IPv6 no Mikrotik

Objetivo

Orientar a equipe técnica sobre uso, validação e diagnóstico de IPv6 em equipamentos Mikrotik, sem confundir a operação IPv6 com NAT e DHCP IPv4.

Conceito

No RouterOS, IPv6 deve ser tratado como pilha de rede própria: endereço, rota, firewall, DNS, prefix delegation, descoberta de vizinhos e testes precisam ser validados separadamente do IPv4.
Em ambiente de provedor, o Mikrotik pode atuar como CPE, roteador de borda, concentrador PPPoE, roteador interno ou equipamento de laboratório. Cada função muda a forma de entregar ou receber prefixos IPv6.

Onde se aplica

CPE com IPv6 entregue pelo provedor;
roteador recebendo prefix delegation;
rede LAN com SLAAC ou DHCPv6;
roteamento estático IPv6;
firewall IPv6 de entrada;
diagnóstico de cliente dual stack;
validação de serviços afetados por CGNAT no IPv4.

Funcionamento

IPv6 no Mikrotik depende de quatro blocos principais:

endereço IPv6 na interface correta;
rota padrão IPv6 ativa;
entrega de prefixo para a LAN, quando o equipamento roteia cliente;
firewall IPv6 coerente com a política da operação.

Em IPv6, NAT não é o caminho padrão. Se um cliente recebe endereço global, o controle de entrada deve ser feito por firewall, não por masquerade.

Parâmetros importantes

interface WAN e LAN;
endereço link-local;
endereço global;
prefixo recebido;
prefix delegation;
rota padrão IPv6;
DNS IPv6;
RA, SLAAC ou DHCPv6;
firewall IPv6;
teste de conectividade IPv6.

Procedimento prático

faça export ou backup antes de alterar;
confirme se o pacote/recurso IPv6 está disponível no RouterOS usado;
valide se existe endereço IPv6 global na WAN;
confira se há rota padrão IPv6;
verifique se a LAN recebeu prefixo correto;
teste conectividade IPv6 por endereço;
teste resolução DNS com registro AAAA;
revise firewall IPv6 antes de liberar serviço externo;
documente prefixo, interface, origem do prefixo e resultado dos testes.

Evidências obrigatórias

export da configuração relevante;
endereço IPv6 global e link-local;
prefixo recebido ou delegado;
rota padrão IPv6;
resultado de teste IPv6;
resultado de DNS AAAA;
regra de firewall envolvida, quando houver publicação de serviço.

Falhas comuns

validar apenas IPv4 e concluir que o acesso está normal;
procurar masquerade para resolver problema IPv6;
liberar IPv6 na WAN sem firewall adequado;
não diferenciar link-local de endereço global;
ignorar prefix delegation em CPE;
entregar prefixo para LAN sem documentar finalidade.

Diagnóstico em campo ou operação

Comece pela evidência observada: o cliente falha em IPv4, IPv6 ou nos dois? Depois levante hipótese, execute teste e registre o resultado.

Se IPv4 funciona e IPv6 falha, valide endereço global, rota padrão, DNS AAAA e firewall IPv6.
Se IPv6 funciona e IPv4 falha, investigue NAT, CGNAT, rota IPv4 e DNS A.
Se nomes falham, separe teste por endereço de teste por DNS.
Se acesso externo por IPv6 falha, valide firewall antes de concluir que falta port forwarding.

Boas práticas

manter política de firewall IPv6 equivalente à política IPv4;
documentar prefixos IPv6 junto com blocos IPv4;
testar dual stack em ativação e mudança;
registrar se o cliente está em IPv4 apenas, IPv6 apenas ou dual stack;
evitar mudanças simultâneas em NAT, firewall e prefixo.

Documentos relacionados

Resumo

IPv6 no Mikrotik exige validação própria. Em operação dual stack, a conclusão só é confiável quando IPv4, IPv6, DNS, rota, prefix delegation e firewall foram verificados com evidências.