Configurazione avanzata di rete IPv6: una guida pratica completa

Informatec Digital » Risorse » Configurazione avanzata di rete IPv6: una guida pratica completa

Il passaggio a IPv6 In una rete avanzata, non è più qualcosa da rimandare: il lavoro da remoto, il numero crescente di dispositivi, i servizi cloud e la carenza di IPv4 implicano che si tratti di un cambiamento da affrontare prima o poi. La buona notizia è che, con un'attenta pianificazione, è possibile implementare IPv6 nella propria rete aziendale o domestica avanzata senza complicazioni e sfruttandone appieno i vantaggi in termini di prestazioni, sicurezza e scalabilità.

In questo articolo entreremo nei dettagli più specifici.Cos'è IPv6, come si integra con IPv4 (dual stack, transizione), come si configura sui router tipici (ASUS, Omada, UniFi, FRITZ!Box, ecc.), come si suddivide una sottorete aziendale /48 in VLAN, quali opzioni scegliere nei menu IPv6, come controllare l'accesso con le ACL invece del NAT e quali impostazioni speciali è necessario conoscere su sistemi come Windows per far funzionare tutto come previsto.

Cos'è IPv6 e perché dovresti abilitarlo ora?

IPv6 è la versione moderna del protocollo IP.IPv6 è stato progettato per sostituire gradualmente IPv4 e, soprattutto, per risolvere il problema dell'esaurimento degli indirizzi pubblici. Mentre IPv4 utilizza indirizzi a 32 bit (circa 4.294 miliardi di indirizzi teorici), IPv6 ne utilizza 128, il che si traduce in un numero astronomico di indirizzi, dell'ordine di 340 sestilioni.

In pratica, questo significa questo È possibile assegnare un indirizzo pubblico univoco praticamente a ogni dispositivo, macchina virtuale, container o servizio, eliminando gran parte delle complicazioni legate a NAT, port forwarding e traduzioni complesse. Inoltre, IPv6 include miglioramenti nativi nell'autoconfigurazione, nella segmentazione di rete e nel supporto per servizi avanzati.

Quando ti connetti a un sito webIl nome di dominio si risolve in un indirizzo IP (v4 o v6) che identifica la destinazione sulla rete. In IPv4, si è abituati a vedere indirizzi come 192.168.1.1 o 10.0.0.1. In IPv6, il formato è esadecimale ed è rappresentato da blocchi separati da due punti, ad esempio 2001:db8:abcd:1::1.

Oggi, la maggior parte degli operatori Stanno implementando IPv6 in modalità dual-stack, ovvero forniscono al client indirizzi IPv4 e IPv6 contemporaneamente. Il sistema e le applicazioni scelgono quale protocollo utilizzare in base a criteri di preferenza, dando in genere la priorità a IPv6 quando è disponibile e funzionante.

Tipi di connessione IPv6 e meccanismi di transizione

Prima di toccare qualsiasi cosa sul routerÈ necessario sapere quale tipo di connessione IPv6 offre il proprio provider di servizi Internet (ISP). In genere, questo tipo di connessione va selezionato nelle impostazioni WAN o Internet del computer. In caso di dubbi, è consigliabile contattare il proprio ISP, poiché questa informazione è fondamentale per la corretta configurazione IPv6 della rete.

Tra i tipi più comuni nei router domestici e aziendali Troverai opzioni come:

• Native (a volte chiamato "Nativo" o semplicemente "IPv6"): l'operatore instrada un prefisso IPv6 direttamente al router, senza tunnel speciali. Questo è il caso ideale e il più facile da gestire.
• IPv6 staticoIl provider di servizi Internet (ISP) ti assegna un blocco di indirizzi IP fisso (ad esempio, /48 o /56) e tu configuri manualmente l'indirizzo e il prefisso sull'interfaccia WAN del router.
• passthroughIl router funge da "ponte" e consente al dispositivo a valle di ottenere direttamente la configurazione IPv6 (tipico in alcuni scenari con IP automatico sulla WAN).
• Tunnel 6to4, 6in4 e 6°Meccanismi di transizione che incapsulano i pacchetti IPv6 all'interno di IPv4 quando il provider o l'infrastruttura intermedia non supportano ancora IPv6 nativo. 6rd, ad esempio, è una variante di implementazione stateless "veloce" simile a 6to4.
• Servizi specifici come IPv6 di FLET: ampiamente utilizzato in Giappone, dove alcuni fornitori implementano soluzioni proprietarie che richiedono modelli di configurazione specifici sul router.

In ogni caso, il punto chiave È necessario configurare prima la connessione WAN IPv4 (IP automatico, PPPoE, IP statico, ecc.) e poi selezionare il tipo IPv6 corrispondente. Molti router compilano automaticamente alcuni parametri IPv6 quando rilevano correttamente il tipo di connessione.

Configurazione di IPv6 su un router tipico (ad esempio, ASUS)

Prendiamo come riferimento un router ASUS.Perché i suoi menu sono abbastanza rappresentativi di quelli che si trovano in molti altri marchi. Il flusso generale è solitamente molto simile: accesso all'interfaccia web, impostazioni WAN e quindi la sezione specifica IPv6 all'interno delle Impostazioni avanzate.

Passaggi tipici per attivare IPv6 In un router di questo tipo, sarebbero:

1. Collega un computer al router tramite cavo o Wi-Fi e accedere all'interfaccia web, sia attraverso l'indirizzo IP della LAN (ad esempio 192.168.1.1) sia tramite un URL specifico come http://www.asusrouter.com.
2. Accedi alla console di amministrazione. con il nome utente e la password del dispositivo. Se li hai dimenticati, l'unica opzione è ripristinare il router alle impostazioni di fabbrica e configurarlo nuovamente.
3. Innanzitutto, verifica il tipo di connessione WAN IPv4 Nella sezione WAN > Connessione Internet, potrai verificare se stai utilizzando PPPoE, IP automatico (DHCP), IP statico, ecc.
4. Accedi al menu IPv6 All'interno delle impostazioni avanzate, selezionare il tipo di connessione IPv6 in base a quanto indicato sopra.

Ad esempio, una combinazione tipica generalmente:

• Se la WAN IPv4 è in PPPoESeleziona il tipo IPv6 NativeIl router utilizzerà la sessione PPPoE per ottenere le informazioni IPv6 dall'operatore.
• Se la WAN IPv4 è IP statico, scegli IPv6 statico Nella sezione IPv6, inserisci manualmente l'indirizzo, il prefisso, il gateway e il DNS forniti dal tuo provider di servizi Internet (ISP).
• Se la WAN IPv4 è in IP automatico (DHCP)Molte guide raccomandano di utilizzare passthrough in modo che la configurazione IPv6 venga trasmessa direttamente al dispositivo che la richiede o venga gestita automaticamente.

Dopo aver applicato le modificheIl router solitamente riavvia parzialmente il servizio di rete. Un modo rapido per verificare di ricevere i parametri IPv6 è quello di accedere nuovamente e controllare la sezione di configurazione LAN IPv6: se vengono visualizzati indirizzi e prefissi assegnati, la parte WAN IPv6 funziona correttamente.

Per confermare la connettività effettivaUn test consigliato è quello di visitare una pagina di test come test-ipv6.com, che analizza se il browser e il provider supportano correttamente il protocollo e indica se si sta utilizzando il dual stack, se sono presenti errori DNS o se si dispone solo di IPv4.

Implementazione di IPv6 in reti avanzate con VLAN e prefissi /48

In contesti un po' più seriAd esempio, negli uffici con più VLAN e apparecchiature di tipo UniFi o Omada, l'ISP di solito fornisce un ampio prefisso statico, ad esempio /48. A partire da lì, il tuo compito è quello di suddividere questo blocco in sottoreti /64 (o altre, se la piattaforma lo supporta) che assegnerai a ciascuna VLAN o segmento logico.

Diciamo che il tuo fornitore ti dà un /48 Ad esempio, si utilizzerebbe il comando 2001:b33f:f33d::/48 sull'interfaccia WAN del router e 2001:b33f:f33d::2 sul router del provider di servizi Internet, che corrisponde a 2001:b33f:f33d::1. Questa configurazione WAN rappresenta semplicemente il collegamento in uscita. L'aspetto importante è come distribuire la sottorete /48 sul lato LAN.

In IPv6 è molto comune lavorare con /64 in ogni collegamento Layer 2, perché è la dimensione consigliata per consentire l'autoconfigurazione (SLAAC) e altre funzionalità. Partendo da una /48, si hanno a disposizione 2^(64-48) = 65.536 sottoreti /64; in altre parole, se ne hanno più che a sufficienza per assegnare comodamente blocchi a ciascuna VLAN, rete Wi-Fi per ospiti, DMZ, ecc.

Nelle impostazioni dell'interfaccia LAN del router (ad esempio, su UniFi o su un gateway Omada) vedrai un campo "Indirizzo IPv6" o "Prefisso IPv6" e un menu a tendina con lunghezze di maschera comprese tra /64 e /127. La cosa più comune e consigliata è di lasciare l'impostazione su /64, a meno che non si tratti di un caso molto particolare.

L'idea è più o meno questa::

• VLAN 10 (rete aziendale): 2001:b33f:f33d:10::/64
• VLAN 20 (ospiti): 2001:b33f:f33d:20::/64
• VLAN 30 (server): 2001:b33f:f33d:30::/64
• VLAN 40 (laboratorio/IoT): 2001:b33f:f33d:40::/64

In ogni VLAN il router avrà un indirizzo valido all'interno di quel /64, che fungerà da gateway per i client, ad esempio 2001:b33f:f33d:10::1 per la VLAN 10, 2001:b33f:f33d:20::1 per la VLAN 20 e così via. Il campo che molti dispositivi etichettano come "Gateway IP/Subnet" si riferisce precisamente a quell'indirizzo del router insieme alla lunghezza del prefisso (/64).

Riguardo ai clientiIn genere, a ciascun dispositivo viene assegnato un singolo indirizzo IPv6 globale all'interno della sottorete /64 assegnata, tramite SLAAC, DHCPv6 o una combinazione di entrambi (SLAAC per l'indirizzo IP e DHCPv6 per parametri aggiuntivi come il DNS). Di solito, intere sottoreti non vengono delegate a ciascun dispositivo, tranne in contesti molto specifici (ad esempio, router interni che a loro volta distribuiscono prefissi utilizzando DHCPv6-PD).

Dividendo lo spazio degli indirizzi tra diverse VLANAnziché preoccuparsi del consumo (avete a disposizione numerosi prefissi), l'obiettivo è quello di avere uno schema organizzato e di facile comprensione: utilizzare i numeri VLAN negli ultimi 16 bit del prefisso, riservare intervalli consecutivi per i servizi interni, separare gli ospiti, l'IoT e la produzione con blocchi ben differenziati, ecc.

Autoconfigurazione, DAD e parametri IPv6 avanzati sulle interfacce

Quando si abilita IPv6 su un'interfaccia (LAN, VLAN, tunnel, ecc.), molti sistemi consentono di regolare parametri avanzati che sono già configurati in modo ottimale di default. In genere è meglio non modificarli a meno che non si abbiano esigenze di rete molto specifiche.

Uno di questi parametri è il “Limite di salto” (limite di hop), che è l'equivalente del TTL in IPv4: il numero massimo di hop tra router che un pacchetto può compiere prima di essere scartato. Il valore predefinito più comune è 64, che di solito è più che sufficiente anche in reti di grandi dimensioni.

Un'altra impostazione comune è il numero di trasmissioni DAD (Rilevamento indirizzi duplicati). IPv6 esegue un processo per verificare che un indirizzo non sia duplicato sulla rete prima di utilizzarlo. Un valore tipico è 1, che riduce i tempi di configurazione mantenendo un controllo minimo. Impostandolo a 0 si disabilita il rilevamento degli indirizzi duplicati, operazione generalmente sconsigliata se non in scenari altamente controllati.

Nella maggior parte dei controller e dei router Questi parametri sono visibili in una scheda IPv6 specifica durante la modifica dell'interfaccia. La documentazione stessa solitamente consiglia di lasciare i valori predefiniti, a meno che non si sappia esattamente cosa si sta modificando e perché.

Controllo degli accessi e sicurezza in IPv6: ACL al posto del NAT.

Una differenza molto importante rispetto a IPv4 Il problema è che il NAT non viene utilizzato allo stesso modo in IPv6. Ogni dispositivo può avere indirizzi instradabili a livello globale direttamente da Internet, quindi la prima barriera di sicurezza diventa il firewall/ACL del gateway anziché l'effetto collaterale del NAT stesso.

Nei gateway di tipo OmadaLa funzionalità delle liste di controllo degli accessi (ACL) per IPv6 è fondamentale. Consente all'amministratore di definire regole che filtrano il traffico in base all'indirizzo sorgente, all'indirizzo di destinazione, alle porte o ai protocolli, e di decidere se consentire o negare ciascun tipo di traffico.

Per impostazione predefinita, molti gateway Omada Bloccano già l'accesso dalle reti esterne alle reti interne per quanto riguarda il traffico IPv6, proprio perché non esiste il NAT per "nascondere" gli indirizzi interni. In altre parole, l'accesso da Internet alla tua LAN è completamente bloccato a meno che tu non crei esplicitamente delle falle.

Per scenari tipici di controllo degli accessi IPv6Sono disponibili diversi modelli di configurazione:

• Impedire l'accesso da Internet alla rete internaSolitamente è bloccato per impostazione predefinita, ma è possibile rivedere o inasprire ulteriormente i criteri con ACL aggiuntive in IPv6.
• Consenti l'accesso a un server interno (ad esempio, un server web in una VLAN server): vengono definiti un gruppo di indirizzi IPv6 interni (my_server) e un gruppo di client o intervalli esterni (my_client), e viene creata una regola ACL di tipo WAN-IN per consentire tale traffico.
• Limitare l'accesso a Internet per determinati dispositivi (ad esempio, computer per bambini o dispositivi IoT): viene creato un gruppo IPv6 con questi client (children_pc) e un altro che rappresenta Internet, e viene aggiunta una regola ACL LAN->WAN in modalità Nega per tale gruppo.

Il flusso di lavoro in Omada In sintesi, il processo si articola come segue: configurare correttamente la connessione WAN IPv6, abilitare e impostare la modalità IPv6 su LAN/VLAN, definire i gruppi IPv6 con gli indirizzi o gli intervalli di interesse e, infine, creare le regole ACL del gateway, scegliendo la direzione del traffico (IN, OUT, LAN->WAN), la policy (Consenti/Nega), i protocolli e le coppie origine/destinazione in base a tali gruppi.

È importante assicurarsi che il firmware Il software del gateway è aggiornato, poiché le più recenti funzionalità di controllo degli accessi IPv6 potrebbero richiedere versioni recenti del software di sistema.

Attivazione di IPv6 in ambienti domestici e piccoli uffici

In un ambiente domestico o in un piccolo ufficioIl processo di attivazione di IPv6 è solitamente meno complicato di quanto sembri. L'importante è che il tuo provider di servizi Internet (ISP) offra già il supporto IPv6 sulla tua linea e che il tuo router lo riconosca correttamente.

I passaggi generali sarebbero::

1. Conferma con il tuo fornitore Conferma che la tua connessione supporti IPv6 e in quale modalità (dual stack, solo IPv6 con NAT64, ecc.). Chiedi inoltre se è necessario sostituire l'apparecchiatura o il firmware.
2. Verifica che il router supporti IPv6Questo è comune nelle apparecchiature moderne come FRITZ!Box, router ASUS, TP-Link Archer (C, AX, ecc.), Omada, UniFi, ecc.
3. Accedere all'interfaccia web del router. (192.168.1.1, 192.168.0.1 o un altro, a seconda del produttore) e cerca la sezione IPv6 nelle opzioni avanzate o nel menu di rete.
4. Abilita IPv6 e scegli il tipo di connessione indicato dall'ISP: DHCPv6, PPPoE con IPv6 nativo, IP statico, sesto tunnel, ecc.
5. Applica le modifiche e riavvia se necessarioSuccessivamente, verifica su un sito web come test-ipv6.com se la tua connessione Internet utilizza già IPv6.

Nella maggior parte dei sistemi operativi moderni (Windows 10/11, macOS, Linux, Android, iOS), IPv6 è abilitato per impostazione predefinita. In Windows, ad esempio, è sufficiente accedere alle proprietà della scheda di rete e assicurarsi che la casella "Protocollo Internet versione 6 (TCP/IPv6)" sia selezionata.

Non appena il router annuncia correttamente il prefisso E se i client hanno IPv6 abilitato, ogni dispositivo otterrà automaticamente il proprio indirizzo globale e link-local, senza bisogno di intervenire sul dispositivo stesso.

Prospettiva di Windows: preferenza IPv4/IPv6 e disattivazione parziale

Negli ambienti gestiti da WindowsÈ opportuno notare che il sistema implementa la logica di selezione degli indirizzi descritta nella RFC 3484, mantenendo una tabella di prefissi che decide quale indirizzo utilizzare quando la stessa macchina ha più indirizzi IP (IPv4 e IPv6) associati a un nome DNS.

Per impostazione predefinita, Windows tende a utilizzare IPv6 a condizione che sia disponibile un indirizzo unicast globale e che la connettività sia corretta, sebbene sia comunque perfettamente in grado di funzionare in parallelo con IPv4.

Alcuni amministratori scelgono di disabilitare o limitare IPv6 Per diagnosticare i problemi di rete, soprattutto quando si sospettano problemi relativi alla risoluzione dei nomi o a configurazioni IPv6 incomplete, Microsoft mette a disposizione un meccanismo centralizzato per il monitoraggio dell'utilizzo di IPv6 tramite il registro di sistema.

La chiave di registrazione pertinente è:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Questo è un valore REG_DWORD che può variare da 0x00 (comportamento predefinito, IPv6 completamente abilitato) a 0xFF (disabilitando di fatto IPv6 sulla maggior parte delle interfacce, sebbene il sistema lo utilizzi comunque internamente per le proprie attività).

Alcune impostazioni utili sono:

• Preferire IPv4 a IPv6Valore 0x20 (32 in decimale). Mantiene attivo IPv6 ma modifica le politiche dei prefissi in modo che venga scelto IPv4 quando disponibile. Questa soluzione è considerata preferibile alla completa disabilitazione di IPv6.
• Disabilitare IPv6 sulle interfacce non tunnel.: valore 0x10 (16 decimale), che influisce sulle interfacce native.
• Disabilitare IPv6 sulle interfacce del tunnel.: valore 0x01 (1 decimale), utile se non si desiderano tecnologie di transizione come 6to4, ISATAP o Teredo.
• Spegnere quasi ovunque: 0xFF (255 decimale), che disabilita IPv6 sia nei tunnel che nelle interfacce native, con l'eccezione che il sistema mantiene comunque ::1 per il loopback e gli usi interni.

Per modificare questo valore da una console amministrativa È possibile utilizzare un comando come questo:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows utilizza una maschera di bit Questo campo viene utilizzato per decidere quali componenti sono disabilitati: tunnel, 6to4, ISATAP, Teredo, interfacce native, preferenza IPv4, ecc. Ogni bit viene interpretato come vero (1) o falso (0) per le diverse funzioni e combinazioni specifiche come 0x20, 0x10, 0x01 o 0x11 corrispondono a scenari comuni documentati da Microsoft.

È importante capire che questa chiave Lo stato della casella di controllo "Protocollo Internet versione 6 (TCP/IPv6)" nelle proprietà dell'interfaccia non cambia; ovvero, la casella di controllo risulta selezionata anche se IPv6 è stato limitato o disabilitato a livello di registro. Questo è il comportamento previsto.

Se quello che vuoi è dissociare IPv6 Da un'interfaccia specifica è possibile:

• Rimuovi la casella di controllo IPv6 dalle proprietà di rete della scheda.
• Utilizza PowerShell con un comando simile a questo:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Inoltre, in Windows Tecnologie come 6to4 sono abilitate per impostazione predefinita quando il computer dispone di indirizzi IPv4 pubblici. Se non si desidera che queste interfacce tunnel vengano create o che gli indirizzi IPv6 vengano registrati automaticamente nel DNS, è possibile disabilitarle impostando DisabledComponents su 0x01 oppure utilizzando i Criteri di gruppo per disabilitare 6to4, ISATAP e Teredo.

Modelli di router e supporto IPv6

Il supporto per IPv6 si sta espandendo Nel tempo, questa tecnologia è stata adottata praticamente da tutti i router di fascia media e alta per uso domestico e per piccole imprese. Marchi come ASUS, AVM FRITZ!Box, TP-Link (serie Archer e Omada) e altre soluzioni SD-WAN includono in genere il supporto completo per IPv6 nei loro firmware più recenti.

Nell'ecosistema TP-Link Archer, ad esempio, ci sono molti modelli destinati a diversi scenari (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX72, AXE5400V, AXE200 Omni, A5, GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX60, AX11000, AX3200, AX3000…).

In molti di questi modelli Il supporto per specifiche funzionalità di IPv6 (ad esempio, DHCPv6-PD, tunneling, controlli parentali IPv6, ACL avanzate, ecc.) è migliorato con gli aggiornamenti del firmware. È consigliabile consultare il centro download del produttore, verificare la versione hardware del dispositivo e leggere la scheda tecnica o le note di rilascio per scoprire le novità introdotte di recente.

Tieni inoltre presente la disponibilità La disponibilità di determinati prodotti e funzionalità varia a seconda della regione, pertanto un modello specifico con determinate capacità IPv6 potrebbe non essere disponibile nel tuo Paese o potrebbe non avere esattamente le stesse caratteristiche di un'altra area.

Supporto, firmware e test funzionali

Quando si lavora con IPv6 È particolarmente importante mantenere aggiornato il firmware delle apparecchiature: bug nell'implementazione di DHCPv6, errori di RA (Router Advertisements), problemi con i tunnel 6rd/6to4 o incompatibilità con le ACL possono complicare notevolmente la situazione.

I produttori di solito centralizzano Scarica driver, firmware, utility e manuali dai rispettivi centri di supporto (ad esempio, l'ASUS Download Center o il portale di supporto FRITZ!Box). Consultare regolarmente le note di rilascio ti fornirà informazioni sui miglioramenti relativi a IPv6, sicurezza e prestazioni.

Dopo qualsiasi modifica importante alla configurazione (attivazione di IPv6, modifica dei prefissi, ottimizzazione degli ACL, cambio della preferenza IPv4/IPv6 sui client Windows, ecc.) è consigliabile eseguire una serie minima di test:

• Accedi ai siti che utilizzano esclusivamente indirizzi IPv6 o che danno priorità a IPv6.
• Utilizza strumenti come test-ipv6.com per verificare la connettività, il DNS, le perdite di banda e la transizione.
• Eseguire test di ping e traceroute verso indirizzi IPv6 sia interni che esterni.
• Verificare che le regole del firewall/ACL funzionino come previsto sul traffico IPv6.

Se qualcosa non funzionaUn tipico piano diagnostico include il controllo del tipo di connessione configurato, la verifica della correttezza dei prefissi LAN, il controllo della validità degli indirizzi IP assegnati ai client, l'aggiornamento del firmware e, infine, il ripristino del router alle impostazioni di fabbrica per escludere eventuali configurazioni obsolete che potrebbero interferire.

Dato questo scenario, IPv6 cessa di essere Quel "strano bug" diventa semplicemente un altro strumento nella tua cassetta degli attrezzi di rete: se configurato correttamente, ti offre uno schema di indirizzamento molto più pulito, semplifica alcuni scenari di pubblicazione dei servizi e, ben protetto con ACL e firewall, non rappresenta necessariamente un rischio aggiuntivo rispetto a IPv4, anzi, grazie alla sua progettazione più moderna, rappresenta il contrario.