A aquisição ou renovação do firewall de borda é um dos investimentos mais estratégicos da área de TI corporativa. No entanto, é comum que equipes técnicas descubram, meses após o contrato assinado, que o equipamento homologado trata o IPv6 como um recurso de segunda classe: funções avançadas de antivírus de borda desativadas, bloqueio indevido de tráfego de controle essencial (ICMPv6) ou incapacidade de lidar com prefixos dinâmicos entregues pela operadora. Para evitar retrabalho e riscos à continuidade do negócio, o gestor de TI deve submeter o fornecedor a um questionário técnico rigoroso antes do fechamento comercial.
O risco da paridade aparente de recursos
Muitos prospectos comerciais e folhas de especificações técnicas (datasheets) contêm o selo genérico de compatibilidade com IPv6, mas omitindo que certos módulos de segurança de última geração (NGFW / UTM) operam exclusivamente sobre o tráfego IPv4.
Conforme destacado nas diretrizes da publicação NIST SP 800-119 (Guidelines for the Secure Deployment of IPv6), uma rede com suporte parcial a IPv6 no firewall pode introduzir assimetrias de segurança: se o tráfego IPv4 passar por inspeção profunda enquanto o tráfego IPv6 flui sem os mesmos controles ou é bloqueado indiscriminadamente, criam-se vulnerabilidades operacionais e riscos de degradação de serviços.
As 6 perguntas fundamentais para a homologação técnica
Antes de aprovar a compra de um novo equipamento ou renovar o licenciamento do firewall existente, exija respostas por escrito para os seguintes pontos:
1. "Todos os recursos de segurança (IPS, Antivírus e Filtro Web) funcionam com paridade total em IPv6?"
Pergunte especificamente se os motores de inspeção profunda (Deep Packet Inspection), o sistema de prevenção de intrusões (IPS), a reputação de categorias web e a inspeção de tráfego criptografado (SSL/TLS Inspection) analisam conexões IPv6 com as mesmas políticas do IPv4. Em modelos de entrada ou sistemas com firmwares antigos, ativar o IPS para IPv6 pode não ser suportado ou desativar a aceleração de hardware.
2. "Como o equipamento trata o tráfego ICMPv6 por padrão?"
No IPv4, era praxe descartar todo o tráfego ICMP. No IPv6, o protocolo ICMPv6 é indispensável para funções fundamentais como a Descoberta de Vizinhos (NDP) e o Descobrimento do Tamanho Máximo de Pacote (Path MTU Discovery - RFC 8201). Questione se a política padrão do fabricante implementa a filtragem granular recomendada pela RFC 4890 ou se a configuração requer a criação manual de dezenas de regras complexas para não quebrar a navegação da empresa.
3. "O firewall suporta delegação de prefixos (DHCPv6-PD) na interface WAN?"
Muitos firewalls corporativos de grande porte foram desenhados primordialmente para enlaces com prefixos estáticos (ex.: /48 via BGP ou roteamento estático). Porém, em conexões de contingência (links de operadoras comerciais convencionais), o bloco IPv6 é comumente entregue via DHCPv6-PD. Se o firewall não atuar como cliente DHCPv6-PD na WAN e não redistribuir as sub-redes para as VLANs internas, sua empresa não conseguirá usar o IPv6 naquele link.
4. "Qual é a capacidade de transferência (throughput) real com a pilha dupla ativa?"
O processamento simultâneo de regras de IPv4 e IPv6 e a manutenção de tabelas de conexão separadas exigem recursos adicionais de memória e CPU. Solicite relatórios de medição com a pilha dupla (Dual-Stack) habilitada sob carga real de pacotes pequenos (ex.: testes IMIX), garantindo que o hardware suporte a velocidade contratada dos links de fibra óptica sem lentidão.
5. "As VPNs de acesso remoto e site-to-site suportam transporte e terminação em IPv6?"
Investigue se o cliente de VPN utilizado pelos colaboradores em home office (IPsec ou SSL/TLS) consegue estabelecer o túnel sobre uma conexão de internet residencial que opere puramente em IPv6 e se ele é capaz de atribuir endereçamento IPv6 para a máquina remota, permitindo acesso transparente aos servidores internos da empresa.
6. "O equipamento possui certificação formal de conformidade IPv6 (como o IPv6 Ready Logo), quando aplicável?"
Verifique se o modelo ou a família de produtos consta na base de equipamentos aprovados do programa internacional IPv6 Ready Logo, quando existir. Embora nem todo equipamento de nicho submeta-se formalmente aos laboratórios do programa, a presença da certificação é um indício independente de que a pilha passou por centenas de testes padronizados de interoperabilidade e conformidade com os RFCs do IETF.
Matriz de validação para aquisição de firewall
| Critério de Avaliação | Requisito Obrigatório | Sinal de Alerta (Rejeitar ou Exigir Ajuste) |
|---|---|---|
| Inspeção de Aplicações e IPS | Idêntica para IPv4 e IPv6 | Módulos desativados automaticamente em sessões v6 |
| Conformidade com RFC 4890 | Tratamento granular de tipos ICMPv6 nativo | Opção binária de bloquear ou liberar todo o ICMP |
| Delegação DHCPv6-PD | Suporte na interface WAN e roteamento interno | Suporte exclusivo a IP estático manual na borda |
| Licenciamento de Módulos | Licença única para ambos os protocolos | Cobrança adicional por recursos v6 ou usuários v6 |
| Visibilidade de Logs | Registros com campo completo de 128 bits | Truncamento de endereços v6 em ferramentas de SIEM |
Precisa de ajuda?
Se a sua empresa precisa auditar o suporte a IPv6 do parque atual de firewalls ou busca apoio de engenharia independente para selecionar novos equipamentos, entre em contato pela página de contato para uma consultoria técnica especializada.
Fontes
- https://csrc.nist.gov/publications/detail/sp/800-119/final — NIST Special Publication 800-119: Guidelines for the Secure Deployment of IPv6. (consultado em 2026-10-05)
- https://www.ipv6ready.org/ — IPv6 Ready Logo Program Conformance and Interoperability Test Specifications. (consultado em 2026-10-05)