Wszystkie adresy IPv6 są uważane za publiczne, poprawnym określeniem są globalne adresy unicast, oznacza to, że wszystkie nasze urządzenia można zobaczyć z Internetu.

W IPv6 koncepcja NAT (tłumaczenia adresów sieciowych), znana w IPv4, jest w efekcie zbędna ze względu na ogromną dostępną przestrzeń adresową, dzięki której praktycznie każde urządzenie może mieć globalnie unikalny adres.

Jednak w niektórych scenariuszach możesz chcieć wdrożyć formę izolacji lub kontroli dostępu podobną do NAT, aby zarządzać ruchem między siecią „prywatną” a „publicznym” Internetem za pośrednictwem protokołu IPv6.

Poniżej opisujemy, jak skonfigurować typowy scenariusz w MikroTiku, aby poradzić sobie z tą sytuacją:

Krok 1: Przypisanie adresu IPv6

Najpierw upewnij się, że dostawca usług internetowych (ISP) przydzielił Ci blok adresów IPv6. Część tego bloku wykorzystasz w swojej sieci wewnętrznej.

1. Przypisz adresy do interfejsu WAN: Skonfiguruj swój interfejs WAN w MikroTiku tak, aby otrzymywał adres IPv6 od Twojego ISP, statycznie lub poprzez DHCPv6, w zależności od tego, jak Twój ISP zapewnia łączność IPv6.
2. Przypisz adresy do sieci wewnętrznej: zdefiniuj segment bloku IPv6 dla sieci lokalnej. Można to zrobić w MikroTiku w menu IPv6, przypisując adresy statyczne lub używając Serwera DHCPv6 do dystrybucji adresów do urządzeń wewnętrznych.

Krok 2: Konfiguracja zapory sieciowej

Chociaż translacja NAT nie jest konieczna, zapora sieciowa odgrywa kluczową rolę w bezpieczeństwie Twojej sieci IPv6, filtrując ruch przychodzący i wychodzący zgodnie z Twoimi zasadami.

1. Reguły zapory przychodzącej: Skonfiguruj reguły w zaporze MikroTik, aby ograniczyć nieautoryzowany dostęp z Internetu do Twojej sieci wewnętrznej. Może to obejmować blokowanie niektórych portów lub protokołów i zezwalanie jedynie na określony ruch przychodzący do określonych usług.
2. Reguły zapory wychodzącej: Podobnie możesz skonfigurować reguły zarządzania ruchem wychodzącym, chociaż domyślnie większość zapór sieciowych zezwala na cały ruch wychodzący.

Krok 3: Skonfiguruj delegowanie prefiksów (jeśli ma to zastosowanie)

Jeśli za routerem MikroTik masz urządzenia, które również potrzebują globalnych adresów IPv6, możesz użyć delegowania prefiksów, aby rozdzielić segmenty przypisanego bloku IPv6 do tych urządzeń lub podsieci.

Krok 4: Konfiguracja rozszerzeń prywatności IPv6 (w razie potrzeby)

Rozszerzenia prywatności dla SLAAC (automatyczna konfiguracja adresu bezstanowego) umożliwiają urządzeniom w sieci korzystanie z adresów IPv6, które zmieniają się okresowo, zwiększając prywatność użytkowników.

Dodatkowe uwagi

• Bezpieczeństwo: Chociaż IPv6 eliminuje potrzebę NAT do zarządzania adresami, nie należy zapominać o bezpieczeństwie. Upewnij się, że wdrażasz solidną strategię bezpieczeństwa, która obejmuje dobrze skonfigurowaną zaporę ogniową.
• Wsparcie urządzenia: Sprawdź, czy wszystkie Twoje urządzenia obsługują protokół IPv6. Chociaż większość nowoczesnych urządzeń tak robi, niektóre starsze urządzenia mogą nie być kompatybilne.

Konfiguracja IPv6 w MikroTiku dla scenariusza sieci „publicznej” do „prywatnej” obejmuje głównie zarządzanie przypisaniami adresów i konfiguracjami firewalla, utrzymując bezpieczeństwo sieci bez potrzeby stosowania NAT.

Pokazuje to postęp i ulepszone możliwości, jakie oferuje protokół IPv6 w porównaniu z protokołem IPv4 w zakresie zarządzania adresami i bezpieczeństwa sieci.