Usted habilita IPv6 para “estar actualizado”: un clic en el panel DNS, se agrega un registro AAAA y el sitio desaparece para un puñado de visitantes, especialmente aquellos cuyo ISP desvía v6 incorrectamente o cuyo móvil cambia entre las dos pilas. El soporte recibe tickets de “sitio inaccesible” que son imposibles de reproducir desde su oficina, donde todo sigue funcionando en IPv4.
El problema no es el IPv6 en sí. Esto es publicar un AAAA sin alinear servidor, firewall, TLS y enrutamiento con la misma calidad de servicio que en IPv4.
Happy Eyeballs: por qué duele un AAAA mal configurado
Los clientes modernos no eligen "IPv4 o IPv6" de una vez por todas. Lanzan ambos intentos, con retrasos en la retirada. Si su AAAA apunta a una IP donde no hay nada escuchando, o donde el firewall cae silenciosamente, el usuario espera (a veces varios segundos) antes de volver a IPv4.
| Síntoma | Causa común | Verificación |
|---|---|---|
| Carga muy lenta en el primer acceso | Tiempo de espera de IPv6 y luego respaldo de IPv4 | curl -6 -v https://tudominio.tld |
| Página en blanco para algunos ISP | AAAA a IP no configurada | Prueba desde una red solo IPv6 |
| Contenido mixto o bucle de redireccionamiento | Vhost no administra la dirección v6 | nginx/Apache inicia sesión [::]:443 |
| Correo electrónico rechazado | Sin PTR/SPF, incluida la versión 6 | excavar AAAA + registros SPF |
Una AAAA válida en DNS no garantiza un servicio IPv6 válido, solo que el solucionador devolverá una dirección.
Lista de verificación antes de la publicación
1. Dirección IPv6 asignada y enrutada. En VPS o en la nube, IPv6 no siempre está habilitado de forma predeterminada. Verifique la interfaz (ip -6 addr), puerta de enlace y posible facturación.
2. Escucha web en [::]:80 y [::]:443. Nginx, Apache o Caddy deben escuchar explícitamente en doble pila o solo en IPv6, según su elección. Un listen 443 ssl sin [::] deja IPv6 huérfano.
3. Firewall y grupos de seguridad. Abre los mismos puertos que en IPv4. En iptables/nftables, las reglas de IPv4 no se aplican a IPv6; necesita un conjunto ip6tables o reglas dedicadas.
4. Certificado TLS y cadena completa. El certificado está vinculado al nombre, no a la pila, pero el protocolo de enlace debe realizarse correctamente en la dirección v6. Pruebe con openssl s_client -connect [2001:db8::1]:443.
5. CDN y proxy. Cloudflare, Fastly o un balanceador de carga en la nube deben tener IPv6 habilitado en el borde y el lado de origen. Un proxy solo IPv4 frente a un origen v6 crea áreas grises.
Despliegue gradual
En lugar de una gran explosión:
- Pruebe localmente a través de
/etc/hostsocurl --resolve example.tld:443:[2001:db8::1]. - Publica con TTL corto (300 segundos) para regresar rápidamente.
- Supervisar los registros de errores v6 y las métricas de tiempo de espera en el lado CDN.
- Elimine AAAA si la tasa de fallas de v6 excede su umbral; es mejor no usar v6 que v6 roto.
Algunos hosts compartidos ofrecen IPv6 como opción o solo en determinadas ofertas. Consulta la ficha del producto antes de cambiar el DNS público.
Arriba: IPv6 no es obligatorio: un AAAA roto, si
No permita que el registrador marque una casilla de forma predeterminada.
Decide y avanza sin puntos ciegos
- Audite la pila completa (servidor, FW, TLS, CDN) antes de cualquier registro AAAA.
- Prueba desde una red solo v6, no solo desde tu caja de doble pila.
- Documentar quién desactiva AAAA en caso de incidente (procedimiento de reversión de DNS).
- Compare hosts que documenten claramente la compatibilidad con IPv6 en nuestro directorio.
Preguntas frecuentes
¿Puedo agregar un AAAA si mi host solo ofrece IPv4?
No, a menos que funcione IPv6 en el lado del servidor, el equilibrador de carga y el firewall.
¿Por qué algunos usuarios ven el sitio en IPv4 y otros fallan?
Happy Eyeballs: si se agota el tiempo de espera de IPv6, el respaldo de IPv4 retrasa la visualización o falla según la red.
¿Necesito un certificado TLS independiente para IPv6?
No, pero el vhost debe aceptar conexiones en la dirección IPv6.
¿Cómo realizar la prueba antes de publicar el registro AAAA?
curl --resolve, pruebas solo IPv6, verificación PTR/SPF si envía correo.
Antes de agregar una AAAA, hágase solo una pregunta: ¿IPv6 funciona tan bien para mí como IPv4? Si la respuesta no es sí, no publique todavía.