Расширенная настройка сети IPv6: полное практическое руководство

Информатек Диджитал » Ресурсы » Расширенная настройка сети IPv6: полное практическое руководство

Переход на IPv6 в современной сети больше не является чем-то, что нужно делать «позже»: удаленная работа, больше устройств, облачные сервисы и дефицит IPv4 означают, что это изменение придется осуществить рано или поздно. Хорошая новость заключается в том, что при правильном планировании вы можете развернуть IPv6 в своей корпоративной или современной домашней сети, не переусердствуя, и воспользоваться его реальными преимуществами в производительности, безопасности и масштабируемости.

В этой статье мы подробно рассмотрим : что такое IPv6, как он сочетается с IPv4 (двойной стек, переход), как его настроить на типичных маршрутизаторах (ASUS, Omada, UniFi, FRITZ!Box и т. д.), как разделить корпоративную сеть /48 на VLAN, какие параметры выбрать в меню IPv6, как контролировать доступ с помощью ACL вместо NAT, и какие специальные настройки следует знать в таких системах, как Windows, чтобы все работало как положено.

Что такое IPv6 и почему его следует включить прямо сейчас?

IPv6 — это современная версия протокола IP , разработанная для постепенной замены IPv4 и, прежде всего, для решения проблемы исчерпания публичных IP-адресов. В то время как IPv4 использует 32-битные адреса (приблизительно 4.294 миллиарда теоретических адресов), IPv6 использует 128 бит, что приводит к астрономическому числу адресов, порядка 340 секстиллионов.

На практике это означает, что вы можете назначить уникальный публичный IP-адрес практически каждому устройству, виртуальной машине, контейнеру или сервису, что избавляет от многих сложностей, связанных с настройкой NAT, портов и сложными преобразованиями. Кроме того, IPv6 включает в себя улучшения в автоматической настройке, сегментации сети и поддержке расширенных сервисов.

При подключении к веб-сайту доменное имя преобразуется в IP-адрес (версии 4 или 6), который идентифицирует пункт назначения в сети. В случае IPv4 вы привыкли видеть адреса типа 192.168.1.1 или 10.0.0.1. В случае IPv6 формат является шестнадцатеричным и представляется блоками, разделенными двоеточиями, например, 2001:db8:abcd:1::1.

Сегодня большинство операторов используют IPv6 в режиме двойного стека, то есть одновременно предоставляют клиенту адреса IPv4 и IPv6. Система и приложения выбирают используемый протокол на основе политик предпочтений, обычно отдавая приоритет IPv6, когда он доступен и работоспособен.

Типы соединений IPv6 и механизмы перехода

Прежде чем менять какие-либо настройки на вашем маршрутизаторе , вам необходимо узнать, какой тип подключения IPv6 предлагает ваш интернет-провайдер (ISP). Обычно этот тип нужно выбрать в разделе WAN или Internet вашего маршрутизатора. Если вы не знаете, спросите своего интернет-провайдера, так как это крайне важно для правильной настройки IPv6 в вашей сети.

Среди наиболее распространенных типов домашних и офисных маршрутизаторов вы найдете такие варианты, как:

• Нативо (иногда называемый «нативный» или просто «IPv6»): оператор направляет префикс IPv6 непосредственно на ваш маршрутизатор без специальных туннелей. Это идеальный вариант и самый простой в управлении.
• Статический IPv6Интернет-провайдер выделяет вам фиксированный блок (например, /48 или /56), а вы вручную настраиваете адрес и префикс на WAN-интерфейсе маршрутизатора.
• сквознойМаршрутизатор выступает в роли «моста» и позволяет устройству, находящемуся за ним, напрямую получать конфигурацию IPv6 (что типично для некоторых сценариев с автоматическим доступом к IP-адресам в глобальной сети).
• Туннели 6to4, 6in4 и 6rdМеханизмы перехода, которые инкапсулируют пакеты IPv6 в IPv4, когда провайдер или промежуточная инфраструктура еще не поддерживают собственный IPv6. Например, 6rd — это «быстрый» вариант развертывания без сохранения состояния, аналогичный 6to4.
• Специализированные сервисы, такие как IPv6 от FLET.Широко используется в Японии, где некоторые провайдеры внедряют собственные решения, требующие использования специальных шаблонов конфигурации маршрутизатора.

В любом случае, ключевой момент — сначала настроить WAN-соединение по протоколу IPv4 (автоматический IP, PPPoE, статический IP и т. д.), а затем выбрать соответствующий тип IPv6. Многие маршрутизаторы даже автоматически заполняют некоторые параметры IPv6, когда правильно определяют тип соединения.

Настройка IPv6 на обычном маршрутизаторе (например, ASUS)

Возьмем в качестве примера маршрутизатор ASUS , поскольку его меню довольно типично для меню маршрутизаторов многих других марок. Общий порядок действий обычно очень похож: зайти в веб-интерфейс, настроить параметры WAN, а затем перейти к разделу IPv6 в расширенных настройках.

Типичные шаги для активации IPv6 на этом типе маршрутизатора следующие:

1. Подключите компьютер к маршрутизатору. Подключитесь к маршрутизатору через кабель или Wi-Fi и получите доступ к веб-интерфейсу либо через IP-адрес локальной сети (например, 192.168.1.1), либо через определенный URL-адрес, например, http://www.asusrouter.com.
2. Войдите в консоль администрирования. с именем пользователя и паролем устройства. Если вы их забыли, единственный вариант — восстановить заводские настройки маршрутизатора и настроить его заново.
3. Сначала проверьте тип подключения IPv4 WAN. В разделе WAN > Подключение к Интернету вы можете увидеть, используете ли вы PPPoE, автоматический IP-адрес (DHCP), статический IP-адрес и т. д.
4. Войдите в меню IPv6 В расширенных настройках выберите тип подключения IPv6 в соответствии с указанными выше параметрами.

Например, типичная комбинация обычно выглядит так:

• Если WAN-соединение IPv4 находится в PPPoEВыберите тип IPv6 НативоМаршрутизатор будет использовать PPPoE-сессию для получения информации IPv6 от оператора.
• Если WAN-соединение по протоколу IPv4 Статический IP, выбирать Статический IPv6 В разделе IPv6 вручную заполните адрес, префикс, шлюз и DNS, предоставленные вашим интернет-провайдером.
• Если WAN-соединение IPv4 находится в Автоматический IP-адрес (DHCP)Многие путеводители рекомендуют использовать сквозной чтобы конфигурация IPv6 передавалась непосредственно устройству, которому она необходима, или управлялась автоматически.

После применения изменений маршрутизатор обычно частично перезапускает сетевую службу. Быстрый способ убедиться в получении параметров IPv6 — снова войти в систему и проверить раздел конфигурации IPv6 LAN: если вы видите назначенные адреса и префиксы, значит, часть IPv6 WAN работает.

Для подтверждения фактического подключения рекомендуется проверить наличие соединения на тестовой странице, например, test-ipv6.com, которая анализирует, правильно ли ваш браузер и провайдер поддерживают протокол, и сообщает, работаете ли вы в режиме двойного стека, есть ли ошибки DNS или у вас только IPv4.

Внедрение IPv6 в современных сетях с VLAN и префиксами /48

В более сложных условиях , например, в офисах с несколькими VLAN и оборудованием типа UniFi или Omada, интернет-провайдер обычно предоставляет большой статический префикс, например, /48. Далее ваша задача — разделить этот блок на подсети /64 (или другие, если платформа это поддерживает), которые вы назначите каждой VLAN или логическому сегменту.

Допустим, ваш провайдер предоставляет вам адрес /48, например, 2001:b33f:f33d::/48, а на WAN-интерфейсе вашего маршрутизатора вы используете 2001:b33f:f33d::2, при этом маршрутизатор вашего интернет-провайдера имеет адрес 2001:b33f:f33d::1. Эта конфигурация WAN — это просто исходящий канал. Важно то, как вы распределяете этот адрес /48 на стороне локальной сети.

В IPv6 очень часто используется размер /64 на каждом канале уровня 2, поскольку это рекомендуемый размер для обеспечения автоконфигурации (SLAAC) и других функций. Начиная с /48, у вас есть 2^(64-48) = 65 536 доступных подсетей /64; другими словами, у вас более чем достаточно, чтобы с комфортом выделять блоки для каждой VLAN, гостевой сети Wi-Fi, DMZ и т. д.

В настройках интерфейса локальной сети вашего маршрутизатора (например, на шлюзе UniFi или Omada) вы увидите поле «IPv6-адрес» или «IPv6-префикс» и выпадающее меню с длиной маски подсети от /64 до /127. Обычно рекомендуется оставлять значение /64, если только у вас нет какой-то очень специфической ситуации.

Идея примерно такова :

• VLAN 10 (корпоративная сеть): 2001:b33f:f33d:10::/64
• VLAN 20 (гости): 2001:b33f:f33d:20::/64
• VLAN 30 (серверы): 2001:b33f:f33d:30::/64
• VLAN 40 (лаборатория/IoT): 2001:b33f:f33d:40::/64

В каждой VLAN маршрутизатор будет иметь действительный адрес в префиксе /64, который будет выступать в качестве шлюза для клиентов; например, 2001:b33f:f33d:10::1 для VLAN 10, 2001:b33f:f33d:20::1 для VLAN 20 и так далее. Поле, которое многие устройства обозначают как «IP-адрес шлюза/подсеть», точно указывает на этот адрес маршрутизатора вместе с длиной префикса (/64).

Что касается клиентов , то они, как правило, получают один глобальный IPv6-адрес в пределах назначенной подсети /64, используя либо SLAAC, либо DHCPv6, либо их комбинацию (SLAAC для IP-адреса и DHCPv6 для дополнительных параметров, таких как DNS). Целые подсети обычно не выделяются отдельным устройствам, за исключением очень специфических случаев (например, внутренние маршрутизаторы, которые распределяют префиксы с помощью DHCPv6-PD).

При разделении адресного пространства между несколькими VLAN , вместо того чтобы беспокоиться о потреблении (у вас достаточно префиксов), вы заинтересованы в том, чтобы сделать схему упорядоченной и простой для понимания: используйте номера VLAN в последних 16 битах префикса, зарезервируйте последовательные диапазоны для внутренних служб, разделите гостевые системы, IoT и производственные системы с помощью четко разграниченных блоков и т. д.

Автоматическая настройка, DAD и расширенные параметры IPv6 на интерфейсах.

При включении IPv6 на интерфейсе (LAN, VLAN, туннель и т. д.) многие системы позволяют настраивать расширенные параметры, которые по умолчанию достаточно хорошо оптимизированы. Как правило, лучше не трогать их, если только у вас нет очень специфических требований к вашей сети.

Одним из таких параметров является «лимит переходов », эквивалентный TTL в IPv4: максимальное количество переходов через маршрутизатор, которое может пройти пакет, прежде чем быть отброшенным. Наиболее распространенное значение по умолчанию — 64, чего обычно более чем достаточно даже в больших сетях.

Ещё один распространённый параметр — количество передач DAD (обнаружение дубликатов адресов). В IPv6 перед использованием адреса выполняется проверка на отсутствие дубликатов в сети. Типичное значение — 1, что сокращает время настройки при минимальной проверке. Установка значения 0 отключает обнаружение дубликатов адресов, что, как правило, не рекомендуется, за исключением строго контролируемых сценариев.

В большинстве контроллеров и маршрутизаторов эти параметры можно найти на специальной вкладке IPv6 при редактировании интерфейса. В документации обычно рекомендуется оставлять значения по умолчанию, если вы точно не знаете, что именно меняете и зачем.

Контроль доступа и безопасность в IPv6: списки контроля доступа (ACL) вместо NAT.

Ключевое отличие от IPv4 заключается в том, что IPv6 не использует NAT таким же образом. Каждое устройство может иметь глобально маршрутизируемые адреса непосредственно из интернета, поэтому первой линией безопасности становится брандмауэр/ACL шлюза, а не побочный эффект самого NAT.

В шлюзах типа Omada ключевое значение имеет функциональность списков контроля доступа (ACL) IPv6. Она позволяет администратору определять правила фильтрации трафика на основе адреса источника, адреса назначения, портов или протоколов, а также решать, разрешать или запрещать каждый тип трафика.

По умолчанию многие шлюзы Omada уже блокируют доступ из внешних сетей во внутренние сети, когда речь идёт о трафике IPv6, именно потому, что в них отсутствует NAT для «скрытия» внутренних адресов. Другими словами, доступ из интернета в вашу локальную сеть полностью блокируется, если вы явно не создадите лазейки.

Для типичных сценариев контроля доступа по протоколу IPv6 существует несколько вариантов конфигурации:

• Запретить доступ из интернета к внутренней сети.Обычно это заблокировано по умолчанию, но вы можете пересмотреть или дополнительно ужесточить политику, добавив списки контроля доступа (ACL) в IPv6.
• Разрешить доступ к внутреннему серверу (например, веб-сервер в серверной VLAN): определяется внутренняя группа IPv6-адресов (my_server) и внешняя группа клиентов или диапазонов (my_client), и создается правило ACL типа WAN-IN для разрешения этого трафика.
• Ограничить доступ в интернет для определенных устройств. (например, детские компьютеры или устройства IoT): создается группа IPv6 с этими клиентами (children_pc) и еще одна, представляющая Интернет, и для этой группы добавляется правило ACL LAN->WAN в режиме запрета.

Рабочий процесс в Omada можно кратко описать следующим образом: правильная настройка WAN-соединения IPv6, включение и установка режима IPv6 в локальных сетях/VLAN, определение групп IPv6 с интересующими вас адресами или диапазонами, и, наконец, создание правил ACL шлюза, где вы выбираете направление трафика (ВХОД, ВЫХОД, LAN->WAN), политику (Разрешить/Запретить), протоколы и пары источник/назначение на основе этих групп.

Важно убедиться, что микропрограмма шлюза обновлена, поскольку для большинства современных функций контроля доступа по протоколу IPv6 могут потребоваться последние версии системного программного обеспечения.

Активация IPv6 в домашних условиях и в небольших офисах

В домашних условиях или в небольшом офисе процесс активации IPv6 обычно не так сложен, как кажется. Ключевым моментом является то, что ваш интернет-провайдер уже поддерживает IPv6 на вашем канале связи, и ваш маршрутизатор корректно его распознает.

Общие шаги будут следующими :

1. Уточните у своего поставщика. Уточните, поддерживает ли ваше соединение IPv6 и в каком режиме (двойной стек, только IPv6 с NAT64 и т. д.). Также спросите, нужно ли вам менять оборудование или прошивку.
2. Убедитесь, что маршрутизатор поддерживает IPv6.Это распространенная проблема в современном оборудовании, таком как FRITZ!Box, маршрутизаторы ASUS, TP-Link Archer (C, AX и т. д.), Omada, UniFi и др.
3. Получите доступ к веб-интерфейсу маршрутизатора. (192.168.1.1, 192.168.0.1 или другой, в зависимости от производителя) и найдите раздел IPv6 в расширенных настройках или в меню сети.
4. Включите IPv6 и выберите тип подключения. Указанные интернет-провайдером протоколы: DHCPv6, PPPoE с собственным IPv6, статический IP-адрес, 6-й туннель и т. д.
5. Примените изменения и перезапустите систему при необходимости.Далее, проверьте на таком сайте, как test-ipv6.com, использует ли ваше интернет-соединение протокол IPv6.

В большинстве современных операционных систем (Windows 10/11, macOS, Linux, Android, iOS) IPv6 включен по умолчанию. Например, в Windows достаточно перейти в свойства сетевого адаптера и убедиться, что установлен флажок «Протокол интернета версии 6 (TCP/IPv6)».

После того как маршрутизатор корректно объявит префикс и у клиентов будет включен IPv6, каждое устройство автоматически получит свой глобальный и локальный адрес, без необходимости вносить какие-либо изменения в само устройство.

Взгляд Windows: предпочтение IPv4/IPv6 и частичная деактивация

В средах, управляемых Windows , важно знать, что система реализует логику выбора адреса, описанную в RFC 3484, поддерживая таблицу префиксов, которая определяет, какой адрес использовать, когда одна и та же машина имеет несколько IP-адресов (IPv4 и IPv6), связанных с именем DNS.

По умолчанию Windows обычно использует IPv6, когда доступен глобальный одноадресный адрес и установлено корректное соединение, хотя она также вполне способна работать параллельно с IPv4.

Некоторые администраторы предпочитают отключать или ограничивать использование IPv6 для диагностики проблем в сети, особенно когда подозреваются проблемы, связанные с разрешением имен или неполной конфигурацией IPv6. Microsoft предоставляет централизованный механизм мониторинга использования IPv6 через системный реестр.

Соответствующий раздел реестра :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Это значение типа REG_DWORD , которое может принимать значения от 0x00 (поведение по умолчанию, IPv6 полностью включен) до 0xFF (фактически отключает IPv6 на большинстве интерфейсов, хотя система по-прежнему использует его внутри для своих собственных задач).

Вот несколько полезных настроек :

• Предпочтительнее использовать IPv4, а не IPv6.Значение 0x20 (32 в десятичной системе). Сохраняет IPv6 активным, но изменяет политику префиксов таким образом, чтобы при наличии IPv4 выбирался именно этот протокол. Это считается предпочтительнее полного отключения IPv6.
• Отключить IPv6 на интерфейсах, не являющихся туннелями.: значение 0x10 (16 в десятичной системе), которое влияет на собственные интерфейсы.
• Отключить IPv6 на туннельных интерфейсах: значение 0x01 (1 знак после запятой), полезно, если переходные технологии, такие как 6to4, ISATAP или Teredo, не желательны.
• Выключите почти везде: 0xFF (255 в десятичной системе), что отключает IPv6 как в туннелях, так и в собственных интерфейсах, за исключением того, что система сохраняет ::1 для использования в режиме обратной связи и внутри сети.

Чтобы изменить это значение из административной консоли, можно использовать следующую команду:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows использует битовую маску для этого поля, чтобы определить, какие компоненты отключены: туннели, 6to4, ISATAP, Teredo, собственные интерфейсы, предпочтения IPv4 и т. д. Каждый бит интерпретируется как истина (1) или ложь (0) для различных функций, а определенные комбинации, такие как 0x20, 0x10, 0x01 или 0x11, соответствуют распространенным сценариям, описанным Microsoft.

Важно понимать, что этот ключ не изменяет состояние флажка «Протокол интернета версии 6 (TCP/IPv6)» в свойствах интерфейса; то есть, флажок будет отображаться установленным, даже если вы ограничили или отключили IPv6 на уровне реестра. Это ожидаемое поведение.

Если вы хотите отключить IPv6 для конкретного интерфейса, вы можете сделать следующее:

• Снимите флажок IPv6 в сетевых свойствах адаптера.
• Используйте PowerShell с командой, например:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Кроме того, Windows автоматически включает такие технологии, как 6to4, если компьютер имеет публичные IPv4-адреса. Если вы не хотите, чтобы эти туннельные интерфейсы создавались или IPv6-адреса автоматически регистрировались в DNS, вы можете отключить их, установив параметр DisabledComponents в значение 0x01 или используя параметры групповой политики, которые отключают 6to4, ISATAP и Teredo.

Модели маршрутизаторов и поддержка IPv6

Поддержка IPv6 постепенно распространилась практически на все маршрутизаторы среднего и высокого класса для дома и малого бизнеса. Такие бренды, как ASUS, AVM FRITZ!Box, TP-Link (серии Archer и Omada) и другие производители решений SD-WAN, как правило, включают полную поддержку IPv6 в свои последние обновления прошивки.

В экосистеме TP-Link Archer, например , существует множество моделей, предназначенных для различных сценариев использования (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000, AX73, C50, A10, A54, AX4800, C1900, C55, C54, A2300, TL-WR841N V14.20, AXE75, A6, A7, AX72, AXE5400V, AXE200 Omni, A5, GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX60, AX11000, AX3200, AX3000...).

Во многих из этих моделей поддержка IPv6 или отдельные функции (например, DHCPv6-PD, туннелирование, родительский контроль IPv6, расширенные списки контроля доступа и т. д.) были улучшены с помощью обновлений прошивки. Рекомендуется проверить центр загрузки производителя, убедиться в версии аппаратного обеспечения вашего устройства и ознакомиться с технической документацией или примечаниями к выпуску, чтобы узнать, что было добавлено в последнее время.

Также следует учитывать, что доступность определенных продуктов и функций зависит от региона, поэтому конкретная модель с определенными возможностями IPv6 может быть недоступна в вашей стране или может не обладать точно такими же функциями, как в другом регионе.

Поддержка, тестирование прошивки и функциональное тестирование.

При работе с IPv6 особенно важно обновлять прошивку оборудования: ошибки в реализации DHCPv6, сбои в RA (Router Advertisements), проблемы с туннелями 6rd/6to4 или несовместимость с ACL могут значительно осложнить работу.

Как правило, производители централизуют загрузку драйверов, микропрограмм, утилит и руководств в своих центрах поддержки (например, в Центре загрузок ASUS или на портале поддержки FRITZ!Box). Регулярная проверка примечаний к выпуску позволит вам узнать об улучшениях, связанных с IPv6, безопасностью и производительностью.

После любых существенных изменений конфигурации (включение IPv6, изменение префиксов, настройка списков контроля доступа, изменение предпочтений IPv4/IPv6 на клиентах Windows и т. д.) рекомендуется провести как минимум ряд тестов:

• Переходите на сайты, которые разрешают трафик только по IPv6 или отдают приоритет IPv6.
• Используйте такие инструменты, как test-ipv6.com, для проверки подключения, DNS, утечек и переходов.
• Проведите проверку доступности (ping) и трассировку маршрута до внутренних и внешних IPv6-адресов.
• Убедитесь, что правила брандмауэра/ACL работают должным образом для трафика IPv6.

Если что-то не работает , типичный план диагностики включает проверку настроенного типа подключения, проверку правильности префиксов локальной сети, проверку получения клиентами действительных адресов, обновление прошивки и, в конечном итоге, сброс маршрутизатора до заводских настроек, чтобы исключить влияние устаревших конфигураций.

В этом сценарии IPv6 перестает быть «странным» и становится просто еще одним инструментом в вашем арсенале сетевых ресурсов: при правильной настройке он обеспечивает гораздо более чистую схему адресации, упрощает некоторые сценарии публикации служб и, будучи хорошо защищенным с помощью списков контроля доступа (ACL) и межсетевых экранов, не обязательно представляет дополнительный риск по сравнению с IPv4, а скорее наоборот, благодаря своей более современной конструкции.