<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal ul li { font-size: 28px !important; line-height: 1.3 !important; margin-bottom: 10px !important; } .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ## IPv6 – Einführung & Zielsetzung Leitplanken, Nutzen, Risiken und organisatorische Einordnung nach BSI ISi-L. --- ## Warum jetzt? - IPv4 ist knapp, komplex und teuer in der Pflege - IPv6 ist Standard in OS/Stacks – oft bereits „unsichtbar aktiv“ - Zunehmend IPv6-Only-Dienste, Cloud & Mobile im Fokus - Wer nicht plant, bekommt Wildwuchs statt Strategie --- ## Zielsetzung - Klarer Rahmen für **Planung, Betrieb und Sicherheit** - **Dual-Stack bewusst steuern**, nicht passieren lassen - **Übergangsstrategie** mit definiertem Rückbauziel - IPv6 als **Teil der Governance/ISMS**, nicht Bastelthema --- ## Bezug: BSI ISi-L IPv6 - Management-Summary: früh planen, strukturiert umsetzen - IPv6-Überblick: Adressierung, Autokonfiguration, ICMPv6 - Risiken & Chancen: technisch **und** organisatorisch denken - Wir adaptieren: **Praxis- und Audit-Tauglichkeit** im Vordergrund --- ## Kernbegriffe (kompakt) - **Dual Stack**: IPv4+IPv6 parallel - **SLAAC/DHCPv6**: automatische vs. zentrale Vergabe - **RA/ND/ICMPv6**: Steuer-/Nachbarschaftsprotokolle - **GUA/ULA**: global vs. lokal geroutet - **Transition**: NAT64/DNS64, DS-Lite, Proxys (zeitbefristet) --- ## Leitprinzipien - **Organisation vor Technik**: Rollen, Prozesse, Doku - **Single Source of Truth**: IPAM/CMDB führend - **Default-Deny mit IPv6-Spezifika** (ICMPv6 notwendig) - **Transparenz & Nachvollziehbarkeit**: Changes, Reviews --- ## Geschäftlicher Nutzen - Skalierbarkeit ohne Adressakrobatik - Vereinfachte Segmentierung/Policy-Abbildungen - Zukunftsfähigkeit (Cloud, IoT, Mobile) - Reduzierte Komplexität nach IPv4-Abschaltung --- ## Typische Fehlannahmen - „Dual-Stack reicht als Strategie“ - „Firewall blockt IPv6 schon mit“ - „Wir nutzen gar kein IPv6“ - Realität: **OS & Apps nutzen es längst** (Happy Eyeballs) --- ## Organisationsrahmen - IPv6-Verantwortlicher & Steuerungsteam - Rollen: Netzwerk, Security, Betrieb, Doku, Helpdesk - Entscheidungswege & Eskalation dokumentiert - Abgleich mit ISMS/BSI-Grundschutz --- ## Planungsgrundlagen (hochlevel) - Präfixdesign: z. B. **/48 Standort**, **/64 VLAN** - Reservierungen: Loopbacks, P2P, Anycast, Test - Namens-/Schreibregeln, Verantwortlichkeit, Reviews - **Freigabe+Versionierung** in IPAM/CMDB --- ## Prozessanker (ITSM) - Change: jede IPv6-Änderung genehmigt & versioniert - Incident: IPv6-Kategorien/Playbooks - Configuration: CMDB/IPAM verbindlich - Problem: Ursachenanalyse & dauerhafte Fixes --- ## Sicherheitsgrundlagen - ICMPv6 selektiv **erlauben**, nicht verbieten - RA-Guard/DHCPv6-Shield als **First-Hop-Pflicht** - Tunnelmechanismen nur genehmigt (kein Teredo/ISATAP/6to4) - Privacy-Extensions geregelt (Forensik/Compliance) --- ## Übergangstechniken (kurz) - Zulässig: Dual-Stack befristet, NAT64/DNS64, DS-Lite, Proxys - Unzulässig/zu vermeiden: Auto-Tunnel ohne Freigabe - **Rückbauziel** je Anwendung/Netz + IPv4-Abschalt-Roadmap --- ## Werkzeuge & Sichtbarkeit - IPAM/CMDB (z. B. NetBox) → Quelle der Wahrheit - Monitoring (Checkmk/LibreNMS): IPv6-Metriken/Alarme - SIEM/Logs: IPv6-Felder & Korrelation - Reports: Adressauslastung, Policy-Konformität --- ## Schulung & Awareness - Zielgruppenspezifisch: Netzwerk, Security, Helpdesk, Mgmt, Endnutzer - Labs/Hand-on + Troubleshooting-Guides - „IPv6 des Monats“: Erfolge sichtbar machen - Onboarding & Wiederholungen --- ## Risiken & Gegenmaßnahmen - **Dual-Stack-Dauerzustand** → Abschalt-Roadmap - **Policy-Gaps** → IPv6-Regeln eigenständig definieren - **Dokulücken** → Pflichtfelder, Reviews, Audits - **Komplexität** → Übergänge befristen, zurückbauen --- ## KPI & Erfolg - Anteil IPv6-fähiger Dienste/Netze - Rückgang IPv6-bezogener Incidents - Dokumentationsgrad in IPAM/CMDB - Fortschritt ggü. IPv4-Abschalt-Plan --- ## Nächste Schritte - Rollen benennen, Steuerungsteam konstituieren - Adressierungsrichtlinie entwerfen & freigeben - Übergangsrichtlinie inkl. Rückbaukriterien - Pilotnetz + Review + Rollout-Plan --- ## Take-aways - IPv6 ist **Organisationsprojekt** mit Technikanteil - **Planung, Prozesse, Policies** vor Aktivierung - Sichtbarkeit & Auditfähigkeit sichern - Ziel: **geordnete Beerdigung von IPv4**