Van belofte naar basisdienst

Jarenlang was IPv6 het protocol dat "er zeker aan komt". Nu, in 2025, zijn we op een punt beland waarop je het eigenlijk niet meer kunt negeren — ook als thuisgebruiker. Wereldwijd haalt IPv6 momenteel een adoptiegraad van 43 tot 48 procent, afhankelijk van hoe je meet: op basis van DNS-queries zit je aan 30,5 procent, op basis van serverrespons al aan 43,3 procent. Google's eigen meting, die louter kijkt naar IPv6-verkeer dat hun infrastructuur bereikt, schommelt rond de 43 tot 44 procent. Geen overweldigende meerderheid, maar wel een kantelmoment.

Hoe België er precies uithangt? Proximus en Telenet publiceren geen gedetailleerde adoptiecijfers voor de consumentenmarkt, maar ze zijn allebei actief op de IPv6 Council Belgium. De technische forums zijn ondertussen gevuld met mensen die hun prefix gewoon zien werken — en met mensen die zich afvragen waarom het bij hen nog steeds niet doet.

In de VS is Comcast het grote referentiepunt. Xfinity heeft zijn volledige residentieel netwerk op dual stack gezet: iedere klant krijgt automatisch zowel een IPv4- als een IPv6-adres. Meer dan 70 procent van de residentiële klanten is actief voorzien van IPv6-support, en meer dan 15 procent van het totale Comcast-internetverkeer loopt al over IPv6. Dat zijn benchmarks die de Belgische ISP's vooralsnog niet evenaren — maar de richting is dezelfde.

"Je router vraagt een prefix aan, de ISP delegeert een blok, en achter jouw modem liggen ineens 256 /64-subnetten voor het oprapen."

Prefix delegation: wat je router eigenlijk doet

Het grootste conceptuele verschil met IPv4 is dat je router bij IPv6 niet één IP-adres krijgt, maar een heel blok adressen — een prefix. Dat regelt DHCPv6 Prefix Delegation (DHCPv6-PD, RFC 3633). Het mechanisme werkt als volgt: je router stuurt een Solicit-bericht naar de ISP, die een Advertise teruggeeft met het aangeboden blok. Na een Request en Reply heeft je router een geleased prefix in handen en begint het dat intern te verdelen over /64-subnetten.

Telenet geeft modem-only klanten dus een /56 — goed voor 256 aparte LAN-subnetten. Gebruik je de Telenet-router zelf, dan krijg je een /60, wat neerkomt op 16 subnetten. Meer dan genoeg voor een doorsnee huishouden, maar je merkt de beperking zodra je VLANs wil opzetten voor IoT-devices, een homelab of een gasten-SSID. Proximus werkt op fiber met een /56 prefix voor de router en geeft devices via SLAAC een /64 op de WAN-interface — maar op het moment van schrijven is dat volledig geactiveerde IPv6-aanbod enkel beschikbaar voor zakelijke klanten met Pro+ of FullFiber Extended. Voor gewone privéklanten van Proximus is IPv6 nog steeds beperkt beschikbaar.

SLAAC en de adresregen op je eigen netwerk

Zodra je router een prefix in handen heeft, verdelen de toestellen op je LAN zichzelf een adres via SLAAC — Stateless Address Autoconfiguration (RFC 4862). Je router adverteert het prefix via Router Advertisement-berichten, en elk toestel construeert zijn eigen 128-bit adres door dat prefix te combineren met een interface identifier.

Die interface identifier kan op drie manieren worden gegenereerd. De klassieke methode is EUI-64: het MAC-adres van de netwerkkaart wordt uitgebreid met ff:fe in het midden. Handig voor beheer, maar privacy-gevoelig: je MAC is dan traceerbaar in je IPv6-adres. Moderne besturingssystemen gebruiken daarom standaard privacy extensions (RFC 4941): een willekeurig gegenereerde interface identifier die elke dag roteert. Windows, macOS, Linux en iOS doen dit automatisch. Je ziet daardoor per toestel meerdere actieve IPv6-adressen tegelijk — een tijdelijk "preferred" adres voor uitgaand verkeer, plus het stabiele adres voor inkomende verbindingen.

Dat roteert overigens niet altijd even soepel. Sommige routers met korte lease-tijden of instabiele RA-advertenties zorgen voor adressen die snel verlopen terwijl verbindingen nog actief zijn. Het is een bekend klachtenpatroon op forums van OPNsense- en pfSense-gebruikers met Telenet: de prefix renews prima, maar de toestellen hangen nog aan een oud tijdelijk adres. De oplossing is doorgaans een stabiel stable privacy-adres naast het roterende tijdelijke adres — wat RFC 7217 beschrijft.

Het firewallprobleem dat niemand je vertelt

IPv4 thuis had één groot voordeel dat we nooit expliciet hoefden in te stellen: NAT. Network Address Translation werkte als een impliciete firewall. Inkomende verbindingen die niet door je eigen toestel werden geïnitieerd, kwamen simpelweg nergens aan — er was geen publiek adres om naartoe te verbinden.

IPv6 heeft geen NAT nodig. Elk toestel op je netwerk krijgt een globaal routeerbaar IPv6-adres. Dat is de architecturele bedoeling: end-to-end connectiviteit zonder adresvertaling. Maar het betekent ook dat je thuislaptop, je NAS, je printer en je slimme thermostaat in principe direct bereikbaar zijn vanuit het publieke internet — tenzij je router een stateful IPv6-firewall inzet die inkomend ongewenst verkeer blokkeert.

De realiteit is dat sommige consumentenrouters dat standaard niet correct doen. Ze hebben ofwel geen IPv6-firewall, ofwel een onvolledige implementatie waarbij alleen bepaalde interfaces worden gefilterd. ISP-routers zijn wisselvallig: de Telenet-Sagemcom-boxen hebben een basisfilter, maar de Proximus B-Box was historisch gezien minder consistent. Gebruik je een eigen router zoals een Asus, TP-Link of een OPNsense-installatie, dan ben je zelf verantwoordelijk voor de regels.

De basisconfiguratie die je wil: een stateful IPv6-firewall die inbound verkeer blokkeert tenzij het een response is op een verbinding die jijzelf initieerde, plus expliciete regels voor diensten die je wil exposen (zoals een Wireguard-poort of een Nextcloud-instantie). ICMPv6 moet je deels doorlaten — Neighbor Discovery, Router Advertisement en Path MTU Discovery hebben dat nodig. Alles op poort 0–1023 inbound blokkeren tenzij expliciet geopend is een goed startpunt.

Veelgestelde vragen

Moet ik IPv6 aanzetten als mijn ISP het aanbiedt?

In principe wel. Je moderne besturingssystemen en apps prefereren IPv6 boven IPv4 als het beschikbaar is, en verbindingen naar dual-stack servers gaan vaak sneller omdat ze niet via CGNAT hoeven. Zorg alleen dat je router een IPv6-firewall heeft die inbound verkeer correct filtert.

Mijn Telenet-modem geeft een /60 in plaats van een /56. Is dat een probleem?

Hangt af van je gebruik. 16 /64-subnetten zijn voor de meeste huishoudens ruim voldoende. Wil je meer VLANs, dan schakel je over naar modem-only modus met je eigen router — die krijgt dan een /56 en heeft toegang tot 256 subnetten.

Verandert mijn IPv6-adres elke dag?

Je tijdelijke adres (voor uitgaand verkeer) roteert inderdaad, dankzij privacy extensions. Je stabiele adres blijft constant zolang je prefix hetzelfde blijft. Of je ISP-prefix zelf persistent is, hangt af van de lease-instelling: Telenet geeft doorgaans langere leases dan sommige andere ISP's.

Is IPv6 veiliger of onveiliger dan IPv4?

Noch het een, noch het ander — het is anders. IPv6 maakt NAT overbodig, wat de directe bereikbaarheid vergroot. Dat is een kwaliteit, maar vereist wel dat je firewall correct geconfigureerd is. De protocollen zelf zijn qua beveiliging gelijkwaardig; de risico's zitten in de implementatie en de standaardinstellingen van hardware en ISP's.

Proximus geeft mij nog geen IPv6. Wanneer komt dat?

Proximus rolt IPv6 gefaseerd uit. Op het moment van schrijven is volledig geactiveerd dual-stack voor consumenten nog niet universeel beschikbaar op het vaste netwerk. Via de IPv6 Council Belgium volg je de officiële voortgang het best — Proximus heeft er vertegenwoordigers die kwartaalupdates geven.