IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbHEin Node ist ein Gerät, das über ein oder mehrere Interfaces an ein oder mehrere Netzwerkeangeschlossen ist. Ein Router ist ein Node, der Pakete weiterleitet, die nicht an ihn selbstgerichtet sind. Ein Host ist ein Node, der kein Router ist.Ein Interface ist die Einrichtung eines Nodes, über das der Node an ein Netzwerkangeschlossen werden kann. Das Netzwerk wird in IPv6-Terminologie auch als Linkbezeichnet. Aus der Sicht eines spezifischen Nodes, der an einen Link angeschlossen ist,werden alle weiteren Nodes, die an denselben Link angeschlossen sind, als on-linkbezeichnet; diese Nodes werden auch als Nachbarn (Neighbors) bezeichnet. Nodes, dienicht on-link sind und nur über wenigstens einen Router erreichbar sind, werden auch als offlinkbezeichnet.Netze und die daran angeschlossenen Nodes formen eine Site, wenn sie – in einemgeeigneten Sinn – einer gemeinsamen und zusammenhängenden Verwaltung unterstelltsind.2 Motivation und grundlegende Eigenschaften von IPv6In diesem Abschnitt werden die für diesen Artikel relevanten Konzepte von IPv6 in Kurzformvorgestellt. Detaillierte Beschreibungen finden sich in den einschlägigen RFCs. Eine relativaktuelle und breite Darstellung der IPv6-Konzepte wurden von Silvia Hagen [Hagen 2009]sowie durch NIST [NIST SP800-119] gegeben; für Praktiker ist vor allem das Buch vonBenedikt Stockebrand [Stockebrand 2010] von Nutzen.2.1 Die IPv4-ProblematikDie Entwicklung von IPv6 wurde durch verschiedene Probleme und Erfahrungen mit IPv4motiviert:Aufzehrung des AdressraumsDer offensichtlichste Mangel von IPv4 besteht in der Knappheit an global routbaren Unicast-Adressen 4 . Diese Knappheit ist teilweise dem anfänglich kaum vorhersehbaren Wachstumdes Internet und teilweise der unbedachten Vergabepraxis in den Anfangsjahren geschuldet,in denen großzügig Class-A und -B-Netze vergeben wurden. Viele dieser Zuweisungenhaben sich im Nachhinein als sachlich nicht gerechtfertigt gezeigt. Die Architektur von IPv4lässt keine einfachen Auswege aus dieser Situation zu: Eine Rückgabe ungenutzterNetzbereiche führt zu starker Fragmentierung des Adressraums (s. u.); ein Austausch vongroßen Netzblöcken gegen kleinere Netzblöcke führt zu signifikanten Ausfallzeiten, da diebetroffenen Systeme neu adressiert (d. h. umnummeriert) werden müssen.Dem steht eine zunehmende Zahl von Endgeräten gegenüber, die vernetzt werden sollen,angefangen von zahlreichen mobilen Geräten (Smartphones, Tablets usw.) einerwachsenden Nutzerbasis bis hin zum sprichwörtlichen Kühlschrank mit IP-Adresse undanderen integrierten Steuersystemen. Als Folge dessen wurde NAT dazu verwendet, um denknapper werdenden, verbleibenden Adressraum besser auf ein stark wachsendes Internet zuverteilen.Network Address Translation (NAT)NAT ist ein Netzwerkmechanismus, bei dem zunächst IP-Adressen auf andere IP-Adressenabgebildet werden. Hierbei sind verschiedene Formen möglich, auf die hier nicht nähereingegangen werden soll; hierfür wird auf RFC 3489 für eine Beschreibung verwiesen.4 Landläufig auch als „öffentliche IP-Adressen“ bekannt.Secorvo White Paper IPv6 Seite 6 von 67WP IPv6 11 Stand 08. Oktober 2013