Autoconfiguración, SLAAC y DHCPv6

Un router IPv6 anuncia periódicamente (y cuando un equipo se lo pide) un mensaje de anuncio de router (RA, tipo 134 de ICMPv6, RFC 4861). Lleva los prefijos de la red y unos bits que dicen al equipo cómo obtener su dirección:

• El bit A (configuración autónoma) del prefijo: si está en 1, el equipo puede formar su propia dirección con ese prefijo. Es la autoconfiguración sin estado, SLAAC (RFC 4862).
• El bit M (dirección administrada) del anuncio: si está en 1, las direcciones se piden a un servidor DHCPv6.
• El bit O (otra configuración): si está en 1, hay información adicional (por ejemplo los servidores DNS) en DHCPv6, aunque la dirección sea por SLAAC.
• La vida del router: cuántos segundos vale ese router como puerta de enlace predeterminada. Con 0 deja de serlo.

Consulta anuncios_ra.

Cuando un equipo se autoconfigura por SLAAC, el servidor DHCPv6 no se entera y no hay arrendamiento que registrar. Cuando el anuncio tiene el bit M en 1, las direcciones se piden a un servidor DHCPv6 (el cliente escucha en el puerto UDP 546; el servidor y los agentes de retransmisión, en el 547, RFC 8415) y queda el registro de quién tuvo cada una. Es una de las razones por las que algunas empresas prefieren DHCPv6 en las redes donde necesitan atribuir.

Mira la columna bit_m de la tabla.

Para formar una dirección por SLAAC con un identificador de interfaz de 64 bits, el prefijo debe medir 64 bits. Es la longitud que el direccionamiento IPv6 espera para las subredes con equipos finales (RFC 4291), y SLAAC no funciona con otra. Un anuncio con el bit A en 1 y un prefijo de otra longitud es una configuración que no puede dar el resultado que se pretende: los equipos no forman dirección, o la forman mal, y el defecto se descubre como «la red no funciona».

Revisa longitud junto con bit_a.

Un equipo con SLAAC puede formar más de una dirección. Además de la estable, genera direcciones temporales con identificador aleatorio para las conexiones que él inicia, de modo que quien observa desde fuera no pueda seguirlo de una red a otra (RFC 8981). Por defecto una temporal se prefiere un día y deja de valer a los dos días, y entonces se genera otra.

Para quien investiga es un cambio importante: la dirección que aparece en un registro de ayer puede no existir ya en el equipo. La columna origen de clientes distingue cómo se obtuvo cada una.

A las 14:02 el cortafuegos registró un acceso sospechoso desde una dirección temporal. Al día siguiente el equipo ya tiene otra. La guía de seguridad operativa de IPv6 (RFC 9099) señala como fuentes de datos para esto las copias periódicas de la tabla de vecinos y los arrendamientos de DHCPv6, además de los registros de flujos.