Protokół 41: kapsułkowanie IPv6 w IPv4 (6in4, 6to4, 6rd)

Protokół 41: jak kapsułkować IPv6 w IPv4 — przewodnik po 6in4, 6to4 i 6rd, konfiguracja tuneli, kompatybilność i praktyczne porady dla sieci.

Protokół 41 jest protokołem komunikacyjnym, który umieszcza pakiety protokołu internetowego w wersji 6 (IPv6) wewnątrz pakietów protokołu internetowego w wersji 4 (IPv4). Jest on zwykle używany, aby umożliwić komputerowi lub routerowi posiadającemu tylko adres IPv4 uzyskanie adresu IPv6 (lub więcej niż jeden adres, aby obsłużyć więcej niż jeden komputer). Większość dostawców tuneli IPv6 obsługuje protokół 41, w tym Hurricane Electric. 6to4, 6rd i 6in4 są różnymi sposobami użycia protokołu 41. Protokół 41 nie używa TCP ani UDP (chociaż pakiety IPv6 wewnątrz mogą przenosić ruch TCP i UDP). Nie należy go mylić z portem TCP lub UDP o numerze 41.

Jak działa kapsułkowanie IPv6 w IPv4 (protokół 41)

Kapsułkowanie polega na tym, że cały pakiet IPv6 (łącznie z nagłówkiem IPv6 i jego danymi) zostaje włożony jako ładunek (payload) do pakietu IPv4. W nagłówku IPv4 wartość pola "Protocol" ustawiona jest na 41, co informuje urządzenia po drodze, że zawartość to nie TCP/UDP, lecz pakiet IPv6. Po dotarciu do miejsca docelowego zewnętrzny nagłówek IPv4 jest usuwany, a wewnętrzny pakiet IPv6 jest dalej przetwarzany tak, jakby został przesłany natywnie po sieci IPv6.

Główne warianty użycia protokołu 41

• 6in4 – ogólna, statyczna metoda tunelowania IPv6 przez IPv4. Zwykle konfiguracja po obu stronach (klient i broker/tunnel broker) zawiera adresy końców tunelu i ruting. Popularna u dostawców tuneli.
• 6to4 – automatyczny mechanizm, który mapuje adres IPv4 klienta na prefix IPv6 zaczynający się od 2002::/16 (np. adres IPv4 192.0.2.4 daje prefix 2002:C000:0204::/48). Pozwala routerowi automatycznie tworzyć tunel 6to4 bez ręcznej konfiguracji po stronie klienta, ale jest zawodne w praktyce (problemy z trasowaniem, wydajnością i filtrowaniem).
• 6rd – mechanizm wdrażany przez ISP, podobny do 6to4, lecz używa prefiksu IPv6 przydzielonego przez operatora zamiast 2002::/16. 6rd eliminuje wiele ograniczeń 6to4, ponieważ operatorem zarządzany jest wybór relaya i routingu, co daje lepszą kontrolę i wydajność.

Zalety i ograniczenia

• Zalety:
  • Szybka metoda dostarczenia adresacji IPv6 bez oczekiwania na natywne IPv6 od dostawcy łącza.
  • Możliwość użycia tuneli punkt–punkt lub automatycznych mechanizmów (6to4/6rd).
  • Wsparcie u wielu dostawców tuneli i w systemach operacyjnych.
• Ograniczenia i problemy:
  • Protokół 41 to nie port — jeśli router/NAT nie obsługuje przekazywania ruchu na poziomie protokołu (tzw. proto-41 passthrough), tunel nie zadziała. W praktyce wiele routerów i NAT-ów blokuje lub nie przekierowuje tego ruchu.
  • Zmniejszenie dostępnego MTU: kapsułkowanie dodaje nagłówek IPv4 (zwykle ~20 bajtów), co może wymagać dostosowania MTU i obsługi Path MTU Discovery, aby uniknąć fragmentacji.
  • Brak natywnego szyfrowania i uwierzytelnienia — sam protokół 41 nie zapewnia poufności ani integralności danych.
  • Mechanizmy automatyczne (zwłaszcza 6to4) bywają zawodowe i zostały w praktyce wycofywane przez niektórych dostawców z powodu problemów z osiągalnością i trasowaniem.

Konfiguracja i praktyka

• Do użycia protokołu 41 zazwyczaj potrzebujesz publicznego adresu IPv4 po stronie klienta lub routera, który potrafi przekazywać ruch protokołu 41 do urządzenia końcowego. W przypadku NAT trywialne "przekierowanie portów" nie wystarczy — router musi wspierać przekierowanie dla całego protokołu IPv4 (proto 41).
• W tunelach statycznych (6in4) konfigurujesz adresy po obu końcach i trasy. W 6rd konfiguracje są zwykle dostarczane przez ISP i polegają na automatycznym mapowaniu adresu IPv4 klienta na prefiks IPv6 przydzielony przez operatora.
• Warto monitorować i dostosować MTU oraz upewnić się, że Path MTU Discovery działa poprawnie; alternatywnie można ręcznie zmniejszyć MTU interfejsu IPv6 o rozmiar nagłówka IPv4.

Bezpieczeństwo i dobre praktyki

• Protokół 41 nie szyfruje ani nie uwierzytelnia danych — jeżeli potrzebujesz bezpieczeństwa, rozważ dodatkowe mechanizmy (np. IPsec) lub użycie tuneli UDP (które łatwiej przechodzą przez NAT i mogą być zabezpieczone).
• Stosuj reguły firewalla ograniczające ruch na interfejsie tunelowym tylko do zaufanych adresów końców tunelu.
• Uważaj na możliwość spoofingu adresów IPv4 w nagłówkach zewnętrznych — zabezpiecz routery i używaj filtrów ruchu przy brzegach sieci.

Podsumowując, protokół 41 (kapsułkowanie IPv6 w IPv4) jest praktycznym i szeroko stosowanym mechanizmem przejściowym umożliwiającym korzystanie z IPv6 tam, gdzie nie ma natywnego wsparcia. W zależności od scenariusza warto rozważyć konkretne rozwiązanie (6in4, 6to4, 6rd) oraz kwestie związane z NAT, MTU i bezpieczeństwem.

Szukaj według litery