Muitas empresas já recebem IPv6 do provedor, mas continuam utilizando somente IPv4 porque o protocolo não foi configurado no roteador ou firewall. Entenda por que isso precisa mudar e veja exemplos práticos de configuração.
TÍTULO
IPv6: sua Internet já está pronta. E a sua rede?
SUBTÍTULO / CHAMADA
Muitas empresas já recebem IPv6 do provedor, mas continuam utilizando somente IPv4 porque o protocolo não foi configurado no roteador ou firewall. Entenda por que isso precisa mudar e veja exemplos práticos de configuração.
------------------------------------------------------------
IPv6: SUA INTERNET JÁ ESTÁ PRONTA. E A SUA REDE?
Você já ouviu falar em IPv6?
Talvez sua empresa já tenha IPv6 disponível no link de Internet e nem esteja utilizando.
Essa é uma situação que encontramos com certa frequência na ZAZ.
Em muitos clientes empresariais, o roteador ou firewall é administrado pela própria equipe de TI ou por uma empresa terceirizada. A conexão entregue pela ZAZ está preparada para trabalhar com IPv6, mas o protocolo acaba não sendo configurado na rede interna.
Na maioria das vezes, isso não acontece por limitação do link.
A barreira costuma ser outra: o IPv6 ainda é visto por muitos profissionais como algo complexo, desnecessário ou que só precisará ser utilizado no futuro.
Só que esse futuro já chegou.
O IPv6 já faz parte da Internet atual e sua adoção é um caminho sem volta.
POR QUE PRECISAMOS DE OUTRO PROTOCOLO IP?
Todo equipamento que se comunica através da Internet precisa utilizar um endereço IP.
Durante décadas, o protocolo dominante foi o IPv4.
Um endereço IPv4 possui uma aparência bastante conhecida:
8.8.8.8
O IPv4 utiliza endereços de 32 bits, o que permite aproximadamente 4,3 bilhões de endereços.
Quando o protocolo foi criado, esse número parecia gigantesco.
Mas a Internet cresceu muito além do que se imaginava.
Hoje temos bilhões de smartphones, computadores, servidores, televisores, câmeras, roteadores, sensores, videogames, equipamentos industriais e dispositivos IoT conectados.
E muitos usuários possuem vários dispositivos ao mesmo tempo.
Resultado: endereços IPv4 públicos se tornaram um recurso escasso.
É justamente aí que entra o IPv6.
Um endereço IPv6 pode ter esta aparência:
2001:db8:10:20::1
O IPv6 utiliza endereços de 128 bits.
Na prática, isso cria um espaço de endereçamento tão grande que muda completamente a forma como podemos projetar redes IP.
IPV4 ACABOU?
Não exatamente.
A Internet não parou de funcionar porque foram desenvolvidas diversas formas de aproveitar melhor os endereços IPv4 existentes.
Uma delas é o CGNAT — Carrier Grade NAT.
No CGNAT, vários clientes podem compartilhar um mesmo endereço IPv4 público.
Essa tecnologia é extremamente importante e permitiu que a Internet continuasse crescendo mesmo diante da escassez de IPv4.
Mas ela também evidencia uma realidade:
não existem endereços IPv4 suficientes para sustentar indefinidamente o crescimento da Internet.
O IPv6 é a solução estrutural para esse problema.
O IPV4 VAI SER DESLIGADO?
Não.
IPv4 e IPv6 ainda conviverão durante muitos anos.
O modelo mais comum atualmente é chamado Dual Stack.
Ou seja:
IPv4 + IPv6
Os dois protocolos funcionam simultaneamente.
Se um site, aplicação ou serviço possui IPv6 disponível, o equipamento pode utilizá-lo.
Se o destino ainda trabalha somente com IPv4, a comunicação continua funcionando normalmente.
Tudo isso costuma acontecer de forma transparente para o usuário.
POR QUE HABILITAR IPV6 SE MINHA INTERNET JÁ FUNCIONA?
Essa provavelmente é a pergunta mais importante.
Se tudo abre normalmente pelo IPv4, por que configurar IPv6?
Porque funcionar hoje não significa estar preparado para o crescimento da Internet.
Continuar indefinidamente dependente apenas de IPv4 cria uma dívida técnica.
O IPv6 já está presente em redes móveis, data centers, provedores, serviços em nuvem, grandes plataformas de conteúdo, CDNs, sistemas corporativos e inúmeros serviços da Internet.
Google, Cloudflare, Meta e muitas outras plataformas operam IPv6 há anos.
O objetivo não é abandonar o IPv4.
É permitir que sua rede utilize os dois protocolos e escolha o melhor caminho disponível.
O PROBLEMA QUE ENCONTRAMOS EM MUITAS EMPRESAS
Imagine a seguinte situação:
INTERNET ZAZ
|
| IPv4 + IPv6
|
ROTEADOR / FIREWALL DO CLIENTE
|
| somente IPv4
|
REDE INTERNA
O IPv6 chega até o cliente.
Mas para ali.
Os computadores continuam utilizando somente IPv4 porque o roteador não foi configurado para entregar IPv6 à rede interna.
Para o usuário, aparentemente está tudo bem.
Os sites abrem.
O e-mail funciona.
Os sistemas funcionam.
Mas existe uma tecnologia importante disponível no acesso que simplesmente não está sendo utilizada.
O cenário correto é:
INTERNET ZAZ
|
| IPv4 + IPv6
|
ROTEADOR / FIREWALL
|
| IPv4 + IPv6
|
REDE INTERNA
|
+-- Computadores
+-- Notebooks
+-- Servidores
+-- Smartphones
+-- IoT
É exatamente para isso que mecanismos como DHCPv6 Prefix Delegation e Router Advertisement existem.
O QUE É DHCPv6 PREFIX DELEGATION?
No IPv4 estamos acostumados a pensar em receber um endereço.
No IPv6, o provedor pode entregar ao roteador do cliente um bloco inteiro de endereços.
Esse mecanismo é conhecido como DHCPv6 Prefix Delegation, ou DHCPv6-PD.
Imagine que o roteador receba, por exemplo:
2001:db8:1200::/60
Esse /60 pode ser dividido em 16 redes /64.
Podemos utilizar essas redes para diferentes segmentos:
2001:db8:1200:0::/64
2001:db8:1200:1::/64
2001:db8:1200:2::/64
...
2001:db8:1200:f::/64
Isso permite separar ambientes como:
Rede administrativa
Servidores
Wi-Fi corporativo
Wi-Fi de visitantes
CFTV
IoT
Telefonia
Laboratório
E cada segmento pode possuir sua própria rede IPv6.
UM EXEMPLO REAL QUE ENCONTRAMOS EM CAMPO
Recentemente configuramos um roteador MikroTik conectado a uma conexão ZAZ através de PPPoE.
O cenário era interessante.
O próprio roteador já conseguia alcançar a Internet por IPv6.
Porém, nenhum computador da rede interna utilizava IPv6.
O motivo?
O equipamento ainda não estava solicitando Prefix Delegation ao provedor nem anunciando uma rede IPv6 para a LAN.
Ou seja:
IPv6 chegava ao roteador.
Mas não chegava aos usuários.
Vamos utilizar esse cenário, com endereços fictícios, para entender como resolver.
EXEMPLO DE CONFIGURAÇÃO IPV6 EM MIKROTIK
Primeiro, configuramos um cliente DHCPv6 solicitando um prefixo:
/ipv6 dhcp-client add \
interface=pppoe-out1 \
request=prefix \
pool-name=ZAZ_IPV6_PD \
pool-prefix-length=64 \
add-default-route=no \
use-peer-dns=no
Imagine que o provedor entregue:
2001:db8:1200::/60
O MikroTik armazena esse prefixo no pool:
ZAZ_IPV6_PD
Agora podemos utilizar um /64 desse bloco na rede interna:
/ipv6 address add \
interface=bridge-lan \
from-pool=ZAZ_IPV6_PD \
address=::1/64 \
advertise=yes
O resultado é que a interface LAN passa a possuir um endereço IPv6 global e pode anunciar o prefixo aos equipamentos conectados.
COMO OS COMPUTADORES RECEBEM IPV6?
No IPv4, estamos muito acostumados ao DHCP.
No IPv6 existe também DHCPv6, mas há outro mecanismo muito importante chamado SLAAC — Stateless Address Autoconfiguration.
O roteador envia mensagens chamadas Router Advertisements, ou RA.
Essas mensagens informam aos dispositivos:
“Existe uma rede IPv6 disponível aqui e este é o prefixo que você pode utilizar.”
O próprio computador consegue então configurar automaticamente seu endereço IPv6.
Em MikroTik, por exemplo, o Router Advertisement pode ser associado exclusivamente à LAN:
/ipv6 nd add interface=bridge-lan
A partir daí, computadores, notebooks e smartphones compatíveis podem receber automaticamente IPv6.
MAS ATENÇÃO: IPV6 PRECISA DE FIREWALL
Este talvez seja o ponto mais importante de toda a implantação.
Não basta habilitar IPv6.
É necessário configurar também a política de segurança IPv6.
Em muitas redes IPv4 existe uma confusão entre NAT e firewall.
NAT não é firewall.
No IPv6, normalmente não precisamos utilizar NAT66 para simplesmente navegar na Internet.
Os equipamentos podem possuir endereços globalmente roteáveis.
Isso não significa que todos ficarão expostos à Internet.
Quem determina o que pode entrar ou sair é o firewall.
Uma política bastante comum é:
LAN -> Internet
PERMITIDO
Internet -> tráfego de conexões já estabelecidas
PERMITIDO
Internet -> novas conexões não autorizadas
BLOQUEADO
Em um MikroTik, uma política simplificada poderia começar assim:
/ipv6 firewall filter
add chain=input action=accept \
connection-state=established,related
add chain=input action=drop \
connection-state=invalid
add chain=input action=accept \
protocol=icmpv6
add chain=input action=drop
add chain=forward action=accept \
connection-state=established,related
add chain=forward action=drop \
connection-state=invalid
add chain=forward action=accept \
protocol=icmpv6
add chain=forward action=accept \
in-interface=bridge-lan \
out-interface=pppoe-out1
add chain=forward action=drop
Esse é apenas um exemplo didático.
Cada rede corporativa deve possuir políticas compatíveis com sua arquitetura, aplicações, segmentos e requisitos de segurança.
“NÃO VOU LIBERAR ICMP. É MAIS SEGURO.”
No IPv6, cuidado com essa decisão.
ICMPv6 não serve apenas para responder ping.
Ele participa de funções importantes do próprio protocolo.
Entre elas estão mecanismos relacionados a:
Neighbor Discovery
Router Discovery
Router Advertisement
Path MTU Discovery
Autoconfiguração
Mensagens de erro
Bloquear indiscriminadamente todo ICMPv6 pode fazer a rede apresentar comportamentos estranhos e difíceis de diagnosticar.
Firewall IPv6 deve ser restritivo.
Mas também precisa conhecer IPv6.
E NOS ROTEADORES TP-LINK?
A TP-Link é um dos fabricantes utilizados nas CPEs fornecidas pela ZAZ.
Nos modelos compatíveis com IPv6, a nomenclatura das opções pode variar conforme o equipamento e a versão do firmware.
De forma geral, procure configurações equivalentes a:
Advanced
IPv6
Internet
Na conexão WAN:
IPv6: Enabled
Connection Type:
PPPoE ou Dynamic IP, conforme o acesso
IPv6 Address:
Automatic
Prefix Delegation:
Enabled
Na LAN, normalmente encontraremos opções relacionadas a:
SLAAC
ou:
SLAAC + DHCPv6
Com Prefix Delegation habilitado, o roteador solicita ao provedor um prefixo IPv6 e utiliza parte desse bloco para a rede local.
A lógica é a mesma:
INTERNET
|
| DHCPv6-PD
|
ROTEADOR TP-LINK
|
| /64 + Router Advertisement
|
CLIENTES
|
+-- IPv4
+-- IPv6
Como as interfaces variam entre os modelos TP-Link, consulte sempre o manual e o firmware específico do equipamento utilizado.
O SEGUNDO ROTEADOR: UM PROBLEMA MUITO COMUM
Durante uma validação de IPv6 encontramos outra situação bastante interessante.
O roteador principal estava configurado corretamente.
Ele recebia IPv6.
Recebia Prefix Delegation.
Possuía rota IPv6.
Anunciava IPv6 na LAN.
Mesmo assim, um notebook continuava sem IPv6.
Ao investigar, encontramos isto:
ROTEADOR PRINCIPAL
IPv4 + IPv6
|
|
SEGUNDO ROTEADOR WI-FI
Modo Router
|
|
NOTEBOOK
O segundo equipamento estava criando outra rede.
Router Advertisements IPv6 não atravessam roteadores dessa forma.
Resultado:
o roteador principal tinha IPv6, mas os dispositivos atrás do segundo roteador não.
Quando esse segundo equipamento não precisa executar roteamento, uma solução simples é configurá-lo como:
Access Point / Bridge
Assim:
ROTEADOR PRINCIPAL
|
|
ACCESS POINT
|
+-- Notebook
+-- Smartphone
+-- Smart TV
O roteador principal continua sendo o gateway da rede e os dispositivos passam a receber diretamente IPv4 e IPv6.
Além de resolver o IPv6, essa arquitetura também pode eliminar um problema bastante comum em redes residenciais e empresariais: o duplo NAT.
COMO SABER SE O IPV6 ESTÁ FUNCIONANDO?
No Windows, abra o Prompt de Comando e execute:
ipconfig /all
Você deverá encontrar um endereço IPv6 global.
Importante:
um endereço começando por:
fe80::
é um endereço link-local.
Ele é normal e necessário, mas sozinho não significa que seu computador possui conectividade IPv6 com a Internet.
Você pode testar um destino IPv6 conhecido:
ping -6 2606:4700:4700::1111
Ou:
ping -6 2001:4860:4860::8888
Também podemos verificar a tabela de rotas:
route print -6
Normalmente deve existir uma rota padrão IPv6:
::/0
Se o computador possui endereço global, rota padrão e consegue alcançar destinos IPv6 externos, a conectividade está funcionando.
“MEU DNS ENCONTRA ENDEREÇOS IPV6, MAS O PING NÃO FUNCIONA.”
Isso também pode acontecer.
DNS e conectividade são coisas diferentes.
Um servidor DNS acessado através de IPv4 pode perfeitamente responder:
“O endereço IPv6 deste site é este.”
Porém, se seu computador não possui endereço IPv6 global ou uma rota IPv6, ele não conseguirá chegar ao destino.
Por isso uma análise correta deve verificar:
Endereço IPv6
Prefixo
Gateway
Router Advertisement
Rota
DNS
Firewall
Conectividade externa
Não apenas a resolução de nomes.
PRECISAMOS USAR NAT NO IPV6?
Em uma implantação convencional de acesso à Internet, normalmente não.
Essa é uma das diferenças conceituais que mais confundem profissionais acostumados exclusivamente ao IPv4.
No IPv6, cada rede pode possuir endereçamento global próprio.
O controle de segurança deve ser realizado pelo firewall.
Podemos resumir assim:
ROTEAMENTO define para onde o pacote pode ir.
FIREWALL define se ele pode passar.
NAT não deve ser tratado como requisito de segurança.
IPV6 NÃO É SÓ PARA GRANDES EMPRESAS
Outra ideia comum é imaginar que IPv6 só importa para provedores, operadoras ou grandes data centers.
Não é verdade.
Uma pequena empresa pode ter:
20 smartphones
10 computadores
câmeras
telefones IP
impressoras
controle de acesso
televisores
sensores
servidores
equipamentos de automação
Uma residência moderna também pode facilmente possuir dezenas de dispositivos conectados.
IPv6 foi projetado exatamente para uma Internet onde praticamente tudo pode estar conectado.
POR QUE A ZAZ ESTÁ FALANDO SOBRE ISSO?
Porque acreditamos que fornecer Internet vai além de entregar uma determinada quantidade de Megabits por segundo.
Uma boa conexão também envolve tecnologia, arquitetura de rede, segurança e preparação para a evolução da Internet.
Quando a ZAZ disponibiliza IPv6 em um acesso, queremos que esse recurso seja efetivamente aproveitado.
Se o roteador é administrado pela ZAZ, nossa equipe pode aplicar as configurações compatíveis com o serviço contratado e o equipamento utilizado.
Quando o cliente utiliza firewall, roteador ou infraestrutura própria, é importante que a equipe responsável também configure o IPv6 corretamente.
O recurso pode estar chegando até sua empresa neste momento.
Talvez só esteja faltando utilizá-lo.
CHECKLIST: SUA REDE ESTÁ REALMENTE PRONTA PARA IPV6?
Converse com sua equipe de TI e faça estas perguntas:
O roteador recebe conectividade IPv6?
Está configurado DHCPv6 Prefix Delegation?
O provedor está delegando um prefixo?
Existe um /64 configurado para cada LAN necessária?
Router Advertisement está funcionando?
Os computadores recebem endereços IPv6 globais?
Existe uma rota ::/0?
O firewall possui regras específicas para IPv6?
ICMPv6 está sendo tratado corretamente?
Os clientes conseguem alcançar a Internet por IPv6?
Existem roteadores intermediários impedindo o RA de chegar aos dispositivos?
Se alguma resposta for “não sei”, talvez seja uma boa hora para revisar a configuração.
IPV6 NÃO É MAIS “A INTERNET DO FUTURO”
Durante muitos anos ouvimos que IPv6 seria o protocolo do futuro.
A frase já envelheceu.
IPv6 é protocolo da Internet de hoje.
O IPv4 continuará funcionando e continuará sendo extremamente importante.
Mas seu espaço de endereçamento é limitado.
A Internet, por outro lado, continua crescendo.
Mais pessoas.
Mais equipamentos.
Mais nuvem.
Mais IoT.
Mais aplicações.
Mais redes.
Por isso a transição para IPv6 não é uma questão de “se”.
É uma questão de ritmo.
Empresas que começam agora podem fazer essa transição de forma gradual, controlada e segura, mantendo IPv4 e IPv6 simultaneamente.
Empresas que deixarem para depois provavelmente precisarão fazer o mesmo trabalho — apenas com mais urgência.
Então talvez a pergunta não seja:
“Precisamos mesmo de IPv6?”
Talvez a pergunta correta seja:
“Se minha conexão já possui IPv6, por que minha rede ainda não está utilizando?”
Na ZAZ, acreditamos em uma Internet preparada para o presente e para o futuro.
E IPv6 já faz parte dela.
