IPv6 Schritt für Schritt ins Firmennetz bringen

Ausgangslage: Dual Stack als Normalfall

Dual Stack heißt, dass Geräte gleichzeitig eine IPv4- und eine IPv6-Adresse haben und beide Protokolle parallel nutzen. Welche Verbindung tatsächlich aufgebaut wird, entscheiden Betriebssystem und Anwendung. Nach der Standardrichtlinie aus RFC 6724 bevorzugen Hosts IPv6, wenn für ein Ziel beide Adressen vorliegen.

Happy Eyeballs nach RFC 8305 sorgt dafür, dass Anwendungen nicht hängen, wenn IPv6 gestört ist. Der Client startet zuerst eine IPv6-Verbindung und versucht es nach einer kurzen Verzögerung parallel über IPv4; das RFC empfiehlt 250 Millisekunden als Standardwert. Für Nutzer ist das bequem, für den Betrieb tückisch, denn ein defektes IPv6 erzeugt keine Fehlermeldung, sondern nur leicht verzögerte Verbindungen.

IPv6 only ist ein Sonderfall für Segmente, in denen alle Systeme und Ziele IPv6 beherrschen, oder in denen ein Übersetzungsmechanismus wie NAT64 mit DNS64 IPv4-Ziele erreichbar macht. Für die Einführung im ganzen Unternehmen ist Dual Stack der Weg, weil er Altanwendungen nicht blockiert.

IPv6 abzuschalten ist keine Abkürzung. Microsoft rät davon ab, IPv6 unter Windows zu deaktivieren, weil Windows mit aktiviertem IPv6 getestet wird und Komponenten davon abhängen; wer IPv4 bevorzugen will, soll stattdessen die Präfixrichtlinie ändern.

Was du vom Provider klären musst, bevor der Plan entsteht

Der Adressplan hängt an Antworten des Providers. Viele Probleme späterer Etappen entstehen, weil diese Fragen nicht gestellt wurden und das Präfix kleiner oder unbeständiger ist als angenommen.

Kern und Routing: die ersten Zeilen Konfiguration

Auf Cisco IOS XE ist IPv6-Routing ein eigener globaler Schalter. Ohne ipv6 unicast-routing hat ein Router zwar Adressen auf den Interfaces, leitet aber keine IPv6-Pakete weiter und verschickt keine Router Advertisements.

Für Transfernetze zwischen Routern empfiehlt RFC 6164 ein /127. Plane dafür trotzdem ein /64 je Strecke im Adressplan ein, damit die Struktur einheitlich bleibt. Loopbacks bekommen /128 aus einem eigenen Block, OSPFv3 nutzt dabei weiterhin eine 32-Bit-Router-ID, die du am einfachsten von der IPv4-Loopback übernimmst.

ipv6 unicast-routing
!
interface Loopback0
 ipv6 address 2001:db8:4ac:ff00::1/128
 ospfv3 1 ipv6 area 0
!
interface TenGigabitEthernet1/1/1
 description Transfer zu CORE-02
 ipv6 address 2001:db8:4ac:f001::2/127
 ospfv3 1 ipv6 area 0
!
router ospfv3 1
 router-id 10.255.0.1
 address-family ipv6 unicast
 exit-address-family
!
! Prüfen
show ipv6 route ospf
show ospfv3 neighbor

Die Firewall gleichwertig zu IPv4 machen

Der häufigste Sicherheitsfehler bei der IPv6-Einführung ist eine Firewall, die IPv6 anders behandelt als IPv4. Manche Regelwerke erlauben IPv6 komplett, weil es niemand konfiguriert hat, andere blocken ICMPv6 pauschal, weil man es bei IPv4 auch so gemacht hat. Beides ist falsch.

ICMPv6 ist für IPv6 unverzichtbar. Neighbor Discovery, also das Gegenstück zu ARP, läuft darüber, und ohne Packet Too Big funktioniert die Path-MTU-Discovery nicht, weil Router IPv6-Pakete nicht fragmentieren. RFC 4890 gibt Empfehlungen, welche ICMPv6-Typen eine Firewall durchlassen sollte. Wer Packet Too Big blockt, erlebt Verbindungen, die bei kleinen Paketen funktionieren und bei großen hängen, etwa ein TLS-Handshake, der nie fertig wird.

Unter Linux lohnt sich die Tabellenfamilie inet in nftables, weil eine einzige Regelbasis dann für IPv4 und IPv6 gilt. Das verhindert die klassische Lücke, dass iptables gepflegt ist und ip6tables leer bleibt.

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    ct state invalid drop
    iif lo accept

    # ICMPv6, ohne das IPv6 nicht funktioniert
    icmpv6 type { destination-unreachable, packet-too-big, time-exceeded,
                  parameter-problem, echo-request, nd-router-advert,
                  nd-neighbor-solicit, nd-neighbor-advert } accept
    icmp type { destination-unreachable, time-exceeded, echo-request } accept

    # SSH nur aus dem Management-Netz, für beide Protokolle
    ip  saddr 10.12.10.0/24          tcp dport 22 accept
    ip6 saddr 2001:db8:4ac:f010::/64 tcp dport 22 accept
  }
}

Clients: SLAAC oder DHCPv6

Bei IPv6 kommt das Default-Gateway immer aus dem Router Advertisement, auch wenn Adressen per DHCPv6 vergeben werden. RFC 8415 sieht für DHCPv6 keine Option für den Standardrouter vor. Die Flags im Router Advertisement steuern, was Clients tun. Ist das M-Flag gesetzt, holen sie Adressen per DHCPv6. Ist nur das O-Flag gesetzt, bilden sie die Adresse per SLAAC nach RFC 4862 und holen weitere Informationen wie DNS-Server per DHCPv6.

SLAAC ist einfach und wird von allen Betriebssystemen unterstützt. DNS-Server kann das Router Advertisement nach RFC 8106 direkt mitliefern. Der Nachteil ist die Nachvollziehbarkeit: Clients bilden zusätzlich temporäre Adressen nach RFC 8981, die regelmäßig wechseln, und keine zentrale Stelle führt Buch darüber.

Zustandsbehaftetes DHCPv6 liefert ein Protokoll der Vergaben, ähnlich wie bei IPv4, wird aber nicht von jedem Betriebssystem für die Adressvergabe unterstützt. RFC 7934 empfiehlt außerdem, Hosts nicht auf eine einzige Adresse zu beschränken. Prüfe deshalb, welche Plattformen in deinem Netz hängen, bevor du dich festlegst.

RA Guard an jedem Access Port

RA Guard filtert Router Advertisements auf dem Switch. Nach RFC 6105 dürfen Ports, an denen Router hängen, Router Advertisements weiterleiten, Ports zu Endgeräten verwerfen sie. Das RFC nennt auch die Grenzen: RA Guard schützt nur, wenn aller Verkehr über kontrollierte Switches läuft, und bietet keinen Schutz für getunnelten Verkehr.

Auf Cisco IOS XE legst du dafür zwei Richtlinien an, eine mit der Rolle host für Access Ports und eine mit der Rolle router für Uplinks. Aktiviere RA Guard, bevor das erste Client-VLAN ein Präfix bekommt. Dann kann ein falsch konfigurierter Router oder ein Notebook mit aktivierter Internetfreigabe keine Clients umleiten.

ipv6 nd raguard policy ACCESS
 device-role host
!
ipv6 nd raguard policy UPLINK
 device-role router
!
interface range GigabitEthernet1/0/1 - 46
 ipv6 nd raguard attach-policy ACCESS
!
interface range TenGigabitEthernet1/1/1 - 2
 ipv6 nd raguard attach-policy UPLINK
!
! Gateway des Client-VLANs am Distribution-Switch
interface Vlan20
 ipv6 address 2001:db8:4ac:1020::1/64
 ipv6 nd other-config-flag
 ipv6 dhcp relay destination 2001:db8:4ac:f100::53

Prüfpunkte, an denen du eine Etappe abnimmst

Ein Prüfpunkt muss sich mit einem Befehl oder einem Blick ins Monitoring beantworten lassen. Die folgenden Prüfungen decken die häufigsten Lücken ab: kein Default-Gateway über IPv6, fehlende AAAA-Einträge, Dienste, die nur über IPv4 lauschen, und eine Firewall, die IPv6 still verwirft.

Teste immer ausdrücklich mit dem Protokoll, das du prüfen willst. Ein Aufruf ohne Option -6 kann über IPv4 erfolgreich sein und damit ein Problem verdecken. Unter Windows liefern Get-NetIPAddress und Test-NetConnection dieselben Informationen.

# Adressen und Gateway vom Router Advertisement
ip -6 addr show dev eth0
ip -6 route show default
rdisc6 eth0                      # aus dem Paket ndisc6

# DNS liefert AAAA?
dig AAAA intranet.example.internal +short

# Dienst über IPv6 erreichbar?
curl -6 -sI https://intranet.example.internal/ | head -n 1
ss -tlnp | grep ':443'           # lauscht der Dienst auf [::]:443?

# Pfad und MTU
tracepath -6 2001:db8:4ac:ff00::1

Häufige Fallen bei der Einführung

Die meisten Probleme nach einer IPv6-Einführung sind keine Protokollfehler, sondern Lücken in Betrieb und Sicherheit. Diese vier tauchen am häufigsten auf.

• Die vergessene IPv6-Firewall

  Hostfirewalls auf Servern, Regeln auf Load Balancern oder ACLs auf Switches existieren nur für IPv4. Ein Dienst, der über IPv4 auf das Management-Netz beschränkt ist, steht über IPv6 offen. Prüfe jede Regelbasis ausdrücklich auf IPv6-Gegenstücke.

• Temporäre Adressen in Logs

  Clients nutzen für ausgehende Verbindungen temporäre Adressen nach RFC 8981, die regelmäßig wechseln. In Proxy- oder Firewall-Logs lässt sich ein Gerät dann nur über den Neighbor-Cache der Router oder die Tabellen der Switches zuordnen. Sammle diese Daten, bevor du sie für eine Untersuchung brauchst.

• AAAA-Einträge vor funktionierendem Dienst

  Ein AAAA-Eintrag für einen Dienst, der über IPv6 nicht antwortet, verzögert jede Verbindung, weil Clients es zuerst über IPv6 versuchen. Lege AAAA-Einträge erst an, wenn der Dienst über IPv6 getestet ist.

• Unbemerkte Tunnel und Rogue-RAs

  Tunnelprotokolle und Router Advertisements von falsch konfigurierten Geräten öffnen Wege am Perimeter vorbei. Sperre ungenutzte Tunnelprotokolle an der Firewall und aktiviere RA Guard, bevor IPv6 offiziell eingeführt ist.