Ryzyko IPv6 w sieciach dual stack

Sedno problemu

Wiele reguł proxy i routingu zaprojektowano pierwotnie wyłącznie z myślą o IPv4 (rekordy A), ale nowoczesne usługi często publikują zarówno rekordy A, jak i AAAA:

Żądanie IPv4 → pasuje do reguły proxy → przechodzi przez proxy (zgodnie z oczekiwaniami)
Żądanie IPv6 → jeśli reguła go nie obejmuje → może pójść lokalnie bezpośrednio lub inną ścieżką wyjścia

Kluczowe ryzyko: jeśli IPv6 nie trafia na tę samą ścieżkę proxy / bramy firmowej, serwer może zobaczyć źródłowy adres IP, numer ASN i region niezgodne ze ścieżką IPv4. Nie oznacza to, że problemem jest samo IPv6 — chodzi o to, czy ścieżka dual stack jest spójna, audytowalna i powtarzalna.

Problem stałego identyfikatora IPv6

Niektórzy dostawcy internetu przydzielają sieciom domowym lub firmowym dość stały prefiks IPv6, w przeciwieństwie do często zmieniającego się adresu wyjściowego IPv4.

Jeśli prefiks IPv6 długo pozostaje niezmienny, a IPv4 często się zmienia, profil sieci widziany po stronie konta staje się bardziej złożony. Lepiej sprawdza się tu kontrola spójności niż ogólny wniosek, że „IPv6 zawsze oznacza wysokie ryzyko”.

6 korzyści z ograniczenia IPv6

Lepiej kontrolowany routing — wszystkie żądania związane z Claude trafiają na tę samą obserwowalną ścieżkę
Koniec z wahaniami „raz szybko, raz wolno” — znikają skoki opóźnienia, gdy po przekroczeniu limitu czasu IPv6 następuje powrót do IPv4
Spójne rozwiązywanie nazw DNS — brak dryfu lokalizacji, gdy AAAA idzie przez DNS dostawcy internetu, a A przez DNS proxy
Mniej anomalii spójności — źródłowe IP / ASN / region widziane przez Claude łatwiej pozostają spójne
Wyższa skuteczność reguł proxy — aplikacje klienckie nie trafiają przez rekordy AAAA na nieskonfigurowane ścieżki
Prostsze diagnozowanie — jedna ścieżka IPv4, bez walki z Happy Eyeballs / wyścigiem dual stack

Zalecana konfiguracja

Zalecana kolejność: najpierw sprawdź, czy IPv4/IPv6 mają ten sam kraj, numer ASN lub wyjście proxy; jeśli nie, ustaw domeny związane z Claude na ForceIPv4 lub UseIPv4 w swoim kliencie proxy (Sing-Box / Clash / V2Ray / Xray).

Wyłączanie na poziomie systemu (w razie potrzeby)

Linux:sysctl -w net.ipv6.conf.all.disable_ipv6=1

macOS:networksetup -setv6off <Service> (lub Ustawienia systemowe → Sieć → dany interfejs → TCP/IP → wyłącz IPv6)

Windows: Właściwości karty sieciowej → odznacz „Protokół internetowy w wersji 6 (TCP/IPv6)”

Router: Wyłącz przydzielanie adresów IPv6 przez DHCP / SLAAC

Koszt

Wyłączenie IPv6 może spowolnić niektóre trasy zoptymalizowane pod IPv6 i wpłynąć na nieliczne usługi sieciowe dostępne tylko przez IPv6. Zwykle lepiej najpierw ograniczyć ruch związany z Claude w kliencie proxy, a IPv6 wyłączać na poziomie systemu tylko wtedy, gdy nie da się inaczej niezawodnie kontrolować ścieżki dual stack.