Menos de 30 dos aproximadamente 25 milhões de servidores de nomes baseados no Reino Unido tinham endereços IPv6 quando o relatório de implantação de IPv6 do governo do Reino Unido foi publicado em 2010. Esse ponto de partida histórico ajuda a explicar por que tantos planos de endereçamento, procedimentos de suporte e registros de ativos foram construídos em torno do IPv4.
Gerenciar endereços IP hoje significa manter uma infraestrutura onde os dispositivos podem usar qualquer um dos protocolos, às vezes sem que os administradores percebam. A disciplina útil é um proprietário responsável, uma intenção de roteamento documentada e um registro de alocação rastreável para cada endereço. Rotas redundantes não são um problema; o que não pode ocorrer é a disputa de propriedade e a acessibilidade não explicada.
Quando Usar Endereços DHCP Estáticos ou Reservados
Em agosto de 2026, 54,27% dos 5.340.321 hosts rastreados eram dual-stack, enquanto 45,73% permaneceram apenas com IPv4, de acordo com as medições no Reino Unido da Internet Society. Essas são medições de hosts rastreados, não um censo de dispositivos empresariais, mas ilustram por que um inventário focado apenas em IPv4 não descreve mais tudo o que uma equipe de rede pode encontrar.
Um dispositivo pode se comunicar via IPv6 enquanto seu registro no helpdesk, objeto de firewall e planilha de incidentes ainda contêm apenas IPv4. Trate o dual-stack como um segundo conjunto de registros, incluindo o histórico de endereços, em vez de apenas uma capacidade de roteamento.
Escolha um método de atribuição por classe de dispositivo antes de definir as sub-redes. O DHCP emite atribuições de endereços com limite de tempo; uma reserva dá a um dispositivo específico um endereço previsível por meio desse mesmo serviço. O glossário do DHCP oferece uma referência útil ao explicar essa distinção a colegas fora da área de redes.
Métodos de atribuição de endereço e quando usá-los
| Método | Uso recomendado | Estabilidade | Principal risco |
|---|---|---|---|
| DHCP dinâmico | Visitantes, prestadores de serviço, clientes de curta permanência | Geralmente mantido por meio de renovações; elegível para reutilização após a expiração | A reutilização oculta quem possuía o endereço sem logs |
| Reserva de DHCP | Impressoras, pontos de acesso, câmeras, IoT | Endereço fixo ainda atribuído por DHCP | Reserva obsoleta após o dispositivo sair da rede |
| Configuração estática | Roteadores, firewalls, DNS, gerenciamento fora de banda (out-of-band) | Permanente até ser alterado manualmente | Endereço órfão sem registro de proprietário |
| SLAAC | Clientes IPv6 comuns em um /64 | Endereços estáveis podem coexistir com endereços de privacidade rotativos | Host invisível se o IPAM nunca o visualizar |
| DHCPv6 | Clientes IPv6 compatíveis que exigem registros de atribuição no servidor | Lease com registro no lado do servidor | Desvio de escopo se o DNS não for atualizado com o lease |
Ajuste as concessões ao comportamento dos dispositivos
Uma concessão não força uma alteração de endereço a cada renovação. Os clientes geralmente renovam o endereço que já possuem, portanto, não use a rotatividade de DHCP como controle de segurança.
Para um local hipotético, uma concessão de visitante de oito horas pode ser adequada para visitantes diurnos, enquanto uma LAN de funcionários pode começar com concessões de um a sete dias. Esses são pontos de partida de configuração, não limites de conformidade. Compare a ocupação do pool, o tráfego de renovação e os padrões de visita antes de ajustá-los.
Use reservas para equipamentos que precisam de endereçamento estável, mas que devem permanecer centralmente revogáveis. Mantenha os endereços configurados manualmente fora dos pools dinâmicos e registre o administrador responsável por alterá-los. A configuração estática é mais defensável para a infraestrutura que deve ser iniciada ou permanecer gerenciável sem DHCP.
No IPv6, o SLAAC permite que os clientes construam endereços a partir de um prefixo anunciado. O DHCPv6 pode fornecer registros de atribuição onde os clientes o suportam, mas não substitui os anúncios de roteador para a descoberta de roteadores padrão e não identifica automaticamente uma pessoa.
Regra de atribuição: Forneça a cada classe de dispositivo um método padrão e, em seguida, documente as exceções com um proprietário e um motivo.
Rotule cada VLAN atual com o método escolhido. Uma VLAN de uso misto pode precisar de classes documentadas separadas, em vez de uma regra artificial de que todos os dispositivos devem se comportar da mesma forma.
Como Dimensionar Sub-redes e Deixar Espaço para Crescimento
Dimensione para os dispositivos que podem se conectar simultaneamente, incluindo substituições, clientes temporários e infraestrutura. Não escolha um pré-fixo apenas porque outro local o utilizou.
Tamanhos de prefixo padrão por zona de rede
Estes são pontos de partida de engenharia. Valide a demanda de hosts, reservas na nuvem e suporte da plataforma antes de adotar uma linha.
| Zona | Plano IPv4 | Plano IPv6 | Nota de planejamento |
|---|---|---|---|
| LAN de funcionários ou usuários | /23 ou /24 | /64 | Deixe o próximo bloco livre antes que a VLAN encha |
| WiFi de convidados | /22 para um local movimentado | /64 | Concessões curtas e sem rota para funcionários ou servidores |
| Servidores e infraestrutura | /24 ou menor, em sua maioria estático | /64 | Cada host gerenciado nomeado em DNS direto e reverso |
| Gerenciamento e fora de banda | /26 ou /27 | /64 | Não roteado para convidados nem exposto diretamente à internet |
| Link ponto a ponto | /31 | /127 | Use apenas onde ambos os pontos de extremidade derem suporte |
| Agregado do local | Um bloco sumarizável por local | Geralmente um /48 por local | Anuncie o resumo, não todas as VLANs |
| VPC ou VNet de nuvem | Espaço RFC1918 sem sobreposição | Alocação IPv6 do provedor | Verifique a sobreposição antes de qualquer fusão ou emparelhamento |
Use uma calculadora de sub-rede para verificar limites e capacidade em vez de fazer aritmética de prefixo de cabeça. Para LANs IPv4 comuns, distinga os endereços totais dos endereços de host atribuíveis; as plataformas de nuvem podem reservar endereços adicionais.
Para o IPv6, as orientações de endereçamento do NHS England especificam endereços de 128 bits e um tamanho de sub-rede padrão de 64 bits. Use /64 para LANs normais e segmentos de segurança, e não sub-redes de clientes menores destinadas a economizar espaço de endereçamento.
Crie a hierarquia antes de preenchê-la
Forneça a cada local um bloco de resumo IPv4 alinhado. Onde a alocação permitir, forneça também um agregado IPv6 e, em seguida, defina os prefixos de VLAN dentro desses limites.
Reserve um bloco de crescimento adjacente e alinhado corretamente para redes de usuários. A adjacência por si só não garante que dois prefixos possam se tornar um prefixo maior, portanto, verifique o limite binário antes de prometer uma expansão sem problemas.
O espaço de endereçamento privado não é globalmente exclusivo. Escritórios, empresas adquiridas e projetos em nuvem podem escolher de forma independente intervalos sobrepostos e descobrir o conflito quando alguém solicitar o emparelhamento (peering).
Um esboço de um único local pode permanecer legível sem listar endereços individuais:
| Função da VLAN | Prefixo alocado | Bloco pai | Reserva de crescimento |
|---|---|---|---|
| Funcionários | /24 | Resumo do IPv4 do local | /24 adjacente alinhado |
| Visitantes | /22 | Resumo do IPv4 do local | /22 separado alinhado |
| Gerenciamento | /27 | Resumo do IPv4 do local | /27 adjacente alinhado |
| Segmentos de cliente IPv6 | /64 cada | Agregado de IPv6 do local | Prefixos de segmento não alocados |
Uma sumarização é uma conveniência de roteamento, não uma permissão para que todas as zonas se comuniquem. Mantenha os limites das políticas de visitantes, gerenciamento e servidores explícitos.
Como Criar um Inventário de Endereços com Controle de Versão
Um inventário de endereços só é útil se refletir as alocações planejadas e a configuração ativa. O gerenciamento de endereços IP (IPAM) registra quem é o proprietário de cada prefixo, o que ele suporta e onde suas informações de endereço aparecem. Mantenha um proprietário, uma rota pretendida e um registro rastreável para cada endereço.
Registre o prefixo, proprietário, finalidade comercial, local, zona de segurança, método de atribuição e data de revisão. Inclua datas de expiração para alocações temporárias, além de referências de registro e roteamento para blocos públicos. Mantenha o controle de versão do inventário para que cada alteração tenha uma aprovação e uma comparação de alterações (diff) significativa.
Reconcilie a configuração em uma ordem repetível
- Registros do registro. Confirme as alocações públicas que a organização tem direito de usar.
- Zonas de DNS. Exporte registros diretos e reversos, incluindo entradas A e AAAA obsoletas.
- Registros de DHCP. Colete leases, reservas, exclusões e atribuições DHCPv6.
- Objetos de firewall e NAT. Registre endereços traduzidos, serviços publicados e regras de gerenciamento.
- Redes em nuvem. Exporte alocações de VPC, VNet e sub-rede nas contas ou assinaturas relevantes.
- Estado de roteamento. Compare os anúncios configurados com as rotas aprendidas e instaladas.
A exportação mais recente não é automaticamente autoritativa. Uma sub-rede em nuvem não documentada pode ser legítima; um objeto de firewall antigo pode expor um serviço sem proprietário atual. Atribua cada divergência a alguém que possa estabelecer sua finalidade.
Use estados claros do ciclo de vida, como alocado, reservado, ativo, descontinuado e exposto externamente. Trate a exposição como sinalizador separado: uma sub-rede ativa também pode estar exposta externamente.
Verifique o que parece vazio
Verifique cada intervalo de endereços que a organização possui ou está autorizada a avaliar, incluindo intervalos que não se acredita estarem em uso. Isso ajuda a descobrir alocações e serviços esquecidos sem estender as verificações além dos limites aprovados. As orientações de conectividade segura sobre segregação de rede OT do National Cyber Security Centre dizem respeito à separação de redes de tecnologia operacional; elas não orientam as organizações a escanear espaço de endereçamento público.
Confirme os registros com fontes que já estejam dentro do seu escopo autorizado, como zonas DNS, configurações de rede em nuvem, registros de roteamento e informações de vizinhança. Para equipamentos sensíveis ou de tecnologia operacional, siga os procedimentos de avaliação aprovados pela organização.
Documente o limite que cada VLAN representa, incluindo seus prefixos e caminhos permitidos. Para ambientes do setor público do Reino Unido, registre se os serviços restritos, como o PSN, são compatíveis com a configuração de endereço planejada.
Mantenha os procedimentos organizados junto ao inventário. Um software de documentação técnica pode ajudar a organizar procedimentos de exportação, reconciliação e tratamento de exceções, enquanto o IPAM permanece como a autoridade para a propriedade dos endereços.
Uma sub-rede sem proprietário é um risco operacional não resolvido.
Automatize verificações para sobreposições propostas, proprietários ausentes e registros inconsistentes de DNS ou políticas. Sinalize desvios em tempo real para revisão, em vez de excluir automaticamente uma rota de produção inesperada.
Cada endereço deve ter um proprietário responsável, uma rota pretendida e um registro de alteração rastreável. Mantenha credenciais e históricos de concessão identificáveis fora de repositórios de documentação amplamente acessíveis.
Como Alocar e Desativar um Endereço
Use o mesmo caminho de alteração para um servidor, expansão de rede de convidados ou sub-rede em nuvem. A implementação difere, mas os requisitos de aprovação, evidência e encerramento não devem desaparecer porque uma implantação é automatizada.
Siga o ciclo de vida da alocação
- Faça a solicitação. Indique o proprietário, a finalidade, o local, o protocolo e o tempo de vida necessário. Identifique qualquer conectividade de entrada ou dependência de fornecedor.
- Verifique se há sobreposição e capacidade no inventário no resumo do local. Confirme o método de atribuição para a classe de dispositivo.
- Reserve antes de configurar. Registre o prefixo, a data de expiração ou revisão e a referência da alteração para que solicitações paralelas não possam reivindicá-lo.
- Crie ou estenda o escopo DHCP, reserva ou registro estático. Para segmentos dual-stack, configure o arranjo DHCPv6 ou SLAAC aprovado.
- Publique DNS direto e reverso onde for apropriado. Libere registros AAAA somente após o serviço passar nos testes de IPv6.
- Atualize os objetos de firewall, NAT e rota a partir da alocação aprovada. Verifique a origem, o destino e o caminho de retorno pretendidos.
- Aplique a política de acesso do cliente por meio do diretório e do controlador de WiFi. Mapeie funcionários e convidados para suas VLANs autorizadas em vez de confiar em uma frase de secreta compartilhada.
- Capture evidências. Confirme a concessão ou entrada de vizinho, a resposta de DNS e um evento de alocação que possa ser correlacionado a um usuário, dispositivo ou chamado.
- Após a expiração, remova a alocação e os objetos dependentes e, em seguida, marque o prefixo como descontinuado. Verifique se o tráfego residual e as dependências pararam antes de devolvê-lo ao pool.
O diagrama do ciclo de vida resume os controles de alteração sem substituir a lista de verificação detalhada.
Se o endereço for enviar e-mails, inclua verificações de reputação antes da ativação. A verificação de lista negra de e-mail do MailGenius pode identificar endereços de envio listados, embora um resultado limpo não garanta a entrega nem substitua a autenticação de e-mail adequada.
Torne o evento de alocação auditável
Um endereço sozinho não pode identificar seu detentor após o reuso. Preserve o início e o fim da atribuição, o protocolo, o identificador do dispositivo e a referência de autenticação relevante, usando uma fonte de hora comum para DHCP, RADIUS, controladores e DNS.
O histórico UK Data Retention (EC Directive) Regulations 2009 exigia que os provedores de comunicações públicas retivessem dados de comunicações especificados por 12 meses, incluindo informações de alocação de assinantes vinculadas ao tempo. Esse arcabouço foi desde então substituído e alterado; não é uma regra geral e atual de retenção para redes corporativas.
Defina a retenção de acordo com as obrigações aplicáveis e as necessidades do negócio. Restrinja o acesso, proteja a integridade e teste se um investigador autorizado pode reconstruir uma atribuição sem expor registros de usuários não relacionados.
Para conexões traduzidas, retenha os detalhes do mapeamento necessários para atribuição, incluindo portas onde os endereços são compartilhados. Um único evento de alocação é o ponto de partida, não um substituto para evidências de autenticação e tradução.
Escolha entre Manter, Conceder, Traduzir ou Renumerar
Comece com os serviços IPv4 que você não pode remover: conexões de parceiros, listas de permissões de fornecedores, pontos de extremidade VPN e aplicações legadas. Essas dependências estabelecem a pegada pública estável mínima de que sua infraestrutura precisa.
Escolha uma opção por ambiente, não uma única resposta para toda a organização. Uma rede de convidados e um serviço voltado para fornecedores têm requisitos diferentes de acesso de entrada, atribuição e continuidade.
Opções de retenção, concessão, tradução e renumeração de IPv4
| Opção | Quando usar | Risco principal |
|---|---|---|
| Manter IPv4 próprio | O espaço público existente cobre parceiros, fornecedores e serviços legados | Blocos não utilizados ficam ocultos, a menos que sejam verificados e registrados |
| Alugar espaço IPv4 | O crescimento é real e o bloco pode ser registrado com proprietário e rota | Faixas alugadas se desviam do registro e dos registros de rota |
| NAT de nível de operadora (CGNAT) | Os clientes precisam apenas de acesso de saída e a atribuição ainda pode ser registrada | Endereços compartilhados complicam o registro por usuário e os serviços de entrada |
| IPv6 Dual-stack | Serviços e clientes estão prontos para IPv6 com controles correspondentes | Registros de endereço adicionais e uma brecha se os controles atrasarem |
| Reendereçar | Os resumos não são formados ou uma faixa RFC1918 colide com uma VPC | Risco de indisponibilidade e endereços codificados de forma rígida nas aplicações |
Escolha por dependência, não por conveniência
Manter um espaço próprio faz sentido quando você pode justificar seu uso e manter sua autoridade de roteamento. Não compre ou alugue mais apenas porque os administradores não reconciliaram alocações não utilizadas.
Para blocos alugados, documente o arrendador, o uso permitido, os acordos de roteamento, as condições de renovação e o processo de retirada. Planeje como as listas de permissões de fornecedores e os endpoints publicados externamente serão alterados se o aluguel terminar. Um bloco aparentemente disponível não pode ser implantado até que a parte correta possa autorizar seu anúncio.
O NAT de nível de operadora (Carrier-grade NAT) atende a algumas populações de clientes de saída, mas introduz o comportamento de endereço compartilhado. Verifique a compatibilidade de aplicativos, a capacidade de portas e a habilidade de correlacionar sessões traduzidas antes de tratá-lo como uma medida de conservação.
A renumeração é geralmente a resposta de longo prazo mais limpa para redes privadas sobrepostas. Suponha que a faixa de gerenciamento de um hotel adquirido colida com uma VPC na nuvem: a tradução pode restaurar um caminho de serviço estreito temporariamente, mas não produzirá um resumo coerente do local nem removerá endereços incorporados das aplicações.
Teste de decisão: Escolha a opção que você pode operar, atribuir e retirar com segurança, e não apenas aquela que pode configurar mais rapidamente.
Use dual-stack para novos ambientes que passem nas verificações operacionais e de compatibilidade. Mantenha caminhos de fornecedores limitados em IPv4 até que seus requisitos mudem.
Registre a decisão com cada bloco, incluindo a dependência que a justifica e a condição que permitiria o encerramento. Isso fornece ao próximo administrador um motivo para preservar a alocação ou evidências de que é hora de removê-la.
Implante Dual-Stack Sem um Bypass IPv6
Globalmente, cerca de 33 milhões de endereços IPv4 foram transferidos dentro dos sistemas de registro regional durante 2025, de acordo com o relatório de endereços de Geoff Huston. Essa atividade contínua de transferência é um lembrete útil de que a implantação do IPv6 não elimina imediatamente a dependência comercial e operacional do IPv4.
Execute o IPv6 como um programa controlado. Mapeie primeiro os aplicativos e dependências, procurando por literais IPv4 incorporados, ACLs específicas de protocolo, premissas de monitoramento e fornecedores que exigem um endpoint IPv4 fixo.
Controle cada expansão por etapas
Faça um piloto em um segmento de baixo risco com um plano de reversão definido. Teste as transações voltadas para o usuário, e não apenas pings bem-sucedidos, e verifique o failover, os controles de identidade e a visibilidade de incidentes antes de expandir a implantação.
- Controle a publicação. Retenha os registros AAAA até que os testes de aplicação, a política de firewall e o registro de logs sejam aprovados. Inclua caminhos externos, não apenas o acesso interno.
- Proteja os anúncios de roteador (RAs) com controles de switch adequados, como o RA Guard, onde houver suporte. Traduza a política de segurança IPv4 pretendida em regras IPv6, incluindo o ICMPv6 necessário em vez de bloqueá-lo de forma indiscriminada.
- Padronize os endereços no SIEM. Formas textuais equivalentes devem se correlacionar de maneira consistente. A padronização isolada não vinculará endereços de privacidade rotativos; portanto, mantenha também o contexto do dispositivo e da identidade.
- Registre a escolha entre SLAAC ou DHCPv6 para cada VLAN. Onde ambos operarem intencionalmente, documente suas funções e como a descoberta abrange ambos.
- Forneça ao suporte um script que resolva um endereço para seu dispositivo, período de atribuição, prefixo e política aplicada. Inclua testes separados para cada protocolo, de modo que o fallback não oculte um caminho com falha.
Meça a prontidão e a dependência separadamente
Acompanhe a preparação técnica em relação aos ativos e serviços no escopo de implantação. Monitore a dependência do IPv4 como um registro separado, com um proprietário e condição de remoção para cada serviço restante.
- Cobertura de descoberta. Cada ativo compatível com IPv6 no escopo possui um registro detectável e um responsável atribuído.
- Consistência de rota e DNS. Prefixos anunciados e registros publicados correspondem à configuração aprovada, com discrepâncias resolvidas.
- Cobertura de política. Cada controle necessário possui uma implementação de IPv6 e um resultado de teste registrado.
- Exceções de exposição. Nenhum serviço IPv6 acessível externamente permanece sem explicação ou aprovação.
- Redução de dependências. O registro mostra quais serviços deixaram de exigir IPv4, apoiados por testes de transação e failover.
Não declare sucesso apenas porque os clientes preferem IPv6. Declare um segmento pronto quando os administradores puderem operá-lo, solucionar problemas e conter um incidente sem recorrer a procedimentos exclusivos de IPv4.
Desative o IPv4 somente após os proprietários dos serviços confirmarem que a operação normal, a recuperação e as conexões de fornecedores não dependem mais dele. Mantenha as evidências de reversão (rollback) até que essa desativação tenha sido testada.
Faça de Um Único Sistema o Proprietário de Cada Endereço
Escolha um sistema de registro antes de adicionar outra planilha. Ele deve conter o prefixo aprovado, proprietário, método de atribuição e datas de ciclo de vida, enquanto DHCP, DNS, firewalls e contas em nuvem fornecem evidências de implementação.
O sistema não é o proprietário humano responsável. Nomeie um líder de rede que mantenha a política de alocação e delegue as responsabilidades das sub-redes para pessoas que possam aprovar alterações e resolver discrepâncias.
Reconcilie um local antes de vincular funções de acesso
Comece com um local delimitado em vez de uma migração em toda a infraestrutura. Exporte seus escopos, reservas, hosts estáticos e intervalos de nuvem conectados, depois transforme as diferenças em uma fila de trabalho controlada.
- Marcar incertezas. Identifique sobreposições, alocações sem proprietário e objetos cuja finalidade ninguém sabe explicar.
- Investigar antes de reendereçar. Documente ou desative faixas sem proprietário somente após verificar dependências e tráfego.
- Anexar as funções de rede. Mapeie as VLANs do local para prefixos aprovados e distinga o acesso de convidados, funcionários, gerenciamento e locatários.
- Testar alterações de identidade. Confirme se a integração, mudanças de função e revogação produzem a política de acesso pretendida e evidências de auditoria úteis.
Uma conta de diretório identifica uma pessoa; uma concessão DHCP identifica uma atribuição. Vincule esses registros por meio de eventos de autenticação e do controlador em vez de supor que um endereço pertence permanentemente a um funcionário.
Mantenha a camada de identidade sem fio distinta
Onde o acesso sem fio precisa dessa camada de identidade, executamos o Purple como uma sobreposição em nuvem nos pontos de acesso que o local já possui, portanto, não é necessária nenhuma substituição completa de infraestrutura. Nossa plataforma oferece guest WiFi, segurança 802.1X para funcionários e redes privadas xPSK, com RADIUS na nuvem substituindo o FreeRADIUS ou o Windows NPS para que não haja servidores de autenticação locais para atualizar ou falhar.
A compatibilidade depende do suporte do controlador a RADIUS, alteração de autorização (CoA) e walled garden. Esta é a camada de identidade sem fio, não uma substituição para IPAM, controle de rotas ou registros de ciclo de vida de endereços.
Mantenha a autoridade de alocação separada do serviço de autenticação, com uma fronteira de integração clara. Uma função de acesso deve selecionar uma rede aprovada, não criar uma sub-rede não documentada.
Nomeie o proprietário do plano de endereçamento e reconcilie o primeiro local antes de vincular funções de WiFi a ele. Isso oferece aos administradores uma base sólida para expandir o acesso sem aumentar a incerteza.
O Purple fornece acesso baseado em identidade para visitantes, funcionários e redes privadas em pontos de acesso existentes, ajudando você a conectar decisões de acesso sem fio a um plano de rede documentado. Visite o Purple para discutir a compatibilidade do seu controlador e como a camada de identidade sem fio pode se adaptar ao seu processo de gerenciamento de endereços.
