4.2 IPv4 vs. IPv6

Spricht man ganz allgemein über Netzwerkprotokolle, denken die meisten Personen vermutlich zunächst an TCP/IP. Ich möchte in diesem Buch nicht die Grundlagen des IP-Protokolls durchkauen, da diese jemandem, der sich professionell mit Windows Server 2012 beschäftigt, geläufig sein dürften.

Bei Implementationen von Windows Server 2012, insbesondere bei Arbeiten im Active Directory-Umfeld, stellen mir viele Kunden die Frage: »Uli, sollten wir nicht gleich auch IPv6 einführen?« Ist ein Unternehmen hinreichend modern ausgestattet, also mit Windows Server 2003/2008/2012 und Windows 7/8/8.1 im Client-Umfeld, liegt der Gedanke nahe, dass eine nachhaltige Einführung von IPv6 gar nicht so kompliziert sein kann, zumal IPv6 ja bereits durch Autokonfiguration, Neighbour Discovery und diverse andere Möglichkeiten einigermaßen »handhabbar« erscheint.

Um es gleich vorwegzunehmen: Derzeit gibt es meines Erachtens für die IT-Abteilungen in mittelständischen Unternehmen deutlich wichtigere Dinge zu tun, als sich ausgerechnet mit der Einführung von IPv6 zu beschäftigen. Es ist keine Frage, dass IPv6 irgendwann auf der Tagesordnung stehen wird, aber es gibt derzeit noch etliche Aspekte, die dagegen sprechen, sofort darauf zu setzen:

• Netzwerkinfrastruktur: Windows Server 2008/2012 (und auch WS 2003 auf entsprechendem Patchlevel) sowie die aktuellen Client-Betriebssysteme (Vista/7/8/8.1 und XP auf entsprechendem Patchlevel) unterstützen IPv6. Gut! Vermutlich wird aber nur ein kleiner Teil der sonstigen Netzwerkkomponenten tatsächlich IPv6 unterstützen, geschweige denn dafür konfiguriert sein. Ich denke hier an Router, Firewalls, Switches, WLAN-Access-Points, Netzwerkdrucker und sonstiges Equipment. Sind im Netz noch reine IPv4-Komponenten vorhanden, müssen Sie entweder die IPv4- und IPv6-Infrastruktur parallel betreiben oder aber Umsetzungstechnologien wie ISATAP, 6to4 oder Teredo einsetzen. Das kann man alles machen, es ist aber nicht unbedingt simpel.

  Es ist keine Frage, dass Sie bei Neuanschaffungen im Netzwerkbereich unbedingt auf IPv6-Fähigkeit achten sollten – solange aber der überwiegende Teil der Komponenten nur IPv4 beherrscht, wird eine IPv6-Einführung unnötig kompliziert.

• Das europäische Internet: Man spricht zwar davon, dass die IPv4-Adressen knapp werden, die Situation ist im asiatischen Raum allerdings deutlich kritischer als im europäischen – ich vermute die Mehrheit der Leser in Europa, obwohl ich bereits auch eine Leserzuschrift aus China bekommen habe. In Europa sind viele Provider demzufolge gar nicht so sehr bemüht, möglichst schnell auf den IPv6-Zug aufzuspringen und ihre Kunden dafür zu begeistern. Nun ist festzuhalten, dass man ein Unternehmensnetz mit einigen Hundert, einigen Tausend oder auch einigen Zehntausend PCs ganz prima mit der »alten« IP-Technologie aufbauen kann. Interessant wird es dann schon eher, das IPv6-Internet zu integrieren und die Vorteile zu nutzen. Solange aber viele Provider noch nicht so ohne Weiteres in der Lage sind, ganz selbstverständlich IPv6-Adressbereiche an ihre Kunden zu vergeben, sehe ich keine zwingende Notwendigkeit, das lokale Netz mit großen Anstrengungen komplett auf IPv6 zu migrieren.

Es sollte nicht unerwähnt bleiben, dass IPv6 keine triviale Technologie ist. Insbesondere in Unternehmen, die über mehrere Standorte verteilt sind, muss man sich schon einigermaßen intensiv Gedanken über Routing-Strukturen, Adressvergabe, Namensauflösung und dergleichen mehr machen. Auch der Übergang vom lokalen IPv6-Netz in das IPv6-Internet muss sorgfältig konzipiert und umgesetzt werden. Der Gedanke, dass man im Zuge des ersten Windows Server 2008/2012-Systems »mal eben schnell« auch IPv6 implementiert, ist also maximal unrealistisch.

Noch ein weiterer Aspekt wäre an dieser Stelle zu nennen: Wenn Sie zu Ihrem Geschäftsführer gehen und ihm die Idee IPv6-Einführung vorstellen, werden Sie ihm erklären müssen, wo der konkrete Business Value liegt – also wie und warum das Unternehmen mehr Geld verdient, wenn es IPv6 einführt. Schließlich ist die IPv6-Einführung ein teures Vergnügen, weil Sie vermutlich jede Menge Equipment (z. B. neue Router und Switches) kaufen müssen und sich intensiv mit der Thematik befassen oder externe Consulting-Leistung einkaufen müssen.

Es ist völlig klar, dass Ihr Unternehmen irgendwann den IPv6-Schritt gehen muss – es dürfte aber ziemlich schwierig bzw. unmöglich sein, Argumente dafür zu finden, warum man das heute und nicht in drei Jahren tun muss.

4.2.1 Unterschiede

Tabelle 4.1 zeigt Ihnen einige technische Aspekte und Begriffe im Vergleich zwischen IPv4 und IPv6.

4.2.2 IPv6 – die Adressierung

Die klassischen IP-Adressen, die aus vier Bytes bestehen (ww.xx.yy.zz) bezeichnet man als IPv4-(Version-4-)Adressen. Schon seit geraumer Zeit wird darüber gesprochen, dass diese Adressen relativ schnell knapp werden. Zumindest in Europa ist zwar dem Vernehmen nach noch keine dramatische Adressknappheit eingetreten – es ist aber nur eine Frage der Zeit.

IPv4 unterstützt 2³² Adressen. In leichter vorstellbarer Notation ergibt das 4.294.967.296 Adressen, also etwas über 4 Milliarden. Wenn man überlegt, dass in Zukunft jede Uhr, jeder Kühlschrank und jeder Heizkörper eine IP-Adresse haben wird, wird klar, dass in absehbarer Zeit etwas geschehen muss. Als IPv4 in den 1970er-Jahren entwickelt wurde, war es absolut undenkbar, dass dieser Adressraum einmal knapp werden könnte.

Die – übrigens gar nicht mal so neue – Antwort auf das Adressproblem heißt IPv6. Der neue Adressstandard arbeitet mit 128-Bit-Adressen, sodass die Anzahl der Adressen 2¹²⁸ beträgt. Weil ich diese lange Zahl unglaublich faszinierend finde, möchte ich Sie Ihnen einmal ausgeschrieben zeigen:

2128 = 340.282.366.920.938.463.463.374.607.431.768.211.456

Für diese Zahl kenne ich übrigens keinen Namen. Warten wir einmal ab, ob auch dieser Adressraum in 30 Jahren knapp wird.

Adresssyntax

Die 32-Bit-IPv4-Adressen werden in 8-Bit-Gruppen unterteilt. Weil sich 11000000 10101000 1100100 11001001 für einen Menschen ziemlich schlecht liest, gibt man die vier 8-Bit-Werte in dezimaler Notation an, sodass die zuvor genannte Adresse als 192.168.100.201 geschrieben wird.

Bei den 128-Bit-IPv6-Adressen wird ähnlich vorgegangen. Zunächst sehen Sie eine IPv6-Adresse in binärer Notation:

0010000000000001000011011011100000000000000000000010111100111011 0000001010101010000000001111111111111110001010001001110001011010

Die Begeisterung eines menschlichen Betrachters dürfte sich bei diesem Anblick in Grenzen halten.

Man hat sich darauf verständigt, diese Adressen in 16-Bit-Gruppen zu unterteilen, sodass sich diese Notation ergibt:

0010000000000001 0000110110111000 0000000000000000 0010111100111011 0000001010101010 0000000011111111 1111111000101000 1001110001011010

Und damit Administratoren keine Krise beim Eingeben von Adressen bekommen, hat man sich auf eine hexadezimale Darstellung der Gruppen geeinigt, sodass die Adresse schließlich wie folgt aussieht:

2001:0DB8:0000:2F3B:02AA:00FF:FE28:9C5A

Da IPv6-Adressen des Öfteren größere Mengen von Blöcken enthalten, die nur aus Nullen bestehen, gibt es die Möglichkeit, diese Nullen-Blöcke nicht zu schreiben. Hierzu direkt ein Beispiel: Die Adresse FE80:0:0:0:2AA:FF:FE9A:4CA2 kann verkürzt als FE80::2AA:FF:FE9A:4CA2 notiert werden. Das bedeutet, dass eine Anzahl von nebeneinanderliegenden Nullen-Blöcken durch :: ersetzt werden kann. Wie viele Blöcke tatsächlich weggelassen wurden, kann leicht ermittelt werden, weil eine IPv6-Adresse insgesamt immer 8 Blöcke (128 Bit) umfasst.

Hier noch ein umgekehrtes Beispiel: Die verkürzt geschriebene Adresse FF02:30::5 (drei Blöcke) ergibt in der Langform FF02:30:0:0:0:0:0:5.

Zu erwähnen wäre an dieser Stelle, dass es ebenso wie bei IPv4 auch eine Subnetzmaske gibt, mit der definiert wird, wo der »Netz-Teil« der Adresse beginnt.

Adresstypen

Für IPv6 sind die folgenden drei Adresstypen definiert:

• Unicast: Eine Unicast-Adresse ist einem Netzwerk-Interface eines Hosts zugewiesen. Dies ist letztendlich »die normale IPv6-Adresse«.
• Multicast: Über eine Multicast-Adresse werden null bis beliebig viele Netzwerk-Interfaces eines oder beliebig vieler Hosts angesprochen.
• Anycast: Eine Anycast-Adresse steht sozusagen stellvertretend für beliebig viele Unicast-Adressen. Die Routing-Topologie sorgt dafür, dass die an die Anycast-Adresse gesendeten Pakete stets zu der nächsten Unicast-Adresse (bezogen auf die Routing-Distanz) gesendet werden.

Beim flüchtigen Lesen wird vielleicht der Unterschied zwischen Multicast und Anycast nicht ganz klar, daher möchte ich das noch etwas deutlicher formulieren:

• Multicast wird verwendet, wenn ein Host an viele andere Hosts sendet. Ein typisches Beispiel ist das Broadcasting von Multimedia-Inhalten an viele Clients.
• In einem Anycast-Szenario kommuniziert ein Host mit einem Zielhost. Im Gegensatz zu einem Unicast-Szenario wird der Kommunikationspartner aber durch die Routing-Topologie ermittelt.

Die Unicast-Adressen unterteilen sich wiederum in sechs unterschiedliche Typen:

• Link-Local Addresses: Diese IPv6-Adressen werden automatisch allen physikalischen und virtuellen Netzwerkschnittstellen hinzugefügt. Diese Adressen sind nur im lokalen Netzwerksegment erreichbar, können also nicht geroutet werden. Sie sind mit den 169.254.0.0/16-Adressen aus der IPv4-Welt vergleichbar.
• Site-Local Addresses: Diese Adressen sind eigentlich als Äquivalent zu den privaten IPv4-Adressen gedacht gewesen, wurden aber in RFC3879 wieder »abgeschafft«. Für den Aufbau eines privaten gerouteten Netzes werden die Unique Local Addresses verwendet.
• Unique Local Addresses: Diese Adressen können im gesamten internen Netz geroutet werden, sind aber nicht über das Internet erreichbar. Aufgrund der Abschaffung der Site-Local Addresses fungieren die Unique Local Addresses als Äquivalent zu den privaten IPv4-Adressräumen.
• Global Unicast Addresses: Diese Adressen können im IPv6-Internet geroutet werden. Man kann sie mit den öffentlichen IPv4-Adressen vergleichen.
• Special Addresses: Hier sind verschiedene »spezielle« Adressen zusammengefasst. Ein Beispiel wäre die Loopback-Adresse.
• Transition Addresses: Zur Gewährleistung der Koexistenz von IPv4 und IPv6 sind spezielle Adressräume und -typen definiert.

Einige Adresstypen werde ich in den folgenden Abschnitten etwas genauer beschreiben:

Link-Local Addresses

Die Link-Local Addresses werden von einem IPv6-Host automatisch erzeugt. Auch wenn Sie bislang in Richtung IPv6 noch nichts unternommen haben, sind diese Adressen vorhanden. Ein Aufruf von ipconfig auf einem Windows Server 2008/2012-System (oder auf einem Vista/7/8/8.1-System oder einem XP/WS2003 mit installiertem IPv6) wird unter anderem die Verbindungslokale IPv6-Adresse, also die Link-Local Address, zutage fördern. In Abbildung 4.17 ist ein Windows Server 2008-System gezeigt, bei dem bislang keinerlei IPv6-Konfigurationsschritte unternommen worden sind. Trotzdem ist die Verbindungslokale IPv6-Adresse vorhanden.

Auch in einem weiter nicht auf die Verwendung von IPv6 vorbereiteten Netz funktioniert die Kommunikation über die Link-Local Addresses. Abbildung 4.18 zeigt, wie ein Vista-Client einen Windows Server 2008 anpingt – es klappt!

Abbildung 4.17 »ipconfig« zeigt die automatisch erzeugte Link-Local Address.

Abbildung 4.18 Netzwerkverkehr über die Link-Local Addresses funktioniert auf Anhieb.

Bei aller Euphorie über die IPv6-Kommunikation zwischen den beiden Systemen sei aber darauf hingewiesen, dass das noch sehr weit von einer funktionierenden nachhaltigen IPv6-Implementation entfernt ist:

• Zunächst funktionieren die Link-Local Addresses wie zuvor erwähnt nur im lokalen Netzwerksegment.
• Da für IPv6 kein DNS-Server verfügbar ist, wird der Host sich mit dieser Adresse nicht im DNS registrieren. Somit werden andere Systeme nur dessen IPv4-Adresse finden.

Einige weitere Punkte wären dieser Aufzählung noch hinzuzufügen. Trotzdem lässt sich festhalten, dass die IPv6-Kommunikation über die Link-Local Addresses grundsätzlich funktioniert.

Die Link-Local Addresses werden aus einem genau festgelegten Adressbereich vergeben. In Abbildung 4.19 habe ich das ein wenig visualisiert:

• Die nichtroutbare Netzwerkadresse ist 64 Bits lang, und für die Identifizierung des Hosts im LAN stehen ebenfalls 64 Bits zur Verfügung.
• Die ersten 10 Bits einer Link-Local Address lauten immer 1111 1110 10. Wenn man einmal nachrechnet, entspricht die Binärzahl 1111 1110 der hexadezimalen FE.
• Die weiteren 54 Bits der Netzwerkadresse werden mit Nullen aufgefüllt. Demzufolge hat der erste 16-Bit-Block den Wert 1111 1110 1000 0000. Konvertiert man diese Zahl ins hexadezimale System, kommt FE80 heraus. Wenn Sie zu Abbildung 4.17 zurückblättern, werden Sie sehen, dass FE80 der Block der Link-Local Address des Systems ist.

Abbildung 4.19 Link-Local Addresses

Unique Local Addresses

In der IPv4-Welt kennt man die für private Netze reservierten Adressbereiche, also 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Auch in der IPv6-Welt gibt es solche Adressbereiche. Diese nennt man Unique Local Addresses.

Mithilfe von Unique Local Addresses können Unternehmen und Organisationen eigene komplexe IPv6-Netze aufbauen. Der Aufbau dieses Adresstyps ist in Abbildung 4.20 gezeigt:

• Die ersten 7 Bits einer Unique Local Address sind stets 111 101. Das achte Bit ist das Local-Flag, das anzeigt, dass es sich um eine lokale Adresse (d. h. eine nicht im Internet geroutete Adresse) handelt. Dieses Bit ist immer 1, schließlich geht es hier ja um Unique Local Addresses; der Wert 0 ist übrigens nicht definiert.
  Folglich beginnt eine Unique Local Address stets mit 1111 1101, woraus sich für den ersten Block FD00 ergibt.
• In den nächsten 40 Bits kann das jeweilige Unternehmen bzw. die jeweilige Organisation für jeden Standort (in der englischen Literatur: Site) eine Global ID bestimmen. Diese kann frei gewählt werden, allerdings wird empfohlen, diese zufällig zu wählen. Der Grund dafür ist, dass bei einer möglichen Unternehmensfusion, bei der zusätzliche Standorte zum Gesamtnetz hinzukommen, keine Überlappung der Adressbereiche zu erwarten ist. Bei 240 (= 1.099.511.627.776) Möglichkeiten müsste man schon sehr viel Pech haben, wenn für zwei Standorte zufällig dieselbe Global ID gewählt wurde.
• Die folgenden 16 Bits definieren das Subnetz innerhalb des Standorts.
• Es folgt die 64 Bit lange Interface ID, die die Netzwerkschnittstellen der Hosts im lokalen Netzwerksegment definiert.

Abbildung 4.20 Aufbau einer Unique Local Address

Im Gegensatz zu den Link-Local Addresses werden Unique Local Addresses nicht »von selbst« vergeben, sondern müssen konfiguriert werden – besser gesagt muss die Vergabe der Adressen konfiguriert werden.

Global Unicast Addresses

Global Unicast Addresses sind sozusagen die öffentlichen Internetadressen. Diese werden benötigt, um Daten durch das Internet zu transportieren. In Abbildung 4.21 ist der Aufbau dieser Adressen gezeigt:

• Bei einer Global Unicast Address sind die ersten drei Bits stets auf 001 gesetzt. Da für die Definition des Global Routing Prefixes dann noch 45 Bits verbleiben, können 35.184.372.088.832 (35 Billionen!) Bereiche für die Standorte von Unternehmen/Organisationen vergeben werden.
• Mit den nächsten 16 Bits werden die unterschiedlichen Netze des jeweiligen Unternehmensstandorts beschrieben.
• Es folgt die 64 Bit lange Interface ID, die die Netzwerkschnittstellen der Hosts im lokalen Netzwerksegment definiert.

Zugegebenermaßen ist man bei dem Design von IPv4 wohl niemals auch nur entfernt auf den Gedanken gekommen, dass der Adressraum irgendwann knapp werden könnte – was dann aber doch passiert ist. Um in der heutigen IPv4-Welt ein eigenes C-Netz aus dem offiziellen Internetadressbereich zu erhalten, muss man schon eine einigermaßen plausible Begründung vorlegen können.

Diese »Engpässe« dürften mit IPv6 endgültig der Vergangenheit angehören, denn selbst, wenn jeder Erdenbürger ein eigenes Global Routing Prefix haben wollte, wäre der prozentuale Anteil der vergebenen Bereiche immer noch beinahe bei 0 %.

Abbildung 4.21 Aufbau einer Global Unicast Address

4.2.3 Vergabe von IPv6-Adressen

Es steht Ihnen selbstverständlich frei, IPv6-Adressen (genauer: Global Unicast Addresses oder Unique Local Addresses) per Hand zu vergeben. Da dies aber eher mühselig ist, haben die Entwickler von IPv6 natürlich Möglichkeiten für die automatische Adressvergabe vorgesehen, wobei es drei Varianten gibt:

• Stateless: In diesem Konfigurationsmodus erhält das IPv6-System die Adressinformationen (insbesondere über das Netz, in dem es sich befindet) über einen Router. Die eigentliche Host-Adresse ermittelt der Client dann selbst.

  Ein DHCPv6-Server ist hierbei nicht notwendig, kann aber verwendet werden, um zusätzliche Konfigurationsinformationen, wie beispielsweise die Adressen von DNS-Servern und dergleichen, bereitzustellen (siehe Variante Both).

• Stateful: Man spricht von einer Stateful Configuration, wenn die Adressvergabe durch einen DHCP-Server erfolgt. Dies ist dann der Fall, wenn die Antwort des Routers dies erzwingt oder aber wenn in dem Netz kein Router vorhanden ist (oder zumindest keiner, der IPv6-Router Advertising Messages versendet).
• Both: Ein Mischbetrieb ist möglich, wie bereits zuvor angedeutet wurde. Die eigentliche Adressvergabe kann stateless erfolgen, wobei der Router per Flag (Managed Address Configuration oder Other Stateful Configuration) vorgeben kann, dass das IPv6-System weitere Konfigurationsoptionen mittels DHCPv6 beziehen soll. Diese zusätzlichen Konfigurationsoptionen können beispielsweise das Standard-Gateway, die Adressen der DNS-Server und dergleichen mehr sein.

Aus Sicht des IPv6-Clients ist die automatische Adresskonfiguration nicht allzu spannend. Dafür muss man sich umso mehr mit den Routern auseinandersetzen. Dieser Themenbereich geht weit über die Zielsetzung dieser kurzen Einführung in IPv6 hinaus. Ich möchte aber erwähnen, dass ein Windows Server 2008/2012 als nativer IPv6-Router konfiguriert werden kann und somit die für die Stateless Autoconfiguration benötigte Rolle übernehmen kann. Falls Sie ein paar Stichworte zum Weitersuchen benötigen, gebe ich Ihnen hier den Befehl an, mit dem das Routing für ein Netzwerk-Interface aktiviert wird:

netsh interface ipv6 set interface "Local Area Connection" forwarding=enabled 
advertise=enabled

4.2.4 Abschalten von IPv6

Auch wenn Sie sich (zunächst) dafür entscheiden, keine ganzheitliche IPv6-Struktur zu planen, können Sie IPv6 auf Vista/7/8/8.1- und Windows Server 2008/2012-Systemen im Allgemeinen problemlos mitlaufen lassen.

Es gibt allerdings durchaus Situationen, in denen ein aktives IPv6 »lästig« ist oder sogar zu Problemen führt. Ein Beispiel für den ersten Fall ist die Installation des DHCP-Servers: Ist IPv6 aktiv, besteht der Konfigurationsassistent ziemlich penetrant auf einer festen IPv6-Adresse.

Abbildung 4.22 IPv6 kann deaktiviert, aber nicht deinstalliert werden.

IPv6 kann bei Windows Server 2008/2012 und Windows Vista/7/8/8.1 nicht deinstalliert, sondern nur deaktiviert werden – ebendies gilt übrigens auch für IPv4. Sie können IPv6 entweder für jedes Netzwerk-Interface einzeln deaktivieren (Abbildung 4.22) oder mittels eines Registry-Keys die IPv6-Funktionalität für das gesamte System abschalten. Der Name des Registry-Keys lautet:

Hkey_Local_Machine\System\CurrentControlSet\Services\Tcpip6\Parameters\DisabledComponents

Er ist vom Typ DWORD. Um die IPv6-Funktionalität komplett abzuschalten, muss als Wert 0xFF gesetzt werden. Anzumerken wäre, dass die unterschiedlichen IPv6-Komponenten mittels dieses Werts (Bitmaske!) selektiv deaktiviert werden können. 0xFF ist sozusagen der »Hauptschalter«.

Ihre Meinung

Wie hat Ihnen das Openbook gefallen? Wir freuen uns immer über Ihre Rückmeldung. Schreiben Sie uns gerne Ihr Feedback als E-Mail an kommunikation@rheinwerk-verlag.de.