IPv6-Tag am 8. Juni: Wie man ihn ohne Probleme übersteht

Was ist der Unterschied zwischen IPv4 und IPv6?

Neben Verbesserungen im Protokoll gibt es vor allem neue Adressen mit 128 Bit. IPv4 hat Adressen mit 32 Bit, weshalb die Anzahl der Adressen begrenzt ist. Eine typische öffentliche IPv6-Adresse ist zum Beispiel 2001:0db8:00ec:3091:0000:0000:0000:0001. Führende Nullen in den Blöcken zwischen den Doppelpunkten dürfen weggelassen werden. Aufeinander folgende Null-Blöcke dürfen einmal mit :: abgekürzt werden, so dass man für die genannte Adresse auch die verkürzte Schreibweise 2001:db8:ec:3091::1 verwenden kann.

Welche Betriebssysteme unterstützen IPv6?

Stabile Unterstützung bieten unter anderem Windows ab XP, Mac OS X ab 10.2, Linux ab Kernel 2.6, BSD-Betriebssysteme (FreeBSD, OpenBSD, NetBSD) seit dem Jahr 2000 und Solaris ab Version 8.

Von den Mobilbetriebssystemen beherrschen iOS ab Version 4 und Android ab Version 2.1 das neue Protokoll. Bei Android gilt die Einschränkung, dass es über die Mobilfunkschnittstelle nicht in allen Netzen und mit allen Protokollen funktioniert. Die WLAN-Schnittstelle unterstützt IPv6 uneingeschränkt.

Müssen alle Programme komplett umgeschrieben werden, damit sie mit IPv6 laufen?

Nein, Anwendungsprogramme und Serverdienste nutzen meist höhere Protokolle wie TCP und UDP. An diesen Protokollen ändert sich nichts. Wenn das Betriebssystem IPv6 unterstützt, können TCP und UDP sowohl über IPv4 als auch über IPv6 transportiert werden.

Warum gibt es dann Programme, die IPv6 nicht unterstützen?

Das liegt in der Regel an Kleinigkeiten: Bevor sie eine IP-Adresse als String an das Socket-API übergeben, untersuchen manche Programme den String und erkennen nicht, dass 2001:db8::1 eine IP-Adresse und kein Hostname ist und versuchen den String über DNS aufzulösen, was aber die falsche Vorgehensweise ist.

Wenn eine IPv6-Adresse binär übergeben wird, müssen dafür 16 Byte (128 Bit) reserviert werden. Für IPv4 reichen 4 Byte (32 Bit). Programme die maximal vier Byte akzeptieren, sind daher nicht IPv6-fähig.

Gibt es viele Programme, die nicht IPv6-fähig sind?

Aktuelle Versionen kommen mit IPv6 meist problemlos zurecht. Wer ältere Software einsetzt, muss damit rechnen, dass sie kein IPv6 unterstützt. Ein bekanntes Beispiel ist die VoIP-Telefonanlage Asterisk, die erst seit der Version 1.8 mit IPv6 umgehen kann. Viele VoIP-Anbieter setzen noch die Versionen 1.2, 1.4 oder 1.6 ein, weil ihre auf Asterisk basierenden Eigenentwicklungen mit der Version 1.8 nicht zurechtkommen.

Warum muss man IPv6-Adressen meistens in eckige Klammern setzen?

Normalerweise wird die Kombination von IP-Adresse und Port mit einem Doppelpunkt getrennt, zum Beispiel http://192.168.0.1:8080. Da IPv6-Adressen ebenfalls Doppelpunkte enthalten, muss man erkennen können, wann der Port bezeichnet wird. Eine gültige IPv6-URI ist daher beispielsweise http://[2001:db8::1]:8080. Nicht erlaubt ist hingegen http://2001:db8::1:8080, weil nicht eindeutig erkennbar ist, ob 8080 einen TCP-Port bezeichnet oder zur IPv6-Adresse gehört.

Wann ist eine IPv6-Adresse eine öffentliche IP-Adresse?

Wenn sie der CIDR-Notation 2000::/3 entspricht. Etwas einfacher ausgedrückt: Eine IPv6-Adresse ist nur dann öffentlich, wenn sie mit einer zwei oder einer drei beginnt.

Der Umstieg auf IPv6 soll nötig sein, weil die IPv4-Adressen langsam knapp werden. Stimmt das überhaupt?

Eindeutig nein. In Wahrheit gibt es bereits seit vielen Jahren zu wenig IPv4-Adressen. In einem echten Internet hat jedes Gerät mindestens eine öffentliche IP-Adresse. Bereits heute vergeben Breitbandanbieter jedoch wegen der Knappheit der Adressen nur eine öffentliche Adresse pro Anschluss. Wer mehrere Geräte zum Beispiel PCs, Smartphones, digitale Videorekorder und NAS-Speicher in seinem Intranet betreibt, muss mit Hilftechnologien wie NAT und Portforwarding arbeiten. Man spricht daher oft davon, dass sich das Internet zu einem InterNAT entwickelt hat.

Was ist so schlecht an NAT?

Die Erreichbarkeit von Geräten zu Hause ist dadurch schwieriger und komplizierter. Dem Geiste des Internet entspricht es, dass jedes Gerät mit jedem beliebigen anderen ohne Einschränkung kommunizieren kann. Wer den Zugang begrenzen möchte, soll eine Firewall einsetzen. Das Internet als solches darf hingegen nicht allein aus technischen Gründen eine Reglementierung vornehmen.

Das geht nur mit mindestens einer öffentlichen IP-Adresse pro Gerät. Das erlaubt beispielsweise ohne spezielle Kenntnisse

• Dateien von seinem NAS-Speichersystem auch Freunden und Verwandten zugänglich zu machen beziehungsweise selbst von unterwegs darauf zuzugreifen
• kostenlos weltweit Telefongespräche in alle Fest- und Handynetze vom normalen Festnetztelefon oder Smartphone zu führen, ohne dass der Angerufene bei einem bestimmten Dienst wie Skype registriert sein muss
• Musiksammlungen vom eigenen DLNA-Mediaserver mit anderen zu teilen
• bei einem ausreichend schnellen Anschluss, zum Beispiel VDSL50, sich schnell online einen Film anzuschauen, den ein Bekannter auf seinem Festplattenrekorder im Fernsehen aufgenommen hat

Die neuen Möglichkeiten hören sich toll an, kann man die nutzen, sobald der Internetprovider IPv6 anbietet?

Grundsätzlich geht das nur mit Rechnern und Geräten, die IPv6 beherrschen. Man kann zwar für IPv4-only-Geräte eingehende TCPv6- und UDPv6-Tunnel realisieren, zum Beispiel am WLAN-Router. Dieses Verfahren hat aber wie NAT Einschränkungen, beispielsweise kann ein IPv4-only Gerät nicht ohne Weiteres eine Verbindung zu einer IPv6-Adresse aufbauen.

Die Datenschützer mahnen dynamische IPv6-Adressen an, die sich regelmäßig ändern, um die Anonymität zu wahren. Kann man dann Geräte im Intranet noch erreichen?

Das ist in der Tat ein Problem, das sich aber lösen lässt. Zum Beispiel durch DynDNS-Dienste, wenn diese später IPv6 adäquat unterstützen. Heutige DynDNS-Dienste oder ihre Clients in Home-Routern unterstützen meist nur IPv4.

Viele Datenschützer haben ferner bisher nicht realisiert, dass die Zuteilung eines neuen IPv6-Netzes bei jeder Einwahl alleine keine Anonymität bietet. Bei IPv6 konfigurieren die Geräte und PCs die letzten 64 Bit der Adresse in der Regel automatisch anhand der Mac-Adresse. Das reicht aus, damit Websites jeden Nutzer jederzeit wiedererkennen können.

Dagegen kann man sich mit den IPv6 Privacy Extension schützen. Dann werden die letzten 64 Bit per Zufallsgenerator ermittelt und regelmäßig, beispielsweise täglich oder stündlich, gewechselt. Eine Erreichbarkeit ist dann aber nur durch DynDNS-Dienste möglich.

Es gibt aber den grundsätzlichen Konflikt zwischen Datenschutz und Erreichbarkeit. Eine feste Adresse sorgt dafür, dass ein Gerät, zum Beispiel ein VoIP-Telefon immer unter derselben IPv6-Adresse erreichbar ist. Anonymität der Adresse ist aber nur gewährleistet, wenn sich sowohl der Netzteil (obere 64 Bit) als auch der Hostteil (untere 64 Bit) regelmäßig ändern.

Ferner ist zu bedenken, dass andere Identifikationsdaten, etwa Cookies oder der Fingerabdruck im Browser, sowohl mit IPv4 als auch mit IPv6 von Serverbetreibern missbraucht werden können.

Welche Betriebssysteme unterstützen die Privacy Extensions?

Alle modernen Betriebssysteme beherrschen die Privacy Extensions. Sie sind aber möglicherweise standardmäßig deaktiviert. Bei Windows sind sie auf Client-Betriebssystemen voreingestellt, bei den Servervarianten jedoch deaktiviert.

Die meisten Linux-Distributionen haben die Privacy Extensions deaktiviert. Man aktiviert sie mit dem Befehl sudo sysctl -w net.ipv6.conf.all.use_tempaddr=2. Um sie gleich beim Booten einzuschalten, trägt man die Zeile net.ipv6.conf.all.use_tempaddr=2 in die Datei /etc/sysctl.conf ein.

Bei Mac OS X ist es ähnlich wie bei Linux. Man kann die Privacy Extensions mit dem Befehl sudo sysctl -w net.inet6.ip6.use_tempaddr=1 einschalten und durch Hinzufügen der Zeile net.inet6.ip6.use_tempaddr=1 in der Datei /etc/sysctl.conf dauerhaft aktivieren. Falls die Datei nicht existiert, legt man sie einfach neu an.

Bei Android und iOS kann man die Privacy Extensions nur auf gerooteten oder gejailbreakten Geräten aktivieren. Für normale Nutzer ist das nicht möglich.