Mimo, że listy ACL w protokołach IPv4 i IPv6 są bardzo podobne, występują trzy istotne różnice między nimi.
- Stosowanie ACL IPv6
Pierwszą różnicą jest komenda, używana do przypisania listy ACL IPv6 do interfejsu. W protokole IPv4, aby przypisać listę ACL do interfejsu, należy użyć komendy ip access-group . IPv6 używa do tego celu komendy ipv6 traffic-filter .
- Brak masek blankietowych
W przeciwieństwie do ACL IPv4, w listach ACL IPv6 nie używa się masek blankietowych. Zamiast tego używana jest długość prefiksu, która określa, w jakiej części adres źródłowy lub docelowy IPv6 będzie dopasowany.
- Dodatkowe reguły domyślne
Ostatnią główną różnicą jest dodanie dwóch niejawnych wpisów zezwalających na końcu każdej listy ACL IPv6. Przypomnijmy, że na końcu każdej standardowej lub rozszerzonej listy ACL IPv4 znajduje się niejawna sekwencja deny any lub deny any any. Analogicznie, IPv6 posiada sekwencję deny ipv6 any any na końcu każdej listy ACL. W odróżnieniu od IPv4, IPv6 posiada dwa niejawne dodatkowe wpisy, które domyślnie mają postać:
- permit icmp any any nd-na
- permit icmp any any nd-ns
Powyższe dwa wpisy pozwalają routerowi na wymianę pewnych informacji, analogicznych do procesu ARP w IPv4. Jak pamiętamy, protokół ARP używany jest do odwzorowania adresów warstwy 3 na adresy MAC warstwy 2. IPv6 używa w tym celu komunikatów ICMP Neighbor Discovery (ND), co pokazano na rysunku. ND z kolei używa komunikatów Neighbor Solicitation (NS) oraz Neighbor Advertisement (NA).
Komunikaty ND enkapsulowane są w pakiety IPv6 i wymagają do działania usług warstwy sieciowej IPv6, podczas gdy ARP dla IPv4 nie korzysta w ogóle z warstwy 3. Ponieważ IPv6 wymaga warstwy 3 do wykrywania sąsiadów, listy ACL IPv6 muszą domyślnie zezwalać na wysyłanie i odbieranie pakietów ND na interfejsie. W szczególności muszą być przepuszczane komunikaty Neighbor Discovery - Neighbor Advertisement (nd-na) oraz Neighbor Discovery - Neighbor Solicitation (nd-ns).