## Was ist Dual-Stack? - Parallelbetrieb von IPv4 und IPv6 - Systeme haben beide Protokolle aktiv - IPv6 wird bevorzugt genutzt - IPv4 bleibt als Fallback erhalten --- ## Voraussetzungen für Dual-Stack - IPv6-fähige Router und Firewalls - IPv6-Adressen über Provider oder intern - DNS-Server müssen AAAA-Records ausliefern - Clients benötigen IPv6-Stack aktiviert --- ## Anpassung der Netzwerkinfrastruktur - Router-Interfaces mit IPv6-Adressen versehen - IPv6-Routing aktivieren (OSPFv3, BGP, etc.) - Firewalls eigene IPv6-Regeln erstellen - VLANs und Subnetze für IPv6 planen --- ## DHCPv6 und SLAAC einrichten - Entscheidung: SLAAC, DHCPv6 oder kombiniert - Stateless: Router Advertisement + DNS-Optionen - Stateful: Vollständige Adressvergabe via DHCPv6 - Mischbetrieb möglich (je nach Bedarf) --- ## DNS-Integration - AAAA-Records für alle Dienste erstellen - Reverse-DNS (ip6.arpa) konfigurieren - DNS64 optional für reine IPv6-Clients - Getrennte Pflege von A- und AAAA-Records --- ## Sicherheitsaspekte beachten - IPv6 eigene Firewall-Policies erstellen - ICMPv6 erlauben für Funktionalität (z.B. MTU) - Privacy Extensions berücksichtigen - Router Advertisement Guard (RA Guard) aktivieren --- ## Monitoring und Logging - SNMPv3 und Syslog über IPv6 testen - IPv6-Audit-Trails separat dokumentieren - Monitoring-Tools auf Dual-Stack anpassen - Logformate IPv6-kompatibel gestalten --- ## Vor- und Nachteile Dual-Stack - Vorteil: Sanfte Migration, keine Brüche - Vorteil: Kompatibilität mit alter Infrastruktur - Nachteil: Doppelter Wartungsaufwand - Nachteil: Komplexere Fehlersuche --- ## Weitere Nachteile Dual-Stack - IPv4-Adressmangel begrenzt Segmentierung - IPv6-Segmentierungspotenzial wird nicht genutzt - Erhöhte Komplexität bei Netzplanung - Sicherheitsrichtlinien doppelt pflegen --- ## Typische Risiken - Ungeschützte IPv6-Zugänge (vergessene Filter) - DNS-Misskonfigurationen - Performanceprobleme bei falschem Protokoll-Fallback - Inkompatible Altgeräte ohne IPv6-Support --- ## Dual-Stack: Best Practices - IPv6 ab Projektbeginn einplanen - Firewall-Policies symmetrisch erstellen - DNS und DHCP vollständig dual-stackfähig machen - IPv6-Routing von Beginn an testen --- ## IPv6-Adressen planen - Nutzung von Aggregationen vermeiden - Öffentliche Präfixe sauber segmentieren - ULA nur für interne Dienste - Dokumentation der Adressierung konsequent führen --- ## Firewall-Regeln im Dual-Stack - Separate IPv6-Regeln, kein IPv4-Reuse - ICMPv6 essenzielle Typen erlauben - Standardmäßig eingehend restriktiv - Tunnel und Übergangsmechanismen explizit kontrollieren --- ## Migration der Server - Server IPv6-Adressen fest vergeben - Dienste auf IPv6 hören lassen - IPv6-Ready Tests durchführen - Notfallpläne bei Erreichbarkeitsproblemen --- ## Migration der Clients - Clients IPv6-Aktivierung überprüfen - DHCPv6/SLAAC-Funktionalität testen - Software-Updates auf IPv6-Kompatibilität prüfen - Mobile Devices und VPNs berücksichtigen --- ## Besonderheiten im Dual-Stack Betrieb - IPv6-Verkehr bevorzugt durch RFC 6724 - DNS-Auflösungen müssen beide Protokolle liefern - Anwendungen müssen Protokollwechsel aushalten - IPv4 bleibt aktiv, bis IPv6 flächendeckend nutzbar --- ## Typische Probleme im Dual-Stack - DNS falsch oder unvollständig konfiguriert - Präferenzprobleme (IPv4 bevorzugt trotz IPv6) - Firewall-Fehler IPv6-seitig - Zeitüberschreitungen bei kaputten IPv6-Routen --- ## Dual-Stack in der Praxis - Beginn mit Testnetzen - Kleinere Standorte zuerst umstellen - Monitoring für beide Protokolle aufbauen - Endbenutzer frühzeitig informieren --- ## IPv6-Troubleshooting Basics - ping6 und traceroute6 verwenden - Neighbor Discovery Protocol (NDP) prüfen - DNS-Abfragen für AAAA-Records testen - MTU- und Fragmentierungsprobleme beachten --- ## Langfristige Strategie - Fokus auf natives IPv6 legen - Dual-Stack als temporären Zustand betrachten - IPv4-Reduktion schrittweise einplanen - Ablösung von IPv4 langfristig als Ziel --- ## Zusammenfassung - Dual-Stack ermöglicht sanfte IPv6-Einführung - Doppelte Pflege von IPv4 und IPv6 notwendig - Sicherheit und Monitoring müssen angepasst werden - Ziel bleibt: vollständiger IPv6-Betrieb