Risco do IPv6 em dual-stack

O problema central

Muitas regras de proxy e de roteamento foram projetadas originalmente só para IPv4 (registros A), mas os serviços modernos costumam publicar registros A e AAAA:

Requisição IPv4 → corresponde à regra de proxy → passa pelo proxy (esperado)
Requisição IPv6 → se a regra não a cobre → pode sair direto pela rede local ou seguir outro caminho de saída

Risco principal: se o IPv6 não entra no mesmo caminho de proxy/gateway corporativo, o servidor pode ver um IP de origem, um ASN e uma região diferentes dos do caminho IPv4. Isso não significa que o IPv6 em si seja um problema — o ponto é se o caminho dual-stack é consistente, auditável e reproduzível.

O problema do identificador estável do IPv6

Alguns provedores atribuem um prefixo IPv6 relativamente estável a redes residenciais ou empresariais, ao contrário do endereço de saída IPv4, que muda com frequência.

Se o prefixo IPv6 permanece fixo por muito tempo enquanto o IPv4 muda com frequência, o perfil de rede visto por uma conta fica mais complexo. Isso serve melhor para verificações de consistência do que para a conclusão genérica de que "IPv6 é sempre de alto risco".

6 benefícios de restringir o IPv6

Roteamento mais controlável — todas as requisições relacionadas ao Claude entram no mesmo caminho observável
Chega de oscilações de "rápido e depois lento" — sem saltos de latência causados por timeouts do IPv6 que recorrem ao IPv4
Resolução de DNS consistente — evita desvios de localização geográfica causados pelo AAAA passar pelo DNS do provedor enquanto o A passa pelo DNS do proxy
Menos anomalias de consistência — o IP de origem / ASN / região que o Claude vê fica mais consistente
Maior taxa de acerto das regras de proxy — evita que os clientes caiam em caminhos não configurados por causa de registros AAAA
Diagnóstico mais simples — um único caminho IPv4, sem precisar lidar com o Happy Eyeballs / a disputa dual-stack

Implementação recomendada

Ordem recomendada: primeiro verifique se IPv4/IPv6 compartilham o mesmo país, ASN ou saída de proxy; se não compartilham, defina os domínios relacionados ao Claude como ForceIPv4 ou UseIPv4 no seu cliente de proxy (Sing-Box / Clash / V2Ray / Xray).

Como desativar no nível do sistema (quando necessário)

Linux:sysctl -w net.ipv6.conf.all.disable_ipv6=1

macOS:networksetup -setv6off <Service> (ou Ajustes do Sistema → Rede → essa interface → TCP/IP → desativar o IPv6)

Windows: Propriedades do adaptador → desmarque "Protocolo IP Versão 6 (TCP/IPv6)"

Roteador: Desative a distribuição de IPv6 por DHCP / SLAAC

As contrapartidas

Desativar o IPv6 pode deixar mais lentas algumas rotas otimizadas para IPv6 e afetar um pequeno número de serviços de rede exclusivamente IPv6. Em geral, é melhor restringir primeiro o tráfego relacionado ao Claude no seu cliente de proxy e só desativar o IPv6 no nível do sistema se não houver outro jeito de controlar o caminho dual-stack com confiabilidade.