Ainda estou pensando nos pontos mais delicados do IPv6. Simplesmente não tem sido uma prioridade mexer muito com isso e eu não tinha interesse pessoal até meu último pequeno projeto. No entanto, uma coisa que li várias vezes é usar o IP local do link do gateway ao configurar um gateway para clientes. Buuut... isso me parece problemático...
Por exemplo, suponha que eu tenha um cliente e um gateway, cada um com IPs v6 globalmente roteáveis na mesma sub-rede no lado da LAN. Eu configuro o cliente para usar o IP local do link do gateway como gateway para o tráfego IPv6 de acordo com a recomendação comum.
O tráfego vinculado à Internet de clientes lan sempre usará seus IPs unicast globais como o ip de origem, mesmo com o gateway do cliente sendo configurado para um ip local de link? Isso é importante porque configurarei o snort usando nfqueue e precisarei configurá-lo com os intervalos de IP que ele precisa proteger. E eu prefiro não consumir ciclos de CPU e memória no tráfego de link local que não é uma ameaça. Mas também não quero introduzir uma falha de segurança que possa ignorar o snort.
Contexto
Deixe-me explicar, brevemente, minha configuração. Eu tenho um pequeno computador ITX rodando Arch linux em um antigo Intel Atom D525 configurado como gateway da minha rede. Ele tem duas portas Ethernet identificadas como lane wanno sistema operacional. Ambos lane wansão dual-stack com IPs v6 e v4 globalmente roteáveis no lado wan. Ambas as pilhas wan ip são IPs atribuídos automaticamente pelo meu ISP (DHCP e RA). Todos os clientes lan, bem como a interface lan do gateway, têm IPs v6 globalmente roteáveis, bem como IPs v4 privados (rfc1918). Eu implementei um firewall baseado em netfilter protegendo o lan e o gw do lado wan para IPv6 e IPv4.
Um ponto de interesse é que estou usando o Stateful DHCPv6 em minha lan para atribuir os IPs v6 globalmente roteáveis. O daemon DHCPv6 (ISC DHCPd) está no gateway e faz uso de um prefixo v6 também atribuído automaticamente pelo meu ISP. Ainda uso anúncios de roteador para atribuir um endereço de gateway v6 aos clientes, mas essa é a única coisa atribuída via RA. Todo o resto é tratado via DHCPv6 com pools de endereços e até mesmo algumas atribuições de IP estático.
Obviamente, existem IPs v6 de link local para cada cliente e cada interface Ethernet no gateway também.
Os pacotes sempre conterão os endereços de origem e destino dos endpoints. A única maneira de usar os endereços do gateway ou do próximo salto é procurar o endereço MAC da camada 2 para o qual encaminhar o pacote. Eles não influenciam em nada na camada 3 do pacote.