Jak funguje IPv6
Předpokládám, že už máš přečtené prefixy a masky. Bez toho ti nedají smysl ty lomítka, která jsou tady všude.
IPv4 má 32 bitů, což dává asi 4,3 miliardy adres. Znělo to v osmdesátkách jako nekonečno. Došly někdy kolem roku 2011.
Náhradní řešení se jmenovalo NAT. Poskytovatel ti dá jednu veřejnou adresu, tvůj router za ni schová celou domácnost pomocí privátních adres z rozsahu 192.168.x.x a při každém odchozím spojení si pamatuje, komu vevnitř odpověď patří. Funguje to překvapivě dobře, ale má to jeden zásadní následek: zvenku tvoje zařízení neexistují. Proto musíš dělat port forwarding, což je ruční instrukce typu „všechno, co přijde na port 443, posílej na NAS".
IPv6 má 128 bitů. To je tolik adres, že se schovávání prostě nekoná. Každé zařízení má vlastní veřejnou adresu.
IPv4 zná každý: 85.207.12.34.
IPv6 vypadá takhle: 2a02:8308:a100:1::10. Osm skupin po čtyřech hexadecimálních číslicích, oddělených dvojtečkou. Ta :: uprostřed je zkratka pro souvislý blok nul, takže rozepsaná plná podoba je 2a02:8308:a100:0001:0000:0000:0000:0010.
Zkratka :: se v adrese smí použít jen jednou, jinak by nebylo jasné, kolik nul kam patří.
Adresy se píší malými písmeny, i když velká jsou technicky platná.
Tohle je asi nejpřekvapivější část, protože se tu vůbec nepoužívá DHCP.
Router pravidelně rozesílá do sítě zprávu, které se říká Router Advertisement. V zásadě v ní stojí „jsem tady, jsem brána, prefix téhle sítě je tenhle". Zařízení si vezme prefix a k němu si samo doplní zbývajících 64 bitů. Výsledek je hotová adresa. Mechanismu se říká SLAAC, tedy bezstavová autokonfigurace.
Praktický důsledek: běžné zařízení má typicky víc IPv6 adres najednou. Jednu stabilní, jednu link-local začínající fe80:: pro komunikaci uvnitř segmentu, a k tomu rotující dočasné adresy pro odchozí spojení, aby tě nešlo trackovat podle MAC. Když si vypíšeš ip -6 addr a vypadne ti pět adres, je to v pořádku.
Pro server, který chceš zpřístupnit zvenku, to ale znamená problém — potřebuješ, aby měl adresu, která se nemění. Řeší se to buď statickým nastavením přímo na tom stroji, nebo DHCPv6 rezervací.
Tohle je otázka, kterou položí každý, a odpověď je důležitá.
NAT nikdy nebyl bezpečnostní prvek. Choval se tak jako vedlejší efekt toho, že překládal adresy, ale nikdo ho tak nenavrhoval. Ochranu ti vždycky dělal firewall v routeru, jen sis toho nevšiml, protože byl schovaný za tím překladem.
V IPv6 ta iluze zmizí a firewall je vidět. UniFi má příchozí IPv6 spojení z internetu defaultně zablokovaná, stejně jako u IPv4. Rozdíl je jen v tom, jak napíšeš pravidlo, když chceš něco vystavit:
- IPv4: „přesměruj port 443 na
192.168.1.10" - IPv6: „povol port 443 na adresu
2a02:8308:1234:ab00::10"
Žádný překlad, jen povolení. Z pohledu údržby je to vlastně jednodušší, protože nemusíš řešit kolize portů, když máš víc služeb na stejném portu na různých strojích.
Co si po zapnutí ověř:
Jestli máš ve firewallu opravdu aktivní pravidla i pro IPv6. Ve starším rozhraní UniFi byla pravidla pro IPv4 a IPv6 oddělená a bylo snadné na tu druhou sadu zapomenout. V novějším zone-based firewallu se to řeší dohromady.
Jestli zařízení, která vystavuješ ven, mají pevnou adresu. Bez toho ti pravidlo přestane sedět ve chvíli, kdy se stroj restartuje.
Zapnutím IPv6 nic nevypínáš. Router i všechna zařízení mají současně IPv4 i IPv6 adresu a používají, co se zrovna hodí.
Když se připojuješ třeba na seznam.cz, DNS vrátí obojí — A záznam s IPv4 adresou a AAAA s IPv6. Prohlížeč zkusí obě naráz a použije tu, která odpoví dřív. Mechanismus se jmenuje Happy Eyeballs a je to důvod, proč je zapnutí IPv6 tak nízkorizikové: když IPv6 cesta nefunguje, spadne to na IPv4 během desítek milisekund a uživatel si ničeho nevšimne.
Nejhorší realistický scénář zapnutí IPv6 je tedy ten, že se nic nezmění.
Dynamické DNS. Pokud používáš DDNS pro přístup zvenku, AAAA záznam se aktualizuje odděleně od A. Ne každý klient to umí.
Prefix se může změnit. Není garantovaně statický, konkrétní chování poskytovatelů je v Poskytovatel a CGNAT. Nepiš si konkrétní IPv6 adresy natvrdo do konfigurací, kde by tě pak jejich změna kousla — v UniFi se dá většina věcí napsat relativně přes Prefix ID.
Firewallová pravidla podle jména, ne podle adresy. Kde to jde, používej skupiny a odkazy na zařízení místo zapsaných adres.
Přístup zvenku bez NAT gymnastiky. NAS, kamery, WireGuard, cokoli — dosáhneš přímo, bez mapování portů a bez kolizí.
Odolnost do budoucna. Kdyby poskytovatel sáhl po CGNAT, tedy sdílení jedné veřejné IPv4 mezi víc zákazníků, přišel bys o port forwarding úplně. S funkční IPv6 tě to nezasáhne.
A pak taky to, že spousta věcí zkrátka funguje líp, když nemusí procházet překladem adres. Peer-to-peer spojení, videohovory, herní lobby.