IPv6 w UniFi: jak włączyć, delegacja prefiksów, SLAAC i firewall

IPv6 wprowadza adresy bez translacji NAT: każde urządzenie może mieć adres publiczny. Dostawca przydziela Ci prefiks (np. /56 lub /64), a Twoja brama dzieli go na sieci wewnętrzne. W UniFi włączasz to w kilku miejscach: WAN, sieci LAN i firewall. Poradnik zakłada podstawową wiedzę o adresowaniu. Wygląd menu zależy od wersji aplikacji.

Krótko

• Sprawdź, czy dostawca oferuje IPv6 natywnie i jaką metodą (DHCPv6-PD lub PPPoE z IPv6).
• Na WAN włącz IPv6 i wybierz tryb zgodny z operatorem, prosząc o delegację prefiksu.
• Na każdej sieci LAN włącz IPv6 i wybierz sposób przydziału adresów: SLAAC lub DHCPv6.
• Zweryfikuj reguły firewalla IPv6, bo bez NAT brak ukrycia hostów.
• Jeśli coś nie działa, zacznij od testu bez IPv6 i dodawaj funkcje po jednej.

Podstawy

• Prefiks. Dostawca deleguje blok, np. /56. Z niego brama tworzy podsieci /64 dla każdej sieci LAN (VLAN-u).
• SLAAC. Klient sam buduje adres na podstawie ogłoszenia routera (RA, Router Advertisement). Prosty i najczęstszy.
• DHCPv6. Serwer przydziela adresy lub tylko dodatkowe informacje (np. DNS). Nie wszystkie systemy go wspierają (Android nie obsługuje przydziału adresów DHCPv6).
• Adresy tymczasowe. Systemy klientów używają prywatnych, zmiennych adresów, więc śledzenie urządzeń po adresie jest trudniejsze.
• Brak NAT. Wyjście do internetu idzie z adresów publicznych, więc firewall jest jedyną barierą.

Konfiguracja WAN

1. W ustawieniach połączenia internetowego (Internet, WAN) znajdź sekcję IPv6.
2. Wybierz tryb: DHCPv6 (dla wielu dostawców światłowodowych i kablowych) lub inny wskazany przez operatora. Przy PPPoE IPv6 zwykle negocjuje się razem z połączeniem. Zob. migracja z routera operatora (PPPoE i VLAN).
3. Ustaw wielkość żądanego prefiksu (delegation size), np. /56, jeśli operator na to pozwala. Domyślna wartość często jest odpowiednia.
4. Zapisz i sprawdź w statusie, czy brama dostała adres WAN i prefiks.

Jeśli prefiks się nie pojawia, sprawdź w dokumentacji dostawcy, czy usługa IPv6 jest aktywna dla twojego łącza. Niektóre wymagają włączenia na koncie klienta.

Konfiguracja sieci LAN

Dla każdej sieci (VLAN):

1. Włącz IPv6 i wskaż interfejs oraz sposób przypisania podsieci z delegowanego prefiksu (Prefix Delegation).
2. Wybierz tryb adresowania: SLAAC (domyślnie wygodny), SLAAC z DHCPv6 dla informacji (DNS), albo samo DHCPv6.
3. Ustaw serwery DNS IPv6 (lub pozwól bramie ogłosić się jako resolwer).
4. Włącz ogłaszanie routera (RA).

Dla sieci gości i IoT zastanów się, czy IPv6 jest tam potrzebne. Mniej stosów to mniej reguł do pilnowania.

Firewall IPv6

To najważniejsza część. W IPv4 NAT daje domyślną ochronę, w IPv6 jej nie ma.

• Sprawdź domyślną politykę: ruch przychodzący z internetu do sieci wewnętrznych powinien być blokowany, z wyjątkiem odpowiedzi na połączenia wychodzące.
• Zezwól na niezbędny ICMPv6, bo bez niego IPv6 działa wadliwie (wykrywanie sąsiadów, MTU).
• Reguły między sieciami wewnętrznymi opisuje firewall oparty na strefach. Pamiętaj, że reguły muszą obejmować IPv6 tak samo jak IPv4.
• Gdy wystawiasz usługę (np. serwer) przez IPv6, tworzysz regułę zezwalającą na konkretny adres i port, a nie przekierowanie portu.

Co może pójść nie tak

• Brak internetu po włączeniu. Klient ma adres IPv6, ale brama nie ma poprawnej trasy. Wyłącz IPv6 na sieci i sprawdź WAN.
• Problemy z MTU. Strony ładują się w połowie. Sprawdź MTU na WAN, szczególnie przy PPPoE.
• Aplikacja używa IPv6, a firewall ją blokuje. Objawia się opóźnieniami (próby IPv6, potem przełączenie na IPv4). Sprawdź logi firewalla.
• Zmieniający się prefiks. Dostawca może zmienić prefiks po restarcie. Używaj nazw DNS, a nie adresów, zależnie od usługi.
• Wyciek w VPN. Klient VPN bez obsługi IPv6 może wysyłać ruch IPv6 poza tunelem. Sprawdź to w ustawieniach VPN, zob. VPN w UniFi.

Test

1. Z urządzenia w sieci sprawdź adres IPv6 (powinien zaczynać się od prefiksu otrzymanego od dostawcy).
2. Otwórz stronę testującą IPv6 w przeglądarce.
3. Przetestuj ping do adresu IPv6 i do nazwy domenowej.
4. Z zewnątrz sprawdź, czy urządzenia wewnętrzne nie są osiągalne bez reguły.

Czy warto

Dla większości sieci domowych IPv4 z NAT nadal działa dobrze. IPv6 daje korzyści przy łączach CGNAT, w sieciach z wieloma urządzeniami i usługach wymagających adresu publicznego. Włącz je, gdy dostawca je zapewnia i masz czas na przetestowanie reguł.

Potrzebujesz pomocy z doborem bramy lub konfiguracją u danego dostawcy? Napisz do nas. Sprzęt znajdziesz w kategorii Cloud Gateway.

Przygotowane przez AI, zredagowane przez człowieka