Cisco 200-301: Indirizzamento IPv6 e Routing IPv6 — Guida allo studio

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Fa parte della Cisco CCNA 200-301 — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

IPv6 sostituisce l’indirizzamento IPv4, soggetto a esaurimento, con uno spazio di indirizzi molto più ampio e strutturato e con protocolli del piano di controllo progettati per operare senza broadcast. Questa sezione illustra i concetti di indirizzamento e routing IPv6, con i punti di contatto per la configurazione e la logica operativa alla base delle scelte progettuali. L’accento è posto sulle modalità di guasto, sulla sicurezza al primo hop e su un flusso di lavoro pratico per la risoluzione dei problemi.

Fondamenti dell’Indirizzamento IPv6

Notazione, compressione ed espansione:

• Gli indirizzi IPv6 sono valori a 128 bit scritti in otto estetti da 16 bit in esadecimale, separati da due punti (ad esempio, 2001:0db8:0000:0000:0500:000a:400f:583b).
• Gli zeri iniziali all’interno di un estetto possono essere soppressi. Una serie contigua di estetti composti interamente da zeri può essere compressa una sola volta usando ::. Esempio di compressione: 2001:db8::500:a:400f:583b.
• L’espansione inverte il processo ripristinando gli zeri e gli estetti omessi.

Tipi di indirizzo:

• Global unicast (GUA): 2000::/3. Inoltrabili pubblicamente; analoghi agli indirizzi pubblici IPv4. Usati per la comunicazione inter-dominio.
• Unique local (ULA): fc00::/7 (comunemente fd00::/8 per assegnazioni locali). Raggiungibili all’interno di un sito o tra siti connessi via VPN, ma non destinati al routing su Internet pubblico. Utili per la stabilità interna e per ambienti di laboratorio/test.
• Link-local: fe80::/10. Obbligatori su ogni interfaccia IPv6; usati per le comunicazioni on-link come NDP e come next hop per il routing. Non vengono mai instradati off-link.
• Multicast: ff00::/8. Sostituisce il broadcast. Gli scope definiscono la portata (ad esempio, ff02::/16 è lo scope link-local).
• Anycast: Un indirizzo unicast configurato su più interfacce; il routing consegna il traffico a quella topologicamente più vicina. Spesso usato per servizi come DNS o default gateway in architetture leaf-spine. L’anycast non ha un pattern di bit specifico; è una pratica operativa.

Prefissi, identificatori di interfaccia e pianificazione delle sottoreti:

• La lunghezza di prefisso più comune per le LAN è /64. Un /64 è necessario per SLAAC. Gli identificatori di interfaccia (IID) sono a 64 bit.
• Formazione dell’IID:
  • EUI-64 deriva l’IID dal MAC dell’interfaccia inserendo fffe nel mezzo e invertendo il bit universal/local (bit 7). Esempio su Cisco IOS: ipv6 address 2001:DB8:5:112::/64 eui-64.
  • Gli IID di privacy (indirizzi temporanei) randomizzano l’IID per mitigare il tracciamento degli host; la RFC 7217 definisce IID stabili ma casuali per ogni prefisso.
• Linee guida per la pianificazione:
  • Utilizzare l’aggregazione gerarchica (ad esempio, un /48 per sito, un /56 per edificio, un /64 per VLAN).
  • I link punto-punto possono usare /127 per eliminare l’anycast subnet-router e prevenire alcuni attacchi di scansione/esaurimento ND; se si utilizza SLAAC su tali link, mantenere il /64.
  • Riservare i GUA per le reti raggiungibili da Internet; considerare gli ULA per i segmenti puramente interni per disaccoppiare l’indirizzamento interno dalle allocazioni dell’ISP. Evitare il NAT66; se la traduzione è necessaria per policy o per indipendenza dal provider, preferire la traduzione di prefisso NPTv6 con un’attenta simmetria.

Autoconfigurazione IPv6, Neighbor Discovery e Multicast

Router Advertisement (RA) e assegnazione degli indirizzi:

• Gli RA comunicano i prefissi on-link, la lifetime del default gateway e i flag che governano il comportamento degli host:
  • SLAAC: Gli host creano gli IID (EUI-64 o di privacy) usando le Prefix Information Option (PIO) degli RA.
  • DHCPv6 stateless: flag “Other Configuration” dell’RA impostato; gli host usano DHCPv6 per il DNS e altri parametri, ma non per gli indirizzi.
  • DHCPv6 stateful: flag “Managed” dell’RA impostato; gli host ottengono indirizzi e parametri da DHCPv6. L’RA può comunque fornire un default gateway.
• Nota Cisco: gli RA vengono inviati dalle interfacce L3 quando ipv6 unicast-routing è abilitato e un prefisso di link è presente. La messa a punto tramite i comandi ipv6 nd controlla intervalli e flag.
• Esempio per segnalare DHCPv6 stateless su una SVI:
  • interface Vlan10 ipv6 address 2001:db8:10:10::1/64 ipv6 nd other-config-flag

Neighbor Discovery Protocol (NDP) e ICMPv6:

• ICMPv6 è alla base del controllo di IPv6: Router Solicitation (RS), Router Advertisement (RA), Neighbor Solicitation (NS), Neighbor Advertisement (NA) e Redirect.
• La Duplicate Address Detection (DAD) usa un NS verso l’indirizzo multicast solicited-node dell’indirizzo provvisorio; se viene ricevuta una risposta (NA), l’indirizzo non viene assegnato.
• La selezione del router di default deriva dagli RA; i vicini e i router di default sono memorizzati nella Neighbor Cache (simile alla tabella ARP). I problemi operativi spesso derivano da voci della neighbor cache obsolete o incomplete.

Comportamento del multicast e multicast solicited-node:

• IPv6 non ha broadcast. I gruppi multicast sono mirati a funzioni specifiche:
  • ff02::1 all-nodes (ogni interfaccia vi si unisce quando IPv6 è abilitato).
  • ff02::2 all-routers (le interfacce dei router vi si uniscono; gli host no).
  • ff02::1:ffXX:XXXX solicited-node multicast; ogni indirizzo unicast/anycast assegnato mappa a un gruppo solicited-node usando i 24 bit meno significativi dell’indirizzo. Usato da NDP per risolvere in modo efficiente gli indirizzi L2.
• La mappatura a Layer 2 per il multicast IPv6 usa il MAC 33:33:xx:xx:xx:xx. Il filtraggio multicast Ethernet e l’MLD snooping sugli switch prevengono un flooding eccessivo.

Modalità di guasto comuni e compromessi:

• RA mancanti o filtrati portano gli host a configurare autonomamente solo indirizzi link-local; la connettività appare limitata al solo link locale.
• Flag degli RA impostati in modo errato causano una dipendenza non intenzionale da DHCPv6 o la mancanza delle impostazioni DNS.
• EUI-64 espone identificatori derivati dall’OUI; gli IID di privacy mitigano il tracciamento a scapito della stabilità operativa per le ACL.
• I fallimenti della DAD si verificano con indirizzi duplicati di tipo anycast sullo stesso link; coordinare di conseguenza la progettazione della ridondanza del gateway.

Routing e migrazione IPv6

Rotte statiche e rotte di default:

• Rotta di default: ::/0. Esempio:

undefined

• Quando si utilizza un next hop link-local, includere l’interfaccia di uscita per disambiguare lo scope.

• Esempi di rotte di rete:

undefined

undefined

• Note operative:
  • La risoluzione ricorsiva del next-hop richiede una voce di neighbor; i fallimenti di ND appaiono come adiacenze non risolte in CEF.
  • La distanza amministrativa e la metrica determinano la preferenza della rotta tra le candidate; l’inoltro utilizza il longest prefix match.

Lookup nella tabella di routing:

• Il longest prefix match seleziona la rotta più specifica; in caso di parità, la selezione della rotta considera la preferenza del protocollo e la metrica. Le rotte connesse (connected) e locali (local) sono le più preferite e forniscono next hop direttamente collegati.

Dual-stack, tunneling e migrazione:

• Dual-stack: Esegue IPv4 e IPv6 in parallelo. È il più facile da diagnosticare e offre prestazioni native; raddoppia il lavoro sul control-plane e sulle policy di sicurezza.
• Tunneling (IPv6-in-IPv4): Tunnel manuali o dinamici, GRE e 6RD trasportano IPv6 su reti core IPv4. Utile quando il provider non dispone di IPv6 nativo; le considerazioni su MTU e PMTUD sono critiche. I tunnel aggiungono overhead di incapsulamento e complessità operativa.
• Traduzione: NAT64/DNS64 consente ai client solo-IPv6 di raggiungere server solo-IPv4. Introduce stato, casi limite del protocollo (IP incorporati, letterali) e complessità nel debugging. NPTv6 fornisce una traduzione stateless dei prefissi per l’indipendenza dal provider con percorsi simmetrici.
• Compromessi di progettazione:
  • Preferire il dual-stack nativo prima sugli edge, poi nel core della rete.
  • Utilizzare i tunnel come impalcatura di transizione con piani di dismissione espliciti.
  • Per i segmenti solo-IPv6, pianificare la prontezza delle applicazioni (application readiness) e il posizionamento di NAT64.

Concetti di sicurezza del first-hop IPv6:

• RA Guard: Blocca i RA non autorizzati su porte di accesso non attendibili (untrusted); previene i gateway malevoli (rogue).
• DHCPv6 Guard: Blocca i messaggi non autorizzati dei server DHCPv6.
• IPv6 Snooping e Binding Table: Apprende le associazioni (binding) IPv6-MAC-porta per alimentare le funzionalità di enforcement.
• IPv6 Source Guard e ND Inspection: Impone la validità dell’indirizzo di origine e convalida i messaggi NDP rispetto alla binding table per fermare lo spoofing.
• SeND (Secure NDP) esiste ma è raramente implementato a causa della complessità della PKI.
• MLD Snooping: Limita il traffico multicast ai soli ricevitori interessati; riduce il flooding.

Flusso di Lavoro per la Verifica e la Risoluzione dei Problemi

Controlli di base:

• Assicurarsi che l’IPv6 globale sia abilitato:

undefined

.

• Stato e indirizzamento dell’interfaccia:

undefined

;

undefined

per confermare le impostazioni link-local, RA e i parametri ND.

• Verificare gli RA e i router di default appresi dagli host:

undefined

, e sugli host, ispezionare la rotta di default e lo stato di SLAAC/DHCPv6.

Neighbor discovery e risoluzione del percorso:

• Controllare la cache dei neighbor:

undefined

;

undefined

se le voci sono obsolete.

• Utilizzare ping e traceroute con IPv6; testare sia gli indirizzi link-local (con scope sull’interfaccia in uscita) sia quelli globali per isolare i problemi on-link rispetto a quelli off-link.

Routing:

• Ispezionare la tabella di routing:

undefined

; confermare il longest match per la destinazione.

• Convalidare le rotte statiche e la raggiungibilità del next-hop; per i next-hop link-local, confermare che l’interfaccia di uscita specificata abbia il neighbor in stato REACH o STALE.
• CEF e adiacenza:

undefined

per vedere l’adiacenza risolta; “unresolved” indica un fallimento di tipo ND o ARP.

Stato del control-plane:

• Contatori ICMPv6:

undefined

per osservare i volumi e i drop di NS/NA/RA/RS.

• Sugli switch, verificare le policy di sicurezza del primo hop e lo stato di MLD snooping per garantire che il traffico di controllo legittimo non venga bloccato.

Errori comuni:

• Dimenticare

undefined

sui router impedisce gli RA e il routing.

• Lunghezze di prefisso configurate in modo errato portano gli host a trattare le destinazioni come on-link o off-link in modo scorretto; i sintomi includono query NDP per prefissi off-link o rotte di default mancanti.
• MTU/frammentazione attraverso i tunnel interrompe il PMTUD; osservare la gestione di pacchetti ICMPv6 “Packet Too Big” sovradimensionati.

Scenario Pratico di un Problema

Northwind Textiles sta implementando IPv6 nel campus della sua sede centrale mentre la sua WAN MPLS rimane solo IPv4 per sei mesi. La sfida: fornire un servizio dual-stack alle VLAN degli utenti, accesso nativo a Internet IPv6 e un comportamento sicuro del primo hop, utilizzando il core MPLS IPv4 per trasportare IPv6 tra gli edifici.

Approccio:

1. Abilitare IPv6 e stabilire un piano di indirizzamento

• Configurare

undefined

sui router del campus e sulle SVI. Assegnare un GUA /48 dall’ISP come

undefined

, suddividendo in /64 per ogni VLAN utente e /127 sui link point-to-point routed. Razionale: le /64 supportano SLAAC; le /127 su P2P riducono la superficie di attacco ed eliminano il subnet-router anycast.

2. Implementare SLAAC con DHCPv6 stateless per il DNS

• Sulle SVI, configurare

undefined

e

undefined

. Implementare un server DHCPv6 per l’opzione RDNSS o utilizzare DHCPv6 stateless per fornire i server DNS. Razionale: SLAAC minimizza l’overhead di configurazione del client; DHCPv6 stateless fornisce parametri critici non legati all’indirizzo senza aggiungere stato di indirizzamento.

3. Costruire tunnel GRE IPv6-in-IPv4 attraverso il core MPLS

• Creare tunnel GRE point-to-point tra i router degli edifici con keepalive; eseguire un IGP IPv6 o inserire rotte statiche IPv6 attraverso i tunnel. Razionale: GRE incapsula IPv6 sul provider solo-IPv4 con percorsi prevedibili; i keepalive rilevano i guasti del percorso. L’MTU viene regolato per evitare la frammentazione (

undefined

o tuning dell’interfaccia

undefined

).

4. Annunciare la rotta di default dall’edge Internet

• Sull’edge Internet, installare

undefined

verso l’ISP e annunciare la rotta di default nell’IGP del campus. Razionale: un’uscita centralizzata garantisce flussi simmetrici e un controllo coerente delle policy; la distribuzione di una rotta di default semplifica il routing del campus.

5. Mettere in sicurezza il primo hop sugli switch di accesso

• Abilitare RA Guard e DHCPv6 Guard sulle porte rivolte agli utenti; abilitare IPv6 Snooping per popolare la tabella di binding e applicare IPv6 Source Guard. Razionale: previene RA malevoli e server DHCPv6 non autorizzati; la validazione della sorgente blocca lo spoofing e l’avvelenamento della cache dei neighbor.

6. Standardizzare IID e privacy

• Per le interfacce di infrastruttura, utilizzare IID stabili (manuali

undefined

,

undefined

) o EUI-64 dove appropriato; per gli utenti, consentire le estensioni di privacy. Razionale: indirizzi di infrastruttura prevedibili semplificano le operazioni; gli IID di privacy proteggono gli utenti dal tracciamento senza impattare le operazioni del gateway.

7. Verifica e monitoraggio

• Convalidare gli RA con

undefined

e

undefined

; confermare le tabelle dei neighbor e le adiacenze dei tunnel con

undefined

e

undefined

. Stabilire una baseline con

undefined

e netflow/IPFIX dove disponibili. Razionale: le baseline iniziali identificano rapidamente le deviazioni; lo stato di ND e dei tunnel influisce direttamente sull’inoltro.

8. Piano di contingenza per servizi solo-IPv6

• Se è richiesto un segmento pilota solo-IPv6, posizionare NAT64/DNS64 all’edge del campus per l’accesso a siti solo-IPv4. Razionale: NAT64 consente un’adozione incrementale di IPv6 evitando il dual-stack su endpoint mirati e moderni; l’uso mirato confina la complessità della traduzione.

Questo piano porta IPv6 online con interruzioni minime, contiene i rischi del primo hop e colma il divario temporaneo del provider con tunneling controllato fino a quando l’IPv6 nativo non sarà disponibile end-to-end.

← Indirizzamento IPv4 · Tutti i domini · Routing Dinamico e Connettività IP →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →