Redes Dual-Stack: Executando IPv4 e IPv6 Juntos

O Que É Rede Dual-Stack#

Dual-stack significa executar IPv4 e IPv6 simultaneamente na mesma infraestrutura de rede. Cada dispositivo obtém um endereço IPv4 e um endereço IPv6. Aplicações selecionam automaticamente qual protocolo usar baseado em disponibilidade e preferência.

Esta é a abordagem de transição recomendada para a maioria das organizações. Você não precisa de um fim de semana de migração ou corte de serviço. IPv4 continua funcionando enquanto você habilita IPv6 incrementalmente. Clientes existentes não veem disrupção. Clientes capazes de IPv6 obtêm conectividade nativa. Você migra no seu próprio ritmo.

A adoção no mundo real reflete isso. De acordo com estatísticas do Google, mais de 40% dos usuários acessam seus serviços via IPv6. A maioria das redes principais—operadoras móveis, provedores de nuvem, redes de entrega de conteúdo—executam dual-stack hoje. Não é mais experimental. É padrão de produção.

Como Dual-Stack Funciona#

Em uma rede dual-stack, cada interface carrega duas pilhas de rede. Um servidor pode ter 192.0.2.10 para IPv4 e 2001:db8::10 para IPv6. Ambos endereços funcionam independentemente. Tráfego pode fluir sobre qualquer protocolo dependendo do que cliente e servidor negociam.

┌──────────────────────────────────────┐
│   Aplicação (curl, navegador)       │
│   Usa DNS para encontrar endereços  │
├──────────────────────────────────────┤
│        TCP/UDP (Agnóstico)           │
├───────────────────┬──────────────────┤
│   Pilha IPv4      │   Pilha IPv6     │
│   192.0.2.10      │   2001:db8::10   │
│   Rota via gw1    │   Rota via gw2   │
└───────────────────┴──────────────────┘
         │                   │
    Rede IPv4          Rede IPv6

A camada de rede mantém tabelas de roteamento separadas. Pacotes IPv4 seguem rotas IPv4. Pacotes IPv6 seguem rotas IPv6. Eles não interferem uns com os outros.

Comportamento de Aplicação: Happy Eyeballs#

Aplicações não escolhem manualmente entre protocolos. O sistema operacional lida com seleção de protocolo usando um algoritmo chamado « Happy Eyeballs » (RFC 8305). Entender isso ajuda a depurar problemas de conexão.

O processo:

1. Aplicação solicita conexão para example.com
2. DNS retorna registros A (IPv4) e AAAA (IPv6)
3. SO tenta conexão IPv6 primeiro
4. Após atraso de 50-250ms (varia por implementação), SO inicia conexão IPv4 em paralelo
5. Qualquer conexão que completar primeiro vence
6. Resultado armazenado em cache para conexões subsequentes

Isso garante que usuários obtenham a conexão disponível mais rápida sem esperar por timeouts. IPv6 obtém preferência, mas IPv6 quebrado não causará atrasos visíveis ao usuário além de uma fração de segundo.

Teste este comportamento usando nossa ferramenta Ping contra destinos dual-stack. Compare tempos de resposta IPv4 e IPv6.

DNS Retorna Ambos Tipos de Registro#

Em dual-stack, servidores DNS publicam registros A e AAAA para o mesmo hostname:

$ dig example.com A +short
192.0.2.10
 
$ dig example.com AAAA +short
2001:db8::10

Clientes consultam ambos tipos (ou usam síntese DNS64 em redes somente IPv6). O resolvedor retorna quaisquer registros que existam. Se apenas A existe, o cliente usa IPv4. Se ambos existem, Happy Eyeballs decide.

Exemplos de Configuração#

Configuração dual-stack é direta em sistemas modernos. A maioria suporta configuração automática via SLAAC (Stateless Address Autoconfiguration) ou DHCPv6.

Linux: Netplan (Ubuntu)#

Ubuntu moderno usa Netplan para configuração de rede. Edite /etc/netplan/01-netcfg.yaml:

network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: true
      dhcp6: true
      accept-ra: true

As configurações chave:

• dhcp4: true - Obter IPv4 via DHCP
• dhcp6: true - Obter IPv6 via DHCPv6
• accept-ra: true - Aceitar Router Advertisements para SLAAC

Aplique a configuração:

sudo netplan apply

Verifique ambos protocolos:

ip addr show eth0
# Procure por "inet" (IPv4) e "inet6" (IPv6)

Linux: NetworkManager (Fedora, RHEL, CentOS)#

Usando interface de linha de comando do NetworkManager:

# Habilitar ambos protocolos na sua conexão
nmcli connection modify "Wired connection 1" ipv4.method auto
nmcli connection modify "Wired connection 1" ipv6.method auto
 
# Aplicar mudanças
nmcli connection up "Wired connection 1"
 
# Verificar configuração
nmcli device show eth0

Para configuração dual-stack estática:

# Configurar IPv4 e IPv6 estáticos
nmcli connection modify "Wired connection 1" \
  ipv4.method manual \
  ipv4.addresses 192.0.2.10/24 \
  ipv4.gateway 192.0.2.1 \
  ipv6.method manual \
  ipv6.addresses 2001:db8::10/64 \
  ipv6.gateway 2001:db8::1
 
nmcli connection up "Wired connection 1"

Windows 10/11#

Windows habilita dual-stack por padrão. Para verificar ou reconfigurar:

Método GUI:

1. Pressione Win + R, digite ncpa.cpl, pressione Enter
2. Clique com botão direito no adaptador de rede → Propriedades
3. Verifique se ambos protocolos estão marcados:
   • Internet Protocol Version 4 (TCP/IPv4)
   • Internet Protocol Version 6 (TCP/IPv6)
4. Configure propriedades de cada protocolo conforme necessário

Método PowerShell:

# Verificar configuração atual
Get-NetIPAddress -InterfaceAlias "Ethernet"
 
# Habilitar configuração automática para ambos protocolos
Set-NetIPInterface -InterfaceAlias "Ethernet" -Dhcp Enabled
Set-NetIPInterface -InterfaceAlias "Ethernet" -AddressFamily IPv6 -Dhcp Enabled
 
# Ou configurar endereços estáticos
New-NetIPAddress -InterfaceAlias "Ethernet" `
  -IPAddress 192.0.2.10 -PrefixLength 24 -DefaultGateway 192.0.2.1
 
New-NetIPAddress -InterfaceAlias "Ethernet" `
  -IPAddress 2001:db8::10 -PrefixLength 64 -DefaultGateway 2001:db8::1
 
# Verificar
Get-NetIPAddress -InterfaceAlias "Ethernet"
Get-NetRoute -InterfaceAlias "Ethernet"

Roteador Linux com radvd#

Para configurar um sistema Linux como roteador dual-stack, habilite encaminhamento e execute daemon Router Advertisement.

Habilitar encaminhamento IP:

# Temporário
sudo sysctl -w net.ipv4.ip_forward=1
sudo sysctl -w net.ipv6.conf.all.forwarding=1
 
# Permanente
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding = 1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Instalar e configurar radvd:

sudo apt install radvd  # Ubuntu/Debian
# ou
sudo dnf install radvd  # Fedora/RHEL

Edite /etc/radvd.conf:

interface eth0
{
    AdvSendAdvert on;
    MinRtrAdvInterval 3;
    MaxRtrAdvInterval 10;
 
    prefix 2001:db8::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
        AdvRouterAddr on;
    };
 
    RDNSS 2001:4860:4860::8888 2001:4860:4860::8844
    {
    };
};

Inicie o serviço:

sudo systemctl enable radvd
sudo systemctl start radvd

Clientes na rede eth0 agora receberão Router Advertisements e configurarão endereços IPv6 automaticamente via SLAAC.

Roteador Cisco IOS#

Configure dual-stack em um roteador Cisco:

! Habilitar roteamento IPv6
ipv6 unicast-routing
 
! Configurar interface WAN (dual-stack)
interface GigabitEthernet0/0
 description WAN
 ip address dhcp
 ipv6 address autoconfig
 ipv6 enable
 no shutdown
 
! Configurar interface LAN (dual-stack)
interface GigabitEthernet0/1
 description LAN
 ip address 192.168.1.1 255.255.255.0
 ipv6 address 2001:db8:1::1/64
 ipv6 enable
 ipv6 nd prefix 2001:db8:1::/64
 ipv6 nd ra interval 10
 no shutdown
 
! Configurar rotas padrão
ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0
ipv6 route ::/0 GigabitEthernet0/0
 
! Verificar configuração
show ip interface brief
show ipv6 interface brief

Regras de Seleção de Endereço#

Quando um cliente dual-stack conecta a um servidor dual-stack, como ele escolhe qual protocolo usar? RFC 6724 define o algoritmo de seleção de endereço de origem e destino.

Ordem de Preferência Padrão#

O algoritmo avalia endereços baseado nestas regras (simplificado):

1. Preferir mesmo escopo - Link-local para link-local, global para global
2. Preferir família de endereço correspondente - Se origem é IPv6, preferir destino IPv6
3. Preferir maior precedência - IPv6 tem maior precedência padrão que IPv4
4. Preferir transporte nativo - Evitar tunelamento se possível
5. Preferir menor escopo - Preferir rotas mais específicas
6. Usar prefixo correspondente mais longo - Rotas mais específicas vencem

Por padrão, IPv6 obtém preferência sobre IPv4. Isso é intencional—encoraja adoção de IPv6 e fornece melhor desempenho (sem overhead de NAT).

Por Que IPv6 Geralmente Vence#

Dado um cliente dual-stack e servidor dual-stack:

Cliente tem:   192.0.2.100 e 2001:db8::100
Servidor tem:  192.0.2.10 e 2001:db8::10
DNS retorna:   A 192.0.2.10, AAAA 2001:db8::10

O algoritmo de seleção:

1. Ambos endereços têm escopo global → empate
2. Cliente tem endereços de origem IPv4 e IPv6 → empate
3. Precedência IPv6 (::ffff:0:0/96 = 35, ::/0 = 40) > precedência IPv4 (::ffff:0:0/96 = 35) → IPv6 vence

Resultado: Conexão usa IPv6 a menos que conectividade IPv6 esteja quebrada.

Configuração de Tabela de Política#

Você pode modificar o comportamento padrão editando a tabela de política. Isso raramente é necessário, mas útil para requisitos específicos.

Linux (Glibc):

Edite /etc/gai.conf (política de seleção de endereço):

# Preferir IPv4 sobre IPv6 (não recomendado)
precedence ::ffff:0:0/96  100
precedence ::/0            50

Windows:

# Mostrar tabela de política atual
Get-NetIPv6Protocol | Format-List
 
# Preferir IPv4 (não recomendado)
Set-NetIPv6Protocol -PreferredProtocol IPv4
 
# Resetar para padrão (preferir IPv6)
Set-NetIPv6Protocol -PreferredProtocol IPv6

Quando IPv4 É Preferido#

IPv4 é selecionado nestes cenários:

1. Sem conectividade IPv6 - Se roteamento IPv6 está quebrado, Happy Eyeballs retorna para IPv4
2. 6to4 ou Teredo - IPv6 tunelado tem precedência menor que IPv4 nativo
3. Escolha explícita de aplicação - Aplicação força IPv4 (má prática mas acontece)
4. Tabela de política modificada - Admin mudou manualmente ordem de preferência

A maioria dos problemas rotulados « IPv4 preferido » são na verdade conectividade IPv6 quebrada acionando fallback.

Considerações de DNS#

Configuração DNS dual-stack é crítica. DNS mal configurado causa atrasos de conexão, falhas ou seleção inesperada de protocolo.

Publicando Ambos Tipos de Registro#

Para cada serviço dual-stack, publique registros A e AAAA:

example.com.    300    IN    A        192.0.2.10
example.com.    300    IN    AAAA     2001:db8::10

Não publique AAAA se IPv6 não estiver funcionando. Clientes tentarão IPv6 primeiro, falharão, então retornarão para IPv4 após atraso. Isso cria uma experiência de usuário ruim.

Ordem de Resolução#

Resolvedores DNS modernos consultam A e AAAA simultaneamente ou com atraso mínimo. O resolvedor retorna ambos tipos, e o SO do cliente realiza seleção de endereço.

Alguns resolvedores mais antigos ou mal configurados consultam sequencialmente (A primeiro, depois AAAA). Isso adiciona latência mas não quebra funcionalidade.

O Que Acontece Quando Um Protocolo Falha#

Se IPv6 está acessível mas o serviço não responde em IPv6:

1. Cliente tenta conexão IPv6
2. Conexão recebe timeout ou é recusada
3. Happy Eyeballs tenta IPv4 em paralelo ou após pequeno atraso
4. Conexão IPv4 tem sucesso

Atraso total: tipicamente 50-250ms mais timeout de conexão (1-3 segundos no pior caso). Perceptível mas não catastrófico.

A solução melhor: corrija conectividade IPv6 ou remova registros AAAA até IPv6 funcionar.

Alinhamento de TTL#

Defina o mesmo TTL para registros A e AAAA. TTLs incompatíveis causam cache inconsistente e comportamento estranho de cliente.

# Bom
example.com.    300    IN    A        192.0.2.10
example.com.    300    IN    AAAA     2001:db8::10
 
# Ruim - TTLs incompatíveis
example.com.    300    IN    A        192.0.2.10
example.com.    3600   IN    AAAA     2001:db8::10

Se você precisa mudar endereços IP, reduza TTL em ambos registros antecipadamente. Espere o TTL antigo expirar, então mude IPs e restaure TTL normal.

Problemas Comuns e Soluções#

Solução de Problemas Detalhada: Conexões Lentas#

A maioria das reclamações dual-stack envolvem conexões « lentas ». Isso geralmente significa IPv6 quebrado acionando atrasos de fallback.

Diagnosticar:

# Testar apenas IPv4
curl -4 -w "Tempo: %{time_total}s\n" -o /dev/null -s https://example.com
 
# Testar apenas IPv6
curl -6 -w "Tempo: %{time_total}s\n" -o /dev/null -s https://example.com
 
# Testar padrão (dual-stack)
curl -w "Tempo: %{time_total}s\n" -o /dev/null -s https://example.com

Se -6 falhar ou receber timeout, mas -4 tem sucesso, e padrão mostra atrasos, você tem IPv6 quebrado.

Opções de correção:

1. Corrigir IPv6 - Solução preferida. Depurar roteamento, regras de firewall ou conectividade ISP.
2. Remover registros AAAA - Solução temporária. Serviço se torna somente IPv4 até você corrigir IPv6.
3. Não desabilitar IPv6 em servidores - Isso quebra coisas e esconde o problema real.

Monitorando Redes Dual-Stack#

Você não pode gerenciar o que não mede. Redes dual-stack requerem monitoramento de ambos protocolos independentemente.

Testando Ambos Protocolos#

Teste conectividade separadamente para identificar qual protocolo falha:

# Ping sobre IPv4
ping -4 google.com
 
# Ping sobre IPv6
ping -6 google.com
 
# Traceroute sobre IPv4
traceroute -4 google.com
 
# Traceroute sobre IPv6
traceroute -6 google.com
 
# Curl usando protocolo específico
curl -4 https://example.com
curl -6 https://example.com

Integre estes testes em scripts de monitoramento. Alerte quando um protocolo falha mesmo se o outro funciona.

Métricas a Rastrear#

Monitore estas métricas específicas dual-stack:

1. Distribuição de protocolo - Porcentagem de tráfego usando IPv4 vs IPv6
2. Taxa de sucesso de conexão - Por protocolo, rastreie conexões falhadas
3. Tempo de resposta - Compare latência IPv4 e IPv6
4. Prefixos BGP - Garanta que rotas IPv4 e IPv6 sejam anunciadas
5. Razão de consulta DNS - Rastreie taxas de consulta A vs AAAA
6. Taxas de erro ICMPv6 - Picos indicam problemas de roteamento ou MTU

Tendências destas métricas ao longo do tempo mostram progresso de adoção e destacam problemas antes que afetem usuários.

Alertando sobre Falhas de Protocolo#

Crie alertas separados para cada protocolo:

• Gateway padrão IPv4 inacessível
• Gateway padrão IPv6 inacessível
• Registro AAAA publicado mas serviço IPv6 inacessível
• Pico em timeouts de conexão IPv6
• Roteamento assimétrico (tráfego enviado via IPv6, retornado via IPv4)

Não confie em alertas genéricos « serviço fora do ar ». Você precisa de visibilidade específica de protocolo.

Ferramentas para Teste#

Use estas ferramentas para verificar operação dual-stack:

• ferramentas ping6.net - Teste conectividade IPv4 e IPv6 de diferentes perspectivas
• curl com flags -4/-6 - Force seleção de protocolo para teste HTTP(S)
• dig +short A/AAAA - Verifique se DNS retorna ambos tipos de registro
• tcpdump/wireshark - Capture e analise tráfego específico de protocolo
• mtr -4 / mtr -6 - Traceroute contínuo mostrando diferenças de caminho

Nossa ferramenta Ping e ferramenta Traceroute suportam forçar IPv4 ou IPv6, tornando teste dual-stack direto.

Considerações de Segurança#

Dual-stack expande sua superfície de ataque. Ambos protocolos precisam de políticas de segurança equivalentes.

Regras de Firewall para Ambos Protocolos#

O erro de segurança dual-stack mais comum: esquecer de configurar regras de firewall IPv6. Admins passam anos construindo ACLs IPv4, então habilitam IPv6 sem filtragem. Atacantes adoram isso.

Aplique a mesma política de segurança a ambos protocolos:

Se sua política IPv4 é:

NEGAR toda entrada exceto:
  - TCP 22 (SSH) de rede de gerenciamento
  - TCP 443 (HTTPS) de qualquer lugar
  - ICMP echo-request (ping)

Sua política IPv6 deve ser:

NEGAR toda entrada exceto:
  - TCP 22 (SSH) de rede de gerenciamento
  - TCP 443 (HTTPS) de qualquer lugar
  - ICMPv6 tipos 1,2,3,4,128,129 (tipos essenciais)
  - ICMPv6 tipos 133-137 (Descoberta de Vizinhos, apenas local)

Ferramentas como ip6tables, nftables ou firewalls comerciais suportam dual-stack. Configure ambas famílias de endereços.

Erro Comum: Proteger IPv4 mas Esquecer IPv6#

Organizações habilitam IPv6 para conformidade ou teste, então esquecem que está ativo. Atacantes escaneiam intervalos IPv6 procurando por hosts não filtrados.

Cenário exemplo:

1. Admin configura firewall IPv4 restritivo, apenas HTTPS exposto
2. IPv6 é habilitado no roteador para « prontidão futura »
3. Servidor obtém endereço IPv6 via SLAAC
4. Nenhuma regra de firewall IPv6 configurada
5. Atacante escaneia 2001:db8::/64, encontra SSH, bancos de dados, serviços internos expostos

Prevenção:

• Audite regras de firewall IPv6 assim como IPv4
• Negar padrão em ambos protocolos
• Teste com ferramentas de escaneamento somente IPv6
• Monitore por conexões IPv6 inesperadas

Extensões de Privacidade para Clientes#

SLAAC gera endereços usando endereço MAC da interface (formato EUI-64). Isso cria um identificador estável, rastreável através de redes—um problema de privacidade para clientes móveis.

Extensões de privacidade (RFC 4941) geram endereços temporários aleatórios que rotacionam periodicamente. Clientes usam endereços temporários para conexões de saída enquanto mantêm um endereço estável para conexões de entrada.

Habilitar extensões de privacidade:

Linux:

# Verificar status (2 = preferir endereços temporários)
sysctl net.ipv6.conf.all.use_tempaddr
 
# Habilitar
sudo sysctl -w net.ipv6.conf.all.use_tempaddr=2
 
# Tornar permanente
echo "net.ipv6.conf.all.use_tempaddr = 2" | sudo tee -a /etc/sysctl.conf

Windows:

Extensões de privacidade são habilitadas por padrão no Windows 7 e posterior. Verificar:

netsh interface ipv6 show privacy

macOS:

Habilitado por padrão. Nenhuma configuração necessária.

Importante: Não habilite extensões de privacidade em servidores. Endereços temporários quebram DNS, monitoramento e regras de firewall. Use-os apenas em dispositivos cliente.

Quando Considerar Somente IPv6#

Dual-stack é uma estratégia de transição, não o objetivo final. Eventualmente, redes movem para somente IPv6, simplificando operações e eliminando escassez de endereços IPv4.

Operadoras Móveis Já Usam Somente IPv6#

Principais operadoras móveis (T-Mobile USA, Reliance Jio, EE UK) executam redes núcleo somente IPv6. Elas usam 464XLAT (NAT64 + CLAT) para fornecer conectividade IPv4 quando necessário.

Usuários não notam. Seus telefones têm endereços IPv6, e aplicações legadas somente IPv4 funcionam transparentemente através de tradução.

NAT64/DNS64 para Acesso IPv4#

Redes somente IPv6 acessam serviços IPv4 usando NAT64 e DNS64:

1. Cliente consulta DNS para serviço somente IPv4
2. DNS64 sintetiza registro AAAA usando prefixo NAT64: 64:ff9b::192.0.2.10
3. Cliente envia tráfego IPv6 para endereço sintetizado
4. Gateway NAT64 traduz para IPv4, encaminha para serviço
5. Respostas traduzidas de volta para IPv6

Isso permite que clientes somente IPv6 alcancem a Internet IPv4 restante sem executar dual-stack.

Quando implantar somente IPv6:

• Redes móveis (já é padrão)
• Novas construções de data center (evitar IPv4 inteiramente)
• Implantações greenfield sem requisitos legados
• Organizações com controle total sobre clientes e aplicações

Quando manter dual-stack:

• Redes empresariais existentes (dependências IPv4 levam anos para eliminar)
• Redes com hardware/software legado
• Ambientes onde você não controla todos os clientes
• Serviços voltados para Internet (dual-stack maximiza acessibilidade)

Benefícios de Simplificação#

Executar um protocolo em vez de dois reduz:

• Tamanho de tabela de roteamento (uma tabela em vez de duas)
• Complexidade de firewall (uma política em vez de duas)
• Overhead de gerenciamento de endereço IP
• Complexidade de monitoramento e alerta

Mas esses benefícios apenas se materializam após eliminar IPv4 inteiramente. Dual-stack é mais complexo que somente IPv4 ou somente IPv6, mas é o único caminho de migração prático para a maioria das redes.

Artigos Relacionados#

• Estratégias de Migração IPv6 - Escolha a abordagem de migração certa para sua rede.
• Como Habilitar IPv6 - Configuração passo-a-passo para Windows, macOS, Linux e roteadores.
• Solução de Problemas IPv6 - Diagnostique e corrija problemas de conectividade dual-stack.

Perguntas Frequentes#

# Linux/macOS
netstat -tuln | grep -E '(tcp|udp)'
 
# Windows PowerShell
Get-NetTCPConnection | Select-Object LocalAddress,RemoteAddress
 
# Ou use tcpdump para ver pacotes reais
sudo tcpdump -n -i eth0 'ip6 or ip'