IPv6 en tu red:
los riesgos que aparecen aunque no lo hayas activado
Redes y sistemas | unfantasmaenelsistema.com
La mayoría de las redes corporativas siguen funcionando «en IPv4». Pero casi todos los sistemas operativos modernos traen IPv6 activado de fábrica y lo prefieren cuando está disponible. Eso significa que en tu red ya hay tráfico IPv6 aunque nadie lo haya configurado: los equipos se autoasignan direcciones, se hablan entre ellos por enlace local y responden a quien les pregunte. Y si tu firewall, tu IDS y tus políticas solo miran IPv4, todo ese tráfico circula sin supervisión.
Este artículo repasa los riesgos concretos que introduce IPv6 en una red que no lo gestiona: la autoconfiguración y sus ataques, los routers y servidores DHCPv6 falsos, la evasión de listas de control con cabeceras de extensión, y los túneles que sacan tráfico saltándose los controles. El mensaje de fondo: no puedes «no tener IPv6»; solo puedes tenerlo gestionado o sin gestionar.
Qué aprenderas en este articulo
Cómo funcionan SLAAC y los Router Advertisements, y por qué son un punto débil · Los ataques de RA falso y de servidor DHCPv6 pícaro, y qué exponen · RA Guard y DHCPv6 Guard: las defensas en el switch de acceso · Cabeceras de extensión y fragmentación como técnica de evasión de ACL e IDS · Direcciones temporales frente a EUI-64, y los túneles (6to4, Teredo) que hay que bloquear
1. SLAAC: la red se configura sola
IPv6 fue diseñado para no necesitar un servidor DHCP. Cuando un equipo se conecta, envía un Router Solicitation (RS) por multicast y los routers del enlace responden con un Router Advertisement (RA) que incluye el prefijo de red, la puerta de enlace y varios indicadores. Con eso, el equipo se genera su propia dirección global mediante SLAAC (Stateless Address Autoconfiguration). Todo esto ocurre con ICMPv6 y con el protocolo NDP (Neighbor Discovery), que sustituye al ARP de IPv4.
- El RA lleva flags (M «usa DHCPv6 para la dirección», O «usa DHCPv6 solo para opciones») y opciones como el prefijo, la MTU, y desde hace años también los servidores DNS (RDNSS)
- NDP hace el trabajo de ARP (resolver vecinos), de ICMP redirect y de detección de direcciones duplicadas (DAD). Ninguno de esos mensajes está autenticado por defecto
- El equipo suele acabar con varias direcciones IPv6 a la vez: la de enlace local (fe80::/10), una o más globales por SLAAC, quizá una por DHCPv6, y direcciones temporales de privacidad
El problema de seguridad es directo: si cualquiera en el segmento puede emitir un RA y nadie lo valida, cualquiera puede decir a todos los equipos del enlace «yo soy vuestra puerta de enlace».
2. RA falso y DHCPv6 pícaro
| Ataque | Cómo actúa | Qué consigue |
|---|---|---|
| RA falso (rogue RA) | Un host del enlace emite Router Advertisements con su propia dirección como gateway, o con un prefijo propio | Man-in-the-middle de todo el tráfico IPv6 del segmento; también DoS si anuncia rutas o prefijos inválidos |
| RA flooding | Inundar el enlace con miles de RA con prefijos distintos | Cada equipo intenta configurar cientos de direcciones: consumo de CPU y caída de la pila de red |
| DHCPv6 pícaro | Un servidor DHCPv6 no autorizado responde a las peticiones y reparte DNS (y, con el flag M, direcciones) | Redirección de DNS: el atacante controla la resolución de nombres de las víctimas |
| RA con RDNSS falso | RA legítimo en apariencia pero con un servidor DNS controlado por el atacante | Igual que el anterior pero sin necesidad de DHCPv6 |
El escenario más habitual no es ni siquiera un ataque: es un equipo con conexión compartida, una máquina virtual con el adaptador mal puesto o un router doméstico enchufado por error a la red de la oficina, todos ellos emitiendo RA «de buena fe». El efecto es el mismo: parte de la red empieza a enrutar su IPv6 por un sitio que no debe.
Herramientas de auditoría (uso en red propia o con autorización)
El conjunto **THC-IPv6** y **Chiron** implementan RA falsos, RA flooding, NDP spoofing y fuzzing de cabeceras de extensión; se usan para probar si RA Guard y las defensas del switch funcionan · **Scapy** permite construir paquetes ICMPv6/NDP a mano para pruebas puntuales · Ejecútalas solo contra un laboratorio propio o dentro de un pentest con alcance firmado: generar RA falsos en una red ajena es una interferencia real en las comunicaciones
3. Defensas en el switch: RA Guard y DHCPv6 Guard
La contención vive en el switch de acceso, igual que DHCP snooping y Dynamic ARP Inspection en el mundo IPv4. Los mecanismos equivalentes para IPv6 son:
| Control | Qué hace | Dónde se aplica |
|---|---|---|
| RA Guard | Descarta los Router Advertisements que llegan por puertos de acceso; solo se permiten por los puertos donde hay un router legítimo | Puerto de acceso del switch (todos salvo uplinks a routers) |
| DHCPv6 Guard | Bloquea respuestas DHCPv6 (servidor) por puertos que no son de servidor | Puerto de acceso |
| ND Inspection / SAVI | Construye una tabla enlace-MAC-IPv6 fiable y descarta NDP que no cuadra (anti-spoofing de vecino) | Switch de acceso |
| IPv6 Snooping / Binding table | Base de datos de qué IPv6 vive en qué puerto; sostiene los controles anteriores | Switch de acceso |
- RA Guard se puede evadir si el switch no reensambla los paquetes: metiendo el mensaje RA detrás de una cadena de cabeceras de extensión o fragmentándolo, algunos equipos antiguos lo dejaban pasar. La RFC 7113 describe el problema; los switches actuales lo mitigan. Combínalo con descartar fragmentos de NDP (RFC 6980)
- Si tu electrónica de acceso no tiene RA Guard, hay defensa de host: rafixd / `net.ipv6.conf.*.accept_ra=0` en servidores, y GPO para ignorar RA no esperados en Windows. Es peor que hacerlo en el switch, pero es algo
- En redes pequeñas, desactivar IPv6 solo donde de verdad no se usa es una opción legítima, pero hazlo de forma consciente y documentada, no a ciegas
4. Cabeceras de extensión y evasión
IPv6 sustituyó las opciones del encabezado IPv4 por una cadena de cabeceras de extensión encadenadas (Hop-by-Hop, Routing, Fragment, Destination Options…). El objetivo era flexibilidad; el efecto secundario es que un firewall o un IDS tiene que recorrer toda la cadena para llegar al puerto TCP/UDP y decidir.
- Una cadena larga de cabeceras puede empujar la información de capa 4 fuera del primer fragmento, de modo que un filtro que solo mira el primer paquete no ve el puerto y falla al aplicar la ACL
- El Hop-by-Hop obliga a proceso en cada salto y se ha usado para ataques de agotamiento de CPU en routers; muchos operadores lo limitan o lo descartan en el borde
- La cabecera Routing tipo 0 permitía source routing (rebotar un paquete por nodos elegidos): está prohibida (RFC 5095), pero conviene comprobar que tu equipo la rechaza
- Fragmentos solapados o diminutos son un clásico de evasión de IDS; en IPv6 se combinan con las cabeceras de extensión. La recomendación (RFC 7112) es descartar el primer fragmento si no contiene la cabecera de capa 4 completa
Reglas de higiene para el borde IPv6
Descartar paquetes con cabecera Routing type 0 y con Hop-by-Hop innecesario · Exigir que el primer fragmento contenga toda la cadena de cabeceras hasta L4 (RFC 7112); descartar fragmentos de NDP (RFC 6980) · Filtrar ICMPv6 con criterio: NO bloquearlo entero (IPv6 lo necesita para PMTUD y NDP), sí limitar tipos y tasas según la RFC 4890 · Paridad de reglas: cada regla de tu firewall IPv4 debe tener su equivalente IPv6 revisada, no autogenerada
5. Privacidad de direcciones y túneles
Las primeras implementaciones de SLAAC derivaban el identificador de interfaz de la MAC (formato EUI-64): la dirección IPv6 global llevaba la MAC incrustada, así que un servidor remoto podía rastrear el mismo dispositivo entre redes distintas. Hoy los sistemas usan:
- Direcciones temporales de privacidad (RFC 8981): identificadores aleatorios que rotan cada pocas horas y se usan para el tráfico saliente. Windows y los móviles las traen por defecto; en muchos Linux hay que activarlas (`use_tempaddr=2`)
- Direcciones estables por red (RFC 7217): un identificador fijo pero distinto en cada red y sin relación con la MAC, para servidores que necesitan una dirección constante
- Para inventario y correlación de logs conviene decidir la política: los servidores con dirección fija y documentada; los clientes con temporales
| Mecanismo de túnel | Qué hace | Riesgo y mitigación |
|---|---|---|
| 6to4 / 6rd | Encapsula IPv6 dentro de IPv4 usando direcciones 2002::/16 | Tráfico IPv6 que entra y sale sin pasar por el firewall IPv6; bloquear protocolo IP 41 en el borde si no se usa |
| Teredo | IPv6 sobre UDP para atravesar NAT; activo por defecto en Windows durante años | Da conectividad IPv6 entrante a hosts internos saltándose el perímetro; deshabilitar por GPO y bloquear el puerto del servidor Teredo |
| ISATAP | Túnel IPv6 intra-sitio sobre IPv4 | Rutas inesperadas dentro de la organización; deshabilitar si no forma parte del diseño |
| VPN / SSH con IPv6 | Aplicaciones que prefieren IPv6 dentro de un túnel | No es un ataque, pero explica por qué una fuga IPv6 puede rodear un split-tunnel mal planteado |
Pruebas de IPv6 solo en red propia o con autorización escrita
Auditar tu propia red (capturar RA, revisar qué direcciones tienen tus equipos, comprobar RA Guard) es administración normal de sistemas · Emitir RA o respuestas DHCPv6 falsas, montar un servidor DNS pícaro o interceptar tráfico de vecino en una red que no administras es una interferencia en las comunicaciones ajenas y puede constituir delito de descubrimiento y revelación de secretos o de daños (en España, arts. 197 y siguientes y art. 264 del Código Penal) · Monta un laboratorio (dos VLAN, un par de VM, THC-IPv6 / Chiron) o trabaja dentro de un pentest con alcance firmado
Conclusión
IPv6 no es una tecnología que puedas posponer: ya está encendida en tus equipos y ya genera tráfico. La pregunta real es si ese tráfico pasa por los mismos controles que el IPv4 o si circula por un carril sin vigilancia.
Lo esencial cabe en pocas acciones: activar RA Guard y DHCPv6 Guard en el acceso, dar a cada regla de firewall IPv4 su equivalente IPv6 revisada a mano, endurecer el borde frente a cabeceras de extensión y fragmentación abusivas, bloquear los túneles que no uses (6to4, Teredo, ISATAP) y decidir una política de direcciones para inventario y logs. Con eso, IPv6 deja de ser un punto ciego y pasa a ser una red más que administras.
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)