Direcciones IPv6 y tipos de dirección

Una dirección IPv6 mide 128 bits y se escribe en ocho grupos de cuatro cifras hexadecimales; se permite abreviar un tramo de ceros seguidos con :: (una sola vez por dirección). Los prefijos de las direcciones dicen su tipo, según la arquitectura de direccionamiento (RFC 4291):

• De enlace local, fe80::/10. Cada interfaz con IPv6 la tiene siempre. Solo vale dentro de su enlace y un enrutador no la reenvía a otra red.
• Global, hoy dentro de 2000::/3. Es la que se enruta por Internet.
• Multicast, ff00::/8. Identifica a un grupo de interfaces; IPv6 no tiene difusión (broadcast) y usa multicast en su lugar.
• Loopback ::1 y no especificada ::.

En los ejemplos de este módulo usamos el prefijo 2001:db8::/32, que está reservado para documentación (RFC 3849). Una red real usa el prefijo que le asignó su proveedor.

Consulta direcciones y mira las que tienen tipo enlace local.

Un equipo puede tener varias direcciones a la vez: una de enlace local siempre y, además, una o más globales o locales únicas. Es lo normal. Lo que no es normal en una red que se supone enrutada es que un equipo tenga solo la de enlace local: solo puede hablar con quienes están en su mismo segmento, y si su función es dar servicio a toda la red, algo falta.

Revisa direcciones y busca el equipo cuya única dirección es de enlace local.

Existe un rango para direccionar redes internas que no deben alcanzarse desde Internet: las direcciones locales únicas (ULA, RFC 4193), dentro de fc00::/7. En la práctica se usan las que empiezan por fd: llevan un identificador global de 40 bits que se genera al azar, seguido de un identificador de subred de 16 bits. Un equipo puede tener una ULA además de su dirección global, y las usa para hablar con otros equipos internos.

Una ULA no es un cortafuegos: no se enruta por Internet porque el proveedor no la anuncia, y por eso hay que filtrarla en el borde para que tampoco salga ni entre (tarea 5).

Consulta direcciones filtrando por tipo ULA y cuenta las filas.

Una de las formas de construir los últimos 64 bits de una dirección (el identificador de interfaz) es derivarlos de la dirección física del equipo (MAC). Es el formato EUI-64 modificado: se parte la MAC en dos mitades, se inserta ff:fe en medio y se invierte el segundo bit menos significativo del primer byte. Una MAC 00:00:5E:00:53:A9 queda como 0200:5eff:fe00:53a9.

El resultado se reconoce a simple vista por ese ff:fe a la mitad del identificador. Tiene un costo para la defensa: el identificador viaja con el equipo a toda red que visita y deja ver el fabricante de la tarjeta. Por eso los sistemas modernos usan identificadores aleatorios o estables por red.

Busca entre las direcciones globales la que lleva ese patrón.

La guía de seguridad operativa de redes IPv6 (RFC 9099) recomienda filtrar en el perímetro las direcciones de uso interno que no son enrutables globalmente. Una ULA que aparezca en el borde, en cualquier sentido, es un error de configuración o un filtrado que falta: nadie fuera de la empresa debería poder enviar ni recibir tráfico con ese prefijo.