4.3 IPv6 – Aufbau und Subnetting

128 Bit in acht hexadezimalen Blöcken

Eine IPv6-Adresse besteht aus acht durch Doppelpunkte getrennten Blöcken. Ein solcher Block wird häufig Hextet genannt und enthält vier Hexadezimalstellen. Jede Hexadezimalstelle stellt vier Bit dar; ein Hextet besitzt damit 16 Bit. Acht Hextets ergeben 128 Bit.

Das Hexadezimalsystem verwendet die Zeichen 0 bis 9 sowie a bis f. Dabei steht a für dezimal 10, b für 11 bis f für 15. Die Groß- und Kleinschreibung ist technisch gleichwertig; für eine einheitliche Darstellung empfiehlt RFC 5952 Kleinbuchstaben.

IPv6-Adressen eindeutig kürzen

Innerhalb jedes Hextets dürfen führende Nullen entfernt werden. Aus 0db8 wird db8 und aus 0070 wird 70. Ein vollständig aus Nullen bestehendes Hextet wird zunächst als 0 geschrieben. Nachgestellte Nullen innerhalb eines Hextets dürfen dagegen nicht entfernt werden: 1200 darf nicht zu 12 werden.

Eine zusammenhängende Folge aus einem oder mehreren Null-Hextets darf einmal pro Adresse durch :: ersetzt werden. Für eine kanonische Darstellung wird die längste Nullfolge gekürzt; bei gleich langen Folgen die erste. Zwei Vorkommen von :: wären mehrdeutig und sind deshalb unzulässig.

• :: darf in einer Adresse höchstens einmal vorkommen.
• Ein einzelnes Hextet muss mindestens eine Hexadezimalstelle enthalten.
• Zum Prüfen einer gekürzten Adresse zunächst alle vorhandenen Hextets zählen und anschließend die fehlenden Nullblöcke ergänzen.

IPv4-mapped-Adressen richtig einordnen

Bestimmte IPv6-Darstellungen enthalten in den niedrigsten 32 Bit eine IPv4-Adresse. Ein wichtiges Beispiel ist die IPv4-mapped IPv6 Address ::ffff:192.0.2.1. Betriebssystem- und Programmierschnittstellen können damit einen IPv4-Kommunikationspartner in einer IPv6-kompatiblen Adressstruktur darstellen.

Das bedeutet nicht, dass jede beliebige IPv6-Adresse einfach eine IPv4-Adresse einbettet oder dass daraus automatisch ein Übergangsverfahren entsteht. Der konkrete Präfix und die jeweilige Spezifikation bestimmen die Bedeutung. Veraltete IPv4-compatible IPv6 Addresses dürfen nicht mit aktuellen IPv4-mapped-Adressen verwechselt werden.

Präfix, Subnet ID und Interface-Identifier

Wie bei IPv4 gibt die Zahl hinter dem Schrägstrich die Anzahl der von links beginnenden Präfixbits an. Bei einem üblichen /64-Subnetz gehören die ersten 64 Bit zum Subnetzpräfix und die verbleibenden 64 Bit zum Interface-Identifier. Ein Interface kann gleichzeitig mehrere IPv6-Adressen unterschiedlicher Art und Gültigkeitsdauer besitzen.

Ein Standort kann beispielsweise ein /48 erhalten und die folgenden 16 Bit als Subnet ID verwenden. Daraus entstehen 65.536 mögliche /64-Subnetze. Ein /56 bietet acht Bit Subnet ID bis /64 und damit 256 /64-Subnetze. Welche Größe tatsächlich delegiert wird, hängt von Richtlinie, Provider und Bedarf ab; /48 oder /56 sind häufige Planungsgrößen, aber keine universelle feste Zuteilung.

/64 ist der Regelfall für Endgeräte - nicht das kleinste IPv6-Netz

Viele IPv6-Funktionen für normale LANs gehen von einem 64 Bit langen Interface-Identifier und damit einem /64-Präfix aus. Das gilt insbesondere für klassische Stateless Address Autoconfiguration. Ein /64 enthält 2 hoch 64 Interface-Identifier und wird nicht deshalb so groß gewählt, damit alle Adressen einzeln verbraucht werden, sondern wegen der IPv6-Architektur und ihrer Verfahren.

Kürzere oder längere Präfixe haben dennoch gültige Aufgaben. Ein /127 kann auf geeigneten Router-zu-Router-Punkt-zu-Punkt-Links verwendet werden. Ein /128 bezeichnet genau eine Adresse beziehungsweise Hostroute. Solche Präfixe sind keine normalen SLAAC-Endgerätenetze und müssen passend zur Technik geplant werden.

Wichtige IPv6-Adressarten und Gültigkeitsbereiche

Warum verwenden die Beispiele 2001:db8? RFC 3849 hat 2001:db8::/32 ausdrücklich als IPv6-Präfix für Dokumentation reserviert. So zeigen Adressen wie 2001:db8:1234::1 den Aufbau und das Subnetting, ohne versehentlich echte Adressen einer Organisation zu verwenden. Obwohl es formal innerhalb von 2000::/3 liegt, ist dieser Sonderbereich nicht für produktive, öffentlich erreichbare Netze vorgesehen.

Unicast adressiert eine Schnittstelle. Multicast adressiert eine Gruppe. Anycast verwendet eine Unicastadresse auf mehreren Knoten; das Routing führt ein Paket zu einem nach seiner Metrik geeigneten, meist nahen Ziel. Anycast ist nicht an einem eigenen sichtbaren Präfix erkennbar.

IPv6 besitzt keine Broadcastadresse. Aufgaben, die bei IPv4 Broadcast verwenden, werden abhängig vom Protokoll durch Multicast oder gezielte Unicastkommunikation gelöst. ff02::1 bezeichnet beispielsweise alle IPv6-Knoten auf dem lokalen Link; diese Gruppe ist dennoch kein beliebig weiterleitbarer Broadcast.

Link Local gehört zum normalen IPv6-Betrieb

Eine IPv6-fähige Schnittstelle besitzt im normalen Betrieb mindestens eine Link-Local-Adresse. Sie wird unter anderem für Neighbor Discovery und die Kommunikation mit Routern auf demselben Link verwendet. Weil fe80::/10 auf jedem Link erneut vorkommen kann, wird bei mehrdeutigen Zielen zusätzlich eine Zone beziehungsweise Interface-Angabe benötigt, beispielsweise fe80::1%12 unter Windows oder fe80::1%eth0 unter Linux.

Link Local ist nicht einfach nur ein Fehlerersatz wie eine automatisch vergebene IPv4-Link-Local-Adresse. Ein System kann gleichzeitig Link-Local-, Global-Unicast- und gegebenenfalls ULA-Adressen besitzen. Welche Quelladresse verwendet wird, entscheidet die IPv6-Adressauswahl.

• Link-Local-Adressen werden nicht durch Router weitergeleitet.
• Das Default Gateway wird bei IPv6 häufig mit seiner Link-Local-Adresse angegeben.
• Mehrere Adressen auf demselben Interface sind normal und besitzen jeweils Scope sowie Gültigkeitsdauer.

Interface-Identifier ohne pauschale MAC-Abbildung

Ein Interface-Identifier muss innerhalb des betreffenden Subnetzes passend eindeutig sein. Historisch wurde er häufig per Modified EUI-64 aus einer MAC-Adresse abgeleitet. Dadurch konnte ein stabiler hardwarebezogener Wert entstehen. Moderne Empfehlungen bevorzugen jedoch undurchsichtige, semantisch bedeutungslose Interface-Identifier statt einer direkt erkennbaren MAC-Abbildung.

Betriebssysteme können stabile, pro Netz unterschiedliche Adressen sowie zusätzliche temporäre Adressen für ausgehende Verbindungen erzeugen. Privacy Extensions erschweren die langfristige Wiedererkennung über einen unveränderten Interface-Identifier, gewährleisten aber keine Anonymität: Konten, Cookies, Browsermerkmale, DNS und andere Metadaten können weiterhin korrelieren.

Neighbor Discovery, SLAAC und DHCPv6

Neighbor Discovery Protocol basiert auf ICMPv6 und übernimmt mehrere lokale Aufgaben: Nachbarn auflösen, Router entdecken, Erreichbarkeit prüfen, Parameter bekanntgeben und doppelte Adressen erkennen. Es ersetzt damit nicht nur ARP, sondern deckt einen größeren Funktionsumfang ab.

Bei SLAAC empfängt ein Host Router Advertisements und bildet zu einem angekündigten Präfix selbst eine Adresse. DHCPv6 kann zusätzliche Parameter oder zustandsbehaftete Adressen bereitstellen. Das Router Advertisement bleibt für wichtige IPv6-Informationen wie den Default Router relevant; DHCPv6 ersetzt es nicht vollständig.

IPv6-Subnetting arbeitet bevorzugt an Hexadezimalgrenzen

Eine Hexadezimalstelle entspricht vier Bit. Präfixlängen auf Nibble-Grenzen - also /48, /52, /56, /60 oder /64 - lassen sich deshalb besonders gut lesen und dokumentieren. Aus 2001:db8:1234::/48 stehen die 16 Bit des vierten Hextets als Subnet ID zur Verfügung. Die /64-Subnetze reichen von 2001:db8:1234:0000::/64 bis 2001:db8:1234:ffff::/64.

Bei 2001:db8:1234:ab00::/56 sind die ersten zwei Hexadezimalstellen des vierten Hextets bereits Teil des Standortpräfixes. Für /64 bleiben die letzten zwei Stellen als acht Bit Subnet ID. Damit entstehen 256 /64-Netze von ab00 bis abff.

Beispiel: Ein /56 in /64-Netze aufteilen

• Jedes /64 erhält eine eigene Link- beziehungsweise VLAN-Zuordnung.
• Subnetz-IDs fachlich dokumentieren, beispielsweise getrennt nach Standort, Zone oder Funktion.
• Nicht einzelne Endgeräte durch unnötig lange Präfixe „platzsparend“ adressieren; die IPv6-Verfahren und Betriebsanforderungen bestimmen die Präfixwahl.
• Für Beispiele das Dokumentationspräfix 2001:db8::/32 verwenden.

IPv6-Konfiguration systematisch prüfen