IPv6 avansert nettverkskonfigurasjon: En komplett praktisk guide

Informatec Digital » Ressurser » IPv6 avansert nettverkskonfigurasjon: En komplett praktisk guide

Å ta spranget til IPv6 i et avansert nettverk er ikke lenger noe man gjør «senere»: fjernarbeid, flere enheter, skytjenester og IPv4-mangel betyr at det er en endring du må ta tak i før eller siden. Den gode nyheten er at med riktig planlegging kan du distribuere IPv6 i bedrifts- eller avanserte hjemmenettverk uten å gå amok og dra nytte av de reelle fordelene innen ytelse, sikkerhet og skalerbarhet.

I denne artikkelen skal vi dykke ned i detaljene : hva IPv6 er, hvordan det passer sammen med IPv4 (dual stack, transition), hvordan man konfigurerer det på vanlige rutere (ASUS, Omada, UniFi, FRITZ!Box, osv.), hvordan man deler en bedrifts-/48-server inn i VLAN-er, hvilke alternativer man kan velge i IPv6-menyene, hvordan man kontrollerer tilgang med ACL-er i stedet for NAT, og hvilke spesielle innstillinger man bør kjenne til på systemer som Windows for å få alt til å fungere som forventet.

Hva er IPv6, og hvorfor bør du aktivere det nå?

IPv6 er den moderne versjonen av IP-protokollen , utviklet for gradvis å erstatte IPv4 og, fremfor alt, for å løse problemet med uttømming av offentlige IP-adresser. Mens IPv4 bruker 32-bits adresser (omtrent 4.294 milliarder teoretiske adresser), bruker IPv6 128 bits, noe som resulterer i et astronomisk antall adresser, i størrelsesorden 340 sekstillioner.

I praksis betyr dette at du kan tilordne en unik offentlig IP-adresse til så godt som alle enheter, virtuelle maskiner, containere eller tjenester, noe som eliminerer mye av bryderiet med å sjonglere NAT, porter og komplekse oversettelser. Videre inkluderer IPv6 innebygde forbedringer i autokonfigurasjon, nettverkssegmentering og støtte for avanserte tjenester.

Når du kobler til et nettsted , blir domenenavnet omdannet til en IP-adresse (v4 eller v6) som identifiserer destinasjonen på nettverket. Med IPv4 er du vant til å se adresser som 192.168.1.1 eller 10.0.0.1. Med IPv6 er formatet heksadesimalt og representeres med blokker atskilt med kolon, for eksempel 2001:db8:abcd:1::1.

I dag distribuerer de fleste operatører IPv6 i dual-stack-modus, som betyr at de gir klienten både IPv4- og IPv6-adresser samtidig. Systemet og applikasjonene velger hvilken protokoll som skal brukes basert på preferansepolicyer, og prioriterer vanligvis IPv6 når det er tilgjengelig og funksjonelt.

IPv6-tilkoblingstyper og overgangsmekanismer

Før du endrer noen innstillinger på ruteren din , må du vite hvilken type IPv6-tilkobling internettleverandøren din tilbyr. Du må vanligvis velge denne typen i WAN- eller Internett-delen av ruteren din. Hvis du ikke vet det, spør internettleverandøren din, da dette er avgjørende for riktig IPv6-konfigurasjon på nettverket ditt.

Blant de vanligste typene rutere for hjemmet og bedriften finner du alternativer som:

• Innfødt (noen ganger kalt «Native» eller bare «IPv6»): operatøren ruter et IPv6-prefiks direkte til ruteren din, uten spesielle tunneler. Dette er det ideelle tilfellet og det enkleste å administrere.
• Statisk IPv6Internettleverandøren tildeler deg en fast blokk (for eksempel /48 eller /56), og du konfigurerer adressen og prefikset manuelt på ruterens WAN-grensesnitt.
• Komme gjennomRuteren fungerer som en «bro» og lar enheten bak den hente IPv6-konfigurasjonen direkte (vanlig i noen scenarier med automatisk IP på WAN).
• Tunnelene 6to4, 6in4 og 6rdOvergangsmekanismer som innkapsler IPv6-pakker i IPv4 når leverandøren eller den mellomliggende infrastrukturen ennå ikke støtter innebygd IPv6. 6. er for eksempel en "rask" statsløs distribusjonsvariant som ligner på 6to4.
• Spesifikke tjenester som FLETs IPv6: mye brukt i Japan, hvor noen leverandører implementerer sine egne løsninger som krever spesifikke konfigurasjonsmaler på ruteren.

Uansett er det viktigste å først konfigurere IPv4 WAN-tilkoblingen (automatisk IP, PPPoE, statisk IP osv.) og deretter velge den tilsvarende IPv6-typen. Mange rutere fyller til og med automatisk ut noen av IPv6-parametrene når de registrerer tilkoblingstypen riktig.

Konfigurering av IPv6 på en typisk ruter (f.eks. ASUS)

La oss ta en ASUS-ruter som et eksempel , fordi menyene er ganske representative for det du ser hos mange andre merker. Den generelle flyten er vanligvis veldig lik: gå til webgrensesnittet, juster WAN-innstillingene, og gå deretter til den spesifikke IPv6-delen i Avanserte innstillinger.

Typiske trinn for å aktivere IPv6 på denne typen ruter ville være:

1. Koble en datamaskin til ruteren via kabel eller WiFi og få tilgang til webgrensesnittet, enten via LAN-IP-adressen (for eksempel 192.168.1.1) eller en spesifikk URL som http://www.asusrouter.com.
2. Logg inn på administrasjonskonsollen med enhetens brukernavn og passord. Hvis du har glemt dem, er det eneste alternativet å gjenopprette ruteren til fabrikkinnstillinger og konfigurere den på nytt.
3. Først må du bekrefte IPv4 WAN-tilkoblingstypen I delen WAN > Internett-tilkobling ser du om du bruker PPPoE, automatisk IP (DHCP), statisk IP osv.
4. Gå inn i IPv6-menyen i de avanserte innstillingene og velg IPv6-tilkoblingstype i henhold til ovenstående.

For eksempel er en typisk kombinasjon vanligvis:

• Hvis IPv4 WAN er i PPPoEVelg IPv6-type InnfødtRuteren vil bruke PPPoE-økten til å hente IPv6-informasjonen fra operatøren.
• Hvis IPv4 WAN er Statisk IP, å velge Statisk IPv6 i IPv6-delen og fyll manuelt ut adressen, prefikset, gatewayen og DNS-en som internettleverandøren din ga deg.
• Hvis IPv4 WAN er i Automatisk IP (DHCP)Mange guider anbefaler å bruke Komme gjennom slik at IPv6-konfigurasjonen sendes direkte til enheten som krever den, eller administreres automatisk.

Etter at endringene er implementert , starter ruteren vanligvis nettverkstjenesten delvis på nytt. En rask måte å bekrefte at du mottar IPv6-parametere på, er å logge inn igjen og sjekke IPv6 LAN-konfigurasjonsdelen: hvis du ser tildelte adresser og prefikser, fungerer IPv6 WAN-delen.

For å bekrefte faktisk tilkobling anbefales det å besøke en testside som test-ipv6.com, som analyserer om nettleseren og leverandøren din støtter protokollen riktig og forteller deg om du opererer i dual stack, om det er DNS-feil, eller om du bare har IPv4.

Implementering av IPv6 i avanserte nettverk med VLAN-er og /48-prefikser

I mer seriøse miljøer , som kontorer med flere VLAN-er og UniFi- eller Omada-type utstyr, vil internettleverandøren vanligvis oppgi et stort statisk prefiks, for eksempel /48. Derfra er jobben din å dele den blokken inn i /64-undernett (eller andre, hvis plattformen støtter det) som du tilordner til hvert VLAN eller logisk segment.

La oss si at leverandøren din gir deg en /48 -adresse som 2001:b33f:f33d::/48, og på ruterens WAN-grensesnitt bruker du 2001:b33f:f33d::2, mens internettleverandørens ruter er 2001:b33f:f33d::1. Den WAN-konfigurasjonen er rett og slett den utgående lenken. Det viktigste er hvordan du distribuerer den /48-adressen på LAN-siden.

I IPv6 er det veldig vanlig å jobbe med /64 på hver lag 2-lenke fordi det er den anbefalte størrelsen for å tillate autokonfigurasjon (SLAAC) og andre funksjoner. Fra og med /48 har du 2^(64-48) = 65 536 tilgjengelige /64 subnett; med andre ord har du mer enn nok til å komfortabelt tilordne blokker til hvert VLAN, gjeste-Wi-Fi-nettverk, DMZ osv.

I ruterens LAN-grensesnittinnstillinger (for eksempel på en UniFi- eller Omada-gateway) ser du et felt for «IPv6-adresse» eller «IPv6-prefiks» og en rullegardinmeny med lengder på subnettmasker mellom /64 og /127. Det anbefales vanligvis å la den stå på /64, med mindre du har en veldig spesifikk situasjon.

Ideen er noe sånt som dette :

• VLAN 10 (bedriftsnettverk): 2001:b33f:f33d:10::/64
• VLAN 20 (gjester): 2001:b33f:f33d:20::/64
• VLAN 30 (servere): 2001:b33f:f33d:30::/64
• VLAN 40 (lab/IoT): 2001:b33f:f33d:40::/64

I hvert VLAN vil ruteren ha en gyldig adresse innenfor /64-prefikset, som vil fungere som gateway for klienter; for eksempel 2001:b33f:f33d:10::1 for VLAN 10, 2001:b33f:f33d:20::1 for VLAN 20, og så videre. Feltet som mange enheter merker som «Gateway IP/Subnet» refererer nettopp til den ruteradressen sammen med lengden på prefikset (/64).

Når det gjelder klienter , vil de vanligvis få én global IPv6-adresse innenfor det tildelte /64-subnettet, enten gjennom SLAAC, DHCPv6 eller en kombinasjon av begge (SLAAC for IP-adressen og DHCPv6 for tilleggsparametere som DNS). Hele subnett delegeres vanligvis ikke til individuelle enheter, bortsett fra i svært spesifikke sammenhenger (for eksempel interne rutere som distribuerer prefikser ved hjelp av DHCPv6-PD).

Når du deler adresserommet mellom flere VLAN-er , er du interessert i å gjøre skjemaet ryddig og lett å forstå, i stedet for å bekymre deg for forbruk (du har mange prefikser): bruk VLAN-numre i de siste 16 bitene av prefikset, reserver sammenhengende områder for interne tjenester, separate gjester, IoT og produksjon med godt differensierte blokker, osv.

Autokonfigurasjon, DAD og avanserte IPv6-parametere på grensesnitt

Når du aktiverer IPv6 på et grensesnitt (LAN, VLAN, tunnel osv.), lar mange systemer deg justere avanserte parametere som er rimelig godt innstilt som standard. Det er vanligvis best å ikke røre dem med mindre du har et veldig spesifikt krav i nettverket ditt.

En av disse parameterne er «hoppgrensen », som tilsvarer TTL i IPv4: det maksimale antallet ruterhopp en pakke kan ta før den forkastes. Den vanligste standardverdien er 64, som vanligvis er mer enn tilstrekkelig selv i store nettverk.

En annen vanlig innstilling er antall DAD- overføringer (Duplicate Address Detection). IPv6 kjører en prosess for å kontrollere at en adresse ikke dupliseres på nettverket før den brukes. En typisk verdi er 1, noe som reduserer konfigurasjonstiden samtidig som kontrollen er minimal. Hvis den settes til 0, deaktiveres deteksjon av duplikatadresser, noe som vanligvis ikke anbefales bortsett fra i svært kontrollerte scenarier.

I de fleste kontrollere og rutere finner du disse parameterne i en egen IPv6-fane når du redigerer grensesnittet. Dokumentasjonen anbefaler vanligvis å la standardverdiene stå med mindre du vet nøyaktig hva du endrer og hvorfor.

Tilgangskontroll og sikkerhet i IPv6: ACL-er i stedet for NAT

En viktig forskjell fra IPv4 er at IPv6 ikke bruker NAT på samme måte. Hver enhet kan ha globalt rutbare adresser direkte fra internett, slik at den første sikkerhetslinjen blir gatewayens brannmur/ACL i stedet for bivirkningen av selve NAT.

I Omada-type gatewayer er IPv6-tilgangskontrolllisten (ACL)-funksjonaliteten nøkkelen. Den lar administratoren definere regler som filtrerer trafikk basert på kildeadresse, destinasjonsadresse, porter eller protokoller, og bestemme om hver type trafikk skal tillates eller nektes.

Som standard blokkerer mange Omada-gatewayer allerede tilgang fra eksterne nettverk til interne nettverk når det gjelder IPv6-trafikk, nettopp fordi det ikke finnes noen NAT for å "skjule" interne adresser. Med andre ord er tilgang fra internett til LAN-et ditt fullstendig blokkert med mindre du eksplisitt lager smutthull.

For typiske IPv6-tilgangskontrollscenarier har du flere konfigurasjonsmønstre:

• Hindre tilgang fra Internett til det interne nettverketDen er vanligvis blokkert som standard, men du kan gjennomgå eller stramme inn retningslinjene ytterligere med flere tilgangskontrollister i IPv6.
• Tillat tilgang til en intern server (for eksempel en webserver i et server-VLAN): en intern IPv6-adressegruppe (min_server) og en ekstern klient- eller områdegruppe (min_klient) defineres, og en ACL-regel av typen WAN-IN opprettes for å tillate den trafikken.
• Begrens internettilgang for bestemte enheter (for eksempel barnedatamaskiner eller IoT-enheter): en IPv6-gruppe opprettes med disse klientene (children_pc) og en annen som representerer Internett, og en LAN->WAN ACL-regel legges til i Deny-modus for den gruppen.

Arbeidsflyten i Omada kan oppsummeres som følger: konfigurer IPv6 WAN-tilkoblingen riktig, aktiver og angi IPv6-modus på LAN-ene/VLAN-ene, definer IPv6-grupper med adressene eller områdene du er interessert i, og til slutt opprett gateway ACL-regler der du velger trafikkretning (INN, UT, LAN->WAN), policy (Tillat/Avslå), protokoller og kilde/destinasjonspar basert på disse gruppene.

Det er viktig å sørge for at gatewayens fastvare er oppdatert, fordi de mest moderne IPv6-tilgangskontrollfunksjonene kan kreve nyere versjoner av systemprogramvaren.

Aktivering av IPv6 i hjemme- og småkontormiljøer

Hjemme eller på et lite kontor er IPv6-aktiveringsprosessen vanligvis mindre skremmende enn den ser ut til. Nøkkelen er at internettleverandøren din allerede tilbyr IPv6-støtte på linjen din, og at ruteren din gjenkjenner den riktig.

De generelle trinnene ville være :

1. Bekreft med leverandøren din Bekreft at tilkoblingen din støtter IPv6 og i hvilken modus (dobbeltstabel, IPv6 kun med NAT64 osv.). Spør også om du må endre utstyret eller fastvaren.
2. Bekreft at ruteren støtter IPv6Dette er vanlig i moderne utstyr som FRITZ!Box, ASUS-rutere, TP-Link Archer (C, AX, osv.), Omada, UniFi, osv.
3. Få tilgang til ruterens webgrensesnitt (192.168.1.1, 192.168.0.1 eller en annen, avhengig av produsenten) og se etter IPv6-delen i de avanserte alternativene eller i nettverksmenyen.
4. Aktiver IPv6 og velg tilkoblingstypen angitt av internettleverandøren: DHCPv6, PPPoE med native IPv6, statisk IP, 6. tunnel, osv.
5. Bruk endringene og start om nødvendigSjekk deretter med et nettsted som test-ipv6.com om internettforbindelsen din allerede bruker IPv6.

I de fleste moderne operativsystemer (Windows 10/11, macOS, Linux, Android, iOS) er IPv6 aktivert som standard. I Windows, for eksempel, går du bare til egenskapene for nettverkskortet og sørger for at det er merket av i boksen «Internet Protocol Version 6 (TCP/IPv6)».

Når ruteren annonserer prefikset riktig og klientene har aktivert IPv6, vil hver enhet automatisk få sin globale og link-lokale adresse, uten å måtte berøre noe på selve enheten.

Windows-perspektiv: IPv4/IPv6-preferanse og delvis deaktivering

I Windows-administrerte miljøer er det viktig å vite at systemet implementerer adressevalgslogikken beskrevet i RFC 3484, og vedlikeholder en tabell med prefikser som bestemmer hvilken adresse som skal brukes når den samme maskinen har flere IP-adresser (IPv4 og IPv6) tilknyttet et DNS-navn.

Som standard bruker Windows IPv6 når en global unicast-adresse er tilgjengelig og tilkoblingen er korrekt, selv om den fortsatt er fullt i stand til å fungere parallelt med IPv4.

Noen administratorer velger å deaktivere eller begrense IPv6 for å diagnostisere nettverksproblemer, spesielt når det er mistanke om problemer knyttet til navneløsning eller ufullstendige IPv6-konfigurasjoner. Microsoft tilbyr en sentralisert mekanisme for å overvåke IPv6-bruk gjennom systemregisteret.

Den relevante registreringsnøkkelen er:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Dette er en REG_DWORD-verdi som kan variere fra 0x00 (standardvirkemåte, IPv6 fullt aktivert) til 0xFF (som effektivt deaktiverer IPv6 på de fleste grensesnitt, selv om systemet fortsatt bruker det internt til sine egne oppgaver).

Noen nyttige innstillinger er :

• Foretrekker IPv4 fremfor IPv6Verdien er 0x20 (32 desimaler). Holder IPv6 aktiv, men endrer prefikspolicyer slik at IPv4 velges når det er tilgjengelig. Dette anses som å foretrekke fremfor å deaktivere IPv6 fullstendig.
• Deaktiver IPv6 på ikke-tunnelgrensesnitt: verdi 0x10 (16 desimaler), som påvirker innebygde grensesnitt.
• Deaktiver IPv6 på tunnelgrensesnittVerdi 0x01 (1 desimal), nyttig hvis overgangsteknologier som 6to4, ISATAP eller Teredo ikke er ønskelig.
• Slå av nesten overalt: 0xFF (255 desimaler), som deaktiverer IPv6 i både tunneler og native grensesnitt, med unntak av at systemet fortsatt beholder ::1 for loopback og intern bruk.

For å endre denne verdien fra en administrativ konsoll, kan du bruke en kommando som denne:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows bruker en bitmaske på dette feltet for å bestemme hvilke komponenter som er deaktivert: tunneler, 6to4, ISATAP, Teredo, native grensesnitt, IPv4-preferanse osv. Hver bit tolkes som sann (1) eller usann (0) for de forskjellige funksjonene, og spesifikke kombinasjoner som 0x20, 0x10, 0x01 eller 0x11 samsvarer med vanlige scenarier dokumentert av Microsoft.

Det er viktig å forstå at denne nøkkelen ikke endrer statusen til avmerkingsboksen «Internet Protocol Version 6 (TCP/IPv6)» i grensesnittegenskapene. Det vil si at du kan se avmerkingsboksen merket av selv om du har begrenset eller deaktivert IPv6 på registernivå. Dette er forventet virkemåte.

Hvis du vil koble IPv6 fra et bestemt grensesnitt, kan du:

• Fjern avmerkingsboksen for IPv6 i nettverksegenskapene til adapteren.
• Bruk PowerShell med en kommando som:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

I tillegg aktiverer Windows automatisk teknologier som 6to4 når datamaskinen har offentlige IPv4-adresser. Hvis du ikke vil at disse tunnelgrensesnittene skal opprettes eller IPv6-adressene skal registreres automatisk i DNS, kan du deaktivere dem ved å sette DisabledComponents til 0x01 eller bruke gruppepolicyinnstillinger som deaktiverer 6to4, ISATAP og Teredo.

Rutermodeller og IPv6-støtte

IPv6-støtte har gradvis utvidet seg til så godt som alle mellomstore og avanserte rutere for hjem og små bedrifter. Merker som ASUS, AVM FRITZ!Box, TP-Link (Archer- og Omada-serien) og andre SD-WAN-løsninger inkluderer vanligvis full IPv6-støtte i sine nyeste fastvareoppdateringer.

I TP-Link Archer-økosystemet finnes det for eksempel mange modeller rettet mot ulike scenarier (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX702, AAXE, AXE, 50VE, Omni GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000.

I mange av disse modellene har IPv6-støtte eller spesifikke funksjoner (f.eks. DHCPv6-PD, tunnelering, IPv6-foreldrekontroller, avanserte tilgangskontrolllister osv.) blitt forbedret med fastvareoppdateringer. Det er lurt å sjekke produsentens nedlastingssenter, bekrefte enhetens maskinvareversjon og lese databladet eller produktmerknadene for å se hva som er lagt til nylig.

Husk også at tilgjengeligheten til visse produkter og funksjoner varierer fra region til region, så en spesifikk modell med visse IPv6-muligheter er kanskje ikke tilgjengelig i ditt land eller har kanskje ikke nøyaktig de samme funksjonene som i et annet område.

Støtte, fastvare og funksjonstesting

Når du jobber med IPv6, er det spesielt viktig å holde fastvaren på utstyret oppdatert: feil i DHCPv6-implementeringen, feil i RA (Router Advertisements), problemer med 6rd/6to4-tunneler eller inkompatibilitet med ACL-er kan komplisere livet ditt betraktelig.

Produsenter sentraliserer vanligvis nedlastinger av drivere, fastvare, verktøy og håndbøker i sine støttesentre (for eksempel ASUS Download Center eller FRITZ!Box støtteportal). Regelmessig sjekk av utgivelsesnotatene vil gi deg tips om forbedringer knyttet til IPv6, sikkerhet og ytelse.

Etter større konfigurasjonsendringer (aktivering av IPv6, endring av prefikser, justering av tilgangskontrollister, endring av IPv4/IPv6-preferanser på Windows-klienter osv.) anbefales det å utføre et minimum antall tester:

• Naviger til nettsteder som bare løser IPv6 eller som prioriterer IPv6.
• Bruk verktøy som test-ipv6.com for å sjekke tilkobling, DNS, lekkasjer og overgang.
• Test pings og traceroutes til både interne og eksterne IPv6-adresser.
• Kontroller at brannmur-/ACL-reglene fungerer som forventet på IPv6-trafikk.

Hvis noe ikke fungerer , inkluderer en typisk diagnostikkplan å sjekke den konfigurerte tilkoblingstypen, bekrefte at LAN-prefiksene er riktige, sjekke om klienter mottar gyldige adresser, oppdatere fastvare og til slutt tilbakestille ruteren til fabrikkinnstillinger for å utelukke forstyrrende eldre konfigurasjoner.

Gitt dette scenariet, slutter IPv6 å være den "raringen" og blir bare et annet verktøy i nettverkets ressursboks: riktig konfigurert gir det deg et mye renere adresseringsskjema, forenkler noen scenarier for tjenestepublisering, og, godt beskyttet med tilgangskontrollister og brannmurer, utgjør det ikke nødvendigvis en ekstra risiko sammenlignet med IPv4, snarere det motsatte takket være det mer moderne designet.