Las direcciones IPv6 no sustituyen a tu VPN: recorre la tarea original

Abre la página de estado del cliente, ve una dirección IPv6 global y la tentación es concluir que el túnel se ha vuelto opcional. Esa página muestra una dirección, no una frontera de cifrado, ni una tabla de enrutamiento privada, ni una decisión de acceso. Una VPN suele desempeñar tres tareas a la vez, e IPv6 solo toca la que tiene que ver con compartir direcciones escasas. Recorrer un único servicio desde el cliente hasta el receptor es la única forma de ver qué tarea sobrevive al cambio.

Nombra la tarea antes de retirar la herramienta

La gente dice «la VPN» cuando se refiere a una de tres disposiciones, y las tres fallan por motivos distintos. Llegar a una aplicación publicada por un equipo es un problema de acceso a aplicaciones. Unirse a un conjunto definido de redes privadas para que varios sitios puedan alcanzarse es una relación de enrutamiento. Mantener una capa administrativa estable sobre una infraestructura que no controlas del todo es una disposición de operaciones con su propio plan de direcciones.

IPv6 elimina un obstáculo de compartición de direcciones para la primera disposición, y ahí hace trabajo real, porque una dirección directa puede sustituir a un traductor. Para las otras dos no cambia nada, ya que el requisito nunca fue la escasez de direcciones. Escribe cuál de las tres estás ejecutando en realidad antes de tocar una configuración.

Una dirección pública no es cifrado

Una dirección de ámbito global te dice dónde se puede alcanzar un host; no dice nada sobre si el tráfico que llega allí está cifrado o autenticado. La discusión de seguridad de RFC 8504 separa el soporte de implementación de IPsec de la elección más amplia entre IPsec, TLS, SSH y otros enfoques, que es precisamente la distinción que desaparece cuando la alcanzabilidad se lee como protección. Una pila que admite un mecanismo solo ha demostrado que el mecanismo está disponible, nunca que este flujo pasó por él. En el caso concreto de IPsec, la asociación negociada y el tráfico que selecciona deciden qué está protegido, y una familia de direcciones es una propiedad del paquete, no una política para él.

La alcanzabilidad es de nuevo una cuestión aparte. Una dirección pública no hace que llegue tráfico no solicitado, porque la ruta, el cortafuegos y el receptor tienen cada uno su voto, y quitar NAT quita un filtro, no todos. Decide cuál de esos tres estaba supliendo el túnel, si alguno.

Lo que la capa superpuesta sigue aportando

Una capa superpuesta sigue ganándose su sitio en tres situaciones. Los usuarios remotos pueden necesitar un conjunto concreto de rutas en lugar de una aplicación, dos sitios pueden necesitar un acuerdo privado de alcanzabilidad, y los operadores pueden querer un direccionamiento que no cambie cuando cambia el proveedor de acceso. Ninguna de las tres tiene que ver con la escasez de direcciones IPv4.

Las direcciones globales no hacen que eso no requiera mantenimiento. Un plan interno ordenado no mantiene el extremo externo respondiendo después de que el proveedor lo cambie, y la autenticación, la reconexión y las actualizaciones de nombres siguen necesitando un responsable. Decide cómo se recuperan antes de apagar nada.

Recorre el servicio que se vuelve público

Empieza en el host y enumera lo que está escuchando de verdad, porque la aplicación que aprobaste rara vez es lo único en la máquina. ss -lntup imprime cada receptor TCP y UDP con su dirección de enlace y añade el proceso propietario cuando tus privilegios lo permiten, lo que muestra de un vistazo si una interfaz de administración está en una dirección comodín o solo en loopback. Repítelo como ss -6 -lntup si tu pila mantiene separados los sockets IPv6.

Después clasifica cada línea por audiencia. Un puerto de aplicación que lleva su propia autenticación y seguridad de transporte puede estar bien en una dirección pública, mientras que una interfaz administrativa, un endpoint de métricas y un puerto de base de datos normalmente no. Una aplicación aprobada es un juicio sobre esa aplicación sola, nunca permiso para exponer todos los servicios que comparten el host. La dirección de enlace de cada línea te dice si la exposición ya existe o la crearía el cambio que planeas.

Dos pruebas y luego decide qué apagar

Antes de retirar una capa, responde dos preguntas sobre el papel. Primera: ¿el requisito necesita enrutamiento privado, es decir, alcanzabilidad que una dirección pública no implica y el proveedor de acceso no ofrece? Segunda: ¿necesita una frontera de protección, es decir, cifrado y autenticación en un flujo que de otro modo cruzaría una ruta no confiable en claro? Si ambas respuestas son no para ese servicio, el túnel es candidato a retirarse; si alguna es sí, se queda.

Ejecuta la misma prueba sobre IPv4 e IPv6 por separado en un cliente de pila dual, porque el tráfico IPv4 protegido no describe nada sobre la ruta IPv6. Una dirección IPv6 global en una página de estado no es prueba de una fuga, y que falte no es prueba de protección. Apaga solo los servicios en los que ambas respuestas se escribieron y siguen siendo no, y anota en el registro de cambios qué pregunta lo decidió.