Implantação de DS-Lite: guia prático para provedores
Implantação de DS-Lite: é deixar a rede de acesso só em IPv6 e levar o IPv4 do assinante dentro de um túnel até um equipamento central do provedor, o AFTR, que faz o NAT. O roteador do cliente precisa da função B4, e todo o IPv4 compartilhado da rede passa a morar num único ponto.
Resumo
- O pacote IPv4 da casa não é traduzido, e sim embrulhado inteiro num pacote IPv6 até o AFTR.
- O roteador do assinante deixa de fazer NAT; quem traduz é o AFTR, no núcleo do provedor.
- O túnel soma 40 bytes a cada pacote, e o MSS precisa de ajuste para os sites abrirem por completo.
- O AFTR guarda estado e registro como um CGNAT, então nasce com redundância e capacidade para o pico.
Como funciona a implantação de DS-Lite?
O roteador do cliente recebe só IPv6 e, quando um aparelho da casa usa IPv4, coloca o pacote dentro de um túnel IPv6 rumo ao AFTR. O AFTR abre o túnel, faz o NAT e envia o pacote para a internet com um IPv4 público.
O resultado lembra o CGNAT, mas sem NAT no roteador do cliente e sem IPv4 na rede de acesso. É uma das alternativas ao dual stack para provedores, pensada para quem quer manter um único protocolo entre o concentrador e a casa.
| Componente | Onde fica | Função |
|---|---|---|
| B4 | Roteador do cliente | Coloca o IPv4 dentro do túnel IPv6 |
| AFTR | Núcleo do provedor | Termina os túneis e faz o NAT de IPv4 |
| Opção DHCPv6 64 | Servidor DHCPv6 | Informa ao B4 o nome do AFTR |
Diferente das técnicas de tradução, o túnel não mexe no pacote IPv4: ele chega ao AFTR exatamente como saiu do aparelho, com o endereço privado da rede da casa. Isso evita surpresas com aplicativos que levam o endereço IPv4 dentro dos próprios dados.
O que muda no roteador do assinante
O B4 entrega endereços privados na LAN como sempre, mas não traduz nada. Ele só encapsula o IPv4 e manda para o endereço IPv6 do AFTR.
Para o assinante, a casa continua igual: Wi-Fi, DHCP na LAN e aparelhos com IPv4 privado. A mudança está no caminho até a internet, que agora passa por um único NAT, e não por dois, como acontece no CGNAT com NAT também no roteador.
Como o AFTR separa casas com o mesmo IPv4 privado
Milhares de casas usam a mesma faixa 192.168.0.0/24, e o AFTR resolve o conflito guardando, em cada sessão, o endereço IPv6 do túnel de onde o pacote veio.
É essa chave dupla, IPv6 do B4 mais IPv4 privado, que permite ao AFTR devolver a resposta para a casa certa. Por isso o registro de conexões no DS-Lite também precisa guardar o IPv6 do túnel, e não só o IPv4 público e a porta.
DS-Lite, CGNAT ou MAP-T: qual escolher?
As três tecnologias dividem IPv4 entre assinantes, mas em pontos diferentes da rede e com custos diferentes de estado. A escolha costuma ser decidida pelo suporte nos roteadores que a base já tem.
| Item | CGNAT com dual stack | DS-Lite | MAP-T |
|---|---|---|---|
| IPv4 no acesso | Sim | Não | Não |
| Estado no provedor | Sim, no CGNAT | Sim, no AFTR | Não |
| Registro por sessão | Necessário | Necessário | Regra fixa por cliente |
| Suporte em roteadores | Universal | Limitado | Limitado |
O DS-Lite faz sentido quando o provedor quer simplificar a rede de acesso para um protocolo só, aceita concentrar estado num equipamento central e tem CPEs com B4 confiável. Se o objetivo é parar de guardar sessão, a implantação de MAP-T é a comparação certa; se o problema é aplicativo que exige IPv4 numa rede só IPv6, veja a implantação de 464XLAT.
Para limitar portas por cliente no AFTR, veja a configuração de port block allocation.
Quando o DS-Lite não compensa
Se a maior parte da base usa roteadores sem B4 ou com B4 instável, o DS-Lite vira um projeto de troca de CPE, e não de rede.
Ele também perde sentido quando o CGNAT atual ainda tem folga e a meta é só aumentar o tráfego IPv6. Nesse cenário, ligar o dual stack em toda a base tira carga do NAT com menos risco do que mudar a arquitetura do acesso, e o DS-Lite pode ficar para uma segunda fase, junto com a próxima troca de CPEs.
Implantação de DS-Lite passo a passo
A implantação de DS-Lite exige um AFTR redundante, a opção 64 no DHCPv6, o ajuste de MSS e o registro de traduções antes do primeiro cliente. O piloto vem depois de todas essas peças testadas no laboratório.
- Roteadores: liste os modelos com suporte a B4 e teste cada um. [CONFIRMAR modelos homologados]
- AFTR: monte dois equipamentos, com capacidade de sessões para o pico da base.
- DHCPv6: envie a opção 64 com o nome do AFTR.
- MTU: o túnel acrescenta 40 bytes; ajuste o MSS para evitar pacotes descartados.
- Registro: cada tradução no AFTR precisa ser registrada, como no CGNAT.
- Piloto: um grupo pequeno de clientes antes da base.
# bloco reservado para o enlace B4-AFTR (RFC 6333)
192.0.0.1 AFTR
192.0.0.2 B4 (roteador do cliente)Quer comparar DS-Lite e dual stack na sua rede?
No projeto de dual stack, o Especialista testa as CPEs da base, avalia se o AFTR compensa e monta o caminho com plano de volta.
Exemplo: os endereços dentro do túnel
A faixa 192.0.0.0/29 foi reservada para o enlace entre B4 e AFTR, e todos os roteadores da base usam os mesmos dois endereços.
Como o enlace existe só dentro de cada túnel, não há conflito: o AFTR responde em 192.0.0.1 para todos, e cada B4 se identifica como 192.0.0.2. Num traceroute IPv4 feito da casa, o primeiro salto depois do roteador aparece com esse endereço, o que ajuda o suporte a confirmar que o túnel subiu.
A opção 64 e o nome do AFTR
O B4 não recebe o endereço do AFTR, e sim um nome, que precisa ser resolvido por DNS em IPv6 antes de o túnel subir.
Se o recursivo falha, o IPv6 da casa continua funcionando e só o IPv4 some, um sintoma que confunde o atendimento. O nome também pode chegar pelo RADIUS, com o atributo da RFC 6519 [CONFIRMAR suporte no concentrador usado].
Quanto o AFTR precisa aguentar?
O AFTR precisa aguentar o pico de sessões IPv4 de toda a base que estiver no DS-Lite, com folga para a queda de um dos equipamentos. Na prática, ele herda o dimensionamento que antes era do CGNAT.
Todo o IPv4 dos assinantes passa a atravessar o AFTR, que guarda uma linha de estado por conexão e escreve o registro de cada tradução. A conta de memória, de portas por cliente e de volume de log é a mesma de um CGNAT, com o detalhe de que cada linha agora carrega também o IPv6 do túnel [CONFIRMAR na norma].
- Sessões no pico: meça no CGNAT atual antes da migração e use esse número como ponto de partida.
- Portas por cliente: blocos de portas reduzem o volume de log e evitam que uma casa esgote o endereço.
- Redundância: dois AFTRs com o mesmo nome no DHCPv6, para o B4 seguir funcionando se um cair.
- Posição: AFTR junto ao BNG ou num ponto central do núcleo, conforme o tráfego entre POPs.
O AFTR pode ser uma função do próprio BNG ou um equipamento separado. Juntar as duas coisas economiza caixa, mas faz a falha de um equipamento derrubar sessões de acesso e de NAT ao mesmo tempo.
Erros comuns na implantação de DS-Lite
Quase todos os problemas estão no MTU do túnel e no AFTR montado sem reserva. Os outros vêm de CPE sem B4 e de registro incompleto.
Evite
- AFTR único, sem redundância.
- MTU sem ajuste, com sites que abrem pela metade.
- Distribuir roteadores sem suporte a B4.
- AFTR sem registro de traduções.
- Registro sem o IPv6 do túnel, que impede achar a casa certa.
MTU e MSS no túnel
Com 40 bytes a mais por pacote, um IPv4 de 1500 bytes não cabe no IPv6 de 1500 e precisa ser fragmentado ou descartado.
Em PPPoE, a sessão já tira alguns bytes, e a margem fica ainda menor. O ajuste usual é reduzir o MSS das conexões TCP no B4 ou no AFTR e, se a rede permitir, aumentar o MTU do acesso [CONFIRMAR valores no seu acesso].
Redirecionamento de portas que deixou de existir
Câmeras e servidores domésticos que dependiam de abrir porta no roteador param de responder, porque o NAT agora está no AFTR.
O protocolo PCP permite que o B4 peça uma porta no AFTR, mas o suporte varia nos dois lados [CONFIRMAR suporte nos equipamentos usados]. Para esses clientes, IPv6 nativo ou IPv4 dedicado costumam resolver antes.
Checklist de validação do DS-Lite
Valide com clientes piloto, olhando o túnel, os sites e o registro ao mesmo tempo. O DS-Lite está pronto quando a queda de um AFTR passa despercebida pelos assinantes.
Marque o que já foi conferido no grupo piloto
- O roteador do cliente recebe o nome do AFTR e sobe o túnel.
- Sites IPv4 e IPv6 abrem por completo.
- O AFTR registra as traduções por cliente.
- A queda de um AFTR não derruba os clientes.
- O registro de cada tradução traz o IPv6 do túnel, a porta e o horário.
Com os cinco itens marcados, o próximo grupo pode entrar. Se o túnel não sobe, comece pelo DNS que resolve o nome do AFTR.
Vale ainda um teste de falha programado: desligue um dos AFTRs numa janela combinada e observe quanto tempo os túneis levam para migrar. Se os assinantes perceberem, revise como o nome do AFTR resolve para os dois equipamentos antes de ampliar o piloto.
A Táquion Tech avalia DS-Lite, MAP-T e CGNAT com os roteadores que você usa e indica o caminho, com atendimento remoto a provedores de todo o Brasil.
Perguntas frequentes sobre DS-Lite
O DS-Lite tem vantagem sobre o CGNAT comum?
Tem uma: tira o IPv4 da rede de acesso e evita o NAT duplo. Em troca, depende de roteadores com suporte a B4 e continua guardando estado no provedor.
O DS-Lite precisa de registro de conexões?
Sim. O AFTR compartilha endereços como um CGNAT e precisa registrar as traduções, incluindo o IPv6 do túnel [CONFIRMAR na norma].
O que é o AFTR, afinal?
É o equipamento do provedor que termina os túneis dos clientes e faz o NAT do IPv4. Pode ser uma caixa dedicada ou uma função do BNG.
Por que alguns sites abrem pela metade no DS-Lite?
Normalmente por MTU. O túnel acrescenta 40 bytes e pacotes grandes são descartados sem ajuste de MSS.
Dá para usar DS-Lite com acesso PPPoE?
Dá, desde que a sessão entregue IPv6 e a delegação de prefixo ao roteador. A margem de MTU fica menor, então o ajuste de MSS deixa de ser opcional.
Serviços ligados a este guia
- Adequação ao plano de IPv6 da Anatel para provedores IPv6, CGNAT e BNG
- Implantação de dual stack para provedores IPv6, CGNAT e BNG
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 6333, Dual-Stack Lite: arquitetura com B4 e AFTR.
- RFC 6334, DHCPv6 Option for Dual-Stack Lite: opção 64 com o nome do AFTR.
- IPv6.br, NIC.br: material em português sobre transição para IPv6.
