Cisco 200-301: Endereçamento IPv6 e Roteamento IPv6 — Guia de estudos

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Faz parte do Cisco CCNA 200-301 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O IPv6 substitui o endereçamento IPv4, propenso ao esgotamento, por um espaço vastamente maior e estruturado, e protocolos de plano de controle projetados para operar sem broadcast. Esta seção explica os conceitos de endereçamento e roteamento IPv6, com pontos de contato de configuração e o raciocínio operacional por trás das escolhas de design. A ênfase é colocada nos modos de falha, na segurança no primeiro salto e em um fluxo de trabalho prático para solução de problemas.

Fundamentos de Endereçamento IPv6

Notação, compressão e expansão:

• Endereços IPv6 são valores de 128 bits escritos em oito hextetos de 16 bits em hexadecimal, separados por dois-pontos (por exemplo, 2001:0db8:0000:0000:0500:000a:400f:583b).
• Zeros à esquerda dentro de um hexteto podem ser suprimidos. Uma sequência de hextetos contíguos totalmente zerados pode ser comprimida uma vez usando ::. Exemplo de compressão: 2001:db8::500:a:400f:583b.
• A expansão reverte o processo, restaurando os zeros e hextetos omitidos.

Tipos de endereço:

• Global unicast (GUA): 2000::/3. Roteável publicamente; análogo aos endereços públicos IPv4. Usado para comunicação interdomínios.
• Unique local (ULA): fc00::/7 (comumente fd00::/8 para atribuição local). Alcançável dentro de um site ou entre sites conectados por VPN, mas não destinado ao roteamento na Internet pública. Útil para estabilidade interna e espaços de laboratório/teste.
• Link-local: fe80::/10. Obrigatório em toda interface IPv6; usado para comunicações no mesmo link, como o NDP, e como próximos saltos (next hops) para roteamento. Nunca é roteado para fora do link.
• Multicast: ff00::/8. Substitui o broadcast. Escopos definem o alcance (por exemplo, ff02::/16 é escopo link-local).
• Anycast: Um endereço unicast configurado em múltiplas interfaces; o roteamento entrega ao que estiver topologicamente mais próximo. Frequentemente usado para serviços como DNS ou gateway padrão em arquiteturas leaf-spine. O Anycast não tem um padrão de bits especial; é uma prática operacional.

Prefixos, identificadores de interface e planejamento de sub-redes:

• O comprimento de prefixo de LAN mais comum é /64. Um /64 é necessário para o SLAAC. Os identificadores de interface (IIDs) têm 64 bits.
• Formação do IID:
  • EUI-64 deriva o IID do MAC da interface inserindo fffe no meio e invertendo o bit universal/local (bit 7). Exemplo no Cisco IOS: ipv6 address 2001:DB8:5:112::/64 eui-64.
  • IIDs de privacidade (endereços temporários) randomizam o IID para mitigar o rastreamento de hosts; a RFC 7217 define IIDs estáveis, porém aleatórios, por prefixo.
• Diretrizes de planejamento:
  • Use agregação hierárquica (por exemplo, um /48 por site, /56 por prédio, /64 por VLAN).
  • Links ponto a ponto podem usar /127 para eliminar o anycast de roteador de sub-rede e prevenir certos ataques de varredura/exaustão de ND; se usar SLAAC em tais links, mantenha o /64.
  • Reserve GUAs para redes alcançáveis pela Internet; considere ULAs para segmentos puramente internos para desacoplar o endereçamento interno das alocações do ISP. Evite NAT66; se a tradução for necessária por política ou para independência do provedor, prefira a tradução de prefixo NPTv6 com simetria cuidadosa.

Autoconfiguração IPv6, Neighbor Discovery e Multicast

Router Advertisements (RAs) e atribuição de endereços:

• RAs transmitem prefixos no link, tempo de vida do gateway padrão e flags que governam o comportamento do host:
  • SLAAC: Hosts criam IIDs (EUI-64 ou de privacidade) usando as Opções de Informação de Prefixo (PIOs) do RA.
  • DHCPv6 stateless: A flag “Other Configuration” do RA é ativada; os hosts usam DHCPv6 para DNS e outros parâmetros, mas não para endereços.
  • DHCPv6 stateful: A flag “Managed” do RA é ativada; os hosts obtêm endereços e parâmetros do DHCPv6. O RA ainda pode fornecer um gateway padrão.
• Nota da Cisco: RAs são enviados por interfaces L3 quando ipv6 unicast-routing está habilitado e um prefixo de link está presente. O ajuste via comandos ipv6 nd controla os intervalos e as flags.
• Exemplo para sinalizar DHCPv6 stateless em uma SVI:
  • interface Vlan10 ipv6 address 2001:db8:10:10::1/64 ipv6 nd other-config-flag

Neighbor Discovery Protocol (NDP) e ICMPv6:

• O ICMPv6 sustenta o controle do IPv6: Router Solicitation (RS), Router Advertisement (RA), Neighbor Solicitation (NS), Neighbor Advertisement (NA) e Redirect.
• O Duplicate Address Detection (DAD) usa NS para o multicast de nó solicitado (solicited-node) do endereço provisório; se uma resposta (NA) for recebida, o endereço não é atribuído.
• A seleção do roteador padrão é derivada dos RAs; vizinhos e roteadores padrão são armazenados em cache na Neighbor Cache (semelhante à tabela ARP). Problemas operacionais frequentemente derivam de entradas obsoletas ou incompletas na cache de vizinhos.

Comportamento de multicast e solicited-node multicast:

• O IPv6 não tem broadcast. Grupos multicast visam funções específicas:
  • ff02::1 todos os nós (toda interface se junta quando o IPv6 é habilitado).
  • ff02::2 todos os roteadores (interfaces de roteador se juntam; hosts não).
  • ff02::1:ffXX:XXXX solicited-node multicast; cada endereço unicast/anycast atribuído mapeia para um grupo de solicited-node usando os 24 bits de ordem inferior do endereço. Usado pelo NDP para resolver endereços L2 de forma eficiente.
• O mapeamento de Camada 2 para multicast IPv6 usa o MAC 33:33:xx:xx:xx:xx. A filtragem de multicast Ethernet e o MLD snooping em switches evitam inundações excessivas.

Modos de falha comuns e trade-offs:

• RAs ausentes ou filtrados levam os hosts a se autoconfigurarem apenas com endereços link-local; a conectividade parece ser apenas local.
• Flags de RA configuradas incorretamente causam dependência não intencional do DHCPv6 ou falta de configurações de DNS.
• O EUI-64 expõe identificadores derivados do OUI; IIDs de privacidade mitigam o rastreamento ao custo da estabilidade operacional para ACLs.
• Falhas de DAD surgem com endereços duplicados do tipo anycast no mesmo link; coordene o design de redundância de gateway de acordo.

Roteamento e Migração de IPv6

Rotas estáticas e rotas padrão:

• Rota padrão: ::/0. Exemplo:
  • ipv6 route ::/0 GigabitEthernet0/0 fe80::1
  • Ao usar um next hop link-local, inclua a interface de saída para desambiguar o escopo.
• Exemplos de rota de rede:
  • ipv6 route 2001:db8:20::/48 2001:db8:10:1::2
  • ipv6 route 2001:db8:30::/48 GigabitEthernet0/1 fe80::2
• Notas operacionais:
  • A resolução recursiva de next-hop requer uma entrada de vizinho; falhas de ND aparecem como adjacências não resolvidas no CEF.
  • A distância administrativa e a métrica determinam a preferência de rota entre as candidatas; o encaminhamento usa o longest prefix match.

Consulta na tabela de roteamento:

• O longest prefix match seleciona a rota mais específica; se houver empate, a seleção da rota considera a preferência de protocolo e a métrica. Rotas conectadas e locais têm a maior preferência e fornecem next hops diretamente conectados.

Dual-stack, tunelamento e migração:

• Dual-stack: Executa IPv4 e IPv6 em paralelo. É a abordagem mais fácil para troubleshoot e oferece desempenho nativo; duplica o trabalho do plano de controle e das políticas de segurança.
• Tunelamento (IPv6-in-IPv4): Túneis manuais ou dinâmicos, GRE e 6RD transportam IPv6 sobre cores IPv4. Útil quando o provedor não tem IPv6 nativo; considerações sobre MTU e PMTUD são críticas. Os túneis adicionam overhead de encapsulamento e complexidade operacional.
• Tradução: NAT64/DNS64 permite que clientes somente IPv6 acessem servidores somente IPv4. Introduz estado (state), casos de borda (edge cases) de protocolo (IPs embutidos, literais) e complexidade de debugging. O NPTv6 fornece tradução de prefixo sem estado (stateless) para independência do provedor com caminhos simétricos.
• Trade-offs de design:
  • Prefira dual-stack nativo primeiro nas bordas e depois no core.
  • Use túneis como uma estrutura de transição com planos de desativação explícitos.
  • Para segmentos somente IPv6, planeje a prontidão das aplicações e o posicionamento do NAT64.

Conceitos de segurança de primeiro salto (first-hop) em IPv6:

• RA Guard: Bloqueia RAs (Router Advertisements) não autorizados em portas de acesso não confiáveis (untrusted); previne rogue gateways.
• DHCPv6 Guard: Bloqueia mensagens de servidor DHCPv6 não autorizadas.
• IPv6 Snooping and Binding Table: Aprende as associações (bindings) de IPv6 para MAC e porta para alimentar os recursos de aplicação de políticas (enforcement).
• IPv6 Source Guard e ND Inspection: Impõe a validade do endereço de origem e valida as mensagens NDP contra a tabela de associações (binding table) para impedir spoofing.
• O SeND (Secure NDP) existe, mas é raramente implantado devido à complexidade de PKI.
• MLD Snooping: Restringe o tráfego multicast aos receptores interessados; reduz o flooding.

Fluxo de Trabalho de Verificação e Troubleshooting

Verificações básicas:

• Garanta que o IPv6 global esteja habilitado:

undefined

.

• Estado e endereçamento da interface:

undefined

;

undefined

para confirmar as configurações de link-local, RA e parâmetros de ND.

• Verifique os RAs e os roteadores padrão aprendidos pelos hosts:

undefined

e, nos hosts, inspecione a rota padrão e o estado do SLAAC/DHCPv6.

Descoberta de vizinhos e resolução de caminho:

• Verifique o cache de vizinhos:

undefined

;

undefined

se as entradas estiverem obsoletas.

• Use ping e traceroute com IPv6; teste tanto os endereços link-local (com escopo definido pela interface de saída) quanto os globais para isolar problemas on-link vs. off-link.

Roteamento:

• Inspecione a tabela de roteamento:

undefined

; confirme a correspondência mais longa (longest match) para o destino.

• Valide as rotas estáticas e a alcançabilidade do próximo salto (next-hop); para next-hops link-local, confirme se a interface de egresso especificada tem o vizinho no estado REACH ou STALE.
• CEF e adjacência:

undefined

para ver a adjacência resolvida; não resolvida (unresolved) indica uma falha de ND ou semelhante ao ARP.

Saúde do plano de controle:

• Contadores ICMPv6:

undefined

para observar os volumes e descartes (drops) de NS/NA/RA/RS.

• Em switches, verifique as políticas de segurança de primeiro salto (first-hop) e o status do MLD snooping para garantir que o tráfego de controle legítimo não esteja sendo bloqueado.

Erros comuns:

• Esquecer o

undefined

em roteadores impede os RAs e o roteamento.

• Comprimentos de prefixo mal configurados levam os hosts a tratar destinos como on-link ou off-link incorretamente; os sintomas incluem consultas NDP para prefixos off-link ou ausência de rotas padrão.
• MTU/fragmentação através de túneis quebra o PMTUD; observe o tratamento de pacotes ICMPv6 superdimensionados (“Packet Too Big”).

Cenário de Problema Prático

A Northwind Textiles está implementando o IPv6 em seu campus sede, enquanto sua WAN MPLS permanecerá apenas com IPv4 por seis meses. O desafio: fornecer serviço dual-stack para as VLANs de usuário, acesso nativo à Internet IPv6 e comportamento seguro de primeiro salto (first-hop), enquanto usa o core MPLS IPv4 para transportar o IPv6 entre os prédios.

Abordagem:

1. Habilitar o IPv6 e estabelecer um plano de endereçamento

• Configure o

undefined

nos roteadores do campus e nas SVIs. Atribua um GUA /48 do ISP como

undefined

, dividindo-o em /64s por VLAN de usuário e /127s em links ponto a ponto roteados. Justificativa: /64s suportam SLAAC; /127s em P2P reduzem a superfície de ataque e eliminam o anycast de sub-rede do roteador.

2. Implantar SLAAC com DHCPv6 stateless para DNS

• Nas SVIs, configure

undefined

e

undefined

. Configure um DHCPv6 para a opção RDNSS ou use DHCPv6 stateless para fornecer os servidores DNS. Justificativa: O SLAAC minimiza a sobrecarga de configuração do cliente; o DHCPv6 stateless fornece parâmetros críticos que não são de endereço sem adicionar estado de endereço.

3. Construir túneis GRE IPv6-em-IPv4 através do core MPLS

• Crie túneis GRE ponto a ponto entre os roteadores dos prédios com keepalives; execute um IGP IPv6 ou coloque rotas estáticas IPv6 através dos túneis. Justificativa: O GRE encapsula o IPv6 sobre o provedor somente IPv4 com caminhos previsíveis; os keepalives detectam falhas no caminho. O MTU é ajustado para evitar fragmentação (descoberta de path-mtu do túnel ou ajuste do MTU da interface).

4. Anunciar a rota padrão a partir da borda da Internet

• Na borda da Internet, instale a rota

undefined

em direção ao ISP e anuncie a rota padrão no IGP do campus. Justificativa: O egresso centralizado garante fluxos simétricos e controle de políticas consistente; distribuir uma rota padrão simplifica o roteamento do campus.

5. Proteger o primeiro salto (first hop) nos switches de acesso

• Habilite o RA Guard e o DHCPv6 Guard nas portas voltadas para o usuário; habilite o IPv6 Snooping para preencher a tabela de binding e aplicar o IPv6 Source Guard. Justificativa: Impede RAs maliciosos (rogue RAs) e servidores DHCPv6 não autorizados; a validação da origem impede spoofing e envenenamento do cache de vizinhos.

6. Padronizar IIDs e privacidade

• Para interfaces de infraestrutura, use IIDs estáveis (manuais

undefined

,

undefined

) ou EUI-64 quando apropriado; para usuários, permita extensões de privacidade. Justificativa: Endereços de infraestrutura previsíveis simplificam as operações; IIDs de privacidade protegem os usuários contra rastreamento sem impactar as operações do gateway.

7. Verificação e monitoramento

• Valide os RAs com

undefined

e

undefined

; confirme as tabelas de vizinhos e as adjacências de túnel com

undefined

e

undefined

. Estabeleça uma linha de base (baseline) com

undefined

e netflow/IPFIX onde disponível. Justificativa: Baselines iniciais identificam desvios rapidamente; a saúde do ND e do túnel afeta diretamente o encaminhamento.

8. Contingência para serviços somente IPv6

• Se um segmento piloto somente IPv6 for necessário, posicione NAT64/DNS64 na borda do campus para acesso a sites somente IPv4. Justificativa: O NAT64 permite a adoção incremental do IPv6, evitando o dual-stack em endpoints modernos e direcionados; o uso com escopo definido limita a complexidade da tradução.

Este plano ativa o IPv6 com interrupção mínima, contém os riscos de primeiro salto e preenche a lacuna temporária do provedor com tunelamento controlado até que o IPv6 nativo esteja disponível de ponta a ponta.

← Endereçamento IPv4 · Todos os domínios · Roteamento Dinâmico e Conectividade IP →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →