IPv6 avancerad nätverkskonfiguration: En komplett praktisk guide

Informatec Digital » Resurser » IPv6 avancerad nätverkskonfiguration: En komplett praktisk guide

Att ta steget till IPv6 i ett avancerat nätverk är inte längre något man gör "senare": distansarbete, fler enheter, molntjänster och IPv4-bristen innebär att det är en förändring man måste ta itu med förr eller senare. Den goda nyheten är att med rätt planering kan du driftsätta IPv6 i ditt företags- eller avancerade hemnätverk utan att bli galen och dra nytta av dess verkliga fördelar inom prestanda, säkerhet och skalbarhet.

I den här artikeln ska vi gå in på detaljerna : vad IPv6 är, hur det passar ihop med IPv4 (dubbelstack, övergång), hur man konfigurerar det på vanliga routrar (ASUS, Omada, UniFi, FRITZ!Box, etc.), hur man delar upp ett företags-/48-nätverk i VLAN, vilka alternativ man kan välja i IPv6-menyerna, hur man styr åtkomst med ACL:er istället för NAT, och vilka specialinställningar man bör känna till på system som Windows för att allt ska fungera som förväntat.

Vad är IPv6 och varför bör du aktivera det nu?

IPv6 är den moderna versionen av IP-protokollet , utformat för att gradvis ersätta IPv4 och framför allt för att lösa problemet med utmattningen av publika IP-adresser. Medan IPv4 använder 32-bitarsadresser (ungefär 4.294 miljarder teoretiska adresser), använder IPv6 128 bitar, vilket resulterar i ett astronomiskt antal adresser, i storleksordningen 340 sextillioner.

I praktiken innebär det att du kan tilldela en unik offentlig IP-adress till praktiskt taget alla enheter, virtuella maskiner, behållare eller tjänster, vilket eliminerar mycket av besväret med att jonglera NAT, portar och komplexa översättningar. Dessutom inkluderar IPv6 inbyggda förbättringar inom autokonfiguration, nätverkssegmentering och stöd för avancerade tjänster.

När du ansluter till en webbplats omvandlas domännamnet till en IP-adress (v4 eller v6) som identifierar destinationen i nätverket. Med IPv4 är du van vid att se adresser som 192.168.1.1 eller 10.0.0.1. Med IPv6 är formatet hexadecimalt och representeras med block separerade med kolon, till exempel 2001:db8:abcd:1::1.

Idag använder de flesta operatörer IPv6 i dual-stack-läge, vilket innebär att de förser klienten med både IPv4- och IPv6-adresser samtidigt. Systemet och applikationerna väljer vilket protokoll som ska användas baserat på preferenspolicyer, och prioriterar vanligtvis IPv6 när det är tillgängligt och funktionellt.

IPv6-anslutningstyper och övergångsmekanismer

Innan du ändrar några inställningar på din router behöver du veta vilken typ av IPv6-anslutning din internetleverantör erbjuder. Du måste vanligtvis välja den här typen i WAN- eller internetsektionen på din router. Om du inte vet, fråga din internetleverantör, eftersom detta är avgörande för korrekt IPv6-konfiguration i ditt nätverk.

Bland de vanligaste typerna av routrar för hem och företag hittar du alternativ som:

• Nativo (ibland kallat ”Native” eller helt enkelt ”IPv6”): operatören dirigerar ett IPv6-prefix direkt till din router, utan speciella tunnlar. Detta är det ideala fallet och det enklaste att hantera.
• Statisk IPv6Internetleverantören tilldelar dig ett fast block (till exempel /48 eller /56) och du konfigurerar manuellt adressen och prefixet på routerns WAN-gränssnitt.
• Passera genomRoutern fungerar som en "brygga" och låter enheten bakom den direkt hämta IPv6-konfigurationen (vanligt i vissa scenarier med automatisk IP på WAN).
• Tunnelerna 6to4, 6in4 och 6rdÖvergångsmekanismer som inkapslar IPv6-paket inom IPv4 när leverantören eller den mellanliggande infrastrukturen ännu inte stöder inbyggd IPv6. 6:e, till exempel, är en "snabb" tillståndslös distributionsvariant som liknar 6to4.
• Specifika tjänster som FLET:s IPv6: används ofta i Japan, där vissa leverantörer implementerar sina egna lösningar som kräver specifika konfigurationsmallar på routern.

I vilket fall som helst är det viktigaste att först konfigurera IPv4 WAN-anslutningen (automatisk IP, PPPoE, statisk IP, etc.) och sedan välja motsvarande IPv6-typ. Många routrar fyller till och med automatiskt i vissa av IPv6-parametrarna när de korrekt identifierar anslutningstypen.

Konfigurera IPv6 på en typisk router (t.ex. ASUS)

Låt oss ta en ASUS-router som exempel , eftersom dess menyer är ganska representativa för vad du ser hos många andra märken. Det allmänna flödet är vanligtvis mycket likt: gå till webbgränssnittet, justera WAN-inställningarna och gå sedan till det specifika IPv6-avsnittet i Avancerade inställningar.

Typiska steg för att aktivera IPv6 på den här typen av router är:

1. Anslut en dator till routern via kabel eller WiFi och åtkomst till webbgränssnittet, antingen via LAN-IP-adressen (till exempel 192.168.1.1) eller en specifik URL som http://www.asusrouter.com.
2. Logga in på administratörskonsolen med enhetens användarnamn och lösenord. Om du har glömt dem är det enda alternativet att återställa routern till fabriksinställningarna och konfigurera den igen.
3. Kontrollera först IPv4 WAN-anslutningstypen I avsnittet WAN > Internetanslutning ser du om du använder PPPoE, automatisk IP (DHCP), statisk IP osv.
4. Gå in i IPv6-menyn i de avancerade inställningarna och välj IPv6-anslutningstyp enligt ovanstående.

Till exempel är en typisk kombination vanligtvis:

• Om IPv4 WAN är i PPPoEVälj IPv6-typ NativoRoutern använder PPPoE-sessionen för att hämta IPv6-information från operatören.
• Om IPv4 WAN är Statisk IP, att välja Statisk IPv6 i IPv6-avsnittet och fyll manuellt i adressen, prefixet, gatewayen och DNS-adressen som din internetleverantör gav dig.
• Om IPv4 WAN är i Automatisk IP (DHCP)Många guider rekommenderar att man använder Passera genom så att IPv6-konfigurationen skickas direkt till den enhet som kräver den eller hanteras automatiskt.

Efter att ändringarna har tillämpats startar routern vanligtvis delvis om nätverkstjänsten. Ett snabbt sätt att verifiera att du tar emot IPv6-parametrar är att logga in igen och kontrollera avsnittet för IPv6 LAN-konfiguration: om du ser tilldelade adresser och prefix fungerar IPv6 WAN-delen.

För att bekräfta faktisk anslutning rekommenderas det att besöka en testsida som test-ipv6.com, som analyserar om din webbläsare och leverantör stöder protokollet korrekt och berättar om du använder dual stack, om det finns DNS-fel eller om du bara har IPv4.

Implementering av IPv6 i avancerade nätverk med VLAN och /48-prefix

I mer seriösa miljöer , som kontor med flera VLAN och UniFi- eller Omada-liknande utrustning, tillhandahåller internetleverantören vanligtvis ett stort statiskt prefix, till exempel /48. Därifrån är ditt jobb att dela upp det blocket i /64-subnät (eller andra, om plattformen stöder det) som du tilldelar varje VLAN eller logiskt segment.

Låt oss säga att din leverantör ger dig en /48 -adress som 2001:b33f:f33d::/48, och att du använder 2001:b33f:f33d::2 på din routers WAN-gränssnitt, medan din internetleverantörs router är 2001:b33f:f33d::1. Den WAN-konfigurationen är helt enkelt den utgående länken. Det viktiga är hur du distribuerar den /48-adressen på LAN-sidan.

I IPv6 är det mycket vanligt att arbeta med /64 på varje Layer 2-länk eftersom det är den rekommenderade storleken för att möjliggöra autokonfiguration (SLAAC) och andra funktioner. Från och med /48 har du 2^(64-48) = 65 536 tillgängliga /64 subnät; med andra ord har du mer än tillräckligt för att bekvämt tilldela block till varje VLAN, gäst-Wi-Fi-nätverk, DMZ, etc.

I routerns LAN-gränssnittsinställningar (till exempel på en UniFi- eller Omada-gateway) ser du ett fält för "IPv6-adress" eller "IPv6-prefix" och en rullgardinsmeny med subnätmasklängder mellan /64 och /127. Det rekommenderas vanligtvis att lämna den på /64, såvida du inte har en mycket specifik situation.

Tanken är ungefär så här :

• VLAN 10 (företagsnätverk): 2001:b33f:f33d:10::/64
• VLAN 20 (gäster): 2001:b33f:f33d:20::/64
• VLAN 30 (servrar): 2001:b33f:f33d:30::/64
• VLAN 40 (lab/IoT): 2001:b33f:f33d:40::/64

I varje VLAN har routern en giltig adress inom prefixet /64, som fungerar som gateway för klienter; till exempel 2001:b33f:f33d:10::1 för VLAN 10, 2001:b33f:f33d:20::1 för VLAN 20, och så vidare. Fältet som många enheter märker som "Gateway IP/Subnet" refererar exakt till den routeradressen tillsammans med längden på prefixet (/64).

När det gäller klienter kommer de vanligtvis att få en enda global IPv6-adress inom det tilldelade /64-subnätet, antingen via SLAAC, DHCPv6 eller en kombination av båda (SLAAC för IP-adressen och DHCPv6 för ytterligare parametrar som DNS). Hela subnät delegeras vanligtvis inte till enskilda enheter förutom i mycket specifika sammanhang (till exempel interna routrar som distribuerar prefix med DHCPv6-PD).

När man delar upp adressutrymmet mellan flera VLAN , snarare än att oroa sig för förbrukning (du har gott om prefix), är du intresserad av att göra schemat ordnat och lättförståeligt: ​​använd VLAN-nummer i de sista 16 bitarna av prefixet, reservera på varandra följande intervall för interna tjänster, separera gäster, IoT och produktion med väl differentierade block, etc.

Autokonfiguration, DAD och avancerade IPv6-parametrar på gränssnitt

När du aktiverar IPv6 på ett gränssnitt (LAN, VLAN, tunnel, etc.) tillåter många system dig att justera avancerade parametrar som är någorlunda väljusterade som standard. Det är generellt bäst att inte röra dem om du inte har ett mycket specifikt krav i ditt nätverk.

En av dessa parametrar är "hoppgränsen ", vilket motsvarar TTL i IPv4: det maximala antalet routerhopp ett paket kan ta innan det kasseras. Det vanligaste standardvärdet är 64, vilket vanligtvis är mer än tillräckligt även i stora nätverk.

En annan vanlig inställning är antalet DAD- överföringar (Duplicate Address Detection). IPv6 kör en process för att kontrollera att en adress inte dupliceras i nätverket innan den används. Ett typiskt värde är 1, vilket minskar konfigurationstiden samtidigt som kontrollen minimeras. Om du ställer in den på 0 inaktiveras duplicerad adressdetektering, vilket i allmänhet inte rekommenderas förutom i mycket kontrollerade scenarier.

I de flesta styrenheter och routrar hittar du dessa parametrar i en dedikerad IPv6-flik när du redigerar gränssnittet. Dokumentationen rekommenderar vanligtvis att du lämnar standardvärdena om du inte vet exakt vad du ändrar och varför.

Åtkomstkontroll och säkerhet i IPv6: ACL:er istället för NAT

En viktig skillnad från IPv4 är att IPv6 inte använder NAT på samma sätt. Varje enhet kan ha globalt routerbara adresser direkt från internet, så den första säkerhetslinjen blir gatewayens brandvägg/ACL istället för bieffekten av själva NAT.

I Omada-typ gateways är IPv6-åtkomstkontrolllistan (ACL) nyckeln. Den låter administratören definiera regler som filtrerar trafik baserat på källadress, destinationsadress, portar eller protokoll, och bestämma om varje typ av trafik ska tillåtas eller nekas.

Som standard blockerar många Omada-gateways redan åtkomst från externa nätverk till interna nätverk när det gäller IPv6-trafik, just för att det inte finns någon NAT för att "dölja" interna adresser. Med andra ord är åtkomst från internet till ditt lokala nätverk helt blockerad om du inte uttryckligen skapar kryphål.

För typiska IPv6-åtkomstkontrollscenarier finns det flera konfigurationsmönster:

• Förhindra åtkomst från internet till det interna nätverketDen är vanligtvis blockerad som standard, men du kan granska eller ytterligare skärpa policyn med ytterligare ACL:er i IPv6.
• Tillåt åtkomst till en intern server (till exempel en webbserver i ett server-VLAN): en intern IPv6-adressgrupp (min_server) och en extern klient- eller intervallgrupp (min_klient) definieras, och en ACL-regel av WAN-IN-typ skapas för att tillåta den trafiken.
• Begränsa internetåtkomst för vissa enheter (till exempel barns datorer eller IoT-enheter): en IPv6-grupp skapas med dessa klienter (children_pc) och en annan som representerar internet, och en LAN->WAN ACL-regel läggs till i neka-läge för den gruppen.

Arbetsflödet i Omada kan sammanfattas enligt följande: konfigurera IPv6 WAN-anslutningen korrekt, aktivera och ställa in IPv6-läget på LAN/VLAN, definiera IPv6-grupper med de adresser eller intervall du är intresserad av och slutligen skapa gateway ACL-regler där du väljer trafikriktning (IN, UT, LAN->WAN), policy (Tillåt/Neka), protokoll och käll-/destinationspar baserat på dessa grupper.

Det är viktigt att säkerställa att gatewayens firmware är uppdaterad, eftersom de modernaste IPv6-åtkomstkontrollfunktionerna kan kräva nyare versioner av systemprogramvaran.

Aktivera IPv6 i hemmiljöer och små kontorsmiljöer

I ett hem eller ett litet kontor är IPv6-aktiveringsprocessen vanligtvis mindre skrämmande än den verkar. Nyckeln är att din internetleverantör redan erbjuder IPv6-stöd på din linje och att din router känner igen det korrekt.

De allmänna stegen skulle vara :

1. Bekräfta med din leverantör Bekräfta att din anslutning stöder IPv6 och i vilket läge (dubbel stack, endast IPv6 med NAT64, etc.). Fråga även om du behöver ändra din utrustning eller firmware.
2. Kontrollera att routern stöder IPv6Detta är vanligt i modern utrustning som FRITZ!Box, ASUS-routrar, TP-Link Archer (C, AX, etc.), Omada, UniFi, etc.
3. Åtkomst till routerns webbgränssnitt (192.168.1.1, 192.168.0.1 eller en annan, beroende på tillverkare) och leta efter IPv6-avsnittet i de avancerade alternativen eller i nätverksmenyn.
4. Aktivera IPv6 och välj anslutningstyp anges av internetleverantören: DHCPv6, PPPoE med inbyggd IPv6, statisk IP, 6:e tunneln, etc.
5. Tillämpa ändringarna och starta om om det behövsKontrollera sedan med en webbplats som test-ipv6.com om din internetanslutning redan använder IPv6.

I de flesta moderna operativsystem (Windows 10/11, macOS, Linux, Android, iOS) är IPv6 aktiverat som standard. I Windows, till exempel, går du helt enkelt till nätverkskortets egenskaper och ser till att rutan "Internet Protocol Version 6 (TCP/IPv6)" är markerad.

När routern korrekt annonserar prefixet och klienterna har aktiverat IPv6, kommer varje enhet automatiskt att hämta sin globala och länklokala adress, utan att behöva röra något på själva enheten.

Windows perspektiv: IPv4/IPv6-inställning och partiell inaktivering

I Windows-hanterade miljöer är det viktigt att veta att systemet implementerar den adressvalslogik som beskrivs i RFC 3484, och upprätthåller en prefixtabell som avgör vilken adress som ska användas när samma maskin har flera IP-adresser (IPv4 och IPv6) associerade med ett DNS-namn.

Som standard använder Windows IPv6 när en global unicast-adress är tillgänglig och anslutningen är korrekt, även om det fortfarande är fullt kapabelt att arbeta parallellt med IPv4.

Vissa administratörer väljer att inaktivera eller begränsa IPv6 för att diagnostisera nätverksproblem, särskilt när problem relaterade till namnmatchning eller ofullständiga IPv6-konfigurationer misstänks. Microsoft tillhandahåller en centraliserad mekanism för att övervaka IPv6-användning via systemregistret.

Den relevanta registernyckeln är:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Detta är ett REG_DWORD-värde som kan variera från 0x00 (standardbeteende, IPv6 helt aktiverat) till 0xFF (vilket effektivt inaktiverar IPv6 på de flesta gränssnitt, även om systemet fortfarande använder det internt för sina egna uppgifter).

Några användbara inställningar är :

• Föredra IPv4 framför IPv6: värde 0x20 (32 decimaler). Håller IPv6 aktivt men modifierar prefixpolicyer så att IPv4 väljs när det är tillgängligt. Detta anses vara att föredra framför att inaktivera IPv6 helt.
• Inaktivera IPv6 på icke-tunnelgränssnitt: värde 0x10 (16 decimaler), vilket påverkar inbyggda gränssnitt.
• Inaktivera IPv6 på tunnelgränssnitt: värde 0x01 (1 decimal), användbart om övergångstekniker som 6to4, ISATAP eller Teredo inte önskas.
• Stäng av nästan överallt: 0xFF (255 decimaler), vilket inaktiverar IPv6 i både tunnlar och nativa gränssnitt, med undantaget att systemet fortfarande behåller ::1 för loopback och intern användning.

För att ändra detta värde från en administrativ konsol kan du använda ett kommando som detta:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d <valor> /f

Windows använder en bitmask i det här fältet för att avgöra vilka komponenter som är inaktiverade: tunnlar, 6to4, ISATAP, Teredo, inbyggda gränssnitt, IPv4-preferenser etc. Varje bit tolkas som sant (1) eller falskt (0) för de olika funktionerna, och specifika kombinationer som 0x20, 0x10, 0x01 eller 0x11 motsvarar vanliga scenarier som dokumenterats av Microsoft.

Det är viktigt att förstå att den här nyckeln inte ändrar statusen för kryssrutan "Internet Protocol Version 6 (TCP/IPv6)" i gränssnittsegenskaperna; det vill säga att du kan se kryssrutan markerad även om du har begränsat eller inaktiverat IPv6 på registernivå. Detta är det förväntade beteendet.

Om du vill separera IPv6 från ett specifikt gränssnitt kan du:

• Avmarkera kryssrutan IPv6 i nätverksegenskaperna för adaptern.
• Använd PowerShell med ett kommando som:
  Disable-NetAdapterBinding -Name "NombreDeMiAdaptador" -ComponentID ms_tcpip6

Dessutom aktiverar Windows automatiskt tekniker som 6to4 när datorn har publika IPv4-adresser. Om du inte vill att dessa tunnelgränssnitt ska skapas eller att IPv6-adresser ska registreras automatiskt i DNS kan du inaktivera dem genom att ställa in DisabledComponents till 0x01 eller använda grupprincipinställningar som inaktiverar 6to4, ISATAP och Teredo.

Routermodeller och IPv6-stöd

IPv6-stödet har gradvis utökats till praktiskt taget alla routrar i mellan- och avancerad prisklass för hem och småföretag. Varumärken som ASUS, AVM FRITZ!Box, TP-Link (Archer- och Omada-serien) och andra SD-WAN-lösningar inkluderar vanligtvis fullt IPv6-stöd i sina senaste firmwareuppdateringar.

I TP-Link Archers ekosystem finns det till exempel många modeller som är inriktade på olika scenarier (AX57, C1200, C5400, AX55, C4, C5200, AX53, C5, AX10, C2, AX51, AX96, A2200, TL-WR1043N V5, C80, AXE95, C8, AX10000, C3150, C9, AX50, C6, C7, AX90, AX6000, C5400X, C25, C24, A20, A64, C60, C2600, A1200, C21, C20, C64, AX1800, AX206, C59, C58, AX4200, C3200, C900, A2, AX75, AX4400, C3000. GX90, A8, A9, AX68, C2300, AX5300, C1210, AX23, AX20, C4000, AX21, AX3000V, A3000, C2700, AXE300, AX1500, AX300,00,

I många av dessa modeller har IPv6-stöd eller specifika funktioner (t.ex. DHCPv6-PD, tunneling, IPv6-föräldrakontroller, avancerade ACL:er etc.) förbättrats med firmwareuppdateringar. Det är en bra idé att kontrollera tillverkarens nedladdningscenter, verifiera enhetens hårdvaruversion och läsa databladet eller versionsinformationen för att se vad som har lagts till nyligen.

Tänk också på att tillgängligheten för vissa produkter och funktioner varierar beroende på region, så en specifik modell med vissa IPv6-funktioner kanske inte är tillgänglig i ditt land eller kanske inte har exakt samma funktioner som i ett annat område.

Support, firmware och funktionstestning

När du arbetar med IPv6 är det särskilt viktigt att hålla din utrustnings firmware uppdaterad: buggar i DHCPv6-implementeringen, fel i RA (Router Advertisements), problem med 6rd/6to4-tunnlar eller inkompatibilitet med ACL:er kan komplicera ditt liv avsevärt.

Tillverkare centraliserar vanligtvis nedladdningar av drivrutiner, firmware, verktyg och manualer i sina supportcenter (till exempel ASUS Download Center eller FRITZ!Box supportportal). Att regelbundet kontrollera versionsinformationen ger dig ledtrådar om förbättringar relaterade till IPv6, säkerhet och prestanda.

Efter en större konfigurationsändring (aktivering av IPv6, ändring av prefix, justering av ACL:er, ändring av IPv4/IPv6-inställningar på Windows-klienter etc.) är det lämpligt att utföra ett minimum av tester:

• Navigera till webbplatser som bara använder IPv6 eller som prioriterar IPv6.
• Använd verktyg som test-ipv6.com för att kontrollera anslutning, DNS, läckor och övergång.
• Testa pings och traceroutes till både interna och externa IPv6-adresser.
• Kontrollera att brandväggs-/ACL-reglerna fungerar som förväntat för IPv6-trafik.

Om något inte fungerar inkluderar en typisk diagnostikplan att kontrollera den konfigurerade anslutningstypen, verifiera att LAN-prefixen är korrekta, kontrollera om klienter tar emot giltiga adresser, uppdatera firmware och slutligen återställa routern till fabriksinställningarna för att utesluta störande äldre konfigurationer.

I det här scenariot upphör IPv6 att vara den där "udda bollen" och blir bara ytterligare ett verktyg i din nätverksresurslåda: korrekt konfigurerad ger det dig ett mycket renare adresseringsschema, förenklar vissa scenarier för tjänstepublicering och, väl skyddat med ACL:er och brandväggar, utgör det inte nödvändigtvis en ytterligare risk jämfört med IPv4, utan snarare tvärtom tack vare sin modernare design.