IPv6 w praktyce

• Rozpoznasz zakresy i role adresów IPv6.
• Wyjaśnisz relację RA, SLAAC i DHCPv6.
• Sprawdzisz trasę, sąsiadów i DNS w Windows oraz Linux.
• Zaprojektujesz bezpieczne laboratorium dual stack bez NAT66.

Wymagania wstępne

• Podstawy IPv6
• Modele OSI i TCP/IP

Prefiks opisuje część sieciową. W typowej podsieci LAN SLAAC używa /64. Adres link-local jest niezbędny nawet wtedy, gdy interfejs ma adres globalny.

Neighbor Discovery Protocol korzysta z ICMPv6. Router Solicitation (RS) prosi o informacje routera, Router Advertisement (RA) ogłasza prefiksy i trasę domyślną, Neighbor Solicitation/Advertisement (NS/NA) obsługuje rozpoznawanie sąsiadów i Duplicate Address Detection, a Redirect może wskazać lepszy next hop na łączu.

ICMPv6 jest częścią działania IPv6, między innymi Path MTU Discovery. Bezrefleksyjne blokowanie ICMPv6 może zerwać autokonfigurację, wykrywanie sąsiadów albo komunikację po ścieżce o mniejszym MTU.

• DAD sprawdza, czy adres nie jest już używany.
• Brama domyślna (default gateway) jest poznawana przez RA, nie przez klasyczną opcję DHCPv6.
• Neighbor cache nie jest tablicą routingu.

Aktualną specyfikacją DHCPv6 jest RFC 9915, Internet Standard STD 102 ze stycznia 2026 r., który zastąpił RFC 8415. DHCPv6 może dostarczać adresy, delegowane prefiksy i inne parametry, działając stateful albo stateless. RA i DHCPv6 uzupełniają się; nie należy przenosić modelu DHCPv4 wprost do IPv6.

Temporary Address Extensions mogą zmniejszać korelację aktywności klienta, podczas gdy stabilny adres może być potrzebny do usług i zarządzania. Polityka zależy od roli hosta.

Rekord AAAA mapuje nazwę na IPv6. Dual stack udostępnia IPv4 i IPv6 równolegle, a mechanizmy Happy Eyeballs ograniczają opóźnienie przy wyborze działającej ścieżki. Migracja nie wymaga NAT66; preferuje się poprawne filtrowanie i routing end-to-end.

• Sprawdź odpowiedź AAAA niezależnie od samej łączności IPv6.
• Nie zakładaj, że obecność adresu IPv6 oznacza działającą trasę do Internetu.
• Adresy tymczasowe nie zastępują firewalla ani aktualizacji.

Na łączu z wieloma interfejsami adres link-local może wymagać identyfikatora strefy, np. fe80::1%eth0 lub odpowiedniego indeksu w Windows.

# Windows PowerShell
Get-NetIPAddress -AddressFamily IPv6
Get-NetRoute -AddressFamily IPv6
Get-NetNeighbor -AddressFamily IPv6
Resolve-DnsName example.com -Type AAAA
ping -6 example.com

# Linux
ip -6 address show
ip -6 route show
ip -6 neigh show
getent ahosts example.com
ping -6 -c 4 example.com

• Użyj dwóch własnych maszyn w izolowanym segmencie laboratoryjnym.
• Zanotuj adresy link-local, rzeczywisty adres globalny, jeśli został przydzielony, trasę domyślną oraz źródło DNS. Prefiks 2001:db8::/32 pozostaw wyłącznie w dokumentacji topologii.
• Sprawdź ping po link-local z identyfikatorem strefy, a następnie po rzeczywiście przydzielonym adresie globalnym, jeśli laboratorium go udostępnia.
• Porównaj odpowiedzi A i AAAA dla example.com.
• Nie dodawaj NAT66; w laboratorium użyj routingu i filtrowania odpowiedniego do topologii.

Host ufa informacjom RA otrzymanym na lokalnym łączu zgodnie z NDP. Nieautoryzowane albo błędnie skonfigurowane RA może wskazać fałszywy router, nieprawidłowy prefiks lub zmienić zachowanie autokonfiguracji, powodując utratę łączności albo ruch przez niepożądaną ścieżkę.

RA Guard na odpowiednim przełączniku może ograniczać RA do portów prowadzących do legalnych routerów. Skuteczność zależy od implementacji, obsługi pełnego łańcucha nagłówków IPv6 i poprawnej topologii zaufania; mechanizm trzeba testować na konkretnej platformie.

• Nie blokuj wszystkich komunikatów ICMPv6 w ramach ochrony przed fałszywym RA.
• Oznacz porty, z których RA są dozwolone, i monitoruj zmianę routera domyślnego.
• Porównuj prefiksy, lifetime i źródłowy adres link-local z dokumentacją.

Najpierw potwierdź stan lokalny i RA, następnie adres, DAD, trasę, sąsiada oraz DNS. Nie zaczynaj od przypadkowego wyłączania ICMPv6 ani zabezpieczeń pierwszego hopu.

• Traktowanie DHCPv6 jako źródła bramy domyślnej.
• Blokowanie całego ICMPv6.
• Mylenie link-local z adresem routowalnym między podsieciami.
• Używanie prefiksów innych niż dokumentacyjny 2001:db8::/32 w publicznych przykładach.
• Zakładanie, że IPv6 wymaga NAT dla bezpieczeństwa.
• Włączenie RA Guard bez ustalenia legalnych portów routera i bez testu autokonfiguracji.

Dla fikcyjnego VLAN-u IPv6 przygotuj oczekiwany prefiks, źródło RA, model SLAAC/DHCPv6, sposób dostarczenia DNS oraz procedurę diagnozy hosta bez adresu globalnego i bramy. Dodaj projekt polityki RA Guard, punkt monitoringu i test cofnięcia, bez generowania fałszywych RA poza izolowanym laboratorium.

1. Wyjaśnij, które komunikaty NDP uczestniczą w SLAAC i DAD.
2. Porównaj stateful DHCPv6 ze stateless DHCPv6 i wskaż źródło trasy domyślnej.
3. Na własnym hoście zapisz adres, trasę, sąsiada i rekord AAAA bez zmiany konfiguracji.
4. Dla objawu link-local bez adresu globalnego ułóż sekwencję kontroli RA, PIO, DAD, DHCPv6 i DNS.
5. W izolowanej dokumentacji zaprojektuj RA Guard: legalny port routera, porty hostów, log zdarzenia, test poprawnego RA i rollback.

• RA dostarcza informacje o routerze i może wspierać SLAAC oraz RDNSS.
• DHCPv6 według RFC 9915 może działać stateful lub stateless, ale nie zastępuje RA w przekazywaniu bramy.
• ICMPv6 i NDP są niezbędne do poprawnego działania IPv6.

• Podstawy IPv6
• Routing
• DNS
• Diagnostyka

• RFC 8200 — IPv6 Specification
• RFC 4291 — IPv6 Addressing Architecture
• RFC 4861 — Neighbor Discovery
• RFC 4862 — SLAAC
• RFC 9915 — DHCPv6 (obsoletes RFC 8415)
• RFC 8106 — RDNSS in Router Advertisements
• RFC 8981 — Temporary Address Extensions
• RFC 7113 — Implementation Advice for IPv6 RA Guard
• RFC 9099 — Operational Security Considerations for IPv6