Site icon bintorosoft.com

IPv6 Troubleshooting: RA/ND, SLAAC, DHCPv6 und Prefix Filter

Red Snapper

Technology network

IPv6 Troubleshooting ist in vielen Umgebungen der Moment der Wahrheit: Auf dem Papier ist IPv6 „einfach nur eine größere Adresse“, in der Praxis hängen jedoch Adressvergabe, Default Gateway, Neighbor Discovery, Sicherheitsfilter und Routing viel enger zusammen als in klassischen IPv4-Designs. Typische Symptome klingen zunächst banal – Clients bekommen keine IPv6-Adresse, DNS funktioniert nur teilweise, einzelne Ziele sind über IPv6 nicht erreichbar, oder Verbindungen brechen nach Minuten ab. Doch hinter diesen Symptomen stecken meist ganz konkrete Mechanismen: Router Advertisements (RA) steuern SLAAC und Default Route, Neighbor Discovery (ND) ersetzt ARP und ist gleichzeitig ein Angriffsvektor, DHCPv6 kann ergänzen oder widersprechen, und Prefix Filter entscheiden darüber, ob ein Netz überhaupt „glaubt“, dass ein Prefix gültig ist. Wer IPv6 Troubleshooting methodisch angeht, muss daher nicht „raten“, sondern die Kette aus Signalen prüfen: Welche RAs kommen an? Welche Flags sind gesetzt? Welche Prefix Information Options (PIO) werden verteilt? Wie sehen Neighbor Cache und Duplicate Address Detection (DAD) aus? Gibt es RA Guard oder ND Inspection, die legitime Pakete droppen? Und sind in der Infrastruktur Prefix-Filter, Route-Maps oder uRPF-Regeln aktiv, die IPv6 anders behandeln als IPv4? Dieser Artikel zeigt eine praxiserprobte Vorgehensweise, um RA/ND, SLAAC, DHCPv6 und Prefix Filter schnell einzuordnen, Fehler sauber nachzuweisen und stabile Fixes umzusetzen.

Das IPv6-Grundprinzip für Troubleshooting: Erst „Local“, dann „Global“

IPv6 startet immer lokal. Bevor Sie globales Routing, Firewall-Regeln oder Application-Fehler untersuchen, prüfen Sie die L2/L3-Basis:

Dieses Vorgehen verhindert den häufigsten Zeitfresser: stundenlang an Routing oder Firewall zu drehen, obwohl schlicht keine gültige RA am Client ankommt.

RA und ND: Das „Steuergerät“ des IPv6-Access

Router Advertisements (RA) sind ICMPv6-Nachrichten, die Hosts mitteilen, wie sie sich im Netz verhalten sollen: Prefixe für SLAAC, Default Router Lifetime, MTU und wichtige Flags, die DHCPv6 signalisieren. ND (Neighbor Discovery) ist der Mechanismus, der IPv6-Neighbors auflöst, Erreichbarkeit prüft und Router ermittelt. Im Gegensatz zu ARP ist ND stärker in IPv6 integriert und wird häufig durch Security-Features beeinflusst.

Technischer Hintergrund zu ND und RA ist in RFC 4861 (Neighbor Discovery) beschrieben. Für SLAAC und Address Autoconfiguration ist RFC 4862 zentral.

SLAAC verstehen: Wenn „Adresse da“ nicht bedeutet „Connectivity da“

SLAAC (Stateless Address Autoconfiguration) ist für viele Teams ungewohnt, weil Hosts sich selbst konfigurieren – aber nur, wenn RA korrekt ist. Für Troubleshooting ist entscheidend, was der Router im RA wirklich ausliefert.

Die wichtigsten RA-Bausteine für SLAAC

Typische SLAAC-Fehlerbilder

DHCPv6 richtig einordnen: Stateful, Stateless und die Flags im RA

DHCPv6 ist in IPv6 nicht automatisch „der Adressdienst“ wie DHCP in IPv4. Oft wird DHCPv6 für DNS-Optionen genutzt, während Adressen per SLAAC kommen. Der Router signalisiert das Verhalten über RA-Flags.

M-Flag und O-Flag: Die beiden wichtigsten Schalter

Wenn M/O falsch gesetzt sind, entsteht ein Klassiker: Der Host wartet auf DHCPv6, bekommt aber keinen Server (oder umgekehrt), und verhält sich dadurch „inkonsistent“ zwischen Betriebssystemen.

DHCPv6-Symptome, die oft missverstanden werden

Als Überblick zu DHCPv6 hilft RFC 8415 (DHCPv6), insbesondere für Message-Flow und Ports.

ND und DAD debuggen: Wenn Neighbor Resolution die eigentliche Ursache ist

Viele IPv6-Störungen wirken wie Routing-Probleme, sind aber ND-Probleme: Neighbor Entries fehlen, sind „stale“, oder DAD schlägt fehl. Das Ergebnis: Verbindungen bauen nicht auf, obwohl Adressen und Default Route korrekt aussehen.

High-Signal Indikatoren für ND-Probleme

ND-Sicherheit: RA Guard, ND Inspection und ihre Nebenwirkungen

Security-Features sind in IPv6 essenziell, können aber legitimen Traffic droppen, wenn sie falsch konfiguriert sind. Typische Fehler: RA Guard blockt echte Router-RAs, oder ND Inspection blockt NA/NS, weil Binding-Tabellen nicht konsistent sind.

Prefix Filter: Die unterschätzte Quelle für „IPv6 geht nicht“

Prefix Filter sind im IPv6-Kontext besonders wichtig, weil IPv6-Designs häufig mit Aggregation, mehreren Prefixes pro Standort und dynamischen Advertisements arbeiten. Gleichzeitig sind Prefix Filter häufig „zu hart“, weil Teams sie aus IPv4-Denkmustern übernehmen oder IPv6-Ranges falsch einschätzen.

Wo Prefix Filter typischerweise greifen

Typische Prefix-Filter-Fehlerbilder

ICMPv6 ist kein „optional“: Wenn Filter IPv6 kaputt machen

Ein extrem häufiger IPv6-Fehler ist das übermäßige Blocken von ICMPv6. Während man in IPv4 oft „ICMP blocken“ als vermeintliche Härtung gesehen hat, ist ICMPv6 integraler Bestandteil von ND, PMTUD und Fehlerdiagnose. Zu harte ICMPv6-Filter führen zu schwer erklärbaren Symptomen, insbesondere zu MTU-Problemen und zu fehlender Neighbor-Funktion.

Für PMTUD in IPv6 ist RFC 8201 relevant. Für IPv6-Grundlagen und Header-Verhalten ist RFC 8200 hilfreich.

Toolchain für IPv6 Troubleshooting: schnell, reproduzierbar, beweisbar

IPv6 Troubleshooting wird deutlich schneller, wenn Sie ein kleines Set an Werkzeugen konsequent nutzen und die Ergebnisse als Beweisführung dokumentieren.

Praxis-Workflows: Die häufigsten IPv6 Incidents strukturiert lösen

Incident 1: „Client hat keine IPv6-Adresse“

Incident 2: „Adresse da, aber kein Internet/kein Default Gateway“

Incident 3: „IPv6 geht, aber DNS nicht“

Incident 4: „Nur manche Ziele funktionieren“

Runbook-Baustein: IPv6 Troubleshooting in 15 Minuten

Weiterführende Quellen

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version