Arquitetura IPv6 Dual-Stack Corporativa no MikroTik RouterOS v7
A transição e manutenção da conectividade global exige a implementação rigorosa da pilha dupla (**Dual-Stack**) em roteadores de borda corporativos. No ecossistema **MikroTik RouterOS v7**, a atribuição e distribuição de endereços IPv6 difere substancialmente do paradigma tradicional do IPv4. Em vez de depender do mascaramento de NAT (Network Address Translation), a Camada 3 do IPv6 fundamenta-se no roteamento fim a fim de endereços globais (**GUA - Global Unicast Address**) delegados dinamicamente pelas operadoras de telecomunicação.
Esta documentação consolida os parâmetros validados no laboratório de produção da **Gestor Técnico**, servindo como modelo estritamente auditado para implantação em clientes corporativos. A arquitetura aqui apresentada assegura alta disponibilidade, tempo de resposta otimizado, conformidade com os Padrões da Internet (RFCs da IETF) e pontuação máxima em testes internacionais de validação IPv6 (como o *https://ipv6test.google.com/* e *http://conn.top.nic.br/connection/*).
| 📊 Painel Metodológico: Engenharia IPv6 Dual-Stack (RouterOS v7) | |
|---|---|
| Modo de Alocação do Prefixo | Delegação de Prefixo DHCPv6 (PD) via WAN (ether1) |
| Mecanismo de Auto-Configuração LAN | SLAAC (Stateless Address Autoconfiguration) + Extensões RDNSS (RFC 8106) |
| Resolvedores DNS Recursivos | Google Public DNS IPv4 (8.8.8.8 / 8.8.4.4) e IPv6 (2001:4860:4860::8888 / 2001:4860:4860::8844) |
| Escopo da Sub-rede Local | Bloco /64 diretamente atrelado à interface local de Bridge |
1. Hardening e Parâmetros Globais do Kernel (`IPv6 > Settings`)
A definição dos parâmetros globais do kernel do RouterOS v7 garante que o equipamento atue estritamente como um roteador de borda seguro, impedindo o envenenamento de rotas ou o aceite indesejado de anúncios de provedores de trânsito.
- IPv6 Forward:
Enabled(Marcado). Habilita o encaminhamento de pacotes na camada de rede entre a interface WAN e a LAN corporativa. - Accept Router Advertisements:
yes if forwarding disabled. Impede que o MikroTik inclua rotas padrão ou servidores DNS dinâmicos não homologados da operadora na sua tabela de roteamento principal enquanto atua na função de roteador ativo. - Accept Redirects:
no. Política essencial de hardening que desativa o processamento de mensagens ICMPv6 Redirect, eliminando vetores de ataque do tipo *Man-in-the-Middle* (MitM).
2. Cliente DHCPv6 e Delegação de Prefixo (`IPv6 > DHCP Client`)
O cliente DHCPv6 é alocado na interface de entrada (`ether1`) para negociar o bloco de endereços globais atribuídos pela operadora via *Prefix Delegation* (PD).
Configuração de Interface e Pool
A interface ether1 mantém o status em bound. O prefixo recebido gera dinamicamente o pool corporativo nomeado como pool_dhcpv6_cliente com um tamanho delimitado de prefixo /64.
Aba Opções Avançadas
Defina Request: prefix para solicitar estritamente blocos de rede. Desmarque Use Peer DNS para ignorar os resolvedores padrão da operadora e marque Add Default Route para a injeção da rota de saída.
3. Centralização da Resolução de Nomes Global (`IP > DNS`)
Para assegurar baixa latência, o MikroTik atua como servidor de DNS recursivo para os clientes da rede interna, consultando resolvedores públicos de alta confiabilidade.
- Servers (IPv4):
8.8.8.8,8.8.4.4 - Allow Remote Requests:
Enabled(Marcado). Permite que os hosts locais consultem o IP do gateway como resolvedor DNS de borda.
4. Anúncio de Vizinhos, SLAAC e RDNSS (`IPv6 > ND`)
O protocolo **Neighbor Discovery (ND)** é o substituto direto do ARP no ecossistema IPv6. É o responsável por injetar o prefixo global e a pilha de DNS aos dispositivos clientes conectados à interface `bridge`.
Detalhamento dos Parâmetros das Flags ND:
- Managed Address Configuration (M-Flag = `no`): Instruição explícita que informa às estações de trabalho que o IP deve ser gerado de forma autônoma via **SLAAC**, desativando a busca por um servidor DHCPv6 Stateful.
- Other Configuration (O-Flag = `yes`): Força sistemas operacionais corporativos (como o Windows 10/11 e distribuições Linux) a realizarem uma requisição DHCPv6 *Stateless* complementar exclusivamente para capturar as opções da pilha de DNS.
- Advertise DNS (`yes`): Habilita a extensão **RDNSS** (Recursive DNS Server), garantindo o envio dos endereços DNS IPv6 diretamente no cabeçalho do Router Advertisement (RA) para sistemas Android, iOS e Linux.
📌 Nota Técnica de Engenharia: Comportamento do Servidor DHCPv6
Caso identifique o status invalid ou inactive no menu IPv6 > DHCP Server, **este é o comportamento esperado** em conexões onde a operadora entrega um prefixo estrito /64. Em blocos /64, a distribuição de IPs aos hosts da LAN opera exclusivamente via SLAAC na camada de enlace/rede através das propriedades do ND. Tentar forçar o servidor DHCPv6 Stateful em um bloco /64 sem sub-divisão quebra o roteamento interno e gera loops de sub-rede.
5. Análise da Tabela de Roteamento (`IPv6 > Routes`)
A arquitetura lógica do RouterOS v7 mantém as seguintes rotas dinâmicas ativas no Kernel para o tráfego IPv6:
- Rota Padrão (`::/0` - Status `DAg`): *Dynamic, Active, Gateway*. Aponta para o endereço de Link-Local (`fe80::...`) do roteamento de borda da operadora através da interface física `ether1`.
- Rota Local (`Prefix /64` - Status `DAc`): *Dynamic, Active, Connected*. Identifica o bloco delegado associado diretamente à interface `bridge`, garantindo que os pacotes trocados entre os hosts internos ocorram sem sobrecarga da CPU.
Conclusão
A correta parametrização do ecossistema IPv6 no MikroTik RouterOS v7 elimina gargalos de tradução (NAT), reduz o consumo de CPU em roteadores de borda e garante que sua infraestrutura atenda aos mais elevados níveis de compliance da cibersegurança e governança de redes corporativas.
📬 Solicitar Atendimento Técnico Direto
Prefere não preencher formulários extensos? Inicie seu atendimento de engenharia de infraestrutura de forma rápida por e-mail:
