Configurazione avanzata di rete IPv6: una guida pratica completa

Informatec Digital » Risorse » Configurazione avanzata di rete IPv6: una guida pratica completa

Il passaggio a IPv6 in una rete avanzata non è più qualcosa da fare "in seguito": il lavoro da remoto, il numero crescente di dispositivi, i servizi cloud e la carenza di IPv4 rendono questo cambiamento inevitabile. La buona notizia è che, con un'adeguata pianificazione, è possibile implementare IPv6 nella propria rete aziendale o domestica avanzata senza complicazioni e sfruttandone appieno i vantaggi in termini di prestazioni, sicurezza e scalabilità.

In questo articolo approfondiremo i dettagli : cos'è IPv6, come si integra con IPv4 (dual stack, transizione), come configurarlo sui router più comuni (ASUS, Omada, UniFi, FRITZ!Box, ecc.), come suddividere una sottorete aziendale /48 in VLAN, quali opzioni scegliere nei menu IPv6, come controllare l'accesso con le ACL anziché con il NAT e quali impostazioni speciali è necessario conoscere su sistemi come Windows per far funzionare tutto come previsto.

Cos'è IPv6 e perché dovresti abilitarlo ora?

IPv6 è la versione moderna del protocollo IP , progettata per sostituire gradualmente IPv4 e, soprattutto, per risolvere il problema dell'esaurimento degli indirizzi IP pubblici. Mentre IPv4 utilizza indirizzi a 32 bit (circa 4.294 miliardi di indirizzi teorici), IPv6 ne utilizza 128, risultando in un numero astronomico di indirizzi, dell'ordine di 340 sestilioni.

In pratica, ciò significa che è possibile assegnare un indirizzo IP pubblico univoco praticamente a ogni dispositivo, macchina virtuale, container o servizio, eliminando gran parte delle complicazioni legate alla gestione di NAT, porte e traduzioni complesse. Inoltre, IPv6 include miglioramenti nativi nell'autoconfigurazione, nella segmentazione di rete e nel supporto per servizi avanzati.

Quando ci si connette a un sito web , il nome di dominio si risolve in un indirizzo IP (v4 o v6) che identifica la destinazione sulla rete. Con IPv4, si è abituati a vedere indirizzi come 192.168.1.1 o 10.0.0.1. Con IPv6, il formato è esadecimale ed è rappresentato da blocchi separati da due punti, ad esempio 2001:db8:abcd:1::1.

Oggi, la maggior parte degli operatori implementa IPv6 in modalità dual-stack, ovvero fornisce al client indirizzi IPv4 e IPv6 contemporaneamente. Il sistema e le applicazioni scelgono quale protocollo utilizzare in base a criteri di preferenza, dando in genere la priorità a IPv6 quando è disponibile e funzionante.

Tipi di connessione IPv6 e meccanismi di transizione

Prima di modificare qualsiasi impostazione del router , è necessario sapere quale tipo di connessione IPv6 offre il proprio provider di servizi Internet (ISP). In genere, questo tipo di connessione va selezionato nella sezione WAN o Internet del router. In caso di dubbi, è consigliabile contattare il proprio ISP, poiché questa informazione è fondamentale per la corretta configurazione IPv6 della rete.

Tra le tipologie più comuni di router per uso domestico e aziendale, troverete opzioni come:

• Native (a volte chiamato "Nativo" o semplicemente "IPv6"): l'operatore instrada un prefisso IPv6 direttamente al router, senza tunnel speciali. Questo è il caso ideale e il più facile da gestire.
• IPv6 staticoIl provider di servizi Internet (ISP) ti assegna un blocco di indirizzi IP fisso (ad esempio, /48 o /56) e tu configuri manualmente l'indirizzo e il prefisso sull'interfaccia WAN del router.
• passthroughIl router funge da "ponte" e consente al dispositivo a valle di ottenere direttamente la configurazione IPv6 (tipico in alcuni scenari con IP automatico sulla WAN).
• Tunnel 6to4, 6in4 e 6°Meccanismi di transizione che incapsulano i pacchetti IPv6 all'interno di IPv4 quando il provider o l'infrastruttura intermedia non supportano ancora IPv6 nativo. 6rd, ad esempio, è una variante di implementazione stateless "veloce" simile a 6to4.
• Servizi specifici come IPv6 di FLET: ampiamente utilizzato in Giappone, dove alcuni fornitori implementano soluzioni proprietarie che richiedono modelli di configurazione specifici sul router.

In ogni caso, il punto chiave è configurare prima la connessione WAN IPv4 (IP automatico, PPPoE, IP statico, ecc.) e poi selezionare il tipo IPv6 corrispondente. Molti router, inoltre, compilano automaticamente alcuni parametri IPv6 quando rilevano correttamente il tipo di connessione.

Configurazione di IPv6 su un router tipico (ad esempio, ASUS)

Prendiamo come esempio un router ASUS , perché i suoi menu sono abbastanza rappresentativi di quelli che troverete in molti altri marchi. Il flusso generale è solitamente molto simile: si accede all'interfaccia web, si regolano le impostazioni WAN e poi si va alla sezione specifica IPv6 nelle Impostazioni avanzate.

I passaggi tipici per attivare IPv6 su questo tipo di router sono i seguenti:

1. Collega un computer al router tramite cavo o Wi-Fi e accedere all'interfaccia web, sia attraverso l'indirizzo IP della LAN (ad esempio 192.168.1.1) sia tramite un URL specifico come http://www.asusrouter.com.
2. Accedi alla console di amministrazione. con il nome utente e la password del dispositivo. Se li hai dimenticati, l'unica opzione è ripristinare il router alle impostazioni di fabbrica e configurarlo nuovamente.
3. Innanzitutto, verifica il tipo di connessione WAN IPv4 Nella sezione WAN > Connessione Internet, potrai verificare se stai utilizzando PPPoE, IP automatico (DHCP), IP statico, ecc.
4. Accedi al menu IPv6 All'interno delle impostazioni avanzate, selezionare il tipo di connessione IPv6 in base a quanto indicato sopra.

Ad esempio, una combinazione tipica è solitamente:

• Se la WAN IPv4 è in PPPoESeleziona il tipo IPv6 NativeIl router utilizzerà la sessione PPPoE per ottenere le informazioni IPv6 dall'operatore.
• Se la WAN IPv4 è IP statico, scegli IPv6 statico Nella sezione IPv6, inserisci manualmente l'indirizzo, il prefisso, il gateway e il DNS forniti dal tuo provider di servizi Internet (ISP).
• Se la WAN IPv4 è in IP automatico (DHCP)Molte guide raccomandano di utilizzare passthrough in modo che la configurazione IPv6 venga trasmessa direttamente al dispositivo che la richiede o venga gestita automaticamente.

Dopo aver applicato le modifiche , il router solitamente riavvia parzialmente il servizio di rete. Un modo rapido per verificare di ricevere i parametri IPv6 è quello di accedere nuovamente e controllare la sezione di configurazione LAN IPv6: se vengono visualizzati indirizzi e prefissi assegnati, la parte WAN IPv6 funziona correttamente.

Per verificare l'effettiva connettività , si consiglia di visitare una pagina di test come test-ipv6.com, che analizza se il browser e il provider supportano correttamente il protocollo e indica se si sta utilizzando il dual stack, se sono presenti errori DNS o se si dispone solo di IPv4.

Implementazione di IPv6 in reti avanzate con VLAN e prefissi /48

In ambienti più complessi , come uffici con più VLAN e apparecchiature di tipo UniFi o Omada, l'ISP solitamente fornisce un ampio prefisso statico, ad esempio /48. A partire da questo, il vostro compito sarà quello di suddividere tale blocco in sottoreti /64 (o altre, se la piattaforma le supporta) da assegnare a ciascuna VLAN o segmento logico.

Supponiamo che il tuo provider ti fornisca un indirizzo /48 come 2001:b33f:f33d::/48 e che sull'interfaccia WAN del tuo router tu utilizzi 2001:b33f:f33d::2, mentre il router del tuo ISP utilizza 2001:b33f:f33d::1. Questa configurazione WAN rappresenta semplicemente il collegamento in uscita. L'aspetto importante è come distribuisci quell'indirizzo /48 sul lato LAN.

In IPv6, è molto comune lavorare con /64 su ogni collegamento di livello 2 perché è la dimensione consigliata per consentire l'autoconfigurazione (SLAAC) e altre funzionalità. Partendo da un /48, si hanno a disposizione 2^(64-48) = 65.536 sottoreti /64; in altre parole, se ne hanno più che a sufficienza per assegnare comodamente blocchi a ciascuna VLAN, rete Wi-Fi per ospiti, DMZ, ecc.

Nelle impostazioni dell'interfaccia LAN del router (ad esempio, su un gateway UniFi o Omada), troverai un campo "Indirizzo IPv6" o "Prefisso IPv6" e un menu a tendina con lunghezze della subnet mask comprese tra /64 e /127. Di solito si consiglia di lasciare l'impostazione su /64, a meno che non si tratti di una situazione molto particolare.

L'idea è più o meno questa :

• VLAN 10 (rete aziendale): 2001:b33f:f33d:10::/64
• VLAN 20 (ospiti): 2001:b33f:f33d:20::/64
• VLAN 30 (server): 2001:b33f:f33d:30::/64
• VLAN 40 (laboratorio/IoT): 2001:b33f:f33d:40::/64

In ogni VLAN, il router avrà un indirizzo valido all'interno del prefisso /64, che fungerà da gateway per i client; ad esempio, 2001:b33f:f33d:10::1 per la VLAN 10, 2001:b33f:f33d:20::1 per la VLAN 20 e così via. Il campo che molti dispositivi etichettano come "Indirizzo IP/Subnet del gateway" si riferisce precisamente a quell'indirizzo del router insieme alla lunghezza del prefisso (/64).

Per quanto riguarda i client , in genere ottengono un singolo indirizzo IPv6 globale all'interno della sottorete /64 assegnata, tramite SLAAC, DHCPv6 o una combinazione di entrambi (SLAAC per l'indirizzo IP e DHCPv6 per parametri aggiuntivi come il DNS). Intere sottoreti non vengono solitamente delegate a singoli dispositivi, tranne in contesti molto specifici (ad esempio, router interni che distribuiscono prefissi utilizzando DHCPv6-PD).

Quando si suddivide lo spazio degli indirizzi tra diverse VLAN , anziché preoccuparsi del consumo (avendo a disposizione numerosi prefissi), è importante rendere lo schema ordinato e di facile comprensione: utilizzare i numeri VLAN negli ultimi 16 bit del prefisso, riservare intervalli consecutivi per i servizi interni, separare gli ospiti, l'IoT e la produzione con blocchi ben differenziati, ecc.

Autoconfigurazione, DAD e parametri IPv6 avanzati sulle interfacce

Quando si abilita IPv6 su un'interfaccia (LAN, VLAN, tunnel, ecc.), molti sistemi consentono di regolare parametri avanzati che sono già configurati in modo ottimale per impostazione predefinita. In genere, è meglio non modificarli a meno che non si abbiano esigenze di rete molto specifiche.

Uno di questi parametri è il "limite di hop ", che è l'equivalente del TTL in IPv4: il numero massimo di hop tra router che un pacchetto può compiere prima di essere scartato. Il valore predefinito più comune è 64, che di solito è più che sufficiente anche in reti di grandi dimensioni.

Un'altra impostazione comune è il numero di trasmissioni DAD (Duplicate Address Detection). IPv6 esegue un processo per verificare che un indirizzo non sia duplicato sulla rete prima di utilizzarlo. Un valore tipico è 1, che riduce i tempi di configurazione mantenendo un controllo minimo. Impostandolo a 0 si disabilita il rilevamento degli indirizzi duplicati, cosa generalmente sconsigliata se non in scenari altamente controllati.

Nella maggior parte dei controller e dei router, questi parametri si trovano in una scheda IPv6 dedicata durante la modifica dell'interfaccia. La documentazione solitamente consiglia di lasciare i valori predefiniti a meno che non si sappia esattamente cosa si sta modificando e perché.

Controllo degli accessi e sicurezza in IPv6: ACL al posto del NAT.

Una differenza fondamentale rispetto a IPv4 è che IPv6 non utilizza il NAT nello stesso modo. Ogni dispositivo può avere indirizzi instradabili a livello globale direttamente da Internet, quindi la prima linea di sicurezza diventa il firewall/ACL del gateway anziché l'effetto collaterale del NAT stesso.

Nei gateway di tipo Omada , la funzionalità delle liste di controllo degli accessi (ACL) IPv6 è fondamentale. Consente all'amministratore di definire regole che filtrano il traffico in base all'indirizzo sorgente, all'indirizzo di destinazione, alle porte o ai protocolli, e di decidere se consentire o negare ciascun tipo di traffico.

Di default, molti gateway Omada bloccano già l'accesso dalle reti esterne alle reti interne per quanto riguarda il traffico IPv6, proprio perché non è presente il NAT per "nascondere" gli indirizzi interni. In altre parole, l'accesso da Internet alla LAN è completamente bloccato a meno che non si creino esplicitamente delle vulnerabilità.

Per i tipici scenari di controllo degli accessi IPv6 , esistono diversi modelli di configurazione:

• Impedire l'accesso da Internet alla rete internaSolitamente è bloccato per impostazione predefinita, ma è possibile rivedere o inasprire ulteriormente i criteri con ACL aggiuntive in IPv6.
• Consenti l'accesso a un server interno (ad esempio, un server web in una VLAN server): vengono definiti un gruppo di indirizzi IPv6 interni (my_server) e un gruppo di client o intervalli esterni (my_client), e viene creata una regola ACL di tipo WAN-IN per consentire tale traffico.
• Limitare l'accesso a Internet per determinati dispositivi (ad esempio, computer per bambini o dispositivi IoT): viene creato un gruppo IPv6 con questi client (children_pc) e un altro che rappresenta Internet, e viene aggiunta una regola ACL LAN->WAN in modalità Nega per tale gruppo.

Il flusso di lavoro in Omada può essere riassunto come segue: configurare correttamente la connessione WAN IPv6, abilitare e impostare la modalità IPv6 sulle LAN/VLAN, definire i gruppi IPv6 con gli indirizzi o gli intervalli di interesse e, infine, creare le regole ACL del gateway in cui si sceglie la direzione del traffico (IN, OUT, LAN->WAN), la policy (Consenti/Nega), i protocolli e le coppie origine/destinazione in base a tali gruppi.

È importante assicurarsi che il firmware del gateway sia aggiornato, poiché le funzionalità di controllo degli accessi IPv6 più moderne potrebbero richiedere versioni recenti del software di sistema.

Attivazione di IPv6 in ambienti domestici e piccoli uffici

In un ambiente domestico o in un piccolo ufficio , il processo di attivazione di IPv6 è solitamente meno complicato di quanto sembri. L'importante è che il tuo provider di servizi Internet (ISP) offra già il supporto IPv6 sulla tua linea e che il tuo router lo riconosca correttamente.

I passaggi generali sarebbero :

1. Conferma con il tuo fornitore Conferma che la tua connessione supporti IPv6 e in quale modalità (dual stack, solo IPv6 con NAT64, ecc.). Chiedi inoltre se è necessario sostituire l'apparecchiatura o il firmware.
2. Verifica che il router supporti IPv6Questo è comune nelle apparecchiature moderne come FRITZ!Box, router ASUS, TP-Link Archer (C, AX, ecc.), Omada, UniFi, ecc.
3. Accedere all'interfaccia web del router. (192.168.1.1, 192.168.0.1 o un altro, a seconda del produttore) e cerca la sezione IPv6 nelle opzioni avanzate o nel menu di rete.
4. Abilita IPv6 e scegli il tipo di connessione indicato dall'ISP: DHCPv6, PPPoE con IPv6 nativo, IP statico, sesto tunnel, ecc.
5. Applica le modifiche e riavvia se necessarioSuccessivamente, verifica su un sito web come test-ipv6.com se la tua connessione Internet utilizza già IPv6.

Nella maggior parte dei sistemi operativi moderni (Windows 10/11, macOS, Linux, Android, iOS), IPv6 è abilitato per impostazione predefinita. In Windows, ad esempio, è sufficiente accedere alle proprietà della scheda di rete e assicurarsi che la casella "Protocollo Internet versione 6 (TCP/IPv6)" sia selezionata.

Una volta che il router pubblicizza correttamente il prefisso e i client hanno IPv6 abilitato, ogni dispositivo otterrà automaticamente il proprio indirizzo globale e link-local, senza bisogno di intervenire sul dispositivo stesso.

Prospettiva di Windows: preferenza IPv4/IPv6 e disattivazione parziale

Negli ambienti gestiti da Windows , è importante sapere che il sistema implementa la logica di selezione degli indirizzi descritta nella RFC 3484, mantenendo una tabella di prefissi che decide quale indirizzo utilizzare quando la stessa macchina ha più indirizzi IP (IPv4 e IPv6) associati a un nome DNS.

Per impostazione predefinita, Windows tende a utilizzare IPv6 quando è disponibile un indirizzo unicast globale e la connettività è corretta, sebbene sia perfettamente in grado di funzionare in parallelo anche con IPv4.

Alcuni amministratori scelgono di disabilitare o limitare IPv6 per diagnosticare problemi di rete, soprattutto quando si sospettano problemi relativi alla risoluzione dei nomi o a configurazioni IPv6 incomplete. Microsoft offre un meccanismo centralizzato per il monitoraggio dell'utilizzo di IPv6 tramite il registro di sistema.

La chiave di registro pertinente è:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Si tratta di un valore REG_DWORD che può variare da 0x00 (comportamento predefinito, IPv6 completamente abilitato) a 0xFF (disabilitando di fatto IPv6 sulla maggior parte delle interfacce, sebbene il sistema lo utilizzi comunque internamente per le proprie attività).

Alcune impostazioni utili sono :

• Preferire IPv4 a IPv6Valore 0x20 (32 in decimale). Mantiene attivo IPv6 ma modifica le politiche dei prefissi in modo che venga scelto IPv4 quando disponibile. Questa soluzione è considerata preferibile alla completa disabilitazione di IPv6.
• Disabilitare IPv6 sulle interfacce non tunnel.: valore 0x10 (16 decimale), che influisce sulle interfacce native.
• Disabilitare IPv6 sulle interfacce del tunnel.: valore 0x01 (1 decimale), utile se non si desiderano tecnologie di transizione come 6to4, ISATAP o Teredo.
• Spegnere quasi ovunque: 0xFF (255 decimale), che disabilita IPv6 sia nei tunnel che nelle interfacce native, con l'eccezione che il sistema mantiene comunque ::1 per il loopback e gli usi interni.

Per modificare questo valore da una console amministrativa, è possibile utilizzare un comando simile a questo:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows utilizza una maschera di bit su questo campo per decidere quali componenti sono disabilitati: tunnel, 6to4, ISATAP, Teredo, interfacce native, preferenza IPv4, ecc. Ogni bit viene interpretato come vero (1) o falso (0) per le diverse funzioni e combinazioni specifiche come 0x20, 0x10, 0x01 o 0x11 corrispondono a scenari comuni documentati da Microsoft.

È importante capire che questa chiave non modifica lo stato della casella di controllo "Protocollo Internet versione 6 (TCP/IPv6)" nelle proprietà dell'interfaccia; ovvero, la casella di controllo rimarrà selezionata anche se IPv6 è stato limitato o disabilitato a livello di registro. Questo è il comportamento previsto.

Se si desidera dissociare IPv6 da una specifica interfaccia, è possibile:

• Rimuovi la casella di controllo IPv6 dalle proprietà di rete della scheda.
• Utilizza PowerShell con un comando simile a questo:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Inoltre, Windows abilita automaticamente tecnologie come 6to4 quando il computer dispone di indirizzi IPv4 pubblici. Se non si desidera che queste interfacce tunnel vengano create o che gli indirizzi IPv6 vengano registrati automaticamente nel DNS, è possibile disabilitarle impostando DisabledComponents su 0x01 o utilizzando le impostazioni di Criteri di gruppo che disabilitano 6to4, ISATAP e Teredo.

Modelli di router e supporto IPv6

Il supporto per IPv6 si è gradualmente esteso praticamente a tutti i router di fascia media e alta per uso domestico e per piccole imprese. Marchi come ASUS, AVM FRITZ!Box, TP-Link (serie Archer e Omada) e altre soluzioni SD-WAN includono in genere il supporto completo per IPv6 nei loro ultimi aggiornamenti firmware.

Nell'ecosistema TP-Link Archer, ad esempio , sono presenti molti modelli destinati a diversi scenari (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX72, AXE5400V, AXE200 Omni, A5, GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX60, AX11000, AX3200, AX3000...).

In molti di questi modelli , il supporto IPv6 o funzionalità specifiche (ad esempio, DHCPv6-PD, tunneling, controlli parentali IPv6, ACL avanzate, ecc.) sono state migliorate tramite aggiornamenti del firmware. È consigliabile consultare il centro download del produttore, verificare la versione hardware del dispositivo e leggere la scheda tecnica o le note di rilascio per scoprire le novità introdotte di recente.

Tieni inoltre presente che la disponibilità di determinati prodotti e funzionalità varia a seconda della regione, quindi un modello specifico con determinate capacità IPv6 potrebbe non essere disponibile nel tuo paese o potrebbe non avere esattamente le stesse funzionalità di un'altra area.

Supporto, firmware e test funzionali

Quando si lavora con IPv6, è particolarmente importante mantenere aggiornato il firmware delle apparecchiature: bug nell'implementazione di DHCPv6, errori negli annunci del router (RA), problemi con i tunnel 6rd/6to4 o incompatibilità con le ACL possono complicare notevolmente il lavoro.

In genere, i produttori centralizzano i download di driver, firmware, utility e manuali nei propri centri di supporto (ad esempio, l'ASUS Download Center o il portale di supporto FRITZ!Box). Consultare regolarmente le note di rilascio vi fornirà indicazioni su eventuali miglioramenti relativi a IPv6, sicurezza e prestazioni.

Dopo qualsiasi modifica importante alla configurazione (abilitazione di IPv6, modifica dei prefissi, ottimizzazione degli ACL, modifica della preferenza IPv4/IPv6 sui client Windows, ecc.) è consigliabile eseguire una serie minima di test:

• Accedi ai siti che utilizzano esclusivamente indirizzi IPv6 o che danno priorità a IPv6.
• Utilizza strumenti come test-ipv6.com per verificare la connettività, il DNS, le perdite di banda e la transizione.
• Eseguire test di ping e traceroute verso indirizzi IPv6 sia interni che esterni.
• Verificare che le regole del firewall/ACL funzionino come previsto sul traffico IPv6.

Se qualcosa non funziona , un tipico piano di diagnosi include il controllo del tipo di connessione configurato, la verifica della correttezza dei prefissi LAN, il controllo della validità degli indirizzi IP ricevuti dai client, l'aggiornamento del firmware e, infine, il ripristino del router alle impostazioni di fabbrica per escludere eventuali configurazioni obsolete che potrebbero interferire.

In questo scenario, IPv6 cessa di essere quell'"anomalia" e diventa semplicemente un altro strumento tra le risorse di rete a disposizione: se configurato correttamente, offre uno schema di indirizzamento molto più pulito, semplifica alcuni scenari di pubblicazione dei servizi e, se ben protetto con ACL e firewall, non rappresenta necessariamente un rischio aggiuntivo rispetto a IPv4, anzi, grazie alla sua architettura più moderna, offre il contrario.