Mehr Adressen, eigene Regeln.
IPv6 erweitert IP-Adressen von 32 auf 128 Bit. Der größere Adressraum erleichtert es, viele Netze und Geräte eindeutig zu adressieren. IPv6 verändert außerdem die Nachbarerkennung und die automatische Konfiguration. Es ist deshalb mehr als IPv4 mit längeren Zahlen. Die IPv4-Grundlagen helfen beim Begriff „Präfix“; Broadcast und Hostformeln lassen sich jedoch nicht einfach übernehmen.
Ein Interface kann gleichzeitig eine Link-Local-Adresse, weitere stabile Adressen und zeitweise verwendete Adressen besitzen. Eine Adresse bezeichnet dabei eine Schnittstelle im jeweiligen Geltungsbereich, nicht dauerhaft „den einen Computer“.
Acht Blöcke ergeben 128 Bit.
Die vollständige Schreibweise besteht aus acht durch Doppelpunkte getrennten Blöcken. Jeder Block enthält vier Hexadezimalstellen, also 16 Bit: 8 × 16 = 128. Die Ziffern reichen von 0 bis 9 und a bis f. Groß- und Kleinschreibung ändern den Wert nicht; für eine einheitliche Ausgabe verwendet RFC 5952 Kleinbuchstaben.
Unser Beispiel lautet vollständig 2001:0db8:1234:0000:0000:0000:0000:0001. Entferne zuerst führende Nullen innerhalb jedes Blocks: 2001:db8:1234:0:0:0:0:1. Ersetze dann die längste zusammenhängende Folge ganzer Nullblöcke durch ::. Das Ergebnis ist 2001:db8:1234::1.
:: darf nur einmal vorkommen, sonst wäre die Anzahl der ausgelassenen Blöcke unklar. Beim Ausschreiben zählst du die sichtbaren Blöcke und ergänzt auf acht. Im Beispiel sind vier sichtbar; :: ersetzt vier Nullblöcke. RFC 5952 kürzt bei gleich langen Nullfolgen die erste und verwendet :: nicht für nur einen Nullblock. Nullen am Ende eines nicht leeren Blocks darfst du nicht streichen: 1200 ist nicht 12.
Das Präfix beschreibt die linken Bits.
2001:db8:1234::/48 legt die ersten 48 Bit fest, also drei vollständige Blöcke. Ein beispielhaftes LAN darin ist 2001:db8:1234:1::/64. Zwischen /48 und /64 liegen 16 Bit: rechnerisch lassen sich 65.536 /64-Präfixe bilden. Im LAN bezeichnet etwa 2001:db8:1234:1::42/64 eine Schnittstellenadresse mit diesem Präfix.
Für gewöhnliches SLAAC auf Ethernet ist /64 die maßgebliche Präfixlänge: 64 Bit Präfix und 64 Bit Interface Identifier. Daraus folgt weder, dass jede IPv6-Route /64 sein muss, noch dass alle übrigen Bitkombinationen normale Hostadressen sind. Es gibt keinen IPv6-Subnetzbroadcast und keine pauschale IPv4-Rechnung mit „minus zwei“.
Diese Adressen sind Dokumentation. 2001:db8::/32 ist nach RFC 3849 für Beispiele reserviert. RFC 9637 ergänzt 3fff::/20. Beide sind keine produktiv zu vergebenden Internetpräfixe. Ein Betrieb verwendet tatsächlich zugeteilte Präfixe oder passend geplante lokale Adressen.
Der Geltungsbereich gehört zur Adresse.
Unicast: eine Schnittstelle erreichen
Global Unicast (GUA) dient der globalen Adressierung. Der aktuell von IANA dafür zugeteilte Bereich liegt in 2000::/3; darin existieren auch reservierte Sonderbereiche wie unsere Dokumentationsadressen. Ein Präfix allein garantiert weder öffentliche Erreichbarkeit noch eine Firewallfreigabe.
Link-Local hat den Typpräfix fe80::/10; die definierte Adressstruktur setzt die folgenden 54 Bit auf null und verwendet danach einen 64-Bit-Identifier. Eine solche Adresse gilt nur auf dem jeweiligen Link und wird von Routern nicht auf andere Links weitergeleitet. Bei einer Angabe wie fe80::1%eth0 bezeichnet die Zone das lokale Interface, über das dieses Ziel gemeint ist.
Unique Local Addresses (ULA) liegen in fc00::/7. Für lokal erzeugte Präfixe wird das L-Bit gesetzt, daher beginnen sie mit fd. Ein zufällig erzeugter 40-Bit-Global-ID-Teil bildet zusammen mit diesem Anfang ein /48; die Zufälligkeit reduziert Kollisionen beim Zusammenschalten von Netzen. ULA können intern geroutet werden, sind aber nicht für globale Internetweiterleitung vorgesehen. Sie sind kein automatischer Sicherheitsfilter.
Multicast und Anycast
Multicast erreicht eine Gruppe; der Typpräfix ist ff00::/8. Der Scope begrenzt die Reichweite. ff02::1 adressiert alle IPv6-Knoten auf dem Link, ff02::2 die Router dort. IPv6 besitzt keinen Broadcast; für viele Kontrollaufgaben werden gezielte Multicastgruppen eingesetzt.
Anycast verwendet eine Adresse aus dem Unicast-Adressraum an mehreren Schnittstellen. Das Routing führt ein Paket zu einer davon, nach seinem Routingmaßstab nahe, nicht zwingend geografisch am nächsten. Anycast erkennt man deshalb nicht an einem eigenen Anfang der Adresse. Ergänzend sind ::1 der lokale Loopback und :: die nicht spezifizierte Adresse, beispielsweise als Quelle während bestimmter Konfigurationsschritte.
Router finden, Adressen bilden, Konflikte prüfen.
Neighbor Discovery (NDP) verwendet ICMPv6. Es findet Nachbarn und Router, ermittelt auf Ethernet deren Link-Layer-Adressen und prüft Erreichbarkeit. Es übernimmt damit unter anderem die Aufgabe, für die IPv4 ARP nutzt. Router senden Router Advertisements (RA); ein Host kann sie mit einer Router Solicitation früher anfordern.
Ein RA kann Präfixinformationen und Lebensdauern übermitteln. Das A-Flag erlaubt im gewöhnlichen SLAAC-Fall die autonome Adressbildung aus einem geeigneten Präfix. Das L-Flag beschreibt getrennt davon die On-Link-Eigenschaft. Ein als Standardrouter nutzbarer Absender wird über die Router-Lifetime des RA gelernt, nicht dadurch, dass irgendein Präfix angekündigt wurde.
Bei SLAAC bildet der Host den Interface Identifier selbst. Er muss ihn nicht aus der MAC-Adresse ableiten: RFC 8064 empfiehlt für stabile Adressen ein Verfahren ohne eingebettete stabile Link-Layer-Adresse. Datenschutzverfahren können zusätzlich temporäre Adressen bilden.
Duplicate Address Detection (DAD) prüft eine vorläufige Unicast-Adresse mit Neighbor-Solicitation-Nachrichten auf dem lokalen Link. Erkennt der Host eine Dublette, darf er diese Adresse nicht regulär verwenden. Ohne erkannten Konflikt wird sie entsprechend ihren Lebensdauern nutzbar; das beweist weder weltweite Eindeutigkeit noch Internetzugang. DAD betrifft grundsätzlich auch auf anderem Weg konfigurierte Unicast-Adressen. Enhanced DAD nach RFC 7527 berücksichtigt unter anderem zurückgespiegelte eigene Prüfmeldungen.
Das aktuelle DHCPv6 nach RFC 9915 kann Adressen zustandsbehaftet vergeben, zusätzliche Parameter liefern oder Präfixe delegieren. SLAAC und DHCPv6 können zusammenarbeiten. M- und O-Flags im RA geben Hinweise zu verwalteter Adressvergabe und weiterer Konfiguration; die Unterstützung hängt auch vom Client ab. DNS-Server können aus DHCPv6 oder über RA-Optionen nach RFC 8106 kommen. Der automatisch gelernte Standardrouter kommt aus RA, nicht aus der üblichen DHCPv6-Adressvergabe. Manuelle Konfiguration ist ebenfalls möglich.
Ein aktueller Sonderfall ist das P-Flag nach RFC 9762: Für unterstützende Clients kann ein Präfix auf das Modell mit DHCPv6-Präfixdelegation statt einzelner SLAAC-Adressen hinweisen und dabei das A-Flag übersteuern. Unsere Grafik zeigt ausdrücklich den gewöhnlichen SLAAC-Fall ohne diesen Sonderfall. Den klassischen IPv4-Ablauf erklärt der DHCP-Artikel.
Dual Stack und Pakettransport auseinanderhalten.
Im Dual Stack laufen IPv4 und IPv6 nebeneinander. Eine Anwendung kann über DNS A- und AAAA-Ergebnisse erhalten und eine erreichbare Verbindung auswählen. Ein funktionierender IPv4-Zugang beweist daher nicht, dass IPv6 richtig konfiguriert ist. Eine IPv6-Adresse übersetzt IPv4 auch nicht automatisch.
Der IPv6-Basisheader ist 40 Byte lang. Zusatzfunktionen liegen gegebenenfalls in Erweiterungsheadern. Das Hop Limit begrenzt die Routerhops: Jeder weiterleitende Router vermindert es; bei Erschöpfung wird das Paket verworfen. Bei normaler Weiterleitung bleibt die IP-Zieladresse gleich, während sich die Link-Layer-Zustellung pro Link ändert. Das erklärt der Routing-Artikel ausführlicher.
Router fragmentieren IPv6-Pakete unterwegs nicht. Ein zu großes Paket kann eine ICMPv6-Meldung „Packet Too Big“ auslösen; der Absender passt die Paketgröße an und kann bei Bedarf selbst fragmentieren. ICMPv6 ist deshalb mehr als Ping. Pauschales Blockieren kann NDP und die Pfad-MTU-Ermittlung beschädigen. Filter müssen notwendige Kontrollmeldungen berücksichtigen. Die Aktualisierung RFC 9673 präzisiert die Verarbeitung von Hop-by-Hop-Optionen; sie ändert diese Grundlagen nicht.
Bei der Diagnose Adresse, Route und DNS trennen.
Nur eine Link-Local-Adresse zu sehen ist noch kein vollständiger Fehlerbefund: Sie ermöglicht lokale IPv6-Kommunikation, garantiert aber keine Route ins Internet. Prüfe anschließend RA-Empfang und Standardroute, die Präfix- und Adresslebensdauern sowie die Nachbarerkennung. Eine als „tentative“ oder doppelt markierte Adresse verlangt eine andere Untersuchung als eine fehlende DNS-Antwort.
Häufige Denkfehler sind zwei :: in einer Adresse, das Kürzen von Endnullen, ULA als weltweit erreichbare Adresse, ein vermeintlich von DHCPv6 geliefertes Gateway und eine Firewall, die sämtliches ICMPv6 sperrt. Prüfe IPv4 und IPv6 getrennt; teste bei Link-Local-Zielen das richtige Interface.
Schreibweise und Bedeutung selbst prüfen.
Aufgabe 1: Kürze 2001:0db8:0000:0000:0001:0000:0000:0001 kanonisch. Schreibe anschließend 2001:db8:abcd::7 vollständig aus.
Lösung: Nullfolgen zählen
Die erste Adresse wird 2001:db8::1:0:0:1. Beide Nullfolgen haben zwei Blöcke; deshalb wird die erste gekürzt. Die zweite Adresse lautet 2001:0db8:abcd:0000:0000:0000:0000:0007: Vier sichtbare Blöcke lassen vier Nullblöcke übrig. Beide Umformungen verändern keinen Bitwert.
Aufgabe 2: Ordne fe80::5, fd12:3456:789a:1::5 und ff02::1 ein. Gehört 2001:db8:1234:abcd::5 zum Präfix 2001:db8:1234::/48? Ein Client hat eine DHCPv6-Adresse, aber keine Standardroute. Reicht eine neue DHCPv6-Lease als Erklärung oder Lösung?
Lösung: Scope, Präfix und Router trennen
Die Werte sind Link-Local-Unicast, eine beispielhafte lokal erzeugte ULA und All-Nodes-Multicast auf dem Link. Beim /48 stimmen die ersten drei Blöcke überein, also gehört die Dokumentationsadresse dazu. DHCPv6-Adressvergabe und Standardroutererkennung sind getrennt. Prüfe RA und dessen Router-Lifetime sowie lokale Richtlinien; eine erneute Adressvergabe liefert nicht automatisch einen Standardrouter.
Quellen und fachlicher Stand.
Geprüft am . Eigene Beispiele und Grafiken; Dokumentationsadressen sind ausdrücklich keine produktiven Zuteilungen.
- RFC 4291 und RFC 5952: Adressarchitektur und kanonische Schreibweise.
- IANA: Global Unicast, RFC 4193, RFC 3849 und RFC 9637: globale, lokale und Dokumentationspräfixe.
- RFC 4861, RFC 4862, RFC 7527 und RFC 9762: NDP, SLAAC, DAD und P-Flag.
- RFC 8064, RFC 8106 und RFC 9915 / STD 102: Interface Identifier, DNS per RA und aktuelles DHCPv6.
- RFC 8200, RFC 9673 und RFC 8504: IPv6-Transport und Knotenanforderungen.