IPv6

IPv4 ist mit rund 4,3 Milliarden Adressen erschöpft, weshalb sich hinter einer öffentlichen Adresse heute oft viele Geräte per NAT verbergen. IPv6 beendet diese Knappheit: Ein einzelnes Standardsubnetz (/64) fasst mehr Adressen, als IPv4 insgesamt kennt.

Der eigentliche Unterschied liegt aber im Modell. IPv6 stellt die direkte Erreichbarkeit zwischen Endpunkten wieder her, vereinfacht die Autokonfiguration und macht das früher allgegenwärtige NAT entbehrlich. Das verlangt allerdings ein bewusstes Sicherheitskonzept, denn die Hosts sind nun grundsätzlich adressierbar.

Eine IPv6-Adresse besteht aus acht Gruppen vierstelliger Hexadezimalzahlen, getrennt durch Doppelpunkte, etwa 2001:0db8:85a3:0000:0000:8a2e:0370:7334. Führende Nullen einer Gruppe dürfen entfallen, und eine einzige zusammenhängende Folge von Nullgruppen lässt sich einmal pro Adresse mit :: abkürzen.

Die Adresse teilt sich in einen Netzpräfix und eine Interface-ID. Das übliche Subnetz ist /64, also 64 Bit Präfix und 64 Bit Interface-ID. Diese feste Größe ist Voraussetzung für die Autokonfiguration per SLAAC.

Die Adressauflösung übernimmt nicht mehr ARP, sondern das Neighbor Discovery Protocol über ICMPv6. Es bündelt mehrere Aufgaben in fünf Nachrichtentypen: Router Solicitation und Router Advertisement für die Router- und Präfixfindung, Neighbor Solicitation und Neighbor Advertisement für die Adressauflösung sowie Redirect. Vor Inbetriebnahme einer Adresse prüft ein Host mit der Duplicate Address Detection, ob sie im Segment schon vergeben ist.

IPv6 kann Adressen ohne DHCP-Server vergeben. Bei SLAAC kündigt der Router per Router Advertisement das Präfix an, der Host bildet daraus mit einer Interface-ID seine Adresse. Zwei Flags im RA steuern den Modus: das M-Flag verweist auf eine vollständige Adressvergabe per DHCPv6 (stateful), das O-Flag auf zusätzliche Parameter wie DNS per DHCPv6 (stateless). DNS-Server lassen sich auch direkt im RA mitgeben (RDNSS).

Die Interface-ID stammte ursprünglich aus der MAC-Adresse (EUI-64), was Geräte über Netze hinweg verfolgbar machte. Moderne Systeme nutzen stattdessen stabile, aber undurchsichtige IDs und zusätzlich temporäre Adressen (Privacy Extensions), die regelmäßig wechseln. Für Server und Management ist das unpraktisch, weil eine stabile Adresse zum Protokollieren fehlt; dort sind feste Adressen oder DHCPv6 mit Logging die bessere Wahl.

Der IPv6-Basisheader ist mit 40 Byte fest und schlank; optionale Funktionen wandern in angehängte Extension Header. Anders als bei IPv4 fragmentieren Router unterwegs nicht mehr, das übernimmt allein der Absender. Die Mindest-MTU beträgt 1280 Byte.

Daraus folgt eine wichtige Betriebsregel: Path MTU Discovery muss funktionieren. Findet ein Paket keinen Weg, schickt ein Router eine ICMPv6-Nachricht „Packet Too Big“ zurück, woraufhin der Absender kleiner sendet. Wer ICMPv6 pauschal in der Firewall blockt, zerstört diesen Mechanismus: Der TCP-Handshake gelingt, aber die Verbindung hängt bei größeren Paketen. ICMPv6 darf nicht pauschal gefiltert werden.

IPv6 ist ohne NAT gedacht: Jedes Gerät kann eine global gültige Adresse tragen, die direkte Erreichbarkeit ist wieder Normalfall. Den Schutz übernimmt nicht mehr die Adressumschreibung, sondern eine zustandsbehaftete Firewall. Für den seltenen Fall, dass ein Präfix dennoch übersetzt werden soll, etwa für Provider-Unabhängigkeit, gibt es NPTv6, eine zustandslose 1:1-Präfixübersetzung mit experimentellem Status. Ein Sicherheitsersatz für eine Firewall ist auch sie nicht.

In der Übergangsphase laufen IPv4 und IPv6 parallel (Dual Stack). Damit die Wahl zwischen beiden für Nutzer unsichtbar bleibt, fragt ein Client nach dem Verfahren Happy Eyeballs beide Adressfamilien gleichzeitig ab und startet die Verbindung mit der, die zuerst antwortet, mit Vorrang für IPv6 und schnellem Rückfall auf IPv4. So gibt es keine spürbaren Verzögerungen, wenn ein Pfad klemmt.

IPv6 ist nicht unsicherer als IPv4, aber es hat eigene Stolpersteine, die in gemischten Netzen gern übersehen werden: