Deutsch
Menü

DHCPv6 vs. SLAAC: IPv6-Adressvergabe, Zustand, Gateway und DNS, Einsatz

Ein IPv6-Host kann eine Adresse auf zwei Wegen automatisch erhalten: mit DHCPv6 und mit SLAAC. Bei SLAAC (zustandslose Adressautokonfiguration, RFC 4862) erfährt der Host das Präfix des Links aus den Router Advertisements (RAs), die Router senden, erzeugt seine eigene Interface-ID und setzt die Adresse zusammen. Kein Server führt Buch darüber, welcher Host welche Adresse verwendet, daher heißt es „zustandslos“. Bei DHCPv6 (RFC 8415) wählt wie bei DHCP für IPv4 ein Server eine Adresse, vergibt sie befristet und zeichnet sie auf. In beiden Fällen wird das Standardgateway aus RAs gelernt. Es gibt auch eine Kombination namens zustandsloses DHCPv6, bei der die Adresse per SLAAC gebildet wird und nur andere Informationen wie die Adresse des DNS-Servers von DHCPv6 kommen.

MerkmalDHCPv6SLAAC
Wer die Adresse festlegtDer DHCPv6-Server, der eine aus dem von ihm verwalteten Bereich wählt und befristet vergibtDer Host selbst, der das aus RAs gelernte Präfix mit einer selbst erzeugten Interface-ID kombiniert
ZustandZustandsbehaftet: Der Server zeichnet auf, welche Adresse er an welchen Host vergeben hatZustandslos: Kein Server zeichnet Adresszuweisungen auf
VoraussetzungenEin DHCPv6-Server (und ein Relay-Agent, wenn er an einem anderen Link liegt) sowie RAs, die Hosts anweisen, DHCPv6 zu verwendenEin Router, der RAs mit dem Präfix sendet
Verwendete NachrichtenUDP (Port 546 für Clients, 547 für Server und Relay-Agents); der Grundablauf ist Solicit, Advertise, Request und ReplyRouter Solicitation (RS) und Router Advertisement (RA) aus der Neighbor Discovery (NDP) von ICMPv6
StandardgatewayWird nicht von DHCPv6 geliefert; verwendet wird die Link-Local-Adresse des Routers, der das RA gesendet hatVerwendet wird die Link-Local-Adresse des Routers, der das RA gesendet hat
Adresse des DNS-ServersWird in einer DHCPv6-Option geliefertWird in einer RA-Option (RDNSS) oder per zustandslosem DHCPv6 geliefert
Interface-ID (untere 64 Bit)Vom Server gewähltEUI-64-Format, aus der MAC-Adresse abgeleitet, oder ein auf Zufallszahlen beruhender Wert; aus Datenschutzgründen verwenden viele Betriebssysteme zufallsbasierte Werte
Präfixlänge und DelegationVergibt Adressen einzeln und funktioniert daher auch mit anderen Präfixen als /64; kann zudem ganze Präfixe an Router delegieren (DHCPv6-PD)Setzt in der Regel ein /64-Präfix voraus; kann keine Präfixe delegieren
Wie leicht sich Adressen nachverfolgen lassenDie Aufzeichnungen des Servers zeigen, welcher Host welche Adresse verwendet; Clients werden über eine Kennung namens DUID identifiziertEs gibt keine Serveraufzeichnungen; um die Adresse eines Hosts zu finden, muss man etwa den Neighbor Cache des Routers prüfen

Die Zahlenwerte sind typische Größenordnungen und variieren je nach Prozessgeneration und Produkt.

Wann welche Variante?

DHCPv6
Unternehmensnetze, die verwalten und aufzeichnen wollen, welche Adresse welchem Host zugewiesen wurde, und Anbieterleitungen, die Präfixe an Router vergeben (DHCPv6-PD). Manche Host-Betriebssysteme können keine Adresse per DHCPv6 beziehen, daher die Unterstützung prüfen.
SLAAC
Wenn Adressen einfach und ohne Betrieb eines Servers vergeben werden sollen, wie in Haushalten und vielen LANs. Informationen zum DNS-Server liefert die RDNSS-Option des RA oder zustandsloses DHCPv6.

Häufige Fragen

Braucht man bei DHCPv6 trotzdem Router Advertisements (RAs)?

Ja. DHCPv6 kann kein Standardgateway liefern; Hosts verwenden die Link-Local-Adresse des Routers, der das RA gesendet hat, als Standardgateway. Zudem weisen RAs Hosts mit dem M-Flag (Managed) an, Adressen per DHCPv6 zu beziehen, und mit dem O-Flag (Other), andere Informationen wie DNS-Server per DHCPv6 zu beziehen.

Was ist zustandsloses DHCPv6?

Eine Konfiguration, bei der Hosts ihre Adressen per SLAAC selbst bilden und nur Informationen außer der Adresse, etwa die Adressen der DNS-Server, von einem DHCPv6-Server erhalten. Der Server zeichnet nicht auf, welche Adresse zu welchem Host gehört, daher „zustandslos“. Hosts werden über ein RA mit M-Flag 0 und O-Flag 1 angewiesen, es zu nutzen.

Wie vermeidet SLAAC doppelte Adressen?

Bevor der Host eine selbst gebildete Adresse verwendet, prüft er per Neighbor Discovery, dass kein anderes Gerät dieselbe Adresse nutzt. Das heißt Duplicate Address Detection (DAD). Eine als doppelt erkannte Adresse wird nicht verwendet. Per DHCPv6 bezogene Adressen werden auf dieselbe Weise geprüft.

Lässt sich ein Host über seine SLAAC-Adresse verfolgen?

Bei einer aus der MAC-Adresse abgeleiteten EUI-64-Interface-ID sind die unteren 64 Bit in jedem Netzwerk gleich, was den Host leichter verfolgbar macht. Deshalb werden zufällig wirkende, je Netzwerk unterschiedliche Interface-IDs (RFC 7217) und temporäre Adressen, die sich mit der Zeit ändern (RFC 8981), verwendet.

Verständnis prüfen

Welcher Bereich enthält bei IPv6 die Link-Local-Adressen, die nur innerhalb derselben Verbindung (Link) verwendet werden und auf jeder Schnittstelle, die IPv6 nutzt, stets automatisch konfiguriert sind?

  1. A2001:db8::/32
  2. Bff00::/8
  3. Cfe80::/10
Antwort und Erläuterung anzeigen

Antwort: C. fe80::/10

Link-Local-Adressen liegen im Bereich fe80::/10; sie werden nicht über Router hinaus weitergeleitet und nur für die Kommunikation innerhalb derselben Verbindung verwendet. Sie dienen etwa dem Austausch bei der Nachbarerkennung (NDP) und bei Router Advertisements, und auch das Standardgateway eines Endgeräts ist normalerweise die Link-Local-Adresse des Routers. 2001:db8::/32 ist ein Bereich, der für Beispiele in Erklärungen und Dokumenten reserviert ist (Dokumentationsadressen). ff00::/8 enthält die Multicast-Adressen; IPv6 verwendet Multicast anstelle von Broadcast.

Wie erzeugt ein Endgerät bei SLAAC (zustandsloser Adressautokonfiguration) von IPv6 eine globale Unicast-Adresse?

  1. AEs fragt einen DHCPv6-Server an und least für eine bestimmte Zeit eine vom Server verwaltete 128-Bit-Adresse
  2. BEs kombiniert das /64-Präfix aus dem Router Advertisement (RA) eines Routers mit einer selbst erzeugten Interface-ID (den unteren 64 Bit) und verwendet die Adresse, nachdem es geprüft hat, dass kein anderes Gerät dieselbe Adresse hat
  3. CEs setzt seine eigene IPv4-Adresse unverändert in die unteren 32 Bit und füllt die oberen Bits mit einem Wert auf, der mit fe80 beginnt
Antwort und Erläuterung anzeigen

Antwort: B. Es kombiniert das /64-Präfix aus dem Router Advertisement (RA) eines Routers mit einer selbst erzeugten Interface-ID (den unteren 64 Bit) und verwendet die Adresse, nachdem es geprüft hat, dass kein anderes Gerät dieselbe Adresse hat

Bei SLAAC erfährt ein Endgerät das Präfix seiner Verbindung (normalerweise ein /64) aus den Router Advertisements (RAs), die Router periodisch oder auf Anfrage senden. Es kombiniert dieses mit einer Interface-ID, entweder im EUI-64-Format aus seiner MAC-Adresse oder auf Basis eines Zufallswerts, zu einer Adresse. Vor der Verwendung prüft das Endgerät mithilfe der Nachbarerkennung, dass kein anderes Gerät dieselbe Adresse verwendet (Duplicate Address Detection, DAD). Die Link-Local-Adresse des Routers, der das RA gesendet hat, wird zum Standardgateway, und weil kein Server die Adressvergabe verwaltet, heißt das Verfahren „zustandslos“ (stateless). Die Adressen der DNS-Server werden über eine Option im RA oder über zustandsloses DHCPv6 mitgeteilt.

Eine Schnittstelle mit der MAC-Adresse 00-1A-2B-3C-4D-5E erzeugt per SLAAC aus dem Präfix 2001:db8:1:1::/64 und einer Interface-ID im EUI-64-Format eine Adresse. Welche Adresse ergibt sich?

  1. A2001:db8:1:1:21a:2bff:fe3c:4d5e
  2. B2001:db8:1:1:1a:2bff:fe3c:4d5e
  3. C2001:db8:1:1:21a:2bfe:ff3c:4d5e
Antwort und Erläuterung anzeigen

Antwort: A. 2001:db8:1:1:21a:2bff:fe3c:4d5e

Im EUI-64-Format wird die 48-Bit-MAC-Adresse in ihre oberen 24 Bit und ihre unteren 24 Bit geteilt, und dazwischen wird FF-FE eingefügt, sodass sich 64 Bit ergeben. Zwischen 00-1A-2B und 3C-4D-5E eingefügt, ergibt das 00-1A-2B-FF-FE-3C-4D-5E. Außerdem wird das zweitniedrigste Bit des ersten Bytes (das U/L-Bit) invertiert, sodass aus 00 der Wert 02 wird: 02-1A-2B-FF-FE-3C-4D-5E. In 16-Bit-Gruppen aufgeteilt und ohne führende Nullen jeder Gruppe ergibt das 21a:2bff:fe3c:4d5e, mit dem Präfix also die Adresse 2001:db8:1:1:21a:2bff:fe3c:4d5e. Weil ein Endgerät leichter verfolgt werden kann, wenn seine Adresse die MAC-Adresse verrät, verwenden die meisten heutigen Betriebssysteme Interface-IDs auf Basis von Zufallswerten.

  1. Endgeräte in VLAN 20 (192.168.20.0/24) sollen ihre Adressen von einem DHCP-Server 10.0.0.5 in einem anderen Netzwerk erhalten. Dazu wird auf der Schnittstelle 192.168.20.1 des L3-Switches, die das Standardgateway von VLAN 20 ist, ein DHCP-Relay-Agent konfiguriert. Welche Beschreibung der Arbeitsweise des Relay-Agents ist richtig?
  2. In welcher Reihenfolge laufen die Nachrichten ab, wenn ein Gerät per DHCP eine IP-Adresse bezieht?

Übungsfragen zu Netzwerkdesign und Netzwerkbetrieb

Wichtige Begriffe erklärt

SLAAC (zustandslose Adressautokonfiguration)
Mechanismus von IPv6, bei dem ein Endgerät das Netzwerkpräfix (normalerweise ein /64) aus den Router Advertisements (RAs) der Router erfährt und es mit einer selbst erzeugten Interface-ID kombiniert, um automatisch eine Adresse zu konfigurieren. Die Interface-ID wird entweder im EUI-64-Format aus der MAC-Adresse gebildet oder beruht auf einem Zufallswert, um eine Verfolgung zu verhindern. Vor der Verwendung prüft das Endgerät mit der Duplicate Address Detection (DAD), dass kein anderes Gerät die Adresse hat.
DHCP (Dynamic Host Configuration Protocol)
Protokoll, das Geräten, die sich mit einem Netzwerk verbinden, automatisch und befristet IP-Adresse, Subnetzmaske, Standardgateway, DNS-Server und weitere Einstellungen zuweist.
IPv6
Version 6 von IP. Sie erweitert die Adressen auf 128 Bit, geschrieben als acht Gruppen zu 16 Bit in hexadezimaler Schreibweise (Basis 16), etwa 2001:db8::1. Der Header ist mit festen 40 Byte einfacher, und Router auf dem Weg fragmentieren keine Pakete. IPv6 ist nicht mit IPv4 kompatibel, daher erfolgt der Übergang mit Dual Stack, bei dem beide gleichzeitig laufen, und mit Übersetzungsmechanismen.
Standardgateway (Default Gateway)
Router, dem ein Endgerät Pakete an Ziele in anderen Netzwerken übergibt. Das Endgerät entscheidet anhand seiner Subnetzmaske, ob ein Ziel im selben Netzwerk liegt, und sendet andernfalls an diesen Router.
DNS (Domain Name System)
System, das Domainnamen wie www.example.com den für die Kommunikation verwendeten IP-Adressen zuordnet und verteilt von Servern auf der ganzen Welt verwaltet wird.
MAC-Adresse
48-Bit-Adresse, die bei Ethernet und WLAN Geräte innerhalb desselben Netzwerks bezeichnet. Die oberen 24 Bit kennzeichnen den Hersteller, und sie wird bei der Herstellung jeder Schnittstelle zugewiesen.
ICMP (Internet Control Message Protocol)
Protokoll zum Melden von Fehlern und Zuständen in der IP-Kommunikation. Es teilt dem Absender zum Beispiel mit, dass ein Ziel nicht erreichbar ist (Destination Unreachable) oder dass die TTL eines Pakets 0 erreicht hat (Time Exceeded). ping prüft mit Echo Request und Echo Reply die Erreichbarkeit und misst die RTT, und traceroute verfolgt mit Time-Exceeded-Meldungen einen Pfad. Bei IPv6 übernimmt ICMPv6 auch die Nachbarerkennung und weitere Aufgaben.

Verwandte Vergleiche