Configuração de SLAAC: guia prático para provedores

Como funciona a configuração de SLAAC?

O roteador envia de tempos em tempos uma mensagem de anúncio com o prefixo da rede, e cada aparelho junta esse prefixo com um identificador próprio para formar o endereço. Nada é pedido a um servidor, por isso o mecanismo se chama autoconfiguração sem estado.

No IPv6, o endereço tem 128 bits: os 64 primeiros vêm da rede e os 64 últimos identificam a interface. O SLAAC aproveita essa divisão. O roteador informa a primeira metade e o aparelho calcula a segunda, sem que ninguém precise reservar ou registrar o endereço antes.

Essa simplicidade é a razão de o SLAAC estar em quase todo sistema operacional e em quase todo roteador de assinante. Também é a razão de a implantação de IPv6 para provedores começar decidindo, para cada tipo de acesso, quais flags o anúncio vai carregar e o que fica com o DHCPv6.

As flags do anúncio de roteador

Três flags no anúncio mudam o comportamento do aparelho, e a combinação delas define o desenho do acesso. A tabela resume o efeito de cada uma quando está ligada.

A flag A fica dentro da informação de prefixo, enquanto M e O ficam no cabeçalho do anúncio. Por isso é possível anunciar um prefixo com autoconfiguração e, no mesmo pacote, avisar que o DNS também pode ser pedido ao DHCPv6.

Como o aparelho monta a segunda metade do endereço

A segunda metade pode sair do endereço físico da placa, de um cálculo estável por rede ou de um valor aleatório trocado de tempos em tempos para dar privacidade.

Antes de usar o endereço, o aparelho pergunta na rede se alguém já o tem, num teste chamado detecção de endereço duplicado. Esse teste usa mensagens ICMPv6, e é um dos motivos de o filtro de ICMPv6 precisar de cuidado no concentrador e no roteador do cliente.

SLAAC na WAN ou DHCPv6-PD na LAN?

Os dois, cada um num lado: o SLAAC endereça o enlace entre concentrador e roteador do assinante, e o DHCPv6-PD entrega o bloco que o roteador divide dentro da casa. Usar só o SLAAC deixa os aparelhos do cliente sem IPv6.

Em PPPoE ou IPoE, o desenho mais comum separa a WAN da LAN do assinante, e cada uma recebe um prefixo diferente, tirado de pools distintos no concentrador ou no BNG.

• WAN do roteador do cliente: um /64 por SLAAC, vindo de um pool do concentrador.
• LAN da casa ou empresa: um /56 por DHCPv6-PD, que o roteador do cliente divide em redes /64.
• DNS: anunciado no próprio anúncio de roteador (RDNSS) e também por DHCPv6, para atender todos os aparelhos.

A delegação de prefixo tem decisões próprias, como tamanho do bloco, prefixo fixo e origem no pool ou no servidor de autenticação. O guia de implantação de DHCPv6 com prefix delegation trata dessa metade do desenho.

Quando dá para dispensar o /64 na WAN

Alguns roteadores de assinante funcionam só com o endereço de enlace local na WAN e dispensam o /64. Teste os modelos que você fornece antes de economizar o pool.

Sem endereço global na WAN, o roteador continua navegando pelo bloco delegado, mas fica mais difícil fazer teste de ping a partir da gerência e alguns modelos não sobem o IPv6. Se a base tiver muitos modelos diferentes, manter o /64 da WAN evita uma rodada de chamados.

Prefixo da WAN fixo ou dinâmico

O prefixo da WAN pode variar sem grande dano, porque quase nada na casa depende dele. Quem precisa ficar fixo é o bloco delegado, que entra em regras de firewall e em configurações dos aparelhos do cliente.

Mesmo assim, guarde o /64 entregue a cada login junto com o bloco delegado, com data e hora. Quando o RADIUS devolve o prefixo, essa informação já sai no registro de contabilidade da sessão.

Configuração de SLAAC passo a passo

A configuração de SLAAC exige quatro peças no concentrador: um pool de /64 para a WAN, o anúncio de roteador ativo na interface do assinante, o DNS no anúncio e o filtro de ICMPv6 liberado. Depois vem o teste com os roteadores que a base usa.

1. Pools: crie um pool de /64 para a WAN e outro de /56 para a delegação, com faixas separadas no plano de endereçamento.
2. Perfil do assinante: aponte os dois pools no perfil PPPoE ou no serviço IPoE do concentrador.
3. Anúncio de roteador: ative o anúncio na interface do assinante, com intervalo curto o bastante para a CPE subir rápido.
4. DNS no anúncio: ligue a opção RDNSS e mantenha o DNS também no DHCPv6, para os aparelhos que só leem um dos dois.
5. Filtro: libere no firewall os tipos de ICMPv6 de descoberta de vizinhos e de anúncio de roteador.
6. Teste: conecte um login de laboratório com cada modelo de roteador fornecido antes de abrir para a base.

O exemplo é de um concentrador PPPoE em RouterOS 7, com pools de documentação para a WAN e para a delegação.

/ipv6 pool
add name=pool-wan prefix=2001:db8:1000::/40 prefix-length=64
add name=pool-pd prefix=2001:db8:2000::/36 prefix-length=56
/ppp profile
set [find name=default] remote-ipv6-prefix-pool=pool-wan dhcpv6-pd-pool=pool-pd
/ipv6 nd
set [find default=yes] advertise-dns=yes ra-interval=20s-60s

Exemplo: o que cada linha da configuração faz

O bloco de pools reserva um /40 para fatiar em /64 de WAN e um /36 para fatiar em /56 de delegação, o que dá folga para muitos logins sem misturar as duas funções.

• /ipv6 pool: cria as duas faixas, cada uma com o tamanho que será entregue a cada login.
• /ppp profile: liga o pool de WAN e o pool de delegação ao perfil usado pelos assinantes.
• /ipv6 nd: mantém o anúncio de roteador com DNS e com intervalo entre 20 e 60 segundos.

O intervalo do anúncio é um ajuste fino. Intervalos longos demais fazem a CPE demorar para receber o prefixo depois de reconectar, e intervalos curtos demais só geram tráfego sem ganho [CONFIRMAR valor ideal por fabricante].

MTU no anúncio para acessos PPPoE

O anúncio de roteador pode informar o MTU do enlace, e em PPPoE esse valor costuma ser menor que 1500 por causa do cabeçalho da sessão.

Quando o MTU anunciado não bate com o real, sites abrem pela metade em IPv6 e funcionam em IPv4. Confira o valor no perfil e teste páginas grandes durante o piloto [CONFIRMAR valor usado no seu acesso].

Erros comuns na configuração de SLAAC

Quase todos os problemas aparecem do mesmo jeito: o roteador do assinante tem IPv6 na WAN e os aparelhos da casa não têm. A causa costuma estar numa das cinco falhas abaixo.

ICMPv6 tratado como ICMP do IPv4

No IPv4, bloquear ICMP inteiro é um costume antigo e quase não quebra nada. No IPv6, o mesmo bloqueio corta anúncio de roteador, descoberta de vizinhos e aviso de pacote grande demais.

O caminho é filtrar por tipo de mensagem, liberando o que o protocolo precisa e limitando a taxa do resto. Faça a revisão no concentrador, no firewall de borda e no modelo de configuração das CPEs.

DNS só num dos dois caminhos

Alguns sistemas leem o DNS só no anúncio de roteador, e outros só no DHCPv6. Entregar pelos dois caminhos evita o aparelho com endereço IPv6 que não resolve nenhum nome.

O sintoma engana: o celular parece navegar normalmente, porque cai para o IPv4, e o problema só aparece quando alguém mede quanto do tráfego saiu em IPv6.

Como validar o SLAAC num cliente real?

Valide com um login de teste e com aparelhos variados, olhando o concentrador e a casa ao mesmo tempo. O SLAAC só está pronto quando os aparelhos da LAN navegam em IPv6 nativo.

Repita o teste com celular Android, iPhone, notebook com Windows e uma smart TV, porque cada sistema lê o anúncio de um jeito. A diferença entre eles é o que mais aparece nos primeiros chamados depois da virada.

Depois do SLAAC, o IPv4 que sobra

Com o IPv6 nativo funcionando, o tráfego IPv4 restante continua passando pelo CGNAT ou por uma tecnologia de transição. Medir quanto saiu em IPv6 ajuda a decidir o próximo passo.

Cada conexão que sai em IPv6 deixa de ocupar porta e linha de log no CGNAT. Quanto do tráfego migra depende dos serviços que os assinantes usam e dos roteadores que eles têm, e o número aparece no seu monitoramento da borda em poucos dias.

Para quem quer ir além e oferecer acesso só em IPv6, o tradutor central é o ponto de partida: veja a implantação de NAT64. Para manter funcionando os aplicativos que exigem IPv4 nessa rede, veja a implantação de 464XLAT.

A Táquion Tech configura SLAAC, delegação de prefixo e registros no concentrador, com teste por modelo de roteador, e atende provedores de todo o Brasil de forma remota.

Perguntas frequentes sobre configuração de SLAAC

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech