entrar a les propietats de la targeta de xarxa i assegurar-se que la casella “Protocol d'Internet versió 6 (TCP/IPv6)” està marcada.

Quan el router anuncia correctament el prefix i els clients tenen IPv6 habilitat, cada dispositiu obtindrà la seva adreça global i local d'enllaç de forma automàtica, sense necessitat de tocar res al propi equip.

La visió de Windows: preferència IPv4/IPv6 i desactivació parcial

En entorns gestionats amb Windows , convé saber que el sistema implementa la lògica de selecció d'adreces descrita a RFC 3484, mantenint una taula de prefixos que decideix quina adreça utilitzar quan una mateixa màquina disposa de diverses IP (IPv4 i IPv6) associades a un nom DNS.

Per defecte, Windows tendeix a fer servir IPv6 sempre que hi hagi una adreça d'unidifusió global disponible i la connectivitat sigui correcta, encara que segueix sent capaç de treballar perfectament amb IPv4 en paral·lel.

Alguns administradors opten per deshabilitar o limitar IPv6 per diagnosticar problemes de xarxa, sobretot quan se sospita d'incidències relacionades amb resolució de noms o configuracions IPv6 incompletes. Microsoft exposa un mecanisme centralitzat per controlar el grau dús dIPv6 a través del registre del sistema.

La clau de registre rellevant és:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Es tracta d'un valor REG_DWORD que pot oscil·lar de 0x00 (comportament predeterminat, IPv6 totalment habilitat) a 0xFF (deshabilitar a la pràctica IPv6 a la majoria d'interfícies, encara que el sistema el segueix emprant internament per a tasques pròpies).

Algunes configuracions útils són :

• Preferir IPv4 sobre IPv6: valor 0x20 (32 en decimal). Manté l'IPv6 actiu però modifica les polítiques de prefix perquè s'esculli IPv4 quan hi hagi opció. Es considera més recomanable que apagar IPv6 del tot.
• Deshabilitar IPv6 en interfícies no de túnel: valor 0x10 (16 decimal), que afecta interfícies natives.
• Deshabilitar IPv6 en interfícies de túnel: valor 0x01 (1 decimal), útil si no es volen tecnologies de transició com 6to4, ISATAP o Teredo.
• Apagar a gairebé tot arreu: 0xFF (255 decimal), que deshabilita IPv6 tant en túnels com en interfícies natives, amb excepció que el sistema segueix conservant ::1 per a loopback i usos interns.

Per canviar aquest valor des d'una consola administrativa podeu utilitzar una ordre de l'estil:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows utilitza una màscara de bits sobre aquest camp per decidir quins components es desactiven: túnels, 6to4, ISATAP, Teredo, interfícies natives, preferència d'IPv4, etc. Cada bit s'interpreta com a veritable (1) o fals (0) per a les diferents funcions, i combinacions concretes com a 0x20, 0x10, 0x01 o 0x11 corresponen a escenaris comuns documentats per Microsoft.

És important entendre que aquesta clau no canvia l'estat de la casella de “Protocol d'Internet versió 6 (TCP/IPv6)” a les propietats de la interfície; és a dir, podeu veure la casella marcada encara que a nivell de registre hagis limitat o deshabilitat IPv6. Això és el comportament esperat.

Si el que voleu és desasociar IPv6 d'una interfície concreta, podeu:

• Treure la marca de la casella IPv6 a les propietats de xarxa de l'adaptador.
• Utilitza PowerShell amb una ordre com:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Addicionalment, a Windows s'activen de sèrie tecnologies com 6to4 quan l'equip té adreces IPv4 públiques. Si no vols que es creïn aquestes interfícies de túnel ni que registrin adreces IPv6 automàticament en DNS, pots desactivar-les establint DisabledComponents a 0x01 o mitjançant directives de grup que deshabilitin 6to4, ISATAP i Teredo.

Models d'encaminador i suport d'IPv6

El suport IPv6 s'ha anat estenent al llarg del temps a pràcticament tota la gamma mitjana i alta de routers domèstics i de petita empresa. Marques com ASUS, AVM FRITZ!Box, TP-Link (sèries Archer, Omada), i altres solucions de SD-WAN solen incloure suport IPv6 complet en els seus darrers firmwares.

A l'ecosistema TP-Link Archer, per exemple , hi ha multitud de models orientats a diferents escenaris (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, CTL-W C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N A17. AXE5400V, AXE200 Omni, A5, GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700 AX11000, AX3200, AX3000…).

En molts d'aquests models , el suport o les característiques concretes d'IPv6 (per exemple, DHCPv6-PD, túnels, control parental sobre IPv6, ACL avançades, etc.) han anat millorant amb actualitzacions de microprogramari. És bona idea revisar el centre de descàrregues del fabricant, comprovar la versió de maquinari del dispositiu i llegir el full de dades o notes de versió per veure què s'ha afegit recentment.

Tingueu també en compte que la disponibilitat de certs productes i funcions varia segons regió, per la qual cosa pot ser que un model concret amb determinades capacitats IPv6 no estigui a la venda al vostre país o no tingui exactament les mateixes prestacions que en una altra zona.

Suport, firmware i proves de funcionament

Quan treballis amb IPv6 és especialment important tenir el firmware dels teus equips actualitzat: bugs en la implementació de DHCPv6, errors en RA (Router Advertisements), problemes amb túnels 6rd/6to4 o incompatibilitats amb ACL et poden complicar força la vida.

Els fabricants solen centralitzar les descàrregues de drivers, firmware, utilitats i manuals als seus centres de suport (per exemple, el Centre de Descàrregues d'ASUS o el portal de suport de FRITZ!Box). Revisar periòdicament les notes de versió us donarà pistes sobre millores relacionades amb IPv6, seguretat i rendiment.

Després de qualsevol canvi important de configuració (activar IPv6, modificar prefixos, tocar ACL, canviar la preferència IPv4/IPv6 en clients Windows, etc.) convé fer una bateria mínima de proves:

• Navegar llocs que només resolguin IPv6 o que prioritzin IPv6.
• Utilitza eines com test-ipv6.com per revisar connectivitat, DNS, fuites, transició.
• Provar pings i traceroutes a adreces IPv6 tant internes com externes.
• Verificar que les regles de tallafocs/ACL actuen com a esperes sobre el trànsit IPv6.

Si alguna cosa no funciona , un pla de diagnòstic típic inclou comprovar el tipus de connexió configurat, revisar que els prefixos LAN són correctes, verificar si els clients estan rebent adreces vàlides, actualitzar firmware i, en última instància, restablir el router a valors de fàbrica per descartar configuracions heretades que interfereixin.

Amb tot aquest panorama, IPv6 deixa de ser aquest “bitxo raro” i passa a ser una eina més de la teva caixa de recursos de xarxa: ben configurat, et dóna un esquema d'adreçament molt més net, simplifica alguns escenaris de publicació de serveis i, ben protegit amb ACL i firewalls, no ha de suposar un risc addicional davant d'IPv4, sinó més aviat el contrari.