NAT64/DNS64 auf Cisco Routern: IPv6-only Clients zu IPv4 Services

NAT64 und DNS64 sind Übergangstechniken, mit denen IPv6-only Clients IPv4-only Services erreichen können. NAT64 übernimmt die eigentliche Protokoll- und Adressübersetzung zwischen IPv6 und IPv4, während DNS64 dafür sorgt, dass IPv6-only Clients für IPv4-Hosts eine „synthetische“ AAAA-Antwort erhalten. In der Praxis ist das ein sehr bewährtes Muster für IPv6-only WLANs, neue Campus-Segmente oder Container/Cloud-Umgebungen, in denen…

NPTv6 in der Praxis: Präfix-Translation sauber einsetzen

NPTv6 (Network Prefix Translation) ist eine IPv6-spezifische Präfix-Translation, die nicht wie NAT44/NAT64 mit Ports arbeitet, sondern nur das IPv6-Präfix umschreibt. Damit bleibt die Interface Identifier (Host-Teil) erhalten, und es entsteht keine zustandsbehaftete Port-Translation. In der Praxis nutzt man NPTv6 vor allem für Provider-Wechsel, Multi-Homing oder „renumbering-freundliche“ Designs: Intern verwendest du ein stabiles ULA- oder Unternehmenspräfix,…

IPv6 Routing Expert Guide: RA, ND, Guarding & Troubleshooting

IPv6-Routing-Probleme entstehen im Enterprise selten durch „OSPFv3 kaputt“, sondern viel häufiger am Rand: Router Advertisements (RA), Neighbor Discovery (ND) und fehlende Guardrails. Wenn RA falsch gesetzt ist, bekommen Clients den falschen Default Router. Wenn ND gestört ist, brechen On-Link-Kommunikation, SLAAC und Gateway-Auflösung. Und wenn RA/ND ungeschützt sind, können Rogue RAs, ND-Floods oder falsche Neighbor-Caches ganze…

Dual-Stack Design Patterns: Was im Betrieb wirklich stabil läuft

Dual-Stack ist in Enterprise-Netzen oft die stabilste Übergangsstrategie: IPv4 bleibt verfügbar, während IPv6 parallel produktiv genutzt wird. Die Realität im Betrieb ist jedoch: Dual-Stack verdoppelt nicht nur Adressen, sondern auch Fehlerpfade. Stabil wird es nur mit klaren Design-Patterns, die konsequent durchgezogen werden: einheitliche Default-Gateway-Logik, saubere RA/DHCPv6-Strategie, identische Routing-Topologie für v4/v6, konsistente Security-Policies und saubere Observability.…

CGNAT auf Cisco: Skalierung, Logging, Port Allocation Strategien

CGNAT (Carrier-Grade NAT) ist NAT im großen Stil: Viele private IPv4-Clients teilen sich einen begrenzten Pool öffentlicher IPv4-Adressen. In der Praxis ist CGNAT weniger ein „NAT-Feature“ als ein Betriebsprodukt: Skalierung (Sessions/Ports), deterministische Port-Zuteilung, Logging/Compliance und ein Design, das unter Last stabil bleibt. Auf Cisco-Plattformen (typisch IOS XE mit leistungsfähiger Data Plane) sind die wichtigsten Erfolgsfaktoren:…

NAT Troubleshooting Advanced: Symmetrisches Routing, Asymmetry & State

Advanced NAT Troubleshooting beginnt mit einer unbequemen Wahrheit: NAT ist zustandsbehaftet (State). Solange Hin- und Rückweg denselben NAT-State sehen, funktioniert es. Sobald Routing asymmetrisch wird oder State auf einem anderen Gerät liegt, entstehen „Geisterprobleme“: SYN geht raus, SYN-ACK kommt nie an; UDP funktioniert sporadisch; einzelne Apps brechen bei Failover. In Enterprise- und Provider-Designs ist Asymmetry…

Segment Routing (SR-MPLS) auf IOS XE: SRGB, SID, Policy-Konzept

Segment Routing mit MPLS (SR-MPLS) ist ein modernes Traffic-Engineering- und Transport-Konzept, bei dem der Ingress-Router den Pfad als Segment-Liste (Label-Stack) kodiert, statt im Netz per RSVP-TE pro Tunnel State aufzubauen. Auf IOS XE ist SR-MPLS in der Praxis vor allem drei Dinge: ein konsistenter SRGB (Segment Routing Global Block) für Label-Zuweisungen, saubere SIDs (Node/Prefix/Adjacency) im…

PMTUD Probleme lösen: MSS Clamping, ICMP Filtering und Edge-Cases

PMTUD (Path MTU Discovery) ist der Mechanismus, mit dem Endgeräte die maximale Paketgröße entlang eines Pfads ermitteln, ohne zu fragmentieren. Wenn PMTUD scheitert, bekommst du klassische „Blackhole“-Symptome: kleine Pakete gehen, große nicht; Webseiten laden teilweise; TLS-Handshakes hängen; VPN-Traffic wirkt instabil. Die Ursache ist fast immer eine Kombination aus MTU-Mismatch, blockierten ICMP-Meldungen (IPv4: Fragmentation Needed, IPv6:…

SR Traffic Engineering: Candidate Paths und Constraint-basierte Steuerung

Segment Routing Traffic Engineering (SR-TE) erweitert SR-MPLS um ein kontrollierbares Policy-Modell: Du definierst Policies zu einem Endpoint und gibst mehrere Candidate Paths an, aus denen der Router (oder ein Controller/PCE) abhängig von Präferenzen und Constraints den aktiven Pfad auswählt. Dadurch bekommst du deterministische Pfade, sauberen Failover und die Möglichkeit, Traffic „intelligent“ zu steuern – ohne…

IP SLA für Path Validation: NAT/IPv6/Provider Checks automatisieren

IP SLA ist auf Cisco Routern das Standardwerkzeug, um Pfade aktiv zu validieren – nicht nur „Link up/down“, sondern echte Erreichbarkeit über NAT, IPv6 oder einen Provider hinweg. Genau dafür ist IP SLA im Betrieb so wertvoll: Du misst kontinuierlich, ob ein definierter Zielservice erreichbar ist (z. B. DNS, HTTP, ICMP), und kannst daraus automatisierte…