Az internetes protokoll 6-os verziója, az IPv6 nem egy új vagy kísérleti technológia: az IETF már 1998-ban szabványosította az RFC 2460 dokumentumban (amelyet később az RFC 8200 váltott fel). Ennek ellenére a lakossági internetkapcsolatoknál a mai napig tart a lassú, fokozatos átállás.
Sok felhasználó számára az IPv6 bonyolultnak, nehezen olvashatónak tűnik a megszokott pontozott 32 bites IPv4 címekhez képest. Ebben az elemzésben áttekintjük, hogy mit jelent az IPv6 az otthoni hálózaton, hogyan működik a Dual-Stack architektúra, és milyen előnyökkel jár a NAT nélküli közvetlen végpont-végpont kommunikáció.
1. A 128 bites címzési struktúra és az oktettek elhagyása
Az IPv6 legszembetűnőbb változása a címtér mérete. Míg az IPv4 32 bites címeket használt ($4,3 \times 10^9$ cím), az IPv6 128 bites címeket használ, ami $2^{128}$ (kb. $3.4 \times 10^{38}$) egyedi azonosítót tesz lehetővé. Ez a szám olyan hatalmas, hogy a Föld felszínének minden egyes négyzetmilliméterére több milliárd egyedi IP-cím jut.
Az IPv6 címeket 16 bites hexadecimális blokkokban, kettősponttal elválasztva írjuk fel:
2001:0db8:85a3:0000:0000:8a2e:0370:7334
A könnyebb olvashatóság érdekében két egyszerűsítési szabály érvényesül:
- A blokkon belüli vezető nullák elhagyhatók (
0db8->db8). - A egymást követő csupa nulla blokkok egyetlen dupla kettősponttal (
::) helyettesíthetők, de egy címben ez csak egyszer alkalmazható.
Így a fenti cím leegyszerűsített alakja:
2001:db8:85a3::8a2e:370:7334
2. A NAT korszaka után: Globális egyedi címek az otthoni hálózaton
Az IPv4 világában megszoktuk, hogy az otthoni eszközeink el vannak rejtve a router NAT (hálózati címfordítás) funkciója mögött. Az IPv6 megszünteti a NAT szükségességét.
Egy IPv6-ot támogató otthoni hálózaton minden egyes számítógép, okostelefon és IoT eszköz saját, globálisan útválasztható (Global Unicast) IPv6-címet kap.
Prefix Delegáció (DHCPv6-PD)
De hogyan kapják meg az otthoni eszközök a címeket a szolgáltatótól? A folyamat alapja a DHCPv6 Prefix Delegation (PD):
- Az otthoni routered a szolgáltatói hálózattól nem egyetlen IP-címet kér, hanem egy egész címtartományt, úgynevezett prefixet (jellemzően egy
/56-os vagy/64-es prefixet). - Egy
/64-es prefix egyetlen alhálózatot jelent, amelyben $2^{64}$ (18 trillió) egyedi IP-cím használható. - A routered fogadja ezt a kijelölt prefixet (például
2001:4c4e:1234:5600::/64), és ezt hirdeti ki az otthoni belső hálózaton (LAN).
[Szolgáltatói OLT/BNG]
│
▼ DHCPv6-PD (/56 prefix átadása: 2001:4c4e:1234:5600::/56)
[Otthoni Router]
│
├─ LAN alhálózat 1 (/64): 2001:4c4e:1234:5601::/64 --> [PC: ...::a1b2]
└─ Guest alhálózat 2 (/64): 2001:4c4e:1234:5602::/64 --> [Telefon: ...::c3d4]
3. Címképzés a belső hálózaton: SLAAC és Privacy Extensions
Az IPv6-ban a belső hálózati eszközök címképzése nem feltétlenül igényel központi DHCP szervert. A legelterjedtebb eljárás a SLAAC (Stateless Address Autoconfiguration):
- A router rendszeres időközönként kisugározza a hálózaton a Router Advertisement (RA) üzeneteket, amelyek tartalmazzák a
/64-es prefixet. - A csatlakozó eszköz (laptop, okostelefon) fogadja a prefixet, majd a saját hálózati kártyájának MAC-címéből (EUI-64 eljárással) vagy egy véletlenszerű azonosítóból képezi a cím alsó 64 bitjét (Interface Identifier).
Adatvédelem és az ideiglenes címek (Privacy Extensions)
Mivel a MAC-címből képzett IPv6 cím fix maradna, az eszköz elvileg beazonosítható és nyomon követhető lenne a különböző weboldalak látogatása során. Ennek kivédésére hozták létre az IPv6 Privacy Extensions szabványt (RFC 8981).
Ennek lényege, hogy az eszköz a fix SLAAC címe mellett rendszeresen (például 24 óránként) új, véletlenszerű ideiglenes (temporary) IPv6-címeket generál a kimenő internetes böngészéshez. A bejövő kapcsolatokhoz a stabil címet használja, míg a külvilág felé az ideiglenes címet mutatja, megakadályozva az online nyomkövetést.
4. Dual-Stack és átmeneti technológiák
Mivel a teljes internet nem tudott egyetlen nap alatt átállni IPv6-ra, a szolgáltatók átmeneti hálózati architektúrákat alkalmaznak:
1. Natív Dual-Stack
Ez az ideális működési mód. Az otthoni router egyidejűleg kap egy IPv4-címet (vagy CGNAT címet) és egy natív IPv6 prefixet. Az eszközök párhuzamosan mindkét protokollköteget futtatják. Ha egy weboldal támogatja az IPv6-ot (például a Google, YouTube, Facebook, Wikipedia), a böngésző automatikusan az IPv6-ot preferálja (Happy Eyeballs algoritmus). Ha a weboldal csak IPv4-en érhető el, a forgalom zökkenőmentesen az IPv4 csatornán fut.
2. DS-Lite (Dual-Stack Lite)
A szolgáltató belső hálózata kizárólag IPv6 alapon működik. Az IPv4 forgalmat a szolgáltató az otthoni routeren bekapszulázza IPv6 csomagokba (AFTR alagút), majd a központi átjárón lefordítja. Ennek hátulütője, hogy az IPv4 forgalom kötötten CGNAT mögé kerül.
3. MAP-T / MAP-E
Korszerűbb, állapotmentes (stateless) átviteli eljárások, ahol az IPv4 címek és porttartományok közvetlenül le vannak képezve az IPv6 címekre, tehermentesítve a szolgáltatói központi szervereket.
| Szempont | IPv4 (CGNAT-tal) | IPv6 (Natív Dual-Stack) |
|---|---|---|
| Címtér mérete | 32 bit (hiánycikk) | 128 bit (korlátlan) |
| Címfordítás (NAT) | Szükséges (Double NAT / CGNAT) | Nincs NAT (Végpont-végpont kapcsolat) |
| Kívülről való elérés | Port forwarding nem működik | Tűzfalszabállyal közvetlenül elérhető |
| Fejléc felépítése | Változó méret (20–60 bájt) | Fix méret (40 bájt), gyorsabb feldolgozás |
| Fejléces hibajavítás | Header Checksum minden routeren | Elhagyva (L2/L4 réteg végzi, kisebb CPU terhelés) |
5. Tévhitek az IPv6 biztonságáról
Gyakori tévhit, hogy mivel az IPv6-ban nincs NAT és minden eszköz globálisan egyedi IP-címet kap, az otthoni számítógépek védtelenné válnak az internetes támadásokkal szemben.
Ez a feltételezés hibás. A biztonságot nem a NAT (ami egy címfordítási kényszermegoldás), hanem a routerben futó stateful tűzfal (Stateful Firewall) nyújtja.
Az otthoni routerek IPv6 tűzfala alapértelmezés szerint pontosan ugyanúgy blokkol minden kívülről kezdeményezett (unsolicited inbound) kapcsolatot, mint IPv4 alatt. Ha az otthoni IPv6-os webszerverünket szeretnénk elérhetővé tenni a külvilágból, nem porttovábbításra (port forward) van szükség, hanem egy IPv6 tűzfal-átengedési szabályra (Firewall pinhole) a router beállításaiban, amely engedélyezi a bejövő forgalmat az adott eszköz konkrét IPv6-címére és portjára.
Mi változik ettől otthon
Az IPv6 a modern internet elkerülhetetlen alappillére. Megszünteti a CGNAT okozta torzulásokat, csökkenti a szolgáltatói átjárók késleltetését, és visszaállítja az internet eredeti, végpontok közötti (end-to-end) architektúráját. Ha saját hálózatodat szeretnéd beállítani vagy tesztelni, használd a rendszeres hibakeresési útmutatónkat.