title: IPv6 – Empfehlungen & Konzeption author: Thomas Will date: 2025-04-25 --- <style> /* Logo-Positionierung */ .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } /* Listen-Anpassungen */ .reveal ul li { font-size: 28px !important; line-height: 1.3 !important; margin-bottom: 10px !important; } /* Optional: Verbesserte Lesbarkeit */ .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> # IPv6 – Empfehlungen & Konzeption > Basierend auf Empfehlungen aus Praxis, IETF-Standards und BSI Cyber-Sicherheitsinformationen --- ## IPv6 – Warum jetzt? - IPv4 ist erschöpft: 4,3 Milliarden Adressen sind aufgebraucht. - IPv6 ist auf allen modernen Systemen aktiv – oft unbemerkt. - In Deutschland nutzen ca. 68 % der Nutzer IPv6 (Stand 2025, Google Statistics). - Betriebssysteme und Provider bevorzugen IPv6 automatisch. - Fazit: IPv6 ist Realität – wer es ignoriert, verliert Kontrolle. --- ## IPv6 im Unternehmen - Viele LAN-Geräte verwenden IPv6 automatisch (Windows, macOS, Linux). - Mobile Geräte nutzen weltweit IPv6-Netze, z. B. in Hotels, Flughäfen. - Dual-Stack erhöht Komplexität und Angriffsfläche. - IPv6 ist aktiv, auch wenn es nicht konfiguriert wurde. - Empfehlung: IPv6 immer bewusst planen und absichern. --- ## Migration – aber wie? - Keine Vollumstellung notwendig – sanfte Migration ist der Standardweg. - Zuerst Überblick schaffen: Wo ist IPv6 bereits aktiv? - Schulungen sind erforderlich: IPv6 unterscheidet sich von IPv4 (kein NAT, andere Mechanismen). - Testumgebungen sorgen für Erfahrung und Betriebssicherheit. - Fokus bei der Migration auf Dienste und Übergänge legen. --- ## Übergangslösungen: Dual-Stack & Proxy ### Dual-Stack - IPv4 und IPv6 parallel auf Geräten. - Kompatibel, aber mehr Angriffsfläche und Aufwand. - Sollte möglichst zeitlich begrenzt genutzt werden. ### Proxy - Vermittlung zwischen IPv6-Client und IPv4-Backend. - Ideal für Alt-Systeme oder Sicherheits-Gateways. - Senkt Komplexität auf der Serverseite. --- ## Netzkonzept: IPv6 im internen Netz - IPv6 ermöglicht großzügiges Subnetting. - Eigene Subnetze für Gerätegruppen (z. B. Drucker, Server). - Segmentierung nach Schutzbedarf statt Adressknappheit. - IPv6-only Netze sind möglich und sinnvoll planbar. - IPv4 nur als Fallback oder für Altlasten beibehalten. --- ## Adresswahl im lokalen Netz ### ULAs (Unique Local Addresses) - Lokal eindeutig, nicht im Internet geroutet. - Sicher filterbar und für interne Dienste geeignet. ### GUAs (Global Unicast Addresses) - Weltweit eindeutig und extern erreichbar. - Nur gezielt für öffentliche oder erreichbare Dienste verwenden. - Empfehlung: Keine gemischte Nutzung von ULA und GUA auf einem Interface. --- ## ICMPv6 – unverzichtbar für den Betrieb - ICMPv6 ist essenziell für IPv6, z. B. für MTU Discovery, ND und Fehlerbehandlung. - Nicht blockieren, sondern gezielt zulassen! - Empfohlene erlaubte Typen: - Destination Unreachable (1) - Packet Too Big (2) - Echo Request/Reply (128/129) - Router Solicitation / Advertisement (133/134) - Neighbor Solicitation / Advertisement (135/136) - Details und Empfehlungen: Siehe RFC 4890. --- ## Sicherheits-Gateway & Filterregeln - Firewalls und Gateways müssen IPv6 verstehen und filtern können. - ICMPv6 selektiv zulassen, Extension Header beachten. - Monitoring und Logging für IPv6-Verkehr aktivieren. - Dual-Stack-Phase erfordert parallele Sicherheitsregeln für IPv4 und IPv6. - Langfristiges Ziel: IPv6-Only für reduzierte Komplexität. --- ## IPv6-only-Netze: Vorteile - Klare und einfache Netzsegmentierung. - Wegfall von NAT – echte Ende-zu-Ende-Kommunikation. - Weniger Komplexität in Firewalls und Gateways. - Bessere Übersicht und einfacher wartbar. --- ## Fazit & Empfehlungen - IPv6 ist im täglichen Einsatz – Ignorieren ist keine Option. - Unternehmen müssen IPv6 sichtbar machen und aktiv steuern. - Migration sollte kontrolliert und mit Konzept erfolgen. - IPv6 bietet Chancen für modernes Netzdesign und Sicherheitsarchitektur. - Handlungsempfehlungen bietet u. a. die BSI Cyber-Sicherheitsreihe. --- ## Quellen - BSI-CS_133 – IPv6 im Unternehmen: Handlungsempfehlung https://www.allianz-fuer-cybersicherheit.de/BSI-CS_133 - BSI-CS_057 – IPv6-Netzkonzepte: Handlungsempfehlung https://www.allianz-fuer-cybersicherheit.de/BSI-CS_057 - RFC 4890 – ICMPv6 Filtering Guidelines https://tools.ietf.org/html/rfc4890 - RIPE-554 – IPv6-Anforderungen an Geräte und Software https://www.ripe.net/publications/docs/ripe-554 - Google IPv6 Statistics (Stand 2025) https://www.google.com/intl/en/ipv6/statistics.html --- ## Fragen & Diskussion > Wie ist der IPv6-Status in eurer Umgebung? > Welche Herausforderungen gibt es bei Planung und Betrieb? > Wer hat bereits IPv6-only-Abschnitte erfolgreich umgesetzt?