Guía paso a paso: Cómo activar e implementar IPv6 en FreshTomato con Vnet 🤔️

En esta entrada te contaré paso a paso cómo activé IPv6 en mi router con el firmware FreshTomato, logrando una configuración de doble pila (Dual-Stack) con el proveedor de internet Vnet, utilizando su ONT en modo puente (bridge).

 

 

 

Paso 1: Configuración inicial en FreshTomato

Para habilitar la pila IPv6, debemos dirigiéndonos en la interfaz web a Basic → IPv6.

En el menú desplegable "IPv6 Service Type", encontramos diversas opciones de conexión. La más común e implementada por la mayoría de proveedores de fibra óptica es "DHCPv6 with Prefix Delegation" (DHCPv6 con Delegación de Prefijo). La seleccionamos y hacemos clic en el botón "Save" al final de la página para guardar los cambios.

Paso 2: Configuración opcional de servidores DNSv6

El sistema funcionará de inmediato con los servidores DNS asignados automáticamente por tu proveedor. Sin embargo, en mi caso personal decidí agregar de forma manual los servidores DNSv6 estáticos de ControlD para contar con protección contra malware integrada.

 

Paso 3: Mecanismos de asignación en la red local (LAN)

Si nos desplazamos en el menú hacia Advanced → DHCP/DNS/TFTP, dentro de la sección "DHCP / DNS Server (LAN)", observaremos que FreshTomato por defecto tiene marcados la dos casillas principales para la difusión e informe de IPv6 hacia los dispositivos de la red local:

• Announce IPv6 on LAN (SLAAC)
• Announce IPv6 on LAN (DHCP)

Al mantener activas ambas opciones, un equipo cliente conectado a la red obtendrá dos direcciones IPv6 públicas globales. Para entender el porqué de esto, expliquemos brevemente en qué consiste cada uno de estos dos mecanismos.

Esto lo hace FreshTomato, para una mayor compatibilidad con los diferentes dispositivos.

¿Qué es SLAAC (Stateless Address Autoconfiguration)?

SLAAC es el mecanismo de autoconfiguración sin estado nativo de IPv6. Permite que un dispositivo configure automáticamente su propia dirección IP al conectarse a la red sin necesidad de un servidor DHCP centralizado.

Es mas usado por los dispositivos, y por ejemplo en dispositivo android es el único mecanismo disponible. 

Una dirección IPv6 se compone de 128 bits expresados en 8 bloques de 16 bits (representados en notación hexadecimal y separados por dos puntos). Los primeros 4 bloques (64 bits) corresponden al "Prefijo", el cual deriva directamente del bloque de red que el ISP le asigna al router. Los 4 bloques restantes (64 bits) conforman el "Sufijo" o Identificador de Interfaz (Interface ID).

En la especificación original de SLAAC, el sufijo se generaba utilizando el estándar EUI-64 a partir de la dirección MAC de la tarjeta de red del equipo. Sin embargo, entornos de escritorio modernos como puede ser KDE Plasma o sistemas operativos móviles traen habilitadas por defecto las "Extensiones de Privacidad para SLAAC" (RFC 4941). Bajo este esquema de privacidad, el sistema operativo genera un sufijo completamente aleatorio y temporal que cambia periódicamente, evitando así el rastreo del dispositivo a través de diferentes redes en Internet.

¿Qué es DHCPv6 (Stateful DHCPv6)?

A diferencia de SLAAC, DHCPv6 con estado actúa de forma similar al tradicional DHCP de IPv4: existe un servidor centralizado (en este caso el router con FreshTomato) que gestiona, asigna y lleva el registro de qué dirección IP ha sido otorgada a cada interfaz de red.

 

De igual manera que en SLAAC, el prefijo de la dirección es derivado automáticamente del bloque asignado por el ISP. La diferencia radica en que el servidor DHCPv6 puede controlar la asignación del sufijo. 

 

Fijando un sufijo estático mediante DHCP Reservation

Si deseamos que un dispositivo mantenga siempre el mismo sufijo dentro de la red local, podemos definirlo en la interfaz web dirigiéndonos a Basic → DHCP Reservation.

 

En la columna "IPv6 Address", ingresamos únicamente el sufijo deseado omitiendo el prefijo, utilizando la sintaxis de dobles puntos al inicio, por ejemplo: ::ba27:ebff:fe5c:2a77.

Una vez guardada la regla, al revisar la lista de dispositivos en Status → Device List, comprobaremos que el router asignará con éxito una dirección IPv6 combinando el prefijo actual suministrado por el ISP con el sufijo estático que hemos reservado.

Aquí vemos la IPv4 y IPv6 mediante DHCPv6 asignada a mi PC.

Comportamiento de las direcciones IPv6 y privacidad

Sin importar el mecanismo con el que se asigne la dirección IPv6, observaremos un comportamiento dinámico en la red. En la mayoría de las conexiones residenciales de fibra óptica, el prefijo IPv6 que el ISP delega al router cambia cada vez que el equipo se reinicia o se reconecta.

A este prefijo dinámico se le suma la aleatoriedad de los sufijos generados por las extensiones de privacidad de los sistemas operativos y los tiempos de concesión (lease times) reducidos. Todas estas medidas están diseñadas técnicamente con un propósito principal: garantizar la privacidad del usuario y dificultar el rastreo de su huella digital en Internet.

Apertura de puertos y reglas de Firewall (IPv6 Port Forwarding)

Al acceder a Advanced → Basic IPv6, nos encontraremos con la sección "IPv6 Port Forwarding".

Es sumamente importante aclarar que en IPv6 no existe el proceso de NAT (Network Address Translation) como en IPv4, por lo cual esta sección no realiza una redirección de puertos hacia una IP privada interna. En su lugar, actúa como un panel de configuración de reglas para el Firewall del router, permitiendo o bloqueando el tráfico entrante de puertos específicos hacia direcciones IPv6 públicas locales.

Aquí nos topamos con el desafío técnico principal: la naturaleza cambiante del prefijo asignado por el ISP.

Teóricamente, en la casilla "Dest Address" de esta sección se podría colocar únicamente el sufijo estático fijado previamente mediante DHCP Reservation (o el sufijo fijo derivado de la MAC si se desactivan las extensiones de privacidad en SLAAC). De este modo, el firewall debería aplicar la regla al sufijo sin importar cómo cambie el prefijo.

Sin embargo, en mis pruebas prácticas he comprobado que el firewall no procesa correctamente la regla si se especifica únicamente el sufijo; requiere obligatoriamente la dirección IPv6 completa (Prefijo + Sufijo).

Al requerir la dirección completa, en el momento en que el ISP reinicia la conexión y reasigna un prefijo diferente, la dirección configurada en el firewall queda obsoleta y los servicios expuestos dejan de ser accesibles desde el exterior.

Tengo mucho que aprender sobre IPv6 pero si quiere dominar este apartado te invito a leer la wiki que te redirecionara aquí.

Donde explica mejor como usar IPv6 junto con la mascara, para que funcione "IPv6 Port Forwarding" correctamente 👍️

❤️ Apoya el proyecto

Proyectos como FreshTomato existen gracias al tiempo y esfuerzo de desarrolladores que creen en la libertad del software. Si este firmware ha mejorado tu red, considera realizar una donación para que el soporte continúe.

• Donar a FreshTomato: Sitio Oficial

 

Si tienes alguna pregunta, puedes dejarla en los comentarios, ademas te dejo mis otras guías sobre FreshTomato y de IPv6 en FreshTomato.
¡Espero que te sean de gran ayuda!.