Implantação de 464XLAT: guia prático para provedores
Implantação de 464XLAT: é montar uma tradução dupla para oferecer acesso só em IPv6 sem quebrar aplicativos que ainda falam IPv4. O celular ou o roteador do cliente converte o IPv4 em IPv6 (CLAT), e o provedor converte de volta para IPv4 na saída para a internet (PLAT, que é um NAT64).
Resumo
- O acesso do assinante fica só em IPv6, e o IPv4 público passa a existir apenas no tradutor do provedor.
- O CLAT cria uma interface IPv4 falsa no aparelho, para jogos e programas que usam endereço IPv4 escrito direto.
- O PLAT é um NAT64 com estado, então continua compartilhando endereços e registrando porta e horário.
- Android ativa o CLAT sozinho; nos roteadores de cliente, o suporte varia e precisa de teste modelo a modelo.
O que o 464XLAT resolve numa rede só IPv6?
Ele resolve o que o NAT64 sozinho não alcança: aplicativos que abrem conexão para um endereço IPv4 fixo, sem perguntar nada ao DNS. Sem o 464XLAT, esses aplicativos simplesmente não conectam numa rede só IPv6.
Numa rede só IPv6 com NAT64, quase tudo funciona, porque o DNS64 cria endereços IPv6 para destinos IPv4. O que quebra são aplicativos que usam endereço IPv4 escrito direto, sem DNS, como alguns jogos e sistemas antigos.
O 464XLAT dá ao aparelho uma interface IPv4 falsa, traduzida para IPv6 na hora. É a alternativa ao dual stack para provedores quando faltam endereços IPv4 até para o CGNAT.
| Componente | Onde fica | O que faz |
|---|---|---|
| CLAT | Celular ou roteador do cliente | Traduz IPv4 do aparelho para IPv6 |
| PLAT | Rede do provedor | Traduz IPv6 de volta para IPv4, como NAT64 |
| DNS64 | Rede do provedor | Cria respostas IPv6 para destinos só IPv4 |
Os aplicativos que tropeçam no NAT64
O NAT64 depende de o aplicativo perguntar um nome ao DNS e receber de volta um endereço IPv6 sintetizado. Quem pula essa etapa e chama um IPv4 direto não tem para onde mandar o pacote.
- Jogos online: alguns servidores de partida são informados por endereço IPv4, e não por nome.
- Aplicativos de chamada: parte deles troca endereços IPv4 dentro da própria sinalização.
- Sistemas legados: câmeras, catracas e programas antigos com IPv4 gravado na configuração.
Para o assinante, o efeito é um aplicativo específico que não funciona enquanto o resto da internet abre normalmente, o pior tipo de chamado para o N1 diagnosticar.
Como funciona a implantação de 464XLAT?
O pacote IPv4 do aplicativo é traduzido duas vezes: sem estado no CLAT, dentro da casa, e com estado no PLAT, dentro do provedor. Entre os dois, a rede de acesso só transporta IPv6.
1 · Aparelho
O aplicativo envia IPv4
O aplicativo manda o pacote para um endereço IPv4, pela interface falsa criada pelo CLAT.
2 · CLAT
Tradução sem estado
O CLAT reescreve o pacote como IPv6, colando o IPv4 de destino no prefixo do PLAT.
3 · Rede de acesso
Transporte só em IPv6
Concentrador, OLT e núcleo veem apenas tráfego IPv6, sem nenhum endereço IPv4 de cliente.
4 · PLAT
Tradução com estado
O PLAT converte o pacote para IPv4 público, guarda a sessão e registra porta e horário.
A resposta faz o caminho inverso. Para o aplicativo, tudo parece uma conexão IPv4 comum atrás de um NAT.
O CLAT não guarda tabela porque cada IPv4 tem um único IPv6 correspondente dentro do prefixo do PLAT. Quem mantém sessões é só o tradutor do provedor, e é ali que se concentram o custo de memória e o registro das conexões.
CLAT no celular e CLAT no roteador
Em rede móvel, o CLAT roda no próprio celular. Em banda larga fixa, ele costuma rodar no roteador do assinante e atende todos os aparelhos da casa de uma vez.
No roteador, o CLAT funciona com mais folga quando recebe um /64 só para a tradução, separado da rede da casa, o que pesa na escolha do tamanho do bloco delegado. A implantação de DHCPv6 com prefix delegation mostra como reservar esse espaço [CONFIRMAR comportamento do modelo de CPE].
O PLAT é o mesmo tradutor do NAT64
Do lado do provedor, não existe equipamento novo: o PLAT é um tradutor NAT64 comum, com prefixo bem conhecido ou próprio. Quem já montou o NAT64 tem metade do 464XLAT pronta.
A diferença está na carga. Num acesso só IPv6, todo o tráfego IPv4 do assinante passa pelo tradutor, então o PLAT precisa ser dimensionado para o pico de sessões da base migrada, e não para os poucos logins de teste que usavam o NAT64 antes.
464XLAT ou dual stack com CGNAT: quando vale?
O 464XLAT vale quando o IPv4 está tão escasso que nem o CGNAT dá conta e quando os roteadores da base suportam CLAT. Se essas duas condições não existem, o dual stack continua mais simples de operar.
| Critério | Dual stack com CGNAT | 464XLAT |
|---|---|---|
| IPv4 na rede de acesso | Sim, privado, em cada assinante | Não, só no tradutor |
| Suporte nas CPEs | Universal | Exige CLAT no roteador ou no aparelho |
| Plano de endereçamento | Dois protocolos para manter | Só IPv6 no acesso |
| Registro de conexões | No CGNAT, por porta e horário | No PLAT, por porta e horário |
O 464XLAT é comum em redes móveis e começa a aparecer em banda larga fixa. Ele depende de suporte no aparelho ou no roteador do cliente.
- Celulares Android: têm CLAT embutido e ativam sozinhos em redes só IPv6.
- Roteadores de clientes: precisam suportar CLAT; confira os modelos que você fornece. [CONFIRMAR modelos homologados]
- Rede com pouco IPv4: o PLAT concentra o uso de IPv4 em poucos endereços.
Antes, o PLAT precisa estar pronto; veja a implantação de NAT64. Quem prefere manter o IPv4 do cliente intacto, transportado num túnel, deve comparar com a implantação de DS-Lite; quem quer dividir portas sem guardar sessão, com a implantação de MAP-T.
Sua base está pronta para ficar só em IPv6?
No projeto de dual stack, o Especialista mede o tráfego IPv6, testa as CPEs da base e indica se o 464XLAT já compensa ou se o CGNAT segue como ponte.
Implantação de 464XLAT passo a passo
A implantação de 464XLAT começa no núcleo, com PLAT e DNS64, e termina num grupo pequeno de assinantes com CPE homologada. Só depois de semanas sem chamado de aplicativo ela segue para a base.
- PLAT: monte o NAT64 com o prefixo 64:ff9b::/96 ou com um prefixo próprio do provedor.
- DNS64: ative a síntese nos recursivos que atendem os clientes só IPv6.
- Descoberta: o CLAT descobre o prefixo consultando o nome ipv4only.arpa.
- Celulares: teste Android em rede só IPv6, que deve ativar o CLAT sozinho.
- Roteadores: ative o CLAT nos modelos suportados, num grupo piloto.
- Ampliação: acompanhe chamados de aplicativos antes de levar para a base.
$ dig AAAA ipv4only.arpa +short
64:ff9b::c000:aa
64:ff9b::c000:abExemplo: como ler a resposta do ipv4only.arpa
O nome ipv4only.arpa só tem endereços IPv4, 192.0.0.170 e 192.0.0.171, então qualquer resposta IPv6 que volte foi fabricada pelo DNS64.
Na saída acima, c000:aa e c000:ab são esses dois IPv4 escritos em hexadecimal. O que vem antes deles, 64:ff9b::, é o prefixo do PLAT que o CLAT vai usar para traduzir.
Se a consulta não devolve nada, o DNS64 não está ativo para aquele cliente. Se devolve um prefixo diferente do configurado no tradutor, o CLAT vai mandar o tráfego para lugar nenhum.
Acesso PPPoE só com IPv6
Em PPPoE, o acesso só IPv6 significa subir a sessão sem a parte IPv4, apenas com o IPv6 e a delegação de prefixo.
Nem todo concentrador ou BNG aceita essa combinação de forma limpa, e alguns perfis exigem a parte IPv4 ligada para autenticar [CONFIRMAR no concentrador usado]. Teste no laboratório antes do piloto.
Erros comuns ao ligar o 464XLAT
Os problemas aparecem como um aplicativo que não funciona, enquanto o navegador abre tudo. Quatro falhas respondem pela maioria desses casos.
Evite
- Ligar o acesso só IPv6 sem testar os roteadores de clientes.
- DNS64 ativo para clientes dual stack sem necessidade.
- PLAT sem registro de traduções.
- MTU sem ajuste, com pacotes grandes descartados.
DNS64 servindo quem tem IPv4
Quando o mesmo recursivo atende clientes dual stack e clientes só IPv6, a síntese do DNS64 empurra tráfego para o tradutor sem necessidade.
Separe recursivos ou visões de DNS por tipo de acesso. Assim, quem tem IPv4 continua saindo pelo CGNAT e o PLAT carrega só o tráfego que precisa dele.
MTU e os 20 bytes da tradução
O cabeçalho IPv6 tem 20 bytes a mais que o IPv4, e a tradução no CLAT faz o pacote crescer exatamente isso.
Em acesso PPPoE, que já perde alguns bytes para a sessão, pacotes no limite são descartados e o sintoma é página que carrega pela metade. Ajuste o MTU da interface do CLAT ou o MSS no roteador [CONFIRMAR valores no seu acesso].
Checklist de validação do 464XLAT
Valide com aplicativos que usam IPv4 direto, porque o navegador sozinho não prova nada. O piloto está pronto quando esses aplicativos funcionam e o PLAT registra cada tradução.
Marque o que já funciona no grupo piloto
- O nome ipv4only.arpa retorna endereços com o prefixo do PLAT.
- O celular cria a interface CLAT na rede só IPv6.
- Jogos e aplicativos de chamada funcionam.
- O PLAT registra as traduções com data, hora e porta.
- Páginas grandes carregam por completo, sem cortes por MTU.
Cinco itens marcados liberam a ampliação por grupos. Se jogos ou chamadas falham, volte ao teste de CPE antes de culpar o tradutor.
Durante o piloto, acompanhe também dois números: a parcela do tráfego que sai em IPv6 nativo, sem passar pelo PLAT, e a quantidade de chamados por aplicativo. O primeiro mostra quanto o tradutor foi poupado; o segundo mostra se algum modelo de CPE ou algum aplicativo ficou para trás.
A Táquion Tech monta o PLAT, o DNS64 e o piloto com roteadores de clientes, com registro das traduções, e atende provedores de todo o Brasil de forma remota.
Perguntas frequentes sobre 464XLAT
Qual a diferença entre NAT64 e 464XLAT?
O NAT64 traduz IPv6 para IPv4 na rede do provedor. O 464XLAT soma uma segunda tradução no cliente, para aplicativos que usam IPv4 direto.
Todo celular suporta 464XLAT?
Android tem suporte embutido e ativa sozinho em rede só IPv6. Outros sistemas variam, então teste antes de ligar o acesso só IPv6 para a base.
O 464XLAT substitui o CGNAT do provedor?
Pode substituir para clientes só IPv6. O PLAT continua compartilhando endereços IPv4 com estado, então o dimensionamento de portas e sessões segue parecido com o de um CGNAT.
Preciso guardar registro das traduções do PLAT?
Sim, como no CGNAT, para identificar o cliente por porta e horário. A regra de guarda é a mesma das conexões com IPv4 compartilhado [CONFIRMAR na norma].
O servidor RADIUS muda alguma coisa com o 464XLAT?
Muda pouco: o RADIUS deixa de entregar IPv4 ao login e passa a entregar só o prefixo IPv6 e o bloco delegado. Confira se o perfil do concentrador aceita autenticar sem a parte IPv4 [CONFIRMAR no concentrador usado].
Serviços ligados a este guia
- Implantação de dual stack para provedores IPv6, CGNAT e BNG
- Implantação de IPv6 para provedores IPv6, CGNAT e BNG
- Diagnóstico de PPPoE caindo para provedores IPv6, CGNAT e BNG
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 6877, 464XLAT: arquitetura com CLAT e PLAT.
- RFC 7050, Discovery of the IPv6 Prefix Used for IPv6 Address Synthesis: descoberta do prefixo pelo nome ipv4only.arpa.
- RFC 6052, IPv6 Addressing of IPv4/IPv6 Translators: prefixo 64:ff9b::/96.
