Em boa parte dos provedores regionais, o IPv6 já funciona do concentrador para cima. O bloco foi alocado anos atrás, a borda anuncia o prefixo e o BNG entrega endereço e prefixo delegado por DHCPv6. Mesmo assim, um teste no celular do assinante continua mostrando só IPv4, saindo por CGNAT, porque falta o trecho mais espalhado da rede: a ONU ou o roteador de cada casa.
Na prática, IPv6 no provedor significa dual stack, o modo em que o assinante recebe ao mesmo tempo um endereço IPv4 (em geral privado, atrás de CGNAT) e endereçamento IPv6 global, e cada aplicação usa o protocolo disponível, com preferência pelo IPv6. Para isso chegar ao celular, a CPE precisa obter endereço na WAN, receber um prefixo para a rede interna e anunciar esse prefixo aos aparelhos. Se um desses passos falha, o celular nem fica sabendo que o IPv6 existe.
No suporte, vemos muito o core ficar pronto em poucas janelas de manutenção enquanto a migração empaca meses no parque, porque ninguém sabe ao certo quais modelos e firmwares estão na rua nem quantos já receberam a configuração.
Por que o IPv6 para na CPE do assinante?
O IPv6 costuma parar na CPE porque muitos equipamentos saem de fábrica com ele desligado ou num modo de endereçamento que não combina com o que o BNG oferece. O técnico instala, o PPPoE sobe, o assinante navega, e ninguém olha a pilha IPv6 porque nada parece quebrado.
Alguns modelos dão mais trabalho, porque aceitam a ativação e perdem o IPv6 depois de uma queda de energia ou de um reinício. O N2 entra no equipamento e corrige, a luz cai de novo no bairro e o assinante volta para o IPv4 sem que ninguém perceba. Entrando na interface web de cada roteador, isso se resolve para dez clientes. Com alguns milhares de casas, a correção manual nunca alcança a próxima queda.
CGNAT ou IPv6: o provedor precisa escolher?
O provedor não precisa escolher, e durante a transição vai operar os dois. CGNAT (Carrier-Grade NAT) é a tradução de endereços feita na rede do provedor, em que vários assinantes dividem o mesmo IPv4 público, cada um numa faixa de portas.
O CGNAT tem custo operacional. É preciso guardar o registro de qual assinante usou qual porta em cada horário para responder a pedidos de identificação, e tudo que depende de conexão de entrada (câmera, servidor de jogo, acesso remoto ao DVR) vira chamado. Com IPv6 ativo na casa, o tráfego para destinos que já atendem em IPv6, como as grandes plataformas de vídeo, deixa de passar pelo tradutor. Como ainda há muito serviço só em IPv4, o CGNAT continua na rede, só que carregando menos sessões.
O que a ONU ou o roteador precisa suportar para entregar IPv6
A referência é a RFC 7084, do IETF, que define os requisitos básicos de um roteador IPv6 residencial, chamado ali de CE router. Na rotina do provedor, isso quer dizer que a CPE configura a própria WAN, pede por DHCPv6 um prefixo delegado para a LAN e anuncia esse prefixo aos aparelhos da casa.
A RFC também proíbe a CPE de encaminhar tráfego IPv6 entre LAN e WAN antes de concluir a obtenção de endereço e prefixo, e de se anunciar como roteador padrão na LAN sem ter rota padrão na WAN. É por isso que a tela da CPE pode mostrar IPv6 na WAN enquanto o notebook do assinante só tem endereço link-local (fe80::). Na maioria das vezes o prefixo delegado não chegou, e a CPE, corretamente, ficou calada na rede interna.
Na WAN, o endereço pode vir por SLAAC, montado a partir do anúncio de roteador do BNG, ou por DHCPv6. O modo configurado na CPE precisa casar com o que o concentrador entrega. Se o BNG só manda anúncio e a CPE espera DHCPv6, em muitos firmwares a WAN fica sem endereço global. O prefixo da LAN vem por delegação via DHCPv6 nos dois casos.
Tudo isso varia por fabricante, firmware e até versão de hardware. Dois equipamentos com o mesmo nome comercial podem expor parâmetros diferentes no modelo de dados (o TR-181 ou a árvore própria do fabricante), e por isso homologar cada modelo antes de ativar em massa poupa muita surpresa.
Como ativar IPv6 no provedor sem visitar cada casa
Para ativar IPv6 em todo o parque sem deslocamento, o provedor precisa de um ACS que escreva a configuração em cada CPE e confira depois se ela continua lá. No IXC ACS, quem faz isso é o provisionamento automático de IPv6, em Menu Ferramentas > Rotinas > Provisionamento automático. O ACS só gerencia o que está apontado para ele, então confira antes a cobertura de apontamento, que em planta multimarca tem seus detalhes.
A ordem de trabalho que recomendamos:
- Confirme o lado da rede. O ACS mexe só na CPE, e endereço de WAN e prefixo delegado continuam vindo do seu BNG e do RADIUS, que precisam estar entregando IPv6 antes.
- Na engrenagem da tela, escolha o modo de endereçamento da CPE (DHCP, SLAAC ou None) conforme o que o concentrador oferece, e confirme no piloto se o modelo respeita a opção.
- Ative a rotina e escolha o modo. Sempre que possível verifica o IPv6 a cada inform e reenvia o parâmetro quando o encontra desligado. Ao reiniciar detecta que o equipamento voltou do reboot sem IPv6 e reativa, que é o caso dos modelos que perdem a configuração.
- Acompanhe a proporção do parque com IPv6 ativo, sem IPv6 e desativado, com dados coletados a cada 30 minutos. O botão Mais informações abre o detalhe por modelo, e dali dá para pedir ao suporte a análise de um modelo sem suporte aparente.
- Para os modelos presos por firmware, use a atualização de firmware em massa, filtrando por fabricante, modelo, hardware e versão atual. A documentação recomenda testar em dois ou três equipamentos antes.
A rotina age no inform, que parte da própria CPE, por isso funciona com o equipamento atrás de CGNAT e só leva o tempo do intervalo de inform configurado. Já um comando avulso, que depende de o ACS chamar a CPE na hora, normalmente não a alcança sob CGNAT e fica na fila até o próximo contato.
IPv6 deixa a casa do assinante exposta?
Pode deixar, se a CPE não fizer filtragem stateful no IPv6. No IPv4 com NAT, uma conexão vinda de fora não tinha para onde ir sem redirecionamento de porta, e o assinante se acostumou com essa barreira sem saber que ela existia. No IPv6 cada aparelho da casa tem endereço global, e a barreira passa a depender de um filtro explícito na CPE.
A RFC 6092 recomenda exatamente isso para CPE residencial: tráfego de fora só entra se foi solicitado por um aparelho de dentro ou se bate com uma exceção configurada. A mesma RFC lembra que a maioria dos equipamentos nunca sai da configuração de fábrica, e para o provedor isso significa que o padrão do firmware acaba sendo a política de segurança da base inteira. Antes de ligar IPv6 em massa num modelo, confira no piloto se o firewall IPv6 vem ativo e teste, de uma rede externa, se um aparelho de dentro responde a conexão não solicitada.
Perguntas frequentes
Por que o IPv6 some depois que a ONU reinicia? Em alguns modelos, a ativação do IPv6 não sobrevive a um reboot ou a uma queda de energia, e o equipamento volta sem ele. A correção definitiva costuma vir por firmware. Até lá, um ACS que detecte a volta sem IPv6 e reative a configuração evita que o assinante fique só no IPv4 sem ninguém notar.
O IPv6 acaba com o CGNAT? Não durante a transição. Enquanto houver serviços só em IPv4, o assinante precisa de IPv4, o que para a maioria das bases significa CGNAT. O IPv6 tira do tradutor o tráfego que pode ir direto e alivia o equipamento e a guarda de registros.
Como saber quantos assinantes já têm IPv6? O dado mais confiável vem da CPE, que reporta ao ACS se o IPv6 está ativo. No IXC ACS, a tela de provisionamento automático mostra a proporção do parque com IPv6 ativo, sem IPv6 e desativado, com detalhe por modelo. Contar sessões IPv6 no BNG mostra quem pegou prefixo, sem dizer se a CPE está anunciando esse prefixo dentro de casa.
Próximos passos para o seu provedor
Comece por um piloto num modelo homologado com muitas unidades na rua e assinantes que dê para acompanhar de perto. Nele você confere o modo de endereçamento, o comportamento depois de um reboot forçado e o firewall IPv6, antes de qualquer ativação em massa.
Depois expanda modelo a modelo, e não região a região. O comportamento do IPv6 na CPE depende principalmente do firmware, então um modelo validado pode ir para a base inteira, e um que perde a configuração no reinício entra com o modo Ao reiniciar ou espera a atualização.
Se quiser ver como isso funciona com os modelos do seu parque, clique no botão abaixo e fale com a nossa equipe.