<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal section { text-align: left; padding: 20px 40px !important; } .reveal h2 { font-size: 34px !important; margin-bottom: 10px !important; } .reveal ul li { font-size: 26px !important; line-height: 1.25 !important; margin-bottom: 6px !important; } .reveal code { font-size: 24px !important; } </style> ## IPv6 – (SLAAC) - **Bildung von** -- Link-Local-Adressen -- Global-Adressen --- ## Bildung der Link-Local-Adresse (fe80::/64) - **Automatische Erzeugung** bei Interface-Start - **Fester Präfix**: `fe80::/64` (nur im lokalen Netz gültig) - **Interface Identifier (IID)**: letzte 64 Bit --- ### Zwei Verfahren zur IID-Bildung: **EUI-64 (aus MAC-Adresse)** - MAC teilen: `00-11-22` | `33-44-55` - `ff-fe` einfügen: `00-11-22-ff-fe-33-44-55` - 2 Bit aus dem ersten Byte invertieren: `02-11-22-ff-fe-33-44-55` - Ergebnis: `fe80::211:22ff:fe33:4455` **Privacy Extensions (Zufällig)** - Zufällige IID-Generierung - Schutz vor Tracking - Standard in modernen Betriebssystemen --- ### Temporäre Privacy-Adressen (RFC 4941) - Zusätzlich zur stabilen Adresse kann eine **kurzlebige Adresse** erzeugt. - Basis: zufällige IID (nicht aus MAC, nicht stabil). - Lebensdauer begrenzt: - *Preferred Lifetime* ≈ 1 Tag - *Valid Lifetime* ≈ 7 Tage - Wird **nur für ausgehenden Traffic** verwendet (z. B. Webzugriffe). - Schutz vor Tracking durch wechselnde Absenderadresse. - Stabile Adresse bleibt parallel aktiv für eingehenden Verkehr. --- ## Privacy Extensions – Linux - Steuerung der zufälligen IID-Bildung (statt EUI-64) - 0 = deaktiviert (nur EUI-64) - 1 = temporäre Adressen zusätzlich - 2 = temporäre Adressen bevorzugt (Standard) - Beispiel: - sysctl -w net.ipv6.conf.all.use_tempaddr=2 --- ## Privacy Extensions – Windows - Steuerung der zufälligen IID-Bildung (statt EUI-64) - Anzeigen aktueller Einstellungen: Get-NetIPv6Protocol - Aktivieren zufälliger IIDs: Set-NetIPv6Protocol -RandomizeIdentifiers Enabled Set-NetIPv6Protocol -UseTemporaryAddresses Enabled - Deaktivieren (nur EUI-64 verwenden): Set-NetIPv6Protocol -RandomizeIdentifiers Disabled Set-NetIPv6Protocol -UseTemporaryAddresses Disabled - Kontrolle der aktiven Adressen: Get-NetIPAddress -AddressFamily IPv6 --- ## Duplicate Address Detection (DAD) - **Sicherstellung der Adresseneindeutigkeit** - Host sendet **Neighbor Solicitation** für eigene Adresse - **Ziel**: `solicited-node multicast address` - **Ergebnisse**: - Keine Antwort → Adresse frei und wird verwendet - Antwort vorhanden → Adresse bereits vergeben - Bei Kollision: Neue IID generieren - **Erst nach erfolgreichem DAD** ist Adresse aktiv --- ## Router Discovery: RS/RA - **Router Solicitation (RS)** - Typ 133, Ziel: `ff02::2` (alle Router) - "Gibt es Router in diesem Netz?" - **Router Advertisement (RA)** - Typ 134, regelmäßig oder auf RS-Antwort - Enthält Konfigurationsinformationen: - Netzwerk-Präfix (z.B. `2001:db8:1000:1::/64`) - A/M/O-Flags (Autonomous, Managed, Other) - Preferred/Valid Lifetime - Standard-Router-Information - DNS und SEARCH --- ## SLAAC: Globale Adressbildung - **Stateless Address Autoconfiguration** - **Voraussetzung**: A-Flag = 1 im RA --- ### Bildungsschritte: - Präfix aus RA übernehmen (`2001:db8:1000:1::/64`) - IID bilden (EUI-64 oder zufällig) - Adresse zusammensetzen: Präfix + IID - DAD für globale Adresse durchführen **Beispiel:** - Präfix: 2001:db8:1000:1:: - IID: 0211:22ff:fe33:4455 - Adresse: 2001:db8:1000:1:211:22ff:fe33:4455 --- ## RA-Flags: A, M, O - **A-Flag (Autonomous)** - 1 = SLAAC aktiv, Host bildet eigene Adresse - 0 = Keine automatische Adressbildung - **M-Flag (Managed)** - 1 = DHCPv6 für Adresskonfiguration verwenden - 0 = Keine DHCPv6-Adressvergabe - **O-Flag (Other)** - 1 = Zusätzliche Informationen per DHCPv6 - 0 = Keine weiteren DHCPv6-Informationen **Typische Kombinationen:** - A=1, M=0, O=0 → Reine SLAAC-Konfiguration - A=0, M=1, O=1 → DHCPv6 für Adressen + weitere Info --- ## Adress-Lebenszeiten - **Preferred Lifetime** - Zeit, in der Adresse normal verwendet werden kann - Standard: 7 Tage - **Valid Lifetime** - Gesamte Gültigkeitsdauer der Adresse - Standard: 30 Tage - **Ablauf der Preferred Lifetime** - Adresse wird "deprecated" - Neue Verbindungen vermeiden diese Adresse - Bestehende Verbindungen bleiben aktiv - **Ablauf der Valid Lifetime** - Adresse wird ungültig - Keine Kommunikation mehr möglich --- ## Zusammenspiel der Adressen - **Link-Local-Adresse** - Immer vorhanden (`fe80::/64`) - Nur lokal gültig - Für Router Discovery und Neighbor Discovery - **Globale Adresse** - Durch SLAAC gebildet - Weltweit routbar - Für "normale" Kommunikation - **Gleichzeitige Nutzung** - Beide Adressen sind aktiv - Automatische Auswahl je nach Ziel - Link-Local für lokale, Global für externe Kommunikation