Все адреса IPv6 считаются общедоступными, правильный термин — глобальные одноадресные адреса, это означает, что все наши устройства можно увидеть из Интернета.

В IPv6 концепция NAT (трансляция сетевых адресов), известная в IPv4, по сути, не нужна из-за огромного доступного адресного пространства, позволяющего практически каждому устройству иметь глобально уникальный адрес.

Однако в определенных сценариях вам может потребоваться реализовать форму изоляции или контроля доступа, аналогичную NAT, для управления трафиком между «частной» сетью и «общественным» Интернетом через IPv6.

Ниже мы опишем, как настроить общий сценарий в MikroTik для решения этой ситуации:

Шаг 1. Назначение адреса IPv6

Во-первых, убедитесь, что ваш интернет-провайдер (ISP) назначил вам блок адресов IPv6. Вы будете использовать часть этого блока для своей внутренней сети.

1. Назначьте адреса WAN-интерфейсу: Настройте свой WAN-интерфейс в MikroTik для получения IPv6-адреса от вашего интернет-провайдера статически или через DHCPv6, в зависимости от того, как ваш интернет-провайдер обеспечивает подключение IPv6.
2. Назначение адресов во внутренней сети: Определите сегмент блока IPv6 для вашей локальной сети. Это можно сделать в MikroTik в меню IPv6, назначив статические адреса или используя сервер DHCPv6 для распределения адресов вашим внутренним устройствам.

Шаг 2. Настройка брандмауэра

Хотя NAT не обязателен, межсетевой экран играет решающую роль в безопасности вашей сети IPv6, фильтруя входящий и исходящий трафик в соответствии с вашими политиками.

1. Правила брандмауэра для входящего трафика: Настройте правила в брандмауэре MikroTik, чтобы ограничить несанкционированный доступ из Интернета к вашей внутренней сети. Это может включать блокировку определенных портов или протоколов и разрешение только определенного входящего трафика для определенных служб.
2. Правила брандмауэра для исходящего трафика: Аналогичным образом вы можете настроить правила для управления исходящим трафиком, хотя по умолчанию большинство брандмауэров разрешают весь исходящий трафик.

Шаг 3. Настройте делегирование префикса (если применимо)

Если у вас есть устройства за маршрутизатором MikroTik, которым также необходимы глобальные адреса IPv6, вы можете использовать делегирование префикса для распределения сегментов назначенного вам блока IPv6 этим устройствам или подсетям.

Шаг 4. Настройка расширений конфиденциальности IPv6 (при желании)

Расширения конфиденциальности для SLAAC (автоконфигурация адресов без сохранения состояния) позволяют устройствам в вашей сети использовать IPv6-адреса, которые периодически меняются, повышая конфиденциальность пользователей.

Дополнительные соображения

• Безопасность: Хотя IPv6 устраняет необходимость использования NAT для управления адресами, не следует упускать из виду безопасность. Убедитесь, что вы реализуете надежную стратегию безопасности, включающую хорошо настроенный брандмауэр.
• Поддержка устройств: убедитесь, что все ваши устройства поддерживают IPv6. Хотя большинство современных устройств поддерживают эту функцию, некоторые старые устройства могут быть несовместимы.

Настройка IPv6 в MikroTik для сценария «публичной» и «частной» сети в основном включает в себя управление назначением адресов и конфигурациями брандмауэра, обеспечивая безопасность вашей сети без необходимости использования NAT.

Это демонстрирует прогресс и улучшенные возможности, которые IPv6 предлагает по сравнению с IPv4 с точки зрения управления адресами и сетевой безопасности.