Como configurar IPv6: passo a passo para provedores
Como configurar IPv6 no provedor: ligue o protocolo de fora para dentro, começando pela borda BGP, depois o núcleo, os filtros, os servidores e o concentrador, e só no fim ative o assinante. Cada camada é testada antes da próxima, e o IPv4 continua funcionando o tempo todo.
Resumo
- A ordem é borda, núcleo, filtros, servidores e concentrador, e o assinante entra por último, num grupo piloto.
- A borda precisa de sessão BGP em IPv6, rota de ancoragem do bloco e filtro de saída que anuncie só o seu prefixo.
- O firewall IPv6 é escrito do zero, porque as regras de IPv4 não valem para o protocolo novo.
- Ativar o IPv6 no assinante só depois que o login de teste navega, resolve DNS e recebe prefixo fixo.
Como configurar IPv6 no provedor sem derrubar o IPv4
Configure o IPv6 ao lado do IPv4, em cinco camadas, sempre da internet em direção ao assinante. Assim, quando o cliente receber o primeiro prefixo, todo o caminho até a borda já responde em IPv6.
Configurar IPv6 no provedor exige mexer em quase todo equipamento que encaminha pacote ou presta serviço ao assinante. A boa notícia é que nada do IPv4 precisa ser alterado: os dois protocolos convivem em dual stack, e cada mudança pode ser desfeita sem afetar quem já navega.
A inversão da ordem é o motivo mais frequente de IPv6 desligado na primeira semana. Quando o assinante recebe endereço antes de a borda anunciar o bloco, o aparelho tenta IPv6, não encontra caminho e demora para voltar ao IPv4. O roteiro completo, com janela e plano de volta por etapa, é o da implantação de IPv6 em provedores.
| Camada | O que configurar | Teste antes de seguir |
|---|---|---|
| Borda | Endereço no enlace com a operadora, sessão BGP IPv6, rota de ancoragem e filtros | Prefixo visível de fora e rotas recebidas |
| Núcleo | Loopbacks, enlaces entre POPs e OSPFv3 ou IS-IS | Ping entre loopbacks de todos os POPs |
| Filtros | Firewall IPv6 próprio, com ICMPv6 essencial liberado | Gerência acessível só pela faixa autorizada |
| Servidores | DNS recursivo, RADIUS e monitoramento com endereço IPv6 | Consulta AAAA respondida pelo seu DNS |
| Concentrador e assinante | Pools, perfil do login, delegação de prefixo e MTU | Login de teste navegando em IPv6 |
O que ter pronto antes de abrir o terminal
Antes da primeira linha de configuração, quatro itens precisam estar resolvidos. Sem eles, a configuração até sobe, mas vai ser refeita.
Confira antes da primeira janela
- Bloco IPv6 recebido do Registro.br e ROA criado para ele no sistema de RPKI.
- Plano de endereçamento com faixas separadas para infraestrutura, enlaces e assinantes.
- Operadora de trânsito avisada e com o IPv6 da sessão já combinado.
- Versão de sistema de borda, núcleo e concentrador conferida para os recursos de IPv6 usados.
- Login de teste reservado e um roteador de cliente de cada modelo comum separado para laboratório.
Se algum item ficou sem marca, resolva antes. O plano de endereçamento é o que mais pesa, porque renumerar depois mexe em todas as camadas; o plano de endereçamento IPv6 trata dessa divisão.
Configuração de IPv6 na borda e no núcleo
Na borda, o IPv6 pede endereço no enlace, sessão BGP própria, uma rota de ancoragem do bloco e filtros de entrada e saída. No núcleo, pede endereço nas loopbacks e nos enlaces e um protocolo interno que aprenda os prefixos novos.
O exemplo abaixo usa a sintaxe do RouterOS 7, com o bloco de documentação 2001:db8::/32 como bloco do provedor, o AS 64496 como seu e o AS 64500 como operadora. A lógica é a mesma em outros fabricantes; muda o nome dos comandos.
# enlace com a operadora (/127 ponto a ponto)
/ipv6 address
add address=2001:db8:ffff::2/127 interface=sfp-operadora advertise=no
add address=2001:db8:0:ff00::1/128 interface=lo advertise=no
# rota de ancoragem: o bloco existe na tabela mesmo sem cliente
/ipv6 route
add dst-address=2001:db8::/32 blackhole
# o que pode sair e o que pode entrar
/ipv6 firewall address-list
add list=anuncio-v6 address=2001:db8::/32
/routing filter rule
add chain=saida-v6 rule="if (dst == 2001:db8::/32) { accept }"
add chain=saida-v6 rule="reject"
add chain=entrada-v6 rule="if (dst-len > 48) { reject }"
add chain=entrada-v6 rule="if (dst in 2001:db8::/32) { reject }"
add chain=entrada-v6 rule="accept"
# sessão BGP só para IPv6
/routing bgp connection
add name=operadora-v6 as=64496 local.role=ebgp \
remote.address=2001:db8:ffff::1 remote.as=64500 \
address-families=ipv6 output.network=anuncio-v6 \
output.filter-chain=saida-v6 input.filter=entrada-v6
# núcleo: OSPFv3 entre os POPs
/routing ospf instance
add name=nucleo-v6 version=3 router-id=192.0.2.1
/routing ospf area
add name=area0-v6 instance=nucleo-v6 area-id=0.0.0.0
/routing ospf interface-template
add area=area0-v6 interfaces=lo,sfp-pop2A sessão em IPv6 fica separada da sessão IPv4, com filtros próprios. Juntar as duas famílias numa sessão só funciona, mas complica a leitura de quem vai dar manutenção. O passo a passo da sessão em si, com cadeias de entrada e saída comentadas, está no guia de como configurar BGP no MikroTik.
Por que a rota blackhole e o filtro de /48?
A rota blackhole do /32 garante que o bloco esteja na tabela de rotas, condição para o anúncio sair, e descarta pacotes para pedaços do bloco que ainda não têm dono. Os prefixos mais específicos, de POP e de assinante, continuam sendo encaminhados normalmente.
Já o filtro de entrada recusa rotas menores que /48, que a maioria das redes não aceita na tabela global de IPv6 [CONFIRMAR prática da operadora], e recusa o seu próprio bloco vindo de fora, para evitar sequestro de prefixo dentro da sua rede.
Filtros IPv6 e ICMPv6 no roteador
O firewall IPv6 é um conjunto de regras separado do IPv4 e precisa ser escrito antes de qualquer endereço ficar alcançável. A regra mais importante é liberar o ICMPv6 essencial em vez de bloquear tudo.
No IPv6, o ICMPv6 faz parte do funcionamento do protocolo: é por ele que os vizinhos se descobrem, que o roteador se anuncia e que o aparelho fica sabendo que um pacote era grande demais. O exemplo protege o próprio roteador, na cadeia input, e deixa passar o essencial.
/ipv6 firewall filter
add chain=input action=accept connection-state=established,related
add chain=input action=drop connection-state=invalid
add chain=input action=accept protocol=icmpv6
add chain=input action=accept protocol=tcp dst-port=179 \
src-address=2001:db8:ffff::1 comment="sessao BGP"
add chain=input action=accept protocol=ospf src-address=fe80::/10
add chain=input action=accept src-address=2001:db8:0:f000::/52 \
comment="faixa de gerencia"
add chain=input action=drop comment="resto"| Mensagem | Tipo | O que quebra se for bloqueada |
|---|---|---|
| Destination Unreachable | 1 | O aparelho demora a perceber que o destino não responde |
| Packet Too Big | 2 | Páginas que abrem pela metade, por falha na descoberta de MTU |
| Time Exceeded | 3 | Traceroute para de funcionar e o diagnóstico fica às cegas |
| Echo Request e Reply | 128 e 129 | Ping deixa de servir para testar a rede |
| Router e Neighbor Discovery | 133 a 136 | O aparelho não acha o roteador nem os vizinhos e fica sem IPv6 |
A lista segue a orientação da RFC 4890 para filtros de ICMPv6 [CONFIRMAR na norma]. Os tipos 133 a 136 só circulam no enlace local, mas, se o filtro do concentrador barrar esses tipos, nenhum assinante recebe endereço.
Quer o IPv6 configurado da borda ao assinante?
Na implantação de IPv6, um Especialista escreve borda, núcleo e filtros, liga um grupo piloto e só depois abre para a base, com plano de volta em cada janela.
IPv6: como ativar no concentrador e no assinante
Para ativar o IPv6 no assinante, o concentrador precisa de um pool para a WAN, um pool para a delegação de prefixo e o perfil do login apontando os dois. Depois, o roteador do cliente precisa estar com o IPv6 ligado.
Os comandos dos pools e do anúncio de roteador estão no guia de configuração de SLAAC, e a entrega do prefixo fixo por login, com os atributos de RADIUS, está no de DHCPv6 com prefix delegation. Aqui fica a ordem em que essas peças entram.
- Servidores primeiro: dê endereço IPv6 ao DNS recursivo e confira se ele responde consultas AAAA por esse endereço.
- Pools no concentrador: crie as faixas de WAN e de delegação a partir do pool do POP, nunca do bloco inteiro.
- Perfil de teste: aponte os pools só no perfil do login de teste, e não no perfil padrão da base.
- Registro: confira se a contabilidade do RADIUS grava o prefixo delegado junto com o login e o horário.
- MTU: em PPPoE, anuncie MTU de 1.492 bytes no anúncio de roteador, para não quebrar páginas grandes.
- Grupo piloto: mova para o perfil novo a equipe e um bairro pequeno, e acompanhe os chamados por alguns dias.
Como ativar o IPv6 no roteador do cliente
Muitos roteadores de cliente saem de fábrica com o IPv6 desligado ou com a WAN em modo que não pede prefixo. Com gerência por TR-069, o perfil IPv6 vai pelo servidor de gerência; sem ela, o suporte precisa de um roteiro por modelo.
- WAN: tipo PPPoE ou IPoE com IPv6 habilitado e endereço por SLAAC ou DHCPv6, conforme o concentrador.
- Delegação: opção de pedir prefixo ligada, com tamanho igual ao que o concentrador entrega.
- LAN: anúncio de roteador ativo na rede da casa, para os aparelhos montarem o próprio endereço.
- Firewall: bloqueio de conexões que chegam de fora ligado por padrão, como no IPv4.
Na prática: o que muda no login de teste
Antes da mudança, o login de teste recebe só um IPv4 privado do CGNAT. Depois de trocar o perfil e reconectar, ele recebe também um endereço na WAN dentro de 2001:db8:1000::/40 e um /56 de 2001:db8:2000::/36.
O celular conectado no Wi-Fi da casa passa a ter um endereço que começa com o /56 delegado. É esse o sinal de que todas as camadas estão respondendo, e não só o concentrador.
Como saber se o IPv6 está funcionando da borda até a casa?
Teste em três pontos: na borda, no concentrador e num aparelho dentro da casa do login de teste. Se um deles falha, o problema está na camada entre ele e o ponto anterior.
# na borda
/routing bgp session print where name~"operadora-v6"
/ipv6 route print count-only where bgp
/ping 2001:db8:ffff::1 count=5
# no concentrador
/ipv6 dhcp-server binding print
/ipv6 address print where dynamic
# no computador do cliente (Windows ou Linux)
ping -6 <destino-ipv6-conhecido>
nslookup -type=AAAA <site-com-ipv6>
tracert -6 <destino-ipv6-conhecido>Troque os destinos entre sinais de menor e maior por um endereço IPv6 externo que você saiba que responde. O traceroute mostra em que salto o pacote para, o que separa problema de borda de problema de concentrador.
O que conferir antes de abrir para a base
O login de teste só libera a próxima etapa quando todos os itens abaixo estão marcados. Faça o teste com cada modelo de roteador de cliente comum na sua base.
Marque com o login de teste conectado
- A sessão BGP IPv6 está estabelecida e o seu /32 aparece num looking glass externo.
- O roteador do cliente recebe endereço na WAN e um prefixo delegado do tamanho certo.
- Um aparelho da casa navega em IPv6 e o traceroute sai pela sua borda.
- O DNS do provedor responde por IPv6 e entrega registros AAAA.
- Páginas grandes abrem por inteiro, sem travar no meio.
- O prefixo do login aparece na contabilidade do RADIUS com horário de início.
Um item sem marca segura o grupo piloto. Os itens de MTU e de registro são os que mais passam despercebidos, porque a navegação parece normal na maioria dos sites.
Erros comuns ao configurar IPv6 no provedor
Os erros que mais derrubam o IPv6 depois de ligado são de ordem e de filtro, e não de sintaxe. Todos aparecem no grupo piloto quando ele existe.
Evite
- Perfil padrão alterado no primeiro dia: toda a base recebe IPv6 de uma vez, e um detalhe de CPE vira centenas de chamados.
- Pool do concentrador tirado do bloco inteiro: a sumarização por POP se perde e a tabela interna cresce sem controle.
- Anúncio sem ROA: parte das redes que validam RPKI descarta o seu prefixo, e o IPv6 funciona só para alguns destinos.
- Firewall IPv4 copiado como se valesse para o IPv6: a gerência do roteador fica alcançável pelo endereço novo.
- Prefixo dinâmico por reconexão: a casa troca de endereço a cada queda, o que quebra regras do cliente e o registro.
A Táquion Tech configura o IPv6 por camada, com teste de fora da rede em cada etapa e o IPv4 intocado até o fim. Quando a rede já tem IPv6 parcial, o primeiro passo é descobrir em qual camada ele parou.
Quando vale chamar um Especialista para configurar IPv6?
Vale quando a borda tem um único roteador sem redundância, quando a base tem muitos modelos de CPE ou quando ninguém da equipe já ligou IPv6 em produção. Nesses casos, um erro de filtro afeta a rede inteira.
Para quem ainda está decidindo entre ligar o IPv6 ou investir mais no CGNAT, o guia dual stack ou CGNAT compara os dois caminhos.
Perguntas frequentes
Dá para configurar IPv6 sem ter bloco próprio?
Dá, usando uma faixa cedida pela operadora de trânsito, mas o provedor fica preso a ela. Ao trocar de operadora, todos os prefixos dos assinantes mudam, por isso o bloco próprio do Registro.br é o caminho para quem pretende crescer.
Como ativar o IPv6 num roteador de cliente que veio desligado?
Entre na configuração da WAN, ligue o IPv6 e a opção de pedir prefixo delegado, e confira se o anúncio de roteador da rede local está ativo. Com gerência remota por TR-069, o provedor envia esse perfil sem visita.
Preciso de OSPFv3 ou posso usar o IS-IS?
Os dois levam prefixos IPv6 entre os POPs. O OSPFv3 roda como instância separada do OSPF de IPv4, enquanto o IS-IS carrega as duas famílias no mesmo processo, o que simplifica redes que já o usam.
Quanto tempo leva para ativar IPv6 no provedor inteiro?
Depende do número de POPs, de concentradores e de modelos de CPE na base. A configuração da borda cabe numa janela, mas a base inteira entra em grupos ao longo de semanas, conforme os chamados do piloto.
O IPv6 aumenta o trabalho do suporte no começo?
Aumenta um pouco nos primeiros grupos, quase sempre por CPE com configuração errada ou firewall desligado. Com um roteiro por modelo e o piloto bem acompanhado, os chamados caem quando a base inteira entra.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 4890, Recommendations for Filtering ICMPv6 Messages in Firewalls: quais mensagens ICMPv6 um firewall deve deixar passar e quais pode descartar
- RFC 9099, Operational Security Considerations for IPv6 Networks: cuidados de segurança na operação de redes IPv6, incluindo filtros de borda e de gerência
- IPv6.br, NIC.br: cursos e material do NIC.br para a implantação de IPv6 em redes brasileiras
