Protocolo ICMPv6: implicancias técnicas del filtrado

Resumen

El presente trabajo analiza las implicancias técnicas y operativas del filtrado del protocolo ICMPv6 en redes modernas basadas en IPv6, desmitificando prácticas heredadas del entorno IPv4 que aún persisten en la actualidad. Históricamente, el bloqueo generalizado de ICMP surgió como una respuesta a vulnerabilidades y ataques en redes IPv4; sin embargo, este enfoque resulta inadecuado en el contexto de IPv6, donde ICMPv6 cumple un rol estructural esencial en el funcionamiento de la red. En este estudio se examinan las diferencias fundamentales entre ICMPv4 e ICMPv6, destacando cómo este último integra funciones críticas como el descubrimiento de vecinos mediante el protocolo NDP, la autoconfiguración de direcciones (SLAAC) y la detección del tamaño máximo de transmisión (MTU). A diferencia de IPv4, donde ciertos mecanismos eran auxiliares, en IPv6 estos procesos dependen directamente de ICMPv6, lo que convierte su correcto tratamiento en un aspecto clave para la estabilidad y operatividad de la red. Desde una perspectiva experimental, se diseñó e implementó un entorno de pruebas basado en Containerlab que simula una red corporativa, permitiendo evaluar distintos escenarios de ataque y políticas de filtrado. Para ello, se consideraron lineamientos establecidos en diversas RFCs, particularmente aquellas relacionadas con modelos de confianza en Neighbor Discovery y recomendaciones de filtrado seguro. A través del uso de herramientas especializadas, como el toolkit THC IPv6, se analizaron vectores de ataque y su impacto en la infraestructura. Los resultados obtenidos evidencian que el bloqueo indiscriminado de ICMPv6 genera fallas críticas, tales como la interrupción de procesos de autoconfiguración, errores en la resolución de direcciones, problemas en la detección de MTU y dificultades en la identificación de direcciones duplicadas. En contraste, la implementación de mecanismos de filtrado selectivo —basados en tipos y códigos específicos de mensajes— junto con técnicas como RA Guard, ND Snooping, DHCPv6 Guard y limitación de tasa, permite mitigar amenazas sin comprometer la funcionalidad de la red.