IPv6 sobre VPN: un prefijo delegado no es un grupo de direcciones

El mismo día llegan dos solicitudes: un portátil necesita IPv6 por el túnel y un sitio pequeño quiere IPv6 para los dispositivos que tiene detrás de su router. A ambas se responde con una dirección, y la segunda pasa después una semana fallando. Los roles difieren, y también los mecanismos, la configuración y la comprobación que demuestra que funciona. Esta guía los mantiene separados.

Paso uno: decida qué rol está atendiendo

Un solo host necesita una dirección en su interfaz de túnel, con una ruta hacia el lado remoto y nada aguas abajo que numerar. Un router detrás del túnel necesita una red entera que pueda repartir, más una ruta en el lado remoto que devuelva esas direcciones hacia él. Lo que hay detrás del túnel determina cada decisión posterior.

Responda esa pregunta antes de abrir cualquier configuración. Todo lo que viene después de este paso depende de qué respuesta haya dado.

Paso dos: asignación de direcciones para un solo host

Asigne la dirección del túnel, confirme la longitud de prefijo que espera el producto y compruebe que el cliente instala una ruta para el rango remoto en lugar de enviarlo a la puerta de enlace predeterminada local. Una /128 en una interfaz de túnel es normal para un enlace punto a punto, mientras que una /64 allí reclama una red que nadie ha delegado. Dos salidas resuelven la pregunta: la tabla de direcciones y la tabla de rutas, leídas en ambos extremos. Léalas juntas, porque una ruta que apunta a la interfaz equivocada es el error más habitual en este paso.

Verifique con las tablas de direcciones y de rutas en ambos extremos y luego envíe una solicitud. Si la solicitud sale correctamente y no vuelve nada, el fallo está en la ruta del lado remoto y no en la dirección del cliente.

Paso tres: delegación para un router detrás del túnel

La delegación de prefijo es un mecanismo distinto de la asignación de direcciones, con su propia solicitud y su propio arrendamiento. El lado que delega debe configurarse para entregar un prefijo lo bastante grande para la red posterior, y el router solicitante debe numerar su interfaz interior a partir de ese prefijo.

No suponga que el grupo que atiende a clientes móviles puede delegar. Muchos productos VPN asignan direcciones individuales y no tienen ninguna función de delegación, y un prefijo del proveedor que llega a su borde no se pasa automáticamente a un par. Anote qué rol atiende cada grupo, porque los dos se configuran en lugares distintos.

Paso cuatro: haga explícita la ruta de vuelta

Ambos extremos deben acordar qué par transporta qué prefijo. En el lado remoto, añada la ruta para la red delegada que apunta al túnel y confirme que ningún rango solapado la reclama ya.

Un prefijo válido sin ruta de vuelta produce un plan de direccionamiento ordenado y ninguna conectividad. Una ruta sin regla de acceso expone más del sitio de lo previsto, así que empareje los dos cambios en la misma ventana y mantenga un estado a medio aplicar lejos de los usuarios.

Paso cinco: verifique desde detrás del router

Ejecute las comprobaciones en orden: la dirección de la interfaz de túnel en el cliente, el prefijo delegado en la interfaz interior, la ruta del lado remoto hacia ese prefijo y por último una solicitud desde un dispositivo detrás del router. Use un destino que controle para que un bloqueo silencioso se distinga de una ruta ausente. Cualquier paso que le sorprenda es el que hay que corregir antes de continuar.

Haga la última comprobación dos veces, una desde el propio router y otra desde un dispositivo detrás de él. Un router que alcanza el destino mientras sus clientes no pueden es un problema de delegación o de reenvío, no un problema aguas arriba.

Reversión

Guarde la configuración de direccionamiento anterior antes del cambio y anote cuál de los dos mecanismos modificó. Quitar un prefijo delegado sin quitar la ruta deja un agujero negro, y quitar la ruta sin el prefijo deja direcciones que nada puede alcanzar. Anote los dos cambios por separado, porque deshacer uno mientras el otro se mantiene deja un sitio inaccesible solo en una dirección.

Si un producto resulta no admitir el rol que necesita, deténgase y cambie el diseño en lugar de estirar un campo de cliente para que quepa un rango para el que nunca estuvo pensado. Un caso de soporte respondido con el mecanismo equivocado cuesta más de lo que costaría el cambio de diseño.