Redes Dual-Stack: Ejecutar IPv4 e IPv6 juntos

Qué es la red Dual-Stack#

Dual-stack significa ejecutar tanto IPv4 como IPv6 simultáneamente en la misma infraestructura de red. Cada dispositivo obtiene una dirección IPv4 y una dirección IPv6. Las aplicaciones seleccionan automáticamente qué protocolo usar basándose en disponibilidad y preferencia.

Este es el enfoque de transición recomendado para la mayoría de las organizaciones. No necesitas un fin de semana de migración o cambio de servicio. IPv4 continúa funcionando mientras habilitas IPv6 incrementalmente. Los clientes existentes no ven interrupción. Los clientes capaces de IPv6 obtienen conectividad nativa. Migras a tu propio ritmo.

La adopción del mundo real refleja esto. Según las estadísticas de Google, más del 40 % de los usuarios acceden a sus servicios vía IPv6. La mayoría de las redes principales — operadores móviles, proveedores de nube, redes de distribución de contenido — ejecutan dual-stack hoy. Ya no es experimental. Es estándar de producción.

Cómo funciona Dual-Stack#

En una red dual-stack, cada interfaz lleva dos pilas de red. Un servidor podría tener 192.0.2.10 para IPv4 y 2001:db8::10 para IPv6. Ambas direcciones funcionan independientemente. El tráfico puede fluir sobre cualquier protocolo dependiendo de lo que el cliente y el servidor negocien.

┌──────────────────────────────────────┐
│   Aplicación (curl, navegador)       │
│      Usa DNS para encontrar          │
│           direcciones                │
├──────────────────────────────────────┤
│        TCP/UDP (Agnóstico)           │
├───────────────────┬──────────────────┤
│   Pila IPv4       │   Pila IPv6      │
│   192.0.2.10      │   2001:db8::10   │
│   Ruta vía gw1    │   Ruta vía gw2   │
└───────────────────┴──────────────────┘
         │                   │
    Red IPv4            Red IPv6

La capa de red mantiene tablas de enrutamiento separadas. Los paquetes IPv4 siguen rutas IPv4. Los paquetes IPv6 siguen rutas IPv6. No interfieren entre sí.

Comportamiento de la aplicación: Happy Eyeballs#

Las aplicaciones no eligen manualmente entre protocolos. El sistema operativo maneja la selección de protocolo usando un algoritmo llamado „Happy Eyeballs" (RFC 8305). Entender esto ayuda a depurar problemas de conexión.

El proceso:

1. La aplicación solicita conexión a example.com
2. DNS devuelve registros tanto A (IPv4) como AAAA (IPv6)
3. El SO intenta conexión IPv6 primero
4. Después de 50-250ms de retraso (varía según implementación), el SO inicia conexión IPv4 en paralelo
5. La conexión que complete primero gana
6. El resultado se almacena en caché para conexiones posteriores

Esto asegura que los usuarios obtengan la conexión disponible más rápida sin esperar timeouts. IPv6 obtiene preferencia, pero IPv6 roto no causará retrasos visibles para el usuario más allá de una fracción de segundo.

Prueba este comportamiento usando nuestra herramienta Ping contra destinos dual-stack. Compara tiempos de respuesta IPv4 e IPv6.

DNS devuelve ambos tipos de registros#

En dual-stack, los servidores DNS publican registros tanto A como AAAA para el mismo nombre de host:

$ dig example.com A +short
192.0.2.10
 
$ dig example.com AAAA +short
2001:db8::10

Los clientes consultan por ambos tipos (o usan síntesis DNS64 en redes solo IPv6). El resolvedor devuelve qué registros existen. Si solo existe A, el cliente usa IPv4. Si existen ambos, Happy Eyeballs decide.

Ejemplos de configuración#

La configuración dual-stack es directa en sistemas modernos. La mayoría soporta configuración automática vía SLAAC (Autoconfiguración de Dirección Sin Estado) o DHCPv6.

Linux: Netplan (Ubuntu)#

Ubuntu moderno usa Netplan para configuración de red. Edita /etc/netplan/01-netcfg.yaml:

network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: true
      dhcp6: true
      accept-ra: true

Las configuraciones clave:

• dhcp4: true — Obtener IPv4 vía DHCP
• dhcp6: true — Obtener IPv6 vía DHCPv6
• accept-ra: true — Aceptar Router Advertisements para SLAAC

Aplicar la configuración:

sudo netplan apply

Verificar ambos protocolos:

ip addr show eth0
# Buscar tanto „inet" (IPv4) como „inet6" (IPv6)

Linux: NetworkManager (Fedora, RHEL, CentOS)#

Usando la interfaz de línea de comandos de NetworkManager:

# Habilitar ambos protocolos en tu conexión
nmcli connection modify "Wired connection 1" ipv4.method auto
nmcli connection modify "Wired connection 1" ipv6.method auto
 
# Aplicar cambios
nmcli connection up "Wired connection 1"
 
# Verificar configuración
nmcli device show eth0

Para configuración dual-stack estática:

# Configurar IPv4 e IPv6 estáticos
nmcli connection modify "Wired connection 1" \
  ipv4.method manual \
  ipv4.addresses 192.0.2.10/24 \
  ipv4.gateway 192.0.2.1 \
  ipv6.method manual \
  ipv6.addresses 2001:db8::10/64 \
  ipv6.gateway 2001:db8::1
 
nmcli connection up "Wired connection 1"

Windows 10/11#

Windows habilita dual-stack por defecto. Para verificar o reconfigurar:

Método GUI:

1. Presiona Win + R, escribe ncpa.cpl, presiona Enter
2. Clic derecho en adaptador de red → Propiedades
3. Verifica que ambos protocolos estén marcados:
   • Protocolo de Internet versión 4 (TCP/IPv4)
   • Protocolo de Internet versión 6 (TCP/IPv6)
4. Configura las propiedades de cada protocolo según sea necesario

Método PowerShell:

# Verificar configuración actual
Get-NetIPAddress -InterfaceAlias "Ethernet"
 
# Habilitar configuración automática para ambos protocolos
Set-NetIPInterface -InterfaceAlias "Ethernet" -Dhcp Enabled
Set-NetIPInterface -InterfaceAlias "Ethernet" -AddressFamily IPv6 -Dhcp Enabled
 
# O configurar direcciones estáticas
New-NetIPAddress -InterfaceAlias "Ethernet" `
  -IPAddress 192.0.2.10 -PrefixLength 24 -DefaultGateway 192.0.2.1
 
New-NetIPAddress -InterfaceAlias "Ethernet" `
  -IPAddress 2001:db8::10 -PrefixLength 64 -DefaultGateway 2001:db8::1
 
# Verificar
Get-NetIPAddress -InterfaceAlias "Ethernet"
Get-NetRoute -InterfaceAlias "Ethernet"

Router Linux con radvd#

Para configurar un sistema Linux como router dual-stack, habilita el reenvío y ejecuta el demonio Router Advertisement.

Habilitar reenvío IP:

# Temporal
sudo sysctl -w net.ipv4.ip_forward=1
sudo sysctl -w net.ipv6.conf.all.forwarding=1
 
# Permanente
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding = 1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Instalar y configurar radvd:

sudo apt install radvd  # Ubuntu/Debian
# o
sudo dnf install radvd  # Fedora/RHEL

Edita /etc/radvd.conf:

interface eth0
{
    AdvSendAdvert on;
    MinRtrAdvInterval 3;
    MaxRtrAdvInterval 10;
 
    prefix 2001:db8::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
        AdvRouterAddr on;
    };
 
    RDNSS 2001:4860:4860::8888 2001:4860:4860::8844
    {
    };
};

Iniciar el servicio:

sudo systemctl enable radvd
sudo systemctl start radvd

Los clientes en la red eth0 ahora recibirán Router Advertisements y configurarán direcciones IPv6 automáticamente vía SLAAC.

Router Cisco IOS#

Configurar dual-stack en un router Cisco:

! Habilitar enrutamiento IPv6
ipv6 unicast-routing
 
! Configurar interfaz WAN (dual-stack)
interface GigabitEthernet0/0
 description WAN
 ip address dhcp
 ipv6 address autoconfig
 ipv6 enable
 no shutdown
 
! Configurar interfaz LAN (dual-stack)
interface GigabitEthernet0/1
 description LAN
 ip address 192.168.1.1 255.255.255.0
 ipv6 address 2001:db8:1::1/64
 ipv6 enable
 ipv6 nd prefix 2001:db8:1::/64
 ipv6 nd ra interval 10
 no shutdown
 
! Configurar rutas predeterminadas
ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0
ipv6 route ::/0 GigabitEthernet0/0
 
! Verificar configuración
show ip interface brief
show ipv6 interface brief

Reglas de selección de dirección#

Cuando un cliente dual-stack se conecta a un servidor dual-stack, ¿cómo elige qué protocolo usar? RFC 6724 define el algoritmo de selección de dirección fuente y destino.

Orden de preferencia predeterminado#

El algoritmo evalúa direcciones basándose en estas reglas (simplificadas):

1. Preferir mismo ámbito — Link-local a link-local, global a global
2. Preferir familia de dirección coincidente — Si la fuente es IPv6, preferir destino IPv6
3. Preferir mayor precedencia — IPv6 tiene mayor precedencia predeterminada que IPv4
4. Preferir transporte nativo — Evitar tunelización si es posible
5. Preferir ámbito más pequeño — Preferir rutas más específicas
6. Usar prefijo coincidente más largo — Rutas más específicas ganan

Por defecto, IPv6 obtiene preferencia sobre IPv4. Esto es intencional — fomenta la adopción de IPv6 y proporciona mejor rendimiento (sin sobrecarga NAT).

Por qué IPv6 generalmente gana#

Dado un cliente dual-stack y un servidor dual-stack:

Cliente tiene:   192.0.2.100 y 2001:db8::100
Servidor tiene:  192.0.2.10 y 2001:db8::10
DNS devuelve:    A 192.0.2.10, AAAA 2001:db8::10

El algoritmo de selección:

1. Ambas direcciones tienen ámbito global → empate
2. El cliente tiene direcciones fuente tanto IPv4 como IPv6 → empate
3. Precedencia IPv6 (::ffff:0:0/96 = 35, ::/0 = 40) > Precedencia IPv4 (::ffff:0:0/96 = 35) → IPv6 gana

Resultado: La conexión usa IPv6 a menos que la conectividad IPv6 esté rota.

Configuración de tabla de políticas#

Puedes modificar el comportamiento predeterminado editando la tabla de políticas. Esto rara vez es necesario, pero útil para requisitos específicos.

Linux (Glibc):

Edita /etc/gai.conf (política de selección de dirección):

# Preferir IPv4 sobre IPv6 (no recomendado)
precedence ::ffff:0:0/96  100
precedence ::/0            50

Windows:

# Mostrar tabla de políticas actual
Get-NetIPv6Protocol | Format-List
 
# Preferir IPv4 (no recomendado)
Set-NetIPv6Protocol -PreferredProtocol IPv4
 
# Restablecer a predeterminado (preferir IPv6)
Set-NetIPv6Protocol -PreferredProtocol IPv6

Cuándo se prefiere IPv4#

IPv4 se selecciona en estos escenarios:

1. Sin conectividad IPv6 — Si el enrutamiento IPv6 está roto, Happy Eyeballs vuelve a IPv4
2. 6to4 o Teredo — IPv6 tunelizado tiene menor precedencia que IPv4 nativo
3. Elección explícita de aplicación — La aplicación fuerza IPv4 (mala práctica pero sucede)
4. Tabla de políticas modificada — El admin cambió manualmente el orden de preferencia

La mayoría de los problemas etiquetados como „IPv4 preferido" son en realidad conectividad IPv6 rota que dispara el fallback.

Consideraciones DNS#

La configuración DNS dual-stack es crítica. DNS mal configurado causa retrasos de conexión, fallos o selección de protocolo inesperada.

Publicar ambos tipos de registros#

Para cada servicio dual-stack, publica registros tanto A como AAAA:

example.com.    300    IN    A        192.0.2.10
example.com.    300    IN    AAAA     2001:db8::10

No publiques AAAA si IPv6 no funciona. Los clientes intentarán IPv6 primero, fallarán, luego volverán a IPv4 después de un retraso. Esto crea una mala experiencia de usuario.

Orden de resolución#

Los resolutores DNS modernos consultan A y AAAA simultáneamente o con retraso mínimo. El resolutor devuelve ambos tipos, y el SO del cliente realiza la selección de dirección.

Algunos resolutores más antiguos o mal configurados consultan secuencialmente (A primero, luego AAAA). Esto añade latencia pero no rompe funcionalidad.

Qué sucede cuando un protocolo falla#

Si IPv6 es alcanzable pero el servicio no responde en IPv6:

1. El cliente intenta conexión IPv6
2. La conexión agota tiempo o es rechazada
3. Happy Eyeballs intenta IPv4 en paralelo o después de corto retraso
4. La conexión IPv4 tiene éxito

Retraso total: típicamente 50-250ms más timeout de conexión (1-3 segundos en el peor caso). Notable pero no catastrófico.

La mejor solución: arreglar conectividad IPv6 o eliminar registros AAAA hasta que IPv6 funcione.

Alineación de TTL#

Establece el mismo TTL para registros A y AAAA. TTLs no coincidentes causan almacenamiento en caché inconsistente y comportamiento de cliente extraño.

# Bueno
example.com.    300    IN    A        192.0.2.10
example.com.    300    IN    AAAA     2001:db8::10
 
# Malo — TTLs no coincidentes
example.com.    300    IN    A        192.0.2.10
example.com.    3600   IN    AAAA     2001:db8::10

Si necesitas cambiar direcciones IP, baja el TTL en ambos registros primero. Espera a que expire el TTL antiguo, luego cambia las IPs y restaura el TTL normal.

Problemas comunes y soluciones#

Resolución de problemas detallada: Conexiones lentas#

La mayoría de las quejas dual-stack involucran conexiones „lentas". Esto generalmente significa IPv6 roto que dispara retrasos de fallback.

Diagnosticar:

# Probar solo IPv4
curl -4 -w "Tiempo: %{time_total}s\n" -o /dev/null -s https://example.com
 
# Probar solo IPv6
curl -6 -w "Tiempo: %{time_total}s\n" -o /dev/null -s https://example.com
 
# Probar predeterminado (dual-stack)
curl -w "Tiempo: %{time_total}s\n" -o /dev/null -s https://example.com

Si -6 falla o agota tiempo, pero -4 tiene éxito, y el predeterminado muestra retrasos, tienes IPv6 roto.

Opciones de arreglo:

1. Arreglar IPv6 — Solución preferida. Depurar enrutamiento, reglas de firewall o conectividad ISP.
2. Eliminar registros AAAA — Solución temporal. El servicio se vuelve solo IPv4 hasta que arregles IPv6.
3. No deshabilitar IPv6 en servidores — Esto rompe cosas y oculta el problema real.

Monitoreo de redes Dual-Stack#

No puedes gestionar lo que no mides. Las redes dual-stack requieren monitorear ambos protocolos independientemente.

Probar ambos protocolos#

Prueba conectividad por separado para identificar qué protocolo falla:

# Ping sobre IPv4
ping -4 google.com
 
# Ping sobre IPv6
ping -6 google.com
 
# Traceroute sobre IPv4
traceroute -4 google.com
 
# Traceroute sobre IPv6
traceroute -6 google.com
 
# Curl usando protocolo específico
curl -4 https://example.com
curl -6 https://example.com

Construye estas pruebas en scripts de monitoreo. Alerta cuando un protocolo falla incluso si el otro funciona.

Métricas a seguir#

Monitorea estas métricas específicas de dual-stack:

1. Distribución de protocolo — Porcentaje de tráfico usando IPv4 vs IPv6
2. Tasa de éxito de conexión — Por protocolo, rastrear conexiones fallidas
3. Tiempo de respuesta — Comparar latencia IPv4 e IPv6
4. Prefijos BGP — Asegurar que rutas tanto IPv4 como IPv6 se anuncien
5. Ratio de consultas DNS — Rastrear tasas de consultas A vs AAAA
6. Tasas de error ICMPv6 — Los picos indican problemas de enrutamiento o MTU

Tendencias de estas métricas a lo largo del tiempo muestran progreso de adopción y destacan problemas antes de que afecten usuarios.

Alertar sobre fallos de protocolo#

Crea alertas separadas para cada protocolo:

• Puerta de enlace predeterminada IPv4 inalcanzable
• Puerta de enlace predeterminada IPv6 inalcanzable
• Registro AAAA publicado pero servicio IPv6 inalcanzable
• Pico en timeouts de conexión IPv6
• Enrutamiento asimétrico (tráfico enviado vía IPv6, devuelto vía IPv4)

No confíes en alertas genéricas de „servicio caído". Necesitas visibilidad específica de protocolo.

Herramientas para probar#

Usa estas herramientas para verificar operación dual-stack:

• Herramientas ping6.net — Prueba conectividad IPv4 e IPv6 desde diferentes perspectivas
• curl con flags -4/-6 — Fuerza selección de protocolo para pruebas HTTP(S)
• dig +short A/AAAA — Verifica que DNS devuelva ambos tipos de registros
• tcpdump/wireshark — Captura y analiza tráfico específico de protocolo
• mtr -4 / mtr -6 — Traceroute continuo mostrando diferencias de ruta

Nuestra herramienta Ping y herramienta Traceroute soportan forzar IPv4 o IPv6, haciendo las pruebas dual-stack directas.

Consideraciones de seguridad#

Dual-stack expande tu superficie de ataque. Ambos protocolos necesitan políticas de seguridad equivalentes.

Reglas de firewall para ambos protocolos#

El error de seguridad dual-stack más común: olvidar configurar reglas de firewall IPv6. Los admins pasan años construyendo ACLs IPv4, luego habilitan IPv6 sin filtrado. Los atacantes aman esto.

Aplica la misma política de seguridad a ambos protocolos:

Si tu política IPv4 es:

DENEGAR todo entrante excepto:
  - TCP 22 (SSH) desde red de gestión
  - TCP 443 (HTTPS) desde cualquier lugar
  - ICMP echo-request (ping)

Tu política IPv6 debe ser:

DENEGAR todo entrante excepto:
  - TCP 22 (SSH) desde red de gestión
  - TCP 443 (HTTPS) desde cualquier lugar
  - ICMPv6 tipos 1,2,3,4,128,129 (tipos esenciales)
  - ICMPv6 tipos 133-137 (Neighbor Discovery, solo local)

Herramientas como ip6tables, nftables o firewalls comerciales soportan dual-stack. Configura ambas familias de direcciones.

Error común: Asegurar IPv4 pero olvidar IPv6#

Las organizaciones habilitan IPv6 para cumplimiento o pruebas, luego olvidan que está activo. Los atacantes escanean rangos IPv6 buscando hosts sin filtrar.

Escenario de ejemplo:

1. El admin configura firewall IPv4 restrictivo, solo HTTPS expuesto
2. IPv6 se habilita en router para „preparación futura"
3. El servidor obtiene dirección IPv6 vía SLAAC
4. No se configuran reglas de firewall IPv6
5. El atacante escanea 2001:db8::/64, encuentra SSH expuesto, bases de datos, servicios internos

Prevención:

• Auditar reglas de firewall IPv6 igual que IPv4
• Denegar por defecto en ambos protocolos
• Probar con herramientas de escaneo solo IPv6
• Monitorear conexiones IPv6 inesperadas

Extensiones de privacidad para clientes#

SLAAC genera direcciones usando la dirección MAC de la interfaz (formato EUI-64). Esto crea un identificador estable y rastreable a través de redes — un problema de privacidad para clientes móviles.

Las extensiones de privacidad (RFC 4941) generan direcciones temporales aleatorias que rotan periódicamente. Los clientes usan direcciones temporales para conexiones salientes mientras mantienen una dirección estable para conexiones entrantes.

Habilitar extensiones de privacidad:

Linux:

# Verificar estado (2 = preferir direcciones temporales)
sysctl net.ipv6.conf.all.use_tempaddr
 
# Habilitar
sudo sysctl -w net.ipv6.conf.all.use_tempaddr=2
 
# Hacer permanente
echo "net.ipv6.conf.all.use_tempaddr = 2" | sudo tee -a /etc/sysctl.conf

Windows:

Las extensiones de privacidad están habilitadas por defecto en Windows 7 y posteriores. Verificar:

netsh interface ipv6 show privacy

macOS:

Habilitado por defecto. No se necesita configuración.

Importante: No habilites extensiones de privacidad en servidores. Las direcciones temporales rompen DNS, monitoreo y reglas de firewall. Úsalas solo en dispositivos cliente.

Cuándo considerar solo IPv6#

Dual-stack es una estrategia de transición, no el objetivo final. Eventualmente, las redes se mueven a solo IPv6, simplificando operaciones y eliminando escasez de direcciones IPv4.

Los operadores móviles ya usan solo IPv6#

Los principales operadores móviles (T-Mobile USA, Reliance Jio, EE UK) ejecutan redes centrales solo IPv6. Usan 464XLAT (NAT64 + CLAT) para proporcionar conectividad IPv4 cuando sea necesario.

Los usuarios no lo notan. Sus teléfonos tienen direcciones IPv6, y las aplicaciones heredadas solo IPv4 funcionan transparentemente a través de traducción.

NAT64/DNS64 para acceso IPv4#

Las redes solo IPv6 acceden a servicios IPv4 usando NAT64 y DNS64:

1. El cliente consulta DNS por servicio solo IPv4
2. DNS64 sintetiza registro AAAA usando prefijo NAT64: 64:ff9b::192.0.2.10
3. El cliente envía tráfico IPv6 a dirección sintetizada
4. La puerta de enlace NAT64 traduce a IPv4, reenvía al servicio
5. Las respuestas se traducen de vuelta a IPv6

Esto permite a clientes solo IPv6 alcanzar el Internet IPv4 restante sin ejecutar dual-stack.

Cuándo desplegar solo IPv6:

• Redes móviles (ya estándar)
• Nuevas construcciones de centros de datos (evitar IPv4 completamente)
• Despliegues greenfield sin requisitos heredados
• Organizaciones con control completo sobre clientes y aplicaciones

Cuándo mantener dual-stack:

• Redes empresariales existentes (las dependencias IPv4 tardan años en eliminarse)
• Redes con hardware/software heredado
• Entornos donde no controlas todos los clientes
• Servicios orientados a Internet (dual-stack maximiza alcanzabilidad)

Beneficios de simplificación#

Ejecutar un protocolo en lugar de dos reduce:

• Tamaño de tabla de enrutamiento (una tabla en lugar de dos)
• Complejidad de firewall (una política en lugar de dos)
• Sobrecarga de gestión de direcciones IP
• Complejidad de monitoreo y alertas

Pero estos beneficios solo se materializan después de eliminar IPv4 completamente. Dual-stack es más complejo que solo IPv4 o solo IPv6, pero es la única ruta de migración práctica para la mayoría de las redes.

Artículos relacionados#

• Estrategias de migración IPv6 — Elige el enfoque de migración correcto para tu red
• Cómo habilitar IPv6 — Configuración paso a paso para Windows, macOS, Linux y routers
• Resolución de problemas IPv6 — Diagnostica y arregla problemas de conectividad dual-stack

Preguntas frecuentes#

# Linux/macOS
netstat -tuln | grep -E '(tcp|udp)'
 
# Windows PowerShell
Get-NetTCPConnection | Select-Object LocalAddress,RemoteAddress
 
# O usa tcpdump para ver paquetes reales
sudo tcpdump -n -i eth0 'ip6 or ip'