6in4 (auch „IPv6-in-IPv4" oder konfigurierter Tunnel) kapselt IPv6-Pakete vollständig in IPv4-Pakete mit der Protokollnummer 41 — im Gegensatz zu 6to4 werden die Tunnel-Endpunkte dabei manuell an beiden Seiten konfiguriert. Die Grundlage bildet RFC 4213 (Basic Transition Mechanisms). Weil beide Endpunkte fest eingetragen werden, ist 6in4 vorhersagbar und stabil — anders als die automatisch ermittelten Relays von 6to4, die 2015 per RFC 7526 abgewertet wurden.
Einsatz
Typisch ist der Betrieb über einen Tunnel-Broker: Dienste wie Hurricane Electric (tunnelbroker.net) stellen registrierten Nutzern kostenlos einen festen Gegen-Endpunkt (Server-Adresse) und ein eigenes IPv6-Präfix zur Verfügung. Der eigene Router oder Server bekommt dann ein Tunnel-Interface (Linux: sit- oder ip6tnl-Gerät), über das der gesamte IPv6-Verkehr zum Broker und von dort ins IPv6-Internet läuft.
Grenzen
Weil Protokoll 41 direkt im IP-Header läuft, blockieren viele NAT-Router und restriktive Firewalls den Verkehr — hinter solchen Geräten scheitert 6in4. Wer IPv6 aus einem NAT-Netz erreichen will, braucht stattdessen UDP-basierte Verfahren wie Teredo. Zudem ist 6in4 reine Kapselung ohne Verschlüsselung; geschützt wird bei Bedarf zusätzlich per IPsec.