Activar IPv6 sin sorprender a un solo servidor

La razón por la que muchas redes de producción siguen funcionando solo con IPv4 no es técnica. Es miedo: a que activar IPv6 cambie algo en servidores que nadie ha mirado en años, o abra una puerta que todas las access lists de IPv4 cerraron con cuidado. Los dos miedos son razonables, y los dos son evitables con el orden de trabajo correcto. Este es el orden que usamos nosotros.

Los dos riesgos reales

Los servidores se configuran solos. La mayoría de los sistemas operativos aceptan router advertisements por defecto. En el momento en que un gateway en una VLAN empieza a anunciar un prefijo, cada host de esa VLAN puede asignarse una dirección IPv6, instalar una ruta por defecto, y empezar a preferir IPv6 para cualquier cosa que resuelva a un registro AAAA. Nadie cambió esos servidores, y sin embargo su comportamiento cambió.

La política de seguridad es por protocolo. Una access list IPv4 no hace nada por IPv6. Las interfaces de gestión cerradas sobre IPv4 pueden estar abiertas de par en par sobre IPv6 el día en que un dispositivo recibe una dirección global. Este es el riesgo que muerde en silencio, porque nada está roto; simplemente está expuesto.

Paso uno: un plan de direcciones del que no se arrepienta

Antes de configurar nada, divida la asignación sobre el papel. Un plan que nos ha servido bien:

• Un bloque público para la producción de los clientes.
• Un bloque público para la plataforma y los servicios internos que deben ser alcanzables.
• Un bloque solo interno, registrado en el RIR pero nunca anunciado, para la gestión y la infraestructura que nunca deben ser enrutables desde internet.
• Dentro de cada bloque, refleje el plan IPv4 donde pueda. Si la VLAN 210 lleva 192.0.2.0/26 en IPv4, dele un /64 evidente y derivable en IPv6. Los ingenieros deberían poder deducir el gemelo IPv6 de un host sin buscarlo.

Use un /64 para cada segmento LAN, y /127 para los enlaces punto a punto. Reserve un bloque entero para los loopbacks, de modo que las identidades de los routers sean fáciles de reconocer en traceroutes y logs. Decida pronto cómo obtienen direcciones los hosts: la asignación estática en los servidores mantiene las direcciones predecibles para las reglas de firewall y el DNS inverso, mientras que la autoconfiguración sin estado conviene más a las redes de clientes que a las de servidores.

Paso dos: paridad de seguridad antes que alcanzabilidad

Cierre las puertas antes de abrir la calle. En cada dispositivo, antes de que el routing IPv6 le llegue desde fuera:

• Existen access lists de gestión para SSH, SNMP, API e interfaces web en IPv6 que deniegan internet, iguales a las de IPv4.
• El filtrado anti-spoofing está aplicado a IPv6 en cada interfaz orientada a internet, con comprobación de ruta inversa unicast o filtros de origen explícitos.
• El control plane policing cubre ICMPv6 y neighbour discovery, de modo que el dispositivo sigue siendo gestionable bajo una inundación, sin bloquear el tráfico de neighbour discovery que IPv6 necesita para funcionar siquiera. ICMPv6 no es opcional en IPv6 como algunos tratan ICMP en IPv4: los mensajes packet-too-big son el mecanismo del descubrimiento de la MTU de la ruta.
• Las zonas de DNS inverso del nuevo espacio están delegadas y pobladas, de modo que el correo y las comprobaciones de cumplimiento no fallen la primera vez que un host hable IPv6.

Paso tres: del edge al núcleo, un dispositivo cada vez

Añada familias de direcciones IPv6 a las sesiones BGP existentes con tránsitos y peers en lugar de construir sesiones nuevas, y trabaje hacia dentro: routers de edge, después los enlaces hacia el fabric, después el routing interno del fabric. Cambie un dispositivo cada vez, y tome un snapshot del estado de cada sesión de routing antes y después de cada paso para poder ver de un vistazo que nada más se movió:

show bgp all summary | utility egrep "Neighbor|Estab|Idle|Active"

Guardado antes y después de cada cambio, un simple diff de esa salida es la prueba de regresión más rápida que escribirá nunca.

Paso cuatro: gateways silenciosos

Configure ahora gateways IPv6 donde ya viven los gateways IPv4, en las mismas VLAN y leaves, pero con los router advertisements suprimidos:

interface Vlan210
  ipv6 address 2001:db8:210::1/64
  ipv6 nd suppress-ra

Nada cambia para los servidores existentes, porque nadie les anuncia un prefijo. Los hosts obtienen IPv6 cuando usted lo decide, bien con una dirección y un gateway estáticos en su propia configuración, bien habilitando los anuncios en una VLAN donde cada host es conocido y está preparado. En Linux, compruebe qué hará un host antes de activar nada:

sysctl net.ipv6.conf.all.accept_ra net.ipv6.conf.eth0.accept_ra
ip -6 addr show; ip -6 route show

Paso cinco: pruebe desde fuera, sobre ambos protocolos

La vista desde dentro de una red la favorece. Una vez anunciado un bloque, escanee cada dirección de cada dispositivo desde un punto de observación externo sobre IPv4 e IPv6, y confirme que ningún puerto de gestión, monitorización o routing responde desde internet. Después haga la prueba positiva: alcance un host real sobre IPv6 desde varios países sin pérdidas, y confirme que su registro AAAA, su registro inverso y su certificado TLS funcionan sobre IPv6 exactamente igual que sobre IPv4. Un servicio que resuelve sobre IPv6 pero no responde es peor que uno sin IPv6, porque los clientes lo intentarán primero y esperarán. Herramientas como nmap desde un host externo, y redes de medición globales como RIPE Atlas, hacen fáciles ambas comprobaciones.

nmap -6 -Pn -p 22,161,179,443,830 2001:db8:210::1

Su propia lista de comprobación

• ¿Existe un plan IPv6 escrito que refleje su plan IPv4?
• ¿Tiene cada restricción de gestión IPv4 un gemelo IPv6?
• ¿Está el filtrado anti-spoofing aplicado a IPv6 en las interfaces orientadas a internet?
• ¿Están los router advertisements suprimidos hasta que decida habilitarlos?
• ¿Existen y resuelven sus zonas inversas IPv6?
• ¿Ha escaneado su propio espacio IPv6 desde fuera?

IPv6 es nativo en todas nuestras sedes, Atenas, Ámsterdam y Toronto, y se desplegó en este orden. Si quiere IPv6 en su plataforma sin sorpresas, con gusto le ayudamos.

CTA

Hable con un ingeniero

Related

Relacionado: IPv6, nativo y dual-stack · Cómo cambiamos las cosas: disciplina de cambios en la red · DNS autoritativo y DNS inverso, operados como infraestructura