Rủi ro IPv6 dual-stack khi dùng Claude Code

Vấn đề cốt lõi

Nhiều quy tắc proxy và định tuyến ban đầu chỉ được thiết kế quanh IPv4 (bản ghi A), nhưng các dịch vụ hiện đại thường công bố cả bản ghi A lẫn AAAA:

Yêu cầu IPv4 → khớp quy tắc proxy → đi qua proxy (đúng kỳ vọng)
Yêu cầu IPv6 → nếu quy tắc không bao phủ → có thể đi thẳng cục bộ hoặc đi theo đường lối ra khác

Rủi ro chính: nếu IPv6 không đi vào cùng một đường proxy/cổng doanh nghiệp, server có thể thấy IP nguồn, ASN và khu vực không khớp với đường IPv4. Điều này không có nghĩa là bản thân IPv6 có vấn đề — vấn đề là đường dual-stack có nhất quán, có thể kiểm toán và có thể tái hiện hay không.

Vấn đề định danh ổn định của IPv6

Một số ISP cấp cho mạng gia đình hoặc doanh nghiệp một tiền tố IPv6 khá ổn định, khác với địa chỉ lối ra IPv4 thay đổi thường xuyên.

Nếu tiền tố IPv6 giữ cố định lâu dài trong khi IPv4 đổi liên tục, hồ sơ mạng mà tài khoản nhìn thấy sẽ phức tạp hơn. Điều này phù hợp để kiểm tra độ nhất quán hơn là kết luận một cách cực đoan rằng "IPv6 luôn rủi ro cao".

6 lợi ích của việc hạn chế IPv6

Định tuyến dễ kiểm soát hơn — mọi yêu cầu liên quan đến Claude đều đi vào cùng một đường có thể quan sát
Hết cảnh "lúc nhanh lúc chậm" — không còn độ trễ nhảy vọt do IPv6 timeout rồi fallback về IPv4
Phân giải DNS nhất quán — tránh lệch vị trí địa lý do AAAA đi qua DNS của ISP trong khi A đi qua DNS của proxy
Ít bất thường về độ nhất quán hơn — IP nguồn / ASN / khu vực mà Claude thấy được giữ nhất quán hơn
Tỷ lệ trúng quy tắc proxy cao hơn — tránh việc client lọt sang các đường chưa cấu hình qua bản ghi AAAA
Xử lý sự cố đơn giản hơn — chỉ một đường IPv4, không phải vật lộn với Happy Eyeballs / dual-stack racing

Cách triển khai khuyến nghị

Thứ tự khuyến nghị: trước hết kiểm tra IPv4/IPv6 có cùng quốc gia, cùng ASN hoặc cùng lối ra proxy không; nếu không, hãy đặt các tên miền liên quan đến Claude thành ForceIPv4 hoặc UseIPv4 trong client proxy của bạn (Sing-Box / Clash / V2Ray / Xray).

Cách tắt ở cấp hệ thống (khi cần)

Linux:sysctl -w net.ipv6.conf.all.disable_ipv6=1

macOS:networksetup -setv6off <Service> (hoặc Cài đặt hệ thống → Mạng → giao diện đó → TCP/IP → tắt IPv6)

Windows: Thuộc tính adapter → bỏ chọn "Internet Protocol Version 6 (TCP/IPv6)"

Router: Tắt phân phối IPv6 DHCP / SLAAC

Sự đánh đổi

Tắt IPv6 có thể làm chậm một số tuyến được tối ưu cho IPv6 và có thể ảnh hưởng đến một số ít dịch vụ mạng chỉ dùng IPv6. Thường tốt hơn là hạn chế lưu lượng liên quan đến Claude trong client proxy trước, và chỉ tắt IPv6 ở cấp hệ thống nếu bạn không thể kiểm soát ổn định đường dual-stack bằng cách khác.