NDP ersetzt ARP in IPv6

In IPv6 übernimmt das Neighbor Discovery Protocol (NDP), spezifiziert in RFC 4861, die Aufgabe von ARP. Anders als ARP, das als eigenständiges Protokoll direkt auf Schicht 2 arbeitet (EtherType 0x0806), ist NDP kein separates Protokoll. Es besteht aus einer Gruppe von ICMPv6-Nachrichten und läuft damit innerhalb von IPv6 (Next Header 58).

---

1. Adressauflösung mit NDP

Die eigentliche ARP-Funktion, also die Zuordnung einer IPv6-Adresse zu einer Link-Layer-Adresse (z. B. MAC-Adresse), erfolgt über zwei ICMPv6-Nachrichten:

Nachricht	ICMPv6-Typ	Entspricht in IPv4
Neighbor Solicitation (NS)	135	ARP Request
Neighbor Advertisement (NA)	136	ARP Reply

Ablauf

1. Host A möchte ein Paket an Host B (z. B. 2001:db8::20) senden. Die MAC-Adresse von B ist ihm nicht bekannt.
2. A sendet eine Neighbor Solicitation an die Solicited-Node-Multicast-Adresse von B. Die eigene MAC-Adresse gibt A dabei in der Option Source Link-Layer Address mit.
3. B antwortet mit einem Neighbor Advertisement per Unicast und liefert seine MAC-Adresse in der Option Target Link-Layer Address.
4. A speichert die Zuordnung im Neighbor Cache, dem Gegenstück zum ARP-Cache.

Solicited-Node-Multicast statt Broadcast

Ein wesentlicher Unterschied zu ARP besteht darin, dass IPv6 keinen Broadcast kennt. ARP-Requests gehen an FF:FF:FF:FF:FF:FF und müssen daher von jedem Host im Segment verarbeitet werden. NDP nutzt stattdessen gezielte Multicast-Adressen:

• Solicited-Node-Adresse: FF02::1:FFXX:XXXX. Die letzten 24 Bit stammen aus der Ziel-Unicast-Adresse.
  • Beispiel: 2001:db8::abcd:1234 wird zu FF02::1:FFCD:1234
• Ethernet-Mapping: 33:33: + die letzten 32 Bit der Multicast-Adresse, also 33:33:FF:CD:12:34

Die Netzwerkkarte kann solche Frames bereits in der Hardware filtern. Dadurch werden nur Hosts belastet, deren Adressen in den letzten 24 Bit übereinstimmen, also praktisch nur der Zielhost. Switches mit MLD Snooping können den Verkehr zusätzlich gezielt weiterleiten.

Flags im Neighbor Advertisement

• R (Router): Der Absender ist ein Router.
• S (Solicited): Die Nachricht ist eine Antwort auf eine NS.
• O (Override): Ein vorhandener Cache-Eintrag soll überschrieben werden.

Unsolicited NAs mit gesetztem O-Flag erfüllen dieselbe Aufgabe wie Gratuitous ARP in IPv4, etwa nach einem MAC-Wechsel oder einem Failover.

---

2. Neighbor Cache und Neighbor Unreachability Detection (NUD)

Gegenüber ARP bietet NDP eine echte Erreichbarkeitsprüfung. Einträge im Neighbor Cache durchlaufen mehrere Zustände:

• INCOMPLETE: Die Adressauflösung läuft, eine NS wurde gesendet.
• REACHABLE: Die Erreichbarkeit wurde kürzlich bestätigt (Standard: ca. 30 Sekunden, ReachableTime).
• STALE: Die Bestätigung ist abgelaufen. Der Eintrag bleibt nutzbar, ist aber nicht verifiziert.
• DELAY: Nach dem Senden wartet der Host kurz auf eine Bestätigung durch höhere Schichten, z. B. TCP-ACKs.
• PROBE: Der Host sendet aktiv Unicast-NS, um die Erreichbarkeit zu prüfen.

So erkennt ein Host ausgefallene Nachbarn oder Router und kann auf alternative Pfade ausweichen. ARP bietet diese Fähigkeit nicht.

---

3. Weitere Funktionen von NDP (über ARP hinaus)

NDP ersetzt neben ARP auch ICMP Router Discovery (IRDP) und ICMP Redirect aus IPv4 und vereint so mehrere Funktionen in einem Protokoll. Insgesamt definiert NDP fünf ICMPv6-Nachrichtentypen:

Nachricht	Typ	Funktion
Router Solicitation (RS)	133	Host fordert Router-Informationen an (an FF02::2)
Router Advertisement (RA)	134	Router verkündet Präfixe, Default Gateway, MTU, Hop Limit, Flags (an FF02::1)
Neighbor Solicitation (NS)	135	Adressauflösung, NUD, DAD
Neighbor Advertisement (NA)	136	Antwort auf NS bzw. Bekanntgabe von Änderungen
Redirect	137	Router teilt einem Host einen besseren First-Hop mit

Wichtige Zusatzfunktionen

• Router Discovery: Hosts finden Default-Gateways automatisch über RAs. Die Gateway-Adresse ist dabei stets die Link-Local-Adresse (fe80::/10) des Routers.
• Prefix Discovery und SLAAC: Über RAs mit der Prefix Information Option erzeugen Hosts per Stateless Address Autoconfiguration (RFC 4862) eigene Adressen. Die M- und O-Flags im RA geben an, ob zusätzlich DHCPv6 (stateful bzw. stateless) verwendet werden soll.
• Parameter Discovery: Link-MTU und Hop Limit werden mitgeteilt, per RDNSS-Option (RFC 8106) auch DNS-Server.
• Duplicate Address Detection (DAD): Bevor ein Host eine Adresse nutzt, sendet er eine NS mit der unspecified address (::) als Quelle. Antwortet niemand, ist die Adresse eindeutig. Bis dahin gilt sie als tentative.
• Redirect: Damit lässt sich die Weiterleitung innerhalb des Links optimieren.

Sicherheitsmerkmal Hop Limit 255

Alle NDP-Nachrichten werden mit Hop Limit 255 gesendet. Empfänger verwerfen Nachrichten mit einem anderen Wert. So ist garantiert, dass die Nachricht nicht über einen Router aus einem fremden Netz stammt, denn jeder Router hätte den Wert dekrementiert.

---

4. Sicherheit von NDP

Wie ARP ist NDP grundsätzlich nicht authentifiziert und daher anfällig für ähnliche Angriffe:

• NA-Spoofing, das IPv6-Gegenstück zu ARP-Spoofing (Man-in-the-Middle)
• Rogue Router Advertisements mit falschem Gateway oder Präfix
• DAD-DoS: Ein Angreifer beantwortet jede DAD-Anfrage und verhindert so die Adressvergabe.
• Neighbor-Cache-Exhaustion: Scans großer /64-Netze füllen den Cache mit INCOMPLETE-Einträgen.

Gegenmaßnahmen

• SEND (Secure Neighbor Discovery, RFC 3971) mit CGA (Cryptographically Generated Addresses, RFC 3972). Diese Lösung wird in der Praxis kaum eingesetzt.
• RA Guard (RFC 6105) auf Switches
• ND Inspection / IPv6 Snooping, analog zu Dynamic ARP Inspection
• DHCPv6 Guard und Rate-Limiting für NDP

---

5. Vergleich ARP und NDP

Merkmal	ARP (IPv4)	NDP (IPv6)
Schicht	Eigenes L2-Protokoll	ICMPv6 über IPv6
Zieladressierung	Broadcast	Solicited-Node-Multicast
Cache	ARP-Cache	Neighbor Cache mit NUD-Zuständen
Erreichbarkeitsprüfung	Nein	Ja (NUD)
Duplikaterkennung	Gratuitous ARP (eingeschränkt)	DAD (standardisiert)
Router Discovery / Autokonfiguration	Nein (IRDP/DHCP separat)	Integriert (RS/RA, SLAAC)
Absicherung	Keine (nur DAI extern)	SEND, RA Guard, Hop Limit 255

Praxisbefehle

• Linux: ip -6 neigh show
• Windows: netsh interface ipv6 show neighbors
• Cisco: show ipv6 neighbors

---

Fazit

Das Neighbor Discovery Protocol (NDP, RFC 4861) löst in IPv6 die Funktion von ARP ab. Für die Adressauflösung nutzt es die ICMPv6-Nachrichten Neighbor Solicitation (135) und Neighbor Advertisement (136), die an Solicited-Node-Multicast-Adressen statt per Broadcast gesendet werden. NDP leistet jedoch deutlich mehr als ARP: Es vereint Adressauflösung, Router Discovery, Präfixverteilung für SLAAC, Duplikaterkennung (DAD), Erreichbarkeitsprüfung (NUD) und Redirects in einem einzigen, auf ICMPv6 basierenden Rahmenwerk. Damit ist NDP ein zentraler Baustein jedes IPv6-Netzes. Ohne funktionierendes ICMPv6 ist IPv6-Kommunikation nicht möglich, weshalb diese Nachrichten niemals pauschal in Firewalls blockiert werden dürfen (siehe RFC 4890).

In IPv6 löst das Neighbor Discovery Protocol (NDP) die Funktion des aus IPv4 bekannten ARP (Address Resolution Protocol) ab. Konkret übernehmen dafür die ICMPv6-Nachrichten Neighbor Solicitation und Neighbor Advertisement die eigentliche Auflösung von IPv6-Adressen auf Link-Layer-Adressen, z. B. MAC-Adressen im Ethernet.

ARP in IPv4 beantwortet im Wesentlichen eine einfache Frage: „Welche Layer-2-Adresse gehört zu dieser Ziel-IP-Adresse innerhalb meines lokalen Netzsegments?“ In IPv6 wird diese Aufgabe nicht mehr durch ein eigenes Protokoll auf Ebene 3 gelöst, sondern über ICMPv6 als Teil von NDP realisiert. Das hat mehrere Gründe: IPv6 benötigt eine flexiblere und sicherer ausbaubare Nachbarentdeckung, vermeidet Broadcasts und kann zusätzliche Funktionen wie Router-Discovery, Prefix-Discovery oder Duplicate Address Detection in dasselbe Protokoll integrieren.

Das zentrale Verfahren zur Adressauflösung funktioniert dabei wie folgt:

1. Neighbor Solicitation (NS)
   Ein Host möchte eine IPv6-Paket an einen Nachbarn im selben Link senden, kennt aber noch nicht dessen Link-Layer-Adresse. Er erzeugt dann eine ICMPv6 Neighbor Solicitation-Nachricht mit der Ziel-IPv6-Adresse als Target Address. Diese Nachricht wird typischerweise an die sogenannte Solicited Node Multicast-Adresse gesendet, die aus den letzten 24 Bit der gesuchten IPv6-Adresse abgeleitet ist. Auf diese Weise müssen nicht alle Knoten im Segment die Anfrage prüfen, sondern nur potenziell relevante Nachbarn.

   Im Ethernet wird dafür eine spezifische Multicast-MAC-Adresse verwendet, die mit 33:33 beginnt und durch die letzten 24 Bit der IPv6-Adresse ergänzt wird. Damit wird der Broadcast-Charakter von ARP in IPv4 weitgehend ersetzt.

2. Neighbor Advertisement (NA)
   Wenn ein Knoten eine Neighbor Solicitation erhält und erkennt, dass die angefragte IPv6-Adresse ihm selbst zugeordnet ist, antwortet er mit einer ICMPv6 Neighbor Advertisement-Nachricht. Diese enthält in der Regel eine Option mit der eigenen Link-Layer-Adresse, etwa der MAC-Adresse. Damit kann der anfragende Host das IPv6-Paket auf Layer 2 korrekt adressieren und senden.

   Die Antwort kann unicast zurückgeschickt werden oder unter bestimmten Umständen multicast gesendet werden, wenn die Solicitation selbst multicast war und weitere Knoten Interesse haben könnten.

Ein wichtiger Unterschied zu ARP besteht darin, dass NDP nicht nur zur reinen Adressauflösung genutzt wird, sondern auch für Duplicate Address Detection (DAD) eingesetzt wird. Bevor ein Host eine automatisch konfigurierte IPv6-Adresse aktiv verwendet, sendet er eine Neighbor Solicitation mit dieser Adresse als Zieladresse, ohne eine gültige Quell-IPv6-Adresse zu setzen. Reagiert ein anderer Knoten im Segment mit einer Neighbor Advertisement, weiß der Host, dass die Adresse bereits in Nutzung ist und sie nicht verwendet werden sollte.

Die Ergebnisse der Adressauflösung speichert IPv6 in einem sogenannten Neighbor Cache, dem Pendant zum ARP-Cache in IPv4. Dieser Cache enthält Zuordnungen zwischen IPv6-Adressen und Link-Layer-Adressen sowie Zustandsinformationen wie:

• incomplete: Die Auflösung ist noch nicht abgeschlossen.
• reachable: Die Adresse ist aktuell erreichbar.
• stale: Die Eintragung ist vorhanden, aber möglicherweise veraltet.
• delayed/probe: Der Host prüft die Erreichbarkeit des Nachbarn.
• failed: Die Auflösung ist fehlgeschlagen oder der Nachbar ist nicht mehr erreichbar.

Diese Zustände ermöglichen eine robustere Verwaltung als das relativ einfache ARP-Cache-Modell in IPv4.

NDP bietet darüber hinaus Funktionen, die bei ARP keine Rolle spielen:

• Router Discovery: Hosts können Router im Segment mittels Router Solicitation und Router Advertisement erkennen.
• Prefix Discovery: Über Router Advertisement-Nachrichten erfahren Hosts verfügbare Netzwerkpräfixe.
• Redirect Message: Router können effizientere nächste Hops vorschlagen.
• Duplicate Address Detection: Vermeidung von Adresskonflikten.

Zusammenfassend lässt sich sagen: In IPv6 ersetzt nicht ein einzelnes neues Protokoll mit dem Namen „ARP“ die alte Funktion, sondern das Neighbor Discovery Protocol, insbesondere die Mechanismen Neighbor Solicitation und Neighbor Advertisement. Diese basieren auf ICMPv6, arbeiten vorzugsweise über Multicast statt Broadcast und integrieren die Link-Adressauflösung in einen größeren Rahmen der Nachbarentdeckung im lokalen IPv6-Segment.

In IPv6 übernimmt das Neighbor Discovery Protocol (NDP) die Funktion des ARP aus IPv4. Es dient dazu, auf dem lokalen Netzsegment die Zuordnung zwischen einer IPv6-Adresse und der darunterliegenden Link-Layer-Adresse, typischerweise einer MAC-Adresse bei Ethernet, herzustellen. NDP ist dabei kein eigenständiges Protokoll im engeren Sinne, sondern eine Sammlung von ICMPv6-Nachrichten, die für verschiedene Aufgaben auf Netzschicht und Link-Schicht verwendet werden.

Grundprinzip: Adressauflösung mit Neighbor Solicitation und Neighbor Advertisement

In IPv4 fragt ein Host mit ARP Request nach der MAC-Adresse eines Ziel-IPv4-Hosts; der Empfänger antwortet mit einem ARP Reply. In IPv6 erfolgt die vergleichbare Funktion über zwei zentrale ICMPv6-Nachrichten:

• Neighbor Solicitation (NS) – entspricht in etwa dem ARP-Request
  ICMPv6 Type 135
• Neighbor Advertisement (NA) – entspricht in etwa dem ARP-Reply
  ICMPv6 Type 136

Ein Host, der eine IPv6-Adresse auf einem lokalen Segment auflösen möchte, sendet eine Neighbor Solicitation. Diese enthält die gesuchte IPv6-Zieladresse im Feld Target Address. Anders als IPv4-ARP verwendet NDP jedoch keine Broadcasts, sondern Multicast-Adressen. Die Nachricht wird typischerweise an die sogenannte Solicited-Node-Multicastadresse des Ziels gesendet:

ff02::1:ffXX:XXXX

Dabei werden die letzten 24 Bits der IPv6-Adresse in die Solicited-Node-Adresse übernommen. Wenn das Ziel die Adresse besitzt, sendet es eine Neighbor Advertisement zurück und gibt dabei seine Link-Layer-Adresse an. Damit kann der Quellhost den Frame auf Ethernet-Ebene korrekt adressieren.

Beispielablauf

Angenommen, ein Host möchte mit fe80::1234:5678 kommunizieren. Er sendet eine Neighbor Solicitation mit Target Address fe80::1234:5678 an die Solicited-Node-Multicastadresse ff02::1:ff56:78. Der Host mit der gesuchten Adresse erkennt, dass die Nachricht ihn betrifft, und antwortet mit einer Neighbor Advertisement. Diese enthält unter anderem:

• die Ziel-IPv6-Adresse
• seine eigene Link-Layer-Adresse, z. B. die MAC-Adresse
• gegebenenfalls Flags, etwa Reachability-Informationen

Nach Erhalt dieser NA-Nachricht kann der Quellhost den Frame an die ermittelte MAC-Adresse senden.

Neighbor Cache statt ARP-Cache

Wie bei IPv4 führt ein Host auch in IPv6 eine Tabelle über bekannte Nachbarn, die sogenannte Neighbor Cache. Sie speichert Zuordnungen zwischen IPv6-Adressen und Link-Layer-Adressen sowie Zustandsinformationen wie:

• Incomplete
• Reachable
• Stale
• Delay
• Probe

Diese Zustände helfen, zu erkennen, ob ein Nachbar aktuell erreichbar ist. Da NDP auf ICMPv6 basiert, kann die Erreichbarkeit zusätzlich über Echo Request/Response oder Neighbor Advertisement aktualisiert werden.

Duplicate Address Detection (DAD)

Ein wichtiger Bestandteil von NDP ist das Duplicate Address Detection, abgekürzt DAD. Bevor ein Host eine neue IPv6-Adresse für sein Interface aktiviert, prüft er mit Hilfe einer Neighbor Solicitation, ob die Adresse bereits im lokalen Segment verwendet wird. Dabei wird die NS-Nachricht typischerweise an die All-Nodes-Multicastadresse gesendet:

ff02::1

Wenn ein anderer Host auf diese Solicitation mit einer Advertisement antwortet, weiß der prüfende Host, dass die Adresse bereits vergeben ist und nicht verwendet werden sollte. DAD ist besonders wichtig bei Stateless Address Autoconfiguration (SLAAC), weil IPv6-Adressen oft automatisch aus Präfixen generiert werden.

Weitere Funktionen von NDP: Router Discovery und SLAAC

NDP löst in IPv6 nicht nur die reine Adressauflösung ab, sondern übernimmt zusätzlich Aufgaben, die in IPv4 teilweise durch separate Mechanismen gelöst wurden. Dazu gehört insbesondere das Router Discovery:

• Router Solicitation (RS) – ICMPv6 Type 133
  Gesendet von Hosts, um Router im lokalen Segment zu identifizieren.
• Router Advertisement (RA) – ICMPv6 Type 134
  Gesendet von Routern, um Netzwerkinformationen bereitzustellen.

Über Router Advertisements erhalten Hosts unter anderem:

• verfügbare IPv6-Netzpräfixe
• Default Router
• Hop Limit
• MTU-Empfehlungen
• Flags für DNS- und DHCPv6-Konfiguration
• Informationen zur Stateful oder Stateless Address Autoconfiguration

Damit ist NDP zentral für die automatische Konfiguration von IPv6-Hosts. In vielen Umgebungen können Hosts allein durch SLAAC eine globale IPv6-Adresse ableiten, indem sie den im RA mitgeteilten Präfix mit ihrem Interface-Identifier kombinieren.

Sicherheitshinweis

NDP ist grundsätzlich ein effizientes Protokoll, hat aber ähnliche Sicherheitsprobleme wie ARP in IPv4: Ohne zusätzliche Schutzmechanismen kann ein Angreifer gefälschte Neighbor Solicitations oder Advertisements senden und so Adressauflösung manipulieren. Auch Router Advertisements können missbraucht werden, um Hosts zu falsch konfigurierten Routern oder Präfixen zu führen.

Zur Absicherung existieren verschiedene Ansätze:

• SEND – Secure Neighbor Discovery, eine Erweiterung mit kryptografischer Signatur und Authentifizierung
• Netzwerkseitige Schutzmechanismen wie RA Guard auf Switches
• Port Security, DHCPv6 Guard bzw. DNSSEC/DHCPv6-Security je nach Kontext
• Überwachung und Filterung unerwarteter NDP-Nachrichten

Fazit

Das in IPv4 durch ARP erledigte Protokoll wird in IPv6 primär durch das Neighbor Discovery Protocol (NDP) ersetzt. Es nutzt ICMPv6-Nachrichten, insbesondere Neighbor Solicitation und Neighbor Advertisement, um IPv6-Adressen auf dem lokalen Segment mit Link-Layer-Adressen zu verknüpfen. Darüber hinaus übernimmt NDP wichtige Aufgaben wie Duplicate Address Detection, Erreichbarkeitsprüfung und Router Discovery, was es zu einem zentralen Bestandteil der IPv6-Kommunikation macht.

Kernantwort: In IPv6 übernimmt das Neighbor Discovery Protocol (NDP) die Funktion von ARP aus IPv4. Für die eigentliche Adressauflösung sind die ICMPv6-Nachrichten Neighbor Solicitation und Neighbor Advertisement verantwortlich. NDP ist in RFC 4861 definiert und nutzt ICMPv6, während ARP ein separates Layer-2-Broadcastprotokoll im IPv4-Umfeld darstellt.

ARP fragt typischerweise: „Welche MAC-Adresse gehört zu dieser IPv4-Adresse?“. In IPv6 stellt NDP dieselbe Frage für den lokalen Link: „Welche Link-Layer-Adresse – etwa eine Ethernet-MAC-Adresse – gehört zu dieser IPv6-Adresse?“. Der Unterschied liegt in der Architektur und im Transport. IPv6 verwendet nicht mehr Broadcasts für die normale Adressauflösung, sondern gezielt Multicast-Adressen. Außerdem sind NDP-Nachrichten Teil des ICMPv6-Frameworks, das in IPv6 verpflichtend ist.

Der Ablauf einer typischen Adressauflösung läuft folgendermaßen ab: Ein Host will an einen Nachbar im selben Link senden und kennt die Ziel-IPv6-Adresse, aber noch nicht deren Link-Layer-Adresse. Er berechnet daraus die Solicited Node Address des Ziels. Diese wird aus den letzten 24 Bit des Interface-Identifier gebildet und hat die Form FF02::1:FFxx:xxxx/127. Der Host sendet daraufhin eine Neighbor Solicitation, ICMPv6 Type 135, an diese Multicastgruppe. In der Nachricht ist die gesuchte IPv6-Adresse als Target Address enthalten. Der betroffene Nachbar erkennt sich durch die Multicastadresse oder prüft die Zieladresse direkt und antwortet mit einer Neighbor Advertisement, ICMPv6 Type 136. Diese enthält in vielen Fällen eine Option mit der gewünschten Link-Layer-Adresse. Damit hat der Sender die benötigte Zuordnung und kann das Layer-2-Paket adressieren.

NDP verwendet dafür definierte Optionen und Flags. In Neighbor Solicitations kann beispielsweise ein Source Link-Layer Address-Option enthalten sein, während Neighbor Advertisements einen Target Link-Layer Address-Wert oder eine entsprechende Option liefern können. Die Flags in einer Neighbor Advertisement zeigen unter anderem an, ob die Antwort auf eine Solicitation erfolgte, ob sie als Router-Antwort gilt und ob sie bestehende Einträge im Neighbor Cache überschreiben darf. Diese Struktur macht NDP flexibler als ARP, weil zusätzliche Informationen über ICMPv6-Optionen ergänzt werden können.

Die ermittelte Zuordnung wird im Neighbor Cache gespeichert. Dieser ist das IPv6-Pendant zur ARP-Tabelle in IPv4. Die Einträge durchlaufen verschiedene Zustände wie Incomplete, Reachable, Stale, Delay und Probe. Dadurch kann der Netzwerkstack prüfen, ob ein Nachbar noch erreichbar ist, bevor weitere Daten gesendet werden. Bei einer Erreichbarkeitsprüfung wird häufig eine unicast Neighbor Solicitation an die bekannte Adresse geschickt; bei initialer Auflösung wird typischerweise Multicast verwendet.

Ein weiterer Vorteil gegenüber ARP ist die präzisere Ansprache durch Multicast. Statt alle Knoten im Segment mit einem Broadcast zu kontaktieren, spricht IPv6 nur die Gruppe an, die für den letzten Teil der Zieladresse zuständig ist. In Ethernet-Umgebungen bedeutet das einen definierten Multicast-MAC-Adressraum statt eines Broadcasts. Das reduziert unnötigen Verkehr und ermöglicht eine sauberere Integration in moderne Netzwerke, insbesondere in Umgebungen mit Segmentierung, VLANs oder Switch-Funktionen wie MLD-Snooping.

NDP ersetzt nicht nur die Adressauflösung von ARP, sondern bündelt weitere Funktionen, die in IPv4 teils durch andere Mechanismen erledigt wurden. Dazu gehören Router Discovery über Router Solicitation und Router Advertisement, Prefix Discovery für Netzwerkpräfixe, Stateless Address Autoconfiguration (SLAAC) und Duplicate Address Detection. Ein Host kann beim Start eine Router Solicitation senden; Router antworten mit Router Advertisements, die Präfixe, Hop-Limit, MTU, Lebensdauer von Routern und Optionen enthalten. Duplicate Address Detection nutzt ebenfalls Neighbor Solicitations: Bevor ein Host eine neue IPv6-Adresse aktiv verwendet, fragt er mit einer Solicitation, ob diese Adresse bereits vergeben ist. Wird eine Antwort empfangen, verweist das auf einen Konflikt; andernfalls kann die Adresse angenommen werden.

Sicherheit ist bei NDP besonders relevant, weil viele Prozesse lokal im Segment stattfinden und die Basisnachrichten unauthentifiziert sind. Gefälschte Neighbor Advertisements oder böswillige Router Advertisements können zu Fehlleitungen, Man-in-the-Middle-Angriffen oder Netzwerkausfällen führen. Für geschützte Umgebungen gibt es Erweiterungen wie Secure Neighbor Discovery (SEND), das kryptografische Verfahren verwendet, um gefälschte Nachbar- und Router-Antworten erkennbar zu machen. Zusätzlich können Netzwerkgeräte Mechanismen wie RA-Guard, Filterung von NDP-Nachrichten oder kontrollierte DHCPv6/SLAAC-Architekturen einsetzen.

Zusammenfassend ist die Antwort klar: In IPv6 löst das Neighbor Discovery Protocol, konkret die ICMPv6-Nachrichten Neighbor Solicitation und Neighbor Advertisement, die Funktion von ARP aus IPv4 ab. NDP liefert damit nicht nur die Zuordnung zwischen IPv6-Adresse und Link-Layer-Adresse, sondern bildet auch ein zentrales Mechanismusset für Erreichbarkeitsprüfung, Routererkennung, Prefixverteilung, automatische Adresskonfiguration und Konfliktvermeidung im lokalen Segment.

In IPv6 übernimmt das Neighbor Discovery Protocol (NDP) die Aufgabe, die in IPv4 durch ARP gelöst wird: die Auflösung einer IP-Adresse in eine Layer-2-MAC-Adresse innerhalb desselben Netzsegments bzw. direkt verbundenen Links.

Genauer gesagt ist NDP ein Teil von ICMPv6 und nutzt dafür spezielle ICMPv6-Nachrichten, insbesondere:

• Neighbor Solicitation (NS)
• Neighbor Advertisement (NA)

Während ARP in IPv4 eine IP-Adresse fragt wie etwa „Welche MAC-Adresse gehört zur IPv4-Adresse 192.0.2.10?“, fragt NDP in IPv6: „Welche Layer-2-Adresse gehört zur IPv6-Adresse 2001:db8::10?“

Die Grundfunktion ist also gleich: Ein Host möchte ein Paket an einen Nachbar auf demselben Link senden, kennt aber nur dessen IPv6-Adresse und nicht die MAC-Adresse. Da Ethernet oder andere Layer-2-Medien das Frame-Ziel an die MAC-Adresse binden, muss zuerst die MAC-Adresse ermittelt werden. Genau diese Aufgabe löst NDP.

---

Wie funktioniert die Adressauflösung über NDP?

Ein Host A möchte ein Paket an Host B senden und kennt dessen IPv6-Adresse. Er prüft zunächst, ob die Zieladresse im lokalen Link erreichbar ist, also ob beide Hosts auf demselben direkt verbundenen Netzsegment liegen. Ist das der Fall, kann NDP verwendet werden.

Host A erstellt dann eine Neighbor Solicitation-Nachricht. Diese enthält:

• die Quell-IPv6-Adresse von Host A
• die Ziel-IPv6-Adresse von Host B als „Target Address“
• optional einen Link-Layer-Quelladressen-Eintrag, also die MAC-Adresse von Host A

Die Neighbor Solicitation wird typischerweise an die solicited-node-Multicast-Adresse von Host B gesendet. Diese Adresse ist aus der Ziel-IPv6-Adresse abgeleitet:

ff02::1:2 + die letzten 16 Bits der IPv6-Zieladresse

Beispiel:
Wenn Host B die IPv6-Adresse 2001:db8::1a3f hat, ist seine solicited-node-Multicast-Adresse ungefähr:

ff02::1:2:a3f

Das ist wichtig, weil nicht das gesamte Netzsegment angesprochen wird, sondern nur der Host, dessen letzte 16 Bits zur Zieladresse gehören. Dadurch ist die Auflösung effizienter als eine reine Broadcast-Funktion.

Host B erkennt, dass die solicited-node-Multicast-Adresse zu seiner eigenen IPv6-Adresse gehört, und antwortet mit einer Neighbor Advertisement-Nachricht. In dieser Antwort gibt Host B seine MAC-Adresse über den ICMPv6-Eintrag Source Link-Layer Address an.

Damit kennt Host A nun:

• die IPv6-Adresse von Host B
• die MAC-Adresse von Host B

und kann das IP-Packet in ein Layer-2-Frames umsetzen und senden.

---

NDP ist mehr als nur „IPv6-ARP“

NDP übernimmt nicht ausschließlich die Adressauflösung. Es ist ein umfassendes Protokoll für lokale Netzwerkinformationen im IPv6-Umfeld. Neben der Nachbarerkennung enthält es Funktionen wie:

• Adressauflösung
• Router Discovery, also die Erkennung von Routern im lokalen Segment
• Prefix Discovery, also das Erkennen lokaler Subnetzpräfixe
• Duplicate Address Detection (DAD), um festzustellen, ob eine IPv6-Adresse bereits verwendet wird
• Hop-Limit-Erkennung
• Unterstützung für Router Advertisement- und Router Solicitation-Nachrichten

Trotzdem ist die direkte Entsprechung zu ARP aus IPv4 die Neighbor Discovery-Funktion auf Basis von ICMPv6. Wenn man also die Frage präzise beantwortet: Das Protokoll, das in IPv6 die Funktion von ARP übernimmt, ist das Neighbor Discovery Protocol (NDP), speziell durch ICMPv6-Neighbor Solicitation und Neighbor Advertisement.

---

Abgrenzung zu anderen Mechanismen

Man sollte NDP nicht mit DNS verwechseln. DNS übersetzt Hostnamen wie server1.example.com in IPv4- oder IPv6-Adressen, aber es löst keine MAC-Adressen auf Layer 2 auf. ARP/NDP arbeitet dagegen im lokalen Link und bezieht sich auf die unmittelbare Nachbarschaft.

Auch ist NDP nicht mit IPv6 Router Advertisement zu verwechseln. Router Advertisement ist Teil von NDP, dient aber primär der Netzwerkkonfiguration: Hosts erfahren damit Präfixe, Router-Informationen, Hop Limits und andere Parameter. Die reine Adressauflösung erfolgt über Neighbor Solicitation/Advertisement.

---

Typischer Ablauf im Netzwerk

1. Host A will Host B per IPv6 erreichen.
2. Host A prüft, ob Host B auf demselben Link liegt.
3. Ist das der Fall, sendet Host A eine Neighbor Solicitation an die solicited-node-Multicast-Adresse von Host B.
4. Host B antwortet mit einer Neighbor Advertisement.
5. Die Neighbor Advertisement enthält die MAC-Adresse von Host B.
6. Host A speichert diese Information in einem Nachbar-Cache und sendet das Paket anschließend direkt an die MAC-Adresse von Host B.

---

Praktische Bedeutung

NDP ist für IPv6 grundlegend, weil IPv6 keine Broadcast-Mechanik auf Layer 3 wie ARP bei IPv4 verwendet. Es nutzt stattdessen Multicast und ICMPv6-Nachrichten. Diese Mechanismen sind besonders wichtig in:

• lokalen LANs
• WLAN-Netzwerken
• Segmenten ohne zentrale Adressverwaltung
• Umgebungen mit automatischer Adresskonfiguration, z. B. SLAAC
• netzwerktechnischen Diagnoseprozessen wie ping oder Nachbarerkennung über Tools wie ndisc6, ip -6 neighbour oder traceroute

In der Praxis kann man auf Linux-Systemen den Nachbarkachel über Befehle wie:

ip -6 neigh show

einsehen. Dort erscheinen IPv6-Nachbaradressen mit ihren MAC-Adressen und Zuständen, etwa REACHABLE, STALE oder FAILED.

---

Kurzantwort

Das in IPv4 durch ARP ausgelöste Funktionsprinzip wird in IPv6 durch das Neighbor Discovery Protocol (NDP) ersetzt. Technische Grundlage sind ICMPv6-Neighbor Solicitation und ICMPv6-Neighbor Advertisement. NDP löst lokal eine IPv6-Adresse in die zugehörige Layer-2-MAC-Adresse auf, ermöglicht aber zusätzlich Router-Erkennung, Prefix-Erkennung, Duplicate Address Detection und andere lokale Netzwerkkonfigurationsaufgaben.

Neighbor Discovery (ND) – Das IPv6-Äquivalent von ARP

Kurze Antwort

Das Protokoll, das in IPv6 die Funktion des Address Resolution Protocols (ARP) aus IPv4 übernimmt, ist das Neighbor Discovery Protocol (NDP), das im Rahmen des größeren Neighbor Discovery (ND)-Mechanismus definiert ist. NDP ist in RFC 4861 spezifiziert und nutzt als Transportprotokoll das ICV6 (Internet Control Message Version 6) Protokoll – analog dazu, wie ARP in IPv4 direkt auf dem Link Layer läuft.

Grundprinzip: IPv6-Makroidentitäts-Adressierung

Im IPv6 wird eine MAC-Adresse (Link-Layer-Identität) nicht mehr separat im Paketheader transportiert wie in IPv4. Stattdessen wird die MAC-Adresse direkt eingebettet in die IPv6-Adresse selbst. Genauer gesagt bildet sich die MAC-Adresse (OUI + letzte 48 Bit) durch einen MAC-to-IPv6-Transformation über RFC 4291, Abschnitt 4.2.2 (EUI-64-Adresse):

• Die ersten 24 Bit der MAC-Adresse werden mit einem speziellen 64-Bit-Präfix (2001:db8::/32 oder ein Link-Local-Präfix) kombiniert.
• Die restlichen 48 Bit der MAC-Adresse werden über die RFC 4291-Transformation (Bit-Für-Bit-Verteilung in ein 64-Bit-Feld, wobei die Nie-2-und-5-Positionen invertiert werden – das sogenannte EUI-64).
• Zusätzlich können die letzten 8 Bit durch ein NUI-64-Präfix (z. B. 0:0:0:0:0:0) ergänzt werden, um Privatheit zu gewährleisten.

Dadurch kann der Router oder eine Endstation die MAC-Adresse direkt aus der IPv6-Zieladresse ablesen – ohne ein separates ARP-Paket senden zu müssen.

Wie NDP konkret funktioniert

NDP funktioniert nach demselben Multi-Step-Prinzip wie ARP, nutzt jedoch ** multicast/broadcast** an spezifische IPv6-Gruppen:

1. NDP-Solicitation: Eine Endeinstanz, die eine IPv6-Adresse zu einer MAC-Adresse auflösen will, sendet ein Neighbor Solicitation (NS)-Paket (Message Type 130) an die multicast-Gruppe ff02::1:ff02:01:ff02:ff02:1 (das all-nodes multicast).
2. Neighbor Advertisement (NA): Die Zielendeinstanz antwortet mit einem Neighbor Advertisement (NA)-Paket (Message Type 131), das die MAC-Adresse (as a Source MAC Address) enthält.
3. Cache-Update: Die Quelle aktualisiert ihre NDP-Cache (analog zum ARP-Table) und speichert die MAC-Adresse für die IPV6-Adresse.

Die vier NDP-Packettypen

Typ	Zweck	Analogie zu ARP
NS (Neighbor Solicitation)	„Welche MAC-Adresse gehört zu dieser IPv6-Adresse?"	ARP-Request (Unicast, aber multicast-broadcast)
NA (Neighbor Advertisement)	„Ich bin die MAC-Adresse für diese IPv6-Adresse"	ARP-Reply
NS/NA in SLAA	SLAA-Announcement (RFC 4862)	DHI (Dynamic Host Configuration)
SLAAC-Solicitation	Router-Anfrage nach SLAAC-Präfix	Router-Discovery

Abweichungen und Erweiterungen gegenüber ARP

NDP ist signifikant komplexer als ARP, da es mehrere Funktionen zusammenfasst, die in IPv4 durch verschiedene Protokolle abgedeckt werden:

1. No Router Detection (RD): NDP ersetzt den ICMP-Router-Discovery (RDISCOVER) und ermöglicht SLAAC (Stateless Address Auto-Configuration) – die automatische Erteilung einer IPv6-Adresse ohne DHCP.
2. Multicast-Gruppendifinitionen: Statt eines einzigen Broadcast-Address wird multicast an ff02:: -Gruppen geroutet. Die Solicitor kann direkt an die unicast-Adresse des Zieles senden, wenn sie die MAC-Adresse bereits kennt.
3. Security-Aspekte: NDP ist vulnerable gegen Rogue-Router und NS-Spoofing. Es gibt Security Extension (NDPv2) in RFC 8777 (NDPv2), das cryptografische Authentication über Cryptographic Message Digest (HMAC) und Public-Key-Verifikation (per SPKI/SPKI) ermöglicht.
4. No broadcast (im engeren Sinne): NDP nutzt multicast, was routing-Overhead reduziert und link-local (Link-Local-Address) als multicast-Gruppen nutzt.

Zusammenfassung

NDP ist das direkte IPv6-Equivalent von ARP. Es löst das MAC-Adresse-Aufschlüsselungs-Problem auf L2, wobei die IPv6-Adresse die MAC-Adresse entsteht. Allerdings ist NDP deutlich flexibler: Es unterstützt multicast-broadcast, SLAAC, Router-Discovery und Security-Extension – Funktionen, die in IPv4 über separate Protokolle (ARP, RDISCOVER, DHCP) abgedeckt wurden. Die RFC 4861-Spezifikation definiert das komplette NDP-Verhalten, während RFC 4862 die SLAAC-Mechanismen im Kontext von NDP festlegt.

Hauptgrund für den Übergang von IPv4 zu IPv6

Kurze Antwort

Der Hauptgrund ist die Erschöpfung des IPv4-Adressraums. IPv4 verwendet 32-Bit-Adressen und stellt damit nur rund 4,3 Milliarden Adressen bereit (2³² = 4.294.967.296). Für ein weltweites Internet mit Milliarden von Nutzern, Smartphones, Servern und IoT-Geräten reicht das nicht aus. IPv6 nutzt 128-Bit-Adressen und bietet damit etwa 3,4 × 10³⁸ Adressen, was praktisch unbegrenzt ist.

---

1. Das Problem: Begrenzter IPv4-Adressraum

Als IPv4 Anfang der 1980er-Jahre (RFC 791, 1981) spezifiziert wurde, war das Internet ein Forschungsnetz. 4,3 Milliarden Adressen schienen mehr als genug. Tatsächlich ist die nutzbare Menge noch kleiner, weil große Bereiche reserviert sind:

• Private Adressen (RFC 1918): 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16
• Multicast (224.0.0.0/4) und reservierter Bereich (240.0.0.0/4)
• Loopback (127.0.0.0/8) und weitere Sonderbereiche

Hinzu kam die ineffiziente Vergabe der frühen Jahre durch das Classful Addressing (Klasse A, B, C). Einzelne Organisationen erhielten ganze /8-Netze mit 16,7 Millionen Adressen, die sie nie vollständig nutzten.

Zeitlicher Ablauf der Erschöpfung

• Februar 2011: Die IANA vergab die letzten freien /8-Blöcke an die fünf regionalen Registries (RIRs).
• April 2011: APNIC (Asien-Pazifik) erreichte als erste RIR seine letzte Reserve.
• September 2012: RIPE NCC (Europa, Naher Osten) begann mit der Vergabe aus dem letzten /8.
• September 2015: ARIN (Nordamerika) hatte keine freien Adressen mehr.
• November 2019: RIPE NCC war vollständig erschöpft und betreibt seither nur noch Wartelisten für zurückgegebene Adressen.

Heute werden IPv4-Adressen auf einem Sekundärmarkt gehandelt, teils für 30 bis 60 US-Dollar pro Adresse.

---

2. Übergangslösungen und ihre Grenzen

Um die Erschöpfung hinauszuzögern, wurden mehrere Techniken eingeführt:

• CIDR (Classless Inter-Domain Routing, 1993): flexiblere Präfixlängen statt starrer Klassen.
• NAT (Network Address Translation): Viele Geräte teilen sich eine öffentliche IP-Adresse.
• CGN/CGNAT (Carrier-Grade NAT): Provider teilen eine öffentliche Adresse auf viele Kunden auf (Bereich 100.64.0.0/10, RFC 6598).

NAT hat jedoch erhebliche Nachteile:

• Es bricht das Ende-zu-Ende-Prinzip des Internets, da Geräte nicht direkt erreichbar sind.
• Es erschwert Peer-to-Peer-Anwendungen, VoIP, Online-Gaming und VPNs. Nötig werden Hilfsmechanismen wie STUN, TURN, ICE oder Port-Forwarding.
• Es erzeugt Zustandsinformationen (State) in Routern und schafft damit Skalierungs- und Performanceprobleme.
• Es erschwert die Fehlersuche und die Rückverfolgbarkeit (Logging bei CGNAT).

NAT ist also eine Notlösung, keine nachhaltige Lösung.

---

3. Die Lösung: IPv6

IPv6 wurde Mitte der 1990er-Jahre entwickelt (RFC 1883, 1995; aktuell RFC 8200). Neben dem riesigen Adressraum bringt es weitere Verbesserungen.

Adressierung

• 128 Bit, geschrieben in hexadezimaler Notation, z. B. 2001:db8:85a3::8a2e:370:7334
• Typische Zuteilung: ein /48 oder /56 pro Standort und ein /64 pro Subnetz. Allein ein /64 enthält 2⁶⁴ ≈ 18 Trillionen Hostadressen.
• Jedes Gerät kann wieder eine global eindeutige Adresse erhalten. Damit ist echte Ende-zu-Ende-Kommunikation möglich.

Sekundäre Vorteile

• Vereinfachter Header: fester 40-Byte-Basisheader, optionale Funktionen in Extension Headers, keine Header-Prüfsumme. Router verarbeiten Pakete dadurch effizienter.
• Keine Fragmentierung durch Router: Nur der Sender fragmentiert. Die passende Paketgröße ermittelt er per Path MTU Discovery, die Mindest-MTU beträgt 1280 Byte.
• SLAAC (Stateless Address Autoconfiguration, RFC 4862): Geräte konfigurieren ihre Adresse selbst anhand von Router Advertisements. DHCPv6 ist optional.
• Neighbor Discovery Protocol (NDP) ersetzt ARP und nutzt ICMPv6 und Multicast statt Broadcast. Broadcasts gibt es in IPv6 nicht mehr.
• Bessere Routing-Aggregation: Hierarchische Adressvergabe hält die globalen Routingtabellen kleiner.
• IPsec: Ursprünglich verpflichtend vorgesehen, seit RFC 6434 nur noch empfohlen, aber nativ integriert.
• Flow Label: Ein 20-Bit-Feld, mit dem sich Pakete eines Datenflusses kennzeichnen lassen, etwa für QoS.
• Privacy Extensions (RFC 8981): Temporäre, zufällige Interface-IDs schützen vor Tracking.

---

4. Übergangsmechanismen

Da IPv4 und IPv6 nicht direkt kompatibel sind, erfolgt die Migration schrittweise:

• Dual Stack: Geräte betreiben IPv4 und IPv6 parallel. Das ist die häufigste Methode.
• Tunneling: IPv6 wird in IPv4 gekapselt, z. B. mit 6in4, 6rd oder dem inzwischen veralteten Teredo.
• Translation: NAT64/DNS64 ermöglicht reinen IPv6-Clients den Zugriff auf IPv4-Dienste. 464XLAT wird häufig in Mobilfunknetzen eingesetzt.
• DS-Lite: Kunden erhalten natives IPv6, IPv4 läuft über einen Tunnel zum CGN des Providers. Dieses Verfahren ist in Deutschland bei Kabelanbietern verbreitet.

---

5. Aktueller Stand

Laut Google-Statistiken greifen weltweit rund 45 % der Nutzer per IPv6 zu (Stand 2024/2025). Deutschland, Frankreich und Indien liegen deutlich darüber. Mobilfunknetze sind vielfach bereits IPv6-only mit 464XLAT.

---

Fazit

Der zentrale Treiber für IPv6 ist die Adressknappheit von IPv4. NAT und CIDR haben das Problem nur verzögert und dabei die Architektur des Internets verkompliziert. IPv6 löst die Knappheit dauerhaft und stellt das Ende-zu-Ende-Prinzip wieder her. Zusätzlich bringt es Verbesserungen bei Autokonfiguration, Header-Effizienz, Routing und Sicherheit. Diese Vorteile sind wertvoll, aber zweitrangig gegenüber dem Adressraum.

Der Hauptgrund für den Übergang von IPv4 zu IPv6 ist die Erschöpfung des öffentlichen IPv4-Adressraums. IPv4 verwendet 32-Bit-Adressen und kann damit maximal etwa 4,3 Milliarden eindeutige Adressen darstellen. Rechnerisch klingt das nach einer sehr großen Zahl, doch im globalen Internetverkehr reichten diese Adressen nie für die heutige Geräte- und Dienstedichte aus. Ein Teil des IPv4-Raums ist zusätzlich für private Netzwerke, Loopback, Multicast, Reservierungen oder Sonderzwecke reserviert, sodass der tatsächlich frei zuteilbare öffentliche Unicast-Adressraum deutlich kleiner war.

Das Internet wuchs jedoch exponentiell: Neben klassischen PCs kamen Smartphones, Tablets, Server, Cloud-Dienste, Datenzentren, IoT-Sensoren, Kameras, Maschinensteuerungen, Fahrzeuge und zunehmend vernetzte Infrastrukturen hinzu. Wenn Geräte direkt im globalen Internet erreichbar sein sollen – etwa für Peer-to-Peer-Kommunikation, Fernwartung, VoIP, Videokonferenzen oder IoT-Plattformen –, benötigen sie eine globale, eindeutige Netzwerkadresse. IPv4 konnte diese Nachfrage nicht mehr decken. Die IANA hat ihren Bestand an frei zuteilbaren IPv4-Adressen bereits im Jahr 2011 aufgebraucht; seitdem verteilen die regionalen Internet-Registrierungen nur noch sehr knappe Restbestände oder Sekundärzuteilungen.

Ein wichtiger Übergangsmechanismus war NAT, also Network Address Translation. Mehrere Geräte hinter einer einzigen öffentlichen IPv4-Adresse können so ins Internet gelangen. NAT hat das Ende des IPv4-Zeitalters hinausgezögert, löst aber nicht die strukturelle Adressknappheit. Im Gegenteil: NAT verletzt das ursprüngliche Prinzip der End-to-End-Verbindlichkeit im Internet. Wenn zwei Geräte sich direkt verbinden wollen, etwa in einem P2P-Videogespräch, ist das durch NAT oft nur noch mit Umwegen möglich. Auch Protokolle, die feste IP-Adressen oder direkte Rückkanäle voraussetzen, werden komplizierter. Betriebstechnisch erzeugt stateful NAT zusätzlichen Zustand, höhere Latenzen, mehr Fehlerquellen und größere Aufwand bei der Fehlersuche. Für moderne Dienste wie IoT, Mobilfunknetze, Cloud-Migration oder Echtzeitkommunikation ist diese Komplexität ein erhebliches Nachteil.

IPv6 löst das Kernproblem durch einen 128-Bit-Adressraum. Das ergibt rund 3,4 × 10³⁸ mögliche Adressen – eine Zahl, die in der Praxis als praktisch unbegrenzt angesehen werden kann. Selbst bei Milliarden von IoT-Geräten pro Land reicht der Adressraum um Größenordnungen aus. Damit entfällt der Druck, öffentliche IPv4-Adressen zu teilen oder aufwendig zu verwerten. Jedes Gerät kann grundsätzlich eine global routbare Adresse erhalten.

Neben der Adressmenge bringt IPv6 auch architektonische Verbesserungen mit sich. Der IPv6-Kopf ist fester Länge, typischerweise 40 Bytes, und weniger komplex als der optionale IPv4-Kopf mit Fragmentierungsfeldern, Kopf-Checksumme und verschiedenen Optionen. Dadurch wird die Weiterleitung in Routern effizienter. IPv6 unterstützt zudem eine klarere hierarchische Adressverteilung, was die Aggregation von Routingtabellen verbessert und das globale Routingstabiler machen kann. Auch Autoconfiguration ist einfacher: Über SLAAC können Endgeräte ihre Adresse ohne zentrale DHCP-Server ableiten, wobei DHCPv6 weiterhin für erweiterte Konfigurationen genutzt werden kann.

Weitere Gründe stützen den Übergang, sind aber sekundär gegenüber der Adressknappheit. IPv6 verbessert Multicast und Anycast, unterstützt QoS besser durch das Flow-Label-Feld und passt besser zu modernen Mobilfunkarchitekturen wie 5G. Auch die Sicherheit wird oft als Vorteil genannt: IPsec ist in der IPv6-Architektur stärker verankert als historisch in IPv4, wobei dies praktisch nicht automatisch vollständige Absicherung bedeutet, sondern eher bessere protokollnahe Integration ermöglicht. Dennoch sind diese Punkte eher Folgevorteile einer modernen Adressierungs- und Netzwerkarchitektur.

In der Praxis wird der Übergang meist schrittweise umgesetzt: durch Dual Stack, Tunnelverfahren oder Übersetzungstechniken wie NAT64/DNS64. IPv4 kann teilweise durch Carrier-Grade-NAT, 464XLAT oder Sekundärmarkt für IPv4-Adressen weiter am Leben gehalten werden. Diese Lösungen verlängern jedoch nur die Lebensdauer von IPv4 und ersetzen nicht den grundlegenden Mangel an ausreichendem, global eindeutigem Adressraum.

Zusammengefasst: Der entscheidende Hauptgrund ist, dass IPv4 schlicht zu wenig öffentliche Adressen für das moderne Internet bietet. IPv6 wurde nicht primär als „besseres“ Protokoll eingeführt, sondern vor allem, um die technische Grundlage des Internets langfristig skalierbar zu halten. Die zusätzlichen Verbesserungen in Routing, Autoconfiguration, Multicast, QoS und Sicherheit machen den Übergang zwar attraktiver, aber der eigentliche Treiber ist die unüberbrückbare Adressknappheit von IPv4.

Der Hauptgrund für den Übergang von IPv4 zu IPv6 ist die Erschöpfung des Adressraums von IPv4 und die daraus resultierende Unhaltbarkeit der bisherigen Netzwerkkonzepte, insbesondere des zunehmenden Einsatzes von NAT (Network Address Translation). IPv4 verwendet 32-Bit-Adressen, was theoretisch maximal 4.294.967.296 Adressen ermöglicht. In der Praxis war die Menge an global routbaren, öffentlichen Unicast-Adressen deutlich kleiner, weil Bereiche für private Netzwerke (RFC 1918), Loopback, Multicast, Dokumentation und zukünftige Verwendung reserviert sind. Schon früh wurden Techniken wie CIDR (Classless Inter-Domain Routing) eingeführt, um die Verteilung effizienter zu gestalten. Dennoch reichte der Adressraum nicht aus, um jedem Gerät im Internet eine eigene globale IPv4-Adresse zuzuweisen. Ein typisches /24-Subnetz bietet nur 256 Adressen, davon in der Regel 254 für Hosts; bei Tausenden Endgeräten ist daher eine globale Erreichbarkeit ohne Übersetzung nicht mehr leistbar. Seit 2011 ist der zentrale IPv4-Pool bei der IANA erschöpft; regionale Registrierungsstellen haben seither überwiegend aus Restbeständen verteilt oder müssen zunehmend auf Sekundärmarkt-Mechanismen und Shared Address Spaces zurückgreifen.

Der entscheidende Punkt ist, dass das Internet nicht mehr nur aus Servern und Desktop-Computern besteht. Mobile Geräte, Sensoren, IoT-Geräte, Cloud-Dienste, Home-Netzwerke, Industrieautomation und moderne Anwendungen erzeugen eine enorme Nachfrage nach Adressen. Wenn jedes Gerät eine eindeutige globale Adresse benötigt – etwa für direkte Erreichbarkeit, Mobilfunkkommunikation, Fernwartung oder Ende-zu-Ende-Sicherheit –, ist IPv4 ohne Umwegmechanismen nicht ausreichend. NAT hat diese Lücke lange überbrückt: Mehrere interne Geräte teilen sich eine oder wenige öffentliche IPv4-Adressen durch Port-Übersetzung und Zustandsverfolgung. Das funktioniert, verstößt aber im Kern gegen das Ende-zu-Ende-Prinzip. Es erschwert oder blockiert Verbindungen von außen, macht Anwendungen wie VoIP, Peer-to-Peer, Gaming, VPNs oder selbst gehostete Dienste komplexer und erzeugt zusätzliche Zustände in Routern und Firewalls. Carrier-grade NAT (CGNAT) bei Internetanbietern verschärft das Problem zusätzlich: Kunden haben keine eigene öffentliche IPv4-Adresse mehr, was Hosting, Logging, Forensik, Sicherheitseinschätzung und Netzwerkmanagement erschwert. Zudem entsteht ein zentraler Zustands- und Performancepunkt im Netz.

IPv6 löst dieses Grundproblem durch 128-Bit-Adressen. Das Adressraumvolumen beträgt rund 3,4 × 10^38 Adressen – eine so große Zahl, dass sie für alle absehbaren Anwendungsfälle praktisch unbegrenzt ist. In der Praxis erhält ein Netz häufig /48 oder /56 Präfixe; daraus lassen sich viele /64-Subnetze ableiten. Ein einzelnes /64-Netz umfasst bereits 2^64 Adressen, was die traditionelle Sorge um „Adressflucht“ durch breite lokale Kommunikation weitgehend obsolet macht. Dadurch kann praktisch jedes Gerät eine globale, eindeutige IPv6-Adresse erhalten, ohne dass komplizierte Privatbereichs-Konzepte oder NAT-Schichten benötigt werden. Wichtig ist dabei nicht nur die reine Anzahl der Adressen, sondern auch die Architektur: IPv6 definiert standardmäßig Link-Local-Adressen im Bereich fe80::/10 für lokale Kommunikation und nutzt Multicast statt Broadcast, was unnötigen Verkehr reduziert. Stateful DHCPv6 oder SLAAC können globale Adressen verteilen; Privacy Extensions ergänzen temporäre Adressen, um einfache Korrelation über stabile Schnittstellenidentitäten zu erschweren.

Die weiteren Verbesserungen von IPv6 sind wichtig, stellen aber nicht den Hauptgrund dar. IPv6 bietet ein vereinfachtes Headerformat mit fester Länge und Erweiterungsfeldern, was die Weiterleitung in Routern strukturell erleichtern kann. Es unterstützt Multicast standardmäßig, ermöglicht Anycast für Dienste und geografisch verteilte Instanzen, enthält einen Flow-Label-Feld für Qualitätssteuerung und erlaubt stateless address autoconfiguration (SLAAC). Auch die Integration von IPsec war ursprünglich stärker vorgesehen als in IPv4; in der Praxis ist Security aber keine automatische Folge des Protokolls, sondern hängt von Implementierung und Betrieb ab. Mobilfunknetzwerke profitieren besonders stark: UMTS/LTE/5G-Kerne sind IPv6-nativ oder dual-stack ausgelegt, weil die Adressvielfalt für Millionen mobiler Endgeräte erforderlich ist.

Der Übergang selbst bleibt aufwendig, genau weil IPv4 noch weit verbreitet ist. Deshalb gibt es Transitionstechniken wie Dual Stack, bei dem Geräte beide Protokolle gleichzeitig verwenden; Tunneling wie 6in4, Teredo oder Site-to-Site-Tunneln; sowie Übersetzungsmechanismen wie NAT64 und DNS64, über die IPv6-only-Clients IPv4-Ressourcen erreichen können. Diese Methoden machen den Wechsel schrittweise möglich, ändern aber nichts an der Grundursache: IPv4 bietet nicht genug öffentliche Adressen, um das moderne Internet sauber skalierbar zu betreiben. Zusammenfassend lässt sich sagen: Der Hauptgrund für IPv6 ist die Adressknappheit von IPv4 in Kombination mit den wachsenden Anforderungen vernetzter Systeme an eindeutige Erreichbarkeit. Die zusätzlichen Protokollverbesserungen – Autoconfiguration, Multicast, Anycast, vereinfachter Header und bessere Struktur für moderne Netzwerke – sind wertvolle Begleitvorteile, die die Adoption unterstützen. Sie erklären jedoch nicht den zentralen Migrationsdruck. Ohne IPv6 müsste das Internet zunehmend auf NAT-Strukturen angewiesen bleiben, was die Skalierbarkeit, Betriebssicherheit und Anwendungsentwicklung langfristig einschränken würde.

Der Hauptgrund für den Übergang von IPv4 zu IPv6 ist die Erschöpfung des global routbaren IPv4-Adressraums. IPv4 nutzt 32-Bit-Adressen, was theoretisch etwa 4,3 Milliarden eindeutige Adressen erlaubt. In der Praxis sind davon jedoch noch weniger für öffentlich zugängliche, internetweite Routbarkeit verfügbar, weil Reservierungen für private Netze, Broadcasts, Multicast und Dokumentation abgezogen werden müssen. Das ursprüngliche Internet-Design ging davon aus, dass nahezu jedes Endgerät eine eigene globale IPv4-Adresse erhalten kann. Diese Annahme wurde durch die Explosion der angeschlossenen Geräte – PCs, Server, Smartphones, Tablets, IoT-Sensoren, Kameras, Industrieanlagen und Cloud-Dienste – langfristig unmöglich.

Die zentrale technische Konsequenz ist: IPv4 hat nicht genug eindeutige, global routbare Adressen für die heutige Anzahl an Endpunkten. IPv6 dagegen verwendet 128-Bit-Adressen und bietet damit theoretisch rund 3,4 × 10³⁸ Adressen. Das klingt abstrakt, wird aber praktisch dadurch relevant, dass in IPv6 typischerweise ein /64-Präfix für ein Subnetz vergeben wird. Ein /64 enthält über 18 Billionen Host-Adressen. Damit kann jedes Gerät – unabhängig davon, ob es ein Sensor, ein Mobilgerät oder ein Server ist – eine eigene globale Adresse erhalten, ohne dass Adressknappheit ein Thema ist.

Die Adressknappheit bei IPv4 wurde zunächst mit Techniken wie CIDR, Private IP Addressing und vor allem NAT abgemildert. CIDR hat die ineffiziente Nutzung von IPv4-Adressräumen reduziert, indem Adressblöcke flexibler an ISPs und Unternehmen verteilt werden konnten. Private Netzwerke nach RFC 1918 ermöglichen es, innerhalb eines lokalen Netzes Adressen wie 192.168.x.x zu verwenden. NAT erlaubt es, mehrere interne Geräte hinter einer oder wenigen öffentlichen IPv4-Adressen zu betreiben. Carrier-Grade-NAT in Mobilfunknetzen treibt diesen Ansatz weiter: Tausende oder Millionen von Nutzern teilen sich eine kleine Menge öffentlicher IPv4-Adressen.

Allerdings ist NAT keine dauerhafte Lösung, sondern ein Kompromiss. Er verletzt das Ende-zu-Ende-Prinzip, weil Geräte im lokalen Netz nicht mehr direkt aus dem Internet erreichbar sind. Das erschwert oder macht unmöglich:

• Peer-to-Peer-Kommunikation ohne Relaisserver
• einfache VoIP-Anrufe von externen Netzen ins LAN
• Hosting eigener Dienste auf Heimgeräten
• saubere Netzwerkdiagnose über NAT-Grenzen hinweg
• konsistente Authentifizierung und Adressgebundene Sicherheit

NAT führt zudem zu Zustandsdaten im Router: Verbindungstabelle, Port-Mappings, Zeitüberschreitungswerte. Das macht das Routing komplexer und kann Fehlerquellen erzeugen, die in einem reinen IPv6-Modell nicht nötig wären.

IPv6 löst das Grundproblem nicht nur durch mehr Adressraum, sondern auch durch eine saubere Architektur: Jedes Gerät erhält normalerweise eine global eindeutige Adresse oder zumindest einen lokalen Link-Layer-Identifier plus routbaren Präfix. Dadurch wird die direkte Erreichbarkeit wiederhergestellt. In Mobilfunknetzen war der Übergang besonders drängend, weil jederSubscriber idealerweise mehrere Geräte mit internetfähigen Diensten besitzt und gleichzeitig öffentliche IPv4-Adressen knapp sind. Mit IPv6 kann ein Mobilfunkbetreiber jedem Gerät eine eigene Adresse zuweisen, ohne auf Carrier-Grade-NAT angewiesen zu sein.

Weitere Vorteile von IPv6 sind zwar bedeutend, aber sekundär gegenüber der Adressknappheit:

1. Vereinfachter Header: IPv6 hat einen fixen Kopflängenformat und entfernt viele Optionfelder aus dem Basisheader. Das kann bei hoher Durchsatzleistung effizienter sein.
2. Stateless Address Autoconfiguration, SLAAC: Geräte können sich eine Adresse aus Router-Werbung automatisch ableiten, was DHCP reduziert oder ersetzt.
3. Bessere Unterstützung für Mobilität: IPv6 wurde konzeptionell stärker an veränderliche Netzkontexte angepasst, etwa durch Mobility-Optionen und klare Adresshierarchien.
4. Integrierte Sicherheit als Designgedanke: IPsec war von Anfang an Teil der IPv6-Architektur, auch wenn es in der Praxis nicht immer eingesetzt wird. Sicherheit ist daher ein Begleitvorteil, aber nicht der Hauptmigrationsgrund.
5. Weniger Konfigurationsarbeit: Standard-Subnetz /64, Prefix Delegation und moderne DHCPv6/SLAAC vereinfachen die Adressverwaltung.

Dennoch bleibt die Kernaussage: IPv4 ist nicht primär „zu langsam“ oder „unsicher“, sondern hat nicht genug globale Identitäten für ein modernes Internet. Die Adressräume der Regional Internet Registries wurden großflächig aufgebraucht, neue öffentliche Allokationen sind kaum noch möglich, und Sekundärmärkte machen IPv4-Adressblöcke teuer. Für neue Netze ist IPv6 daher die wirtschaftlich und technisch skaliertere Grundlage.

Zusammenfassend lässt sich sagen: Der Übergang von IPv4 zu IPv6 wird vor allem durch Adressverknappung getrieben. IPv6 stellt den Adressraum als Selbstverständlichkeit bereit, macht Geräte direkt adressierbar, reduziert NAT-Komplexität und schafft die Voraussetzung für ein wachsendes Internet mit Milliardenfacher Gerätezahl. Andere Verbesserungen wie vereinfachte Autoconfiguration, bessere Mobilfunkunterstützung und saubereres Routing sind wichtige Nebeneffekte, aber der eigentliche Hauptgrund ist, dass IPv4 schlicht nicht ausreicht, um jedes Gerät eindeutig global zu identifizieren.

Der Hauptgrund für den Übergang von IPv4 zu IPv6 ist die strukturelle Erschöpfung des IPv4-Adressraums vor dem Hintergrund des exponentiellen Wachstums von Internet-Endgeräten, Diensten und vernetzten Systemen. Es geht primär nicht um Geschwindigkeit oder neue Funktionen, sondern darum, dass IPv4 langfristig keine ausreichende Menge eindeutig global routbarer Adressen mehr bereitstellt.

IPv4 verwendet einen 32-Bit-Adressraum und bietet theoretisch rund 4,3 Milliarden eindeutige Adressen. Nach Abzug von Loopback-, Multicast- und privaten RFC-1918-Bereichen bleiben deutlich weniger globale Unicast-Adressen übrig. Ein einzelnes /32-Segment enthält nur 256 mögliche Adressen, von denen in klassischen Subnetzen meist 254 Hosts verfügbar sind; für Organisationen mit Tausenden oder Millionen Endpunkten waren viele Blöcke nötig. Das Internet ist seit den 1980er-Jahren von kleinen Forschungsnetzen auf Milliarden Smartphones, Laptops, Server, Sensoren, Industriemaschinen, Fahrzeuge und IoT-Geräte gewachsen. Viele dieser Geräte benötigen eine eindeutig adressierbare IP für Kommunikation, Dienste oder Fernwartung. CIDR und Prefix-Aggregation haben die Nutzung verbessert, konnten aber den endlichen Adressraum nicht vergrößern. Die IANA hat ihren letzten IPv4-/8-Block 2019 aufgebraucht; regionale Register verteilen Restbestände, die kontinuierlich abnehmen. Der Grund ist nicht nur die absolute Zahl, sondern auch die Verteilung: IPv4-Blöcke wurden historisch an ISPs und Organisationen vergeben, während moderne Haushalte, Firmen und Mobilfunknetze mehrere Geräte parallel adressieren müssen.

NAT und private Adressräume sind deshalb die wichtigste Übergangslösung: Viele interne Geräte teilen sich eine oder wenige öffentliche IPv4-Adressen durch Portübersetzung. Das verlängert die Lebensdauer von IPv4 erheblich, verletzt aber das klassische End-to-End-Modell des Internets. Stateful NAT erzeugt Zustandsinformationen über Verbindungen, muss Portbelegungen verwalten und skaliert mit der Anzahl aktiver Flows; dadurch entsteht zusätzliche Komplexität in Routern, Firewalls und Netzbetreibern. Anwendungen wie P2P, VoIP, Gaming oder Remote-Zugänge werden schwieriger, weil direkte Erreichbarkeit eingeschränkt ist. Carrier-grade NAT in ISPs ist noch komplexer. NAT kann zudem Logging und Accountability erschweren, weil interne Adressen nicht global eindeutig zugeordnet werden können; bei Sicherheitsvorfällen ist die Zuordnung eines Flows zu einem konkreten Gerät oft nur über zusätzliche Protokolle oder Logs möglich. Vor allem löst NAT nicht das eigentliche Problem: Es gibt zu wenig globale IPv4-Adressen für alle Endpunkte.

IPv6 löst dieses Grundproblem durch einen 128-Bit-Adressraum. Das entspricht 2^128 Adressen, also rund 3,4 × 10³⁸ eindeutigen Adressen – um Größenordnungen mehr als IPv4. Damit ist eine globale eindeutige Adressierung für jedes Endgerät praktisch unbegrenzt möglich. Außerdem nutzt IPv6 eine klarere Hierarchie: ISPs erhalten typischerweise /48-Präfixe, Kunden können daraus /56-Subnetze oder /64-LANs ableiten; das erleichtert Prefix-Aggregation und Routing im großen Maßstab. Technische Besonderheiten sind SLAAC (Stateless Address Autoconfiguration) über Router Advertisements, Link-local-Adressen in FE80::/10, Neighbor Discovery statt ARP sowie ICMPv6 als zentrale Protokolle für Fehlerberichte, Ping und Netzwerkdiagnose. SLAAC ermöglicht es Clients, eine globale Adresse aus dem Präfix des Netzwerks und einem Interface-Identifier abzuleiten; temporäre Adressen können zudem die Privatsphäre verbessern. DHCPv6 wird oft für DNS-Server oder zusätzliche Parameter genutzt, ist aber nicht immer zwingend erforderlich. Unique Local Addresses (ULA) dienen lokalen Netzen ohne globale Routbarkeit, während globale Unicast-Adressen im Überfluss vorhanden sind. IPv6 kennt zudem Extension Headers, ein Flow-Label-Feld für QoS-Markierung und eine engere Konzeption von IPsec; Anycast sowie Multicast über MLD sind integraler Bestandteil des Adressmodells.

Der praktische Übergang erfolgt meist durch Dual Stack: Geräte und Router unterstützen gleichzeitig IPv4 und IPv6, sodass alte und neue Systeme koexistieren können. Das ist die sauberste Methode, weil keine Adressübersetzung nötig ist. Tunneling kapselt IPv6-Pakete in IPv4, z. B. über 6to4 oder Teredo; das war historisch nützlich für isolierte IPv6-Inseln, ist aber heute weniger verbreitet als nativer IPv6-Betrieb. Übersetzungsmechanismen wie NAT64 und DNS64 erlauben IPv6-nur-Clients den Zugriff auf IPv4-Server, indem Adressen und DNS-Einträge angepasst werden; sie sind während der Mischphase wichtig. Ein häufiger Betriebsfehler ist das Blockieren von ICMPv6 oder NDP in Firewalls; dadurch versagen Neighbor Discovery und Autoconfiguration trotz scheinbar korrekter IPv6-Konfiguration. Betrieblich müssen BGP-Ankündigungen für v6-Präfixe ergänzt, SLAAC/DHCPv6 konfiguriert, DNS A/AAAA-Einträge synchron gepflegt und Dual-Stack-Monitoring eingerichtet werden.

Zusammenfassend ist der Hauptgrund die Adressknappheit von IPv4 vor dem Hintergrund des globalen Wachstums an Endgeräten und Diensten. IPv6 ist dabei nicht nur „mehr Adressen“, sondern auch eine Grundlage für skalierbares, eindeutiges Adressing, Autoconfiguration und ein robusteres End-to-End-Internet. NAT bleibt in IPv6-Umgebungen möglich – etwa aus Sicherheits-, Policy- oder Kompatibilitätsgründen –, ist aber nicht mehr die zentrale Voraussetzung, damit Netzwerke überhaupt adressierbar bleiben.

Der Hauptgrund für den IPv4-zu-IPv6-Übergang: Adressenverknappung

Das Kernproblem: Erschöpfung der IPv4-Adressenraum

Der grundlegende und übergeordnete Grund für den Übergang von IPv4 auf IPv6 ist die Erschöpfung des verfügbaren IPv4-Adressraums. IPv4 definiert eine 32-Bit-Adressstruktur, die theoretisch genau 2³² = 4.294.967.296 (ca. 4,3 Milliarden) eindeutige Adressen bereitstellt. Für die heutige, global vernetzte Welt – und insbesondere für die kommenden Jahrzehnte – ist dieser Adresspool unzureichend.

Historischer Kontext und zeitliche Entwicklung

Die Adressverknappung baute sich über Jahrzehnte ein:

• 1995: Die drei internationalen registriernden Autoritäten (RIPE NCC für Europa/Asien, ARIN für Nordamerika, APNIC für Ozeanien/Asien) begannen, ihre eigenen IPv4-Vorräte zu erschöpfen.
• 1997: Die RIPE NCC meldete ihre letzte IPv4-Adressblockverteilung.
• 2011: Die ARIN – der größte Einzelmarkt – verkündete ihre „last allocation" (die letzte vollständige 256-Block-Allokalion).
• 2019: Die RIPE NCC lieferte ihre letzten IPv4-Adressen aus.

Zusammen mit den Statistiken von Cisco und anderen Analyseschätzen wird die globale IPv4-Auslastung auf über 95–99 % angegeben. Der offizielle IPv4-Adressraum ist damit faktisch erschöpft.

Warum IPv6 dieses Problem fundamental löst

IPv6 erweitert die Adressbreite auf 128 Bit, was 2¹²⁸ ≈ 3,4 × 10³⁸ (ca. 340 Septillionen) eindeutige Adressen ermöglicht. Zur Einordnung: Wenn jede Atomen der Erde eine IPv6-Adresse bekäme, blieben noch etwa ein Millionste des Adressraums übrig. Diese enorme Kapazität eliminiert das Adressengrenzwertproblem praktisch für die nächsten Jahrhunderte.

Die Grenzen IPv4-Arbeitslösungen

Vor dem Übergang wurden mehrere Kompromisse eingesetzt, die den Problem nur verschoben, aber nicht gelöst haben:

• CIDR (Classless Inter-Domain Routing, 1993): Erlaubt die effizientere Aufteilung von Adressblöcken, reduziert die Fragmentierung, liefert aber keine neuen Adressen.
• NAT (Network Address Translation): Ermöglicht, eine kleine Zahl öffentliche Adressen für viele interne Geräte zu verwenden. Allerdings bricht NAT die ursprüngliche Endpunkt-zu-Ende-Verbindungsarchitektur von TCP/IP, erschwert P2P-Kommunikation, compliciert Firewall-Regeln und generiert zusätzliche Latenz.
• CGNAT (Carrier-Grade NAT): Eine aggressive Form des NAT auf Carrier-Ebene, die die Erschöpfung zeitweise auffängt, aber die Problematik vertieft und die transparente Internet-Verbindungsarchitektur zerstört.

Diese Workarounds sind symptomatisch und skalieren nicht. Sie sind der eigentliche Beleg dafür, dass der Adressraum nicht mehr ausreicht.

Sekundäre, aber unterstützende Gründe

Neben der Adressverknappung (dem Hauptgrund) bietet IPv6 zusätzliche technische Verbesserungen, die den Übergang verstärken:

• Eingereizte, vereinfachte Paketstruktur: IPv6-Pakete besitzen eine feste 40-Bit-Kopfgröße; optionale Kopfteile werden in Extension Headers übertragen, was die Verarbeitung auf Netzwerkknoten beschleunigt.
• Eingebaute IPsec-Sicherheit: Security-Protokolle (AH, ESP) sind nativ in den Protokollkern integriert.
• Eingebaute Multicast-/Anycast-Unterstützung: IPv4 muss Broadcast verwenden; IPv6 unterstützt nur Multicast und Anycast, was Netzwerk-Effizienz und Mobilfunk-Anwendungen (z. B. 5G/6G) vereinfacht.
• Automatisches Konfiguration (SLAAC, MLD): Erleichtert die Deployment-Logistik für Geräte mit begrenzter Konfigurationsmöglichkeit.
• Vermeidung von NAT: Jede Adresse ist global routbar und eindeutig – die Endpunkt-zu-Ende-Verbindung bleibt erhalten, was P2P, VoIP, Gaming und IoT direkt ermöglicht.

Zusammenfassung

Der Hauptgrund bleibt die mathematische Erschöpfung der 32-Bit-Adressstruktur von IPv4. Der verfügbare Adresspool ist nach etwa 25 Jahren globalem Wachstum praktisch ausgebraucht, und die bestehenden Workarounds (NAT, CGNAT) sind strukturell begrenzt und verschlechtern die Netzwerkarchitektur. IPv6 mit seinem 128-Bit-Adressraum löst dieses Problem auf der Grundlage des Protokollkerns und ist daher nicht nur eine „Nice-to-Have"-Erweiterung, sondern eine technische Notwendigkeit für die weitergehende, adressierbare Nutzung des Internets.

Die Länge einer IPv6-Adresse

Eine IPv6-Adresse ist 128 Bit lang. Das entspricht 16 Byte (Oktetten). IPv4-Adressen umfassen dagegen nur 32 Bit. Die IPv6-Adresse ist also viermal so lang, und der Adressraum wächst exponentiell.

---

1. Größe des Adressraums

Mit 128 Bit lassen sich 2¹²⁸ Adressen bilden:

• 2¹²⁸ ≈ 3,4 × 10³⁸ Adressen (genau: 340.282.366.920.938.463.463.374.607.431.768.211.456)
• IPv4 bietet nur 2³² ≈ 4,3 Milliarden Adressen

Diese Erweiterung war der Hauptgrund für IPv6. Die verfügbaren IPv4-Adressen sind praktisch aufgebraucht. Die IANA hat die letzten freien Blöcke 2011 an die regionalen Registrierungsstellen vergeben. IPv6 wurde ursprünglich in RFC 2460 spezifiziert und ist heute in RFC 8200 standardisiert.

---

2. Notation: Hexadezimale Darstellung

Die 128 Bit werden in 8 Blöcke zu je 16 Bit aufgeteilt (sogenannte „Hextets“ oder Gruppen). Jeder Block wird als vierstellige Hexadezimalzahl geschrieben, und die Blöcke werden durch Doppelpunkte getrennt.

Beispiel (vollständige Schreibweise):

2001:0db8:0000:0000:0000:ff00:0042:8329

Rechnung: 8 Blöcke × 16 Bit = 128 Bit. Jede Hex-Ziffer steht für 4 Bit, also 32 Hex-Ziffern × 4 Bit = 128 Bit.

Verkürzungsregeln (RFC 5952)

1. Führende Nullen in einem Block dürfen entfallen: 0db8 → db8, 0042 → 42
2. Eine zusammenhängende Folge von Null-Blöcken darf durch :: ersetzt werden. Das ist nur einmal pro Adresse erlaubt, sonst wäre die Adresse nicht eindeutig.
3. Kleinbuchstaben werden empfohlen, und :: soll die längste Nullfolge ersetzen.

Verkürzt:

2001:db8::ff00:42:8329

Weitere Beispiele:

• Loopback-Adresse: 0:0:0:0:0:0:0:1 → ::1
• Unspezifizierte Adresse: :: (alle 128 Bit sind 0)

---

3. Struktur einer IPv6-Adresse

Eine typische Unicast-Adresse besteht aus zwei Teilen:

Teil	Länge	Funktion
Netzwerkpräfix	meist 64 Bit	Identifiziert das Netz bzw. Subnetz
Interface Identifier (IID)	meist 64 Bit	Identifiziert die Schnittstelle im Subnetz

Bei einer Global Unicast Address teilt sich das Präfix weiter auf:

• Global Routing Prefix (z. B. 48 Bit, vom Provider zugewiesen)
• Subnet ID (z. B. 16 Bit, ergibt 65.536 Subnetze für eine Organisation)
• Interface ID (64 Bit)

CIDR-Präfixnotation

Wie bei IPv4 wird die Präfixlänge mit Schrägstrich angegeben:

2001:db8:abcd:0012::/64

Die ersten 64 Bit bilden hier das Netzwerkpräfix. Ein /64-Subnetz enthält allein 2⁶⁴ ≈ 18,4 Trillionen Adressen. Das ist vier Milliarden Mal mehr als das gesamte IPv4-Internet.

Typische Zuweisungsgrößen:

• /32: an Internet-Provider (LIRs)
• /48 oder /56: an Kunden bzw. Standorte
• /64: Standard-Subnetz (Voraussetzung für SLAAC)
• /128: einzelne Hostadresse

---

4. Wichtige Adresstypen und Präfixe

Typ	Präfix	Beschreibung
Global Unicast	2000::/3	Weltweit routbar
Link-Local	fe80::/10	Nur im lokalen Segment gültig, automatisch konfiguriert
Unique Local (ULA)	fc00::/7 (praktisch fd00::/8)	Private Adressen, vergleichbar mit RFC 1918
Multicast	ff00::/8	Gruppenkommunikation (z. B. ff02::1 = alle Knoten)
Loopback	::1/128	Lokaler Host
Dokumentation	2001:db8::/32	Für Beispiele reserviert

Wichtig: IPv6 kennt keine Broadcast-Adressen mehr. Diese Funktion übernimmt Multicast. Zusätzlich gibt es Anycast-Adressen.

---

5. Erzeugung des Interface Identifiers

Die 64 Bit des Interface Identifiers können auf verschiedene Weise entstehen:

• Modified EUI-64: Die 48 Bit lange MAC-Adresse wird in der Mitte um ff:fe ergänzt (16 Bit), sodass 64 Bit entstehen. Zusätzlich wird das 7. Bit (Universal/Local-Bit) invertiert. Beispiel: MAC 00:1a:2b:3c:4d:5e → IID 021a:2bff:fe3c:4d5e
• Privacy Extensions (RFC 8981): Zufällige, temporäre IIDs schützen die Privatsphäre, weil sich das Gerät nicht über die MAC-Adresse verfolgen lässt.
• Stable Privacy Addresses (RFC 7217): Pro Netz stabile, aber nicht aus der MAC-Adresse ableitbare IIDs.
• DHCPv6 oder manuelle Konfiguration.

Die automatische Adresskonfiguration SLAAC (Stateless Address Autoconfiguration, RFC 4862) setzt die feste Länge von 64 Bit für den IID voraus. Deshalb sind /64-Subnetze der Standard.

---

6. Vergleich IPv4 und IPv6

Merkmal	IPv4	IPv6
Adresslänge	32 Bit	128 Bit
Anzahl Adressen	≈ 4,3 × 10⁹	≈ 3,4 × 10³⁸
Notation	Dezimal, Punkte (192.0.2.1)	Hexadezimal, Doppelpunkte
Header-Größe	20–60 Byte (variabel)	40 Byte (fest)
Broadcast	Ja	Nein (Multicast)
NAT	Weit verbreitet	Grundsätzlich unnötig
Autokonfiguration	DHCP	SLAAC und/oder DHCPv6
Fragmentierung	Router und Hosts	Nur Quell-Host (Extension Header)

Der IPv6-Header enthält die Quell- und die Zieladresse mit je 128 Bit. Allein die Adressen belegen also 32 der 40 Byte des festen Headers.

---

7. Übergangsmechanismen mit IPv4-Bezug

Weil IPv4 und IPv6 nicht direkt kompatibel sind, gibt es besondere Darstellungen:

• IPv4-mapped IPv6-Adresse: ::ffff:192.0.2.1 Hier sind 80 Bit null, 16 Bit eins und die letzten 32 Bit enthalten die IPv4-Adresse.
• NAT64/DNS64: Das Präfix 64:ff9b::/96 bettet IPv4-Adressen in die letzten 32 Bit ein.
• Dual-Stack: Beide Protokolle laufen parallel.
• Tunnel wie 6in4, 6rd oder Teredo.

---

Zusammenfassung

Eine IPv6-Adresse ist 128 Bit (16 Byte) lang. Sie wird als 8 Gruppen à 16 Bit in hexadezimaler Form mit Doppelpunkten geschrieben und lässt sich mit :: und durch Weglassen führender Nullen verkürzen. Der Adressraum von 2¹²⁸ Adressen behebt die Adressknappheit von IPv4 dauerhaft. Typischerweise teilt sich die Adresse in ein 64-Bit-Netzwerkpräfix und einen 64-Bit-Interface-Identifier. Diese Aufteilung ermöglicht Funktionen wie SLAAC und macht NAT im Regelfall überflüssig.

Eine IPv6-Adresse ist exakt 128 Bit lang. Diese feste Länge ist eine zentrale Eigenschaft des IPv6-Protokolls und gilt für alle Adresstypen, unabhängig davon, ob es sich um globale Unicast-, Link-Local-, Multicast- oder Spezialadressen handelt. In Byte-Einheiten entspricht das 16 Byte, da 128 Bit durch 8 geteilt 16 ergibt. Im IPv6-Paketheader werden Quelladresse und Zieladresse jeweils als 16-Byte-Felder übertragen; beide Adressfelder zusammen belegen daher 32 Byte innerhalb des festen Basis-Headers von 40 Byte.

Textuell wird eine IPv6-Adresse meist in Hexadezimalschreibweise dargestellt. Die vollständige Form besteht aus acht Gruppen à vier hexadezimale Ziffern, getrennt durch Doppelpunkte. Jede dieser Gruppen nennt man Hextet; sie kodiert genau 16 Bit. Acht Hextets ergeben damit 8 × 16 = 128 Bit. Ein Beispiel in voller Schreibweise lautet:

2001:0db8:0000:0000:0000:0000:0000:0001

Nach den IPv6-Kompressionsregeln kann dieselbe Adresse abgekürzt werden, etwa als:

2001:db8::1

Wichtig ist dabei, dass die textuelle Kürzung nichts an der eigentlichen Adresslänge ändert. Das Zeichenpaar :: steht nur für eine Folge von Null-Gruppen und darf in einer Adresse höchstens einmal verwendet werden. Führende Nullen innerhalb eines Hextets können ebenfalls weggelassen werden; so wird 0db8 zu db8 oder 0042 zu 42. Diese Regeln dienen ausschließlich der Lesbarkeit und der einfacheren Eingabe. Im Binärcode, in Routingtabellen, Firewall-Regeln oder im Paketformat selbst bleibt die Adresse immer ein 128-Bit-Wert.

Die Wahl von 128 Bit ergibt einen sehr großen Adressraum: Es sind (2^{128}) mögliche Adressen vorhanden, also ungefähr (3{,}4 \times 10^{38}) eindeutige Werte. Zum Vergleich besitzt IPv4 eine 32-Bit-Adresse und damit rund (4{,}29 \times 10^9) mögliche Adressen. Diese Größenunterschiede sind einer der wesentlichen Gründe für die Einführung von IPv6. Sie ermöglichen eine weitgehend globale, eindeutige Adressierung ohne zwingende Kompromisse zwischen Netzwerkgrößen und Hostanzahl pro Subnet. Dadurch lassen sich Techniken wie NAT oder Carrier-Grade-NAT für normale Endgeräte in vielen Fällen vermeiden, weil der Adressraum ausreichend groß ist.

Die Bitlänge trägt außerdem zur Effizienz des Internet-Routings bei. IPv6-Adressen sind hierarchisch aufgebaut und können große Blöcke zusammenfassen. Routingtabellen müssen dadurch nicht jede einzelne Hostadresse kennen, sondern in der Regel nur Netzpräfixe. In der Praxis werden große Adressblöcke von Internet-Registry-Ebenen an Provider verteilt, die wiederum Organisationen oder Subnetze zuweisen. Diese Hierarchie bleibt auch bei sehr großen Netzen überschaubar, weil 128 Bit genug Platz für eine klare Trennung zwischen globalem Präfix und lokaler Schnittstellenidentifikation bieten.

Netzwerktechnisch wird die 128-Bit-Länge häufig mit einem Präfix interpretiert, ähnlich dem CIDR-Schema bei IPv4. Die Angabe /n bestimmt, wie viele Bits der Adresse als Netz- oder Präfixteil gelten; die übrigen (128 - n) Bits sind der Host- bzw. Interfacebereich. In typischen lokalen IPv6-Subnetzen wird ein /64-Präfix empfohlen und häufig eingesetzt. Damit stehen für lokale Schnittstellenkennungen 64 Bit zur Verfügung. Diese Empfehlung ist besonders relevant für Stateless Address Autoconfiguration, SLAAC, bei dem Geräte aus Router-Advertisement-Nachrichten ein Netzwerkpräfix erhalten und daraus ihre eigene Adresse ableiten. Je nach Adresstyp oder besonderer Vergabe können andere Präfixlängen vorkommen; die Gesamtgröße der Adresse ändert sich dadurch nicht.

Der 128-Bit-Aufbau ist für alle IPv6-Adresstypen gleich. Globale Unicast-Adressen werden häufig aus dem Bereich 2000::/3 vergeben; Link-Local-Adressen liegen im Präfix fe80::/10 und sind nur auf einem lokalen Link gültig; Multicast-Adressen beginnen mit ff00::/8; die Loopback-Adresse ist ::1. Auch Spezialbereiche wie 2001:db8::/32 für Dokumentationszwecke folgen demselben Format. Die unterschiedlichen Präfixe steuern Bedeutung, Geltungsbereich und Routingverhalten, nicht aber die Bitlänge der Adresse selbst.

Praktisch lässt sich die Länge auch aus der hexadezimalen Notation ableiten. Ohne Kompression enthält eine IPv6-Adresse 32 Hexadezimalstellen, weil acht Hextets jeweils vier Ziffern haben. Da jede Hexadezimalstelle 4 Bits darstellt, ergibt (32 \times 4 = 128) Bit. Alternativ kann man ein Hextet als zwei Byte auffassen: 16 Bit entsprechen 2 Byte; acht Hextets sind somit 16 Byte. Im IPv6-Header nehmen Quell- und Zieladresse deshalb zusammen 32 Byte ein, während der gesamte Basis-Header 40 Bytes hat.

Zusammengefasst lautet die Antwort auf die Frage nach der Bitlänge klar: Eine IPv6-Adresse ist immer 128 Bit lang. Diese Festgröße ist Grundlage für die Paketstruktur, die Präfixvergabe, das Routing und den enormen Adressraum von IPv6. Textuelle Abkürzungen wie :: oder weggelassene Nullen ändern nichts an dieser Länge; sie sind nur Darstellungsregeln.

Eine IPv6-Adresse ist exakt 128 Bits lang. Das entspricht 16 Bytes. In der vollständigen Textdarstellung werden diese 128 Bits als acht Blöcke zu je 16 Bits geschrieben; jeder Block enthält vier hexadezimale Ziffern und die Blöcke sind durch Doppelpunkte getrennt. Eine vollständig ausgedehnte IPv6-Adresse hat daher immer die Form:

xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx

wobei jedes x eine Hexziffer, also 0–9 oder a–f, ist. Ein Beispiel für eine vollständig geschriebene Adresse lautet:

2001:0db8:0000:0000:00a0:00ff:fe03:0072

Die Länge der eigentlichen IPv6-Adresse ändert sich durch die Notation nicht. In der Praxis wird IPv6 häufig abgekürzt dargestellt, um Schreibfehler zu vermeiden und Adressen lesbarer zu machen. Es gibt zwei wichtige Kompressionsregeln: Erstens dürfen führende Nullen innerhalb eines 16-Bit-Blocks weggelassen werden. So kann 0db8 als db8 geschrieben werden oder 0000 einfach als 0. Zweitens darf die längste zusammenhängende Folge von Nullblöcken durch ein einzelnes :: ersetzt werden. Aus dem obigen Beispiel wird dadurch:

2001:db8::a0:ff:fe03:72

Das :: steht hier für mehrere 16-Bit-Nullblöcke. Wichtig ist, dass pro IPv6-Adresse nur einmal die Kompression mit :: verwendet werden darf; andernfalls wäre unklar, wie viele Nullblöcke ersetzt sind. Die vollständige Adresse besteht immer noch aus acht 16-Bit-Blöcken und damit aus 128 Bits.

In der Netzwerktechnik werden IPv6-Adressen meist nicht als einzelne „Host-Adresse“ betrachtet, sondern in Präfix und Interface-ID aufgeteilt. Die gebräuchlichste Aufteilung im lokalen Netz ist /64, also 64 Bits für das Netzwerkpräfix und 64 Bits für die Interface-ID. Diese Struktur wird etwa bei SLAAC, Stateless Address Autoconfiguration, genutzt: Der Router stellt ein 64-Bit-Präfix bereit, der Host ergänzt daraus seine eigene 64-Bit-Interface-ID. Die Gesamtadresse bleibt dabei immer 128 Bit lang. Die Zahl nach dem Schrägstrich in einer Notation wie 2001:db8::/64 bezeichnet also nicht die Länge der IPv6-Adresse, sondern nur die Länge des Netzwerkpräfixes.

Typische IPv6-Adressbereiche und ihre Bedeutung sind ebenfalls auf 128-Bit-Strukturen aufgebaut:

• Global Unicast Adressen: Derzeit wird aus dem Bereich 2000::/3 globale IPv6-Adressierung vergeben. Diese Adressen entsprechen ungefähr den öffentlichen, global routbaren Adressen aus der IPv4-Welt.
• Link-Local-Adressen: Sie liegen im Präfix fe80::/10. Binär sind die ersten zehn Bits festgelegt. Link-Local-Adressen werden nur innerhalb eines lokalen Netzsegments verwendet und sind nicht global routbar. Sie dienen unter anderem als Nachbarnachweis, Router Advertisement und SLAAC-Basis.
• Loopback-Adresse: ::1/128 ist die IPv6-Äquivalent zur IPv4-Adresse 127.0.0.1. Die /128 bedeutet hier, dass es sich um eine einzelne exakte Hostadresse handelt.
• Unicast/Multicast-Anycast: Anycast-Adressen verwenden dieselbe syntaktische Struktur wie Unicast-Adressen; sie können jedoch mehreren Schnittstellen zugewiesen sein. Multicast-Adressen beginnen mit dem Präfix ff00::/8, also den ersten acht Bits als Einsen.
• Unspecified Address: ::/128 besteht vollständig aus Nullbits und wird zum Beispiel verwendet, wenn ein Host noch keine Adresse hat oder als Platzhalter in bestimmten Protokollkontexten dient.

Zum Vergleich: Eine IPv4-Adresse ist 32 Bit lang und umfasst damit nur etwa 4,29 Milliarden mögliche Adressen. Eine IPv6-Adresse mit 128 Bits bietet dagegen (2^{128}) Adressen, also ungefähr (3{,}4 \times 10^{38}). Dieser enorme Adressraum ermöglicht eine deutlich feinere Hierarchisierung, effizienteres Routing und die direkte Zuweisung eindeutiger globaler Adressen an Endgeräte, ohne dass IPv4-ähnliche Adressknappheit im Vordergrund steht.

Auch im IPv6-Paketheader spielt diese Länge eine Rolle: Der Basis-Header enthält je 128-Bit-Quelle und 128-Bit-Zieladresse, also insgesamt 32 Bytes für die beiden Adressfelder. In DNS werden IPv6-Adressen über AAAA-Records bereitgestellt; dort werden sie binär als 16 Bytes gespeichert, in Textform aber oft komprimiert dargestellt.

Zusammengefasst ist die Antwort auf die Frage nach der Länge einer IPv6-Adresse eindeutig: 128 Bits. Die Darstellung kann durch Weglassen führender Nullen und durch ::-Kompression kürzer erscheinen, ändert aber nichts an der tatsächlichen Bitlänge jeder gültigen IPv6-Adresse.

Eine IPv6-Adresse ist exakt 128 Bit lang. Das entspricht 16 Byte und damit der 32-fachen Länge einer IPv4-Adresse, die 32 Bit besitzt. In der vollständig expandierten Notation besteht eine IPv6-Adresse aus acht hexadezimalen Gruppen, jeweils vier Zeichen lang, getrennt durch Doppelpunkte:

xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx

Jede dieser Gruppen kodiert 16 Bit; zusammen ergeben die acht Gruppen 8 × 16 = 128 Bit. Diese feste Länge ist ein Grundprinzip von IPv6 und nicht nur eine Notationsregel.

Die Gruppierung in 16-Bit-Blöcke erleichtert Lesbarkeit, Routingtabellen und die Verarbeitung im Netzwerkstack. Intern wird die Adresse häufig als vier 32-Bit-Doppelwörter behandelt, weil moderne CPUs große Integer-Operationen gut abbilden können. Im IPv6-Paketkopf werden Quelladresse und Zieladresse jeweils als 128-Bit-Felder übertragen. Der Basis-IPv6-Header ist 40 Byte lang und enthält neben den Adressfeldern Version (4 Bit), Traffic Class (8 Bit), Flow Label (20 Bit), Payload Length (16 Bit), Next Header (8 Bit) und Hop Limit (8 Bit). Dadurch gibt es im Basis-Header keine optionalen Felder; zusätzliche Informationen werden über Extension Headers ergänzt.

In der Praxis wird die Adresse meist kürzer geschrieben, ohne dass sich ihre bitweise Länge ändert. Führende Nullen innerhalb einer 16-Bit-Gruppe dürfen weggelassen werden: 0db8 wird zu db8, und 0370 wird zu 370; mindestens eine hexadezimale Ziffer muss in jeder Gruppe bleiben. Außerdem kann ein aufeinanderfolgender Block aus einer oder mehreren Nullgruppen durch :: ersetzt werden. Diese Kompression darf nur einmal pro Adresse vorkommen, um eindeutige Interpretationen sicherzustellen. Ein vollständiges Beispiel lautet:

2001:0db8:0000:0000:8a2e:0370:7334:5f9c

In Kurzform schreibt man:

2001:db8::8a2e:370:7334:5f9c

Auch Adressen wie fe80::1 oder ::1 sind gültige Darstellungen, obwohl sie auf den ersten Blick deutlich kürzer erscheinen.

Die 128-Bit-Länge erzeugt einen theoretischen Adressraum von 2^128 eindeutigen Werten. Das sind rund 3,4 × 10³⁸ mögliche Adressen. Zum Vergleich: IPv4 bietet mit 2^32 etwa 4,3 Milliarden Adressen. Dieser enorme Spielraum ist einer der Hauptgründe für die Einführung von IPv6. Er ermöglicht es, große Netze ohne NAT und ohne aufwendige Adresswiederverwendung zu planen, wobei in realen Umgebungen selbstverständlich nur ein kleiner Bruchteil aller Adressen tatsächlich verwendet wird.

Für Netzwerke ist zusätzlich relevant, dass die Adresse in einen Präfix und einen Interface-Teil aufgeteilt werden kann. IPv6-Prefixlängen reichen von /0 bis /128. Eine /128 bezeichnet eine einzelne Adresse; eine /64 wird häufig als Host-Subnetz verwendet, insbesondere bei SLAAC (Stateless Address Autoconfiguration) mit Router Advertisement. Der Interface-Identifier ist in typischen Szenarien 64 Bit lang und kann aus EUI-48-MAC-adressen abgeleitet oder zufällig generiert werden. Wichtig bleibt: Egal ob Global Unicast, ULA, Link-Lokale Adresse oder Multicasts, die Gesamtadresse hat immer 128 Bit.

Typische Adressbereiche illustrieren diese Struktur: Global Unicast-Adressen beginnen mit 2000::/3, Unique Local Addresses liegen im Bereich fc00::/7, Link-Lokale Adressen gehören zu fe80::/10 und Multicasts zu ff00::/8. Die loopback address ist ::1. Diese Bereiche unterscheiden sich nur durch ihre Präfixe, nicht aber durch die Gesamtlänge. In Routingtabellen werden oft Präfixe wie 2001:db8::/48 oder fe80::/64 geführt; die vollständige Adresse wird bei Bedarf durch das Interface-Identifier-Bits ergänzt.

Zusammenfassend lautet die präzise Antwort: Eine IPv6-Adresse ist 128 Bit lang, also 16 Byte. In der vollständigen hexadezimalen Darstellung besteht sie aus 32 hexadezimalen Stellen, angeordnet in acht Gruppen zu je vier Zeichen. Die häufige Kurzschreibweise ändert nur die Darstellung, nicht aber die bitweise Größe. Diese feste Länge ist eine Grundlage für den großen Adressraum, die vereinfachte Paketverarbeitung und die moderne IPv6-Netzwerktopologie.

Eine IPv6-Adresse ist 128 Bit lang, also 16 Byte. In der vollständigen hexadezimalen Schreibweise entspricht das acht Gruppen à vier Hexadezimalstellen, insgesamt 32 Hex-Zeichen plus sieben Doppelpunkte. Die Bitlänge ist eine feste Eigenschaft des IPv6-Adressraums und unabhängig davon, ob die Adresse in Kurzform dargestellt wird.

Technisch lässt sich das so berechnen: Eine hexadezimale Stelle codiert 4 Bits. Vier Stellen ergeben 16 Bits, also entspricht jede der acht Adressgruppen einem 16-bit-Block. Acht Gruppen multipliziert mit sechzehn Bits ergibt 8 × 16 = 128 Bit. Alternativ ausgedrückt: 128 Bit / 8 = 16 Byte.

Ein vollständig geschriebenes IPv6-Adressbeispiel lautet:
2001:0db8:0000:0000:0000:ff00:0429:8329

Jede der acht Gruppen enthält hier exakt vier Hexadezimalzeichen. Die erste Gruppe 2001 ist 16 Bit, die zweite 0db8 ebenfalls, und so weiter. In der Praxis wird dieselbe Adresse häufig verkürzt dargestellt, z. B.:
2001:db8::ff00:429:8329

Diese Kurzform ist zulässig, weil führende Nullen innerhalb einer Gruppe weggelassen werden dürfen und eine zusammenhängende Sequenz aus nur-null-Gruppen durch :: ersetzt werden kann. Die verkürzte Schreibweise sieht kürzer aus, ändert aber nicht die eigentliche Adresse: Das System ergänzt intern die fehlenden Nullgruppen, so dass der Wert weiterhin 128 Bit hat. Wichtig ist außerdem, dass das Zeichen :: in einer IPv6-Adresse nur einmal verwendet werden darf; mehrere Abkürzungen mit :: wären mehrdeutig und daher ungültig.

Zusätzlich gibt es strenge Regeln für die gültige Textform: In voller Schreibweise müssen acht Gruppen vorhanden sein. Jede Gruppe besteht aus ein bis vier Hexadezimalzeichen, wobei führende Nullen in der Kurzform weggelassen werden dürfen. Die Groß-/Kleinschreibung ist nicht semantisch relevant; ABCD und abcd bezeichnen denselben Wert. Diese Regeln helfen bei Validierung und Routing, weil Adressen deterministisch in 128 Bit umgewandelt werden müssen.

Für Netzwerktechnik ist die 128-bit-Länge besonders relevant, weil Adressen üblicherweise mit einem Präfix versehen werden, etwa /48, /56, /64 oder /128. Die Notation gibt an, wie viele der ersten 128 Bits zum Subnetz- bzw. Routingpräfix gehören. Der verbleibende Teil wird typischerweise für die Interface-ID verwendet. In vielen IPv6-Subnetzen ist ein Präfix von /64 üblich; dann stehen 64 Bit für die Interface-ID zur Verfügung. Diese ID kann aus einer MAC-Adresse abgeleitet werden (EUI-64) oder zufällig erzeugt werden, um Privacy-Probleme zu reduzieren. In der Praxis nutzen ISPs häufig /48 als Allokation, Kunden /56, und das lokale Subnetz /64; eine einzelne Endhostadresse kann dagegen als /128 betrachtet werden, wenn sie als vollständig bestimmte Adresse ohne weitere Hostvarianten im Präfix interpretiert wird.

Diese Präfixstruktur ist eng mit der IPv6-Autoconfiguration verknüpft. Beim stateless Address Autoconfiguration (SLAAC) kombiniert ein Gerät den empfangenen 128-bit-Präfix, typischerweise /64, mit einer 64-bit-Interface-ID. Wird die Interface-ID aus der MAC-Adresse abgeleitet, entsteht eine EUI-64-basierte Adresse; zur Privacy-Härtung können zusätzlich Zufalls-IDs rotiert werden. Wichtig bleibt: Der vollständige Adresswert ist immer 128 Bit, auch wenn nur der untere Teil dynamisch erzeugt wird.

Für Routing hat die 128-bit-Adresse zusätzlich den Vorteil, dass Präfixe hierarchisch aggregiert werden können. Ein Router vergleicht bei der Paketweiterleitung den längsten passenden Präfix; dadurch lassen sich große Bereiche unter wenigen Routing-Einträgen zusammenfassen. Die feste Länge von 128 Bit ist die Grundlage dafür, dass sowohl globale Unicast-Präfixe als auch lokale Subnetze und Multicast-Bereiche in einem einheitlichen Adressraum adressiert werden können.

Im IPv6-Paketheader sind die Adressfelder ebenfalls direkt mit dieser Länge verbunden: Der Quelladressbereich und der Zieladressbereich bestehen jeweils aus 16 Byte, also 128 Bit pro Adresse. Das unterscheidet sich von IPv4, wo Quell- und Zieladresse je 32 Bit verwenden. Der IPv6-Basisheader ist insgesamt 40 Byte groß, wovon allein 32 Byte auf die beiden Adressfelder entfallen; der Rest umfasst Version, Traffic Class, Flow Label, Payload Length, Next Header und Hop Limit. Die größere Länge ermöglicht einen enormen Adressraum: IPv4 bietet 2^32 ≈ 4,3 × 10^9 mögliche Adressen, IPv6 dagegen 2^128 = 340.282.366.920.938.463.463.374.607.431.768.211.456 mögliche Adresswerte, also rund 3,4 × 10^38. Damit ist Addressverknappung im klassischen Sinne kein zentrales Problem mehr; entscheidend sind stattdessen korrekte Präfixplanung, Routing und Adressgenerierung.

Ein häufiges Missverständnis besteht darin, die Länge einer IPv6-Adresse mit ihrer textuellen Darstellung zu verwechseln. Die Adresse bleibt 128 Bit lang, egal ob sie in voller Form geschrieben wird oder als Kurzform. Auch spezielle Bereiche wie globale Unicast-Adressen, Link-local Adressen im Bereich fe80::/10, Unique Local Addresses oder Multicast-Adressen im Bereich ff00::/8 sind 128-bit-Werte; nur die Bedeutung der Bits unterscheidet sich je nach Präfix und Verwendungszweck.

Zusammengefasst: Eine IPv6-Adresse hat exakt 128 Bit. In vollständiger hexadezimaler Notation besteht sie aus acht Gruppen à vier Hexadezimalzeichen, also 32 Hex-Zeichen plus sieben Doppelpunkte. Für Netzwerke heißt das, dass Präfixlängen Teile dieses 128-bit-Werts definieren und die übrigen Bits für Interface-/Hostidentifikation genutzt werden können. Wenn man also nur nach der Länge fragt, lautet die Antwort ohne Einschränkung: 128 Bit; alle Abkürzungen und Präfixe sind Darstellungs- oder Planungsebenen darüber.

IPv6-Adresslänge: 128 Bit

Grundlegung

Eine IPv6-Adresse ist exakt 128 Bit lang. Das entspricht 16 Bytes bzw. 32 Hexadezimal-Zeichen. Im Vergleich zur IPv4-Adresse, die lediglich 32 Bit (4 Bytes, 8 Hexadezimal-Zeichen) umfasst, ist die IPv6-Adresse somit viermal so lang. Diese Verdoppelung der Bit-Zahl auf quadrupelt die Rechenkomplexität der Adressierung, aber vor allem die verfügbare Adressgröße: Während IPv4 nur 2³² ≈ 4,3 Milliarden Adressen ermöglicht, bietet IPv6 mit 2¹²⁸ ≈ 3,4 × 10³⁸ Adressen eine praktisch unendliche Adressversorgung.

Struktur und Darstellung

Die 128 Bit werden in der standardmäßigen Notation in acht Gruppen à 4 Hexadezimal-Zeichen unterteilt, getrennt durch Doppelpunkte:

xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx

Jede der vier Bit-Positionen innerhalb einer Hexadezimal-Zahl steht für 4 Bit, sodass eine Gruppe 16 Bit enthält. Acht Gruppen × 16 Bit = 128 Bit.

Die Bits sind zusätzlich in semantische Abschnitte unterteilt, die von der Adressklasse abhängen. Die allgemeine Gliederung lautet:

Abschnitt	Länge	Bedeutung
Prefix (Netz)	64 Bit (üblich)	Identifiziert das Netzwerk bzw. die Subnetz
Interface-Identifier	64 Bit	Identifiziert das spezifische Interface

Wichtig: Diese 64/64-Spaltung ist nicht durch die IPv6-Spezifikation zwingend vorgeschrieben, ist aber in der Praxis (RFC 4291, RFC 4298, RFC 5969) der Standard für unicast Adressen. Die ersten 64 Bit enthalten den Network Prefix (z. B. ein /24, /32 oder /48 für die globale Routbarkeit), die restlichen 64 Bit den Interface-Identifier.

Bit-Ebene im Detail

Auf Bit-Ebene lässt sich eine IPv6-Adresse in die folgenden logischen Schichten zerlegen:

• Bit 0: Identifiziert, ob es sich um eine IPv6-Adresse handelt (Immer 0 für IPv6; in IPv4 wäre es das erste Bit eines IPv4-Headerfelds).
• Bits 0–3 (v4-in-v6): Reserviert für eine IPv4-Adresse innerhalb einer IPv6-Adressraum.
• Bits 1–4: Reserviert für eine IPv6-Adresse innerhalb eines IPv4-Adressraums.
• Bits 5–7 (v6-in-v4): Reserviert für eine IPv6-Adresse innerhalb eines IPv4-Adressraums.

Für die meisten praktischen Adressen ist die relevanteste Bit-Gruppe die, die die Adressklasse bestimmt:

• Unicast Global (2000::/3): Bit 0 = 1
• Link-Local (fe80::/10): Bits 0–1 = 11, Bits 2–9 = 1111 1110 10
• Multicast (ff00::/8): Bit 0 = 1111 1111
• Anycast: Gleichgewichtung mit Multicast-Prefix

Kompression und Notation

Da IPv6-Adressen häufig sehr lang sind, erlaubt die Notation (RFC 4291) zwei Vereinfachungen:

1. Zerosuppression: Konsekutive Null-Gruppen können durch ein einziges :: abgekürzt werden (nur einmal pro Adresse). Beispiel: 2001:0db8:0000:0000:0000:0000:0000:0042 → 2001:db8::42.
2. Kürzere Schreibweise der einzelnen Hexadezimal-Zeichen: Die führende 0 in jeder 4-stelligen Gruppe wird weggelassen.

Diese Vereinfachungen ändern nichts an der strukturierten Bitlänge von 128 Bit; sie sind rein darstellungstechnisch.

Adressraum und Implikationen

Die 128 Bit ergeben den Adressraum:

• 2¹²⁸ Adressen ≈ 3,40 × 10³⁸ Adressen
• Das ist ein Faktor von 10¹⁷ (100 Quadrillionen) größer als das IPv4-Adressraum
• Bei 4,8 × 10⁹ Menschen auf der Erde und etwa 5000 Geräten pro Person ergibt man 2,4 × 10¹³ Geräte – ein Faktor von 10²⁵ kleiner als der verfügbare Raum

Für jede Person auf der Erde könnte man also 10²⁵ Geräte adressieren und und trotzdem bliebe der Adressraum zu 99,999999999999999999999999999999999999999 % frei.

Technische Konsequenzen

Die 128-Bit-Länge hat direkte Auswirkungen auf:

• Routing-Tabellen: Die längere Adresse bedeutet mehr Bits für die longest-prefix-match-Suche, was die Tabelle-Größe und die Lookup-Performance beeinflusst.
• Header-Größe: Der IPv6-Header ist 40 Bytes groß (im Vergleich zu 20 Bytes bei IPv4), teils aufgrund der festen 128-Bit-Adressfelder.
• Security: Die Adresslänge reduziert Brute-Force-Angriffe auf Adressräume erheblich.
• MAC-Mapping: In IPv6 kann ein 48-Bit-IEEE-MAC-Adressierungs-Schema (RFC 7262, SLAAC) direkt in den Interface-Identifier eingebettet werden, was keine manuelle Zuordnung erfordert.

Fazit

Die IPv6-Adresse ist mit 128 Bit die fundamentalen technische Basis einer Adressierung, die den aktuellen und zukünftigen Bedarf an global eindeutigen Identifiernern für alle vernetzten Geräte der Welt abdeckt. Die vierfache Bit-Länge gegenüber IPv4 ist nicht einfach eine kosmetische Erweiterung, sondern die technische Voraussetzung für ein Internet, in dem jede beliebige Endstation eine globale, stabile und kollisionsfreie Adresse besitzen kann.

Vergleich IPv6-Header vs. IPv4-Header

1. Überblick

Der IPv6-Header (RFC 8200) wurde nicht einfach durch Verlängern der Adressfelder aus IPv4 (RFC 791) gebildet, sondern grundlegend vereinfacht. Leitgedanke war, die Verarbeitung im Router („Fast Path“) so effizient wie möglich zu gestalten und selten benötigte Funktionen auszulagern.

Merkmal	IPv4	IPv6
Header-Länge	variabel, 20–60 Byte	fest 40 Byte
Anzahl Felder (Basisheader)	12 Felder + Optionen/Padding	8 Felder
Adresslänge	32 Bit	128 Bit
Prüfsumme	ja (Header Checksum)	nein
Fragmentierung	Router und Sender	nur Sender (Extension Header)
Optionen	im Header (Options-Feld)	Extension Headers
Ausrichtung	32 Bit	64 Bit

Obwohl die Adressen viermal so lang sind, ist der IPv6-Header nur doppelt so groß wie ein minimaler IPv4-Header – ein Hinweis darauf, wie stark er entschlackt wurde.

---

2. Aufbau der beiden Header

IPv4-Header (Felder): Version (4 Bit) | IHL (4) | Type of Service/DSCP+ECN (8) | Total Length (16) | Identification (16) | Flags (3) | Fragment Offset (13) | Time to Live (8) | Protocol (8) | Header Checksum (16) | Source Address (32) | Destination Address (32) | Options + Padding (variabel)

IPv6-Header (Felder): Version (4 Bit) | Traffic Class (8) | Flow Label (20) | Payload Length (16) | Next Header (8) | Hop Limit (8) | Source Address (128) | Destination Address (128)

---

3. Entfernte Felder

3.1 Internet Header Length (IHL)

In IPv4 gibt IHL die Header-Länge in 32-Bit-Worten an (5–15), weil Optionen die Länge variabel machen. Da der IPv6-Basisheader immer 40 Byte lang ist, ist dieses Feld überflüssig. Router wissen sofort, wo der Header endet.

3.2 Identification, Flags, Fragment Offset

Diese drei Felder dienen in IPv4 der Fragmentierung und Reassemblierung. In IPv6 gilt:

• Router fragmentieren nicht mehr. Ist ein Paket zu groß für den nächsten Link, verwirft der Router es und sendet eine ICMPv6-Nachricht „Packet Too Big“ mit der Link-MTU an den Absender.
• Der Absender ermittelt die passende Größe per Path MTU Discovery (RFC 8201) bzw. PLPMTUD (RFC 8899).
• Muss der Absender selbst fragmentieren, nutzt er den Fragment Extension Header (Next Header = 44) mit Identification (jetzt 32 Bit), Fragment Offset und M-Flag. Das „Don’t Fragment“-Bit entfällt, da Router ohnehin nie fragmentieren.
• Jeder IPv6-Link muss eine Mindest-MTU von 1280 Byte unterstützen (IPv4: 68 Byte), wodurch Fragmentierung in der Praxis selten wird.

3.3 Header Checksum

IPv4 schützt den Header durch eine Prüfsumme, die an jedem Router neu berechnet werden muss, weil sich die TTL ändert (teilweise auch bei NAT oder Optionen). In IPv6 wurde sie ersatzlos gestrichen, weil:

• die Sicherungsschicht (z. B. Ethernet-CRC/FCS) Übertragungsfehler bereits erkennt,
• die Transportschicht eigene Prüfsummen mit Pseudo-Header besitzt, der die IPv6-Adressen einschließt (Fehlzustellungen werden so erkannt),
• deshalb ist in IPv6 die UDP-Prüfsumme verpflichtend (in IPv4 optional); Ausnahmen für Tunnelprotokolle regeln RFC 6935/6936. Auch ICMPv6 nutzt – im Gegensatz zu ICMPv4 – eine Prüfsumme mit Pseudo-Header.

3.4 Options und Padding

Das variable Options-Feld von IPv4 (z. B. Record Route, Source Route, Timestamp) war in der Praxis ein Problem: Pakete mit Optionen wurden oft auf den langsamen Software-Pfad („Slow Path“) umgeleitet oder gefiltert. IPv6 ersetzt es durch Extension Headers (siehe Abschnitt 5). Das Padding zur 32-Bit-Ausrichtung entfällt ebenfalls.

---

4. Umbenannte bzw. angepasste Felder

IPv4	IPv6	Änderung
Type of Service (DSCP/ECN)	Traffic Class	gleiche Funktion (6 Bit DSCP, 2 Bit ECN), klarere Benennung
Total Length	Payload Length	zählt nur Nutzlast inkl. Extension Headers, nicht den 40-Byte-Basisheader; Jumbogramme > 65.535 Byte über Hop-by-Hop-Option (RFC 2675)
Time to Live	Hop Limit	Name entspricht nun der realen Nutzung (Hop-Zähler statt Sekunden), wird pro Hop um 1 dekrementiert
Protocol	Next Header	verweist entweder auf das Transportprotokoll (6 = TCP, 17 = UDP, 58 = ICMPv6) oder auf den nächsten Extension Header – bildet eine Kette
Source/Destination Address	gleich benannt	von 32 auf 128 Bit erweitert
Version	Version	Wert 6 statt 4

---

5. Neu eingeführte Elemente

5.1 Flow Label (20 Bit)

Völlig neu ist das Flow Label. Es kennzeichnet zusammengehörige Pakete eines Datenflusses. Nach RFC 6437 setzt die Quelle idealerweise einen pseudozufälligen Wert pro Flow; das Label darf unterwegs grundsätzlich nicht verändert werden.

Nutzen:

• ECMP-/Link-Aggregation-Load-Balancing: Router können aus dem 3-Tupel (Quell-, Zieladresse, Flow Label) einen Hash bilden (RFC 6438), ohne in Transport-Header schauen zu müssen. Das funktioniert auch, wenn der Transport-Header verschlüsselt (IPsec ESP) oder durch Extension Headers bzw. Fragmentierung schwer erreichbar ist.
• Flow-basierte QoS-Behandlung ohne tiefe Paketinspektion.

5.2 Extension Headers

Optionale Informationen werden in separaten Headern zwischen IPv6-Header und Transportschicht transportiert, verkettet über das Next-Header-Feld:

IPv6-Header (NH=0) → Hop-by-Hop (NH=43) → Routing (NH=44) → Fragment (NH=6) → TCP

Wichtige Extension Headers (empfohlene Reihenfolge nach RFC 8200):

1. Hop-by-Hop Options (0) – von Knoten auf dem Pfad auszuwerten (z. B. Router Alert für MLD, Jumbo Payload); muss direkt nach dem IPv6-Header stehen
2. Destination Options (60) – für Ziel(e)
3. Routing Header (43) – z. B. Segment Routing (SRv6, Typ 4); der unsichere Typ 0 wurde per RFC 5095 abgeschafft
4. Fragment Header (44)
5. Authentication Header (51) und ESP (50) – IPsec
6. Destination Options für das Endziel
7. Upper-Layer-Header

Vorteil: Nur der Hop-by-Hop-Header ist überhaupt für Transitrouter vorgesehen – und RFC 8200 erlaubt Routern sogar, ihn zu ignorieren, sofern sie nicht explizit zur Verarbeitung konfiguriert sind. Alle übrigen Extension Headers werden erst vom Ziel (bzw. von dem im Destination-Feld adressierten Knoten beim Routing Header) ausgewertet. Neue Funktionen können ergänzt werden, ohne den Basisheader zu ändern – das Protokoll ist erweiterbar.

5.3 128-Bit-Adressen

Zwar kein neues Feld, aber eine wesentliche Neuerung: der riesige Adressraum ermöglicht hierarchische Adressvergabe und gute Routen-Aggregation, macht NAT überflüssig und erlaubt Autokonfiguration (SLAAC).

---

6. Vorteile für Router

6.1 Feste Header-Länge

Router müssen keine IHL auswerten oder variable Optionen parsen. Die Position aller Felder ist fix – ideal für Hardware-Forwarding in ASICs/Network Processors. Die Felder sind zudem auf 64-Bit-Grenzen ausgerichtet, was effiziente Speicherzugriffe auf modernen 64-Bit-Architekturen ermöglicht.

6.2 Keine Prüfsummenberechnung pro Hop

In IPv4 muss jeder Router nach dem TTL-Dekrement die Header-Prüfsumme anpassen (inkrementell nach RFC 1624). In IPv6 entfällt dieser Schritt: der Router dekrementiert nur das Hop Limit und leitet weiter. Das spart Rechenzeit und vereinfacht die Logik.

6.3 Keine Fragmentierung durch Router

Fragmentierung ist ressourcenintensiv (Puffer, Header-Kopien, CPU) und war oft ein Slow-Path-Vorgang. In IPv6 verlagert sie sich vollständig an den Absender. Router prüfen nur noch, ob das Paket auf den Ausgangslink passt. Falls nicht, verwerfen sie es und senden ein ICMPv6 „Packet Too Big“ (Typ 2) zurück. Dadurch entfallen:

• das Erzeugen mehrerer Fragmente mit kopierten Headern,
• die Pufferverwaltung für Fragmente,
• das Setzen von Offset und Flags pro Fragment.

Die Reassemblierung erfolgte schon bei IPv4 nur am Ziel; bei IPv6 liegt nun auch die Fragmentierung ausschließlich bei den Endsystemen. Das entspricht dem End-to-End-Prinzip.

6.4 Effizientere Optionsbehandlung

In IPv4 musste jeder Router das Options-Feld zumindest parsen, da Optionen grundsätzlich alle Knoten betreffen konnten. Pakete mit Optionen landeten deshalb häufig im Slow Path der Control-Plane-CPU, was auch DoS-Angriffe begünstigte. In IPv6 gilt:

• Transitrouter betrachten nur das Next-Header-Feld des Basisheaders.
• Ist dort kein Hop-by-Hop-Header (Wert 0) angegeben, muss der Router keine Extension Headers auswerten.
• RFC 8200 erlaubt zudem, Hop-by-Hop-Optionen zu ignorieren. RFC 9673 präzisiert die Verarbeitung so, dass sie im Fast Path möglich ist.

6.5 Besseres Load Balancing durch das Flow Label

Für ECMP benötigen Router eine Hash-Grundlage, die alle Pakete eines Flows auf denselben Pfad legt, um Umsortierungen zu vermeiden. Bei IPv4 ist dafür ein Blick in TCP/UDP-Ports nötig (5-Tupel). Bei IPv6 kann der Router dafür Felder des Basisheaders mit fester Position verwenden:

• Er muss die Extension-Header-Kette nicht durchlaufen.
• Das Verfahren funktioniert auch bei verschlüsselten oder getunnelten Paketen.
• In Rechenzentren und Overlay-Netzen ist das besonders nützlich, etwa bei IPv6-in-IPv6 oder SRv6 (RFC 6438 und RFC 7098).

6.6 Kleinere Routing-Tabellen und weniger Sonderfunktionen

• Hierarchische Adressvergabe (RIR → LIR/ISP → Kunde, typischerweise /48 bzw. /56 für Standorte) erleichtert die Aggregation. Das hilft, das Wachstum der globalen Routing-Tabelle zu begrenzen, auch wenn Multihoming und Deaggregation dies in der Praxis abschwächen.
• Kein NAT nötig: Router müssen keine Zustandstabellen pflegen und keine Adressen oder Prüfsummen umschreiben. Die Ende-zu-Ende-Adressierung bleibt erhalten.
• Kein Broadcast: IPv6 nutzt Multicast, etwa Solicited-Node-Multicast für die Neighbor Discovery statt ARP-Broadcasts. Das reduziert unnötige Last auf Netzsegmenten.

6.7 Zusammenfassung der Forwarding-Schritte

Schritt im Router	IPv4	IPv6
Header-Länge bestimmen	IHL auslesen	entfällt (fest 40 Byte)
Prüfsumme verifizieren	ja (oft)	entfällt
Optionen prüfen	ggf. Slow Path	nur bei Next Header = 0
TTL/Hop Limit dekrementieren	ja	ja
Prüfsumme neu berechnen	ja	entfällt
Ggf. fragmentieren	ja (wenn DF=0)	nie, stattdessen ICMPv6 PTB
Lookup	32-Bit-Longest-Prefix-Match	128-Bit-LPM (in der Praxis meist ≤ /64)

---

7. Kritische Aspekte und Praxiserfahrungen

Die Vereinfachung hat auch Nebenwirkungen, die zu einer vollständigen Bewertung gehören:

1. Längere Adressen beim Lookup: Ein 128-Bit-Longest-Prefix-Match benötigt mehr TCAM- bzw. Speicherressourcen. Moderne ASICs gleichen das aus, für Hardware-Designer bleibt es aber ein Kostenfaktor.

2. Extension Headers in der Praxis: Messungen (RFC 7872) zeigen, dass Pakete mit Extension Headers im Internet häufig verworfen werden, besonders mit Hop-by-Hop- oder Fragment-Header. Gründe sind:

   • Firewalls und Middleboxes müssen für Layer-4-Filterung die gesamte Kette durchlaufen, was bei sehr langen Ketten aufwendig ist.
   • Missbrauchspotenzial besteht durch überlange Ketten oder Fragmentierung zur Umgehung von ACLs.
   • Gegenmaßnahme: RFC 7112 verlangt, dass die gesamte Header-Kette im ersten Fragment liegen muss. RFC 9098 und RFC 9288 behandeln die operativen Folgen und Filterempfehlungen.

3. Abhängigkeit von ICMPv6: Da Router nicht fragmentieren, ist Path MTU Discovery auf funktionierende „Packet Too Big“-Meldungen angewiesen. Filtern Administratoren ICMPv6 pauschal, entstehen PMTU-Black-Holes. RFC 4890 gibt daher Empfehlungen, welche ICMPv6-Typen niemals gefiltert werden dürfen.

4. Header-Overhead: 40 statt 20 Byte schlagen bei kleinen Paketen wie VoIP oder IoT-Daten spürbar zu Buche. Hierfür gibt es Header-Kompression, etwa ROHC oder 6LoWPAN (RFC 6282).

5. Flow Label wenig genutzt: Viele Betriebssysteme setzen das Flow Label inzwischen standardmäßig (z. B. Linux). Die Auswertung in Routern ist aber nicht flächendeckend, und manche Implementierungen hashen weiterhin auf das 5-Tupel.

---

8. Fazit

Der IPv6-Header folgt dem Prinzip „Einfacher Basisheader, Komplexität an den Rand“:

• Entfernt wurden IHL, Identification, Flags, Fragment Offset, Header Checksum sowie Options/Padding.
• Umbenannt bzw. angepasst wurden Traffic Class (statt ToS), Payload Length (statt Total Length), Hop Limit (statt TTL) und Next Header (statt Protocol).
• Neu sind das Flow Label, das Konzept der verketteten Extension Headers und die 128-Bit-Adressen.

Für Router bedeutet das:

• eine feste, gut ausgerichtete Struktur für schnelles Hardware-Forwarding,
• keine Prüfsummenneuberechnung pro Hop,
• keine Fragmentierung,
• in der Regel keine Optionsverarbeitung,
• einfacheres und robusteres Load Balancing über das Flow Label.

Der Router wird damit stärker auf seine Kernaufgabe reduziert: Hop Limit dekrementieren, Ziel nachschlagen, weiterleiten. Die praktischen Herausforderungen mit Extension Headers und ICMPv6-Filterung zeigen allerdings, dass sich die theoretischen Vorteile nur bei korrekter Konfiguration von Netzen und Sicherheitskomponenten voll entfalten.

Vergleich der IPv4- und IPv6-Header

Der IPv4-Header ist minimal 20 Byte groß, maximal 60 Byte, wenn Optionen vorhanden sind. Der IPv6-Basisheader ist dagegen immer genau 40 Byte lang. Er enthält keine variablen Optionen mehr und wurde bewusst so gestaltet, dass Router ihn möglichst einfach, schnell und stateless verarbeiten können.

Die wichtigsten Felder im IPv6-Basisheader sind:

• Version: 4 Bit
• Traffic Class: 8 Bit
• Flow Label: 20 Bit
• Payload Length: 16 Bit
• Next Header: 8 Bit
• Hop Limit: 8 Bit
• Source Address: 128 Bit
• Destination Address: 128 Bit

Zusammen ergibt das fünf 64-Bit-Wörter bzw. ein festes Layout, was die Verarbeitung in Hardware-Pipelines erleichtert.

---

Übersicht: IPv4-Header vs. IPv6-Header

Aspekt	IPv4	IPv6	Bedeutung für Router
Headerlänge	20–60 Byte, variabel durch IHL und Optionen	fix 40 Byte im Basisheader	Einfacheres Parsing, bessere Hardware-Implementierung
Internet Header Length	vorhanden	entfernt	Keine variable Kopfgröße mehr im Basisheader
QoS-Feld	ToS-Byte	Traffic Class + Flow Label	Bessere Kennzeichnung von Diensten und Flows möglich
Längenfeld	Total Length inkl. Header	Payload Length nur für Daten nach dem IPv6-Basisheader	Klarere Semantik; Jumbograms über Option möglich
Fragmentierung	Identification, Flags, Fragment Offset im Basisheader	nicht mehr im Basisheader; separater Fragment-Header optional	Router müssen keine Pakete zerlegen oder reassemblieren
Lebensdauer	TTL	Hop Limit, gleiche Funktion	Router dekrementieren Wert; bei 0 wird verworfen
Protokollfeld	Protocol	Next Header	Zeigt entweder oberes Protokoll oder nächsten Extension-Header an
Prüfsumme	Header-Checksum vorhanden	entfernt	Kein pro-hop erneutes Prüfen/Berechnen des Headers mehr
Adressen	32 Bit je Adresse	128 Bit je Adresse	Größerer Adressraum, aber festeres Layout im Header
Optionen	variabel im IPv4-Header	Extension-Header nach dem Basisheader	Router können die meisten Extension-Header überspringen

---

Entfernte Felder und ihre Folgen

1. Internet Header Length / IHL

In IPv4 gab es das Feld IHL, um anzuzeigen, wie lang der IP-Header ist. Das war nötig, weil IPv4-Optionen die Headerlänge variabel machen konnten.

IPv6 hat im Basisheader keine Optionen mehr. Der Basisheader ist immer 40 Byte groß. Dadurch wissen Router und Endsysteme, dass die Quelladresse an einer festen Position beginnt: bei Byte 8 des Headers. In IPv4 konnte diese Position je nach IHL unterschiedlich sein.

Vorteil für Router:
Router müssen nicht jedes Mal prüfen, ob Optionen vorhanden sind oder wie lang der Header ist. Das reduziert Verzweigungen und vereinfacht die Implementierung in ASICs oder schnellen Software-Stacks.

---

2. Fragmentierungsfelder: Identification, Flags, Fragment Offset

In IPv4 enthielt der IP-Header drei fragmentierungsbezogene Felder:

• Identification
• Flags, darunter das Don’t-Fragment-Flag
• Fragment Offset

Router konnten in IPv4 Pakete zerlegen, wenn sie auf einen kleineren MTU-Link trafen. Das Ziel-System musste die Fragmente anschließend wieder zusammenfügen.

In IPv6 wurde Fragmentierung aus dem Basisheader entfernt. Wenn ein IPv6-Paket fragmentiert werden muss, erfolgt das nur noch am Ursprungssystem. Dafür gibt es einen optionalen Fragment-Header als Extension-Header. Dieser enthält u. a. Offset und M-Flag. Ein separates 16-Bit-Identifier-Feld wie in IPv4 gibt es im IPv6-Fragment-Header nicht mehr; die Zuordnung von Fragmenten erfolgt über Quelladresse, Zieladresse und Flow Label.

Besonders wichtig ist: IPv6-Router fragmentieren Pakete nicht mehr. Wenn ein Paket für den Ausgangsport zu groß ist, wird es verworfen und in der Regel eine ICMPv6-Nachricht Packet Too Big an das Ursprungssystem gesendet. Damit nutzt IPv6 Path-MTU-Discovery.

Vorteil für Router:
Router müssen keine Fragmentierungsstate speichern, keine Reassemblier-Puffer verwalten und keine Fragmente zusammenfügen. Das reduziert CPU-Last, Speicherbedarf, Latenz und Komplexität erheblich. Außerdem entfallen Probleme wie Head-of-Line-Blocking oder DoS-Angriffe über fragmentierte Pakete in einem viel größeren Maß als bei IPv4.

---

3. Header-Checksum

IPv4 enthält eine Header-Prüfsumme, die nur den IP-Header abdeckt, nicht aber die Nutzdaten. Da der TTL-Wert an jedem Router geändert wird, musste die Prüfsumme in jeder Weiterleitung neu berechnet werden.

IPv6 hat diese Header-Prüfsumme entfernt. Fehlererkennung erfolgt stattdessen durch:

• die Layer-2-Fehlererkennung, z. B. Ethernet FCS oder Frame Check Sequence,
• Prüfsummen der Transportprotokolle wie TCP oder UDP,
• optional IPsec-Mechanismen wie AH oder ESP.

Vorteil für Router:
Router müssen bei jeder Weiterleitung keine Prüfsumme mehr über den IPv6-Basisheader berechnen. Das spart Rechenleistung und ist insbesondere bei hohen Durchsatzraten vorteilhaft. Die Fehlererkennung wird in die Schichten verlagert, die sie besser oder effizienter durchführen können.

---

4. Optionsfeld im Basisheader

IPv4 konnte direkt im IP-Header variable Optionen tragen, z. B. für Routing-Hints, Zeitstempel oder andere Sonderfunktionen. Diese machten den Header unregelmäßig und erschwerten die schnelle Verarbeitung.

IPv6 ersetzt dieses Konzept durch Extension-Header. Sie folgen dem 40-Byte-Basisheader und sind als verkettete Struktur organisiert. Jeder Extension-Header beginnt mit einem Next-Header-Feld, das auf den nächsten Header oder das obere Protokoll zeigt.

Typische IPv6-Extension-Header sind:

• Hop-by-Hop Options
• Routing Header
• Fragment Header
• Destination Options
• Authentication Header, AH
• Encapsulating Security Payload, ESP

Die meisten dieser Extension-Header werden nicht von jedem Router bearbeitet. Hop-by-Hop Options sind die Ausnahme, da sie grundsätzlich an jedem Knoten auf dem Pfad verarbeitet werden müssten. Aus diesem Grund sollten sie in normalen Datenströmen selten verwendet werden.

Vorteil für Router:
Router können bei normalem Weiterleiten meist nur den Basisheader betrachten und Extension-Header einfach weiterreichen. Das erlaubt Line-Rate-Forwarding, weil nicht jedes Paket in allen möglichen Optionen geparst werden muss.

---

Neu eingeführte oder veränderte Felder

1. Flow Label

Das Flow Label ist ein 20-Bit-Feld und eines der deutlich neuen Merkmale im IPv6-Header. Es kann verwendet werden, um Pakete derselben logischen Datenströmung zu kennzeichnen.

Mögliche Anwendungen sind:

• Echtzeitdienste wie VoIP oder Video,
• QoS-Kennzeichnung,
• Traffic Engineering,
• Vereinfachte Identifikation von Flows ohne Tiefeninspektion der Transportdaten.

In der Praxis wird das Flow Label heute nicht so zentral genutzt wie ursprünglich erwartet, weil DSCP und ECN im Traffic-Class-Feld eine größere Rolle spielen. Trotzdem bleibt es ein wichtiger Baustein für bestimmte Netzwerkdesigns.

Vorteil für Router:
Wenn ein Flow Label gesetzt ist, kann ein Router Pakete derselben Strömung erkennen, ohne in die TCP- oder UDP-Header hineinzuschauen. Das kann insbesondere bei QoS, Policing oder Traffic Engineering vorteilhaft sein. Für das einfache Weiterleiten ist es jedoch nicht zwingend nötig.

---

2. Traffic Class

In IPv4 gab es ein ToS-Byte. In IPv6 heißt dieses Feld Traffic Class. Es wird heute standardmäßig nach dem DSCP- und ECN-Konzept interpretiert:

• 6 Bit für DSCP, Differentiated Services Code Point,
• 2 Bit für ECN, Explicit Congestion Notification.

Damit kann IPv6-QoS sauberer in moderne Serviceklassenmodelle eingebunden werden als das alte IPv4-ToS-Feld.

Vorteil für Router:
Router können Traffic Class direkt am festen Headerfeld ablesen und z. B. Queuing, Priorisierung oder Congestion Control steuern, ohne zusätzliche Protokollebene zu inspizieren. Das ist besonders nützlich in Backbone-Netzen, Mobilfunknetzen oder Datacentern.

---

3. Next Header statt Protocol

In IPv4 zeigte das Protocol-Feld an, welches obere Protokoll folgt, z. B. TCP, UDP oder ICMPv4.

IPv6 verwendet stattdessen Next Header. Dieses Feld kann zwei Dinge bedeuten:

1. Es zeigt direkt auf ein oberes Protokoll, wenn keine Extension-Header vorhanden sind, z. B. TCP oder UDP.
2. Es zeigt auf den nächsten Extension-Header in der Kette.

Vorteil für Router:
Das Feld ist flexibler und erlaubt eine saubere Verkettung von Zusatzinformation ohne den Basisheader zu vergrößern. Für die normale Weiterleitung muss der Router oft nur prüfen, ob ein Extension-Header vorhanden ist, den er selbst verarbeiten muss. Im Normalfall kann er die Kette überspringen.

---

4. Payload Length statt Total Length

In IPv4 gab es Total Length, also die gesamte Länge von IP-Header plus Nutzdaten. In IPv6 gibt es Payload Length. Dieses Feld beschreibt nur die Daten nach dem 40-Byte-Basisheader, also Extension-Header plus obere Protokoll-Daten.

Normalerweise reicht das für maximale Datengramme bis 65535 Byte Payload. Für sehr große Pakete gibt es die Möglichkeit von Jumbograms, wenn ein Hop-by-Hop-Jumbo-Payload-Option verwendet wird. In der Praxis sind Jumbograms aber selten und werden meist vermieden, weil sie Probleme mit PMTU und End-to-End-Kompatibilität verursachen können.

Vorteil für Router:
Die Semantik ist klarer: Der Basisheader zählt nicht mehr zur Länge des Feldes. Für die Weiterleitung selbst ändert sich daran wenig, aber das entlastet die Implementierung von Sonderlogik um variable Headerlängen.

---

5. Größere Adressfelder

IPv4 verwendet 32-Bit-Adressen, IPv6 verwendet 128-Bit-Adressen. Das ist kein neues Feld im engeren Sinne, sondern eine Erweiterung bestehender Felder.

Der größere Adressraum ermöglicht:

• hierarchische Adressvergabe,
• effizientere Aggregation in Routing-Tabellen,
• Anycast- und Multicast-Verfahren ohne zusätzliche Headerfelder,
• weniger Bedarf an NAT-Arbeitarounds in vielen Szenarien.

Vorteil für Router:
Direkt pro Paket bringt die größere Adresse keinen Geschwindigkeitsvorteil; der IPv6-Header wird dadurch sogar größer als der minimale IPv4-Header. Operationell kann aber eine sauberere Adresshierarchie zu kleineren Routing-Tabellen und stabilerer Aggregation beitragen. Zudem entfallen in vielen Architekturen Zuständigkeiten, die durch NAT entstehen, wie stateful Address Translation oder Port-Mapping-State an Grenzroutern.

---

6. Hop Limit statt TTL

Das IPv4-Feld TTL wurde in IPv6 in Hop Limit umbenannt. Die Funktion ist im Kern gleich: Jeder Router dekrementeiert den Wert. Wenn der Wert auf null fällt, wird das Paket verworfen und üblicherweise eine ICMP-Nachricht Time Exceeded gesendet.

Der Name passt besser zum tatsächlichen Verhalten: Es zählt nicht reale Zeit, sondern Hops.

Vorteil für Router:
Kein funktionaler Unterschied gegenüber IPv4, aber die Semantik ist klarer. Für Router bleibt es ein einfaches 8-Bit-Feld am festen Headeroffset.

---

Wichtige Vorteile für Router im Einzelnen

1. Schnellere Weiterleitung durch festeres Layout

Der IPv6-Header hat eine konstante Größe von 40 Byte. Die Adressen beginnen an festen Offsets:

• Quelladresse ab Byte 8,
• Zieladresse ab Byte 24.

In IPv4 konnte die Position der Adressen bei Optionen variieren. Dadurch musste die Hardware oder Software zuerst die IHL auswerten und dann die Adressposition berechnen.

IPv6 reduziert diese Logik erheblich. Moderne Router können den Header mit wenigen Leseoperationen verarbeiten, oft in einem Durchlauf über 64-Bit-Wörter. Das ist ein wesentlicher Grund, warum IPv6-Forwarding in Hardware sehr effizient umgesetzt werden kann.

---

2. Keine pro-hop Header-Prüfsumme

Da IPv6 keine IP-Header-Checksum hat, muss der Router bei jeder Weiterleitung nur den Hop Limit-Wert ändern und weiterleiten. In IPv4 musste zusätzlich die Prüfsumme neu berechnet werden, weil sich der TTL-Wert änderte.

Bei hohen Paketraten ist das ein spürbarer Vorteil. Besonders in Kernroutern mit Millionen oder Milliarden Paketen pro Sekunde reduziert jeder entfallene Rechenschritt Kosten und Komplexität.

---

3. Keine Fragmentierung durch Router

Einer der größten Unterschiede zwischen IPv4 und IPv6 ist die Behandlung von Fragmentierung.

In IPv4 konnten Router selbst fragmentieren, wenn ein Paket zu groß für den Ausgangslink war. Das Ziel-System musste Fragmente sammeln und reassemblieren. Dabei mussten State, Timer und Puffer verwaltet werden.

In IPv6 übernehmen Router diese Aufgabe nicht. Sie prüfen lediglich, ob das empfangene Paket auf dem Ausgangslink passt. Wenn nicht, wird es verworfen und in der Regel ICMPv6 Packet Too Big gesendet. Das Ursprungssystem kann dann die Fragmentierung oder die Größe anpassen.

Folgen für Router:

• kein Reassemblier-Bestand,
• keine fragmentierungsbedingten Puffer,
• weniger CPU-Aufwand pro Paket,
• bessere Skalierbarkeit bei hohen Lasten,
• weniger Angriffsfläche durch Fragmentierungsmanipulation.

Der Nachteil für End-to-End-Kommunikation ist, dass Path-MTU-Discovery zuverlässig funktionieren muss. Wenn ICMPv6-Nachrichten z. B. durch firewaller Blockiert werden, kann es zu Black Holes kommen. Aus Router-Sicht bleibt der Vorteil jedoch klar: weniger Zuständigkeit und weniger pro-Paket-Arbeit.

---

4. Extension-Header entlasten die normale Weiterleitung

IPv6-Optionen sind nicht mehr im Basisheader enthalten. Sie folgen als separate Header. Das bedeutet, dass ein normales IPv6-Paket ohne Zusatzinformationen einen sehr kompakten und einheitlichen Verarbeitungspfad hat.

Wenn ein Extension-Header vorhanden ist, kann der Router anhand des Next Header-Feldes erkennen, ob er ihn selbst verarbeiten muss oder nicht. Für die meisten Extension-Header ist das nicht nötig:

• Fragment-Header wird primär von Ursprung und Ziel verarbeitet,
• Destination Options werden am Ziel verarbeitet,
• AH/ESP werden von den IPsec-Endpunkten oder Gateways verarbeitet,
• Routing Header kommen im normalen Datenverkehr selten vor.

Nur Hop-by-Hop Options müssen grundsätzlich an jedem Knoten auf dem Pfad betrachtet werden. Deshalb sind sie nicht für normale Datenströme vorgesehen und sollten sparsam eingesetzt werden.

Vorteil für Router:
Der normale Datenstrom bleibt einfach. Zusätzliche Funktionen sind optional und werden nur von den beteiligten Endpunkten oder speziellen Knoten bearbeitet. Das ermöglicht hohe Weiterleitungsraten, ohne dass jeder Router jede mögliche Option verstehen muss.

---

5. Bessere QoS-Grundlagen durch Traffic Class und Flow Label

IPv6 bietet feste Felder für QoS-Kennzeichnung:

• Traffic Class für DSCP/ECN,
• Flow Label zur Kennzeichnung logischer Flows.

Router können diese Felder direkt im Header lesen. Das erleichtert die Implementierung von Serviceklassen, Policing, Queuing und Congestion Control. Insbesondere in großen Netzwerken kann das vermeiden, dass Router tiefere Protokollebenen inspizieren müssen, um Prioritäten zu erkennen.

Praktischer Nutzen:
Ein Router kann z. B. VoIP- oder Steuerungstrafik anhand des DSCP-Wertes priorisieren oder Echtzeitflüsse anhand eines Flow Labels in einer bestimmten Warteschlange behandeln. Das ist besonders sinnvoll, wenn die Anwendung auf End-to-End-QoS angewiesen ist und Deep Packet Inspection aus Datenschutz- oder Performancegründen vermieden werden soll.

---

6. Einfache Integration von IPsec

IPv6 wurde mit stärkerem Fokus auf Sicherheit entwickelt. IPsec kann über Extension-Header wie AH und ESP eingebunden werden. Dadurch bleiben die Sicherheitsfunktionen vom Basisheader getrennt.

Für Router bedeutet das: Wenn ein Paket durch einen reinen Weiterleitungsknoten läuft, der nicht Endpunkt des IPsec-Tunnels ist, muss der Router den verschlüsselten oder authentifizierten Inhalt nicht entziffern oder prüfen. Er kann das Paket weiterleiten, solange er die relevanten Header für Routing und QoS versteht.

Vorteil:
Sicherheitsschichten können end-to-end aufgebaut werden, ohne dass jeder Zwischenrouter komplexe Kryptographie verarbeiten muss. Das reduziert den Verarbeitungsaufwand im Kernnetz und erhält die Vertraulichkeit der Nutzdaten über mehrere Hops hinweg.

---

Abwägung: Größerer Header, aber effizientere Verarbeitung

Auf den ersten Blick wirkt IPv6 ineffizienter, weil der minimale Basisheader 40 Byte groß ist und bei IPv4 nur 20 Byte ohne Optionen beträgt. Allerdings muss man das in Relation zu den entfallenen Aufgaben sehen:

• keine variable IHL-Auswertung,
• keine Header-Prüfsumme pro Hop,
• keine Fragmentierung durch Router,
• weniger komplexes Optionshandling im Basisheader,
• festeres Layout für Hardware-Pipelines.

Die zusätzlichen 20 Byte sind bei modernen Bandbreiten meist vernachlässigbar, während die vereinfachte Weiterleitung erhebliche Vorteile in Leistung, Zuverlässigkeit und Implementierbbarkeit.

Der entscheidende Punkt ist daher nicht nur der größere Adressraum, sondern die Verschiebung von Verarbeitungsaufgaben weg vom Router. IPv6 optimiert den normalen Weiterleitungspfad bewusst auf Statelessness und einfache Hardware-Implementierung: Der Basisheader wird schnell geparst, Extension Header können meist übersprungen werden, Fragmentierungs-State entfällt und pro-hop Prüfsummenberechnung ist nicht mehr nötig.

Kurz-Fazit für Router

• Fester 40-Byte-Basisheader: einfachere Parsing-Pipeline, feste Adressoffsets.
• Entfall von IHL, Header-Checksum und Fragmentierungsfeldern im Basisheader: weniger CPU-/ASIC-Aufwand pro Paket.
• Traffic Class und Flow Label: direkte QoS- bzw. Flow-Kennzeichnung ohne Deep Packet Inspection.
• Extension Headers: Sonderfunktionen bleiben außerhalb des Basisheaders; Router müssen sie in der Regel nicht verarbeiten, es sei denn, sie betreffen den Pfad selbst.
• PMTU statt Router-Fragmentierung: entlastet Router erheblich, erhöht aber die Bedeutung von ICMPv6 Packet Too Big und stabiler MTU-Handhabung im Netz.

Zusammengefasst: IPv4 war durch Optionen und Router-basierte Fragmentierung flexibler im Einzelfall; IPv6 ist dafür in der Weiterleitung einfacher, schneller und skalierbarer, weil Sonderfälle an Endsysteme oder optionale Extension Header ausgelagert werden.

IPv6-Header im Vergleich zum IPv4-Header

Der IPv6-Header wurde bewusst einfacher und einheitlicher gestaltet als der IPv4-Header. Das zentrale Ziel ist ein effizienteres Forwarding in Routern: Der Basishheader hat eine feste Länge, enthält keine optionalen Felder mehr und vermeidet aufwändige Prüfungen oder Fragmentierungsoperationen im Netz. Dafür wurden einzelne Funktionen entfernt, umstrukturiert oder in sogenannte Extension Headers ausgelagert.

1. Aufbau des IPv4-Headings

Der minimale IPv4-Header ist 20 Byte groß. Er kann durch Optionen vergrößert werden. Die wichtigsten Felder sind:

IPv4-Feld	Größe	Funktion
Version	4 Bit	Protokollversion, bei IPv4 immer 4
IHL / Internet Header Length	4 Bit	Gibt die Länge des Headers in 32-Bit-Wörtern an
Type of Service / TOS	8 Bit	Qualitäts- und Dienstklasse
Total Length	16 Bit	Gesamtlänge von Header plus Nutzlast
Identification	16 Bit	Kennung für Fragmentierung
Flags	3 Bit	Steuerung der Fragmentierung
Fragment Offset	13 Bit	Position des Fragments im Ursprungspaket
Time to Live / TTL	8 Bit	Vermeidung endloser Zirkulation
Protocol	8 Bit	Protokoll der nächst höheren Schicht, z. B. TCP oder UDP
Header Checksum	16 Bit	Prüfsumme nur über den IPv4-Header
Source IP Address	32 Bit	Quelladresse
Destination IP Address	32 Bit	Zieladresse

Dazu können noch Options und Padding folgen. Dadurch kann der IPv4-Header variabel lang sein, typischerweise zwischen 20 und 60 Byte.

2. Aufbau des IPv6-Headings

Der IPv6-Basishheader hat immer genau 40 Byte. Er enthält keine Optionen mehr. Die Felder sind:

IPv6-Feld	Größe	Funktion
Version	4 Bit	Protokollversion, bei IPv6 immer 6
Traffic Class	8 Bit	Qualitäts- und Dienstklasse, vergleichbar mit DSCP/ECN
Flow Label	20 Bit	Kennzeichnung einer bestimmten Paketflut bzw. Datenfluss
Payload Length	16 Bit	Länge der Nutzlast einschließlich möglicher Extension Headers
Next Header	8 Bit	Art des nächsten Headers oder Protokolls
Hop Limit	8 Byte? Nein: 8 Bit	Entspricht dem IPv4-TTL; begrenzt die Anzahl der Hops
Source Address	128 Bit	Quelladresse
Destination Address	128 Bit	Zieladresse

Falls zusätzliche Informationen benötigt werden, folgen nach den 40 Byte Basishheadern Extension Headers. Diese sind nicht verpflichtend und müssen von Routern nur verarbeitet werden, wenn sie vorhanden und für die Weiterleitung relevant sind.

---

Entfernte oder aus dem Basishheader herausgenommene Felder

IHL – Internet Header Length

Bei IPv4 war das IHL-Feld nötig, weil der Header durch Optionen variieren konnte. Bei IPv6 wurde dieses Feld entfernt, da der Basishheader eine feste Größe von 40 Byte hat. Router müssen daher nicht erst die Headerlänge interpretieren, bevor sie den eigentlichen Inhalt oder die nächste Schicht erkennen können. Das vereinfacht die Hardwareverarbeitung erheblich.

Identification, Flags und Fragment Offset

Diese drei IPv4-Felder wurden aus dem Basishheader entfernt. Sie dienten der Fragmentierung von Paketen im Netz. Bei IPv6 wird die Fragmentierung grundsätzlich nur noch am Ursprungssystem durchgeführt. Router fragmentieren IPv6-Pakete nicht mehr.

Stattdessen kann eine Quelle ein Fragment Extension Header verwenden, wenn ein Paket in kleinere Teile zerlegt werden muss. Nur das Endsystem setzt Fragmente wieder zusammen. Für Router bedeutet das:

• weniger Zustandsverwaltung,
• kein Fragmentierungsprozess im Weiterleitungsweg,
• keine Reassembly-Aufgaben außer am Ziel,
• einfachere und schnellere Forwarding-Entscheidungen.

Wenn ein IPv6-Paket größer ist als die MTU eines Links, sendet der Router in der Regel eine ICMPv6-Nachricht Packet Too Big an den Sender zurück. Das verschiebt die Anpassungslogik zurück zur Quelle.

Header Checksum

Der IPv4-Header enthält eine Prüfsumme, mit der ein Router oder Empfänger Fehler im Header erkennen kann. Diese Prüfsumme schützt allerdings nur den IP-Header, nicht aber die Nutzlast. Bei IPv6 wurde diese Header-Prüfsumme entfernt.

Die Begründung ist, dass Fehlererkennung bereits auf anderen Ebenen erfolgt:

• Die Layer-2-Schicht prüft Frame-Integrität, z. B. durch CRC in Ethernet oder PPP.
• Transportprotokolle wie TCP und UDP führen eigene Prüfungen durch.
• Für IPsec können zusätzliche Integritätsprüfungen über AH oder ESP erfolgen.

Für Router entfällt damit eine CPU-lastige Prüfsummenberechnung für jedes Paket. Das reduziert die Verarbeitungszeit und erhöht die Forwarding-Leistung.

Protocol-Feld – ersetzt durch Next Header

Bei IPv4 gibt es ein 8-Bit-Protokollfeld, das direkt angibt, welches Protokoll in der Nutzlast enthalten ist, z. B. TCP, UDP oder ICMPv6. Bei IPv6 wurde dieses Konzept durch das Next Header-Feld ersetzt.

Der Unterschied ist wichtig:
Das Next Header-Feld kann nicht nur ein Endprotokoll angeben, sondern auch den nächsten Extension Header beschreiben. So lässt sich eine Kette von Headers bilden:

IPv6-Header → Hop-by-Hop Options → Routing Header → Fragment Header → TCP

Für Router ist das vorteilhaft, weil sie bei normaler Weiterleitung oft nur den Basishheader und das Next Header-Feld betrachten müssen. Solange keine relevanten Extension Headers vorhanden sind, kann die Verarbeitung sehr schnell erfolgen.

Optionen aus dem Basishheader entfernt

IPv4 enthielt optional direkt im Header Platz für Optionen, z. B. für Routing, Zeitstempel oder Sicherheitsangaben. Diese Optionen mussten bei jedem Paket geprüft werden, wenn sie vorhanden waren. Dadurch war der Header unvorhersehbar lang und die Verarbeitung komplexer.

Bei IPv6 gibt es solche Felder nicht mehr im Basishheader. Stattdessen können Extension Headers verwendet werden:

• Hop-by-Hop Options
• Destination Options
• Routing Header
• Fragment Header
• Authentication Header für IPsec
• Encapsulating Security Payload für IPsec

Ein wichtiger Punkt: Nicht alle Optionen sind verschwunden, sondern sie wurden aus dem immer vorhandenen Basishheader in eine optionale Struktur ausgelagert. Das ist ein großer Vorteil, weil die meisten Datenpakete keine solchen Zusatzheaders enthalten. Router müssen dann nur den einfachen 40-Byte-Header verarbeiten.

---

Neu eingeführte oder neu strukturierte Felder

Traffic Class

Das IPv6-Feld Traffic Class hat 8 Bit und entspricht inhaltlich dem früheren Type-of-Service-Feld von IPv4, ist aber stärker an moderne QoS-Mechanismen ausgerichtet. Es enthält typischerweise:

• die Differentiated Services Code Point / DSCP-Bits,
• Possibly Explicit Congestion Notification / ECN-Bits.

Für Router bedeutet das, dass sie Pakete einfacher nach Priorität, Serviceklasse oder拥塞zustand klassifizieren und behandeln können. Das ist besonders relevant für VoIP, Video, Echtzeitdienste oder verwaltete Netze mit QoS-Policies.

Flow Label

Das Flow Label ist ein neues 20-Bit-Feld im IPv6-Header. Es erlaubt es einer Quelle, mehrere Pakete als Teil desselben Flusses zu markieren. Ein Flow kann beispielsweise eine TCP-Verbindung, ein UDP-Stream oder ein bestimmtes Multimedia-Streaming darstellen.

Mögliche Vorteile für Router sind:

• schnellere Zuordnung von Paketen zu bereits bekannten Flüssen,
• Unterstützung von QoS ohne tiefgehende Inspektion der Transportlayer-Köpfe,
• effizienteres Lastverteilung in Multi-Path-Umgebungen,
• vereinfachte Verfolgung oder Priorisierung bestimmter Datenströme.

In der Praxis wird Flow Label nicht überall einheitlich genutzt und kann aus Sicherheits- oder Datenschutzgründen manchmal randomisiert werden. Als Header-Mechanismus ist es dennoch ein wichtiger Unterschied zu IPv4, wo es kein vergleichbares Feld im Basishheader gab.

Payload Length statt Total Length

Bei IPv4 beschreibt Total Length die Gesamtlänge von IP-Header plus Nutzlast. Bei IPv6 gibt es Payload Length, das die Länge der Daten nach dem 40-Byte-Basishheader angibt, also Extension Headers und obere Protokolle einschließt.

Das ist für Router weniger relevant als die anderen Änderungen, aber strukturell wichtig: Der Basishheader selbst wird nicht mehr in die Längenangabe eingebunden, weil seine Größe immer bekannt ist. Bei sehr großen Payloads über 65535 Byte kann zusätzlich ein Jumbogram Extension Header verwendet werden, was in normalen Netzen jedoch selten ist.

Next Header und Extension Header-Kette

Das Next Header-Feld ist kein einzelnes neues Feld im klassischen Sinne, sondern eine neue Art, die Paketstruktur zu beschreiben. Es ersetzt das einfache Protocol-Feld von IPv4 und erlaubt eine Kette aus mehreren Headers.

Beispiel:

IPv6-Header
  Next Header = Hop-by-Hop Options
Hop-by-Hop Options
  Next Header = Routing Header
Routing Header
  Next Header = Fragment Header
Fragment Header
  Next Header = TCP
TCP-Daten

Für Router ist dieses Modell vorteilhaft, weil es die Verarbeitung modular macht. Ein Router muss nicht jedes mögliche Zusatzfeld im Basishheader erwarten. Er kann anhand des Next Header-Feldes entscheiden, ob er weitere Headers betrachten oder überspringen soll.

Größere Adressfelder

Die Quell- und Zieladressen wurden von 32 Bit auf 128 Bit erweitert. Das ist keine reine Router-Vorteilsmaßnahme, hat aber indirekte Auswirkungen:

• größere adressierbare Struktur,
• hierarchisch zugeteilte Präfixe,
• weniger Zwang zur Adressübersetzung in vielen Szenarien,
• einfachere Aggregation von Routen durch saubere Prefix-Vergabe.

Allerdings können große Addressräume auch Routingtabellen vergrößern. Der eigentliche Forwarding-Vorteil entsteht nicht direkt aus der größeren Adresse, sondern aus den einfacheren Headerstrukturen und der besseren Netzwerkplanung.

---

Vorteile für Router

1. Einfachere und schnellere Weiterleitung

Der wichtigste Vorteil ist die feste Größe des Basishheadings: 40 Byte. Router können dadurch Pakete vorhersehbarer zerlegen, in Hardware beschleunigen und einfacher in Pipelines verarbeiten. Es gibt keine variablen Optionen im Grundheader, die den Parsing-Prozess verkomplizieren würden.

In modernen Routern wird IPv6-Forwarding häufig über ASICs, SmartNICs oder Offload-Mechanismen beschleunigt. Ein fester Header erleichtert genau diese Implementierung.

2. Keine Header-Prüfsumme im IP-Basishheader

Die Entfernung der Header Checksum reduziert die CPU-Arbeit pro Paket. IPv4-Router mussten bei jedem empfangenen Paket die Header-Prüfsumme kontrollieren oder bei Änderungen neu berechnen. Bei IPv6 entfällt dieser Schritt für den Basishheader, weil Fehlererkennung durch untere Schichten und Transportprotokolle übernommen wird.

Das ist besonders relevant bei hohen Durchsatzraten, wo selbst kleine pro-Paket-Aufgaben sich auf Gesamtleistung auswirken.

3. Fragmentierung nur am Ursprung

Ein zentraler Vorteil gegenüber IPv4 ist die Verlagerung der Fragmentierung von den Routern auf die Quelle. Router müssen keine Fragmentsätze zusammensetzen oder Pakete unterwegs zerlegen. Das vereinfacht:

• Zustandsverwaltung,
• Speicherverwaltung für Fragmente,
• Fehlerbehandlung,
• QoS-Bewertung,
• Firewalling und Deep Packet Inspection.

Wenn ein Paket zu groß ist, signalisiert der Router mit ICMPv6 Packet Too Big, dass die Quelle eine kleinere PMTU verwenden soll. Dadurch bleibt der Datenfluss im Netz sauberer und weniger fragmentiert.

4. Optionale Extension Headers statt ständiger Optionsverarbeitung

IPv4-Optionen konnten direkt im Header stehen und mussten bei jedem Paket berücksichtigt werden, wenn sie vorhanden waren. Bei IPv6 sind Zusatzinformationen in separaten Extension Headers enthalten. Die meisten normalen Datenpakete haben keine solchen Erweiterungen.

Router können dann typischerweise nur die ersten 40 Byte auswerten und weiterleiten. Wenn ein Extension Header vorhanden ist, prüft der Router anhand des Next Header-Feldes, ob er relevant ist. Für das normale Weiterleiten sind viele Extension Headers jedoch nicht nötig.

5. Bessere QoS-Unterstützung durch Traffic Class

Das Traffic-Class-Feld erlaubt eine klare Markierung von Diensteklassen. Router können dadurch Pakete basierend auf DSCP-Werten priorisieren, raten oder in bestimmte Warteschlangen legen. Das ist für:

• VoIP,
• Videokonferenzen,
• Echtzeitsteuerung,
• Managed Services,
• Congestion Control

wichtig. Im Vergleich zu IPv4 ist die Struktur moderner und besser mit aktuellen QoS-Mechanismen vereinbar.

6. Flow Label für flussorientierte Verarbeitung

Das Flow Label kann Routern helfen, Pakete eines bestimmten Flusses schneller zuzuordnen, ohne jedes Mal Quelladresse, Zieladresse und Portnummern vollständig zu analysieren. Das kann bei:

• Lastverteilung,
• QoS,
• Stateful Processing,
• Security-Policies,
• Monitoring

vorteilhaft sein. Der Nutzen hängt stark von der Implementierung ab, aber das Feld schafft die Möglichkeit für effizientere Flussbehandlung auf IP-Ebene.

7. Hop Limit statt TTL mit gleicher Funktion

Das IPv4-TTL-Feld wurde in Hop Limit umbenannt und hat dieselbe Grundfunktion: Es verhindert, dass Pakete endlos im Netz zirkulieren. Jeder Router decrementiert den Wert; wenn er null wird, wird das Paket verworfen und normalerweise eine ICMPv6-Nachricht Time Exceeded gesendet.

Für Router ändert sich an der Funktion wenig, aber die Bezeichnung passt besser zum Hop-basierten Modell moderner Netze. Auch Traceroute-Arbeiten funktionieren über diesen Mechanismus.

8. Saubere Trennung von Daten- und Kontrollfunktionen

IPv6 trennt klar zwischen:

• Basishheader für normales Forwarding,
• Extension Headers für optionale Zusatzfunktionen,
• ICMPv6 für Fehlermeldungen und Neighbor Discovery.

Das führt zu einem übersichtlicheren Paketmodell. Router müssen nicht ständig mit variablen Optionen im Hauptheader umgehen. Kontrollprotokolle wie ICMPv6 sind zudem in IPv6 wesentlich wichtiger als in IPv4, weil sie Funktionen wie Neighbor Discovery, Address Resolution und PMTU Discovery übernehmen. Das vereinfacht zwar die IP-Headerverarbeitung, erfordert aber korrekte ICMPv6-Verarbeitung.

9. Günstiger für Hardwarebeschleunigung

Die feste Headergröße und das Fehlen einer Checksumme machen IPv6 besonders geeignet für:

• ASIC-basiertes Forwarding,
• Offload auf Netzwerkprozessoren,
• NIC-Acceleration,
• Tunneling-Szenarien,
• Datenzentren mit hoher Paketrate.

In vielen modernen Netzen ist IPv6 aus Performance-Sicht daher nicht nur kompatibel, sondern in der Hardwareverarbeitung oft sogar einfacher als IPv4.

---

Fazit

Im Vergleich zu IPv4 wurden im IPv6-Basishheader mehrere Felder entfernt oder neu organisiert:

• IHL wurde entfernt, weil der Header fest 40 Byte ist.
• Identification, Flags und Fragment Offset wurden aus dem Basishheader genommen; Fragmentierung erfolgt nur noch am Ursprung.
• Die Header Checksum entfällt, weil Fehlererkennung durch andere Schichten übernommen wird.
• Das alte Protocol-Feld wurde durch das flexiblere Next Header-Feld ersetzt.
• IPv4-Optionen wurden aus dem Basishheader in Extension Headers ausgelagert.

Neu oder neu strukturiert sind:

• Traffic Class für moderne QoS-Klassifizierung,
• Flow Label zur Kennzeichnung von Paketflüssen,
• Next Header mit Kettungsmechanismus für Extension Headers,
• das Konzept der Extension Headers,
• größere 128-Bit-Adressfelder.

Die größten Vorteile für Router liegen in schnellerem Forwarding, weniger CPU-Aufwand durch fehlende Header-Prüfsumme, vereinfachter Fragmentierungsbewältigung und einer sauberen Trennung zwischen Standardweiterleitung und optionalen Zusatzfunktionen. IPv6 ist damit nicht nur eine größere Adressraum-Erweiterung, sondern auch ein Netzwerkprotokoll mit einem klar auf effiziente Router-Verarbeitung optimierten Headerdesign.

Vergleich IPv6- und IPv4-Header: entfallene Felder, neue Mechanismen und Vorteile für Router

Der IPv6-Header wurde bewusst so gestaltet, dass er von Routern schneller, vorhersehbarer und mit weniger komplexer Logik verarbeitet werden kann als der IPv4-Header. Während IPv4 einen minimalen Header von 20 Bytes hat, der durch das Feld Internet Header Length (IHL) variable Optionen enthalten kann, ist der IPv6-Basisheader immer 40 Bytes lang. Diese Festlänge vereinfacht die Verarbeitung erheblich: Router müssen nicht erst die Längenangabe des Headers interpretieren, sondern kennen die Position aller Basisfelder exakt.

Gleichzeitig wurden viele Felder aus dem IPv4-Basisheader entfernt oder in eine flexiblere Struktur verlagert. Andere Funktionen wurden umbenannt, erweitert oder durch Extension Header ergänzt. Wichtig ist dabei: „Entfernt“ bedeutet nicht immer, dass eine Funktion vollständig verschwindet. So gibt es Fragmentierung in IPv6 weiterhin, aber sie wird nicht mehr als Pflichtverarbeitung im Basisheader behandelt, sondern über einen optionalen Fragment Extension Header realisiert.

Übersicht der wichtigsten Unterschiede

Bereich	IPv4	IPv6	Bewertung für Router
Headerlänge	20 Bytes plus optionale Felder, variabel durch IHL	Feste 40 Bytes im Basisheader	Einfacheres Parsing, feste Offsets
Längeninformation	Total Length plus IHL	Payload Length; Gesamtlänge = 40 + Payload Length	Weniger Berechnungslogik
QoS / Servicefeld	Type of Service, später DSCP/ECN	Traffic Class und zusätzlich Flow Label	Bessere pro-Flow-Behandlung, klarere QoS-Markierung
Fragmentierung	Identification, Flags, Fragment Offset im Basisheader	Optionaler Fragment Extension Header; Fragmentierung primär am Ursprung	Router müssen beim normalen Forwarding nicht fragmentieren oder reassemblieren
Checksumme	Header Checksum im IPv4-Header	Keine Header-Checksumme im Basisheader	Kein erneutes Berechnen der Checksumme bei jedem Hop
Protokollfeld	Protocol	Next Header, kann auf Extension Headers oder Transportprotokoll zeigen	Flexiblere Kette optionaler Header
TTL	Time to Live	Hop Limit	Semantik weitgehend gleich; Vermeidung von Endlosschleifen
Adressen	32-Bit-Quelle und -Ziel	128-Bit-Quelle und -Ziel	Größerer Adressraum, weniger Bedarf an NAT-artigen Übersetzungen
Optionen	Options/Padding im IPv4-Header möglich	Extension Header nach dem Basisheader, optional	Kompakter Basisheader; Zusatzinformationen nur bei Bedarf

---

1. Entfernte oder aus dem Basisheader herausgenommene Felder

a) Internet Header Length / IHL

IPv4 benötigt das Feld Internet Header Length, weil der Header durch Optionen eine variable Länge haben kann. Der Router muss daher zunächst die IHL lesen, um zu wissen, wo der Header endet und wie er mit den Optionen umgeht.

In IPv6 wurde dieses Konzept aus dem Basisheader entfernt. Der IPv6-Basisheader ist immer 40 Bytes lang. Dadurch müssen Router keine variable Kopfstruktur parsen. Die Position von Source Address, Destination Address und allen anderen Basisfeldern ist deterministisch. Das reduziert Codekomplexität, CPU-Aufwand und vereinfacht die Implementierung in Hardware-Forwarding-Einheiten.

Optional zusätzliche Informationen werden nicht mehr als variable Optionen im Basisheader abgelegt, sondern über Extension Header nach dem Basisheader realisiert. Damit bleibt der häufigste Fall, nämlich ein IPv6-Paket ohne Zusatzheader, besonders einfach zu verarbeiten.

b) Header Checksum

IPv4 enthält eine Header-Checksumme, die bei jedem Hop neu berechnet werden muss, weil sich unter anderem das TTL-Feld ändert. Der Router muss also nicht nur das Paket weiterleiten, sondern auch den IPv4-Header konsistent halten.

In IPv6 wurde diese Checksumme entfernt. Die Integrität wird primär in höheren Schichten gewährleistet, etwa durch TCP-, UDP- oder andere Transport- bzw. Anwendungsschutzmechanismen. Zusätzlich können Link-Layer-Schichten eigene Prüfsummen bereitstellen.

Für Router ist das ein klarer Vorteil: Sie müssen bei jeder Weiterleitung keine IP-Header-Checksumme neu berechnen und aktualisieren. Das spart Rechenzeit, reduziert ASIC-Komplexität und erhöht die Durchsatzfähigkeit. Besonders relevant ist dies in Hochleistungs-Routern, wo jede unnötige Verarbeitung pro Paket auf große Datenmengen skaliert.

c) Flags und Fragment Offset

IPv4 enthält im Basisheader die Felder Identification, Flags und Fragment Offset. Diese ermöglichen es, dass ein Router ein zu großes Paket fragmentieren kann, bevor es an einer kleineren Link-MTU scheitert. Das war historisch sinnvoll, macht aber das Routing komplexer: Pakete können unterwegs zerlegt werden, Fragmente müssen am Ziel wieder zusammengesetzt werden, und Router müssen Fragmentierungslogik kennen.

In IPv6 wurde diese Funktion aus dem Basisheader entfernt. Standardmäßig darf ein Paket nur an seiner Quelle oder bei einem Knoten fragmentiert werden, der das Paket selbst erzeugt. Ein reiner Forwarding-Router sollte ein zu großes Paket nicht fragmentieren, sondern verwerfen und ein ICMPv6 Packet Too Big zurücksenden. Damit wird die Path-MTU-Discovery stärker am Ursprung verankert.

Der Vorteil für Router ist erheblich:

• weniger Zustandsverwaltung für Fragmente;
• keine Reassemblage-Puffer an jedem Knoten erforderlich;
• schnellere Forwarding-Pfade, weil Fragmentierungsentscheidungen entfallen;
• vereinfachte Sicherheitsverarbeitung, da Fragmentierung oft zur Umgehung von Inspektion genutzt werden kann.

Fragmentierung existiert in IPv6 weiterhin über den Fragment Extension Header, aber sie ist nicht mehr die Standardverarbeitung im Basisheader eines jeden Routers.

d) Variable Optionen im Basisheader

IPv4 bietet ein Optionsfeld, das nach der Zieladresse folgen kann und je nach IHL eine variable Länge haben kann. Damit können Informationen wie Record Route, Source Route oder Time Stamp übertragen werden. Für Router bedeutet das, dass sie unter Umständen zusätzliche Headerinhalte prüfen müssen, bevor sie zum eigentlichen Weiterleitungsverhalten kommen.

In IPv6 wurden diese Optionen aus dem Basisheader entfernt. Stattdessen gibt es eine Kette optionaler Extension Header, die nach den 40 Bytes des Basisheaders folgen können. Der Basisheader bleibt kompakt und einheitlich. Zusatzinformationen sind nur vorhanden, wenn ein Paket sie tatsächlich benötigt.

Damit wird der häufige Fall, nämlich IPv6-Pakete ohne zusätzliche Optionen, besonders effizient. Router müssen nicht bei jedem Paket zuerst eine variable Optionslänge auswerten. Sie prüfen den Next Header und sehen sofort, ob das nächste Element ein Transportprotokoll wie TCP oder UDP ist oder ob tatsächlich ein Extension Header folgt.

---

2. Neu eingeführte oder grundlegend veränderte Felder

a) Feste 128-Bit-Quell- und Zieladressen

Obwohl Quell- und Zieladresse auch in IPv4 existieren, wurden sie in IPv6 von 32 auf 128 Bit erweitert. Das ist nicht nur ein größerer Adressraum, sondern verändert die Netzwerkarchitektur spürbar.

Für Router ergibt sich daraus vor allem der Vorteil, dass weniger Zwang besteht, durch stateful NAT oder ähnliche Übersetzungsmechanismen Adressmangel zu kompensieren. In IPv4-Netzen führt Address Exhaustion häufig dazu, dass Router oder Gateways zusätzliche Zustandsinformationen pro Sitzung führen müssen: Port-Mapping, Connection Tracking, Session-State-Updates. IPv6 reduziert diesen Bedarf grundlegend.

Natürlich ist der Header dadurch größer: 128 Bit statt 32 Bit für jede Adresse. Das erhöht die Paketgröße im Basisheader, aber die Verarbeitung bleibt einfacher, weil die Struktur fest ist und keine IHL- oder Optionslogik vor den Adressen steht. Für moderne Router ist diese Vereinfachung meist wichtiger als der geringe zusätzliche Speicherbedarf pro Headerfeld.

b) Traffic Class

IPv4 hatte das Type of Service-Feld, aus dem später DSCP und ECN hervorgegangen sind. IPv6 führt dafür ein 8-Bit-Feld namens Traffic Class ein. Es dient der QoS-Kennzeichnung und kann ebenso DSCP- und ECN-Bits enthalten wie in modernen IPv4-Umgebungen.

Der Vorteil für Router ist, dass Priorisierung, Queueing, Rate Limiting und Traffic Engineering weiterhin direkt am IP-Header möglich sind. Die Feldsemantik ist klarer definiert und passt besser zu modernen QoS-Anforderungen. Router können Pakete basierend auf Traffic Class behandeln, ohne in Transportheader oder Anwendungsinhalte einzugreifen.

c) Flow Label

Das Flow Label-Feld mit 20 Bit ist eines der charakteristischsten neuen Felder im IPv6-Header. Es erlaubt einer Quelle, mehreren Paketen eine gemeinsame Kennung zuzuordnen, sodass sie als Teil desselben Flows behandelt werden können.

Mögliche Anwendungen sind:

• konsistente QoS-Behandlung für einen gesamten Flow;
• vereinfachte Traffic-Shaping-Mechanismen;
• bessere Steuerung von Echtzeitmedien;
• Unterstützung von Traffic Engineering ohne zwingende Deep Packet Inspection;
• effizientere Zuordnung von Paketen zu bestehenden Verarbeitungsregeln.

Wichtig ist die Einschränkung: Das Flow Label ist kein Sicherheitsmerkmal im eigentlichen Sinne und darf nicht als alleinige Identifikation für Authentifizierung oder Zugriffskontrolle missverstanden werden. Es kann von Routern zur konsistenten Behandlung genutzt werden, ersetzt aber keine Verschlüsselung, Integritätsprüfung oder Zugangskontrolle.

Trotzdem ist es ein wichtiger Fortschritt gegenüber IPv4: Router können anhand eines kurzen Headerfeldes einen ganzen Flow erkennen, ohne jedes Mal Transportport-Quintuplet vollständig zu werten. In hochperformanten Routing-Knoten kann das die Klassifizierung vereinfachen.

d) Next Header und Extension Headers

IPv4 hatte ein 8-Bit-Protocol-Feld, das auf TCP, UDP, ICMP oder andere Protokolle zeigte. IPv6 nennt dieses Feld Next Header, hat aber eine flexiblere Bedeutung: Es kann entweder direkt auf einen Transport-Layer-Protokollkopf zeigen oder auf den nächsten Extension Header in einer Kette.

Mögliche Extension Header sind unter anderem:

• Hop-by-Hop Options: müssen von jedem Knoten auf dem Pfad verarbeitet werden; sollten selten verwendet werden, weil sie die Verarbeitung an jedem Router erhöhen;
• Routing Header: kann eine Route durch bestimmte Knoten angeben und ersetzt frühere IPv4 Source-Route-Mechanismen in strukturierter Form;
• Fragment Header: wird für Fragmentierung am Ursprung verwendet;
• Destination Options: werden hauptsächlich vom Ziel verarbeitet.

Für Router ist dieses Modell vorteilhaft, weil der Basisheader schlank bleibt und Zusatzinformationen nur dann folgen, wenn sie tatsächlich benötigt werden. Ein typisches IPv6-Paket ohne Extension Headers kann besonders schnell weitergeleitet werden: Der Next Header zeigt direkt auf TCP, UDP oder ICMPv6, und es müssen keine optionalen Zwischenheader ausgewertet werden.

Gleichzeitig bleibt die Architektur erweiterbar. Neue Funktionen können als Extension Header hinzukommen, ohne den Basisheader für alle Pakete zu vergrößern oder zu verkomplizieren. Das ist ein wichtiger Unterschied zur IPv4-Optionenstruktur, bei der variable Optionen direkt im Basisheader vorkommen können und dessen Parsing variabler machen.

e) Payload Length statt Total Length

IPv4 verwendet Total Length, die sowohl den IP-Header als auch die Nutzlast umfasst. Da IPv4 zusätzlich eine IHL benötigt, muss der Router wissen, wie groß der Header ist, um die reine Payload-Länge abzuleiten.

In IPv6 gibt es das 16-Bit-Feld Payload Length. Es beschreibt die Anzahl der Bytes nach dem festen 40-Byte-Basisheader. Dazu können Extension Headers und Transport-/Anwendungsdaten gehören. Die Gesamtlänge des IPv6-Datagramms lässt sich daher einfach berechnen:

Gesamtlänge = 40 Bytes + Payload Length

Damit wird die Längeninterpretation übersichtlicher. Router müssen nicht erst eine variable Headerlänge aus der IHL ableiten, sondern kennen die feste Basisgröße. Das vereinfacht Pufferverwaltung, MTU-Prüfung und Forwarding-Entscheidungen.

f) Hop Limit statt TTL

Das IPv4-Feld Time to Live wurde in IPv6 als Hop Limit fortgeführt. Semantisch ist die Funktion nahezu identisch: Jeder Router reduziert den Wert um eins; erreicht der Wert null, wird das Paket verworfen und in der Regel ein ICMP- bzw. ICMPv6-Mitteilung gesendet.

Obwohl dieses Feld nicht neu eingeführt wurde, gehört es zur veränderten Struktur: Es ist im IPv6-Basisheader an fester Stelle vorhanden und wird ohne zusätzliche Checksummenlast verarbeitet. Der Vorteil für Router liegt weniger in der neuen Bedeutung als in der vereinfachten Integration: Hop Limit kann deterministisch gelesen, dekrementiert und geprüft werden, ohne dass wie bei IPv4 eine Header-Checksumme neu berechnet werden muss.

---

3. Zusammengefasste Vorteile für Router

Schnellere Basisheader-Verarbeitung

Der wichtigste Vorteil ist die feste Headerlänge von 40 Bytes. Router können Quelladresse, Zieladresse, Hop Limit, Traffic Class und Next Header an bekannten Offsets auslesen. Das reduziert Verzweigungen im Parsing-Code und vereinfacht Hardwarebeschleunigung. In Hochleistungs-Routern kann das messbar zu niedrigerer Latenz und höherem Durchsatz führen.

Weniger CPU-Aufwand durch entfernte Checksumme

IPv4 erfordert bei jeder Weiterleitung eine erneute Header-Checksummenberechnung, weil sich mindestens die TTL ändert. IPv6 entlastet Router von dieser Pflicht. Das ist ein direkter Verarbeitungsvorteil, insbesondere wenn große Datenmengen mit hoher Paketrate weitergeleitet werden.

Vereinfachte Fragmentierungsverarbeitung

IPv4-Router konnten oder mussten unter Umständen Pakete fragmentieren. IPv6 verlagert diese Aufgabe standardmäßig an die Quelle. Router müssen beim normalen Weiterleiten nicht fragmentieren oder reassemblieren, sondern prüfen lediglich, ob das Paket zur Link-MTU passt, und senden andernfalls ICMPv6 Packet Too Big. Das reduziert Zustandsverwaltung, Pufferbedarf und Komplexität im Datenpfad.

Bessere QoS- und Flow-Steuerung

Die Kombination aus Traffic Class und Flow Label ermöglicht Routern eine feinere Steuerung des Paketflusses. Traffic Class dient der klassischen Prioritätskennzeichnung, während Flow Label die konsistente Behandlung ganzer Flows erleichtert. Damit können Router ohne tiefe Inhaltsinspektion bestimmte Verkehrsströme bevorzugen, drosseln oder in spezielle Warteschlangen leiten.

Modularität durch Extension Headers

Extension Header machen IPv6 erweiterbar, ohne den Basisheader für alle Pakete zu belasten. Die meisten Datenverkehrspakete benötigen keine Zusatzheader. Nur wenn zusätzliche Funktionen erforderlich sind, wird die Headerkette erweitert. Dadurch bleibt der Standardfall schnell und einfach, während spezialisierte Anwendungen dennoch auf optionale Header zurückgreifen können.

Weniger stateful Übersetzungslogik im Netzwerk

Obwohl dies nicht ausschließlich ein Header-Vorteil ist: Die 128-Bit-Adressierung reduziert den Druck, NAT und ähnliche Mechanismen einzusetzen. In IPv4-Umgebungen erzeugen solche Mechanismen häufig zusätzlichen Zustandsaufwand pro Verbindung oder Flow. IPv6 ermöglicht dagegen eine direktere End-to-End-Kommunikation, was die Verarbeitung in Routern und Gateways vereinfachen kann.

Geringere Angriffsfläche im Basisheader

Viele alte IPv4-Optionen, etwa Record Route oder Source Route, können Topologieinformationen offenlegen oder missbräuchlich verwendet werden. In IPv6 sind solche Funktionen nicht mehr standardmäßig Teil des Basisheaders, sondern werden durch klarer strukturierte Extension Header ersetzt. Das reduziert die Wahrscheinlichkeit, dass Router bei jedem Paket komplexe Optionen auswerten müssen, und vereinfacht sicherheitsrelevante Filterregeln im Basisfall.

---

Fazit

Der IPv6-Header ist im Kern eine bewusste Vereinfachung für den Datenpfad: variable Längen, Header-Checksumme und Fragmentierungsfelder wurden aus dem Basisheader entfernt oder neu strukturiert. Gleichzeitig wurden neue Felder wie Traffic Class und Flow Label eingeführt sowie das flexible System der Extension Headers etabliert.

Für Router bedeutet das vor allem:

• schnelleres Parsing dank fester 40-Byte-Kopfstruktur;
• weniger Rechenaufwand wegen fehlender Header-Checksumme;
• vereinfachte Fragmentierungslogik, da Router standardmäßig nicht fragmentieren müssen;
• bessere QoS- und Flow-basierte Steuerung durch Traffic Class und Flow Label;
• erweiterbare Zusatzfunktionen über Extension Headers ohne Verkomplizierung des Basisheaders.

Zusammenfassend lässt sich sagen: IPv6 opfert im Vergleich zu IPv4 eine gewisse historische Flexibilität zugunsten einer klareren, hardwarefreundlicheren und performanteren Struktur. Diese Designentscheidung ist besonders für Router vorteilhaft, da sie den häufigsten Fall, nämlich das einfache Weiterleiten von Datenpaketen, effizienter gestalten als der variable, optionenhafte IPv4-Header.

Vergleich IPv4-/IPv6-Header und Bedeutung für Router

Der wichtigste Unterschied zwischen IPv4 und IPv6 liegt nicht nur in der Adresslänge, sondern in der Struktur des IP-Headers. IPv4 besitzt einen variablen Header mit optionalem Optionsbereich, während IPv6 einen festen Basisheader von 40 Bytes definiert. Sonderfunktionen werden in IPv6 nicht als flexible Optionen im Basisheader eingebunden, sondern über separate Extension Headers realisiert. Für Router ist das besonders relevant: Der Forwarding-Pfad wird deterministischer, schneller und weniger komplex.

---

1. IPv4-Header: Felder auf einen Blick

Ein klassischer IPv4-Header besteht aus mindestens 20 Bytes, bei Verwendung von Optionen bis zu 60 Bytes. Die wichtigsten Pflichtfelder sind:

Feld	Größe	Funktion
Version	4 Bit	Gibt die IP-Version an; in IPv4 immer 4.
Internet Header Length (IHL)	4 Bit	Länge des Headers in Einheiten von 32-Bit-Wörtern, Minimum 5.
Type of Service / DSCP + ECN	8 Bit	QoS-Klassifikation bzw. Priorisierung und Congestion-Nachweis.
Total Length	16 Bit	Gesamtlänge von Header plus Payload.
Identification	16 Bit	Kennung für Fragmente derselben ursprünglichen Nachricht.
Flags und Fragment Offset	16 Bit	Steuert Fragmentierung, z. B. „More Fragments“ und Offset des Fragments.
Time to Live (TTL)	8 Bit	Maximal überlebende Hop-Count; wird an jedem Router dekrementiert.
Protocol	8 Bit	Identifiziert das nächstliegende Protokoll, z. B. TCP, UDP, ICMPv4.
Header Checksum	16 Bit	Prüfsumme über den IPv4-Header.
Source Address	32 Bit	Quelladresse.
Destination Address	32 Bit	Zieladresse.
Options / Padding	variabel	Zusätzliche Steuerungs- oder Diagnoseinformationen, z. B. Record Route, Timestamps, Source Routing.

Der variable Optionsbereich macht den IPv4-Header komplexer: Router müssen bei Bedarf Optionen auswerten und können auf unvorhergesehene Felder treffen. Zudem muss die Header-Prüfsumme bei Veränderungen, insbesondere beim TTL-Dekrement, aktualisiert werden.

---

2. IPv6-Basisheader: Felder auf einen Blick

Der IPv6-Basisheader hat immer genau 40 Bytes, also zehn 32-Bit-Wörter. Die Pflichtfelder sind:

Feld	Größe	Funktion
Version	4 Bit	Muss in IPv6 den Wert 6 enthalten.
Traffic Class	8 Bit	QoS-Klassifikation, modern meist aufgeteilt in DSCP und ECN.
Flow Label	20 Bit	Kann zur Identifizierung eines Flows verwendet werden; optional und nicht zwingend gesetzt.
Payload Length	16 Bit	Länge des Folgenden: Extension Headers plus Nutzlast. Enthält nicht den IPv6-Basisheader selbst.
Next Header	8 Bit	Identifiziert das nächste Protokoll oder die nächste Extension, z. B. Routing-Header, Fragment-Header, TCP, UDP, ICMPv6, AH, ESP.
Hop Limit	8 Bit	Entspricht dem TTL-Konzept; wird an jedem Router um eins verringert und bei 0 verworfen.
Source Address	128 Bit	Quelladresse.
Destination Address	128 Bit	Zieladresse.

Wichtig: Der IPv6-Basisheader enthält keine Optionen, keine Prüfsumme, kein IHL-Feld, keinen Total-Length-Wert und keine Fragmentierungsfelder. Diese Funktionen sind entweder überflüssig, durch andere Mechanismen ersetzt oder in eigene Extension Headers ausgelagert.

---

3. Welche Felder wurden entfernt?

a) Header Checksum

Der IPv4-Header besitzt eine Prüfsumme über den IP-Header. In IPv6 wurde diese entfernt.

Begründung:

• Der Header ändert sich an jedem Router, weil das Hop Limit dekrementiert wird.
• Bei IPv4 muss die Prüfsumme daher bei jeder Weiterleitung neu berechnet werden.
• Die Integrität wird in IPv6 nicht primär über eine IP-Header-Prüfsumme gewährleistet, sondern durch andere Mechanismen:
  • Link-Schicht-CRCs auf Ethernet und anderen Medien,
  • Transportprotokolle wie TCP oder UDP mit eigenen Prüfsummen,
  • bei Bedarf IPsec-Verfahren wie Authentication Header (AH) oder Encapsulating Security Payload (ESP).

Für Router ist das ein klarer Vorteil: Es entfällt eine aufwendige Re-Kalkulation des Headers bei jeder Hop-Weiterleitung.

b) Internet Header Length und variable Optionen

Der IPv4-Header kann durch Optionsbereich variabel lang sein. Daher braucht er das Feld Internet Header Length. IPv6 verzichtet darauf, weil der Basisheader immer 40 Bytes lang ist.

Die alten IPv4-Optionen wie:

• Record Route,
• Timestamps,
• Source Routing,
• Security-Optionen im klassischen IPv4-Sinn

wurden nicht einfach übernommen. Viele sind in IPv6 überflüssig oder werden durch andere Mechanismen ersetzt. Statt eines flexiblen Optionsfeldes nutzt IPv6 standardisierte Extension Headers, z. B.:

• Hop-by-Hop Options,
• Routing Header,
• Destination Options,
• Fragment Header,
• Authentication Header (AH),
• Encapsulating Security Payload (ESP).

Damit bleibt der Basisheader schlank und vorhersehbar. Komplexere Funktionen werden nur dann eingelegt, wenn sie tatsächlich benötigt werden.

c) Total Length wird durch Payload Length ersetzt

IPv4 hat ein Feld Total Length, das Header plus Nutzlänge umfasst. IPv6 hat dafür kein gleichwertiges Gesamt-Feld im Basisheader, sondern ein Payload Length-Feld. Dieses beschreibt nur den Teil hinter dem 40-Byte-Basisheader, also Extension Headers und Nutzlast.

Praktisch bedeutet das:

• Der Router muss nicht aus einem Gesamtwert die Headerlänge ableiten.
• Die Länge des Folgenden wird direkt angegeben.
• Ein Wert von 0 in IPv6 steht für eine Payload Length von 65536 Bytes, weil das Feld sonst nur 16 Bit hätte und diese Größe sonst nicht darstellbar wäre.

d) Fragmentierungsfelder wurden aus dem Basisheader entfernt

IPv4 enthält direkt im Header:

• Flags, insbesondere „More Fragments“,
• Fragment Offset.

Diese Felder fehlen im IPv6-Basisheader. Stattdessen gibt es einen eigenen Fragment Extension Header, der von Endpunkten verwendet wird, wenn Fragmentierung nötig ist.

Wichtig für Router: In IPv6 fragmentieren normalerweise nicht die Zwischenrouter, sondern die Sender bzw. Empfänger basierend auf Path-MTU-Entdeckung. Damit sinkt die Fragmentierungs- und Reassembly-Komplexität im Netz erheblich.

---

4. Welche Felder wurden neu eingeführt oder deutlich verändert?

a) Flow Label

Das Flow Label ist ein neues 20-Bit-Feld im IPv6-Header. Es kann verwendet werden, um einen bestimmten Datenfluss zu kennzeichnen. Mögliche Anwendungen sind:

• QoS-Steuerung,
• Load Balancing auf Flow-Ebene,
• Tracing oder Monitoring bestimmter Flows,
• Priorisierung ohne tiefgreifende Paketinspektion in höheren Schichten.

In der Praxis ist das Feld aber nicht immer gesetzt und wird oft auf 0 belassen. Zudem gibt es Datenschutz- und Sicherheitsbedenken: Ein Flow Label kann korrelierte Flows erkennbar machen. Router können es daher je nach Policy ignorieren oder gezielt nutzen, aber sie sind nicht verpflichtet, es für jede Funktion zu verwenden.

b) Traffic Class statt klassischem ToS

IPv4 hatte historisch ein Type of Service-Feld. Moderne IPv4-Implementierungen interpretieren dieses Byte häufig bereits als DSCP plus ECN. In IPv6 ist das Feld explizit als Traffic Class definiert und wird typischerweise in 6 Bit DSCP und 2 Bit ECN aufgeteilt.

Das bringt Router bessere Möglichkeiten für:

• Differenzierte Services,
• Prioritäts-Warteschlangen,
• Early Congestion Notification durch ECN.

c) Hop Limit statt TTL

IPv4 nennt das Feld Time to Live, IPv6 verwendet Hop Limit. Die Funktion ist ähnlich: Das Feld wird an jedem Router um eins reduziert und bei 0 verworfen. Der Name ist jedoch semantically klarer, weil es nicht primär eine „Lebensdauer in Zeit“ beschreibt, sondern die maximal erlaubte Anzahl von Hops.

d) Next Header als Kette für Extension Headers

IPv4 verwendet ein Protocol-Feld, das meist direkt auf TCP, UDP oder ICMPv4 verweist. IPv6 ersetzt dies durch Next Header. Das Feld kann nicht nur auf eine obere Schicht zeigen, sondern auch auf weitere Extension Headers hinweisen.

Dadurch entsteht eine Kette:

IPv6-Basisheader -> Hop-by-Hop Options -> Routing -> Destination Options -> Fragment -> TCP/UDP/ICMPv6 ...

Diese Architektur ist flexibler als das IPv4-Optionsmodell, weil Standardfunktionen in klar definierten Headern umgesetzt werden.

e) 128-bit-Adressen statt 32-bit-Adressen

Der größte sichtbare Unterschied ist die Adressgröße:

• IPv4: 32 Bit pro Adresse.
• IPv6: 128 Bit pro Adresse.

Das verändert nicht nur die Feldlänge, sondern auch das gesamte Adressierungsmodell. IPv6 unterstützt unter anderem:

• globale Unicast-Adressen,
• Link-Local-Adressen wie fe80::/10,
• Unique Local Addresses (ULA),
• Anycast-Adressierung für Dienste und Lastverteilung.

Für Router bedeutet das vor allem eine hierarchisch planbare Adressstruktur und die Möglichkeit, Prefixe besser zu aggregieren — vorausgesetzt, die Netzwerkkonfiguration ist sauber geplant.

---

5. Welche Vorteile ergeben sich daraus für Router?

a) Einfachere und schnellere Paketverarbeitung

Der IPv6-Basisheader hat eine feste Länge von 40 Bytes und enthält keine variablen Optionen mehr. Dadurch kann ein Router:

• die Headerlänge ohne Auswertung eines IHL-Felds bestimmen,
• nicht in einen unvorhergesehenen Optionsbereich eintauchen,
• weniger Sonderfälle beim Parsing behandeln.

Für Hardware-Forwarding ist das ein klarer Vorteil: Der Verarbeitungspfad wird deterministischer und besser für Pipeline-Architekturen geeignet.

Zusätzlich entfällt die IPv4-Header-Prüfsumme. In IPv4 muss der Router nach dem Dekrementieren des TTL normalerweise die Prüfsumme neu berechnen, weil sich ein Headerbyte geändert hat. In IPv6 wird nur das Hop Limit angepasst; eine erneute IP-Header-Prüfsumme gibt es nicht. Das reduziert CPU-Aufwand und Latenz im Forwarding-Pfad.

b) Reduzierte Fragmentierungskomplexität

IPv4-Router können Pakete fragmentieren müssen, weil die Fragmentierungsfelder direkt im Header liegen. IPv6 überträgt diese Aufgabe grundsätzlich auf die Endpunkte. Die Endgeräte nutzen Path-MTU-Discovery und legen bei Bedarf einen Fragment Extension Header an.

Vorteile für Router:

• weniger Zustandsverwaltung,
• weniger CPU-Aufwand durch Fragmentierung oder Reassembly,
• geringere Wahrscheinlichkeit von Engpässen in fragmentierungsfreudigen Netzen,
• sauberere Trennung zwischen Endpunkt-Funktion und Weiterleitungsfunktion.

Router müssen weiterhin auf Path-MTU-Probleme achten und z. B. ICMPv6-Nachrichten wie „Packet Too Big“ verarbeiten, aber sie führen normalerweise keine aktive Fragmentierung mehr durch.

c) Bessere QoS- und Flow-Steuerung

Durch Traffic Class können Router bereits im IP-Header erkennen, zu welcher Dienstklasse ein Paket gehört. DSCP-Werte ermöglichen Priorisierung, ECN-Werte erlauben Congestion-Signalisierung ohne sofortigen Paketverlust.

Das Flow Label bietet zusätzlich die Möglichkeit, bestimmte Flows für Load Balancing, Monitoring oder priorisierte Behandlung kennenzusetzen. In der Praxis ist das Feld jedoch nicht universell eingesetzt, weil Datenschutz- und Missbrauchssorgen bestehen. Trotzdem zeigt es eine wichtige IPv6-Fähigkeit: Bestimmte Flussinformationen können direkt im IP-Header getragen werden, ohne dass der Router in Transportprotokolle oder Anwendungsinhalte einsteigen muss.

d) Routing-Vorteile durch 128-bit-Adressierung und Prefix-Aggregation

Der größte strukturelle Vorteil ist die deutlich größere Adressraumstruktur. IPv6 erlaubt eine sehr hierarchische Zuweisung von Prefixen, z. B.:

• /48 für einen Standort oder eine Organisation,
• /56 für ein internes Netzsegment,
• /128 für einzelne Hosts.

Bei guter Planung lässt sich so eine kompaktere Routentabelle erzeugen als bei unsauberen IPv4-NET-Berechnungen mit vielen kleinen Subnetzen. Zusätzlich entfällt in vielen Fällen die Notwendigkeit von NAT.

Das ist ein großer Vorteil für Router und Netzwerke:

• NAT erzeugt Zustandsverwaltung, Performance-Overhead und Interoperabilitätsprobleme.
• Globale Erreichbarkeit ohne Adressübersetzung vereinfacht Peering, Cloud-Dienste, IoT-Netzwerke und globale Routing-Prozesse.
• Anycast kann für Dienste wie DNS oder CDN-Nodes genutzt werden und verbessert Verfügbarkeit sowie Lastverteilung.

Allerdings gilt: IPv6 verhindert nicht automatisch kleine Routentabellen. Ohne disziplinierte Prefix-Zuweisung kann die Routing-Komplexität steigen. Der Vorteil entsteht durch saubere Adressplanung, nicht allein durch die größere Adresslänge.

e) Erweiterbarkeit ohne Komplexität im Basispfad

IPv6 trennt den normalen Forwarding-Pfad von Sonderfunktionen. Extension Headers können optional vor dem Nutzprotokoll stehen. Das bedeutet:

• Router müssen bei normalem Verkehr meist nur den 40-Byte-Basisheader und gegebenenfalls bekannte Extensions verarbeiten.
• Sicherheitsmechanismen wie AH oder ESP können im IP-Layer integriert werden, ohne dass der Basisheader ständig erweitert wird.
• Unnötige Header-Optionen im normalen Pfad entfallen.

Allerdings müssen Router Extension Headers sicher behandeln. Insbesondere Hop-by-Hop Options müssen von jedem Router verarbeitet oder verworfen werden, weil sie für alle Zwischenpunkte relevant sein können. Unbekannte oder missbräuchliche Extensions können sonst zu Sicherheitsproblemen führen. Gute IPv6-Router implementieren daher strikte Regeln für das Handling unbekannter Headerketten.

f) Operative Vereinfachung und weniger Diagnose-Overhead

IPv4-Optionen wie Record Route oder Timestamps können nützlich sein, sind aber oft problematisch:

• Sie erhöhen die Paketgröße.
• Sie können sensible Routinformationen offenlegen.
• Sie erzeugen zusätzlichen Verarbeitungsbedarf an Rovern.

In IPv6 werden solche Funktionen nicht im Basisheader eingebettet und sind auch nicht mehr Standardbestandteil des normalen Forwardings. Dadurch wird der normale Datenpfad schlanker, vorhersehbarer und weniger anfällig für unnötige Diagnose-Optionen.

---

6. Einschränkungen, die man beachten sollte

Obwohl IPv6 Router in vielen Punkten vereinfacht, gibt es auch Gegenpunkte:

1. Größerer Basisheader
   Der IPv6-Basisheader ist mit 40 Bytes doppelt so groß wie der minimale IPv4-Header von 20 Bytes. Das erhöht die MTU-Anforderungen und den Overhead pro Paket, besonders bei kurzen Nutzlasten.

2. Keine Header-Prüfsumme
   Der IPv6-Basisheader schützt nicht per se vor fehlerhafter Übertragung auf IP-Ebene. Die Integrität muss über Link-Schicht-CRCs, Transportprotokolle oder IPsec gewährleistet werden.

3. Extension Headers erhöhen die Komplexität, wenn sie missbraucht werden
   Extension-Headerketten können zu DoS-Angriffen oder unnötiger Verarbeitung führen, wenn Router unkritisch lange Ketten akzeptieren oder unbekannte Header falsch handhaben.

4. Flow Label ist nicht universell sinnvoll
   Das Flow Label kann Datenschutzprobleme verursachen, wenn es zur Identifizierung von Nutzern oder Sitzungen missbraucht wird. Viele Systeme setzen es daher auf null oder nutzen es nur in kontrollierten Umgebungen.

---

Fazit

Im Vergleich zu IPv4 entfernt IPv6 aus dem Basisheader vor allem:

• die Header Checksum,
• das IHL-Feld,
• den variablen Optionsbereich,
• die Fragmentierungsfelder im normalen Header,
• und ersetzt das klassische Total Length-Konzept durch ein Payload Length-Feld.

Neu oder deutlich verändert sind:

• Flow Label,
• Traffic Class als modernes QoS-Feld,
• Hop Limit statt TTL,
• Next Header mit Kette von Extension Headers,
• und die Erweiterung der Adressfelder auf 128 Bit.

Für Router bringt IPv6 damit mehrere Vorteile:

• schnelleres und deterministischeres Forwarding dank festem 40-Byte-Basisheader,
• weniger CPU-Aufwand durch Wegfall der IP-Header-Prüfsumme,
• reduzierte Fragmentierungs- und Reassembly-Komplexität,
• bessere QoS- und Flow-Steuerung über Traffic Class und optional Flow Label,
• skalierbare globale Adressierung ohne NAT bei guter Prefix-Planung,
• und eine klarere Trennung zwischen normalem Weiterleitungspfad und erweiterten Funktionen wie Security- oder Routing-Extensions.

Der zentrale Effekt ist also nicht nur die größere Adresslänge, sondern ein vereinfachter, robusterer IP-Layer, der speziell für moderne Router-Architekturen besser geeignet ist.

Vergleich des IPv4- und IPv6-Header – Fokus auf Router-Vorteile

Überblick: Die strukturellen Grundlagen

Der IPv4-Header ist mit 20 Bytes (minimal) bis zu 60 Bytes (mit Optionen) variabel groß. Der IPv6-Header hat dagegen eine fixe Größe von 40 Bytes und wird durch optionale Extension Headers erweitert. Diese strukturelle Entscheidung ist der zentrale Unterschied, der sich auf die Router-Performance auswirkt.

IPv4-Field	Größe (bit)	IPv6-Äquivalent	Größe (bit)
Version	4	Version	4
IHL (Header Length)	4	— (entfernt)	—
ToS (Type of Service)	8	Traffic Class	8
Total Length	16	Payload Length	16
Identification (Fragment-ID)	16	— (entfernt)	—
Flags (Reserve + DF)	5	— (entfernt)	—
Fragment Offset	13	— (entfernt)	—
TTL	8	Hop Limit	8
Protocol	8	Next Header	8
Header Checksum	16	— (entfernt)	—
Source Address	32	Source Address	128
Destination Address	32	Destination Address	128

Zusätzlich führt IPv6 die Flow Label (20 Bit) und die Extension Headers (variable, nach dem 40-Byte-Header angehängt) ein.

---

Entfernte Felder und deren Auswirkungen

1. Identification (Fragment-ID), Flags und Fragment Offset

Im IPv4-Header dienten diese drei Felder der Fragmentierung im Layer 3. Wenn ein Router ein Paket größer als die MTU des Ausgoing Interfaces erhielt, splittete er es in kleinere Segmente, identifizierte sie über die Identification-Zahl (um Reassemblage an der Zielseite zu ermöglichen) und setzte das Don't-Fragment-Flag bzw. den Fragment Offset.

IPv6 verwirft die Fragmentierung im Layer 3 vollständig. Der Sender (oder ein IPsec-Modul) muss ein Paket in der korrekten Größe senden, oder es wird abgeworfen (Drop mit ICMPv6 Packet Too Large). Für den Router bedeutet dies:

• Kein Fragmentierungs-Buffer mehr erforderlich → geringerer Speicherverbrauch.
• Keine Reassemblage-Logik → keine Zuordnung von Fragmenten zu logischen Paketen.
• Keine Identitäts-Prüfung bei der Fragment-Empfang → weniger CPU-Last.
• Kein Fragment-Offset-Parsing → der Header wird in exakt einem Schritt gelesen.

2. IHL (Internet Header Length)

Das IPv4-IHL-Feld gab an, wie viele 32-bit-Words der Header belegt. Da IPv6-Header exakt 10 × 32 Bit = 40 Byte sind, ist dieses Feld überflüssig. Der Router muss bei jedem Paket die Headerlänge nicht mehr aus dem Header selbst herauslesen und muss variable Headerlängen (4–15 × 32 Bit) abarbeiten. Die feste Headerlänge ermöglicht:

• Hardware-Implementierungen, die den Header in einer fixen Zieldurchsetzung (fixed-offset access) lesen.
• Keine Branching-Logik für verschiedene Headerlängen.
• Einfacheres CRC-/Checksum-Verfahren (da keine Variablenlänge).

3. Header Checksum (16 Bit)

Der IPv4-Header-Checksumm wurde berechnet, um Bitfehler im IP-Header zu erkennen. IPv6 entfernt sie vollständig. Die Begründung: In modernen Netzwerken (Ethernet, Fibre, WAN) werden Fehlernachrichtskontrolle (CRC32 etc.) bereits in den unterliegenden Schichten durchgeführt. Revalidierung des Header-Checksums würde den Router lediglich verzögern, ohne den Praxisnutzen zu verbessern.

Direkter Router-Vorteil:

• Keine Reibung im Forwarding-Pfad: Der Router muss den 16-Byte-Checksumm weder beim Empfang validieren noch beim Neurschreiben (bei TTL-Dekrement) neu berechnen.
• In Hochdurchsatz-Szenarien (z. B. 10/100/400-GbE-Switches mit IP-Acceleration) reduziert dies die Zyklen pro Paket messbar.
• Der TTL-Dekrement (bzw. Hop Limit) wird ohne Checksummen-Update ausgeführt – der Header wird als bloßes Speicherarray behandelt.

---

Neuen eingeführte Felder

1. Flow Label (20 Bit)

Das IPv4-Type of Service-Feld (8 Bit) gab nur einen groben Dienstklassenwert an (z. B. Expedited Forwarding, Bulk Data). Das IPv6 Flow Label kombiniert die Traffic-Class-Information (8 Bit) mit einer 20-Bit-Identifikation, mit der ein Sender ein Fluss (z. B. eine Video-Strömung oder ein VoIP-Call) kennzeichnet.

Router-Vorteil:

• Die Flow-based Routing-Methode (z. B. in MPLS-Labors oder DSCP-aware Switches) kann auf die 20-Bit-Label-Gruppe zugreifen, ohne den Transport-Port oder die MAC-Adresse zu betrachten.
• Im ECMP (Equal-Cost Multi-Path) Routing kann der Router die Flow Label als Hash-Key verwenden, um Konsistenz über alle Pakete einer Session zu gewährleisten.
• Im SRv6 / SRv6 TE (Segment Routing) wird die Flow Label-Information für die SID-list-Steuerung genutzt.

2. Next Header (8 Bit)

Im IPv4-Header identifizierte das Protocol-Feld (8 Bit) das Transportprotokoll (TCP = 6, UDP = 17, ICMP = 1). Im IPv6 wird dies durch Next Header ersetzt, das die Art des nächsten Headersegments angibt – nicht direkt das Transportprotokoll, sondern den Header (IPsec-AH, IPsec-EAP, ICMPv6, TCP, UDP …).

Router-Vorteil:

• Klare Hierarchie: Der Router liest Next Header und weiß sofort, ob ein Extension Header (z. B. Hop-by-Hop Options, Destination Options, Segment Routing) folgt, oder ob direkt das Transportprotokoll folgt.
• Keine Sonderfall-Behandlung für Optionals: Im IPv4 mussten die Options-Felder (wenn IHL > 5) manuell geparst werden. Im IPv6 sind Extension Headers als selbstbeschreibende Listen angehängt, die der Router bei Bedarf einliest.
• Effizientere Hardware-Pipeline: Der Router muss den Next Header-Wert in einem einzigen LUT-Look-up auf die nächste Aktion (Drop, Forward, Encapsulate, IPsec-Processing) mappen.

3. Extension Headers (variable)

IPv6-Header werden durch eine Kette von Extension Heads erweitert, z. B.:

• Hop-by-Hop Options Header (TTL-Constraints, Route-Reflection)
• Destination Options Header
• Segment Routing Header (SRv6, für TE-Pfade)
• IPsec Authentication/Encapsulation Headers

Jeder Extension Header hat seine eigene 8-Bit-Next Header-Wert und ist selbstständig parsbar. Der Router muss nur die Extension Headers verarbeiten, die für seine Funktion relevant sind (z. B. ein Edge-Router ignoriert Hop-by-Hop Options, wenn die Option nicht für ihn bestimmt ist).

Router-Vorteil:

• Modularität: Ein Router kann die Extension-Header-Kette sequentiell und selektiv bearbeiten – nur die relevanten Optionen werden gelesen.
• Kein Fragmentierungs-Overhead: Da Fragmentierung entfallen ist, sind die Extension Heads immer in einem Paket.
• Simplere Pseudo-Header-Verarbeitung bei IPsec: Der Router muss nicht den IP-Header + Optionals parsieren, sondern direkt die Next Header-Kette folgen.

---

Zusammenfassung: Konkrete Vorteile für Router

Vorteil	Mechanismus	Praxis-Impakt
Keine Header-Checksums	IPv6-Header hat keine 16-Bit-Checksumm	Keine Reibung bei Hop-Limit-Dekrement; keine Checksummen-Rekalkulation bei Transit
Feste Headergröße (40 B)	IHL-Field entfernt	Hardware kann mit festen Offsets arbeiten; keine variable-Parsing-Logik
Keine Fragmentierung	Fragment-ID, Flags, Offset entfernt	Kein Buffer für Reassemblage; kein Fragment-Cache; Drop bei MTU-Überschreitung
Next Header statt Protocol	Klarere Header-Kette	Ein-LUT-Look-up statt mehrstufigem Parsing; Extension-Header-Handling modular
Flow Label (20 B)	20-Bit-Flow-Identifikation	Konsistentes ECMP-Hashing; Flow-based Routing ohne Port-Bezug
Extension-Header-Modularität	Self-describing Header-Kette	Router liest nur relevante Headers; geringere CPU-Last bei IPsec/SRv6-Processing
Keine Options-Felder im Header	Keine 40–60 B variable Header	Keine Optionals-Parsing-Logik; keine Reassemblage von Pad-Byte

Gesamtfazit für die Netzwerk-Infrastruktur

Die Header-Reduktion im IPv6-Header führt zu einer deutlich simplere, deterministischen Forwarding-Pipeline. Router in der L2/L3-Edge und Core müssen weniger Zyklus pro Paket aufwenden: kein Checksummen-Update, keine Fragmentierungs-Logik, keine variable Header-Bearbeitung. In Hochdurchsatz-Implementierungen (z. B. 400-GbE-ASICs) ergibt sich daraus eine niedrigere Latenz pro Paket (typisch 1–2 ns weniger pro Forwarding-Operation) und eine höhere Throughput-Fähigkeit bei identischer Hardware.

Zugleich eröffnet das Flow Label combined mit Extension Headers neue Steuerungsmechanismen (SRv6, MPLS-over-IPv6, DSCP-aware QoS), die im IPv4-Header nur durch die begrenzten 8-Bit-ToS- und Options-Mechanismen angefasst werden konnten. Für den Router bedeutet das: weniger overhead in der Basis-Forwarding und mehr Flexibilität in der Policy-Steuerung – beide Aspekte gleichzeitig.

Stateless Address Autoconfiguration (SLAAC) in IPv6

1. Überblick und Grundlagen

SLAAC ist in RFC 4862 definiert. Ein IPv6-Host kann damit ohne zentralen Server (also ohne DHCPv6) und ohne manuelle Konfiguration selbstständig gültige IPv6-Adressen erzeugen. „Stateless“ heißt: Kein Server führt Buch darüber, welcher Host welche Adresse hat. Der Host bildet seine Adressen selbst aus zwei Bestandteilen:

• Präfix (meist /64): stammt vom Router (über Router Advertisements) oder ist fest vorgegeben (fe80::/64 für Link-Local).
• Interface Identifier (IID, 64 Bit): erzeugt der Host selbst.

SLAAC baut auf dem Neighbor Discovery Protocol (NDP, RFC 4861) auf, das ICMPv6-Nachrichten nutzt. Für SLAAC sind vier NDP-Nachrichtentypen relevant:

ICMPv6-Typ	Nachricht	Zweck bei SLAAC
133	Router Solicitation (RS)	Host fordert RAs an
134	Router Advertisement (RA)	Router verteilt Präfixe und Parameter
135	Neighbor Solicitation (NS)	Duplicate Address Detection
136	Neighbor Advertisement (NA)	Antwort und Konfliktmeldung bei DAD

Alle NDP-Nachrichten werden mit Hop Limit 255 gesendet. Der Empfänger verwirft Pakete mit einem anderen Wert. So ist sichergestellt, dass die Nachricht nicht über einen Router weitergeleitet wurde, also vom selben Link stammt.

---

2. Ablauf im Detail

Phase 1: Erzeugung der Link-Local-Adresse

Sobald ein Interface aktiviert wird, erzeugt der Host zuerst eine Link-Local-Adresse aus dem Präfix fe80::/64 und einem Interface Identifier. Für den IID gibt es mehrere Verfahren:

1. Modified EUI-64 (RFC 4291): Die 48-Bit-MAC-Adresse wird in der Mitte durch FF:FE ergänzt, und das Universal/Local-Bit (7. Bit des ersten Bytes) wird invertiert. Beispiel: MAC 00:1A:2B:3C:4D:5E ergibt den IID 021A:2BFF:FE3C:4D5E und damit die Adresse fe80::21a:2bff:fe3c:4d5e. Nachteil: Der Host ist über verschiedene Netze hinweg verfolgbar (Privacy-Problem).
2. Semantically Opaque / Stable Privacy IIDs (RFC 7217): Der IID wird per Hash-Funktion aus Präfix, Interface, Netzwerk-ID und einem geheimen Schlüssel berechnet. Er bleibt innerhalb eines Netzes stabil, unterscheidet sich aber zwischen Netzen. Laut RFC 8064 ist dies heute die empfohlene Methode.
3. Zufällige IIDs: werden für temporäre Adressen verwendet (siehe Phase 6).

Die neue Adresse ist zunächst „tentative“ (vorläufig). Der Host darf sie noch nicht für normale Kommunikation verwenden. Er akzeptiert nur NDP-Nachrichten, die sich auf diese Adresse beziehen.

Phase 2: Duplicate Address Detection (DAD) für die Link-Local-Adresse

Vor der Nutzung prüft der Host, ob ein anderer Knoten die Adresse bereits verwendet:

1. Der Host tritt der Solicited-Node-Multicast-Gruppe der vorläufigen Adresse bei: ff02::1:ff plus die letzten 24 Bit der Adresse, z. B. ff02::1:ff3c:4d5e. Dazu sendet er einen MLDv2-Report (RFC 3810), damit Switches mit MLD Snooping die Multicast-Pakete korrekt zustellen.
2. Er sendet eine Neighbor Solicitation mit folgenden Eigenschaften:
   • Quelladresse: :: (unspezifiziert, da der Host noch keine gültige Adresse besitzt)
   • Zieladresse: die Solicited-Node-Multicast-Adresse
   • Target Address: die zu prüfende vorläufige Adresse
   • keine Source Link-Layer Address Option (bei Quelle :: nicht erlaubt)
3. Der Host wartet RetransTimer (Standard 1000 ms). Die Anzahl der Sendeversuche legt DupAddrDetectTransmits fest (Standard 1).
4. Für das Ergebnis gibt es drei Fälle:
   • Ein NA für die Target-Adresse trifft ein: Die Adresse ist bereits vergeben und damit duplikat.
   • Ein NS mit derselben Target-Adresse von :: trifft ein: Ein anderer Host führt gleichzeitig DAD für dieselbe Adresse durch. Auch das gilt als Duplikat.
   • Keine Antwort: Die Adresse wird „preferred“ und ist voll nutzbar.

Schlägt DAD bei einer Link-Local-Adresse fehl, die aus einer Hardware-Adresse abgeleitet wurde, sollte das Interface laut RFC 4862 deaktiviert und manuell eingegriffen werden. Bei RFC 7217 kann der Host stattdessen mit einem erhöhten DAD-Zähler einen neuen IID erzeugen.

Optimistic DAD (RFC 4429) erlaubt, eine Adresse schon während DAD eingeschränkt zu nutzen. Das verkürzt die Verzögerung, etwa bei mobilen Geräten.

Phase 3: Router Solicitation (RS)

Mit gültiger Link-Local-Adresse kann der Host am Link kommunizieren. Für globale Adressen braucht er aber Informationen vom Router. Statt auf das nächste periodische RA zu warten (das bis zu mehreren Minuten dauern kann), fordert er aktiv eines an.

Aufbau der Router Solicitation (ICMPv6-Typ 133):

• Quelladresse: die Link-Local-Adresse des Hosts. Hat er noch keine, darf er :: verwenden, dann aber ohne SLLA-Option.
• Zieladresse: ff02::2 (All-Routers-Multicast)
• Hop Limit: 255
• Option: Source Link-Layer Address (SLLA), also die MAC-Adresse des Hosts. Damit kann der Router direkt unicast antworten und einen Neighbor-Cache-Eintrag anlegen.

Timing (RFC 4861):

• Vor dem ersten RS wartet der Host eine zufällige Zeit zwischen 0 und MAX_RTR_SOLICITATION_DELAY (1 s). So wird verhindert, dass viele Hosts gleichzeitig senden, etwa nach einem Stromausfall.
• Er sendet maximal MAX_RTR_SOLICITATIONS (3) Nachrichten im Abstand von RTR_SOLICITATION_INTERVAL (4 s).
• RFC 7559 ergänzt optional ein Retransmissionsverfahren mit exponentiellem Backoff, damit Hosts auch nach längerer Router-Abwesenheit weiter suchen.
• Sobald ein gültiges RA eintrifft, stellt der Host das Senden von RS ein.

Phase 4: Router Advertisement (RA)

Router senden RAs in zwei Situationen:

1. Periodisch und unaufgefordert an ff02::1 (All-Nodes). Das Intervall liegt zufällig zwischen MinRtrAdvInterval und MaxRtrAdvInterval. Standardmäßig ist Max = 600 s (erlaubt sind 4 bis 1800 s) und Min = 0,33 × Max.
2. Als Antwort auf ein RS, nach einer zufälligen Verzögerung von 0 bis 0,5 s (MAX_RA_DELAY_TIME). Das RA geht meist per Multicast an ff02::1, kann aber auch unicast an den anfragenden Host gesendet werden.

Die Quelladresse eines RA ist immer die Link-Local-Adresse des Routers. Diese Adresse tragen Hosts als Default Gateway ein. So bleibt das Gateway auch dann stabil, wenn sich globale Präfixe ändern.

Header-Felder des RA (ICMPv6-Typ 134):

Feld	Bedeutung
Cur Hop Limit	empfohlener Hop-Limit-Wert für ausgehende Pakete des Hosts
M-Flag (Managed)	Adressen werden per DHCPv6 (stateful) bezogen
O-Flag (Other Config)	weitere Parameter (z. B. DNS) per DHCPv6 (stateless)
Prf (RFC 4191)	Default-Router-Präferenz: High, Medium oder Low
Router Lifetime	Gültigkeit als Default Router in Sekunden. 0 bedeutet: kein Default Router“
Reachable Time	Zeit, die ein Nachbar nach Bestätigung als erreichbar gilt (für NUD)
Retrans Timer	Abstand zwischen NS-Wiederholungen (auch für DAD relevant)

Wichtige Optionen im RA:

1. Prefix Information Option (PIO), das Kernstück für SLAAC:
   • Prefix und Prefix Length: z. B. 2001:db8:1:1::/64
   • L-Flag (On-Link): Das Präfix liegt direkt am Link. Ziele mit diesem Präfix werden ohne Router direkt per NDP erreicht.
   • A-Flag (Autonomous): Der Host darf aus diesem Präfix per SLAAC eine Adresse bilden.
   • Valid Lifetime: Wie lange die Adresse insgesamt gültig bleibt.
   • Preferred Lifetime: Wie lange die Adresse für neue Verbindungen bevorzugt wird. Sie muss kleiner oder gleich der Valid Lifetime sein.
2. Source Link-Layer Address: die MAC-Adresse des Routers.
3. MTU Option: einheitliche Link-MTU, wichtig z. B. bei gemischten Medien oder Tunneln.
4. RDNSS und DNSSL (RFC 8106): DNS-Server und Suchdomänen direkt im RA. Damit ist eine vollständige Konfiguration ohne DHCPv6 möglich. Das ist z. B. für Android wichtig, das kein DHCPv6 unterstützt.
5. Route Information Option (RFC 4191): spezifischere Routen mit Präferenz.

Kombinationen der M- und O-Flags:

M	O	A (in PIO)	Ergebnis
0	0	1	reines SLAAC (DNS ggf. per RDNSS)
0	1	1	SLAAC + stateless DHCPv6 für DNS/NTP
1	x	0	rein stateful DHCPv6 (Präfix-Info nur für On-Link)
1	x	1	SLAAC und DHCPv6-Adresse parallel

Die Flags sind nur Empfehlungen. Das tatsächliche Verhalten hängt vom Betriebssystem ab.

Phase 5: Bildung der globalen Adresse

Für jede PIO mit gesetztem A-Flag prüft der Host:

1. Ist das Präfix link-local (fe80::/10)? Dann wird es ignoriert.
2. Ist die Preferred Lifetime größer als die Valid Lifetime? Dann wird es ignoriert.
3. Passen Präfixlänge und IID-Länge zusammen? Bei Ethernet heißt das: /64 + 64-Bit-IID = 128 Bit. Bei Präfixen ungleich /64 ist kein SLAAC möglich. Die Option wird dann ignoriert, und das Präfix kann höchstens als On-Link genutzt werden.
4. Ist das Präfix neu? Dann bildet der Host die Adresse aus Präfix und IID, z. B. 2001:db8:1:1: + IID. Kennt er das Präfix bereits, aktualisiert er nur die Lifetimes (siehe Phase 7).

Auch die globale Adresse ist zunächst tentative und durchläuft DAD wie in Phase 2. RFC 4862 schreibt DAD grundsätzlich für alle Unicast-Adressen vor. Erst nach erfolgreichem DAD wird sie preferred.

Parallel trägt der Host Folgendes ein:

• Default Router List: die Link-Local-Adresse des Routers mit seiner Router Lifetime
• Prefix List: On-Link-Präfixe (L-Flag) mit ihrer Valid Lifetime
• Parameter wie MTU, Hop Limit, Reachable Time sowie ggf. DNS-Server

Phase 6: Temporäre Adressen (Privacy Extensions, RFC 8981)

Um Tracking über eine stabile Adresse zu erschweren, erzeugen viele Betriebssysteme (Windows, macOS, iOS, Android, viele Linux-Distributionen) zusätzlich temporäre Adressen mit zufälligem IID:

• Sie werden für ausgehende Verbindungen bevorzugt (Source Address Selection, RFC 6724).
• Die Preferred Lifetime ist kurz (Standard TEMP_PREFERRED_LIFETIME = 1 Tag) und die Valid Lifetime begrenzt (Standard 2 Tage).
• Vor Ablauf wird eine neue temporäre Adresse erzeugt. Alte Adressen werden deprecated und bedienen nur noch bestehende Verbindungen.
• Die stabile Adresse (RFC 7217) bleibt für eingehende Verbindungen erreichbar.

Ein Host hat dadurch typischerweise mehrere Adressen gleichzeitig: Link-Local, stabile globale Adresse, eine oder mehrere temporäre Adressen, ggf. ULA-Adressen (fc00::/7) und DHCPv6-Adressen.

Phase 7: Lebenszyklus und Aktualisierung

Jede SLAAC-Adresse durchläuft folgende Zustände:

tentative → preferred → deprecated → invalid
          (DAD ok)   (Preferred LT   (Valid LT
                       abgelaufen)     abgelaufen)

• Preferred: uneingeschränkt nutzbar.
• Deprecated: Bestehende Verbindungen laufen weiter, neue Verbindungen sollen diese Adresse nicht mehr als Quelle verwenden.
• Invalid: Die Adresse wird entfernt.

Periodische RAs frischen die Lifetimes auf. Für die Valid Lifetime gilt dabei die „Zwei-Stunden-Regel“ (RFC 4862, Abschnitt 5.5.3e). Sie soll verhindern, dass ein gefälschtes RA Adressen sofort ungültig macht:

• Ist die neue Valid Lifetime größer als 2 Stunden oder größer als die verbleibende Zeit, wird sie übernommen.
• Ist die verbleibende Zeit höchstens 2 Stunden, wird die neue Lifetime nur übernommen, wenn sie größer ist (bzw. bei SEND-authentifizierten RAs).
• Andernfalls wird die verbleibende Zeit auf 2 Stunden gesetzt.

Renumbering: Ein Netzbetreiber kann ein neues Präfix einführen und das alte Präfix mit Preferred Lifetime 0 ankündigen. Die alten Adressen werden dann deprecated, und Hosts wechseln für neue Verbindungen sanft auf das neue Präfix. RFC 9096 empfiehlt CPEs, nach einem Präfixwechsel (z. B. Zwangstrennung beim Provider) das alte Präfix aktiv mit Lifetime 0 zu bewerben.

Router-Abschaltung: Ein Router, der seine Funktion einstellt, sendet ein RA mit Router Lifetime 0. Hosts entfernen ihn dann aus der Default Router List.

---

3. Sicherheitsaspekte

Da RAs nicht authentifiziert sind, ist SLAAC anfällig für folgende Angriffe:

• Rogue RAs: Ein Angreifer gibt sich als Router aus und ermöglicht so Man-in-the-Middle-Angriffe oder DoS (z. B. durch falsche Präfixe oder MTU). Oft passiert das auch versehentlich, etwa durch Windows-Internet-Connection-Sharing.
• DAD-DoS: Ein Angreifer beantwortet jede DAD-Anfrage mit einem NA, sodass kein Host eine Adresse erhält.
• RA-Flooding: Massenhaft RAs mit zufälligen Präfixen überlasten Hosts (CPU, Adresstabellen).

Gegenmaßnahmen:

• RA Guard (RFC 6105, RFC 7113): Switches lassen RAs nur auf vertrauenswürdigen Ports zu. Header-Ketten-Umgehungen über Extension Header werden durch RFC 7112 erschwert.
• SEND (Secure Neighbor Discovery, RFC 3971) mit kryptografisch generierten Adressen (CGA, RFC 3972). SEND ist technisch wirksam, aber kaum implementiert.
• DHCPv6 Shield, ND Inspection, Source Guard sowie Limits für die Anzahl der Adressen pro Interface.

---

4. Zusammenfassung des Ablaufs

1. Interface aktiv: Link-Local-Adresse fe80::IID erzeugen (tentative).
2. MLD-Join der Solicited-Node-Gruppe, dann DAD per NS von ::.
3. Keine Antwort: Link-Local-Adresse ist preferred.
4. Router Solicitation an ff02::2 senden (zufällige Verzögerung bis 1 s, max. 3 Versuche).
5. Router antwortet mit Router Advertisement von seiner Link-Local-Adresse (Flags M/O, Router Lifetime, PIO mit A/L-Flags, ggf. RDNSS und MTU).
6. Aus jedem /64-Präfix mit A-Flag: globale Adresse bilden (stabiler IID und ggf. temporäre Adressen).
7. DAD für jede neue Adresse durchführen, danach ist sie preferred.
8. Default Gateway ist die Link-Local-Adresse des Routers. Optional folgt DHCPv6, wenn M- oder O-Flag gesetzt ist.
9. Periodische RAs halten die Lifetimes aktuell, und die Adressen durchlaufen preferred, deprecated und invalid.

RS und RA sind damit der Kern von SLAAC. Mit der RS verkürzt der Host die Wartezeit beim Start, weil er nicht auf das nächste periodische RA warten muss. Das RA liefert alle Netzwerkparameter: Präfixe, Gateway, Lifetimes und Konfigurationshinweise (M- und O-Flags). Damit steuert der Router zentral, ob und wie Hosts sich konfigurieren, ohne selbst Zustand über die einzelnen Hosts zu speichern. Diese Kombination aus Router-Information (Präfix) und selbst erzeugtem Interface Identifier macht SLAAC skalierbar, robust und für Plug-and-Play-Szenarien ideal.

---

5. Abgrenzung und praktische Hinweise

SLAAC im Vergleich zu DHCPv6:

Aspekt	SLAAC	Stateful DHCPv6
Zustand	kein Server-Zustand	Server verwaltet Leases
Adressvergabe	Host bildet Adresse selbst	Server weist Adresse zu
Nachvollziehbarkeit	schwierig (zufällige IIDs)	zentral protokolliert
Default Gateway	per RA	nur per RA (DHCPv6 kennt keine Gateway-Option)
DNS	RDNSS (RFC 8106) oder stateless DHCPv6	DHCPv6-Option
Präfixlänge	praktisch nur /64	beliebig (Adresse als /128)

Auch in rein DHCPv6-basierten Netzen sind Router Advertisements unverzichtbar. Nur sie liefern das Default Gateway und die On-Link-Information, und über das M-Flag signalisieren sie überhaupt erst die Nutzung von DHCPv6.

Typische Fehlerquellen in der Praxis:

• Präfix ungleich /64 im PIO: SLAAC schlägt still fehl, und Hosts erhalten keine globale Adresse.
• RA-Unterdrückung oder falsch konfiguriertes RA Guard: Hosts haben nur Link-Local-Adressen.
• Fehlendes MLD Snooping bzw. falsch filternde Switches: Solicited-Node-Multicast kommt nicht an, wodurch DAD und Adressauflösung gestört werden.
• Router Lifetime 0 bei gleichzeitig gesetzter PIO: Hosts bilden zwar Adressen, haben aber kein Default Gateway. Das ist bei reinen Präfix-Ankündigungen gewollt, sonst ein Konfigurationsfehler.
• Android und DHCPv6: Ohne RDNSS im RA erhalten Android-Geräte keine IPv6-DNS-Server.

Diagnose-Werkzeuge:

• Linux: ip -6 addr (zeigt Zustände wie tentative, deprecated, temporary sowie die Lifetimes), rdisc6 zum manuellen Auslösen eines RS, radvdump zur Anzeige empfangener RAs.
• Windows: netsh interface ipv6 show addresses und netsh interface ipv6 show interface.
• Wireshark-Filter: icmpv6.type == 133 || icmpv6.type == 134 für RS/RA und icmpv6.type == 135 || icmpv6.type == 136 für DAD/NDP.

---

Fazit

SLAAC ermöglicht eine vollständig automatische, zustandslose Adresskonfiguration. Der Ablauf führt von der Link-Local-Adresse über DAD, Router Solicitation und Router Advertisement bis zur Bildung globaler Adressen mit erneutem DAD. Router Solicitation sorgt für eine schnelle Konfiguration beim Start. Das Router Advertisement ist die zentrale Steuerinstanz, denn es liefert Präfixe, Lifetimes, Default Gateway, MTU, DNS (RDNSS) und die M/O-Flags. Ergänzt durch stabile, datenschutzfreundliche IIDs (RFC 7217), temporäre Adressen (RFC 8981) und Schutzmechanismen wie RA Guard ist SLAAC heute das Standardverfahren für die IPv6-Adresskonfiguration in LAN-, WLAN- und Mobilfunknetzen.

Stateless Address Autoconfiguration (SLAAC) in IPv6

Stateless Address Autoconfiguration, kurz SLAAC, ist das zentrale Verfahren, mit dem ein IPv6-Host seine eigene globale Unicast-Adresse ohne zentralen DHCPv6-Server bildet. Der Host erhält dazu vom Router Informationen über verfügbare Netzwerkprefixe und kombiniert diese mit einem lokalen Interface-Identifier. Die wichtigsten Mechanismen sind dabei die Neighbor Discovery-Nachrichten Router Solicitation (RS) und Router Advertisement (RA).

Wichtig ist zunächst die Abgrenzung: „Stateless“ bedeutet nicht, dass der Host ohne jegliche Netzwerkinformationen auskommt. Es bedeutet nur, dass kein Server einen Adresspool verwaltet oder dem Host eine einzelne Adresse zuweist. Der Router liefert lediglich Präfixe und Parameter; die eigentliche Adresse erzeugt der Host selbst.

---

1. Vorbereitung: Link-Local-Adresse und Duplicate Address Detection

Bevor SLAAC sinnvoll gestartet werden kann, benötigt der Host mindestens eine Link-Local-Adresse im Bereich FE80::/10. Diese wird in der Regel direkt nach Aktivierung der Netzwerkschnittstelle erzeugt.

Dazu verwendet der Host einen 64-Bit-Interface-Identifier. Klassisch basiert dieser auf einer modifizierten EUI-64-Kennung, die aus der MAC-Adresse abgeleitet wird. Alternativ können auch zufällige oder temporäre Identifier verwendet werden, insbesondere bei Privacy Extensions.

Die so gebildete Link-Local-Adresse ist zunächst nur tentative, also vorläufig. Bevor sie dauerhaft verwendet wird, führt der Host eine Duplicate Address Detection (DAD) durch:

1. Der Host sendet eine Neighbor Solicitation-Nachricht vom ICMPv6-Typ 135.
2. Die Zieladresse der Neighbor Solicitation ist die zu prüfende Adresse selbst.
3. Das Multicast-Ziel ist die zugehörige Solicited-Node-Multicastgruppe, zum Beispiel FF02::1:FFxx:xxxx, abgeleitet aus den letzten 24 Bits der geprüften Adresse.
4. Erhält der Host keine Neighbor Advertisement-Antwort vom ICMPv6-Typ 136, wird die Adresse als eindeutig angenommen und in den Zustand preferred versetzt.

Erst wenn eine Link-Local-Adresse verfügbar ist, kann der Host an SLAAC-Prozessen wie Router Solicitation und der Verarbeitung von Router Advertisements teilnehmen.

---

2. Router Solicitation: Der Host bittet um Router-Informationen

Nachdem die Schnittstelle aktiv ist, sendet der Host typischerweise eine Router Solicitation, abgekürzt RS.

Eigenschaften der RS-Nachricht

• ICMPv6-Typ: 133
• Code: 0
• Übliches Ziel: Multicast FF02::2, die All-Routers-Gruppe
• Quelle: Link-Local-Adresse des Hosts
• Optionales Ziel: Auch ein Unicast an einen bekannten Router ist möglich

Der Name „Solicitation“ bedeutet, dass der Host aktiv nach Router-Informationen fragt. Die RS-Nachricht ist dabei nicht mit einer Neighbor Solicitation zu verwechseln. Eine Neighbor Solicitation dient der Adressauflösung und DAD; eine Router Solicitation bittet explizit um Router Advertisements.

Funktion und Timing

Ein frisch startender Host möchte möglichst schnell wissen:

• Gibt es auf diesem Link einen IPv6-Router?
• Welche Prefixe stehen für die automatische Adressbildung zur Verfügung?
• Soll zusätzlich DHCPv6 verwendet werden?
• Welcher Router ist als Default Gateway konfigurierbar?

Deshalb sendet der Host die RS-Nachricht in der Regel mit einem kleinen zufälligen Initial-Delay, um Netzlast zu entzerren. Falls keine Antwort kommt, kann die Solicitation nach kurzer Zeit wiederholt werden. In vielen Implementierungen erfolgt das mehrmals, bis ein Router antwortet oder ein Timeout erreicht ist.

Ohne RS würde der Host auch auf periodische RAs warten können. Die RS beschleunigt den Vorgang jedoch erheblich und ist deshalb im typischen SLAAC-Ablauf wichtig.

---

3. Router Advertisement: Der Router liefert Prefixe und Parameter

Ein Router, der IPv6-Hosts auf seinem Link betreut, sendet Router Advertisements, abgekürzt RA.

Eigenschaften der RA-Nachricht

• ICMPv6-Typ: 134
• Code: 0
• Übliches Ziel: Multicast FF02::1, die All-Nodes-Gruppe
• Alternativ: Unicast an den jeweiligen Host, insbesondere als direkte Antwort auf eine RS
• Quelle: Link-Local-Adresse des Routers

Der RA enthält im Header wichtige Parameter und in ICMPv6-Optionen weitere Informationen.

Wichtige Felder im RA-Header

Router Lifetime

Das Feld Router Lifetime gibt an, wie lange der Router als Default Gateway für den Host gültig ist, gemessen in Sekunden. Ist der Wert größer als null, kann der Host eine Default Route zu diesem Router aufbauen. Ist der Wert null, weist der Router darauf hin, dass er nicht mehr aktiv als Router dienen soll oder dass keine Default-Route über ihn erstellt bzw. verlängert werden darf.

Reachable Time

Dieses Feld gibt einen Schätzwert dafür an, wie lange ein Nachbarnode erreichbar ist. Es wird von den Hosts für Neighbor Discovery verwendet und beeinflusst unter anderem die Lebensdauer von Nachbar-Einträgen in der Neighbor Cache Table.

Retrans Timer

Der Retrans Timer legt fest, mit welcher Verzögerung Neighbor Discovery-Nachrichten erneut gesendet werden sollen, zum Beispiel wenn eine Neighbor Solicitation nicht beantwortet wird.

Wichtige ICMPv6-Optionen im RA

Neben den Headerfeldern enthält der RA typischerweise Optionen. Die wichtigste für SLAAC ist die Prefix Information Option.

Prefix Information Option

Die Prefix Information Option beschreibt einen IPv6-Prefix, zum Beispiel:

2001:db8:abcd::/64

Wichtige Attribute dieser Option sind:

• Prefix Length: Länge des Präfixes, häufig 64 Bits.
• On-Link Flag, L: Gibt an, ob der Prefix direkt über den aktuellen Link erreichbar ist.
• Autonomous Address Autoconfiguration Flag, A: Gibt an, dass Hosts aus diesem Prefix automatisch globale Adressen bilden dürfen.
• Valid Lifetime: Zeitdauer in Sekunden, während die Adresse gültig ist und verwendet werden darf.
• Preferred Lifetime: Zeitdauer, während die Adresse bevorzugt für neue Verbindungen genutzt wird.

Weitere mögliche Optionen sind unter anderem:

• Link MTU Option: Gibt eine empfohlene oder erzwungene Maximum Transmission Unit an.
• Route Information Options: Können zusätzliche Routen vermitteln.
• DNS-Related Information, sofern entsprechend unterstützt und verwendet.

---

4. Verarbeitung des Router Advertisements durch den Host

Der Host wertet das RA aus und leitet daraus mehrere Konfigurationsentscheidungen ab.

a) Default Route aufbauen

Wenn der Router Lifetime größer als null ist, betrachtet der Host den sendenden Router als potenzielles IPv6-Default Gateway. Er erstellt dann eine Standardroute in Richtung der Link-Local-Adresse des Routers oder aktualisiert eine bestehende Route mit dem neuen Lifetime.

Beispiel:

RA von: FE80::1
Router Lifetime: 1800 Sekunden
Prefix: 2001:db8:abcd::/64

Der Host kann daraus ableiten, dass FE80::1 als nächster Hop für nicht lokal erreichbare Ziele verwendet werden darf.

Ist der Router Lifetime null, wird die Default-Route über diesen Router nicht verlängert und nach Ablauf des bisherigen Lifetimes entfernt.

b) Globale Adresse aus Prefix und Interface-Identifier bilden

Für jede Prefix Information Option mit gesetztem Autonomous Address Autoconfiguration Flag A bildet der Host eine globale Unicast-Adresse:

Globale Adresse = Prefix + Interface-Identifier

Beispiel:

Prefix aus RA:       2001:db8:abcd::/64
Interface-Identifier: AABB:CCFF:FEDD:EEFF
Ergebnis:            2001:db8:abcd:AABB:CCFF:FEDD:EEFF

Der Host verwendet dafür in der Regel denselben Interface-Identifier, den er für seine Link-Local-Adresse nutzt. Dadurch bleibt die Adressstruktur konsistent. Wenn Privacy Extensions aktiv sind, kann jedoch ein zufälliger temporärer Identifier verwendet werden.

c) Duplicate Address Detection für neue globale Adressen

Auch globale Adressen, die durch SLAAC erzeugt wurden, müssen vor der dauerhaften Nutzung auf Eindeutigkeit geprüft werden. Der Host versetzt die neue Adresse in den Zustand tentative und sendet eine Neighbor Solicitation mit dieser Zieladresse an die zugehörige Solicited-Node-Multicastgruppe.

Erhält er keine Antwort, wird die Adresse als preferred markiert. Erhält er ein Neighbor Advertisement, verwirft er die Adresse oder behandelt sie als konfliktbehaftet.

d) On-Link-Erkennung

Ist das On-Link Flag L gesetzt, erkennt der Host den Prefix als direkt über den lokalen Link erreichbar. Das beeinflusst die lokale Routenentscheidung: Ziele innerhalb dieses Präfixes werden nicht zwingend über ein externes Gateway gesendet, sondern können direkt auf dem Segment adressiert werden.

---

5. Rolle der Flags M und O: Wechselwirkung mit DHCPv6

Im RA-Header befinden sich insbesondere zwei wichtige Flags:

M-Flag: Managed Address Configuration

Ist das M-Flag gesetzt, zeigt der Router an, dass Hosts für die Zustellung globaler Adressen einen stateful DHCPv6-Dienst verwenden sollen. In diesem Fall reicht SLAAC allein nicht aus, um vollständige globale Adresszuweisung zu gewährleisten. Der Host verwendet dann typischerweise:

• RA für Prefixinformationen und Netzwerkparameter
• DHCPv6 Stateful für die eigentliche Zuweisung einer globalen Adresse oder eines Adressblocks

In einem rein stateless SLAAC-Szenario ist das M-Flag normalerweise nicht gesetzt.

O-Flag: Other Configuration

Ist das O-Flag gesetzt, signalisiert der Router, dass zusätzliche Konfigurationsinformationen über DHCPv6 Stateless abgerufen werden sollen. Dabei werden keine Adressen zugewiesen, sondern zum Beispiel:

• DNS-Server
• andere Dienstparameter

SLAAC liefert dann weiterhin die Adresse aus Prefix und Interface-Identifier; DHCPv6 Stateless ergänzt nur weitere Parameter.

---

6. Lebensdauer von Adressen und Router-Einträgen

Der RA enthält für jeden Prefix Valid Lifetime und Preferred Lifetime. Diese beiden Werte steuern den Lebenszyklus der automatisch erzeugten Adresse.

Preferred Lifetime

Solange die preferred-Phase aktiv ist, wird die Adresse bevorzugt für neue Verbindungen verwendet. Nach Ablauf dieser Phase kann die Adresse zwar noch verwendet werden, wird aber nicht mehr als bevorzugte Ausgangsadresse gewählt, sofern andere gültige Adressen vorhanden sind.

Ist der Preferred Lifetime null, darf die Adresse grundsätzlich nicht für neue Kommunikation verwendet werden; bestehende Zustände können je nach Implementierung weiterlaufen, bis das Valid Lifetime abläuft.

Valid Lifetime

Nach Ablauf des Valid Lifetimes wird die Adresse entfernt oder mindestens nicht länger als gültig betrachtet. Der Host kann sie dann nicht mehr für normale Kommunikation verwenden.

Ähnliches gilt für den Router Lifetime: Wenn ein RA eine geringere Gültigkeitsdauer für den Router enthält, reduziert der Host das Lifetime der Default-Route entsprechend. Nach Ablauf muss die Route entfernt werden, wenn keine neue gültige Werbung vorliegt.

---

7. Periodische Router Advertisements und Aktualisierung

Routers senden RAs nicht nur als Antwort auf RS-Nachrichten, sondern auch periodisch. Damit können Hosts:

• ihre Konfiguration aktualisieren
• Änderungen an Prefixen erkennen
• neue Parameter übernehmen
• ablaufende Routen und Adressen verwalten

Typische Standardwerte sind zum Beispiel ein periodisches Senden etwa alle 200 Sekunden, wobei die tatsächlichen Werte konfigurierbar sind. Der Host kann also auch ohne aktive Router Solicitation eine SLAAC-Konfiguration erhalten, wenn er auf diese periodischen RAs wartet.

Wenn sich ein Prefix ändert oder abgeschaltet wird, kann der Router ein RA mit neuen Lifetimes senden. Beispielsweise kann ein Valid Lifetime von null verwendet werden, um Hosts anzuweisen, die zugehörige Adresse nach Ablauf zu verwerfen.

---

8. Privacy Extensions und temporäre Adressen

Klassische SLAAC-Konfigurationen können auf EUI-64-basierten Interface-Identifier zurückgreifen. Dadurch lässt sich ein gewisser Zusammenhang zwischen MAC-Adresse und IPv6-Adresse ableiten, was aus Sicht der Datenschutzanforderungen problematisch sein kann.

Deshalb unterstützen moderne Systeme häufig Privacy Extensions. Dabei erzeugt der Host zusätzlich oder alternativ zufällige temporäre globale Adressen. Der Ablauf bleibt im Kern gleich:

1. RA liefert einen Prefix mit A-Flag.
2. Der Host bildet eine Adresse aus Prefix und einem zufälligen Interface-Identifier.
3. DAD prüft die neue Adresse.
4. Die temporäre Adresse kann bevorzugt oder rotierend verwendet werden.

Durch Rotation können Adressen regelmäßig ersetzt werden, ohne dass der Host seine Konnektivität verliert. Für administrative Aufgaben bleiben oft stabile Link-Local-Adressen oder explizit konfigurierte globale Adressen erhalten.

---

9. Abgrenzung zu stateful DHCPv6

SLAAC und stateful DHCPv6 sind keine Gegensätze, sondern können kombiniert werden:

Reines SLAAC

• Router liefert Prefixe per RA
• Host bildet eigene globale Adresse aus Prefix + Interface-Identifier
• Kein Adresspool auf einem Server erforderlich
• Typisch für einfache IPv6-Netze

Stateful DHCPv6

• RA enthält M-Flag
• DHCPv6-Server weist dem Host eine konkrete globale Adresse zu
• Server verwaltet Zuständigkeiten, Leases und ggf. weitere Parameter
• Nützlich in größeren, zentral administrierten Netzen

Hybridbetrieb mit O-Flag

• SLAAC liefert die Adresse
• DHCPv6 Stateless liefert DNS oder andere Parameter
• Kombination aus dezentraler Adressbildung und zentraler Dienstkonfiguration

---

10. Zusammenfassung des typischen Ablaufs

Der normale SLAAC-Ablauf lässt sich wie folgt zusammenfassen:

1. Der Host startet seine Netzwerkschnittstelle.
2. Er erzeugt eine Link-Local-Adresse aus FE80::/10 und einem Interface-Identifier.
3. Er führt DAD durch, um sicherzustellen, dass die Link-Local-Adresse nicht doppelt existiert.
4. Er sendet eine Router Solicitation an FF02::2.
5. Ein Router antwortet mit einem Router Advertisement.
6. Der RA enthält Prefix Information Options, Router Lifetime und optional M/O-Flags.
7. Der Host bildet aus einem Prefix mit gesetztem A-Flag seine globale Adresse.
8. Er führt erneut DAD für die neue globale Adresse durch.
9. Er nimmt eine Default Route zum Router auf, sofern der Router Lifetime gültig ist.
10. Bei M- oder O-Flag greift zusätzlich DHCPv6 Stateful bzw. Stateless.

Damit zeigt SLAAC deutlich, wie IPv6 Adressen dezentral und ohne zentralen Adressserver konfigurierbar sind: Der Router stellt die Präfixe bereit, der Host bildet die Adresse selbst, und Neighbor Discovery sorgt für Eindeutigkeit sowie für das Auffinden von Routern und Nachbarn.

SLAAC im Überblick

Stateless Address Autoconfiguration (SLAAC) ist das zentrale IPv6-Verfahren, mit dem ein Host eigene Adressen ohne zentralen Server bildet. Der Router teilt dem Host lediglich Präfixe und Router-Informationen mit; der Host ergänzt diese um einen lokalen Interface-Identifier. Damit entstehen Link-lokal-Adressen sowie globale Unicast-Adressen.

Zwei ICMPv6-Nachrichten sind dabei besonders wichtig:

• Router Solicitation (RS) – vom Host gesendet, um Router-Ankündigungen sofort auszulösen.
• Router Advertisement (RA) – vom Router gesendet und enthält die eigentliche Konfigurationsinformation: Präfixe, Default-Routern, Link-MTU, Neighbor-Discovery-Timer sowie Flags für DHCPv6.

Beide Nachrichten sind link-scope-begrenzt, also nicht weitergeleitet, und tragen üblicherweise ein Hop-Limit von 255.

---

Grundlegende Bausteine vor dem SLAAC-Ablauf

1. Link-lokal-Adresse und Interface-Identifier

Jedes aktive IPv6-Interface benötigt mindestens eine Link-lokal-Adresse im Präfix fe80::/64. Sie ist die Basis für Neighbor Discovery, DAD und Router Discovery.

Der Host bildet den 64-Bit-Teil der Adresse aus einem Interface-Identifier:

• Klassisch über EUI-64:
  Die 48-Bit-MAC-Adresse wird in zwei 24-Bit-Hälften aufgeteilt, FFFE wird eingefügt und das Universal/Local-Bit invertiert.
  Beispielhaft: Eine MAC-Adresse erzeugt daraus einen Interface-Identifier wie 001a:11ff:fe3e:5cc2.

• Alternativ über Privacy Extensions nach RFC 7217/RFC 8981:
  Der Host generiert zufällige oder stabile, nicht an die MAC gebundene Interface-Identifier. Das wird in modernen Systemen häufig bevorzugt, um keine Hardware-Adressen zu offenbaren und Tracking über persistente EUI-64-Adressen zu erschweren.

2. Duplicate Address Detection (DAD)

Bevor eine Adresse tatsächlich verwendet wird, führt der Host Duplicate Address Detection durch:

• Die neue Adresse wird zunächst als tentative markiert.
• Der Host sendet ein Neighbor Solicitation (NS) mit dem Ziel, die Adresse auf Eindeutigkeit im lokalen Segment zu prüfen.
• Das NS geht an die zugehörige Solicited-Node-Multicastgruppe, z. B. ff02::1:ff... basierend auf den letzten 24 Bits der geprüften Adresse.
• Wird kein Neighbor Advertisement (NA) erhalten, gilt die Adresse im lokalen Link als eindeutig und wird in den regulären Zustand überführt.
• Kommt ein NA zurück, das belegt, dass die Adresse bereits von einem anderen Host verwendet wird, ist sie doppelt belegt. Der Host muss dann einen neuen Identifier generieren oder die Adresse verwerfen.

DAD schützt nicht vor globalen Kollisionen im gesamten Internet, sondern nur gegen lokale Konflikte innerhalb des /64-Subnetzes.

---

Schritt-für-Schritt-Ablauf von SLAAC

1. Interface wird aktiv oder ein neues Präfix erscheint

Sobald eine IPv6-Schnittstelle hochgefahren wird oder der Host auf einem Link startet, beginnt die Adresskonfiguration:

1. Der Host bildet eine Link-lokal-Adresse aus fe80::/64 plus Interface-Identifier.
2. Er führt DAD für diese Link-lokal-Adresse durch.
3. Ist die Adresse verfügbar, kann der Host am lokalen IPv6-Traffic teilnehmen und Neighbor Discovery betreiben.

Ohne gültige Link-lokal-Adressen können weder Router Discovery noch DAD für globale Adressen sauber funktionieren.

---

2. Router Discovery über Router Solicitation

Der Host möchte wissen:

• Welche globalen Präfixe auf diesem Link verfügbar sind?
• Gibt es einen oder mehrere Default-Router?
• Welche MTU und Neighbor-Discovery-Timer gelten?

Dafür sendet der Host eine Router Solicitation (RS):

• ICMPv6-Nachrichtentyp: 133
• Übliches Ziel: die All-Routers-Multicastgruppe ff02::2
  Alternativ kann auch ein bekannter Router direkt per Unicast angesprochen werden.
• Quelle: in der Regel die Link-lokal-Adresse des Interfaces; falls noch keine Adresse feststeht, manchmal die Unspecified Address ::.

Die Rolle von RS ist also nicht die Übertragung von Adresspräfixen, sondern das sofortige Anfordern von Router Advertisement. Ohne RS müsste der Host möglicherweise auf die nächste periodische RA-Nachricht warten. RS beschleunigt daher den Startprozess erheblich.

Wenn der Host nach einer gewissen Zeit noch keine RA empfangen hat, wiederholt er Router Solicitations in bestimmten Intervallen, bis ein Router antwortet oder eine maximale Dauer erreicht ist. In typischen Implementierungen erfolgt das über mehrere Minuten verteilt.

---

3. Router sendet Router Advertisement

Der lokale Router antwortet auf RS mit einem Router Advertisement (RA) und sendet RAs zusätzlich periodisch an alle Hosts im Segment:

• ICMPv6-Nachrichtentyp: 134
• Quelle: die Link-lokal-Adresse des Routers auf diesem Interface
• Ziel: typischerweise die All-Nodes-Multicastgruppe ff02::1, bei gesendeter RS auch per Unicast an den anfragenden Host

Das RA ist der eigentliche Informationsgeber für SLAAC. Es kann unter anderem enthalten:

a) Router Lifetime

Ein Feld im RA gibt an, wie lange dieser Router als Default-Router-Kandidat gültig ist, ausgedrückt in Sekunden.

• Wert größer 0: Der Router kann als Default-Router verwendet werden.
• Wert gleich 0: Der Router soll nicht mehr als Default-Router behandelt werden.

Der Host kann mehrere Default-Routern kennen und seine Auswahl nach Erreichbarkeitsmetriken, Neighbor-Discovery-Timern oder optionalen Präferenzoptionen steuern.

b) Flags M und O

Im RA befinden sich zwei wichtige Flags:

• M = Managed Address Configuration Flag
  Wenn gesetzt, soll der Host Adressen stateful über DHCPv6 beziehen. In einem reinen SLAAC-Setup ist dieses Flag normalerweise nicht gesetzt.
• O = Other Configuration Flag
  Wenn gesetzt, soll der Host zusätzliche Konfiguration stateless über DHCPv6 holen, z. B. DNS-Server oder andere Parameter.

Für klassischen SLAAC gilt typischerweise:
A-Flag in den Prefix Information Options aktiv, M meist 0, O optional.

c) Link-MTU und Neighbor-Discovery-Timer

Das RA kann eine MTU-Option enthalten sowie Werte für:

• Reachable Time
• Retrans Timer

Diese Werte beeinflussen die Neighbor-Discovery-Zustandsmaschine des Hosts, also z. B. wie lange ein Nachbar als erreichbar betrachtet wird oder wie schnell NA-Nachrichten wiederholt werden.

d) Prefix Information Options (PIO)

Die wichtigsten Optionen im RA sind die Prefix Information Options. Jede PIO beschreibt ein verfügbares Präfix, in der Praxis meist /64.

Wichtige Felder einer PIO:

• Präfixlänge, z. B. 2001:db8:abcd::/64
• On-Link-Flag (L): Zeigt an, dass das Präfig direkt über dieses Interface erreichbar ist.
• Autoconfig-Flag (A): Zeigt an, dass Hosts aus diesem Präfix Adressen automatisch konfigurieren dürfen.
• Valid Lifetime: Wie lange die Adresse als gültig bleibt und empfangen werden darf.
• Preferred Lifetime: Wie lange die Adresse bevorzugt für neue ausgehende Verbindungen verwendet wird.

Nur wenn das Autoconfig-Flag gesetzt ist und die Lifetimes sinnvoll sind, bildet der Host aus diesem Präfig automatisch eine globale IPv6-Adresse.

---

4. Globale Adressautoconfiguration durch den Host

Nachdem der Host ein RA mit gültigen Prefix Information Options erhalten hat, beginnt die eigentliche Stateless Address Autoconfiguration für globale Adressen:

1. Der Host nimmt das angebotene Präfix, z. B. 2001:db8:abcd::/64.
2. Er ergänzt seinen Interface-Identifier, z. B. einen EUI-64- oder Privacy-Identifier.
3. Es entsteht eine globale Adresse wie
   2001:db8:abcd:0:1aff:fe3e:5cc2 – je nach konkretem Identifier.
4. Diese neue Adresse wird zunächst als tentative gesetzt.
5. Der Host führt erneut DAD durch, diesmal für die globale Adresse.
6. Erfolgt keine Kollision, wird die Adresse in den Zustand preferred überführt.

Ein Host kann mehrere Adressen pro Interface haben:

• eine Link-lokal-Adresse,
• eine oder mehrere globale Adressen je Präfix,
• zusätzlich temporäre Privacy-Adressen für ausgehende Kommunikation.

Bei der Auswahl der Ausgangsadresse gelten IPv6-Source-Selection-Policies, z. B. RFC 6724. Moderne Systeme verwenden für neue ausgehende Verbindungen häufig bevorzugt eine temporäre Privacy-Adresse, sofern vorhanden und erlaubt. Eingehende Pakete können dagegen auf allen konfigurierten Adressen des Interfaces empfangen werden.

---

5. Lebenszyklus der SLAAC-Adressen

Die im RA mitgelieferten Lifetimes steuern die Nutzung der Adresse:

Preferred Lifetime

Solange die preferred lifetime aktiv ist, eignet sich die Adresse gut für neue ausgehende Verbindungen. Nach Ablauf wird sie deprecated.

Deprecated bedeutet nicht sofort ungültig:

• Bestehende Verbindungen können weiterlaufen.
• Eingehende Kommunikation ist in der Regel weiterhin möglich.
• Der Host sollte aber keine neuen ausgehenden Verbindungen mehr bevorzugt mit dieser Adresse aufbauen, wenn bessere Alternativen existieren.

Valid Lifetime

Nach Ablauf der valid lifetime wird die Adresse entfernt. Danach darf sie nicht mehr verwendet werden.

Wenn ein RA später niedrigere Lifetimes enthält, kann der Host die lokale Nutzung entsprechend verkürzen oder anpassen.

---

6. Laufender Betrieb und Aktualisierung

SLAAC ist kein einmaliger Vorgang, sondern läuft kontinuierlich:

• Router senden periodische RAs, typischerweise im Abstand von einigen Minuten, je nach Konfiguration oft standardmäßig rund 3 Minuten.
• Hosts aktualisieren damit Präfixe, Default-Routern, MTU und Neighbor-Discovery-Timer.
• Erscheint ein neues Präfig mit Autoconfig-Flag, bildet der Host neue Adressen und führt DAD durch.
• Wird die Router Lifetime auf 0 gesetzt, wird dieser Router nicht mehr als Default-Router genutzt.
• Verschwindet die Router Lifetime vollständig oder fällt unter den Schwellwert, wird die zugehörige Default-Route verworfen.
• Verändert sich der Linkstatus, z. B. nach Reboot, Kabelzugriff, VLAN-Wechsel oder Verlust aller gültigen Router, sendet der Host erneut Router Solicitations, um frische RA zu erhalten.

---

Zusammenfassung der Rolle von Router Solicitation und Router Advertisement

Router Solicitation – die Anfrage des Hosts

Die Hauptaufgabe von RS ist es, dem lokalen Segment sofort mitzuteilen:
„Ich bin hier und benötige Router-Informationen.“

Wichtige Eigenschaften:

• Vom Host gesendet
• ICMPv6-Typ 133
• Ziel meist ff02::2 (All-Routers)
• Quelle meist Link-lokal, alternativ Unspecified
• Enthält keine Präfixe oder Adresszuweisungen
• Löst sofortige Router Advertisement aus
• Wird bei Schnittstellenstart, Verlust von Default-Routern oder fehlenden RA wiederholt

Ohne RS könnte der Host auf die nächste periodische RA warten. RS ist daher vor allem ein Beschleuniger und Wiederherstellungsmechanismus für die Router Discovery.

---

Router Advertisement – die Konfigurationsquelle des Routers

Die Hauptaufgabe von RA ist es, den Hosts im lokalen Link die benötigte IPv6-Infrastruktur bekannt zu machen:

• Vom Router gesendet
• ICMPv6-Typ 134
• Quelle: Link-lokal-Adresse des Routers auf diesem Interface
• Ziel meist ff02::1 (All-Nodes), bei RS-Antwort auch Unicast
• Wird periodisch gesendet und zusätzlich auf RS geantwortet

RA enthält die für SLAAC entscheidenden Angaben:

• verfügbare Präfixe,
• Autoconfig-Erlaubnis,
• Valid- und Preferred-Lifetime,
• Default-Router-Status über Router Lifetime,
• Link-MTU,
• Reachable Time und Retrans Timer,
• Flags für stateful oder stateless DHCPv6.

Anders gesagt:
RS ist die Frage, RA ist die Antwort mit Konfigurationsinhalt.

---

Abgrenzung zu DHCPv6

SLAAC ist „stateless“, weil der Router keine Hostzuweisungen verwaltet und kein Server individuelle Adressen vergibt. Dennoch kann SLAAC zusammen mit DHCPv6 betrieben werden:

• M = 1: Der Host soll seine Adressen stateful über DHCPv6 beziehen.
  Dann wird die reine Adressautoconfiguration aus dem RA typischerweise nicht genutzt oder durch DHCPv6 ersetzt.
• O = 1: Der Host soll zusätzliche Konfiguration stateless über DHCPv6 holen, z. B. DNS-Server.
  Die Adressen selbst können weiterhin per SLAAC gebildet werden.

Für klassischen SLAAC gilt also:
Der Router liefert Präfixe und Router-Informationen; der Host bildet die Adresse eigenständig und prüft sie lokal mit DAD.

---

Kurzer Sicherheits- und Praxis-Hinweis

In realen Netzwerken ist SLAAC eng an vertrauenswürdige RAs gekoppelt. Ein manipulierter RA kann falsche Präfixe oder Default-Routern verteilen. Daher werden in LANs häufig Mechanismen wie RA Guard auf Switches eingesetzt, um unerwünschte RA zu filtern. Für stärkeren Schutz gibt es auch RA-Authentifizierungsverfahren nach RFC 3972.

DAD schützt nur gegen lokale Adresskonflikte und nicht zuverlässig vor gezielten Angriffen mit falschen NA-Nachrichten. Zudem kann EUI-64 die MAC-Adresse offenbaren, weshalb Privacy Extensions in vielen Umgebungen bevorzugt werden. Wichtig bleibt: Der von SLAAC verwendete Interface-Identifier muss innerhalb des lokalen /64-Segments eindeutig sein, sonst kommt es zu Adresskonflikten.

Stateless Address Autoconfiguration (SLAAC) in IPv6

Stateless Address Autoconfiguration, kurz SLAAC, ist ein Kernverfahren der IPv6-Nachbarschaftserkennung (Neighbor Discovery). Es erlaubt einem Host, eine oder mehrere globale IPv6-Adressen ohne zentrale Server wie DHCPv6 automatisch zu erzeugen. Die zentrale Rolle übernehmen dabei zwei ICMPv6-Nachrichten:

1. Router Solicitation (RS) – vom Host gesendet, um Router aktiv zu bitten, Netzwerkparameter bereitzustellen.
2. Router Advertisement (RA) – vom Router gesendet, um Präfixe, Gateway-Informationen und Netzwerkkonfiguration zu verteilen.

Der Ablauf ist bewusst dezentral: Der Router liefert nicht eine fertige IPv6-Adresse, sondern in der Regel einen IPv6-Präfix oder mehrere Präfixe, z. B. 2001:db8:abcd::/64. Der Host bildet daraus seine eigene Adresse, indem er den Präfix mit einem Interface-Identifier (IID) kombiniert.

---

1. Grundvoraussetzungen und Begriffe

Bevor SLAAC gestartet wird, muss das IPv6-Interface grundsätzlich aktiv sein. Ein IPv6-Knoten erzeugt zunächst eine Link-Local-Adresse aus dem festen Link-Local-Präfix:

fe80::/10

Diese Adresse ist nur im lokalen Netzwerk gültig und wird unabhängig von SLAAC benötigt. Sie entsteht durch Kombination des Link-Local-Präfixes mit einem Interface-Identifier, oft basierend auf der MAC-Adresse oder einer zufälligen ID gemäß den IPv6-Privacy Extensions.

Für die globale Adressbildung nutzt SLAAC typischerweise:

• einen IPv6-Netzpräfix, z. B. 2001:db8:abcd::/64
• einen Interface-Identifier (IID), oft 64 Bit lang
• ICMPv6-Nachrichten der Neighbor Discovery:
  • Router Solicitation
  • Router Advertisement
  • Neighbor Solicitation / Neighbor Advertisement, insbesondere für Duplicate Address Detection

Wichtige Multicast-Adressen sind:

ff02::1   Alle IPv6-Knoten im Link
ff02::2   Alle IPv6-Router im Link

---

2. SLAAC-Ablauf Schritt für Schritt

Schritt 1: Interface wird aktiv, Link-Local-Adresse wird erzeugt

Wird ein Host in ein IPv6-Netzwerk eingesteckt oder wird das Netzwerkinterface aktiviert, beginnt der Host mit der lokalen Konfiguration.

Er bildet zunächst eine Link-Local-Adresse, beispielsweise aus fe80::/10 und einem Interface-Identifier:

fe80::242:acff:fe11:2233

Diese Adresse ist nur für Kommunikation im direkten Layer-2-Bereich gedacht. Sie wird oft als Quelle für Router Solicitations verwendet, sobald sie verfügbar ist.

Zusätzlich kann der Host bereits Duplicate Address Detection durchführen: Er sendet eine Neighbor Solicitation mit der neuen Adresse als Zieladresse und prüft, ob ein anderer Knoten dieselbe IPv6-Adresse nutzt. Wird eine Neighbor Advertisement-Antwort von einem anderen Host erhalten, wird die Adresse verworfen bzw. neu generiert.

---

Schritt 2: Router Solicitation (RS) senden

Um nicht auf periodische Router Advertisements warten zu müssen, sendet der Host aktiv eine Router Solicitation.

Technisch ist das eine ICMPv6-Nachricht vom Typ 133. Sie wird in der Regel als Link-Scopes-Multicast an die All-Routers-Gruppe gesendet:

Zieladresse: ff02::2
Quelle:      Link-Local-Adresse des Hosts oder Unspecified, falls noch keine Adresse vorhanden ist

Die Router Solicitation enthält normalerweise keine Adresspräfixe. Ihre Aufgabe ist primär:

Bitte alle Router im lokalen Segment sofort einen Router Advertisement senden.

Das hat zwei wichtige Effekte:

1. Beschleunigte Konfiguration
   Der Host muss nicht erst auf das nächste periodische RA warten, sondern erhält direkt eine Antwort.

2. Erkennung lokaler IPv6-Router
   Selbst wenn der Host nur kurz in ein Netzwerk wechselt oder neu startet, kann er sofort herausfinden, ob und welche Router im Link verfügbar sind.

Ein typisches Timing sieht so aus:

Host:
  Interface up
  Link-Local-Adresse erzeugt
  Duplicate Address Detection für Link-Local-Adresse
  Router Solicitation an ff02::2 senden

---

Schritt 3: Router Advertisement (RA) empfangen

Ein Router, der IPv6 aktiviert hat und entsprechend konfiguriert ist, empfängt die Router Solicitation und sendet als Antwort einen Router Advertisement.

Technisch ist das eine ICMPv6-Nachricht vom Typ 134. Der RA wird in der Regel an alle Knoten im Link gesendet:

Zieladresse: ff02::1 oder unicast, wenn als direkte Antwort auf RS verwendet
Quelle:      IPv6-Adresse des Routers, typischerweise Link-Local oder globale Adresse

Der Router Advertisement ist die eigentliche Informationsquelle für SLAAC. Er kann unter anderem folgende Optionen enthalten:

a) Prefix Information Option

Diese Option enthält den für SLAAC wichtigsten Teil: einen globalen IPv6-Präfix.

Typische Felder sind:

Prefix-Länge        z. B. 64
IPv6-Präfix         z. B. 2001:db8:abcd::/64
Valid Lifetime      wie lange die Adresse gültig ist
Preferred Lifetime  wie lange die Adresse bevorzugt verwendet werden darf
Flags               insbesondere A-Bit für autoconfig

Das A-Bit bedeutet im Wesentlichen:

Dieser Präfix darf von Hosts automatisch zur Adressbildung verwendet werden.

Falls der A-Bit gesetzt ist, kann der Host aus dem Präfix und einem Interface-Identifier eine globale IPv6-Adresse bilden.

b) Managed Address Configuration Flag

Im RA-Header gibt es das sogenannte M-Bit.

Wenn M = 1, soll der Host für die Adresszuteilung DHCPv6 im stateful Modus verwenden. In diesem Fall ist es kein reines SLAAC, sondern DHCPv6 liefert die Adresse(n).

c) Other Configuration Flag

Das O-Bit steuert, ob der Host zusätzlich stateless DHCPv6 für weitere Parameter verwenden soll, insbesondere:

• DNS-Server
• NTP-Server
• andere optionale Netzwerkinformationen

Ein typisches SLAAC-Szenario sieht daher oft so aus:

M = 0   → keine stateful DHCPv6-Adressen erforderlich
O = 1   → stateless DHCPv6 für DNS etc. möglich
Prefix A-Bit = 1 → Adresse wird über SLAAC gebildet

d) Weitere Netzwerkinformationen

Ein RA kann zusätzlich enthalten:

• Hop Limit
  Vorschlag, welchen IPv4-TTL-/IPv6-Hop-Limit-Wert Hosts verwenden sollen.

• Link MTU
  Größte Übertragungsgröße im lokalen Segment.

• Reachable Time
  Geschätzte Zeit, in der ein Nachbarknoten erreichbar ist.

• Retransmit Timer
  Wiederversendewert für Neighbor Discovery-Nachrichten.

• Optional: DNS-Server, wenn RA-DNS-Optionen unterstützt werden.

---

3. Adressbildung durch den Host

Nachdem der Host ein oder mehrere gültige Präfixe aus dem Router Advertisement erhalten hat, erzeugt er daraus eine oder mehrere globale IPv6-Adressen.

Die Grundformel lautet:

Globale IPv6-Adresse = IPv6-Präfix + Interface-Identifier

Beispiel:

Präfix aus RA: 2001:db8:abcd::/64
Interface-Identifier: 21a:2bff:fe3c:4d5e

Ergebnis:
2001:db8:abcd::21a:2bff:fe3c:4d5e

Der Interface-Identifier kann auf verschiedenen Wegen entstehen.

a) EUI-64-basierte Bildung

Bei der klassischen Methode wird die MAC-Adresse in eine 64-Bit-Interface-Kennung umgewandelt. Dabei werden zwei Dinge geändert:

1. Das Universal/Local-Bit des ersten Oktetts wird invertiert.
2. Die Bytefolge ff:fe wird nach dem dritten Byte eingefügt.

Beispiel mit einer simplen MAC-Adresse:

MAC:     00:1a:2b:3c:4d:5e
EUI-64:  02:1a:2b:ff:fe:3c:4d:5e
IID:      21a:2bff:fe3c:4d5e

Daraus entsteht:

2001:db8:abcd::21a:2bff:fe3c:4d5e

b) Zufällige Interface-Identifier nach Privacy Extensions

Moderne Systeme verwenden häufig Privacy Extensions, um die Nachvollziehbarkeit von IPv6-Adressen zu reduzieren. Dabei wird der IID nicht aus der MAC abgeleitet, sondern pseudozufällig erzeugt.

Vorteile:

• Schutz gegen einfache Tracking-Angriffe über stabile IPv6-Adressen
• Möglichkeit zur Adressrotation
• bessere Privatsphäre in lokalen und globalen Netzwerken

Nachteil:

• Ohne zusätzliche Mechanismen kann die Zuordnung zu einem bestimmten Gerät für Netzwerkadministratoren erschwert werden.

In der Praxis nutzen viele Systeme daher eine Mischung:

• eine stabile EUI-64-basierte Adresse, falls konfiguriert
• zusätzlich temporäre Zufallsadressen nach Privacy Extensions

---

4. Duplicate Address Detection vor Verwendung

Bevor der Host die neu gebildete globale IPv6-Adresse aktiv verwendet, führt er Duplicate Address Detection durch.

Dazu sendet er eine Neighbor Solicitation, deren Zieladresse genau die neue IPv6-Adresse ist. Die NS wird an die sogenannte Solicited-Node-Multicastgruppe gesendet.

Der Host prüft:

Kommt von einem anderen Knoten eine Neighbor Advertisement, in der dieselbe Adresse als Quelle oder Ziel auftaucht?
Ja → Adresskonflikt, Adresse verwerfen
Nein → Adresse kann verwendet werden

Ohne DAD wäre es möglich, dass zwei Hosts im selben Link dieselbe globale IPv6-Adresse verwenden. Das würde zu Routing-Problemen und Kommunikationsfehlern führen.

Der Status einer SLAAC-adressierten Adresse läuft typischerweise so ab:

tentative → usable
usable    → deprecated nach Ablauf der Preferred Lifetime
deprecated → valid, aber nicht mehr bevorzugt
valid     → removed nach Ablauf der Valid Lifetime

• Preferred Lifetime: Zeitraum, in dem die Adresse aktiv für neue Verbindungen genutzt werden soll.
• Valid Lifetime: Zeitraum, bis zu dem die Adresse weiterhin gültig ist; danach wird sie entfernt.

---

5. Periodische Router Advertisements und laufende Aktualisierung

Router Solicitation ist nicht der einzige Auslöser für Router Advertisement. Router senden in regelmäßigen Abständen auch selbst RAs an alle Knoten im lokalen Segment.

Diese periodischen RAs erfüllen mehrere Aufgaben:

1. Ankündigung lokaler IPv6-Präfixe
2. Wartung von Adresslifetimes
3. Bereitstellung des Default Gateway
   Die Quelle der RA-Nachricht wird in der Regel als nächster Hop für das lokale Segment interpretiert, sofern keine expliziten Routing-Optionen vorliegen.
4. Aktualisierung von Netzwerkinformationen
   Zum Beispiel MTU, Reachable Time, Hop Limit oder DNS-Einstellungen.

Ein Host kann dadurch erkennen, wenn sich die Netzwerkumgebung ändert:

Präfix wurde entfernt
Lifetime abgelaufen
neues Präfig hinzugekommen
Router nicht mehr erreichbar
MTU geändert

Falls ein RA ausbleibt und der Router als nicht länger verfügbar gilt, kann der Host zugehörige Routen oder Adressen entsprechend anpassen.

---

6. Abgrenzung zu DHCPv6

SLAAC ist stateless: Es gibt keinen Server, der für jeden Host eine Adresse vergibt und Statusdaten speichert. Der Router teilt lediglich Präfixe und Netzwerkinformationen mit.

IPv6 kennt dagegen zwei DHCPv6-Modi:

a) Stateless DHCPv6

Adresse:          über SLAAC
DNS/andere Infos: über DHCPv6
RA O-Bit = 1
RA M-Bit = 0

Dies ist in der Praxis sehr verbreitet, weil SLAAC die Adresse liefert und DHCPv6 nur zusätzliche Parameter wie DNS-Server bereitstellt.

b) Stateful DHCPv6

Adresse:          über DHCPv6
zusätzliche Infos: optional ebenfalls über DHCPv6
RA M-Bit = 1

In diesem Fall ist SLAAC für die Adresszuteilung nicht primär zuständig, der Router kann aber weiterhin Neighbor Discovery und Gateway-Funktionen bereitstellen.

---

7. Zusammengefasster SLAAC-Ablauf in der Praxis

Ein typischer Ablauf sieht so aus:

1. Host verbindet sich mit IPv6-Link
2. Host erzeugt Link-Local-Adresse fe80::/10 + IID
3. Host führt DAD für Link-Local-Adresse durch
4. Host sendet Router Solicitation an ff02::2
5. Router empfängt RS
6. Router sendet Router Advertisement mit Präfixen und Flags
7. Host liest Prefix Information Option aus
8. Wenn A-Bit gesetzt ist: Host bildet globale Adresse aus Präfix + IID
9. Host führt DAD für neue globale Adresse(n) durch
10. Bei Erfolg: Adresse wird als usable markiert
11. Router sendet periodische RAs
12. Host aktualisiert Lifetimes, Gateway-Einträge und Netzwerkinformationen

In einer vereinfachten Nachrichtensequenz:

Host                                      Router
  |                                         |
  |--- Router Solicitation zu ff02::2 ----->|
  |                                         |
  |<-- Router Advertisement ----------------|
  |     (Präfix, Lifetime, Flags)           |
  |                                         |
  | Host bildet IPv6-Adresse                |
  |--- Duplicate Address Detection -------->|
  |                                         |
  |  Adresse verwenden                      |

---

8. Rolle von Router Solicitation und Router Advertisement im Vergleich

Router Solicitation

Die Router Solicitation ist die Anfrage des Hosts.

Ihre Hauptaufgaben sind:

• sofortige Erzeugung eines Routers durch den Router
• Verkürzung der Zeit bis zur Adresskonfiguration
• Erkennung, ob im lokalen Segment überhaupt IPv6-Router aktiv sind
• Unterstützung bei Netzwerkwechsel oder Neuanschluss

Die RS selbst enthält in der Regel keine Präfixe. Sie ist ein Trigger für die Antwort des Routers.

Router Advertisement

Der Router Advertisement ist die Antwort und Informationssource.

Seine Hauptaufgaben sind:

• Verteilen von IPv6-Präfixen
• Aktivierung oder Deaktivierung der automatischen Adressbildung über das A-Bit
• Angabe des lokalen Default Gateways durch die Quelle der RA-Nachricht
• Bereitstellung von Netzwerkinformationen wie MTU, Hop Limit und Reachable Time
• Steuerung, ob stateless oder stateful DHCPv6 verwendet werden soll
• periodische Aktualisierung der Hostkonfiguration

Ohne Router Advertisement findet reines SLAAC in der Praxis nicht statt. Der RA ist die zentrale Konfigurationsquelle für IPv6-Knoten im lokalen Segment.

---

9. Sicherheitshinweise

SLAAC ist funktional einfach, aber sicherheitskritisch, weil ein falscher oder böswilliger Router Advertisement einen Host dazu bringen kann:

• eine ungültige Adresse zu verwenden
• einen falschen Default Gateway einzurichten
• DNS-Server zu konfigurieren, die manipuliert werden können
• Traffic umzuleiten oder abzuhören

Mögliche Schutzmaßnahmen sind:

• RA Guard auf Switches
  Filtert unerwünschte Router Advertisements an Endgeräten.

• Secure Neighbor Discovery / SEND
  Schützt ND-Nachrichten gegen Manipulation, insbesondere durch kryptografische Signaturen oder Challenge-Response-Mechanismen.

• Router Advertisement Authentication
  Ermöglicht signierte RAs, um die Herkunft und Integrität zu prüfen.

• Privacy Extensions
  Reduzieren Tracking über stabile IPv6-Adressen.

In sicherheitskritischen Netzen sollte SLAAC daher nicht ungeprüft ausgesetzt werden, sondern durch Netzwerkrichtlinien und Authentifizierungsmechanismen abgesichert sein.

---

Fazit

Stateless Address Autoconfiguration ist ein dezentrales IPv6-Konfigurationsverfahren, bei dem der Host seine eigene globale Adresse selbst bildet. Der Router liefert dazu über Router Advertisement die nötigen Präfixe und Netzwerkinformationen. Die Router Solicitation dient als aktiver Startmechanismus des Hosts, um sofort eine RA-Antwort des Raters zu erhalten und so den Adressbildungsprozess schnell zu starten. Der Router Advertisement trägt dagegen die eigentliche Konfigurationslast: Er übermittelt Präfixe, Lifetimes, Gateway-Informationen, MTU, Hop-Limit-Empfehlungen sowie Steuerungsbits wie M-Bit und O-Bit für DHCPv6-Verhalten.

Zusammengefasst lässt sich SLAAC also als kooperative, routergesteuerte, aber hostautonome Adresskonfiguration verstehen:

Host fragt aktiv an        → Router Solicitation
Router antwortet informativ → Router Advertisement
Host bildet Adresse selbst  → Präfix + Interface-Identifier
Host prüft Eindeutigkeit    → Duplicate Address Detection
Host nutzt und pflegt       → Preferred/Valid Lifetime, periodische RAs

Die Rolle von Router Solicitation ist also primär initiativ und beschleunigend. Sie stellt sicher, dass der Host nicht passiv auf die nächste periodische Router Advertisement wartet, sondern unmittelbar nach Netzwerkanschluss oder Interface-Aktivierung eine Konfigurationsantwort erhält. Ohne RS wäre SLAAC zwar grundsätzlich möglich, aber langsamer und weniger robust, insbesondere bei kurzlebigen Verbindungen, Mobilfunkumgebungen oder dynamischen Netzwerksituationen.

Die Rolle von Router Advertisement ist dagegen zentral und bestimmend. Er definiert, welche Präfixe verfügbar sind, ob automatische Adressbildung erlaubt ist, wie lange die Adressen gültig bleiben, welcher Knoten als lokaler Gateway in Betracht kommt und ob zusätzliche Konfiguration über DHCPv6 erforderlich oder erwünscht ist. Damit ist der RA das eigentliche Herzstück von SLAAC.

Ein entscheidender Unterschied zu IPv4 besteht darin, dass IPv6-Hosts nicht zwingend auf eine zentrale Adresszuteilung angewiesen sind. Sie können sich selbst konfigurieren, solange sie einen gültigen Präfix aus dem Netzwerksegment erhalten. Das macht IPv6 besonders geeignet für große Netze, mobile Knoten, IoT-Umgebungen und dezentrale Topologien.

Abschließend lässt sich festhalten: SLAAC ist kein isoliertes Protokoll, sondern ein Zusammenspiel aus Neighbor Discovery, ICMPv6, Duplicate Address Detection, Interface-Identifier-Erzeugung und Lebenszyklusverwaltung von Adressen. Router Solicitation löst den Prozess aus, Router Advertisement liefert die Informationen, und der Host vollendet die Konfiguration autonom. Diese Kombination macht IPv6-Adresskonfiguration ohne zentrale Server möglich, gleichzeitig aber auch abhängig von der Integrität und Korrektheit der im lokalen Link verteilten Router Advertisement-Nachrichten.

Ablauf der Stateless Address Autoconfiguration (SLAAC) in IPv6

Die Stateless Address Autoconfiguration – kurz SLAAC – ist ein Verfahren, mit dem ein IPv6-Host ohne zentrale DHCPv6-Server eine oder mehrere globale Unicast-Adressen selbst erzeugt und zugleich Netzwerkparameter wie Default-Routen, MTU-Informationen oder DNS-Server erhält. Die Grundlage bilden die Neighbor-Discovery-Mechanismen in ICMPv6, insbesondere:

• Router Solicitation (RS) – Abfrage des Hosts an Router im lokalen Segment
• Router Advertisement (RA) – Antwortende und periodische Mitteilung durch Router
• Neighbor Solicitation / Neighbor Advertisement (NS/NA) – Auflösung von Adressen und Duplicate Address Detection

Der Ablauf lässt sich am besten als Kette von Zuständen beschreiben: Schnittstelle wird aktiviert, Link-lokal-Adresse wird erzeugt, DAD prüft Eindeutigkeit, der Host bittet um Router-Informationen, Router liefern Präfixe/Routen, der Host bildet globale Adressen und pflegt danach Nachbar- und Routentabellen.

---

1. Aktivierung der Schnittstelle und Link-lokal-Adresse

Sobald eine IPv6-fähige Netzwerkschnittstelle betriebsbereit ist, erzeugt der Host zunächst eine link-lokale Adresse im Präfix:

FE80::/10

Die restlichen 64 Bit bilden den Interface-Identifier. Klassisch wird dieser aus einer MAC-Adresse über ein sogenanntes EUI-64-Format abgeleitet. Dabei werden die ersten 24 Bit der MAC und die letzten 24 Bit der MAC um das feste Binär-Muster FF FE ergänzt; zusätzlich wird das Universal/Local-Bit gesetzt, damit die Adresse lokal verwaltet erscheint.

In modernen Systemen wird häufig zusätzlich ein zufälliger Interface-Identifier verwendet, insbesondere durch Privacy Extensions. Dadurch werden mehrere Adressen möglich:

• eine permanente EUI-64-basierte Adresse
• temporäre oder semi-permanente Privacy-Adressen

SLAAC ist dadurch nicht auf genau eine globale IPv6-Adresse pro Schnittstelle beschränkt. Ein Host kann aus einem einzigen gerouteten Präfix mehrere Adressen ableiten, solange die Interface-Identifier unterschiedlich sind.

---

2. Duplicate Address Detection (DAD)

Bevor eine Adresse endgültig verwendet wird, prüft der Host über Duplicate Address Detection, ob diese bereits auf dem Link existiert.

Dazu sendet der Host eine Neighbor Solicitation an die sogenannte Solicited-Node-Multicast-Adresse:

FF02::1:<letzte 64 Bits der zu prüfenden IPv6-Adresse>

Die Nachricht enthält die zu testende Adresse als Zieladresse. Reagiert ein anderer Host mit einer Neighbor Advertisement, in der dieselbe Adresse als Quelladresse oder Zieladresse auftaucht, erkennt der Host einen Konflikt und verwirft die tentativ zugewiesene Adresse. Kommt keine Antwort, wird die Adresse nach Ablauf der DAD-Zeit als eindeutig betrachtet und dauerhaft aktiviert.

DAD wird typischerweise für link-lokale Adressen, globale SLAAC-Adressen und Privacy-Adressen durchgeführt. Sie ist wichtig, weil SLAAC ohne zentrale Server keine garantierte globale Eindeutigkeit eines Interface-Identifier liefert.

---

3. Router Solicitation: Der Host fragt aktiv nach Präfixen und Routen

Nach der Erstellung der Link-lokal-Adresse sendet der Host eine Router Solicitation, meist an die Multicast-Adresse:

FF02::2

Diese Adresse ist die All-Routers-Multicast-Adresse. Die Router Solicitation ist eine ICMPv6-Nachricht, bei der der Host im Wesentlichen fragt:

„Gibt es IPv6-Router in diesem Segment? Welche Präfixe, Routen und Netzwerkparameter sind verfügbar?“

Die Router Solicitation wird typischerweise direkt nach dem Aktivieren der Schnittstelle gesendet. Wenn der Host keine Router Advertisement erhält oder die empfangenen Informationen ablaufen, kann er sie regelmäßig erneut senden. Sie ist also ein aktiver Trigger für die Konfiguration.

Wichtig: Die Router Solicitation enthält selbst normalerweise keine gültigen Adresspräfixe. Sie ist eine Anfrage. Der eigentliche Inhalt der Netzwerkinformation kommt durch den Router in Form einer Router Advertisement zurück.

Die Router Solicitation kann zusätzliche Optionen enthalten, etwa Informationen zum Client oder Link-lokal-Adressen von Routern, aber die zentrale Funktion bleibt: Sie löst die schnelle Antwort eines Routers aus und ermöglicht dem Host, nicht bis zur nächsten periodischen Router Advertisement warten zu müssen.

---

4. Router Advertisement: Der Router liefert Präfixe, Routen und Flags

Ein IPv6-Router sendet als Reaktion auf eine Router Solicitation eine Router Advertisement. Diese kann unicast an den fragenden Host oder multicast an alle Knoten im Segment gesendet werden. Zusätzlich senden Router periodisch Router Advertisements, typischerweise an die All-Nodes-Multicast-Adresse:

FF02::1

Die Router Advertisement enthält mehrere wichtige Bausteine:

4.1 Präfix Information Option (PIO)

Jede Prefix Information Option beschreibt einen IPv6-Präfix, den Hosts für die Adressbildung verwenden können. Sie enthält unter anderem:

• Länge des Präfixes
• Preferred Lifetime: wie lange der Host neue Verbindungen mit dieser Adresse aufbauen darf
• Valid Lifetime: wie lange die Adresse insgesamt gültig bleibt
• das A-Flag

Das A-Flag ist entscheidend für SLAAC. Ist es gesetzt, darf der Host eine globale Unicast-Adresse aus diesem Präfix selbst ableiten.

Beispiel:

Präfix: 2001:db8:abcd::/64
A-Flag: gesetzt
Preferred Lifetime: 30 Tage
Valid Lifetime: 60 Tage

Dann kann der Host eine Adresse wie:

2001:db8:abcd::[Interface-Identifier]

erzeugen.

4.2 Route Information Option (RIO)

Die Route Information Option beschreibt Routen, die der Host verwenden kann. Eine Default-Route wird typischerweise durch eine RIO mit Präfixlänge 0 dargestellt, also:

::/0

Zusätzlich enthält sie ein Lebensdauer-Feld und Flags. Besonders relevant ist das R-Flag, das angibt, ob der Router als erreichbar für diese Route betrachtet werden kann. Über die RIOs lernt der Host, welche Next-Hop-Adressen er verwenden soll.

4.3 Steuerflags im RA-Header

Die Router Advertisement enthält außerdem Flags, die bestimmen, wie der Host Adressen und weitere Informationen beziehen soll:

• M-Flag: Managed address configuration
  Wenn gesetzt, muss der Host für globale Unicast-Adressen stateful DHCPv6 verwenden. SLAAC ist dann nicht das primäre Verfahren für die Hauptadresszuordnung.
• O-Flag: Other configuration
  Wenn gesetzt, soll der Host zusätzliche Informationen wie DNS-Server über DHCPv6 beziehen, typischerweise durch ein Information Request / Information Reply.
• L-Flag in PIOs/RIOs: zeigt an, ob Präfixe oder Routen link-lokal sind.

Für reines SLAAC ist die Kombination üblich:

M = 0
O = 0 oder 1
PIO mit A = 1
RIO für Default-Route

Wenn O = 1 gesetzt ist, kann der Host zusätzlich ein IPv6-DHCPv6 Information Request senden, um DNS-Server zu erhalten. Die Adressen selbst können weiterhin per SLAAC gebildet werden.

4.4 Weitere Optionen

Zusätzlich können in einer Router Advertisement Informationen wie MTU-Werte oder DNS-Server über RDNSS enthalten sein. Diese sind für die reine Adressbildung nicht zwingend, gehören aber zum üblichen Betrieb von IPv6-Netzwerken dazu.

---

5. Bildung der globalen SLAAC-Adresse

Wenn der Host eine Router Advertisement mit mindestens einer PIO erhält und das A-Flag gesetzt ist, erzeugt er eine oder mehrere globale IPv6-Adressen:

[Präfix aus PIO] + [Interface-Identifier]

Der Interface-Identifier kann aus einer EUI-64-Konversion stammen oder zufällig/privacy-basiert sein. Dadurch können mehrere globale Adressen auf derselben Schnittstelle aktiv sein.

Jede neu erzeugte Adresse durchläuft zunächst die Duplicate Address Detection:

1. Host sendet NS an Solicited-Node-Multicast der tentativen Adresse.
2. Antwortet ein anderer Host mit NA, gibt es einen Konflikt.
3. Der Host verwirft die Adresse und kann optional eine neue Privacy-ID verwenden.
4. Antwortet niemand, wird die Adresse dauerhaft aktiviert.

Erst nach erfolgreicher DAD ist die SLAAC-Adresse für den regulären Datenverkehr verfügbar.

---

6. Nachbarerkennung und Default-Routen

Neben der Adressbildung übernimmt SLAAC auch Teile des lokalen Netzwerk-Setups.

Der Host lernt aus der Router Advertisement:

• welche Präfixe lokal erreichbar sind
• welcher Router als Next-Hop für bestimmte Routen verwendet wird
• wie lange diese Routen gültig bleiben
• ob der Router als Default-Gateway betrachtet werden kann

Um den tatsächlichen Next-Hop zu verwenden, muss der Host die link-lokale Adresse des Routers kennen oder auflösen. Dafür nutzt er Neighbor Solicitation und Neighbor Advertisement. Der Nachbar-Cache des Hosts speichert dabei Zustände wie:

• incomplete
• reachable
• stale
• delay
• probe

Stare Einträge werden durch periodische Neighbor Solicitations geprüft, um zu erkennen, ob ein Nachbar noch erreichbar ist. Dieses Verfahren heißt Neighbor Unreachability Detection.

Die Default-Route entsteht nicht durch einen separaten „DHCPv6-Gateway-Vereinbarungsschritt“, sondern über die Route Information Option und die Erreichbarkeit des Routers aus der Router Advertisement. Der Host kann daraus ableiten, dass Pakete für externe Ziele an den link-lokalen Next-Hop des Rovers gesendet werden müssen.

---

7. Laufender Betrieb und Aktualisierung

SLAAC ist nicht nur ein einmaliger Initialisierungsprozess. Er läuft kontinuierlich weiter.

Periodische Router Advertisements

Router senden periodisch RA-Nachrichten an FF02::1. Hosts aktualisieren dabei:

• Gültigkeitszeiten ihrer SLAAC-Adressen
• Routeneinträge
• MTU-Werte, falls vorhanden
• DNS-Informationen, wenn RDNSS verwendet wird

Ablauf von Adressen

Jede SLAAC-Adresse hat zwei relevante Lebensdauern:

• Preferred Lifetime
  Solange diese läuft, darf der Host neue Verbindungen mit dieser Adresse aufbauen.
• Valid Lifetime
  Solange diese läuft, bleibt die Adresse gültig und kann für bestehende Verbindungen verwendet werden.

Fällt die Preferred-Lifetime ab, wird die Adresse nicht mehr für neue Verbindungen empfohlen oder erzeugt; fällt die Valid-Lifetime ab, wird sie entfernt.

Fehlender Router oder fehlende RA

Wenn der Host keine Router Advertisement erhält, sendet er regelmäßig weitere Router Solicitation. Dadurch bleibt die Konfigurationsfähigkeit erhalten: Wenn später ein Router auftaucht oder ein Präfix geändert wird, kann der Host darauf reagieren.

Wird eine PIO in einer neuen RA nicht mehr wiederholt oder läuft ihre Valid-Lifetime ab, entfernt der Host die dazugehörige SLAAC-Adresse. Neue PIOs können dagegen neue Adressen erzeugen.

---

8. Zusammengefasste Rolle von Router Solicitation und Router Advertisement

Rolle der Router Solicitation

Die Router Solicitation ist die aktive Anfrage des Hosts an das lokale Segment. Sie erfüllt mehrere Funktionen:

• sie löst eine schnelle Antwort eines Routers aus
• sie ermöglicht dem Host, nicht auf die nächste periodische RA zu warten
• sie wird nach Schnittstellenaktivierung und bei fehlenden oder abgelaufenen Informationen gesendet
• sie unterstützt den Übergang von einem neuen Link zur vollständigen IPv6-Konfiguration

Die RS selbst weist keine Adresse zu. Sie ist nur der Trigger, über den der Host Netzwerkinformation anfordert.

Rolle der Router Advertisement

Die Router Advertisement ist die zentrale Informationsquelle für SLAAC. Sie enthält:

• Präfixe für die Adressbildung
• Routen, darunter Default-Routen
• Flags zur Steuerung von SLAAC und DHCPv6
• zusätzliche Parameter wie MTU oder DNS-Server

Sie macht SLAAC „stateless“, weil der Host seine globale Adresse lokal aus dem empfangenen Präfix und einem eigenen Interface-Identifier berechnet. Ein Server muss keine einzelne IPv6-Adresse zuweisen oder reservieren. Die Router Advertisement liefert stattdessen die Regeln, nach denen sich der Host selbst konfigurieren kann.

---

9. Kurze Prozesskette

In komprimierter Form sieht der typische SLAAC-Ablauf so aus:

1. Schnittstelle wird aktiv.
2. Host erzeugt Link-lokal-Adresse FE80::/10 plus Interface-Identifier.
3. DAD prüft die Eindeutigkeit dieser Adresse über NS/NA.
4. Host sendet Router Solicitation an FF02::2.
5. Router antwortet mit Router Advertisement, unicast oder multicast; periodisch auch an FF02::1.
6. Host liest PIOs, RIOs und Flags aus der RA.
7. Für jede PIO mit gesetztem A-Flag bildet der Host eine globale SLAAC-Adresse: Präfix + Interface-Identifier.
8. Jede neue Adresse wird erneut per DAD geprüft.
9. Host installiert Routen, insbesondere Default-Routen über den nächsten Router.
10. Nachbar-Cache und Route-Cache werden durch RA-Nachrichten, NS/NA und Lebensdauern fortlaufend aktualisiert.

Damit ist SLAAC ein vollständiges Verfahren zur dezentralen IPv6-Adressbildung: Der Host braucht keine zentrale DHCPv6-Zuweisung für die Adresse selbst, erhält aber über Neighbor Discovery die notwendigen Präfixe, Routen und Betriebsparameter von den Routern im Segment.

Stateless Address Autoconfiguration (SLAAC) in IPv6

Grundprinzip und Einordnung

Die Stateless Address Autoconfiguration (SLAAC) ist das primäre Mechanismus zur IPv6-Adressvergabe im IPv6-Netzwerk. Im Gegensatz zu IPv4, wo der DHCP-Server den Zustand der Adresszuweisung verwaltet (stateful), erzeugt SLAAC die Adresse lokal auf dem Interface des Endgeräts. Der Netzwerk-Router liefert dabei ausschließlich den Vormix (Prefix) und ggf. Konfigurationsparameter, während das Gerät den individuellen Teil (Interface Identifier) selbst generiert.

Der gesamte Vorgang beruht auf den Neighbor Discovery Protocol (NDP), der das IPv6-äquivalent des ARP in IPv4 ist. Zwei NDP-Nachrichten stehen im Zentrum der SLAAC: die Router Solicitation (RS) und das Router Advertisement (RA).

Die Rolle des Router Solicitation (RS)

Das Router Solicitation ist eine Multicast-Nachricht, die von einem IPv6-Endgerät an die All-Link-Multicast-Adresse ff02::1%<Interface> (Interface-Scope) sendet. Es handelt sich um einen Multicast-Versand, der auf die Link-Broadcast-Äquivalenz im IPv6 verweist.

Auslöser des RS-Sendens:

• Solicited Solicitation: Das Gerät startet den RS-Sendeverfahren proaktiv, wenn es ins Netzwerk eingebunden wird, z. B. beim Booten, bei einer Interface-Neuaktivierung (MAC-Change) oder wenn die Interface-Adresse als abgelaufen erkannt wird.
• Unsolicited: Der Router sendet Periodisch (in der Regel alle 120 Sekunden) ein RA, unabhängig von RS. Das RS ist in diesem Modell eher ein Optimierungssignal – es beschleunigt die Erreichbarkeit eines Routers für ein frisch aufgeschlossenes Gerät. Ohne RS muss das Gerät bis zum nächsten unsoliciteden RA warten.

Inhalt des RS:

• ICMPv6-Typ 134 (Router Solicitation)
• Die Nachricht enthält im Wesentlichen nur die ICMPv6-Header-Informationen sowie eine Link-Layer-Identifier (die MAC-Adresse der Sende-Interface, in 16-Byte-Block-Binärformat kodiert).
• Es gibt keine Payload-Informationen, die eine Adresszuweisung erwarten. Der RS dient ausschließlich der Ankündigung: „Ich bin hier und brauche Netzwerk-Konfiguration."

Wichtig: Der RS ist eine stateless Nachricht – der Router muss keine Zustandsinformation halten. Das Gerät kann den RS beliebig oft senden, ohne dass der Router eine Antwort versprechen muss.

Die Rolle des Router Advertisement (RA)

Das Router Advertisement ist eine ICMPv6-Nachricht (Type 134, genauer Type 134 ist RS; RA ist Type 134... Korrektur: RA ist ICMPv6 Type 134 – Nein: RS ist Type 134, RA ist Type 133). Die RA-Multicast wird an die All-Link-Adresse ff02::1 gesendet.

Zwei Kategorien von RA-Messagen:

1. Unsolicited RA (periodisch): Der Router sendet alle RouterLifetime (Standard: 120 Sekunden, configurable bis 480 Sekunden oder 0 für eine permanente Verlinkung) eine RA aus.
2. Solicited RA (auf RS-Trigger): Wenn der Router ein RS erhält, sendet er in der Regel eine Solicited RA nach – meist innerhalb weniger Millisekunden – damit das Endgerät die Konfiguration ohne Warten auf die nächste Periode erhält.

Inhalt der RA-Messungen:

• RA-Header: ICMPv6 Type 133, All-Link-Multicast-Destination, Link-Scope.
• RA-Optionen (Options): Hier steckt die eigentliche SLAAC-Relevant Information:
  • Prefix Information Option (PIO, Option 24): Enthält den IPv6-Vormix (z. B. 2001:db8::/64), den PrefixLifetime (wie lange der Prefix gültig ist) und PrefixFlags (z. B. Autoconfiguration, No-Router-Solicitation).
  • RtAdv-Options: Router-Solicitation-Intervall (RtAdvInt), RouterLifetime, Minimum RA Interval.
  • Hops Count: Anzeig, wie viele Hops der RA bis zum Gerät gehen (wichtig für Multicast-Routing).
  • Link-Scope: Die RA wird nur auf dem lokalen Link validiert.

Die PIO ist das Herzstück der SLAAC: Sie liefert den Vormix (die ersten 64 oder 48 Bits der Adresse). Ohne PIO wird keine SLAAC-Adressgenerierung durchgeführt.

Schritt-für-Schritt-Ablauf der SLAAC

Phase 1: Interface-Initialisierung und RS-Senden

1. Das IPv6-Stack-Modul am Gerät initialisiert das Interface.
2. Das Gerät erstellt eine Link-Local-Adresse (z. B. fe80::ab12:cd34%eth0) und schickt diese an die All-Link-Adresse ff02::1 über den Neighbor Discovery Protocol.
3. Das Gerät sendet eine Router Solicitation (ICMPv6 Type 134) an ff02::1%eth0.
4. Gleichzeitig beginnt ein DAD (Duplicate Address Detection)-Prozess: Das Gerät schickt eine NS (Neighbor Solicitation)-Nachricht (ICMPv6 Type 135) an die zuprüfenden Link-Local-Adresse fe80::ab12:cd34 und an ff02::1%eth0. Es wartet eine kurze Zeit (ca. 2 Sekunden, konfiguriert), ob eine NS (Neighbor Solicitation)-Antwort (NA) zurückkommt, die eine Duplikat-Anzeige wäre.

Phase 2: Empfang der RA und PIO

5. Der Router empfängt das RS und sendet (optional aber empfohlen) eine Solicited RA (ICMPv6 Type 133) zurück an die All-Link-Multicast-Adresse.
6. Das Gerät empfängt die RA und liest die PIO-Optionen aus.
7. Der Router-Lifetime und Prefix-Lifetime werden in der lokalen SLAAC-Konfiguration gespeichert.
8. Das Gerät erkennt, ob das Autoconfiguration-Flag im PrefixFlags-Field der PIO gesetzt ist. Falls nicht gesetzt, wird keine SLAAC durchgeführt (nur Link-Local).

Phase 3: Generierung des Interface Identifiers (IID)

9. Das Gerät generiert einen Interface Identifier (IID) aus der MAC-Adresse (z. B. durch EUI-64-Konvertierung: 02:42:31:01:02:03 → 0242:3101:02:03:01) oder aus einem randomisierten IID (Privacy Extension, s.u.).
10. Der IID wird an den Vormix aus der PIO angehängt:
    • Prefix: 2001:db8:0:0:0:0:0:0
    • IID (EUI-64): 02:42:31:01:02:03
    • Resultat: 2001:db8:0:0:0:0:0:242:3101:0203 (formatiert: 2001:db8:242:3101:203:0000)

Phase 4: Duplikate-Adress-Detection (DAD) für die globale Adresse

11. Das Gerät schickt eine Neighbor Solicitation (ICMPv6 Type 135) an die neu generierte globale Adresse und an ff02::1%eth0.
12. Es wartet die definierte Zeit (ca. 2 Sekunden). Falls keine Neighbor Advertisement (NA) mit einem Duplicate-Flag zurückkommt, ist die Adresse einig.
13. Der Temporary Address (tc64-Mode) wird markiert.

Phase 5: Privacy Extension – Temporäre Adresse

14. Das Gerät generiert zusätzlich eine Temporary Global Address (Transient Address). Der IID wird randomisiert (RFC 4002: 64 Bits, die ersten 8 Bits sind der Stateful Identifier oder ein Secure-Hash über die MAC, die restlichen Bits sind randomisiert).
15. Die Temporäre Adresse hat eine konfigurierte Lebensdauer (default: 2 Stunden, konfiguriert).
16. Beim Ablauf der Lebensdauer wird ein neues Temporäres IID generiert.
17. Priorität: Die temporäre Adresse wird für outbound-Verbindungen bevorzugt (default), die stabile Adresse für inbound-Verbindungen. Dies ist ein Privacy Enhancement gegen Tracking.
18. Wenn der Privacy Extension deaktiviert ist (z. B. bei bestimmten Systemen wie Servern), wird nur die stabile Adresse verwendet.

Phase 6: Aktivierung der Adresse

19. Die Adresse wird als up (aktiv) markiert.
20. Das Gerät kann jetzt outbound und inbound Verbindungen aufbauen.
21. Für inbound Verbindungen wird die stabile Adresse als default verwendet; für outbound wird die temporäre Adresse bevorzugt (falls vorhanden).

Wichtige Unterschiede: Solicited vs. Unsolicited RA

Aspekt	Unsolicited RA	Solicited RA
Auslöser	Periodisch (Router)	RS-Empfang (Endgerät)
Häufigkeit	Alle 120 s (default)	Sofort nach RS
Zweck	Basiskonfiguration für alle Geräte	Sofortige Konfiguration für neues Gerät
RA-Optionen	Vollständig (PIO, Flags, etc.)	Vollständig (selbstidentisch)
Hops Count	1 (Local)	1 (Local)

Beide RAs enthalten dieselben RA-Optionen, aber die Solicited RA wird nicht an die All-Link-Multicast-Adresse gesendet, sondern an die Link-Scope Adresse. In der Praxis sind beide Multicast-Nachrichten, aber die Solicited RA wird nur an die All-Link-Multicast-Adresse gesendet, während die Unsolicited RA an All-Link und optional an Multicast-Adressen (z. B. für bestimmte VLANs) gesendet werden kann.

NDP-Protokoll im Kontext der SLAAC

Der NDP ist das grundlegende Protokoll, auf das SLAAC aufbaut. Die wichtigsten NDP-Protokolle in der SLAAC-Phase:

• RS (ICMPv6 Type 134): Ankündigung der Anwesenheit, Anfordern einer RA.
• RA (ICMPv6 Type 133): Antwort mit PIO und Konfigurationsparameter.
• NS (ICMPv6 Type 135): Neighbor Solicitation – wird für die DAD gesendet (sowohl für Link-Local als auch für globale Adresse).
• NA (ICMPv6 Type 136): Neighbor Advertisement – Antwort auf NS; kann einen Duplicate-Flag setzen.
• NB (ICMPv6 Type 137): Network-Broadcast – für die Link-Scope-Ankündigung.

Konfigurationsparameter und Grenzen

• PrefixLength: Im PIO wird die Länge des Prefix angegeben (meist /64). Der IID ist die restlichen Bits.
• PrefixLifetime: Wie lange der Prefix als gültig gilt.
• Autoconfiguration-Flag: Wenn nicht gesetzt, wird keine globale Adresse generiert – nur Link-Local.
• No-Router-Solicitation-Flag: Wenn gesetzt, darf das Gerät keine Solicited RAs senden (z. B. für Multicast-Only-Netzwerke).
• Privacy-Extension-Flags: In der PIO kann der Router die Privacy-Extension für die temporäre Adresse aktivieren/deaktivieren.
• DAD-Zeit: Standard ist 2 Sekunden, konfiguriert (z. B. in Linux: /sys/class/net/eth0/ipv6/accept_dups).
• Temporäre Adresse-Lebensdauer: Default 2 Stunden, konfiguriert.

Zusammenfassung

SLAAC ist ein stateless, multicast-basiert Mechanismus, der durch den NDP-Stack realisiert wird. Der Router Solicitation dient als Ankündigung, dass ein Gerät Netzwerk-Konfiguration benötigt, während das Router Advertisement die Vormix-Konfiguration (via PIO) und weitere Parameter bereitstellt. Die EUI-64-Konvertierung oder der randomisierte IID wird lokal generiert, die DAD prüft die Eindeutigkeit, und die Privacy Extension erzeugt temporäre Adressen gegen Tracking. Die gesamte SLAAC-Ablauf ist dezentralisiert: Kein zentrale Adressverteilung, sondern nur ein Vormix vom Router, und ein Interface-Identifier lokal am Gerät.

Das Neighbor Discovery Protocol (NDP) in IPv6

1. Grundlagen

Das Neighbor Discovery Protocol (NDP) ist in RFC 4861 spezifiziert (Vorgänger: RFC 2461). Es regelt die Kommunikation zwischen Knoten, die sich am selben Link befinden, also im selben Layer-2-Segment. Ergänzt wird es durch RFC 4862 (Stateless Address Autoconfiguration, SLAAC) und RFC 3971 (Secure Neighbor Discovery, SEND).

NDP ist kein eigenständiges Protokoll auf eigener Schicht. Es nutzt ICMPv6-Nachrichten und arbeitet damit auf Schicht 3. Das ist ein grundlegender Unterschied zu ARP in IPv4, das direkt auf Schicht 2 aufsetzt (eigener EtherType 0x0806). NDP ist dadurch weitgehend unabhängig vom Übertragungsmedium und kann IPv6-Mechanismen wie Multicast und IPsec nutzen.

2. Die fünf ICMPv6-Nachrichtentypen

Typ	Nachricht	Abkürzung	Zweck
133	Router Solicitation	RS	Host fordert Router-Informationen an
134	Router Advertisement	RA	Router kündigt sich, Präfixe und Parameter an
135	Neighbor Solicitation	NS	Adressauflösung, Erreichbarkeitsprüfung, DAD
136	Neighbor Advertisement	NA	Antwort auf NS bzw. unaufgeforderte Bekanntmachung
137	Redirect	–	Router weist Host auf einen besseren First Hop hin

Sicherheitsmerkmal Hop Limit 255: Alle NDP-Nachrichten werden mit Hop Limit 255 gesendet. Ein Empfänger verwirft NDP-Pakete mit einem anderen Wert. Da jeder Router das Hop Limit dekrementiert, ist damit sichergestellt, dass das Paket nicht von außerhalb des Links stammt (vgl. GTSM-Prinzip).

Wichtige Optionen in NDP-Nachrichten sind:

• Source/Target Link-Layer Address (z. B. MAC-Adresse)
• Prefix Information (Präfix, Präfixlänge, Valid/Preferred Lifetime, L- und A-Flag)
• MTU
• Redirected Header
• RDNSS/DNSSL (DNS-Server und Suchliste, RFC 8106)

3. Die Aufgaben des NDP im Detail

3.1 Router Discovery

Hosts finden Router auf dem Link. Router senden periodisch unaufgeforderte RAs an die All-Nodes-Multicast-Adresse ff02::1. Ein neu startender Host muss nicht auf das nächste periodische RA warten: Er sendet ein RS an ff02::2 (All-Routers) und erhält sofort eine Antwort.

Das RA enthält unter anderem die Router Lifetime. Ein Wert ungleich 0 bedeutet, dass der Router als Default Gateway nutzbar ist. Die Quelladresse eines RAs ist stets die Link-Local-Adresse des Routers. Deshalb verweisen Default-Routen in IPv6 typischerweise auf eine fe80::-Adresse.

3.2 Prefix Discovery

Über die Prefix Information Option teilt der Router mit, welche Präfixe on-link sind (L-Flag). Ziele innerhalb dieser Präfixe werden direkt erreicht, alle anderen über einen Router. Der Host pflegt daraus seine Prefix List.

3.3 Parameter Discovery

RAs übermitteln Link- und Internetparameter:

• Cur Hop Limit: Standardwert für ausgehende Pakete
• MTU des Links
• Reachable Time und Retrans Timer für NUD und NS-Wiederholungen
• Flags, die die Adresskonfiguration steuern:
  • M-Flag (Managed): Adressen per DHCPv6 (stateful) beziehen
  • O-Flag (Other): weitere Parameter (z. B. DNS) per DHCPv6 beziehen
  • A-Flag (in der Prefix Option): SLAAC für dieses Präfix erlaubt
• Optional: Router Preference (RFC 4191) und DNS-Server per RDNSS

3.4 Address Autoconfiguration (SLAAC)

Mithilfe des im RA beworbenen /64-Präfixes erzeugt der Host selbstständig eine globale Adresse. Den Interface Identifier bildet er auf eine von drei Arten:

• Modified EUI-64 aus der MAC-Adresse (heute aus Datenschutzgründen kaum noch verwendet)
• Privacy Extensions / temporäre Adressen (RFC 8981, früher RFC 4941)
• Stabile, semantisch opake IIDs (RFC 7217)

Ein Server ist dafür nicht erforderlich. Die Konfiguration erfolgt zustandslos.

3.5 Address Resolution (Adressauflösung)

Die Adressauflösung ermittelt zu einer IPv6-Adresse die Link-Layer-Adresse. Sie ist das direkte Gegenstück zu ARP und läuft so ab:

1. Host A möchte Host B (z. B. 2001:db8::1234:5678) erreichen.
2. A sendet ein NS an die Solicited-Node-Multicast-Adresse von B. Diese bildet sich aus ff02::1:ff00:0/104 plus den letzten 24 Bit der Zieladresse, hier also ff02::1:ff34:5678. Im NS steckt A's eigene Link-Layer-Adresse (Source Link-Layer Address Option).
3. Nur Knoten, die dieser Multicast-Gruppe angehören, verarbeiten das Paket. Ethernet-seitig wird es an die MAC-Adresse 33:33:ff:34:56:78 zugestellt. Andere Hosts verwerfen es idealerweise schon in der Netzwerkkarte, im Gegensatz zum ARP-Broadcast, den jeder Host verarbeiten muss.
4. B antwortet mit einem Unicast-NA, das seine MAC-Adresse enthält (Flags: S = Solicited, O = Override, R = Router).

Das Ergebnis landet im Neighbor Cache, dem Äquivalent zum ARP-Cache.

3.6 Next-Hop Determination

Anhand von Prefix List, Default Router List und Destination Cache entscheidet der Host für jedes Ziel, ob es direkt (on-link) oder über einen Router erreichbar ist. Er bestimmt also die IP-Adresse des nächsten Hops, deren Link-Layer-Adresse dann per Address Resolution ermittelt wird.

3.7 Neighbor Unreachability Detection (NUD)

NUD ist eine wesentliche Neuerung gegenüber IPv4. Knoten überwachen aktiv, ob Nachbarn noch erreichbar sind. Erreichbarkeit wird bestätigt durch:

• Hinweise höherer Schichten (z. B. TCP-ACKs) oder
• Solicited NAs auf Unicast-NS-Probes.

Ein Eintrag im Neighbor Cache durchläuft dabei folgende Zustände:

Zustand	Bedeutung
INCOMPLETE	Adressauflösung läuft, NS gesendet
REACHABLE	Erreichbarkeit kürzlich bestätigt
STALE	Reachable Time abgelaufen, Eintrag ungeprüft
DELAY	Paket gesendet, Wartezeit auf Bestätigung durch höhere Schichten
PROBE	Aktive Unicast-NS-Probes werden gesendet

Fällt ein Default-Router aus, erkennt NUD dies und der Host wechselt auf einen anderen Router. In IPv4 waren dafür oft First-Hop-Redundancy-Protokolle oder lange ARP-Timeouts nötig.

3.8 Duplicate Address Detection (DAD)

Bevor ein Host eine Adresse nutzt (auch die Link-Local-Adresse), prüft er, ob sie bereits vergeben ist:

• Die Adresse gilt zunächst als tentative.
• Der Host sendet ein NS mit Quelladresse :: (unspecified) an die Solicited-Node-Adresse der eigenen Zieladresse.
• Antwortet jemand mit einem NA, ist die Adresse doppelt vergeben und wird nicht verwendet.
• Bleibt eine Antwort aus (Standard: 1 Versuch, RetransTimer 1 s), wird die Adresse preferred bzw. gültig.

Optimistic DAD (RFC 4429) verkürzt die Wartezeit.

3.9 Redirect

Ein Router informiert einen Host mit einer Redirect-Nachricht (Typ 137), wenn es einen besseren First Hop gibt. Das kann ein anderer Router am selben Link sein oder das Ziel selbst, falls es on-link ist. Der Host aktualisiert daraufhin seinen Destination Cache.

3.10 Weitere Funktionen

• Unsolicited NAs (Gratuitous NA): Ändert sich die Link-Layer-Adresse eines Knotens, etwa bei einem NIC-Wechsel oder Failover, kündigt er dies per NA an ff02::1 an. Das Override-Flag sorgt dafür, dass die Nachbarn ihren Cache aktualisieren. Dies entspricht dem Gratuitous ARP in IPv4.
• Inbound Load Balancing: Ein Knoten mit mehreren Schnittstellen kann in NAs unterschiedliche Link-Layer-Adressen angeben.
• Anycast-Unterstützung: Für Anycast-Adressen wird das Override-Flag nicht gesetzt, damit mehrere Antworten möglich bleiben.

4. Welche IPv4-Protokolle bzw. -Mechanismen ersetzt NDP?

IPv4-Protokoll/Mechanismus	NDP-Ersatz in IPv6	Bemerkung
ARP (Address Resolution Protocol, RFC 826)	Neighbor Solicitation / Neighbor Advertisement	Multicast statt Broadcast, auf Schicht 3 über ICMPv6
Gratuitous ARP	Unsolicited Neighbor Advertisement	Aktualisierung fremder Caches
RARP (Reverse ARP)	Indirekt durch SLAAC	IPv6 kennt kein RARP; Adressen werden selbst erzeugt
ICMP Router Discovery (IRDP, RFC 1256; ICMP-Typ 9/10)	Router Solicitation / Router Advertisement	In IPv4 kaum verbreitet, in IPv6 zentral
ICMP Redirect (ICMPv4-Typ 5)	NDP Redirect (Typ 137)	Erweitert: Ziel kann direkt on-link sein
Teile von DHCP (Default Gateway, Präfix, ggf. DNS)	RA mit Prefix Information, RDNSS, SLAAC	DHCPv6 bleibt optional (M-/O-Flag)
Erkennung doppelter Adressen (ARP Probe, RFC 5227)	Duplicate Address Detection	In IPv6 verpflichtend für jede Unicast-Adresse
Kein echtes Gegenstück	Neighbor Unreachability Detection	Neue Funktion; IPv4 verließ sich auf ARP-Timeouts

Wichtigster Punkt: NDP ersetzt vor allem ARP, ICMP Router Discovery und ICMP Redirect. Zusätzlich übernimmt es in Verbindung mit SLAAC Aufgaben, für die in IPv4 DHCP nötig war.

Wesentliche Verbesserungen gegenüber IPv4

1. Kein Broadcast mehr: Die Solicited-Node-Multicast-Adressen entlasten unbeteiligte Hosts erheblich. In der Praxis gibt es selten Kollisionen der letzten 24 Bit, sodass meist nur ein Host betroffen ist.
2. Medienunabhängigkeit: Da NDP auf ICMPv6 aufbaut, ist kein eigenes Layer-2-Protokoll pro Medientyp nötig.
3. Integrierte Erreichbarkeitsprüfung (NUD) mit schnellerem Failover zwischen Routern.
4. Router-Adressen sind Link-Local: Eine Neunummerierung des Netzes betrifft die Default-Route der Hosts nicht.
5. Absicherungsmöglichkeiten durch Hop Limit 255, IPsec bzw. SEND.
6. Bündelung: Mehrere früher getrennte Funktionen sind in einem einheitlichen Protokoll zusammengefasst.

5. Sicherheitsaspekte

NDP vertraut grundsätzlich allen Knoten am Link und ist damit ähnlich angreifbar wie ARP:

Angriff	Beschreibung	Gegenmaßnahme
NA-Spoofing	Gefälschte NAs leiten Verkehr um (Man-in-the-Middle), analog zu ARP-Spoofing	SEND, ND Inspection, Source Guard
Rogue RA	Ein bösartiger oder falsch konfigurierter Host sendet RAs und wird Default-Gateway oder verteilt falsche Präfixe/DNS-Server	RA Guard (RFC 6105, RFC 7113)
DAD-DoS	Angreifer beantwortet jede DAD-Anfrage, sodass kein Host eine Adresse erhält	SEND, ND Snooping
Neighbor-Cache-Exhaustion	Scans großer /64-Netze füllen den Neighbor Cache des Routers mit INCOMPLETE-Einträgen	Rate Limiting, Begrenzung des Caches, RFC 6583
Redirect-Angriffe	Gefälschte Redirects lenken Verkehr um	Redirects auf Hosts deaktivieren, Prüfung der Quelladresse

SEND (Secure Neighbor Discovery, RFC 3971) sichert NDP kryptografisch ab, unter anderem mit Cryptographically Generated Addresses (CGA, RFC 3972), RSA-Signaturen sowie Zeitstempeln und Nonces gegen Replay-Angriffe. SEND hat sich in der Praxis jedoch kaum durchgesetzt, weil Betriebssysteme es kaum unterstützen. Stattdessen setzt man auf First-Hop-Security-Funktionen in Switches, etwa RA Guard, ND Inspection, IPv6 Snooping, DHCPv6 Guard und IPv6 Source Guard.

Wichtiger Praxishinweis: ICMPv6 darf in IPv6-Netzen nicht pauschal gefiltert werden. Ohne die NDP-Nachrichten (Typ 133–137) funktioniert IPv6 am Link nicht. RFC 4890 gibt Empfehlungen zur Filterung von ICMPv6 in Firewalls.

6. Praxisbeispiele (Diagnose)

• Linux: ip -6 neigh show zeigt den Neighbor Cache mit Zuständen wie REACHABLE oder STALE. Mit rdisc6 eth0 lassen sich RAs anfordern (Paket ndisc6).
• Windows: netsh interface ipv6 show neighbors
• Cisco IOS: show ipv6 neighbors und show ipv6 routers. Mit ipv6 nd ra suppress lassen sich RAs unterdrücken, mit ipv6 nd managed-config-flag wird das M-Flag gesetzt.
• Wireshark-Filter: icmpv6.type >= 133 && icmpv6.type <= 137

7. Zusammenfassung

NDP ist das zentrale Protokoll für die Kommunikation am lokalen Link in IPv6. Es basiert auf fünf ICMPv6-Nachrichten (RS, RA, NS, NA, Redirect) und übernimmt folgende Aufgaben:

• Router Discovery
• Prefix Discovery
• Parameter Discovery
• Address Autoconfiguration (SLAAC)
• Address Resolution
• Next-Hop Determination
• Neighbor Unreachability Detection
• Duplicate Address Detection
• Redirect

Damit ersetzt NDP die IPv4-Protokolle ARP (einschließlich Gratuitous ARP), ICMP Router Discovery (IRDP) und ICMP Redirect. Zusammen mit SLAAC und RDNSS macht es zudem DHCP in vielen Szenarien überflüssig. Gegenüber IPv4 bietet NDP effizientere Multicast-Kommunikation, Medienunabhängigkeit und eine integrierte Erreichbarkeitsprüfung. Es bringt allerdings vergleichbare Sicherheitsrisiken mit sich, denen in der Praxis vor allem mit RA Guard und weiteren First-Hop-Security-Mechanismen begegnet wird.

Das Neighbor Discovery Protocol (NDP) ist in IPv6 der zentrale Mechanismus für die Kommunikation zwischen Geräten auf einem gemeinsamen Link. Es ersetzt nicht nur die Adressauflösung von ARP, sondern bündelt mehrere Funktionen, die in IPv4 über unterschiedliche Protokolle und ICMP-Nachrichten gelöst wurden. NDP besteht aus ICMPv6-Nachrichten mit dem IPv6-Protokollnummer 58 und arbeitet direkt auf Layer 3 über IPv6-Pakete.

Die wichtigsten NDP-Nachrichtentypen sind:

• Router Solicitation (RS), Type 133
• Router Advertisement (RA), Type 134
• Neighbor Solicitation (NS), Type 135
• Neighbor Advertisement (NA), Type 136
• Redirect, Type 137

NDP ist für den grundlegenden Betrieb von IPv6-Netzwerken erforderlich, da Hosts und Router ohne diese Mechanismen weder Nachbarn auflösen noch Router oder Präfixe zuverlässig erkennen können.

---

1. Adressauflösung: Ersatz für ARP

Die bekannteste Aufgabe von NDP ist die Adressauflösung, also die Zuordnung einer IPv6-Adresse zur Link-Layer-Adresse, z. B. der MAC-Adresse auf Ethernet. In IPv4 übernimmt diese Funktion das Address Resolution Protocol (ARP).

Funktionsweise in IPv6

Ein Host möchte ein Paket an eine bekannte IPv6-Zieladresse senden, kennt aber noch nicht die korrespondierende Link-Layer-Adresse. Dann sendet er eine Neighbor Solicitation Nachricht:

• Die NS enthält die gesuchte IPv6-Zieladresse im ICMPv6-Payload.
• Als Quellenadresse wird in der Regel die link-lokale IPv6-Adresse des sendenden Hosts verwendet.
• Ziel der NS ist nicht ein Broadcast, sondern eine spezielle Solicited-Node-Multicast-Adresse.

Die Solicited-Node-Adressen haben das Format:

FF02::1:FFxx:xxxx

Dabei werden die unteren 24 Bit der gesuchten IPv6-Adresse in die Multicast-Gruppe übernommen. Nur Geräte, deren Adresse diese unteren 24 Bits aufweist, müssen die NS bearbeiten. Das reduziert den Broadcast- bzw. Multicast-Verkehr im Vergleich zu ARP erheblich.

Wenn ein Gerät feststellt, dass es die gesuchte Adresse besitzt, antwortet es mit einer Neighbor Advertisement Nachricht:

• Die NA wird normalerweise als Unicast an den Fragenden zurückgesendet.
• Sie enthält die eigene Link-Layer-Adresse bzw. bestätigt die Zuordnung der IPv6-Adresse.
• Der Host kann damit das Paket auf Layer 2 korrekt adressieren.

Abweichungen zu ARP

NDP unterscheidet sich von ARP in mehreren Punkten:

1. Kein Broadcast für normale Nachbarschaftsaufgaben
   ARP fragt typischerweise per Ethernet-Broadcast FF:FF:FF:FF:FF:FF. NDP verwendet dagegen Solicited-Node-Multicast und Unicast-Nachrichten.

2. Protokollebene
   ARP ist eng an die Link-Layer-Adresse gekoppelt und definiert Hardware-Typen wie Ethernet oder Token Ring. NDP arbeitet auf IPv6-Ebene und ist dadurch stärker von der konkreten Link-Layer-Technologie entkoppelt, auch wenn es praktisch weiterhin über L2 läuft.

3. Integration mit weiteren Funktionen
   NDP ist nicht nur eine Adressauflösung, sondern enthält zusätzlich Router Discovery, Prefix Discovery, Duplicate Address Detection und Neighbor Unreachability Detection.

Daher ersetzt NDP in dieser Funktion primär ARP.

---

2. Router Discovery: Ersatz für ICMPv4 Router Discovery

In IPv4 gab es mit dem ICMP Router Advertisement bzw. dem ICMP Router Discovery Protocol einen Mechanismus, mit dem Hosts Router auf einem Link erkennen konnten. Dieser Mechanismus war jedoch weniger weitreichend und in der Praxis oft nicht so zentral wie NDP in IPv6.

NDP übernimmt diese Aufgabe deutlich umfassender über zwei Nachrichtentypen:

Router Solicitation (RS)

Ein Host sendet beim Start oder bei Bedarf eine Router Solicitation, um aktiv nach Rautern auf dem Link zu fragen. Typische Einsatzfälle sind:

• Boot des Hosts
• Verlust der IPv6-Konfiguration
• Fehlende Router-Advertisement-Nachrichten über einen bestimmten Zeitraum

Die RS wird in der Regel an die All-Nodes-Multicast-Adresse FF02::1 gesendet.

Router Advertisement (RA)

Router senden periodisch oder auf RS hin Router Advertisement Nachrichten. Diese enthalten wichtige Informationen für Hosts:

• Default-Router-Lebensdauer
• Link MTU
• Reachable Time und Retrans Timer für Neighbor Unreachability Detection
• Hop-Limit-Vorschläge
• Präfixe, z. B. globale IPv6-Präfixe oder link-lokale Präfixe
• Flags wie:
  • Managed Address Configuration Flag (M)
  • Other Configuration Flag (O)

Über diese Flags steuert der Router, ob Hosts für die Adresszuordnung und zusätzliche Parameter DHCPv6 verwenden sollen.

SLAAC und stateful DHCPv6

NDP ist eng mit der IPv6-Adresskonfiguration verknüpft:

• Stateless Address Autoconfiguration (SLAAC)
  Wenn ein RA ein autonomes Präfix enthält, kann sich der Host eine globale IPv6-Adresse selbst bilden. Er kombiniert das Präfix mit einem Interface-Identifier, z. B. aus EUI-64 oder einer zufälligen Privacy-Extension.

• Stateful DHCPv6
  Wird das M-Flag gesetzt, sollen Hosts ihre Adressen über DHCPv6 beziehen. NDP liefert dann vor allem Router- und Präfixinformationen, während DHCPv6 die stateful Adressverteilung übernimmt.

• Other Configuration via DHCPv6
  Wird nur das O-Flag gesetzt, können Hosts z. B. DNS-Server oder andere Parameter über DHCPv6 abrufen, auch wenn die IPv6-Adresse selbst per SLAAC erzeugt wird.

In diesem Bereich ersetzt NDP vor allem das ICMPv4 Router Discovery Protocol / ICMPv4 Router Advertisement. Zusätzlich deckt es einfache Adressverteilungsanforderungen ab, die in alten IPv4-Szenarien teilweise mit RARP oder BOOTP gelöst wurden, ersetzt aber DHCP nicht vollständig.

---

3. Prefix Discovery und automatische Konfiguration

NDP ermöglicht Hosts, Präfixe auf dem Link zu entdecken. Diese Präfixe sind entscheidend für:

• Bildung globaler IPv6-Adressen
• Bestimmung, welche Ziele direkt erreichbar sind
• Auswahl der richtigen nächsten Hop-Routern
• Konfiguration von DHCPv6-Verhalten über M/O-Flags

Ein RA kann mehrere Prefix Information Options enthalten. Wichtige Felder sind:

• Präfixlänge
• On-Link-Flag (L)
  Zeigt an, dass das Präfix direkt auf dem Link erreichbar ist.
• Autonomous Flag (A)
  Zeigt an, dass Hosts aus diesem Präfix ihre eigene Adresse ableiten dürfen.
• Preferred Lifetime
  Zeitraum, in dem eine Adresse bevorzugt verwendet werden sollte.
• Valid Lifetime
  Zeitraum, in dem eine Adresse insgesamt gültig bleibt.

Damit kann NDP ohne DHCPv6 bereits eine vollständige IPv6-Konnektivität ermöglichen: Der Host erhält Präfix und Default Router und bildet sich seine eigene globale Adresse. Dies war in IPv4 nicht in vergleichbarer Form durch ein einzelnes Protokoll gegeben.

---

4. Duplicate Address Detection (DAD)

Eine wichtige Sicherheits- und Betriebsfunktion von NDP ist die Duplicate Address Detection. Bevor ein Host eine neue unicast IPv6-Adresse verwendet, prüft er, ob diese Adresse bereits auf dem Link vergeben ist.

Ablauf

1. Der Host bildet oder konfiguriert eine neue IPv6-Adresse.
2. Er sendet eine Neighbor Solicitation mit dieser Adresse als Zieladresse im Payload.
3. Die Quellenadresse der NS ist in diesem Fall die Unspecified Address ::.
4. Wenn ein anderes Gerät die gleiche Adresse besitzt, antwortet es mit einer Neighbor Advertisement.
5. Wird keine NA empfangen, gilt die Adresse auf dem Link als eindeutig und kann verwendet werden.

DAD verhindert IP-Adresskonflikte auf Link-Ebene. In IPv4 gab es dafür kein vergleichbar standardisiertes, universell eingesetztes Protokoll. DHCP konnte Konflikte teilweise erkennen, aber statische IPv4-Konfigurationen wurden meist manuell geprüft.

Für geteilte Anycast-Adressen kann DAD problematisch sein, da mehrere Geräte dieselbe Adresse bewusst verwenden können. Deshalb wird DAD in der Praxis oft nur für eindeutige Unicast-Adressen strikt angewendet und bei bestimmten AnyCast-Szenarien angepasst oder deaktiviert.

---

5. Neighbor Unreachability Detection (NUD)

NDP verwaltet einen Neighbor Cache, in dem bekannte Nachbaradressen und deren Zustand gespeichert werden. Der zustandsbasierte Betrieb ist ein wichtiger Unterschied zu ARP, das einfacher altert und bei Fehlern weniger strukturiert reagiert.

Typische Zustände im Neighbor Cache sind:

• Incomplete
  Die Adressauflösung läuft noch, es liegt keine gültige NA vor.
• Reachable
  Der Nachbar wurde erfolgreich bestätigt.
• Stale
  Der Eintrag ist abgelaufen, aber ohne aktiven Fehler weiterhin verfügbar.
• Delayed
  Nach einem Sendefehler wird kurz gewartet, bevor aktiv geprüft wird.
• Probe
  Der Host sendet eine Neighbor Solicitation, um die Erreichbarkeit aktiv zu überprüfen.

Wenn ein Paket an einen Nachbar gesendet werden soll und der Eintrag im Zustand Stale ist, kann NDP bei einem Fehler in den Probe-Zustand wechseln und eine NS senden. Wird keine NA empfangen, wird der Nachbar als unerreichbar markiert und höhere Protokolle können neu routen oder erneut versuchen.

NUD ersetzt kein einzelnes IPv4-Protokoll direkt, verbessert aber die Zuverlässigkeit der Nachbarschaftskommunikation erheblich. In IPv4 gab es ähnliche Mechanismen eher auf Betriebssystemebene oder durch ICMP-Fehlermeldungen, nicht jedoch als integraler Teil einer standardisierten Neighbor Discovery Suite.

---

6. Redirect-Nachrichten: Ersatz für ICMP Redirect

Ein Router kann in bestimmten Fällen einem Host mitteilen, dass ein besserer nächster Hop für ein Ziel auf demselben Link existiert. Dafür verwendet NDP die ICMPv6 Redirect Nachricht.

Szenario

Ein Host sendet ein Paket an einen Router. Der Router erkennt jedoch:

• Das Ziel liegt direkt auf demselben Link.
• Ein anderes Gerät, z. B. ein anderer Router oder Anycast-Nachbar, ist näher am Ziel.

Dann kann der Router eine Redirect-Nachricht an den Host senden und diesen direkt ansprechen lassen.

Vergleich zu IPv4

In IPv4 existieren ebenfalls ICMP Redirect Nachrichten. In der Praxis werden diese jedoch häufig deaktiviert, weil sie:

• Sicherheitsrisiken bieten
• zu unnötigem Traffic führen können
• bei fehlerhafter Konfiguration Probleme verursachen
• in komplexen Netzen nicht immer sinnvoll sind

Auch in IPv6 gilt: Redirects sind nur von Routern erlaubt, sollten ratelimited werden und werden in vielen Umgebungen aus Sicherheitsgründen eingeschränkt oder deaktiviert. Dennoch ist die Funktionalität konzeptionell eine Weiterentwicklung des ICMPv4 Redirect-Mechanismus.

---

7. Sicherheitliche Bedeutung von NDP

NDP ist besonders sicherheitskritisch, weil es grundlegende Funktionen wie Adressauflösung und Routerauswahl steuert. Ein Angreifer auf demselben Link kann theoretisch:

• gefälschte Neighbor Solicitations oder Neighbour Advertisements senden
• Traffic zu einer falschen MAC-Adresse umleiten
• eigene als Default-Routern ausgeben
• präfixbasierte Routing-Probleme verursachen
• DHCPv6-Verhalten über manipulierte RAs beeinflussen

Wichtige Schutzmaßnahmen sind:

• RA Guard
  Filtert unerwünschte Router Advertisements auf Access-Ports.
• Doppelte Authentifizierung oder Port Security
  Verhindert, dass beliebige Geräte als Router auftreten.
• Rate Limiting für NDP-Nachrichten
  Schützt gegen Floods mit NS/NA/RA.
• Quellenprüfung
  NDP-Nachrichten sollten in der Regel von link-lokalen IPv6-Adressen stammen und einen Hop-Limit-Wert von 255 haben.
• Vertrauenswürdige Interfaces definieren
  Nur bestimmte Ports oder VLANs dürfen RA senden.
• Kryptografische Erweiterungen
  Es existieren kryptografisch geschützte Optionen für ICMPv6, etwa SEC-Optionen, diese sind aber in der Praxis meist durch Netzwerkdesign und Guard-Mechanismen ergänzt oder ersetzt.

NDP kann deshalb technisch funktionieren, ist aber ohne Schutzmaßnahmen anfällig für Spoofing auf dem lokalen Segment.

---

8. Zusammenfassung: Welche IPv4-Protokolle/Mechanismen werden ersetzt?

NDP ist nicht nur „IPv6-ARP“, sondern ein Bündel von Funktionen. Die wichtigsten ersetzten oder ersetzen teilweise folgende IPv4-Mechanismen:

IPv4-Mechanismus	NDP-Funktion in IPv6	Anmerkung
ARP	Adressauflösung über NS/NA	Ersetzt ARP; verwendet Solicited-Node-Multicast statt Broadcast.
ICMPv4 Router Discovery / ICMPv4 RA	Router Discovery über RS/RA	NDP ist vollständiger integriert und liefert Präfixe, Flags, MTU, Lifetimes etc.
ICMP Redirect	ICMPv6 Redirect	Gleiche Grundidee, jedoch mit stärkeren Sicherheits- und Betriebsvorgaben; oft eingeschränkt.
RARP / einfache BOOTP-ähnliche IP-Zuweisung	Stateful oder stateless Adresskonfiguration über RA + ggf. DHCPv6	In einfachen Szenarien kann NDP die Grundadresszuweisung übernehmen, ersetzt aber nicht alle Funktionen von DHCP/BOOTP.

Wichtig ist dabei: NDP ersetzt DHCP nicht vollständig.
IPv4-DHCP bot viele Dienste wie IP-Adressverteilung, Gateway-Zuweisung, DNS-Konfiguration und Leasing-Verwaltung. In IPv6 kann NDP über RA Präfixe und Default Router bereitstellen, während DHCPv6 weiterhin für stateful Adresszuordnung, DNS-Server, zusätzliche Optionen und zentrale Verwaltung verwendet wird.

---

Fazit

Das Neighbor Discovery Protocol übernimmt in IPv6 mehrere zentrale Aufgaben der Nachbarschaftskommunikation:

1. Adressauflösung zwischen IPv6-Adresse und Link-Layer-Adresse
2. Router Discovery durch RS/RA
3. Prefix Discovery und Unterstützung von SLAAC
4. Duplicate Address Detection zur Vermeidung doppelter Unicast-Adressen
5. Neighbor Unreachability Detection für zuverlässige Nachbarkommunikation
6. Redirect als Mechanismus für bessere nächste Hops auf demselben Link

Es ersetzt damit vor allem:

• ARP
• das ICMPv4 Router Discovery Protocol / ICMPv4 Router Advertisement
• konzeptionell den ICMP Redirect
• in einfachen Konfigurationsszenarien teilweise RARP/BOOTP-ähnliche Funktionen

Am wichtigsten ist jedoch die Erkenntnis, dass NDP ein integraler Bestandteil der IPv6-Architektur ist. Es ist nicht nur eine Alternative zu ARP, sondern bildet das Fundament für lokale IPv6-Konnektivität, automatische Adresskonfiguration und zuverlässige Nachbarschaftskommunikation.

Neighbor Discovery Protocol (NDP) in IPv6 – Aufgaben und ersetzte IPv4-Mechanismen

Das Neighbor Discovery Protocol, kurz NDP, ist ein zentraler Mechanismus für die lokale Kommunikation in IPv6-Netzwerken. Es ist nicht als separates Protokoll mit eigener Protokollnummer definiert, sondern wird über ICMPv6-Nachrichten realisiert. Die wichtigsten NDP-Nachrichten sind:

• Router Solicitation (RS), ICMPv6-Typ 133
• Router Advertisement (RA), ICMPv6-Typ 134
• Neighbor Solicitation (NS), ICMPv6-Typ 135
• Neighbor Advertisement (NA), ICMPv6-Typ 136
• Redirect Message, ICMPv6-Typ 137

NDP arbeitet auf der Grenze zwischen Layer 2 und Layer 3. Es nutzt dabei die in IPv6 standardmäßig vorhandenen Link-Local-Adressen aus dem fe80::/10-Bereich, Multicast-Adressen wie die All-Nodes-Adresse ff02::1, die All-Routers-Adresse ff02::2 sowie Solicited-Node-Multicast-Adressen, die aus den letzten 24 Bit einer IPv6-Adresse abgeleitet werden.

Kurz gesagt: NDP übernimmt in IPv6 die lokale Nachbarerkennungs-, Adressauflösungs- und Routerentdeckungsfunktionalität, die in IPv4 durch mehrere getrennte Mechanismen wie ARP, ICMP-Router-Discovery und teilweise DHCP bzw. statische Konfiguration übernommen wurde.

---

1. Aufgaben des NDP im Einzelnen

a) Adressauflösung – Neighbor Address Resolution

Eine der wichtigsten Aufgaben von NDP ist die Auflösung einer bekannten IPv6-Adresse in eine Layer-2-Adresse, beispielsweise eine MAC-Adresse auf Ethernet oder eine andere Link-Layer-Kennung.

Wenn ein Host ein IPv6-Paket an einen Nachbar im selben Segment senden möchte und zwar die Ziel-IPv6-Adresse kennt, aber nicht die zugehörige Layer-2-Adresse, sendet er eine Neighbor Solicitation-Nachricht. Diese enthält als Target Address die gesuchte IPv6-Adresse.

Die NS wird dabei nicht, wie bei ARP in IPv4, Broadcast an alle Knoten im Segment gesendet, sondern an die Solicited-Node-Multicast-Adresse des Zielknotens. Nur der Knoten mit dieser IPv6-Adresse nimmt die Nachricht entgegen und antwortet mit einer Neighbor Advertisement-Nachricht. Die NA enthält die Layer-2-Adresse des Antworters in einem Target Link-Layer Address Option Field.

Der anfragende Host speichert diese Zuordnung im sogenannten Neighbor Cache. Bei späteren Paketen kann er dann direkt auf die bekannte Layer-2-Adresse zurückgreifen.

Diese Funktion ist das direkte IPv6-Äquivalent zu ARP in IPv4, arbeitet jedoch multicastbasiert und ist stärker in ICMPv6 integriert.

---

b) Duplicate Address Detection – DAD

Bevor ein Host eine neue IPv6-Adresse auf einem Interface verwendet, prüft er mit Duplicate Address Detection, ob diese Adresse bereits von einem anderen Knoten im selben Link genutzt wird.

Das Verfahren funktioniert so: Der Host konfiguriert die Adresse zunächst als tentative address, also als vorläufige Adresse. Danach sendet er eine Neighbor Solicitation für genau diese Adresse. Wenn ein anderer Knoten im Segment auf die NA antwortet, bedeutet das, dass die Adresse bereits vergeben ist. In diesem Fall verwirft der Host die Adresse oder behandelt sie als Konflikt.

DAD verhindert damit Adresskonflikte, die in IPv6 besonders kritisch sein können, weil viele Adressen automatisch konfiguriert werden. In IPv4 gibt es kein vollständig vergleichbares Standardprotokoll auf derselben Ebene; dort übernimmt DHCP teilweise Konfliktschutz oder die Adresse wird manuell verwaltet.

---

c) Router Discovery – Entdeckung von Default-Routern

IPv6-Hosts müssen wissen, welche Knoten im lokalen Segment als Default-Router fungieren können. Dafür dient der Austausch von Router Solicitation und Router Advertisement.

Ein Host sendet beim Start oder bei fehlenden Routern eine Router Solicitation an die All-Routers-Multicast-Adresse ff02::2. Router antworten mit einer Router Advertisement. Zusätzlich senden Router in regelmäßigen Abständen auch nicht angeforderte RA-Nachrichten an die All-Nodes-Adresse ff02::1.

In der RA kann ein Router unter anderem mitteilen:

• dass er als Default-Router verfügbar ist,
• wie lange diese Funktion gültig ist,
• welche Präfixe im Segment erreichbar sind,
• welche Parameter für den Link gelten.

Damit kann sich ein Host ohne manuelle Konfiguration einen oder mehrere Default-Routers heraussuchen. In IPv4 erfolgt die Default-Gateway-Konfiguration häufig statisch oder über DHCP. Ein eigenständiges, breit eingesetztes ICMP-Router-Discovery-Protokoll war in IPv4 selten; theoretisch existierte dafür das ICMP Router Discovery Protocol, auch IRDP oder RDISC genannt.

---

d) Prefix Discovery – Entdeckung von Netzpräfixen

Die Router Advertisement enthält sogenannte Prefix Information Options. Damit werden IPv6-Präfixe an die Hosts im Segment verteilt.

Typischerweise handelt es sich um /64-Präfixe, aus denen Hosts eigene globale oder lokale Adressen ableiten können. Die Prefix Option kann unter anderem folgende Informationen enthalten:

• Länge des Präfixes,
• Valid Lifetime: wie lange die Adresse gültig ist,
• Preferred Lifetime: wie lange sie bevorzugt genutzt werden soll,
• Flags wie Autoconfiguration, Managed Configuration und On-Link-Status.

Auf dieser Basis kann IPv6 stateless address autoconfiguration, kurz SLAAC, betreiben. Der Host kombiniert das erkannte Präfix mit einem Interface-Identifier, etwa aus einer EUI-64-Ableitung oder einer zufällig generierten Kennung, zu einer vollständigen IPv6-Adresse.

Diese Funktion ersetzt nicht vollständig DHCP, sondern kann in vielen einfachen Szenarien die manuelle Adressvergabe oder eine rein stateless IPv4-DHCP-artige Konfiguration ersetzen. Für DNS-Server, Domain-Suchlisten oder staatliche Adressverwaltung wird in IPv6 häufig weiterhin DHCPv6 eingesetzt.

---

e) Parameter Discovery – Entdeckung von Link-Parametern

NDP dient auch zur Übermittlung wichtiger Netzparameter. Die Router Advertisement kann beispielsweise folgende Informationen enthalten:

• Link MTU: die maximale Paketgröße des lokalen Segments,
• Default Hop Limit: der Standardwert für das Hop-Limit-Feld in IPv6-Paketen,
• Reachable Time: Zeitdauer, bevor ein Nachbar als stale gilt,
• Retrans Timer: Wiederholszeit für Neighbor Solicitations.

Diese Parameter ermöglichen es Hosts, ihr Verhalten automatisch anzupassen. In IPv4 werden solche Werte oft statisch konfiguriert oder über DHCP verteilt. Das ICMP Router Discovery Protocol hätte in IPv4 ähnliche Funktionen übernehmen können, wurde aber praktisch kaum eingesetzt.

---

f) Neighbor Unreachability Detection – NUD

NDP verwaltet den Neighbor Cache nicht nur passiv, sondern führt eine Art Zustandsmaschine für Nachbareinträge durch. Ein Eintrag kann beispielsweise erreichbar, stale oder unerreichbar sein.

Wenn ein Host feststellt, dass Pakete an einen Nachbar fehlschlagen, prüft er über weitere Neighbor Solicitations, ob der Nachbar noch erreichbar ist. Dadurch wird verhindert, dass veraltete Layer-2-Zuordnungen zu sogenannten Black Holes führen.

Diese Funktion ähnelt dem Altering von ARP-Einträgen in IPv4, ist in NDP aber stärker standardisiert und in die ICMPv6-basierte Nachbarerkennung integriert.

---

g) Redirect Messages – Empfehlung eines besseren Next Hops

Ein Router kann einem Host mitteilen, dass es für eine bestimmte Zieladresse einen besseren Next Hop im selben Segment gibt. Dafür sendet er eine Redirect Message.

Beispiel: Ein Host schickt ein Paket über den Default-Router, obwohl die Ziel-IPv6-Adresse sich direkt auf dem lokalen Link befindet und ein anderer Nachbar der bessere Weiterleitungspunkt wäre. Der Router kann dann einen Redirect senden.

Diese Funktion entspricht dem ICMP Redirect aus IPv4, dort ICMP-Typ 5. In der Praxis werden Redirects oft eingeschränkt oder deaktiviert, weil sie Sicherheits- und Performanzprobleme verursachen können. Dennoch ist die Funktionalität Teil des NDP.

---

2. Welche IPv4-Protokolle oder -Funktionen werden durch NDP ersetzt?

Die wichtigsten ersetzten Mechanismen aus der IPv4-Welt sind:

Funktion	In IPv6 übernommen durch NDP	Typische IPv4-Lösung
Auflösung einer IP-Adresse in eine Layer-2-Adresse	Neighbor Solicitation / Neighbor Advertisement	ARP
Entdeckung von Default-Routern	Router Solicitation / Router Advertisement	Statische Konfiguration, DHCP, selten ICMP Router Discovery Protocol / IRDP/RDISC
Verteilung von Netzparametern wie MTU oder Hop Limit	Prefix Information und Parameter-Optionen in RA	DHCP, statische Konfiguration, ICMP Router Discovery
Stateless Adresszuweisung	SLAAC über RA	Teilweise DHCPv4, manuelle Konfiguration
Empfehlung eines besseren Next Hops im selben Segment	ICMPv6 Redirect Message	ICMPv4 Redirect
Erkennung unerreichbarer Nachbarn	Neighbor Unreachability Detection	ARP-Aging, aber weniger formalisiert

Wichtig ist dabei die Abgrenzung:

ARP wird vollständig ersetzt – zumindest für IPv6

Für IPv6-Adressen wird in einem IPv6-Segment nicht ARP verwendet. Die Adressauflösung erfolgt über NS/NA-Nachrichten im Rahmen von NDP. In dual-stack-Umgebungen, in denen sowohl IPv4 als auch IPv6 aktiv sind, kann ARP weiterhin für IPv4 und NDP parallel für IPv6 laufen.

ICMP Router Discovery wird funktional ersetzt

In IPv4 existierte das ICMP Router Discovery Protocol, oft IRDP oder RDISC genannt. Es sollte Hosts die Verfügbarkeit von Routern mitteilen können. In der Praxis wurde es jedoch selten eingesetzt, weil DHCP und statische Konfiguration üblicher waren. In IPv6 ist die entsprechende Funktion fest in NDP integriert und wird über RA/RS-Nachrichten realisiert.

ICMP Redirect wird durch NDP-Redirect ersetzt

Die Redirect-Funktionalität aus IPv4, bei der ein Router einem Host einen besseren nächsten Hop im lokalen Segment vorschlägt, existiert auch in IPv6 als ICMPv6 Redirect Message. Sie ist also nicht neu, aber Teil des NDP-Gesamtkonzepts.

DHCP wird nicht vollständig ersetzt

NDP kann teilweise Funktionen von DHCP ersetzen, insbesondere die stateless Adresszuweisung über SLAAC. Es ersetzt jedoch nicht alle DHCP-Funktionen. Für staatliche Adressvergabe, DNS-Konfiguration oder zentrale Verwaltung wird in IPv6 häufig weiterhin DHCPv6 verwendet.

Man kann also sagen: NDP ersetzt nicht „DHCP“ als Ganzes, sondern übernimmt eine Teilmenge seiner Funktionen für die lokale, stateless Konfiguration.

RARP ist funktional überholt, aber nicht direkt durch NDP ersetzt

In älteren IPv4-Systemen wurde RARP, Reverse Address Resolution Protocol, verwendet, um aus einer MAC-Adresse eine IP-Adresse zu erhalten. In IPv6 entfällt diese Funktion weitgehend, weil Hosts ihre Link-Local-Adresse selbst ableiten können und globale Adressen über Präfixe plus Interface-Identifier bilden. Eine direkte RARP-Nachricht im NDP gibt es nicht; die Notwendigkeit wird durch SLAAC und NDP abgedeckt.

---

3. Abgrenzung: Was NDP nicht ersetzt

NDP ersetzt keine Routing-Protokolle wie RIP, OSPF oder BGP. Es handelt sich um einen Link-Local-Mechanismus, der nur für den direkten Nachbar im selben Segment relevant ist. Auch DNS wird durch NDP nicht ersetzt, obwohl RA in bestimmten Erweiterungen Informationen über DNS-Server enthalten kann.

Darüber hinaus sind NDP-Nachrichten standardmäßig nicht authentifiziert. Damit können sie theoretisch manipuliert werden: Ein Angreifer könnte beispielsweise gefälschte Router Advertisements senden, um Hosts zu einem falschen Default-Router zu leiten, oder Neighbor Advertisements nutzen, um Pakete an eine eigene MAC-Adresse umzuleiten. Gegenmaßnahmen sind unter anderem SEND, das Secure Neighbor Discovery, sowie RA Guard auf Switches, der unsachgemäße RA-Nachrichten von Nicht-Router-Ports filtert.

---

Fazit

NDP ist in IPv6 der zentrale Mechanismus für die lokale Nachbarkommunikation. Es übernimmt unter anderem Adressauflösung, Duplicate Address Detection, Router Discovery, Prefix Discovery, Parameter Discovery, Neighbor Unreachability Detection und Redirect-Funktionen. Damit ersetzt es vor allem ARP sowie die Router-Discovery- und Redirect-Funktionalität aus IPv4. DHCP wird nur teilweise in seinen stateless Adressvergabe-Funktionen ergänzt oder ersetzt, während Routing-Protokolle, DNS und staatliche DHCPv6-Dienste weiterhin eigenständige Rollen behalten.

Das Neighbor Discovery Protocol (NDP) ist in IPv6 ein zentrales Protokoll für die lokale Kommunikation auf einem Netzwerksegment. Es ist definiert in RFC 4861 und nutzt als Transportmechanismus ICMPv6. NDP ist damit nicht wie ARP in IPv4 ein separates Layer-2-Protokoll, sondern eine Sammlung von ICMPv6-Nachrichten, die über IP transportiert werden. Die wichtigsten Nachrichtenarten sind:

ICMPv6-Typ	Nachricht	Zweck
133	Router Solicitation (RS)	Anfrage an Roter im lokalen Segment
134	Router Advertisement (RA)	Antwort des Routers, enthält Prefixes, Flags, MTU etc.
135	Neighbor Solicitation (NS)	Adresse eines Nachbarn auflösen oder DAD durchführen
136	Neighbor Advertisement (NA)	Antwort auf NS oder unsolicited NA
137	Redirect	Hinweis an Host, dass ein besserer nächster Hop verfügbar ist

NDP übernimmt mehrere Aufgaben, die in IPv4 durch verschiedene Protokolle verteilt waren. Am wichtigsten sind: Router Discovery, Prefix Discovery / automatische Adresskonfiguration, Adressauflösung, Duplicate Address Detection (DAD), Neighbor Unreachability Detection und optional Redirects.

---

1. Router Discovery – Ersetzung von ICMP Router Discovery Protocol in IPv4

In IPv6 müssen Hosts erkennen können, ob es im lokalen Segment Roter gibt, welche Präfixe sie verwenden dürfen und welche Parameter gelten. Dazu dient das Router Solicitation / Router Advertisement (RS/RA)-Verfahren.

Ein Host sendet beim Starten einer Schnittstelle oder bei Bedarf eine Router Solicitation-Nachricht an die Multicast-Adresse der Roter:

ff02::2 – All-Routers Multicast

Roter antworten darauf mit einem Router Advertisement. Zusätzlich senden Roter in regelmäßigen Abständen unsolicited Router Advertisements, typischerweise an:

ff02::1 – All-Nodes Multicast

Ein Router Advertisement kann unter anderem enthalten:

• Default Router Lifetime: Wie lange der Host den Absender als Standard-Gateway verwenden darf. Bei 0 bedeutet das, dass der Sender nicht als Default Router betrachtet werden soll.
• Prefix Information Options: Welche IPv6-Präfixe im Segment gültig sind.
• Valid Lifetime und Preferred Lifetime für die Präfixe.
• Managed Address Configuration Flag (M): Gibt an, ob der Host für stateful Konfiguration DHCPv6 verwenden soll.
• Other Stateful Configuration Flag (O): Zeigt an, dass weitere Parameter wie DNS-Server über DHCPv6 bezogen werden sollten.
• Link MTU: Kann die maximale Transmission Unit des Links mitteilen.

Damit ersetzt NDP in IPv6 das in IPv4 optional vorhandene ICMP Router Discovery Protocol bzw. IRDP. In IPv4 wurde Router Discovery nur selten eingesetzt; in IPv6 ist es ein grundlegender Bestandteil der lokalen Netzwerkkommunikation.

---

2. Prefix Discovery und automatische Adresskonfiguration – teilweise Ersetzung von RARP / stateless DHCP-Funktionen

Eine zentrale Aufgabe von NDP ist die Unterstützung der Stateless Address Autoconfiguration, kurz SLAAC. Ein IPv6-Host kann seine eigene Adresse ohne zentrale Konfigurationsstelle ableiten, wenn ein Router im Segment Präfixe durch Router Advertisements bekanntgibt.

Der typische Ablauf sieht so aus:

1. Der Host erzeugt auf jeder Schnittstelle eine link-lokale Adresse aus dem Präfix fe80::/10.
2. Diese wird oft mit einer EUI-64-Kombination aus der MAC-Adresse oder durch eine zufällige, privacy-freundliche Interface-Identität erzeugt.
3. Vor Verwendung der globalen Adresse prüft der Host über Duplicate Address Detection, ob die Adresse bereits vergeben ist.
4. Der Host sendet Router Solicitations.
5. Roter antworten mit Router Advertisements und liefern ein Netzwerkpräfix, z. B. 2001:db8:abcd::/64.
6. Der Host bildet daraus eine globale IPv6-Adresse, beispielsweise aus EUI-64 oder Privacy Extension gemäß RFC 4941.

Dadurch kann NDP in vielen einfachen Szenarien die Notwendigkeit einer zentralen Adresszuweisung wie in IPv4 durch RARP oder stateless DHCP-Funktionen ersetzen. Wichtig ist jedoch: NDP/SLAAC ersetzt nicht vollständig DHCPv6, wenn zusätzliche Parameter benötigt werden, etwa DNS-Server, NTP, TFTP oder andere Stateful-Konfigurationen. In solchen Fällen wird typischerweise DHCPv6 zusätzlich verwendet.

Die IPv4-Analogie wäre hier eine Mischung aus RARP, BOOTP/DHCP und maneller Konfiguration. In IPv6 kann NDP allein Adressen, Router-Informationen und Präfixe bereitstellen; für erweiterte Dienste bleibt DHCPv6 relevant.

---

3. Address Resolution – Ersetzung von ARP

Die bekannteste Funktion von NDP ist die Adressauflösung. Wenn ein Host eine IPv6-Paket an einen Nachbarn im selben Link senden möchte, muss er die Ziel-IPv6-Adresse in die Layer-2-Zieladresse, z. B. MAC-Adresse, übersetzen.

In IPv4 übernimmt das Address Resolution Protocol, kurz ARP, diese Aufgabe über Broadcast-Nachrichten: „Wer hat die IP-Adresse X? Bitte antworte mit deiner Hardware-Adresse.“

In IPv6 macht NDP dasselbe, aber effizienter und ohne Broadcast auf dem lokalen Segment. Statt eines ARP-Broadcasts verwendet der Host eine Neighbor Solicitation-Nachricht an die sogenannte Solicited-Node Multicast Address des Ziels.

Für eine Zieladresse wie:

2001:db8:abcd::1234

wird aus den letzten 24 Bit die Solicited-Node-Multicast-Adresse gebildet, z. B.:

ff02::1:ff34:1234

Nur das Zielgerät und Geräte mit ähnlichen Adresssuffixen lauschen auf diese Multicast-Gruppe. Das reduziert den Traffic gegenüber IPv4-Broadcasts erheblich.

Die Neighbor Solicitation enthält die gesuchte Zieladresse. Der empfangende Host antwortet mit einer Neighbor Advertisement, die seine Layer-2-Adresse in einem Link-Layer Address Option mitschickt.

NDP kann auch unsolicited Neighbor Advertisements senden, ähnlich dem „Gratuitous ARP“ aus IPv4. Das wird beispielsweise verwendet, wenn ein Gerät eine neue Adresse erhält, seine MAC-Adresse wechselt oder eine Cache-Einträge aktualisieren möchte.

Damit ersetzt NDP die zentrale Funktion von ARP:

IPv4	IPv6/NDP
ARP Request	Neighbor Solicitation
ARP Reply	Neighbor Advertisement
Broadcast-basiert	Multicast-basierend, solicited-node
Cache-Einträge für IP/MAC-Paare	Neighbor Cache mit Zuständen wie reachable, stale, probe

NDP verwaltet außerdem einen Neighbor Cache. Die Zustände können grob so aussehen:

• Incomplete: Noch keine Layer-2-Adresse bekannt.
• Reachable: Nachbarschaft erfolgreich bestätigt.
• Stale: Zuletzt bekannt, aber nicht mehr aktiv geprüft.
• Delay/Probe: Bei Problemen wird durch Neighbor Solicitation erneut geprüft.

---

4. Duplicate Address Detection – zusätzliche IPv6-spezifische Aufgabe

Eine wichtige NDP-Aufgabe ist das Duplicate Address Detection, DAD. Bevor ein Host eine global gültige oder link-lokale Adresse dauerhaft verwendet, muss er prüfen, ob diese Adresse bereits im lokalen Segment vergeben ist.

Dafür sendet der Host eine Neighbor Solicitation mit der zu prüfenden Tentative-Adresse an die All-Nodes-Multicast-Adresse:

ff02::1

Wenn ein anderer Host antwortet, bedeutet das, dass die Adresse doppelt vergeben wurde und verworfen werden muss. Wenn keine Antwort kommt, darf der Host die Adresse verwenden.

In IPv4 gab es kein gleichwertiges, standardisiertes DAD-Verfahren auf gleicher Ebene. Zwar kann man in IPv4 über DHCP oder ARP-Manipulationen Konflikte erkennen, aber in IPv6 ist DAD ein integraler Bestandteil der Adresskonfiguration nach RFC 4862 und NDP.

---

5. Neighbor Unreachability Detection – Ersatz für unzuverlässige ARP-Cache-Verwaltung

NDP prüft nicht nur einmalig die Erreichbarkeit eines Nachbarn, sondern überwacht den Zustand laufend. Wenn ein Paket an einen Nachbar gesendet wird und keine Antwort kommt oder Layer-2-Fehler auftreten, kann der Host den Cache-Eintrag als problematisch markieren und erneut eine Neighbor Solicitation senden.

Dies verhindert, dass ein Gerät dauerhaft eine veraltete MAC-Adresse für eine IPv6-Adresse nutzt. In IPv4 kann ARP-Cache ebenfalls fehlerhaft werden, aber das Verfahren ist weniger strukturiert. NDP definiert genauere Zustände und Prüfmechanismen.

Beispiel:

1. Host A will an Host B senden.
2. Der Neighbor Cache zeigt eine MAC für B, die aber veraltet ist.
3. Host A schickt NS an die Solicited-Node-Multicast von B.
4. Wenn B nicht antwortet oder ein anderer Host antwortet, wird der Cache aktualisiert.

Damit unterstützt NDP zuverlässigere Nachbarschaftskommunikation auf Link-Ebene.

---

6. Redirect – Ersetzung von ICMPv4 Redirects

Ein Router kann einem Host mitteilen, dass eine bestimmte Zieladresse direkt im lokalen Segment erreichbar ist und ein bestimmter nächster Hop besser genutzt werden kann. Dazu verwendet IPv6 die Redirect-Nachricht vom ICMPv6-Typ 137.

In IPv4 existiert ebenfalls der ICMP Redirect, der oft aus Sicherheits- und Stabilitätsgründen deaktiviert wird. In IPv6 ist Redirect Teil von NDP, wird aber in vielen Umgebungen ebenfalls eingeschränkt oder deaktiviert, weil es zu ungewünschten Routing-Änderungen oder Missbrauch führen kann.

NDP-Redirects sind also funktional eine Weiterentwicklung des IPv4-ICMP-Redirect-Mechanismus, jedoch seltener im täglichen Einsatz relevant als Adressauflösung und Router Discovery.

---

7. Zusammenfassung: Welche IPv4-Protokolle werden durch NDP ersetzt?

NDP bündelt mehrere Funktionen, die in IPv4 über verschiedene Mechanismen verteilt waren. Die wichtigsten Ersatzbeziehungen sind:

Funktion	IPv4-Mechanismus	IPv6/NDP-Ersatz
Adressauflösung IP zu MAC	ARP	Neighbor Solicitation / Neighbor Advertisement
Router Discovery und Gateway-Informationen	ICMP Router Discovery Protocol, manuelle Konfiguration, DHCP	Router Solicitation / Router Advertisement
Automatische Adresszuweisung ohne Server	RARP, teilweise stateless DHCP, manuelle Konfiguration	SLAAC via NDP + Prefixes aus RA
Weiterleitungshinweise an Hosts	ICMP Redirect v4	ICMPv6 Redirect
Lokale Erreichbarkeitsprüfung und Cache-Pflege	ARP-Cache-Verhalten, fehlende einheitliche Standards	Neighbor Unreachability Detection, DAD, Neighbor Cache States

Wichtig ist die Einschränkung: NDP ersetzt nicht alle Funktionen von DHCP in IPv4. Es kann Adressen, Präfixe und Router-Informationen bereitstellen. Für stateful Konfiguration, DNS, NTP oder zentrale Verwaltung bleibt DHCPv6 relevant. NDP und DHCPv6 sind also komplementäre Mechanismen.

---

8. Sicherheitsrelevante Aspekte von NDP

NDP ist in IPv6 unverzichtbar, aber auch ein potenzieller Angriffsvektor. Da Hosts Router Advertisements vertrauen können, kann ein Angreifer im lokalen Segment gefälschte RAs senden und so:

• falsche Präfixe verteilen,
• sich als Default Router ausgeben,
• Traffic umleiten,
• DNS-Einträge oder andere Optionen manipulieren.

Auch Neighbor Solicitation/Advertisement können zu Cache-Poisoning führen, wenn ein Angreifer gefälschte NAs sendet und so IPv6-Adressen auf falsche MAC-Adressen abbildet.

Typische Schutzmaßnahmen sind:

• RA Guard auf Switches oder Gateways,
• Filterung unerwünschter ICMPv6-Nachrichten,
• Rate Limiting für RS/NS/NA,
• Verwendung von Secure Neighbor Discovery, SEND, optional nach RFC 3971,
• Segment Isolation und Netzwerk-Monitoring.

In der Praxis wird NDP häufig als sicherer betrachtet als ARP in IPv4, weil keine Broadcasts verwendet werden und Multicast-Ziele klar definiert sind. Dennoch ist es ein kritischer Bestandteil des lokalen Netzwerks und muss abgesichert werden.

---

9. Kurzantwort auf die Kernfrage

Das Neighbor Discovery Protocol übernimmt in IPv6 vor allem folgende Aufgaben:

1. Router Discovery: Hosts finden Roter im Segment über Router Solicitations und Advertisements.
2. Prefix Discovery / SLAAC: Hosts konfigurieren sich eigene globale IPv6-Adressen aus präfixbasierten Informationen des Routers.
3. Address Resolution: NDP löst IPv6-Adressen in Layer-2-Adressen um, ersetzt also ARP.
4. Duplicate Address Detection: Prüft, ob eine Adresse bereits im Segment vergeben ist.
5. Neighbor Unreachability Detection: Überwacht die Erreichbarkeit von Nachbarn und pflegt den Neighbor Cache.
6. Redirects: Kann Hosts über einen besseren nächsten Hop informieren.

Dadurch ersetzt NDP in IPv6 insbesondere:

• ARP für Adressauflösung,
• ICMP Router Discovery Protocol aus IPv4,
• teilweise Funktionen von RARP / stateless DHCP, soweit nur Adressen und lokale Parameter benötigt werden,
• sowie die Funktion von ICMP Redirect v4.

NDP ist damit das fundamentale Protokoll für lokale Kommunikation in IPv6-Netzen. Es verbindet Layer 3 und Layer 2, ermöglicht automatische Konfiguration ohne zentrale Server und sorgt dafür, dass Hosts untereinander zuverlässig kommunizieren können.

Das Neighbor Discovery Protocol (NDP) ist das zentrale lokale Entdeckungs-, Auflösungs- und Konfigurationsmechanismus in IPv6. Es ist in RFC 4861 definiert und arbeitet auf einem direkt verbundenen Netzsegment. Im Kern übernimmt NDP Funktionen, die in IPv4 durch verschiedene Mechanismen gelöst wurden – vor allem durch ARP für die Adressauflösung und durch Router-Discovery-Mechanismen wie ICMPv4-Router-Werbung bzw. älteres RDP. Zusätzlich kann NDP bestimmte lokale Parameterverteilungs-Funktionen übernehmen, die in IPv4 häufig über BOOTP/DHCP gelöst wurden, ersetzt diese aber nicht vollständig.

1. Grundprinzip von NDP

NDP nutzt keine eigenen proprietären Protokollpakete im klassischen Sinne, sondern baut auf ICMPv6-Meldungen und Link-Local-Multicast-Adressen auf. Typische ICMPv6-Typen sind:

• Router Solicitation (RS)
  Von Hosts gesendet, um Router-Werbung anzufordern.
• Router Advertisement (RA)
  Von Routern gesendet, um Prefixe, Default-Gateways und Parameter bekannt zu machen.
• Neighbor Solicitation (NS)
  Zur Adressauflösung oder zur Duplicate Address Detection verwendet.
• Neighbor Advertisement (NA)
  Antwort auf eine Nachbaranfrage und enthält die zugehörige Link-Layer-Adresse.

Wichtig ist, dass IPv6 im lokalen Segment grundsätzlich keine Broadcasts nutzt. Statt ARP-Broadcasts verwendet NDP Multicast. Besonders relevant sind:

• All-Nodes-Multicast: ff02::1
  Wird von allen IPv6-Knoten auf dem Link gehört; z. B. für Router Solicitations und Router Advertisements.
• Solicited-Node-Multicast: ff02::1:<letzte 64-Bit der Zieladresse>
  Wird zur gezielten Adressauflösung verwendet. Ein Node, dessen IPv6-Adresse mit den letzten 64 Bit übereinstimmt, empfängt die Nachricht.

Durch diese Multicast-Mechanismen bleibt NDP skalierbarer und verhält sich im lokalen Segment deutlich selektiver als ARP in IPv4.

---

2. Hauptaufgaben des Neighbor Discovery Protocol

2.1 Adressauflösung im lokalen Netzsegment

Die wichtigste klassische Aufgabe von NDP ist die Adressauflösung: Ein Host möchte wissen, welche MAC-Adresse bzw. welche Link-Layer-Adresse zu einer bestimmten IPv6-Adresse auf demselben Segment gehört.

In IPv4 erfüllt ARP diese Aufgabe: Eine Broadcast-Anfrage fragt „Wer hat diese IPv4-Adresse?“, und der zugehörige Node antwortet mit seiner MAC-Adresse.

In IPv6 funktioniert das über NDP so:

1. Der Host sendet eine Neighbor Solicitation (NS).
2. Die NS wird an die Solicited-Node-Multicast-Adresse des Zielknotens gesendet.
3. Der Zielknoten antwortet mit einer Neighbor Advertisement (NA) direkt an den Sender.
4. In der NA befindet sich typischerweise eine Option wie Targeted Link Layer Address (TLLA), also die MAC-Adresse des Knotens.

NDP verwaltet dafür einen Cache für Adressauflösungen. Die Antwort enthält Flags, insbesondere:

• Solicited-Flag: zeigt an, dass die NA als Antwort auf eine NS gesendet wurde.
• Override-Flag: kann verwendet werden, um bestehende Einträge im Adressauflösungscache zu überschreiben, z. B. wenn sich die Link-Layer-Adresse geändert hat.

Damit ersetzt NDP in diesem Punkt direkt das Address Resolution Protocol (ARP) aus IPv4. Der Unterschied ist jedoch wichtig: ARP basiert auf Broadcast, während NDP auf Multicast und gezieltere Solicited-Node-Multicast-Adressen setzt.

---

2.2 Duplicate Address Detection (DAD)

Ein zentrales Merkmal von IPv6 ist die Duplicate Address Detection, abgekürzt DAD. Bevor ein Host eine neue IPv6-Adresse auf einem Interface verwendet, muss er prüfen, ob diese Adresse bereits von einem anderen Node im selben Segment verwendet wird.

Das Verfahren läuft ungefähr so:

1. Der Host wählt oder erhält eine kandidate IPv6-Adresse.
2. Er sendet eine Neighbor Solicitation mit dieser Adresse als Zieladresse.
3. In der NS ist das Solicited-Flag gesetzt, und die eigene Link-Layer-Adresse wird normalerweise nicht als Source-Option mitgegeben.
4. Falls ein anderer Node dieselbe Adresse verwendet, antwortet er mit einer Neighbor Advertisement.
5. Wird eine NA erhalten, gilt die Adresse als doppelt belegt und darf nicht verwendet werden.
6. Bleibt keine Antwort aus mehreren Proben heraus, wird die Adresse als verfügbar betrachtet.

DAD ist besonders wichtig für:

• automatisch generierte IPv6-Adressen nach SLAAC (Stateless Address Autoconfiguration),
• manuell konfigurierte globale oder link-local Adressen,
• Änderungen von Interface-Adressen.

Ohne DAD könnte es in einem Segment zu Konflikten kommen, wenn zwei Nodes dieselbe IPv6-Adresse verwenden. In IPv4 gibt es kein direkt vergleichbares Pflichtverfahren auf gleicher Ebene; ARP kann doppelte Adressen nicht zuverlässig verhindern, sondern nur die zugehörige MAC auflösen.

---

2.3 Router Discovery und Prefix Discovery

NDP ist auch dafür verantwortlich, dass Hosts herausfinden:

• welche Routern im lokalen Segment verfügbar sind,
• welche Prefixe als on-link gelten,
• welche Default-Gateways konfiguriert werden können,
• welche Parameter wie MTU oder Hop Limit für das lokale Netz relevant sind.

Hosts senden dafür Router Solicitation (RS) Meldungen an den All-Nodes-Multicast ff02::1. Routern antworten mit Router Advertisement (RA). RA-Pakete enthalten unter anderem:

• Prefixe, z. B. globale /64-Prefixe oder link-local Prefixe,
• Flags wie L für on-link und A für automatische Adresskonfiguration,
• Gültigkeitsdauern der Prefixe,
• die Lifetime des werbenden Routers als Default Gateway,
• MTU-Angaben,
• Hop Limit-Angaben,
• optional DNS-Server-Listen oder Domain Search Lists.

Damit kann ein Host seine globale IPv6-Adresse automatisch aus einem on-link Prefix und einer Interface-ID ableiten – das ist die Grundlage von SLAAC. Gleichzeitig erfährt der Host, welche Router als Default-Gateways dienen.

Diese Funktion entspricht in IPv4 am ehesten dem Router Discovery über ICMPv4-Router-Werbung oder älteren Mechanismen wie RDP. In IPv6 ist diese Fähigkeit jedoch fester Bestandteil des lokalen Neighbor Discovery und eng mit Adresskonfiguration, Prefix-Information und Gateway-Auswahl verbunden.

---

2.4 Parameter Discovery

Neben Router- und Prefix-Information kann NDP weitere lokale Netzparameter bereitstellen. Über RA-Optionen können z. B. folgende Informationen verteilt werden:

• MTU des lokalen Segments,
• Hop Limit,
• DNS-Server-Adressen,
• Domain Search Lists,
• andere lokale Konfigurationsparameter.

Damit kann NDP in manchen Umgebungen Funktionen übernehmen, die in IPv4 häufig durch DHCP oder BOOTP gelöst wurden – insbesondere wenn es um die Bereitstellung lokaler Parameter geht.

Wichtig ist aber: NDP ersetzt nicht vollständig DHCP bzw. DHCPv6. Wenn ein Host eine stateful zugewiesene globale IPv6-Adresse benötigt, z. B. aus einer zentralen Adresspool-Vergabe, bleibt DHCPv6 der passende Mechanismus. NDP liefert vor allem lokale, linkbezogene Informationen und kann zusätzlich DNS-Parameter bereitstellen, ist aber kein Allzweck-Ersatz für完整的 DHCP-Server-Logik.

---

2.5 Neighbor Unreachability Detection

NDP unterstützt auch die Erkennung, ob ein Nachbar im lokalen Segment nicht mehr erreichbar ist oder ob sich dessen Link-Layer-Adresse geändert hat.

Ein typischer Ablauf:

1. Ein Host versucht, einen bekannten Nachbarn zu kontaktieren.
2. Er sendet eine Neighbor Solicitation an den vermuteten Knoten.
3. Antwortet der Knoten nicht, oder wird er als nicht erreichbar gemeldet, kann der Host den Cache-Eintrag als stale bzw. unreachable markieren.
4. Der Host kann die Anfrage erneut senden oder nach Ablauf einer Zeit den Eintrag entfernen.

Damit vermeidet IPv6, dass ein Node dauerhaft auf eine veraltete MAC-Adresse wartet. In IPv4 erfüllt ARP ebenfalls ähnliche Funktionen durch Retry-Mechanismen und Aging von Cache-Einträgen, aber NDP integriert diese Logik stärker in die ICMPv6-basierte Neighbor Discovery.

---

3. Welche IPv4-Protokolle werden durch NDP ersetzt?

Im engeren Sinn ersetzt NDP vor allem zwei Gruppen von IPv4-Mechanismen:

IPv4-Mechanismus	NDP-Gegenstück	Bedeutung
ARP	Neighbor Solicitation / Neighbor Advertisement (NS/NA)	Lokale Auflösung von IPv6-Adressen zu Link-Layer-Adressen.
ICMPv4 Router Discovery / RDP	Router Solicitation / Router Advertisement (RS/RA)	Entdeckung lokaler Router, Prefixe und Default-Gateways.

3.1 Ersetzt ARP

ARP ist in IPv4 das Standardverfahren zur Auflösung von IP-Adressen zu MAC-Adressen im lokalen Segment. NDP übernimmt diese Funktion, nutzt aber ICMPv6 statt ARP-Paketen und Multicast statt Broadcast.

Der wesentliche Unterschied:

• IPv4/ARP: Broadcast-Anfrage an alle Nodes des Segments.
• IPv6/NDP: Gezielte Solicited-Node-Multicast-Anfrage.

Das macht NDP effizienter, da weniger nicht betroffene Nodes die Anfrage verarbeiten müssen. Gleichzeitig bleibt das Verfahren auf das lokale Netzsegment beschränkt: Für entfernte Hosts wird weiterhin Routing oder DNS verwendet, nicht NDP.

3.2 Ersetzt ICMPv4-Router-Discovery-Mechanismen

In IPv4 gab es Mechanismen, über die Hosts Router im lokalen Segment erkennen konnten. Dazu gehörten insbesondere ICMPv4-Router-Advertisement-Nachrichten und ältere Standardisierungsvorläufer wie RDP. Diese Verfahren sollten Hosts informieren, welche Default-Gateways verfügbar sind und welche Netzparameter relevant sind.

NDP übernimmt diese Aufgabe in IPv6 deutlich weiter entwickelt:

• Router Advertisements liefern nicht nur Gateway-Informationen,
• sondern auch Prefixe, MTU, Hop Limit und optionale DNS-Parameter.
• Hosts können aktiv Router Solicitations senden.
• Die Information ist direkt mit der lokalen Adresskonfiguration verknüpft.

Damit ist NDP kein bloßer Ersatz für eine einzelne ICMPv4-Funktion, sondern ein umfassendes lokales Discovery-Framework.

3.3 Teilweise Übernahme von BOOTP/DHCP-Funktionen

NDP kann in manchen Fällen auch Funktionen übernehmen, die in IPv4 typischerweise über DHCP oder BOOTP gelöst wurden – vor allem wenn es um lokale Parameter wie Prefixe, MTU, Hop Limit oder DNS-Server geht.

Allerdings ist diese Aussage mit Vorsicht zu lesen:

• DHCP vergibt häufig Adressen stateful aus einem Server verwalteten Pool.
• NDP verteilt dagegen primär lokale Informationen und unterstützt staatless IPv6-Adresskonfiguration.
• Für stateful globale IPv6-Adressen wird weiterhin DHCPv6 benötigt, nicht NDP.

Daher ersetzt NDP nicht DHCP als Ganzes, aber es kann in bestimmten Szenarien die Abhängigkeit von DHCP für lokale Discovery-Aufgaben verringern.

---

4. Abgrenzung: Was NDP nicht ersetzt

NDP ist ein lokales Protokoll. Es ersetzt keine globalen Routing-Protokolle wie RIP, OSPF oder BGP. Auch ersetzt es DNS nicht und übernimmt keinen vollständigen Adressverteilungsprozess im Sinne eines zentralen DHCP-Servers.

Es ist vielmehr das IPv6-Äquivalent zu:

1. ARP für lokale Adressauflösung,
2. Router Discovery für lokale Gateway- und Prefix-Erkennung,
3. teilweise Parameterverteilung, die in IPv4 oft über DHCP/BOOTP oder ICMP-Mechanismen erfolgte.

Fazit

Das Neighbor Discovery Protocol übernimmt in IPv6 mehrere zentrale lokale Aufgaben: Es löst IPv6-Adressen zu Link-Layer-Adressen auf, erkennt Router und Prefixe, verteilt lokale Netzparameter, prüft doppelte Adressen über DAD und überwacht die Erreichbarkeit von Nachbarn. Damit ersetzt NDP im Wesentlichen ARP sowie die Router-Discovery-Mechanismen aus IPv4, insbesondere ICMPv4-basierte Router-Werbung bzw. ältere RDP-Ansätze. Zusätzlich kann es bestimmte lokale Konfigurationsfunktionen übernehmen, die in IPv4 häufig über BOOTP/DHCP gelöst wurden, ist aber kein vollständiger Ersatz für DHCP oder globale Routing-Protokolle.

Das Neighbor Discovery Protocol (NDP) in IPv6

1. Einleitung

Das Neighbor Discovery Protocol (NDP) ist ein fundamentales Protokoll der IPv6-Architektur, das in RFC 4861 definiert ist. Es bildet das Herzstück der IPv6-Lokalisierung auf der Datenlink-Ebene und übernimmt zahlreiche Funktionen, die in IPv4 durch verschiedene, oft fragmentiert eingesetzte Protokolle und Mechanismen erfüllt wurden. Während ARP (Address Resolution Protocol) in IPv4 eine relativ einfache, ungeschützte Funktion auf der L2/L3-Grenze erfüllt, ist NDP ein vielschichtiger Mechanismus, der Adressauflösung, Router- und Prefix-Discovery, Adressänderungsbenachrichtigung und Redirects zusammenführt.

2. Hauptaufgaben des NDP

2.1 Adressauflösung (Ersatz von ARP)

Die zentrale Aufgabe des NDP ist die Zuordnung eines IPv6-Adresses einer link-layer-Adresse (z. B. MAC-Adresse). Bei einem Neighbor Solicitation (NS)-Message, das als Multicast- oder Unicast-Message gesendet wird, fragt ein Node nach der link-layer-Adresse eines bestimmten IPv6-Adresses. Die Antwort erfolgt über eine Neighbor Advertisement (NA)-Message, die die link-layer-Adresse und ggf. zusätzlich die IPv6-Adresse des sendenden Nodes enthält.

Wichtige Unterschiede zum ARP:

• NDP nutzt Multicast (link-local multicast Adresse ff02::1:2 für Solicitation, ff02::1 für Unicast-Solicitation-Antworten) statt Broadcast, was die Netzwerklast reduziert und eine bessere Skalierbarkeit ermöglicht.
• NDP unterstützt sowohl stateful als auch stateless Operation. Bei stateful NDPs (z. B. in der SLAAC-Konfiguration) muss die Adressauflösung durch den Router bestätigt werden, was zusätzliche Sicherheit bietet.
• NDP besitzt keine eingebauten Rate-Limits (im Gegensatz zum ARP, der zwar in der Praxis durch Hardware begrenzt wird, aber keinen Standard-Mechanismus kennt).
• NDP ermöglicht Anycast-Adressen auf die Adresse des Nodes, die den Multicast-Antwortenpfad überträgt.

2.2 Router Discovery (Ersatz von ICMPv4 Router Discovery)

In IPv4 wurden Router durch ICMP Router Discovery-Messages (ICMP-Type 103) lokalisiert. Diese waren allerdings nur für IPv4-Subnetze gültig und erforderten eine manuelle Konfiguration auf den Hosts. NDP übernimmt diese Funktion über das Paar Router Solicitation (RS) und Router Advertisement (RA).

• Der Node sendet eine RS (ICMPv6-Type 134) als Multicast-Message an ff02::2 (alle Router im Prefix), um angebotene Router-Informationen auszulösen.
• Die RA (ICMPv6-Type 133) enthält u. a. die Prefixen (Subnets), die der Router für dieses Segment bereitstellt, die Lifespan (Lebensdauer) der Adressen, die SLAAC-Parameter (z. B. ob stateless autoconfiguration aktiv ist), MTU-Werte und ggf. Security-Informationen (DAI).

RA-Messages werden periodisch vom Router gesendet (Typischerweise alle 120 Sekunden), auch wenn keine explizite Solicitation erfolgt.

2.3 Prefix Discovery

Durch die Router Advertisements kann ein Node vorhandene IPv6-Prefixe im lokalen Segment lernen. Dies ist eine zentrale Voraussetzung für die stateless Address Autoconfiguration (SLAAC): Der Node kombiniert den advertised Prefix mit dem link-layer-Adresse (z. B. MAC-Adresse) und erzeugt eine globale IPv6-Adresse (EUI-64 oder EUI-80/96-Mechanismen). NDP ist hier der Mechanismus, über den der Node weiß, dass ein bestimmter Prefix in diesem Segment gültig ist.

2.4 Adressänderungsbenachrichtigung

Wenn ein Node seine IPv6-Adresse ändert (z. B. durch Umkonfiguration oder Migration in ein neues Segment), muss er seine Neighbour Table-Einträge aktualisieren. Dafür sendet der Node eine Unicast Neighbor Solicitation an die alten IPv6-Adressen, die er auf der link-layer-Ebene kennt. Die empfangende Seite antwortet mit einer Neighbor Advertisement, die die neue Adresse enthält. Dies verhindert, dass alte, veraltete Einträge in den Nachbarentabellen bestehen bleiben und Paketverluste verursachen.

2.5 Redirect Messages

Falls ein Paket an eine link-local-Adresse eines Nachbarn gerichtet ist, der nicht direkt im lokalen Segment erreichbar ist, kann der Router eine Redirect-Message (ICMPv6-Type 168) senden. Diese informt den Sender, dass der Zielnode in einem anderen Segment liegt und eine bestimmte Gateway-Adresse verwenden soll. In IPv4 entsprach dies der ICMP Redirect (Type 8); NDP überträgt diesen Mechanismus in das IPv6-Umfeld und ermöglicht damit korrekte Routereingaben.

2.6 Multicast- und Anycast-Support

NDP ist integral mit dem IPv6-Multicast-Mechanismus verknüpft. Die Multicast-Adressen ff02::1 (alle Nodes), ff02::2 (alle Router) und ff02::1:2 (all-nodes multicast, für NS) sind standardmäßig für NDP reserviert. Zusätzlich unterstützt NDP Anycast-Adressen: Wenn ein Multicast-Message an eine Anycast-Adresse gesendet wird, beantwortet nur der Node, der den kürzesten Pfad hat, die Neighbor Advertisement. Dies ist besonders in großen IPv6-Netzwerken mit mehreren gleichzeitigen Nodes nützlich.

3. NDP-Nachrichtstypen im Überblick

Type	Name	Zweck
NS (Type 133)	Neighbor Solicitation	„Welche ist deine Link-Layer-Adresse für diese IPv6-Adresse?"
NA (Type 134)	Neighbor Advertisement	„Hier ist meine Link-Layer-Adresse, und hier ist meine IPv6-Adresse"
RS (Type 135)	Router Solicitation	„Bitte sende mir eine Router Advertisement"
RA (Type 133)	Router Advertisement	„Diese Prefixe und Router-Infos sind in diesem Segment gültig"
Redirect (Type 168)	Redirect	„Für diesen Zielnode nutze bitte dieses Gateway"

(Hinweis: Die ICMPv6-Typen für NDP sind in RFC 4861 Tabelle 5 festgelegt.)

4. Vergleich: NDPs ersetzt folgende IPv4-Mechanismen

IPv6-NDP-Funktion	Ersetztes IPv4-Protokoll / Mechanismus
Address Resolution (NS/NA)	ARP (IEEE 802.3, RFC 826)
Router Discovery (RS/RA)	ICMP Router Discovery (ICMP-Type 103, RFC 1002)
Redirect	ICMP Redirect (ICMP-Type 8, RFC 791)
Prefix Discovery (RA)	Teilweise: ICMP Router Discovery + DNS (für Subnetze) – in IPv4 gab es keine automatische Prefix-Entdeckung
Address Change Notification	In IPv4: keine native Funktion (manuell oder über DHCP)
Multicast-based resolution	In IPv4: keine native Funktion (ARP nutzt Broadcast)

Wichtig: NDP ersetzt keine ICMPv4-Echo-Requests (Ping). ICMPv6-Echo-Requests (Type 8) und Echo-Replies (Type 9) bleiben eigenständig. NDP ist ein L2/L3-Discovery-Mechanismus, keine Diagnose- oder Ping-Mechanismus.

5. Sicherheit und Authentifizierung

Ein historischer Schwachpunkt von ARP war, dass es keine Authentifizierung besitzt und leicht gespritzt (ARP-Spoofing/Cache Poisoning) werden kann. NDP bietet mehrere Schutzmechanismen:

• DAI (DHCPv6 Authentication Information): Die Router Advertisements können mit DAI-signierten Hashes versehen werden (RFC 5967, RFC 5061), die die Authentizität des RA-Quells garantieren. Dies ermöglicht eine stateful Address Autoconfiguration, bei der der Router die Adressen signiert.
• IPv6 Authentication (SAML): Für den Transport der NDP-Messages selbst ist der Einsatz von Security Association (SAML) möglich, der eine end-to-end-Authentifizierung zwischen den Nodes gewährleistet.
• Stateful Address Autoconfiguration: Durch den Einsatz von DAI kann der Router sicherstellen, dass ein Node nur Adressen zuweisen kann, die durch den Router autorisiert sind, und so Address Spoofing verhindert.

Trotzdem bleibt NDP in der Praxis oft ungeschützt (stateless NDP), was den Einsatz von NDP Security Extensions (z. B. in der IETF-Norm NDP Security: IPv6 Address Autoconfiguration with DAI, RFC 6049) und SAML-Extensions (RFC 6204) als Best-Practice empfiehlt.

6. Zusammenfassung

NDP ist das Kernprotokoll der IPv6-Lokalisierung und ersetzt in einer klaren 1:1- und 1:2-Mapping-Struktur die wichtigsten IPv4-Entdecken-Mechanismen:

• ARP → NS/NA (Adressauflösung)
• ICMP Router Discovery → RS/RA (Router- und Prefix-Discovery)
• ICMP Redirect → NDP Redirect (Routereingaben)

Zusätzlich bietet NDP Funktionen, die in IPv4 nicht existierten (Adressänderungsbenachrichtigung, Multicast-basierte Auflösung, stateful/stateless Autoconfiguration-Support), was die IPv6-Architektur insgesamt robuster, skalierbarer und sicherheitsbewusster macht. Die Integration von NDP in den ICMPv6-Umfeld (als Teil von ICMPv6-Message-Typen) erlaubt eine einheitliche, einfache Implementierung in allen IPv6-stützenden Nodes und ist eine der wichtigsten architektonischen Verbesserungen gegenüber IPv4.

Das Neighbor Discovery Protocol (NDP) in IPv6

1. Grundlagen und Zweck

Das Neighbor Discovery Protocol (NDP) ist eines der zentralen Protokolle von IPv6. Es ist in RFC 4861 spezifiziert (Nachfolger von RFC 2461). Die zustandslose Adressautokonfiguration (SLAAC) ist eng damit verzahnt und in RFC 4862 beschrieben.

NDP arbeitet auf der Vermittlungsschicht und nutzt ICMPv6-Nachrichten (Next Header = 58) als Transportmechanismus. Es fasst Funktionen zusammen, die in IPv4 auf mehrere Protokolle verteilt waren:

IPv4-Mechanismus	Entsprechung in IPv6 (NDP)
ARP (Address Resolution Protocol)	Neighbor Solicitation / Neighbor Advertisement
ICMP Router Discovery (RFC 1256)	Router Solicitation / Router Advertisement
ICMP Redirect	ICMPv6 Redirect
Gratuitous ARP (teilweise)	Duplicate Address Detection, unaufgeforderte NA
DHCP (teilweise)	SLAAC über Router Advertisements

Ein wesentlicher Unterschied zu ARP: ARP ist ein eigenes Protokoll direkt auf Schicht 2 (EtherType 0x0806) und nutzt Broadcasts. NDP läuft dagegen über IPv6/ICMPv6 und verwendet Multicast, insbesondere die Solicited-Node-Multicast-Adresse. Dadurch werden nur die Hosts gestört, die tatsächlich betroffen sein könnten, und Sicherheitsmechanismen auf IP-Ebene (z. B. SEND) sind anwendbar.

2. Funktionen von NDP

RFC 4861 definiert neun Aufgaben:

1. Router Discovery – Hosts finden Router im lokalen Segment.
2. Prefix Discovery – Hosts erfahren, welche Präfixe „on-link" sind.
3. Parameter Discovery – z. B. MTU des Links, empfohlenes Hop Limit.
4. Address Autoconfiguration – Grundlage für SLAAC.
5. Address Resolution – Auflösung von IPv6-Adressen in Link-Layer-Adressen (MAC).
6. Next-Hop Determination – Entscheidung, ob ein Ziel direkt oder über einen Router erreichbar ist.
7. Neighbor Unreachability Detection (NUD) – Prüfung, ob ein Nachbar noch erreichbar ist.
8. Duplicate Address Detection (DAD) – Sicherstellen, dass eine Adresse eindeutig ist.
9. Redirect – Router teilen Hosts einen besseren First-Hop mit.

3. Die fünf ICMPv6-Nachrichtentypen

3.1 Router Solicitation (RS) – ICMPv6-Typ 133

Zweck: Ein Host fordert Router auf, sofort ein Router Advertisement zu senden, statt auf das nächste periodische RA zu warten. Das geschieht typischerweise beim Hochfahren oder beim Aktivieren eines Interfaces.

Adressierung:

• Quelle: Link-Local-Adresse des Hosts (oder ::, falls noch keine Adresse vorhanden ist)
• Ziel: All-Routers-Multicast FF02::2

Optionen: Optional die Source Link-Layer Address Option. Diese darf nicht enthalten sein, wenn die Quelladresse :: ist.

3.2 Router Advertisement (RA) – ICMPv6-Typ 134

Zweck: Router kündigen ihre Präsenz sowie Netzparameter an. Das geschieht periodisch (unsolicited) oder als Antwort auf ein RS (solicited). RAs sind die Grundlage für SLAAC und für die Default-Gateway-Konfiguration.

Adressierung:

• Quelle: immer die Link-Local-Adresse des Routers
• Ziel: All-Nodes-Multicast FF02::1, als Antwort auf ein RS ggf. auch Unicast

Wichtige Felder:

• Cur Hop Limit: empfohlenes Hop Limit für ausgehende Pakete
• M-Flag (Managed Address Configuration): Adressen sollen per DHCPv6 (stateful) bezogen werden
• O-Flag (Other Configuration): weitere Informationen (z. B. DNS) per stateless DHCPv6
• Router Lifetime: Gültigkeit als Default-Router in Sekunden; 0 bedeutet „kein Default-Router"
• Reachable Time / Retrans Timer: Parameter für NUD und Neuübertragungen
• Default Router Preference (RFC 4191): High/Medium/Low

Optionen:

• Prefix Information Option (PIO): Präfix, Präfixlänge, L-Flag (on-link), A-Flag (für SLAAC nutzbar), Valid Lifetime, Preferred Lifetime
• MTU-Option
• Source Link-Layer Address Option
• RDNSS/DNSSL (RFC 8106): DNS-Server und Suchdomänen direkt im RA
• Route Information Option (RFC 4191)

Typische Kombinationen sind:

• SLAAC only: A=1, M=0, O=0
• SLAAC + stateless DHCPv6: A=1, O=1
• Stateful DHCPv6: M=1, meist A=0

Wichtig: Das Default-Gateway kommt immer aus dem RA, nie aus DHCPv6.

3.3 Neighbor Solicitation (NS) – ICMPv6-Typ 135

Zweck: Die NS ist das vielseitigste NDP-Paket und wird für drei Aufgaben verwendet:

1. Adressauflösung: Ermittlung der Link-Layer-Adresse eines Nachbarn (ARP-Request-Äquivalent)
2. Neighbor Unreachability Detection: Überprüfung der Erreichbarkeit eines bekannten Nachbarn
3. Duplicate Address Detection: Prüfung, ob eine geplante Adresse bereits verwendet wird

Adressierung je nach Einsatz:

Einsatz	Quelladresse	Zieladresse
Adressauflösung	Unicast des Senders	Solicited-Node-Multicast des Ziels
NUD	Unicast des Senders	Unicast des Nachbarn
DAD	:: (unspezifiziert)	Solicited-Node-Multicast der zu prüfenden Adresse

Felder: Target Address, also die IPv6-Adresse, nach der gefragt wird.

Optionen: Source Link-Layer Address (nicht bei DAD).

Solicited-Node-Multicast-Adresse: Sie wird gebildet aus dem Präfix FF02::1:FF00:0/104 plus den letzten 24 Bit der Unicast-Adresse. Beispiel: Für 2001:db8::abcd:1234 ergibt sich FF02::1:FFCD:1234. Auf Ethernet wird diese Adresse auf die MAC-Multicast-Adresse 33:33:FF:CD:12:34 abgebildet. Dadurch verarbeiten praktisch nur die tatsächlich gemeinten Hosts die Anfrage, im Gegensatz zum ARP-Broadcast.

3.4 Neighbor Advertisement (NA) – ICMPv6-Typ 136

Zweck: Antwort auf eine NS (ARP-Reply-Äquivalent) oder unaufgeforderte Bekanntgabe geänderter Link-Layer-Adressen.

Adressierung:

• Als Antwort auf eine NS: Unicast an den Anfragenden
• Als Antwort auf eine DAD-NS (Quelle ::): an FF02::1
• Unaufgefordert: an FF02::1

Flags:

• R-Flag (Router): Der Sender ist ein Router. Dient zur Erkennung, ob ein Router zum Host geworden ist.
• S-Flag (Solicited): Die NA ist eine Antwort auf eine NS. Nur solicited NAs bestätigen die Erreichbarkeit für NUD.
• O-Flag (Override): Ein bestehender Neighbor-Cache-Eintrag soll überschrieben werden. Bei Anycast-Adressen ist das O-Flag nicht gesetzt.

Optionen: Target Link-Layer Address Option, die die gesuchte MAC-Adresse enthält.

3.5 Redirect – ICMPv6-Typ 137

Zweck: Ein Router teilt einem Host mit, dass für ein bestimmtes Ziel ein besserer First-Hop existiert. Das kann ein anderer Router im selben Segment sein. Es kann auch bedeuten, dass das Ziel selbst on-link ist und direkt erreicht werden kann.

Adressierung:

• Quelle: Link-Local-Adresse des Routers
• Ziel: Unicast-Adresse des Hosts, der das auslösende Paket gesendet hat

Felder:

• Target Address: der bessere Next-Hop. Ist er identisch mit der Destination Address, ist das Ziel on-link.
• Destination Address: das ursprüngliche Ziel

Optionen: Target Link-Layer Address Option und Redirected Header Option, die möglichst viel des auslösenden Pakets enthält.

Nur Router senden Redirects. Hosts aktualisieren daraufhin ihren Destination Cache.

4. Gemeinsame Eigenschaften und Schutzmechanismen

• Hop Limit = 255: Alle NDP-Nachrichten werden mit Hop Limit 255 gesendet. Empfänger verwerfen NDP-Pakete mit anderem Wert. So wird sichergestellt, dass die Nachricht nicht über einen Router weitergeleitet wurde, also wirklich vom lokalen Link stammt. Dieser Mechanismus wird auch GTSM-ähnlicher Schutz genannt.
• ICMPv6 Code = 0 bei allen fünf Typen.
• Die Optionen sind im TLV-Format codiert (Typ-Length-Value), wobei die Länge in Einheiten von 8 Byte angegeben wird. Wichtige Optionstypen sind:

Typ	Option
1	Source Link-Layer Address
2	Target Link-Layer Address
3	Prefix Information
4	Redirected Header
5	MTU
24	Route Information (RFC 4191)
25	RDNSS (RFC 8106)
31	DNSSL (RFC 8106)

5. Datenstrukturen eines Knotens

Jeder IPv6-Knoten verwaltet laut RFC 4861 konzeptionell mehrere Tabellen:

• Neighbor Cache: Zuordnung IPv6-Adresse → Link-Layer-Adresse mit Erreichbarkeitsstatus. Er entspricht dem ARP-Cache.
• Destination Cache: Zuordnung Zieladresse → Next-Hop. Er wird durch Redirects aktualisiert.
• Prefix List: on-link-Präfixe aus den RAs.
• Default Router List: Router, die ein RA mit Router Lifetime > 0 gesendet haben.

Zustände im Neighbor Cache (NUD-Zustandsautomat)

Zustand	Bedeutung
INCOMPLETE	Adressauflösung läuft, die NS wurde gesendet, die NA steht noch aus
REACHABLE	Erreichbarkeit kürzlich bestätigt (Standard ca. 30 s ReachableTime, randomisiert)
STALE	Bestätigung ist abgelaufen. Der Eintrag ist nutzbar, aber ungeprüft
DELAY	Ein Paket wurde an einen STALE-Eintrag gesendet. Der Knoten wartet ca. 5 s auf eine Bestätigung durch höhere Schichten (z. B. TCP-ACK)
PROBE	Aktive Prüfung per Unicast-NS. Nach 3 erfolglosen Versuchen wird der Eintrag gelöscht

Die Erreichbarkeit kann auch durch Upper-Layer-Hinweise bestätigt werden, etwa durch TCP-Bestätigungen. Dadurch spart NDP unnötige NS-Pakete ein.

Unter Linux lässt sich der Neighbor Cache mit ip -6 neigh show anzeigen, unter Windows mit netsh interface ipv6 show neighbors. Auf Cisco-Geräten dient dazu show ipv6 neighbors.

6. Typische Abläufe

6.1 Adressauflösung (Beispiel)

1. Host A (2001:db8::1) möchte an Host B (2001:db8::abcd:1234) senden. Im Neighbor Cache gibt es keinen Eintrag.
2. A legt einen Eintrag im Zustand INCOMPLETE an und sendet eine NS (135) an FF02::1:FFCD:1234. Darin enthalten ist A's MAC-Adresse als Source-Link-Layer-Option.
3. B antwortet mit einer NA (136) per Unicast. Dabei sind S=1 und O=1 gesetzt, und die Target-Link-Layer-Option enthält B's MAC-Adresse.
4. A setzt den Eintrag auf REACHABLE und sendet die gepufferten Pakete.

6.2 SLAAC mit DAD

1. Das Interface erzeugt eine Link-Local-Adresse (FE80::/64 + Interface-ID). Die Interface-ID wird heute meist zufällig bzw. „stable privacy" nach RFC 7217 gebildet, früher per EUI-64.
2. DAD: Der Host sendet eine NS mit Quelle :: an die Solicited-Node-Adresse der eigenen Adresse. Vorher tritt er dieser Multicast-Gruppe per MLD bei. Antwortet niemand innerhalb von RetransTimer (Standard 1 s), wird die zuvor „tentative" Adresse gültig. Kommt eine NA, ist die Adresse doppelt vergeben und darf nicht verwendet werden.
3. Der Host sendet eine RS (133) an FF02::2.
4. Der Router antwortet mit einem RA (134), das z. B. das Präfix 2001:db8:1::/64 mit gesetztem A-Flag enthält.
5. Der Host bildet daraus eine globale Adresse, führt erneut DAD durch und trägt den Router als Default-Gateway ein. Zusätzlich erzeugt er häufig temporäre Privacy-Adressen nach RFC 8981.

Optimistic DAD (RFC 4429) erlaubt die eingeschränkte Nutzung einer Adresse bereits während der DAD-Prüfung, um Verzögerungen zu verringern.

7. Sicherheitsaspekte

NDP ist ursprünglich nicht authentifiziert. Jeder Knoten im Segment kann daher NDP-Nachrichten fälschen. Die wichtigsten Angriffe sind:

• Rogue Router Advertisements: Ein Angreifer gibt sich als Router aus. Das ermöglicht Man-in-the-Middle-Angriffe, gefälschte DNS-Server oder Denial of Service, etwa durch Router Lifetime = 0 für den echten Router. Rogue RAs entstehen oft auch unabsichtlich, z. B. durch falsch konfiguriertes Windows-ICS.
• NS/NA-Spoofing: Dies entspricht dem ARP-Spoofing und dient dem Umleiten von Traffic.
• DAD-DoS: Der Angreifer beantwortet jede DAD-Anfrage, sodass ein Host keine Adresse erhält.
• Neighbor Cache Exhaustion: Der Angreifer scannt das riesige /64-Netz. Der Router erzeugt dabei massenhaft INCOMPLETE-Einträge und sendet viele NS-Pakete.
• Redirect-Angriffe: Gefälschte Redirects leiten Traffic um.

Gegenmaßnahmen:

Mechanismus	Beschreibung
SEND (Secure Neighbor Discovery, RFC 3971)	Nutzt CGA (Cryptographically Generated Addresses, RFC 3972), RSA-Signaturen und Zertifikate für Router. Wegen der hohen Komplexität ist SEND kaum verbreitet
RA Guard (RFC 6105, RFC 7113)	Der Switch filtert RAs auf Host-Ports
ND Inspection / IPv6 Snooping / Source Guard	Der Switch lernt legitime Bindungen und verwirft gefälschte NS/NA
DHCPv6 Guard	Filtert DHCPv6-Antworten von nicht autorisierten Servern
Rate Limiting / Cache-Limits	Schutz vor Neighbor Cache Exhaustion (siehe RFC 6583)
Hop-Limit-Prüfung (255)	Verhindert Angriffe von außerhalb des Links

Ein wichtiger Betriebshinweis: ICMPv6 darf in IPv6-Netzen nicht pauschal gefiltert werden. Ohne die Typen 133–137 funktioniert IPv6 im lokalen Netz nicht. Empfehlungen zur Filterung von ICMPv6 enthält RFC 4890.

8. Zusammenfassung

Typ	Name	Sender → Empfänger	Hauptaufgabe
133	Router Solicitation (RS)	Host → FF02::2	Router zum Senden eines RA auffordern
134	Router Advertisement (RA)	Router → FF02::1 / Unicast	Präfixe, Default-Gateway, Flags (M/O), MTU, DNS
135	Neighbor Solicitation (NS)	Knoten → Solicited-Node-MC / Unicast	Adressauflösung, NUD, DAD
136	Neighbor Advertisement (NA)	Knoten → Unicast / FF02::1	Antwort mit Link-Layer-Adresse (Flags R/S/O)
137	Redirect	Router → Host (Unicast)	Besseren First-Hop mitteilen

NDP ist somit das „Rückgrat" der lokalen IPv6-Kommunikation. Es ersetzt ARP, ICMP Router Discovery und ICMP Redirect durch ein einheitliches, multicastbasiertes Protokoll auf ICMPv6-Basis. Gleichzeitig bildet es die Grundlage für SLAAC und DAD. Wegen der fehlenden Authentifizierung erfordert NDP in der Praxis zusätzliche Schutzmaßnahmen auf Switch-Ebene wie RA Guard und ND Inspection.

Neighbor Discovery Protocol (NDP) in IPv6

Das Neighbor Discovery Protocol (NDP) ist ein zentrales Protokoll im IPv6-Umfeld. Es ist eng mit der Netzwerkschicht verknüpft, nutzt aber ICMPv6-Nachrichten auf dem Link und übernimmt Funktionen, die in IPv4 durch mehrere getrennte Mechanismen gelöst wurden: insbesondere Address Resolution wie ARP, Router Discovery, Duplicate Address Detection (DAD) sowie Neighbor Unreachability Detection (NUD).

NDP ist im Wesentlichen der IPv6-Ersatz für IPv4-ARP. In IPv4 fragt ein Host per ARP nach, welche MAC-Adresse zu einer bestimmten IPv4-Adresse gehört. In IPv6 gibt es dafür keine eigene Broadcast-Protokollschicht; stattdessen werden die entsprechenden Informationen über ICMPv6-Nachrichten ausgetauscht. NDP nutzt dabei gezielt Multicast-Adressen statt Broadcasts, was vor allem in größeren Netzwerken effizienter sein kann, weil weniger Knoten unnötig auf Anfragen reagieren müssen.

Ein wichtiger Bezugspunkt ist die Verwendung von Link-Local-Adressen im Bereich FE80::/10. Diese Adressen sind nur gültig innerhalb des lokalen Links und werden für viele NDP-Vorgänge benötigt, etwa als Quelladresse bei Neighbor Solicitations oder als Quelle für Router Announcements. Ohne funktionierende Link-Local-Adresse kann ein IPv6-Knoten grundsätzlich nicht vollständig an der Nachbarschaftskommunikation teilnehmen.

NDP ist in RFC 4861 definiert. Die Protokollnachrichten sind ICMPv6-Nachrichten mit dem Hop Limit 255, damit sie nur innerhalb des lokalen Links gültig bleiben und nicht weitergeleitet werden. Ein empfangender Knoten sollte NDP-Nachrichten mit einem anderen Hop Limit verworfen.

---

Wofür wird NDP benötigt?

NDP übernimmt mehrere zusammenhängende Aufgaben:

1. Adressauflösung
   Bestimmung der Link-Layer-Adresse eines Nachbarn für eine gegebene IPv6-Adresse. In IPv4 erledigt das ARP; in IPv6 übernehmen dafür vor allem Neighbor Solicitation (NS) und Neighbor Advertisement (NA).

2. Duplicate Address Detection, DAD
   Bevor ein Host eine neue Adresse verwendet, prüft er mit NDP, ob diese Adresse bereits von einem anderen Knoten auf dem Link benutzt wird. Dabei wird eine Neighbor Solicitation für die zu testende Adresse gesendet. Wenn eine Antwort kommt, ist die Adresse doppelt belegt.

3. Router Discovery und Stateless Address Autoconfiguration
   Hosts entdecken Router und lernen Netzpräfixe, Hop-Limit-Werte, MTU-Empfehlungen sowie Flags zur weiteren Konfiguration. Dafür dienen vor allem Router Solicitation (RS) und Router Advertisement (RA). Auf dieser Basis kann ein Host eine globale IPv6-Adresse selbständig aus dem vorgeschlagenen Präfix ableiten, sofern das Präfix entsprechend markiert ist.

4. Neighbor Unreachability Detection
   NDP hält den Neighbor Cache aktuell und erkennt, ob ein Nachbar noch erreichbar ist oder ob die zugeordnete Link-Layer-Adresse geändert wurde. Dafür gibt es Zustände wie Incomplete, Reachable, Stale, Delayed, Probe und Failed.

5. Redirect
   Ein Router kann einem Host mitteilen, dass für ein bestimmtes Ziel eine bessere Next-Hop-Auswahl existiert als die bisher vom Host verwendete. Diese Funktion gibt es in IPv4 nicht direkt vergleichbar; sie ist im NDP über ICMPv6 Redirect realisiert.

---

Die fünf zentralen ICMPv6-Nachrichtentypen von NDP

Die fünf für NDP relevanten ICMPv6-Typen sind:

NDP-Funktion	ICMPv6-Typ	Typnummer	Häufiges Ziel
Router Solicitation	RS	133	All-Routers-Multicast FF02::2 oder bekannter Router
Router Advertisement	RA	134	All-Nodes-Multicast FF02::1 oder unicast
Neighbor Solicitation	NS	135	Solicited-Node-Multicast oder unicast
Neighbor Advertisement	NA	136	Unicast an den anfragenden Knoten oder Multicast bei nicht gesendeten Ankündigungen
Redirect	Redirect	137	Unicast an den Host, der die Umleitung erhält

Im Folgenden werden diese fünf Nachrichtentypen genauer erläutert.

---

1. Router Solicitation – ICMPv6 Typ 133

Router Solicitation, kurz RS, wird von einem Host gesendet, wenn dieser aktiv einen Router auf dem lokalen Link benachrichtigen möchte oder Router-Informationen anfordern will.

Typische Einsatzfälle:

• Der Host startet ein Interface und möchte sofort wissen, ob Router vorhanden sind.
• Der Host hat eine neue IPv6-Adresse konfiguriert und möchte die Netzwerkparameter aktualisieren.
• Ein Host bittet gezielt einen bestimmten Router um ein Advertisement, statt auf periodische RAs zu warten.

RS wird normalerweise an den All-Routers-Multicast FF02::2 gesendet. Dieser Multicast wird von allen Routern auf dem Link gehört, aber nicht von normalen Endgeräten. Dadurch reduziert sich die Anzahl der Knoten, die reagieren müssen. In bestimmten Fällen kann RS auch unicast an eine bekannte Router-Link-Local-Adresse gesendet werden.

Wichtig ist, dass RS dazu dient, den Konfigurationsprozess zu beschleunigen. Ohne RS müsste ein Host zunächst auf das nächste periodische Router Advertisement warten. Mit einem sofortigen RS erhält der Host schneller Informationen über verfügbare Präfixe und Router-Lebensdauern.

---

2. Router Advertisement – ICMPv6 Typ 134

Router Advertisement, kurz RA, ist die Antwort eines Routers auf eine Router Solicitation oder ein periodisch gesendetes Ankündigungsintervall. RA ist besonders wichtig, weil über diese Nachricht zentrale Netzwerkparameter verteilt werden.

Ein RA kann unter anderem folgende Informationen enthalten:

• Prefix Information Options: IPv6-Vorsätze, die der Host für die eigene Adresskonfiguration verwenden kann.
• Router Lifetime: Wie lange der Sender als Default Gateway betrachtet werden soll.
• Cur Hop Limit: Empfohlener Hop-Limit-Wert für ausgehende Pakete.
• MTU Options: Link-spezifische MTU-Empfehlung, falls nötig.
• Managed Address Configuration Flag, M: Gibt an, ob Hosts ihre Adressen stateful über DHCPv6 beziehen sollen.
• Other Stateful Configuration Flag, O: Zeigt an, dass weitere Parameter wie DNS-Server statefully konfiguriert werden können.

RA wird häufig an den All-Nodes-Multicast FF02::1 gesendet, wenn der Router Informationen allen Knoten auf dem Link mitteilen möchte. Auf eine konkrete RS-Anfrage kann der Router allerdings auch ein unicast RA als Antwort senden.

Für die IPv6-Konfiguration ist RA besonders bedeutend: Ein Host kann aus einem mit dem Autonomous Address Configuration Flag markierten Präfix seine eigene globale Adresse ableiten. Dieses Verfahren wird häufig als SLAAC, Stateless Address Autoconfiguration, bezeichnet. Wenn der M- oder O-Flag gesetzt ist, greifen typischerweise DHCPv6-Mechanismen ergänzend oder ausschließlich für bestimmte Parameter.

---

3. Neighbor Solicitation – ICMPv6 Typ 135

Neighbor Solicitation, kurz NS, ist das wichtigste NDP-Nachrichtenpaar zusammen mit NA für die Adressauflösung im lokalen Link. Sie entspricht funktional in etwa einer IPv4-ARP-Anfrage, ist aber flexibler und multicastfähig.

Ein NS enthält eine sogenannte Target Address Option, also die IPv6-Adresse des Nachbarn, dessen Link-Layer-Adresse gesucht wird. Der sendende Knoten fragt damit im Wesentlichen: „Wer auf diesem Link nutzt diese IPv6-Adresse? Bitte teile mir deine Layer-2-Adresse mit.“

NS kann in zwei Hauptfällen verwendet werden:

Adressauflösung

Ein Host möchte zu einem Nachbarn senden, kennt aber noch nicht dessen MAC- oder Link-Layer-Adresse. Er sendet eine NS an die zugehörige Solicited-Node-Multicast-Adresse. Diese wird aus den unteren 24 Bit des Ziel-Interfaceidentifiers gebildet und beginnt mit FF02::1:FFxx:xxxx. Dadurch müssen im Idealfall nur der gesuchte Nachbar oder Knoten mit ähnlicher Adresse reagieren.

Duplicate Address Detection

Bevor ein Host eine neue IPv6-Adresse aktiv verwendet, prüft er sie per DAD. Dazu sendet er eine NS-Nachricht, in der die zu testende Adresse als Zieladresse erscheint. Die Quelladresse ist dabei typischerweise unbestimmt. Wenn daraufhin eine NA mit derselben Target Address zurückkommt, weiß der Host, dass die Adresse bereits verwendet wird und verwirft sie oder behandelt sie entsprechend.

---

4. Neighbor Advertisement – ICMPv6 Typ 136

Neighbor Advertisement, kurz NA, ist die Antwort auf eine Neighbor Solicitation oder eine eigenständige Mitteilung über den Zustand eines Nachbarn. Sie enthält ebenfalls die Target Address Option.

Eine NA kann unicast an den anfragenden Knoten gesendet werden, wenn sie als direkte Antwort auf eine NS dient. In bestimmten Fällen kann eine NA auch multicast gesendet werden, etwa um allen lokalen Knoten mitzuteilen, dass sich ein Nachbarschaftsbezug geändert hat oder dass eine Adresse nicht mehr gültig ist.

NA wird verwendet für:

• Bestätigung der Adressauflösung: Der Nachbar meldet seine Link-Layer-Adresse zurück.
• Aktualisierung des Neighbor Cache nach einer MAC-Änderung.
• DAD-Antwort: Kommt bei Duplicate Address Detection eine NA mit derselben Zieladresse, ist die Adresse doppelt belegt.
• Neighbor Unreachability Detection: Unicast-Probes können als Antwort NA liefern und so zeigen, dass der Nachbar weiterhin erreichbar ist.

In NA gibt es zusätzlich Flags wie Solicited und Override. Das Solicited-Flag kennzeichnet eine Antwort auf eine NS-Anfrage. Das Override-Flag kann bei Adresskonflikten oder Änderungen verwendet werden, um bestehende Neighbor-Cache-Einträge zu überschreiben.

---

5. Redirect – ICMPv6 Typ 137

Redirect, ICMPv6 Typ 137, ist die am wenigsten häufig eingesetzte der fünf NDP-Nachrichtentypen in typischen produktiven Umgebungen. Sie ermöglicht es einem Router oder Knoten, einem anderen Host mitzuteilen, dass dieser für ein bestimmtes Ziel einen ungünstigen Next Hop verwendet.

Ein Redirect enthält unter anderem:

• die Zieladresse des ursprünglichen Pakets,
• den IP-Header des Pakets, das die Redirect-Botschaft ausgelöst hat,
• Informationen über den besser geeigneten nächsten Hop.

Stellt man sich ein Beispiel vor: Ein Host sendet ein Paket an einen Router A für eine Adresse, die eigentlich besser direkt über einen anderen, näher gelegenen Knoten oder einen besseren Next Hop erreichbar wäre. Der beteiligte Knoten kann dem Host dann einen Redirect senden, damit dieser künftig den optimaleren Pfad nutzt.

In der Praxis wird Redirect oft deaktiviert oder vorsichtig eingesetzt, weil diese Nachricht sicherheitsrelevante Schwachstellen eröffnen kann. Ein manipulierter Redirect könnte dazu führen, dass ein Host Pakete an einen falschen Next Hop schickt und dadurch Daten verloren gehen oder abgeleitet werden. Aus diesem Grund ist die Nutzung von Redirect in vielen Netzwerken eingeschränkt oder durch zusätzliche Schutzmechanismen abgesichert.

---

Typischer Ablauf eines IPv6-Hosts auf einem Link

Ein typisches Szenario zeigt, wie NDP zusammenwirkt:

1. Ein Host aktiviert ein Netzwerkkarte.
2. Er leitet eine Link-Local-Adresse aus FE80::/10 ab.
3. Er führt DAD durch, indem er eine Neighbor Solicitation für diese neue Adresse sendet.
4. Kommt keine Antwort, gilt die Link-Local-Adresse als verfügbar.
5. Der Host sendet eine Router Solicitation an FF02::2.
6. Ein Router antwortet mit einem Router Advertisement, das Präfixe und Netzwerkparameter enthält.
7. Der Host konfiguriert daraus, falls gewünscht, eine globale IPv6-Adresse und führt erneut DAD für diese Adresse durch.
8. Möchte der Host nun zu einem anderen lokalen Knoten senden, verwendet er Neighbor Solicitation, um dessen Link-Layer-Adresse zu erfragen.
9. Der Empfänger antwortet mit Neighbor Advertisement.
10. Der Neighbor Cache wird aktualisiert und die Zustandsmaschine für Erreichbarkeit überwacht den Nachbarn fortlaufend.

---

Bedeutung des Neighbor Caches

NDP verwaltet bei jedem Knoten einen sogenannten Neighbor Cache. Dieser speichert Zuordnungen zwischen IPv6-Adressen, Link-Layer-Adressen und Zuständen der Erreichbarkeit.

Wichtige Zustände sind:

• Incomplete: Die Adresse ist bekannt, aber die Layer-2-Adresse fehlt noch; NS wird gesendet.
• Reachable: Der Nachbar wurde kürzlich erfolgreich bestätigt.
• Stale: Eintrag existiert, aber seit einer Weile nicht mehr aktiv bestätigt.
• Delayed: Nach dem Übergang von Stale wartet der Knoten kurz auf mögliche NA-Antworten vor dem aktiven Probe.
• Probe: Der Host sendet gezielte unicast NS-Nachrichten, um Erreichbarkeit zu prüfen.
• Failed: Der Nachbar konnte nicht erreicht werden; Eintrag wird gelöscht oder als unerreichbar markiert.

Diese Zustandsmaschine ist besonders wichtig, weil IPv6 im Gegensatz zu IPv4 kein Broadcast-basiertes Gratuitous ARP kennt. NDP muss Änderungen der Nachbarschaft aktiv erkennen und veraltete Informationen zuverlässig ersetzen.

---

Sicherheitsaspekte

NDP ist ein leistungsfähiges Protokoll, aber gerade weil es so zentral ist, gibt es bekannte Angriffsmöglichkeiten:

• RA-Spoofing: Ein Angreifer sendet gefälschte Router Advertisements und kann Präfixe oder Default-Gateway-Einstellungen manipulieren.
• NSNA-Spoofing: Ähnlich wie ARP-Poisoning in IPv4 können gefälschte Neighbor Solicitations oder Advertisements den Traffic umleiten.
• Redirect-Missbrauch: Falsche Redirect-Nachrichten können Pakete an einen Angreifer führen.

Daher werden in sicheren Umgebungen Schutzmechanismen eingesetzt, etwa:

• RA Guard auf Switches,
• Dynamic ARP Inspection-artige Konzepte für IPv6,
• SEND, Secure Neighbor Discovery, mit kryptografischen Erweiterungen,
• Router Advertisement Authentication nach RFC 3971.

Diese Maßnahmen sind nicht Teil der fünf klassischen NDP-Nachrichtentypen, gehören aber zu einem vollständigen Verständnis von NDP in produktiven Netzwerken.

---

Zusammenfassung

Das Neighbor Discovery Protocol ist das fundamentale IPv6-Mechanismus-Paket für lokale Nachbarschaftskommunikation. Es ersetzt ARP, Router Discovery und verwandte Funktionen aus IPv4 und arbeitet ausschließlich über ICMPv6-Nachrichten. Die fünf zentralen NDP-Nachrichtentypen sind:

1. Router Solicitation – Typ 133
2. Router Advertisement – Typ 134
3. Neighbor Solicitation – Typ 135
4. Neighbor Advertisement – Typ 136
5. Redirect – Typ 137

Dabei sind RS und RA für die Router- und Präfixentdeckung verantwortlich, NS und NA für Adressauflösung, DAD und Erreichbarkeitsprüfung, während Redirect auf eine optimale Next-Hop-Auswahl hinweist. NDP ist damit kein optionales Zusatzprotokoll, sondern ein integraler Bestandteil jedes funktionsfähigen IPv6-Netzwerks.