Configurarea avansată a rețelei IPv6: Un ghid practic complet

Informatec Digital » Recursos » Configurarea avansată a rețelei IPv6: Un ghid practic complet

Trecerea la IPv6 într-o rețea avansată nu mai este ceva ce se face „mai târziu”: munca la distanță, mai multe dispozitive, serviciile cloud și deficitul de IPv4 înseamnă că este o schimbare pe care va trebui să o abordați mai devreme sau mai târziu. Vestea bună este că, cu o planificare adecvată, puteți implementa IPv6 în rețeaua corporativă sau de domiciliu avansată fără a exagera și profitând de beneficiile sale reale în materie de performanță, securitate și scalabilitate.

În acest articol vom aprofunda detaliile : ce este IPv6, cum se potrivește cu IPv4 (dual stack, tranziție), cum se configurează pe routere tipice (ASUS, Omada, UniFi, FRITZ!Box etc.), cum se împarte un /48 corporativ în VLAN-uri, ce opțiuni se aleg în meniurile IPv6, cum se controlează accesul cu ACL-uri în loc de NAT și ce setări speciale ar trebui să cunoașteți pe sisteme precum Windows pentru ca totul să funcționeze conform așteptărilor.

Ce este IPv6 și de ce ar trebui să îl activați acum?

IPv6 este versiunea modernă a protocolului IP , concepută pentru a înlocui treptat IPv4 și, mai presus de toate, pentru a rezolva epuizarea adreselor IP publice. În timp ce IPv4 utilizează adrese pe 32 de biți (aproximativ 4.294 miliarde de adrese teoretice), IPv6 utilizează 128 de biți, rezultând un număr astronomic de adrese, de ordinul a 340 de sextilioane.

În practică, aceasta înseamnă că puteți atribui o adresă IP publică unică practic fiecărui dispozitiv, mașină virtuală, container sau serviciu, eliminând o mare parte din dificultatea de a jongla cu NAT, porturi și traduceri complexe. În plus, IPv6 include îmbunătățiri native în ceea ce privește autoconfigurarea, segmentarea rețelei și suportul pentru servicii avansate.

Când vă conectați la un site web , numele domeniului se rezolvă într-o adresă IP (v4 sau v6) care identifică destinația în rețea. Cu IPv4, sunteți obișnuiți să vedeți adrese precum 192.168.1.1 sau 10.0.0.1. Cu IPv6, formatul este hexazecimal și este reprezentat prin blocuri separate prin două puncte, de exemplu, 2001:db8:abcd:1::1.

Astăzi, majoritatea operatorilor implementează IPv6 în modul dual-stack, ceea ce înseamnă că oferă clientului simultan adrese IPv4 și IPv6. Sistemul și aplicațiile aleg protocolul de utilizat pe baza politicilor de preferințe, de obicei prioritizând IPv6 atunci când este disponibil și funcțional.

Tipuri de conexiuni IPv6 și mecanisme de tranziție

Înainte de a modifica orice setări ale routerului , trebuie să știți ce tip de conexiune IPv6 oferă furnizorul dvs. de servicii de internet (ISP). De obicei, va trebui să selectați acest tip în secțiunea WAN sau Internet a routerului. Dacă nu știți, întrebați furnizorul dvs. de servicii de internet, deoarece acest lucru este esențial pentru configurarea corectă a IPv6 în rețeaua dvs.

Printre cele mai comune tipuri de routere pentru acasă și afaceri veți găsi opțiuni precum:

• Nativ (uneori numit „Nativ” sau pur și simplu „IPv6”): operatorul direcționează un prefix IPv6 direct către router, fără tuneluri speciale. Acesta este cazul ideal și cel mai ușor de gestionat.
• IPv6 staticFurnizorul de servicii de internet vă atribuie un bloc fix (de exemplu, /48 sau /56) și configurați manual adresa și prefixul pe interfața WAN a routerului.
• A trece prinRouterul acționează ca o „punte” și permite dispozitivului din spatele său să obțină direct configurația IPv6 (tipic în unele scenarii cu IP automat pe WAN).
• Tunelurile 6to4, 6in4 și 6rdMecanisme de tranziție care încapsulează pachete IPv6 în cadrul IPv4 atunci când furnizorul sau infrastructura intermediară nu acceptă încă IPv6 nativ. 6rd, de exemplu, este o variantă de implementare „rapidă” fără stare, similară cu 6to4.
• Servicii specifice, cum ar fi IPv6 al FLET: utilizat pe scară largă în Japonia, unde unii furnizori implementează propriile soluții care necesită șabloane de configurare specifice pe router.

În orice caz, esențial este să configurați mai întâi conexiunea WAN IPv4 (IP automat, PPPoE, IP static etc.) și apoi să selectați tipul IPv6 corespunzător. Multe routere completează chiar automat unii dintre parametrii IPv6 atunci când detectează corect tipul de conexiune.

Configurarea IPv6 pe un router tipic (de exemplu, ASUS)

Să luăm ca exemplu un router ASUS , deoarece meniurile sale sunt destul de reprezentative pentru ceea ce veți vedea la multe alte mărci. Fluxul general este de obicei foarte similar: accesați interfața web, ajustați setările WAN și apoi accesați secțiunea specifică IPv6 din Setări avansate.

Pașii tipici pentru activarea IPv6 pe acest tip de router ar fi:

1. Conectați un computer la router prin cablu sau WiFi și accesați interfața web, fie prin adresa IP LAN (de exemplu 192.168.1.1), fie printr-o adresă URL specifică, cum ar fi http://www.asusrouter.com.
2. Conectați-vă la consola de administrare cu numele de utilizator și parola dispozitivului. Dacă le-ați uitat, singura opțiune este să restaurați routerul la setările din fabrică și să îl configurați din nou.
3. Mai întâi, verificați tipul de conexiune WAN IPv4 În secțiunea WAN > Conexiune la internet, veți vedea dacă utilizați PPPoE, IP automat (DHCP), IP static etc.
4. Intrați în meniul IPv6 în setările avansate și selectați Tipul de conexiune IPv6 conform celor de mai sus.

De exemplu, o combinație tipică este de obicei:

• Dacă rețeaua WAN IPv4 este în PPPoESelectați tipul IPv6 NativRouterul va folosi sesiunea PPPoE pentru a obține informațiile IPv6 de la operator.
• Dacă rețeaua WAN IPv4 este IP static, a alege IPv6 static în secțiunea IPv6 și completați manual adresa, prefixul, gateway-ul și DNS-ul furnizate de furnizorul dvs. de servicii de internet.
• Dacă rețeaua WAN IPv4 este în IP automat (DHCP)Multe ghiduri recomandă utilizarea A trece prin astfel încât configurația IPv6 să fie transmisă direct dispozitivului care o necesită sau să fie gestionată automat.

După aplicarea modificărilor , routerul repornește de obicei parțial serviciul de rețea. O modalitate rapidă de a verifica dacă primiți parametri IPv6 este să vă conectați din nou și să verificați secțiunea de configurare LAN IPv6: dacă vedeți adrese și prefixe atribuite, porțiunea WAN IPv6 funcționează.

Pentru a confirma conectivitatea reală , un test recomandat este să accesați o pagină de testare precum test-ipv6.com, care analizează dacă browserul și furnizorul dvs. acceptă corect protocolul și vă spune dacă operați în dual stack, dacă există erori DNS sau dacă aveți doar IPv4.

Implementarea IPv6 în rețele avansate cu VLAN-uri și prefixe /48

În medii mai serioase , cum ar fi birourile cu mai multe VLAN-uri și echipamente de tip UniFi sau Omada, furnizorul de servicii de internet va furniza de obicei un prefix static mare, de exemplu /48. De acolo, sarcina dvs. este să împărțiți acel bloc în subrețele /64 (sau altele, dacă platforma le acceptă) pe care le veți atribui fiecărui VLAN sau segment logic.

Să presupunem că furnizorul tău îți oferă o adresă /48 precum 2001:b33f:f33d::/48, iar pe interfața WAN a routerului folosești 2001:b33f:f33d::2, routerul ISP-ului tău fiind 2001:b33f:f33d::1. Configurația WAN respectivă este pur și simplu legătura de ieșire. Important este cum distribui acea adresă /48 pe partea LAN.

În IPv6, este foarte obișnuit să se lucreze cu /64 pe fiecare legătură de Layer 2, deoarece este dimensiunea recomandată pentru a permite autoconfigurarea (SLAAC) și alte funcții. Începând cu /48, aveți 2^(64-48) = 65.536 de subrețele /64 disponibile; cu alte cuvinte, aveți mai mult decât suficient pentru a atribui confortabil blocuri fiecărui VLAN, rețea Wi-Fi pentru oaspeți, DMZ etc.

În setările interfeței LAN ale routerului (de exemplu, pe un gateway UniFi sau Omada), veți vedea un câmp „adresă IPv6” sau „prefix IPv6” și un meniu derulant cu lungimi ale măștilor de subrețea între /64 și /127. De obicei, se recomandă să o lăsați la /64, cu excepția cazului în care aveți o situație foarte specifică.

Ideea este cam așa :

• VLAN 10 (rețea corporativă): 2001:b33f:f33d:10::/64
• VLAN 20 (oaspeți): 2001:b33f:f33d:20::/64
• VLAN 30 (servere): 2001:b33f:f33d:30::/64
• VLAN 40 (laborator/IoT): 2001:b33f:f33d:40::/64

În fiecare VLAN, routerul va avea o adresă validă în cadrul prefixului /64, care va acționa ca gateway pentru clienți; de exemplu, 2001:b33f:f33d:10::1 pentru VLAN 10, 2001:b33f:f33d:20::1 pentru VLAN 20 și așa mai departe. Câmpul pe care multe dispozitive îl etichetează drept „Gateway IP/Subnet” se referă exact la adresa routerului respectiv, împreună cu lungimea prefixului (/64).

În ceea ce privește clienții , aceștia vor obține de obicei o singură adresă IPv6 globală în cadrul subrețelei /64 atribuite, fie prin SLAAC, DHCPv6, fie printr-o combinație a ambelor (SLAAC pentru adresa IP și DHCPv6 pentru parametri suplimentari, cum ar fi DNS). Subrețele întregi nu sunt de obicei delegate fiecărui dispozitiv, cu excepția unor contexte foarte specifice (de exemplu, routere interne care distribuie prefixe folosind DHCPv6-PD).

Când împărțiți spațiul de adrese între mai multe VLAN-uri , în loc să vă faceți griji cu privire la consum (aveți o mulțime de prefixe), sunteți interesat să faceți schema ordonată și ușor de înțeles: utilizați numere VLAN în ultimii 16 biți ai prefixului, rezervați intervale consecutive pentru servicii interne, separați oaspeții, IoT și producție cu blocuri bine diferențiate etc.

Autoconfigurare, DAD și parametri IPv6 avansați pe interfețe

Când activați IPv6 pe o interfață (LAN, VLAN, tunel etc.), multe sisteme vă permit să ajustați parametri avansați care sunt destul de bine reglați în mod implicit. În general, este recomandat să nu îi modificați decât dacă aveți o cerință foarte specifică în rețeaua dvs.

Unul dintre acești parametri este „limita de salturi ”, care este echivalentul TTL în IPv4: numărul maxim de salturi de router pe care un pachet le poate efectua înainte de a fi eliminat. Cea mai comună valoare implicită este 64, care este de obicei mai mult decât suficientă chiar și în rețelele mari.

O altă setare comună este numărul de transmisii DAD (Duplicate Address Detection - Detectare adrese duplicate). IPv6 execută un proces pentru a verifica dacă o adresă nu este duplicată în rețea înainte de a o utiliza. O valoare tipică este 1, ceea ce reduce timpul de configurare, menținând în același timp o verificare minimă. Setarea la 0 dezactivează detectarea adreselor duplicate, ceea ce, în general, nu este recomandat, cu excepția scenariilor strict controlate.

În majoritatea controlerelor și routerelor, veți găsi acești parametri într-o filă IPv6 dedicată atunci când editați interfața. Documentația recomandă de obicei să lăsați valorile implicite, cu excepția cazului în care știți exact ce modificați și de ce.

Controlul accesului și securitatea în IPv6: ACL-uri în loc de NAT

O diferență cheie față de IPv4 este că IPv6 nu utilizează NAT în același mod. Fiecare dispozitiv poate avea adrese rutabile global direct de pe internet, astfel încât prima linie de securitate devine firewall-ul/ACL-ul gateway-ului în loc să fie efectul secundar al NAT-ului în sine.

În gateway-urile de tip Omada , funcționalitatea listei de control al accesului (ACL) IPv6 este esențială. Aceasta permite administratorului să definească reguli care filtrează traficul pe baza adresei sursă, a adresei destinație, a porturilor sau a protocoalelor și să decidă dacă permite sau refuză fiecare tip de trafic.

În mod implicit, multe gateway-uri Omada blochează deja accesul de la rețele externe la rețele interne când vine vorba de trafic IPv6, tocmai pentru că nu există NAT care să „ascundă” adresele interne. Cu alte cuvinte, accesul de la internet la LAN-ul dvs. este complet blocat, cu excepția cazului în care creați în mod explicit lacune.

Pentru scenariile tipice de control al accesului IPv6 , aveți mai multe modele de configurare:

• Împiedicați accesul de pe internet la rețeaua internăDe obicei, este blocat în mod implicit, dar puteți revizui sau înăspri politica cu ACL-uri suplimentare în IPv6.
• Permiteți accesul la un server intern (de exemplu, un server web într-un VLAN de server): sunt definite un grup intern de adrese IPv6 (serverul_meu) și un grup extern de clienți sau intervale (clientul_meu) și se creează o regulă ACL de tip WAN-IN pentru a permite traficul respectiv.
• Restricționarea accesului la internet pentru anumite dispozitive (de exemplu, computerele sau dispozitivele IoT ale copiilor): se creează un grup IPv6 cu acei clienți (children_pc) și un altul care reprezintă Internetul, iar o regulă ACL LAN->WAN este adăugată în modul Deny pentru grupul respectiv.

Fluxul de lucru în Omada poate fi rezumat după cum urmează: configurați corect conexiunea WAN IPv6, activați și setați modul IPv6 pe rețelele LAN/VLAN, definiți grupurile IPv6 cu adresele sau intervalele care vă interesează și, în final, creați reguli ACL pentru gateway, unde alegeți direcția traficului (IN, OUT, LAN->WAN), politica (Allow/Deny), protocoalele și perechile sursă/destinație pe baza acestor grupuri.

Este important să vă asigurați că firmware-ul gateway-ului este actualizat, deoarece cele mai moderne funcții de control al accesului IPv6 pot necesita versiuni recente ale software-ului de sistem.

Activarea IPv6 în mediile de acasă și de birouri mici

Într-un mediu casnic sau al unui birou mic , procesul de activare IPv6 este de obicei mai puțin intimidant decât pare. Cheia este ca furnizorul dvs. de servicii de internet să ofere deja suport IPv6 pe linia dvs. și ca routerul să îl recunoască corect.

Pașii generali ar fi :

1. Confirmați cu furnizorul dumneavoastră Confirmați dacă conexiunea dvs. acceptă IPv6 și în ce mod (dual stack, doar IPv6 cu NAT64 etc.). De asemenea, întrebați dacă trebuie să schimbați echipamentul sau firmware-ul.
2. Verificați dacă routerul acceptă IPv6Acest lucru este comun în echipamentele moderne, cum ar fi FRITZ!Box, routerele ASUS, TP-Link Archer (C, AX etc.), Omada, UniFi etc.
3. Accesați interfața web a routerului (192.168.1.1, 192.168.0.1 sau altul, în funcție de producător) și căutați secțiunea IPv6 în opțiunile avansate sau în meniul de rețea.
4. Activați IPv6 și alegeți tipul de conexiune indicat de ISP: DHCPv6, PPPoE cu IPv6 nativ, IP static, al 6-lea tunel etc.
5. Aplicați modificările și reporniți dacă este necesarApoi, verificați pe un site web precum test-ipv6.com dacă conexiunea dvs. la internet utilizează deja IPv6.

În majoritatea sistemelor de operare moderne (Windows 10/11, macOS, Linux, Android, iOS), IPv6 este activat în mod implicit. În Windows, de exemplu, pur și simplu accesați proprietățile adaptorului de rețea și asigurați-vă că este bifată caseta „Internet Protocol Version 6 (TCP/IPv6)”.

Odată ce routerul anunțează corect prefixul și clienții au activat IPv6, fiecare dispozitiv va obține automat adresa globală și locală, fără a fi nevoie să atingă nimic de pe dispozitivul în sine.

Perspectiva Windows: preferința IPv4/IPv6 și dezactivarea parțială

În mediile gestionate de Windows , este important de știut că sistemul implementează logica de selecție a adreselor descrisă în RFC 3484, menținând un tabel de prefixe care decide ce adresă să utilizeze atunci când aceeași mașină are mai multe adrese IP (IPv4 și IPv6) asociate cu un nume DNS.

În mod implicit, Windows tinde să utilizeze IPv6 ori de câte ori este disponibilă o adresă unicast globală și conectivitatea este corectă, deși este încă perfect capabil să lucreze cu IPv4 în paralel.

Unii administratori aleg să dezactiveze sau să restricționeze IPv6 pentru a diagnostica problemele de rețea, în special atunci când se suspectează probleme legate de rezoluția numelui sau configurații IPv6 incomplete. Microsoft oferă un mecanism centralizat pentru monitorizarea utilizării IPv6 prin intermediul registrului de sistem.

Cheia de registry relevantă este:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Aceasta este o valoare REG_DWORD care poate varia de la 0x00 (comportament implicit, IPv6 complet activat) până la 0xFF (dezactivând efectiv IPv6 pe majoritatea interfețelor, deși sistemul îl folosește în continuare intern pentru propriile sarcini).

Câteva setări utile sunt :

• Prefer IPv4 în locul IPv6: valoarea 0x20 (32 în zecimal). Menține IPv6 activ, dar modifică politicile de prefix astfel încât IPv4 să fie ales atunci când este disponibil. Acest lucru este considerat preferabil dezactivării complete a IPv6.
• Dezactivați IPv6 pe interfețele non-tunnel: valoarea 0x10 (16 zecimale), care afectează interfețele native.
• Dezactivați IPv6 pe interfețele de tunel: valoarea 0x01 (1 zecimală), utilă dacă nu se doresc tehnologii de tranziție precum 6to4, ISATAP sau Teredo.
• Opriți aproape peste tot0xFF (255 zecimal), care dezactivează IPv6 atât în ​​tuneluri, cât și în interfețele native, cu excepția faptului că sistemul păstrează în continuare ::1 pentru loopback și utilizări interne.

Pentru a modifica această valoare dintr-o consolă administrativă, puteți utiliza o comandă de genul:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows folosește o mască de bit pentru acest câmp pentru a decide ce componente sunt dezactivate: tuneluri, 6to4, ISATAP, Teredo, interfețe native, preferință IPv4 etc. Fiecare bit este interpretat ca adevărat (1) sau fals (0) pentru diferitele funcții, iar combinații specifice, cum ar fi 0x20, 0x10, 0x01 sau 0x11, corespund scenariilor comune documentate de Microsoft.

Este important să înțelegeți că această cheie nu modifică starea casetei de selectare „Internet Protocol versiunea 6 (TCP/IPv6)” din proprietățile interfeței; adică, puteți vedea caseta de selectare bifată chiar dacă ați limitat sau dezactivat IPv6 la nivel de registry. Acesta este comportamentul așteptat.

Dacă doriți să disociați IPv6 de o anumită interfață, puteți:

• Eliminați caseta de selectare IPv6 din proprietățile de rețea ale adaptorului.
• Folosește PowerShell cu o comandă de genul:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

În plus, Windows activează automat tehnologii precum 6to4 atunci când computerul are adrese IPv4 publice. Dacă nu doriți ca aceste interfețe de tunel să fie create sau adresele IPv6 să fie înregistrate automat în DNS, le puteți dezactiva setând DisabledComponents la 0x01 sau utilizând setările de politică de grup care dezactivează 6to4, ISATAP și Teredo.

Modele de routere și suport IPv6

Suportul IPv6 s-a extins treptat la aproape toate routerele de gamă medie și superioară, destinate locuințelor și întreprinderilor mici. Mărci precum ASUS, AVM FRITZ!Box, TP-Link (seriile Archer și Omada) și alte soluții SD-WAN includ de obicei suport complet IPv6 în cele mai recente actualizări de firmware.

În ecosistemul TP-Link Archer, de exemplu , există numeroase modele destinate unor scenarii diferite (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2) AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX72, AXEmni, AXE5400V OXE200V GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX60, AX5, AX11000, AX3000,... AX3200,...

În multe dintre aceste modele , suportul pentru IPv6 sau anumite funcții (de exemplu, DHCPv6-PD, tunelare, controale parentale IPv6, ACL-uri avansate etc.) au fost îmbunătățite prin actualizări de firmware. Este o idee bună să consultați centrul de descărcare al producătorului, să verificați versiunea hardware a dispozitivului și să citiți fișa tehnică sau notele de lansare pentru a vedea ce a fost adăugat recent.

De asemenea, rețineți că disponibilitatea anumitor produse și funcții variază în funcție de regiune, așadar un anumit model cu anumite capabilități IPv6 poate să nu fie disponibil în țara dvs. sau poate să nu aibă exact aceleași funcții ca în altă zonă.

Asistență, firmware și testare funcțională

Când lucrați cu IPv6, este deosebit de important să mențineți firmware-ul echipamentului actualizat: erori în implementarea DHCPv6, defecțiuni în RA (Router Advertisements), probleme cu tunelurile 6rd/6to4 sau incompatibilitățile cu ACL-urile vă pot complica considerabil viața.

De obicei, producătorii centralizează descărcările de drivere, firmware, utilitare și manuale în centrele lor de asistență (de exemplu, Centrul de descărcare ASUS sau portalul de asistență FRITZ!Box). Verificarea regulată a notelor de lansare vă va oferi indicii despre îmbunătățirile legate de IPv6, securitate și performanță.

După orice modificare majoră a configurației (activarea IPv6, modificarea prefixelor, reglarea ACL-urilor, schimbarea preferințelor IPv4/IPv6 pe clienții Windows etc.), este recomandabil să efectuați o serie minimă de teste:

• Navigați la site-uri care rezolvă doar IPv6 sau care prioritizează IPv6.
• Folosește instrumente precum test-ipv6.com pentru a verifica conectivitatea, DNS-ul, scurgerile de date și tranziția.
• Testează ping-uri și traceroute-uri către adrese IPv6 interne și externe.
• Verificați dacă regulile firewall/ACL acționează conform așteptărilor pentru traficul IPv6.

Dacă ceva nu funcționează , un plan de diagnosticare tipic include verificarea tipului de conexiune configurat, verificarea corectitudinii prefixelor LAN, verificarea dacă clienții primesc adrese valide, actualizarea firmware-ului și, în cele din urmă, resetarea routerului la setările din fabrică pentru a exclude configurațiile vechi care interferează.

În acest scenariu, IPv6 încetează să mai fie acel „ciudat” și devine doar un alt instrument din cutia de resurse a rețelei tale: configurat corect, îți oferă o schemă de adresare mult mai curată, simplifică unele scenarii de publicare a serviciilor și, bine protejat cu ACL-uri și firewall-uri, nu prezintă neapărat un risc suplimentar în comparație cu IPv4, ci dimpotrivă, datorită designului său mai modern.