Pokročilá konfigurace sítě IPv6: Kompletní praktický průvodce

Informatec Digital » Zdroje » Pokročilá konfigurace sítě IPv6: Kompletní praktický průvodce

Přechod na IPv6 V pokročilé síti už to není něco „na později“: práce na dálku, více zařízení, cloudové služby a nedostatek IPv4 znamenají, že je to změna, kterou budete muset dříve či později řešit. Dobrou zprávou je, že s dobrým plánováním můžete nasadit IPv6 ve své firemní nebo pokročilé domácí síti, aniž byste se zbláznili a využili jeho skutečných výhod v oblasti výkonu, zabezpečení a škálovatelnosti.

V tomto článku se podíváme na velmi jemné detaily.Co je IPv6, jak zapadá do IPv4 (dual stack, přechod), jak se konfiguruje na typických routerech (ASUS, Omada, UniFi, FRITZ!Box atd.), jak rozdělit firemní /48 na VLAN, jaké možnosti zvolit v nabídkách IPv6, jak řídit přístup pomocí ACL místo NAT a jaká speciální nastavení byste měli znát v systémech jako Windows, aby vše fungovalo podle očekávání.

Co je IPv6 a proč byste ho měli povolit hned teď?

IPv6 je moderní verze protokolu IP.IPv6 je navržen tak, aby postupně nahradil IPv4 a především vyřešil problém vyčerpání veřejných adres. Zatímco IPv4 používá 32bitové adresy (přibližně 4.294 miliardy teoretických adres), IPv6 používá 128 bitů, což se promítá do astronomického počtu adres, řádově 340 sextillionů.

V praxi to znamená Prakticky každému zařízení, virtuálnímu počítači, kontejneru nebo službě můžete přiřadit jedinečnou veřejnou adresu, čímž eliminujete mnoho potíží s NAT, přesměrováním portů a složitými překlady. IPv6 navíc obsahuje nativní vylepšení v automatické konfiguraci, segmentaci sítě a podporu pokročilých služeb.

Když se připojíte k webové stránceNázev domény se překládá na IP adresu (v4 nebo v6), která identifikuje cíl v síti. V IPv4 jste zvyklí na adresy jako 192.168.1.1 nebo 10.0.0.1. V IPv6 je formát hexadecimální a je reprezentován bloky oddělenými dvojtečkami, například 2001:db8:abcd:1::1.

Dnes většina operátorů Nasazují IPv6 v duálním režimu, což znamená, že klientovi poskytují současně adresy IPv4 i IPv6. Systém a aplikace si vybírají, který protokol použít, na základě preferenčních zásad, obvykle upřednostňují IPv6, pokud je dostupný a funkční.

Typy připojení IPv6 a mechanismy přechodu

Než se dotknete čehokoli na routeruMusíte vědět, jaký typ připojení IPv6 nabízí váš poskytovatel internetových služeb (ISP). Obvykle budete muset tento typ vybrat v nastavení sítě WAN nebo internetu ve vašem počítači. Pokud to nevíte, zeptejte se svého poskytovatele internetových služeb, protože je to zásadní pro správnou konfiguraci IPv6 ve vaší síti.

Mezi nejběžnější typy domácích a firemních routerů Najdete zde možnosti jako například:

• Nativo (někdy nazývané „nativní“ nebo jednoduše „IPv6“): operátor směruje prefix IPv6 přímo do vašeho routeru bez speciálních tunelů. Toto je ideální případ a nejsnadnější na správu.
• Statická IPv6Poskytovatel internetových služeb vám přidělí pevný blok (například /48 nebo /56) a vy ručně nakonfigurujete adresu a prefix na WAN rozhraní routeru.
• ProjíždětRouter funguje jako „most“ a umožňuje zařízení za ním přímo získat konfiguraci IPv6 (typické v některých scénářích s automatickou IP adresou v síti WAN).
• Tunely 6to4, 6v4 a 6rdPřechodové mechanismy, které zapouzdřují pakety IPv6 v rámci IPv4, pokud poskytovatel nebo zprostředkující infrastruktura ještě nepodporuje nativní IPv6. Například 6rd je „rychlá“ varianta bezstavového nasazení podobná 6to4.
• Specifické služby, jako je IPv6 od FLET: široce používané v Japonsku, kde někteří poskytovatelé implementují svá vlastní řešení, která vyžadují specifické konfigurační šablony na routeru.

V každém případě klíčový bod Nejprve je třeba nakonfigurovat připojení IPv4 WAN (automatická IP adresa, PPPoE, statická IP adresa atd.) a poté vybrat odpovídající typ IPv6. Mnoho routerů dokonce automaticky vyplní některé parametry IPv6, když správně detekují typ připojení.

Konfigurace IPv6 na typickém routeru (např. ASUS)

Vezměme si jako referenci router ASUS.Protože jeho nabídky jsou docela typické pro nabídky mnoha jiných značek. Obecný postup je obvykle velmi podobný: přístup k webovému rozhraní, nastavení WAN a poté k sekci IPv6 v rámci Pokročilé nastavení.

Typické kroky k aktivaci IPv6 V routeru tohoto typu by to byly:

1. Připojte počítač k routeru přes kabel nebo WiFi a přístup k webovému rozhraní, buď přes IP adresu LAN (například 192.168.1.1), nebo přes konkrétní URL, například http://www.asusrouter.com.
2. Přihlaste se do administrátorské konzole s uživatelským jménem a heslem zařízení. Pokud jste je zapomněli, jedinou možností je obnovit tovární nastavení routeru a znovu jej nakonfigurovat.
3. Nejprve ověřte typ připojení IPv4 WAN V sekci WAN > Připojení k internetu uvidíte, zda používáte PPPoE, automatickou IP adresu (DHCP), statickou IP adresu atd.
4. Vstupte do nabídky IPv6 v pokročilém nastavení a vyberte typ připojení IPv6 podle výše uvedeného.

Například typická kombinace obvykle:

• Pokud je síť IPv4 WAN v PPPoEVyberte typ IPv6 NativoRouter použije relaci PPPoE k získání informací IPv6 od operátora.
• Pokud je síť IPv4 WAN Statická IP, vybrat Statická IPv6 v sekci IPv6 a ručně vyplňte adresu, prefix, bránu a DNS, které vám poskytl váš poskytovatel internetových služeb.
• Pokud je síť IPv4 WAN v Automatická IP adresa (DHCP)Mnoho průvodců doporučuje používat Projíždět aby se konfigurace IPv6 předávala přímo zařízení, které ji vyžaduje, nebo aby se spravovala automaticky.

Po aplikaci změnRouter obvykle částečně restartuje síťovou službu. Rychlý způsob, jak ověřit, zda přijímáte parametry IPv6, je znovu se přihlásit a zkontrolovat sekci konfigurace IPv6 LAN: pokud vidíte přiřazené adresy a prefixy, část IPv6 WAN funguje.

Pro potvrzení skutečného připojeníDoporučeným testem je návštěva testovací stránky, jako je test-ipv6.com, která analyzuje, zda váš prohlížeč a poskytovatel správně podporují protokol, a sdělí vám, zda pracujete v duálním stacku, zda se vyskytují chyby DNS nebo zda máte pouze IPv4.

Nasazení IPv6 v pokročilých sítích s VLAN a prefixy /48

V poněkud vážnějších podmínkáchNapříklad v kancelářích s více VLAN a zařízeními typu UniFi nebo Omada obvykle poskytovatel internetových služeb poskytne velký statický prefix, například /48. Odtud je vaším úkolem rozdělit tento blok na podsítě /64 (nebo jiné, pokud to platforma podporuje), které přiřadíte každé VLAN nebo logickému segmentu.

Řekněme, že vám váš dodavatel poskytne /48 Například byste použili příkaz 2001:b33f:f33d::/48 na WAN rozhraní vašeho routeru a 2001:b33f:f33d::2 na routeru vašeho poskytovatele internetových služeb, což je 2001:b33f:f33d::1. Tato konfigurace WAN je jednoduše odchozí odkaz. Důležité je, jak tento /48 distribuujete na straně LAN.

V IPv6 je velmi běžné pracovat s /64. v každém propojení vrstvy 2, protože se jedná o doporučenou velikost pro umožnění automatické konfigurace (SLAAC) a dalších funkcí. Počínaje velikostí /48 máte 2^(64-48) = 65 536 dostupných podsítí /64; jinými slovy, máte více než dost na to, abyste mohli pohodlně přiřadit bloky každé síti VLAN, hostované WiFi síti, DMZ atd.

V nastavení LAN rozhraní vašeho routeru (například na UniFi nebo Omada gateway) uvidíte pole „IPv6 adresa“ nebo „IPv6 prefix“ a rozbalovací nabídku s délkami masky mezi /64 a /127. Obvykle se doporučuje ponechat hodnotu /64, pokud se nejedná o velmi specifický případ.

Myšlenka je nějaká taková::

• VLAN 10 (firemní síť): 2001:b33f:f33d:10::/64
• VLAN 20 (hosté): 2001:b33f:f33d:20::/64
• VLAN 30 (servery): 2001:b33f:f33d:30::/64
• VLAN 40 (laboratoř/IoT): 2001:b33f:f33d:40::/64

V každé VLAN bude mít router adresu platné v rámci dané adresy /64, která bude sloužit jako brána pro klienty, například 2001:b33f:f33d:10::1 pro VLAN 10, 2001:b33f:f33d:20::1 pro VLAN 20 atd. Pole, které mnoho zařízení označuje jako „IP/podsíť brány“, odkazuje přesně na danou adresu routeru spolu s délkou prefixu (/64).

Ohledně zákazníkůObvykle získají jednu globální IPv6 adresu v rámci přiřazené podsítě /64, a to buď prostřednictvím SLAAC, DHCPv6, nebo kombinací obou (SLAAC pro IP adresu a DHCPv6 pro další parametry, jako je DNS). Celé podsítě obvykle nejsou delegovány každému zařízení, s výjimkou velmi specifických kontextů (například interní routery, které zase distribuují prefixy pomocí DHCPv6-PD).

Rozdělením adresního prostoru mezi několik VLANSpíše než se starat o spotřebu (máte spoustu prefixů), máte zájem o organizované a snadno srozumitelné schéma: použití čísel VLAN v posledních 16 bitech prefixu, rezervace po sobě jdoucích rozsahů pro interní služby, oddělení hostů, IoT a produkce pomocí dobře diferencovaných bloků atd.

Automatická konfigurace, DAD a pokročilé parametry IPv6 na rozhraních

Když povolíte IPv6 na rozhraní (LAN, VLAN, tunel atd.) mnoho systémů umožňuje upravit pokročilé parametry, které jsou ve výchozím nastavení poměrně dobře vyladěny. Obecně je nejlepší se jich nedotýkat, pokud nemáte pro svou síť velmi specifické požadavky.

Jedním z těchto parametrů je „Limit skoku“. (limit skoků), což je ekvivalent TTL v IPv4: maximální počet skoků routeru, které paket může absolvovat, než je zahozen. Nejběžnější výchozí hodnota je 64, což je obvykle více než dostatečné i ve velkých sítích.

Dalším běžným nastavením je počet přenosů DAD. (Detekce duplicitních adres). IPv6 před použitím spustí proces, který kontroluje, zda adresa není v síti duplicitní. Typická hodnota je 1, což zkracuje dobu konfigurace a zároveň zachovává minimální kontrolu. Nastavení na 0 zakáže detekci duplicitních adres, což se obecně nedoporučuje, s výjimkou vysoce kontrolovaných scénářů.

Ve většině řídicích jednotek a routerů Tyto parametry uvidíte na konkrétní kartě IPv6 při úpravě rozhraní. Samotná dokumentace obvykle doporučuje ponechat výchozí hodnoty, pokud přesně nevíte, co měníte a proč.

Řízení přístupu a zabezpečení v IPv6: ACL místo NAT

Velmi důležitý rozdíl oproti IPv4 Problém je v tom, že NAT se v IPv6 nepoužívá stejným způsobem. Každé zařízení může mít globálně směrovatelné adresy přímo z internetu, takže první bezpečnostní bariérou se stává firewall/ACL brány, nikoli samotný vedlejší efekt NAT.

V branách typu OmadaFunkce seznamu řízení přístupu (ACL) pro IPv6 je klíčová. Umožňuje správci definovat pravidla, která filtrují provoz na základě zdrojové adresy, cílové adresy, portů nebo protokolů, a rozhodnout se, zda povolí nebo zakážou jednotlivé typy provozu.

Ve výchozím nastavení mnoho bran Omada Již teď blokují přístup z externích sítí do interních sítí, pokud jde o provoz IPv6, a to právě proto, že neexistuje žádný NAT, který by „skryl“ interní adresy. Jinými slovy, přístup z internetu do vaší LAN je zcela odříznut, pokud explicitně nevytvoříte mezery v zákonech.

Pro typické scénáře řízení přístupu IPv6Máte několik konfiguračních vzorů:

• Zabránit přístupu z internetu do interní sítěVe výchozím nastavení je obvykle blokován, ale můžete si tuto zásadu v IPv6 zkontrolovat nebo dále zpřísnit pomocí dalších ACL.
• Povolit přístup k internímu serveru (například webový server v serverové VLAN): je definována interní skupina adres IPv6 (my_server) a externí skupina klientů nebo rozsahů (my_client) a je vytvořeno pravidlo ACL typu WAN-IN, které povoluje tento provoz.
• Omezení přístupu k internetu pro určitá zařízení (například dětské počítače nebo zařízení IoT): s těmito klienty se vytvoří skupina IPv6 (children_pc) a další skupina, která představuje internet, a pro tuto skupinu se v režimu Deny přidá pravidlo ACL LAN->WAN.

Pracovní postup v Omadě Lze to shrnout následovně: správně nakonfigurujte připojení IPv6 WAN, povolte a nastavte režim IPv6 v sítích LAN/VLAN, definujte skupiny IPv6 s adresami nebo rozsahy, které vás zajímají, a nakonec vytvořte pravidla ACL brány, kde na základě těchto skupin zvolíte směr provozu (IN, OUT, LAN->WAN), zásady (Allow/Deny), protokoly a páry zdroj/cíl.

Je důležité se ujistit, že firmware Software brány je aktuální, protože nejnovější funkce řízení přístupu IPv6 mohou vyžadovat novější verze systémového softwaru.

Aktivace IPv6 v domácím a malém kancelářském prostředí

V domácím nebo malém kancelářském prostředíProces aktivace IPv6 je obvykle méně zastrašující, než se zdá. Klíčem je, aby váš poskytovatel internetových služeb již na vaší lince podporoval IPv6 a aby jej váš router správně rozpoznával.

Obecné kroky by byly:

1. Ověřte si to u svého dodavatele Ověřte, zda vaše připojení podporuje IPv6 a v jakém režimu (dual stack, pouze IPv6 s NAT64 atd.). Zeptejte se také, zda potřebujete změnit zařízení nebo firmware.
2. Ověřte, zda router podporuje IPv6To je běžné u moderních zařízení, jako je FRITZ!Box, routery ASUS, TP-Link Archer (C, AX atd.), Omada, UniFi atd.
3. Přístup k webovému rozhraní routeru (192.168.1.1, 192.168.0.1 nebo jiná, v závislosti na výrobci) a v pokročilých možnostech nebo v nabídce sítě vyhledejte sekci IPv6.
4. Povolte IPv6 a vyberte typ připojení indikováno poskytovatelem internetových služeb: DHCPv6, PPPoE s nativní IPv6, statická IP adresa, 6. tunel atd.
5. Použijte změny a v případě potřeby restartujteDále zkontrolujte na webových stránkách, jako je test-ipv6.com, zda vaše internetové připojení již používá IPv6.

Ve většině moderních operačních systémů (Windows 10/11, macOS, Linux, Android, iOS) je IPv6 ve výchozím nastavení povolen. Například ve Windows jednoduše přejděte do vlastností síťového adaptéru a ujistěte se, že je zaškrtnuto políčko „Internet Protocol verze 6 (TCP/IPv6)“.

Jakmile router správně oznámí prefix A pokud mají klienti povolený protokol IPv6, každé zařízení automaticky získá svou globální a lokální adresu linky, aniž by bylo nutné cokoli na samotném zařízení upravovat.

Pohled Windows: Preference IPv4/IPv6 a částečná deaktivace

V prostředích spravovaných systémem WindowsZa zmínku stojí, že systém implementuje logiku výběru adresy popsanou v RFC 3484 a udržuje tabulku prefixů, která rozhoduje, kterou adresu použít, když má stejný počítač několik IP adres (IPv4 a IPv6) přidružených k názvu DNS.

Ve výchozím nastavení systém Windows obvykle používá IPv6 za předpokladu, že je k dispozici globální unicastová adresa a připojení je správné, i když je stále plně schopen paralelně pracovat s IPv4.

Někteří administrátoři se rozhodnou zakázat nebo omezit protokol IPv6 Pro diagnostiku problémů se sítí, zejména v případě podezření na problémy související s překladem názvů nebo neúplnou konfigurací IPv6, společnost Microsoft zpřístupňuje centralizovaný mechanismus pro monitorování využití IPv6 prostřednictvím systémového registru.

Příslušný registrační klíč Je to:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Toto je hodnota REG_DWORD což se může pohybovat od 0x00 (výchozí chování, IPv6 plně povoleno) do 0xFF (fakticky zakázáno IPv6 na většině rozhraní, ačkoli systém jej stále interně používá pro své vlastní úkoly).

Některá užitečná nastavení jsou:

• Upřednostňovat IPv4 před IPv6: hodnota 0x20 (32 v desítkové soustavě). IPv6 ponechává aktivní, ale upravuje zásady prefixů tak, aby se v případě dostupnosti vybral IPv4. Toto je považováno za vhodnější než úplné vypnutí IPv6.
• Zakázat IPv6 na rozhraních bez tunelu: hodnota 0x10 (16 desítkové soustavy), která ovlivňuje nativní rozhraní.
• Zakázat IPv6 na rozhraních tunelů: hodnota 0x01 (1 desetinné místo), užitečná, pokud nejsou žádoucí přechodové technologie jako 6to4, ISATAP nebo Teredo.
• Vypněte téměř všude: 0xFF (255 desítkové číslo), což zakazuje IPv6 v tunelech i nativních rozhraních, s tou výjimkou, že systém si stále ponechává ::1 pro zpětnou smyčku a interní použití.

Změna této hodnoty z administrativní konzole Můžete použít příkaz, jako je tento:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows používá bitovou masku Toto pole se používá k určení, které komponenty jsou zakázány: tunely, 6to4, ISATAP, Teredo, nativní rozhraní, preference IPv4 atd. Každý bit je interpretován jako true (1) nebo false (0) pro různé funkce a specifické kombinace, jako například 0x20, 0x10, 0x01 nebo 0x11, odpovídají běžným scénářům zdokumentovaným společností Microsoft.

Je důležité si uvědomit, že tento klíč Stav zaškrtávacího políčka „Internet Protocol verze 6 (TCP/IPv6)“ ve vlastnostech rozhraní se nemění; to znamená, že zaškrtávací políčko je zaškrtnuté, i když máte na úrovni registru omezený nebo zakázaný protokol IPv6. Toto je očekávané chování.

Pokud chcete odpojit IPv6 Z konkrétního rozhraní můžete:

• Zrušte zaškrtnutí políčka IPv6 ve vlastnostech sítě adaptéru.
• Použijte PowerShell s příkazem, jako je:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Navíc ve Windows Technologie jako 6to4 jsou ve výchozím nastavení povoleny, pokud má počítač veřejné adresy IPv4. Pokud nechcete, aby se tato tunelová rozhraní vytvářela nebo adresy IPv6 automaticky registrovaly v DNS, můžete je zakázat nastavením DisabledComponents na hodnotu 0x01 nebo pomocí Zásad skupiny zakázat 6to4, ISATAP a Teredo.

Modely routerů a podpora IPv6

Podpora IPv6 se rozšiřuje Postupem času tuto technologii přijaly prakticky všechny routery střední a vyšší třídy pro domácnosti a malé firmy. Značky jako ASUS, AVM FRITZ!Box, TP-Link (řady Archer a Omada) a další řešení SD-WAN obvykle zahrnují plnou podporu IPv6 ve svém nejnovějším firmwaru.

Například v ekosystému TP-Link ArcherExistuje mnoho modelů zaměřených na různé scénáře (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX72, AXE5400V, A8m,A9X200, A5m,A90X20 AX68, C2300, AX5300, C1210, AX23, AX3200, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX60, AX11000, AX3000).

V mnoha z těchto modelů Podpora pro IPv6 nebo specifické funkce (např. DHCPv6-PD, tunelování, rodičovská kontrola IPv6, pokročilé seznamy ACL atd.) se s aktualizacemi firmwaru zlepšují. Je vhodné zkontrolovat centrum pro stahování od výrobce, ověřit verzi hardwaru vašeho zařízení a přečíst si datový list nebo poznámky k verzi, abyste zjistili, co bylo nedávno přidáno.

Také mějte na paměti dostupnost Dostupnost určitých produktů a funkcí se liší v závislosti na regionu, takže konkrétní model s určitými možnostmi IPv6 nemusí být ve vaší zemi k dispozici nebo nemusí mít úplně stejné funkce jako v jiné oblasti.

Podpora, firmware a funkční testování

Při práci s IPv6 Obzvláště důležité je udržovat firmware vašeho zařízení aktuální: chyby v implementaci DHCPv6, selhání RA (Router Advertisements), problémy s tunely 6rd/6to4 nebo nekompatibilita s ACL vám mohou značně zkomplikovat život.

Výrobci obvykle centralizují Stáhněte si ovladače, firmware, nástroje a manuály z příslušných center podpory (například z Centra stahování ASUS nebo z portálu podpory FRITZ!Box). Pravidelná kontrola poznámek k verzi vám poskytne informace o vylepšeních týkajících se IPv6, zabezpečení a výkonu.

Po jakékoli větší změně konfigurace (aktivace IPv6, úprava prefixů, ladění ACL, změna preferencí IPv4/IPv6 na klientech Windows atd.) je vhodné provést minimální sadu testů:

• Přejděte na weby, které se překládají pouze na IPv6 nebo které IPv6 upřednostňují.
• Použijte nástroje jako test-ipv6.com k kontrole připojení, DNS, úniků dat a přechodů.
• Testujte pingy a trasování na interní i externí IPv6 adresy.
• Ověřte, zda pravidla firewallu/ACL fungují v provozu IPv6 podle očekávání.

Pokud něco nefungujeTypický diagnostický plán zahrnuje kontrolu nakonfigurovaného typu připojení, ověření správnosti prefixů LAN, kontrolu, zda klienti dostávají platné adresy, aktualizaci firmwaru a nakonec resetování routeru do továrního nastavení, aby se vyloučily rušivé starší konfigurace.

Vzhledem k tomuto scénáři přestává být IPv6 Tato „divná chyba“ se stává jen dalším nástrojem ve vaší síťové schránce: při správné konfiguraci získáte mnohem čistší schéma adresování, zjednodušíte některé scénáře publikování služeb a díky dobré ochraně pomocí ACL a firewallů nemusí nutně představovat dodatečné riziko ve srovnání s IPv4, ale spíše naopak, a to díky modernějšímu designu.