Migración a IPv6: Dual-Stack, Tunneling y NAT64

Por qué migrar ahora#

El agotamiento de direcciones IPv4 es real. Todos los registros regionales de Internet han agotado sus reservas. Las organizaciones pagan precios premium por pequeños bloques IPv4 mientras que el espacio de direcciones IPv6 permanece gratuito. Más allá del direccionamiento, IPv6 elimina la complejidad de NAT, simplifica el enrutamiento e cada vez más se convierte en un requisito competitivo a medida que las principales plataformas priorizan el tráfico IPv6.

El caso de negocio es directo: tus usuarios ya están en redes IPv6 (operadores móviles, proveedores de nube, ISPs modernos), pero podrías no estar listo para servirles eficientemente. Apple requiere soporte IPv6 para aplicaciones iOS. Google rankea sitios habilitados para IPv6 ligeramente más alto. El tráfico IPv6 crece 25-30% anualmente.

Tres enfoques de migración#

La migración a IPv6 no es de talla única. Tienes tres estrategias fundamentales:

La mayoría de las redes de producción usan dual-stack. El tunneling sirve como puente temporal. La traducción maneja casos extremos donde los protocolos deben interoperar.

Despliegue Dual-Stack#

Dual-stack significa que cada dispositivo de red habla ambos protocolos. Un servidor tiene una dirección IPv4 (192.0.2.10) y una dirección IPv6 (2001:db8::10). Las aplicaciones eligen qué protocolo usar basándose en el destino y preferencia.

┌─────────────────────────────────┐
│      Capa de aplicación         │
├─────────────────────────────────┤
│  TCP/UDP (agnóstico protocolo)  │
├──────────────┬──────────────────┤
│  Stack IPv4  │   Stack IPv6     │
│  192.0.2.10  │  2001:db8::10    │
└──────────────┴──────────────────┘
         │              │
    Red IPv4       Red IPv6

Ventajas#

Dual-stack no crea problemas de compatibilidad. Los clientes solo IPv4 continúan funcionando normalmente. Los clientes IPv6 obtienen conectividad nativa. Migras a tu propio ritmo sin interrupción del servicio o coordinación con partes externas.

La arquitectura de red se simplifica con el tiempo. A medida que la adopción de IPv6 crece, puedes deprecar servicios IPv4 gradualmente. Sin día bandera. Sin fin de semana de migración. Solo progreso constante.

Pasos de implementación#

1. Verificar soporte de hardware

Verifica que routers, switches y firewalls soporten IPv6. La mayoría del equipo empresarial de la última década lo hace, pero verifica versiones de firmware. Algunos dispositivos más antiguos necesitan actualizaciones.

2. Diseñar tu esquema de direccionamiento

Solicita un prefijo /48 o mayor de tu ISP (o RIR para organizaciones grandes). Planifica tu estructura de subredes. A diferencia del subnetting rígido de IPv4, usa /64 para todas las LANs—el tamaño de subred estándar que habilita SLAAC.

Ejemplo de asignación para un /48:

2001:db8:0100::/48  - Recibido del ISP
2001:db8:0100:0001::/64  - Servidores de centro de datos
2001:db8:0100:0002::/64  - LAN de oficina
2001:db8:0100:0003::/64  - Red de invitados
2001:db8:0100:0010::/64  - DMZ

3. Configurar infraestructura de red

Habilita enrutamiento IPv6 en routers frontera. Configura anuncios de router (SLAAC) o DHCPv6 para asignación de direcciones. Actualiza reglas de firewall—esto es crítico y a menudo olvidado.

4. Desplegar en servidores

Comienza con servicios de bajo riesgo. Un servidor de prueba, ambiente de desarrollo o herramienta interna. Añade registros AAAA de DNS. Prueba exhaustivamente antes de mover a servicios de producción. Monitorea patrones de tráfico tanto IPv4 como IPv6.

5. Habilitar conectividad de cliente

Los sistemas operativos modernos manejan dual-stack automáticamente. SLAAC configura direcciones sin DHCP. Los clientes reciben tanto direcciones IPv4 (vía DHCP) como IPv6 (vía SLAAC) y eligen apropiadamente.

Happy Eyeballs: Selección de protocolo#

RFC 8305 define «Happy Eyeballs», el algoritmo que los sistemas modernos usan para elegir entre IPv4 e IPv6. Entender esto ayuda a depurar problemas de conectividad.

El proceso:

1. La búsqueda DNS devuelve tanto registros A (IPv4) como AAAA (IPv6)
2. El sistema intenta conexión IPv6 primero
3. Después de 50-250ms (específico de implementación), inicia intento IPv4 en paralelo
4. La primera conexión exitosa gana
5. El resultado se almacena en caché para conexiones posteriores al mismo host

Esto asegura que los usuarios obtengan la mejor conectividad disponible sin retraso notable. IPv6 obtiene preferencia, pero IPv4 permanece como respaldo.

Puedes probar este comportamiento con nuestra herramienta de ping IPv6. Compara tiempos de respuesta para destinos dual-stack.

Mecanismos de tunneling#

El tunneling envuelve paquetes IPv6 dentro de IPv4, permitiendo conectividad IPv6 a través de infraestructura solo IPv4. Piensa en ello como una solución temporal, no una solución permanente.

Original: [Encabezado IPv6 | Datos]
En túnel: [Encabezado IPv4 | Encabezado IPv6 | Datos]

6in4: Túneles manuales#

El método de tunneling más simple. Configura dos endpoints manualmente, y los paquetes IPv6 fluyen a través de redes IPv4 como protocolo 41 (no UDP o TCP—protocolo IP raw 41).

Ejemplo de configuración Linux:

# Crear interfaz de túnel
ip tunnel add he-ipv6 mode sit remote 209.51.161.14 local 203.0.113.50 ttl 255
 
# Asignar dirección IPv6 (del proveedor de túnel)
ip addr add 2001:470:1f0a:1ab::2/64 dev he-ipv6
 
# Establecer enlace arriba
ip link set he-ipv6 up
 
# Añadir ruta IPv6 por defecto
ip route add ::/0 dev he-ipv6
 
# Verificar
ping6 google.com

Puntos clave:

• El protocolo 41 debe pasar a través de firewalls/NAT (a menudo bloqueado)
• Los endpoints de túnel necesitan direcciones IPv4 estáticas
• Hurricane Electric y otros proveedores de túneles proporcionan endpoints gratuitos
• Añade ~10-30ms de latencia dependiendo de la ubicación del proveedor de túnel

6rd: Despliegue rápido de ISP#

6rd permite que los ISPs proporcionen IPv6 a clientes sobre infraestructura IPv4 existente. El ISP ejecuta servidores relay, y los routers de clientes automáticamente hacen túnel de tráfico IPv6.

A diferencia de 6to4, 6rd usa prefijos específicos de ISP y relays controlados por ISP, haciéndolo más confiable y seguro. No configurarás esto manualmente—se aprovisiona automáticamente si tu ISP lo soporta.

DS-Lite: IPv4 sobre IPv6#

DS-Lite invierte el escenario típico: proporciona conectividad IPv4 sobre una red solo IPv6. Usado por ISPs que transicionan a infraestructura solo IPv6 mientras mantienen servicio IPv4.

Cliente ----[IPv4-en-IPv6]----> ISP AFTR ----[IPv4]----> Internet

El equipo de cliente (elemento B4) hace túnel de IPv4 dentro de IPv6 al AFTR (Router de transición de familia de direcciones) del ISP, que realiza NAT44 antes de reenviar al Internet IPv4.

Los usuarios finales típicamente no configuran DS-Lite—es gestionado por el ISP.

Tecnologías de traducción#

La traducción convierte paquetes entre IPv6 e IPv4 en la capa de red. Esto habilita comunicación cuando un lado es solo IPv6 y el otro es solo IPv4.

NAT64 con DNS64#

NAT64 traduce paquetes IPv6 a IPv4 y viceversa. Combinado con DNS64, proporciona acceso transparente a servicios solo IPv4 desde redes solo IPv6.

Cómo funciona:

1. Cliente solo IPv6 consulta DNS para ipv4only.example.com
2. Servidor DNS64 ve solo registro A (IPv4), sin registro AAAA (IPv6)
3. DNS64 sintetiza registro AAAA usando prefijo NAT64: 64:ff9b::198.51.100.5
4. El cliente envía paquete a dirección IPv6 sintetizada
5. Gateway NAT64 traduce a IPv4 y reenvía
6. Tráfico de retorno traducido de vuelta a IPv6

┌─────────────┐         ┌─────────────┐         ┌─────────────┐
│Cliente IPv6 │         │   NAT64     │         │Servidor IPv4│
│             │─────────│   Gateway   │─────────│             │
│2001:db8::1  │  IPv6   │  + DNS64    │  IPv4   │198.51.100.5 │
└─────────────┘         └─────────────┘         └─────────────┘

Prefijo NAT64 conocido: 64:ff9b::/96 (RFC 6052)

NAT64 requiere traducción con estado—el gateway mantiene estado de sesión como NAT44 tradicional. Esto introduce las mismas preocupaciones de escalabilidad que NAT IPv4.

464XLAT: Habilitando aplicaciones IPv4#

464XLAT extiende NAT64 añadiendo traducción del lado del cliente (CLAT), permitiendo que aplicaciones solo IPv4 funcionen en redes solo IPv6.

┌──────────────┐      ┌──────────────┐      ┌──────────────┐
│ App IPv4     │      │              │      │Servidor IPv4 │
│              │      │Red solo IPv6 │      │              │
│ 192.0.0.1    │      │              │      │198.51.100.5  │
└──────┬───────┘      └──────────────┘      └──────────────┘
       │                                             │
    CLAT (dispositivo)                         PLAT (ISP)
    NAT46                                       NAT64

Las redes móviles usan extensivamente 464XLAT. Tu teléfono ejecuta un stack solo IPv6, pero las aplicaciones heredadas solo IPv4 aún funcionan transparentemente. Android e iOS soportan CLAT nativamente.

Elegir tu estrategia#

Marco de decisión basado en características de red:

¿Tienes IPv6 nativo del ISP?
   │
   ├─ SÍ ──> Desplegar dual-stack (recomendado)
   │          1. Habilitar IPv6 en router frontera
   │          2. Configurar SLAAC/DHCPv6
   │          3. Actualizar reglas de firewall
   │          4. Añadir registros AAAA a DNS
   │
   └─ NO ──> ¿Necesitas IPv6 inmediatamente?
              │
              ├─ SÍ ──> Usar proveedor de túnel
              │          (Hurricane Electric, etc.)
              │
              └─ NO ──> Solicitar IPv6 al ISP
                        o planificar línea de tiempo de migración

Matriz de selección de estrategia#

Errores comunes#

1. Configuración de firewall incompleta#

El tráfico IPv6 a menudo pasa por alto las reglas de firewall IPv4. Los equipos de seguridad configuran políticas extensas de IPv4 pero olvidan IPv6 completamente. Resultado: conectividad IPv6 sin filtrar.

Solución: Aplica políticas de seguridad equivalentes a ambos protocolos. Si bloqueas el puerto 23 (telnet) en IPv4, bloquéalo en IPv6. Usa inspección con estado para ambos.

2. Configuraciones erróneas de DNS#

Publicar registros AAAA sin conectividad IPv6 funcional rompe el acceso para clientes habilitados para IPv6. Happy Eyeballs ayuda, pero causa retrasos y respaldo a IPv4.

Solución: Solo publica registros AAAA después de verificar que la conectividad IPv6 funciona. Monitorea patrones de consulta tanto A como AAAA. Configura DNS inverso (registros PTR) para direcciones IPv6.

3. Problemas de compatibilidad de aplicaciones#

Las aplicaciones que codifican suposiciones de IPv4 fallan con IPv6:

• Almacenar direcciones IP en enteros de 32 bits
• Patrones regex que solo coinciden formato IPv4
• No encorchetar direcciones IPv6 en URLs: http://[2001:db8::1]:8080/
• Vincularse a 0.0.0.0 en lugar de :: (comodín IPv6)

Solución: Prueba aplicaciones exhaustivamente con conectividad solo IPv6. Usa ambientes de prueba dual-stack. Revisa código para suposiciones de IPv4.

4. Puntos ciegos de monitoreo#

El monitoreo de red a menudo rastrea métricas IPv4 pero ignora IPv6. No notarás si la conectividad IPv6 se degrada o falla completamente.

Solución:

• Monitorea tráfico IPv6 e IPv4 separadamente
• Configura chequeos de salud específicos de IPv6
• Rastrea distribución de preferencia de protocolo (qué porcentaje de tráfico usa IPv6)
• Alerta sobre problemas de disponibilidad IPv6

Usa nuestra calculadora de subredes IPv6 para planificar direccionamiento y nuestra herramienta de ping para verificar conectividad.

Comenzar simple#

Empieza con dual-stack en sistemas no críticos. Un servidor de prueba, ambiente de desarrollo o herramienta interna. Verifica que la conectividad IPv6 funcione. Añade registros AAAA. Monitorea tráfico.

Una vez cómodo, expande a servicios de producción. La mayoría de la infraestructura moderna soporta IPv6 con configuración mínima. La migración técnica es directa—el cambio organizacional y las pruebas exhaustivas toman más tiempo.

El tunneling sirve como puente temporal si no puedes obtener IPv6 nativo inmediatamente. Pero presiona a tu ISP para soporte nativo. La traducción maneja casos extremos pero no debería ser tu estrategia primaria.

La adopción de IPv6 continúa acelerando. Comenzar ahora, incluso incrementalmente, posiciona tu red para el futuro mientras tus competidores se apresuran a ponerse al día después.