Riesgo de doble pila IPv6

El problema de fondo

Muchas reglas de proxy y de enrutamiento se diseñaron originalmente solo para IPv4 (registros A), pero los servicios modernos suelen publicar registros A y AAAA a la vez:

Solicitud IPv4 → coincide con la regla de proxy → pasa por el proxy (lo esperado)
Solicitud IPv6 → si la regla no la cubre → puede salir directamente en local o tomar otra ruta de salida

Riesgo clave: si IPv6 no entra por la misma ruta de proxy / puerta de enlace empresarial, el servidor puede ver una IP de origen, un ASN y una región que no coinciden con la ruta IPv4. Esto no significa que IPv6 en sí sea un problema: la cuestión es si la ruta de doble pila es coherente, auditable y reproducible.

El problema del identificador estable de IPv6

Algunos ISP asignan un prefijo IPv6 bastante estable a redes domésticas o de empresa, a diferencia de la dirección de salida IPv4, que cambia con frecuencia.

Si el prefijo IPv6 permanece fijo durante mucho tiempo mientras IPv4 cambia a menudo, el perfil de red que ve una cuenta se vuelve más complejo. Esto se presta más a comprobaciones de coherencia que a una conclusión general de que "IPv6 siempre es de alto riesgo".

6 ventajas de restringir IPv6

Enrutamiento más controlable — todas las solicitudes relacionadas con Claude entran por la misma ruta observable
Se acaban los altibajos de "rápido y luego lento" — no más saltos de latencia por tiempos de espera de IPv6 que recurren a IPv4
Resolución DNS coherente — evita la deriva geográfica que se produce cuando AAAA se resuelve por el DNS del ISP y A por el DNS del proxy
Menos anomalías de coherencia — la IP de origen / ASN / región que ve Claude se mantiene más coherente
Más coincidencias con las reglas de proxy — evita que los clientes acaben en rutas no configuradas a través de registros AAAA
Diagnóstico más sencillo — una sola ruta IPv4, sin lidiar con Happy Eyeballs ni con la competencia de doble pila

Implementación recomendada

Orden recomendado: primero comprueba si IPv4/IPv6 comparten país, ASN o salida de proxy; si no, configura los dominios relacionados con Claude como ForceIPv4 o UseIPv4 en tu cliente proxy (Sing-Box / Clash / V2Ray / Xray).

Cómo desactivarlo a nivel de sistema (si es necesario)

Linux:sysctl -w net.ipv6.conf.all.disable_ipv6=1

macOS:networksetup -setv6off <Service> (o Configuración del Sistema → Red → esa interfaz → TCP/IP → desactiva IPv6)

Windows: Propiedades del adaptador → desmarca "Protocolo de Internet versión 6 (TCP/IPv6)"

Router: Desactiva la distribución DHCP de IPv6 / SLAAC

La contrapartida

Desactivar IPv6 puede ralentizar algunas rutas optimizadas para IPv6 y podría afectar a unos pocos servicios de red que solo funcionan con IPv6. Normalmente es mejor restringir primero el tráfico relacionado con Claude en tu cliente proxy, y desactivar IPv6 a nivel de sistema solo si no puedes controlar de forma fiable la ruta de doble pila de otra manera.