Wenn im Heimnetz plötzlich mehrere IPv6-Adressen am Smartphone, Fernseher oder Laptop auftauchen, wirkt das zunächst wie ein Fehler. Tatsächlich folgt dahinter eine klare Struktur aus 128 Bit, Präfix und Interface-Identifier. Ich zeige, wie eine IPv6-Adresse aufgebaut ist, welche Adresstypen im WLAN vorkommen, wie der Router sie verteilt und worauf man bei Sicherheit und Fehlersuche achten sollte.
Die wichtigsten Bausteine des IPv6-Aufbaus auf einen Blick
- 128 Bit machen IPv6-Adressen deutlich länger als IPv4-Adressen.
- Eine Adresse besteht meist aus Präfix und Interface-Identifier.
- /64 ist im lokalen Netz die typische Präfixlänge.
- Geräte besitzen oft mehrere IPv6-Adressen gleichzeitig, etwa Link-Local-, globale und temporäre Adressen.
- IPv6 verwendet Multicast statt Broadcast und benötigt keinen klassischen NAT-Zwang.
So ist eine IPv6-Adresse aufgebaut
Eine IPv6-Adresse ist 128 Bit lang. Sie wird als acht Blöcke mit jeweils 16 Bit geschrieben, wobei jeder Block aus bis zu vier hexadezimalen Zeichen besteht. Ein typisches Beispiel sieht so aus: 2001:0db8:1234:0001:021a:2bff:fe3c:4d5e.
Die grundlegende Adressarchitektur ist in RFC 4291 beschrieben. Der aktuelle IPv6-Protokollstandard ist in RFC 8200 festgelegt. Für das Verständnis eines Heimnetzes genügt zunächst die Aufteilung in einen vorderen Netzwerkteil und einen hinteren Geräteteil.
| Bestandteil | Beispiel | Aufgabe |
|---|---|---|
| Globales Routing-Präfix | 2001:db8:1234 | Zeigt, zu welchem übergeordneten Netz die Adresse gehört. |
| Subnetzkennung | 0001 | Trennt verschiedene Teilnetze, etwa Heimnetz und Gastnetz. |
| Interface-Identifier | 021a:2bff:fe3c:4d5e | Identifiziert die Netzwerkschnittstelle innerhalb des Teilnetzes. |
In vielen lokalen Netzen werden die ersten 64 Bit als Präfix und die letzten 64 Bit als Interface-Identifier verwendet. Das ist kein unveränderliches Gesetz für jede denkbare IPv6-Anwendung, aber für WLAN-Router, Endgeräte und automatische Konfiguration der übliche Aufbau.
Warum IPv6 hexadezimal geschrieben wird
Die Zeichen 0 bis 9 sowie a bis f stehen für die 16 möglichen Werte einer hexadezimalen Stelle. Dadurch lässt sich die lange Bitfolge deutlich kompakter darstellen. Groß- und Kleinschreibung spielt keine Rolle, üblich sind heute Kleinbuchstaben.
Führende Nullen innerhalb eines Blocks dürfen entfallen. Aus 0db8 wird also db8. Eine zusammenhängende Folge vollständig leerer Blöcke darf außerdem einmal durch :: ersetzt werden. Aus 2001:0db8:0000:0000:0000:0000:1234:5678 wird damit 2001:db8::1234:5678.
Wichtig ist die Regel, dass :: nur einmal in einer Adresse vorkommen darf. Sonst wäre nicht mehr eindeutig, wie viele Nullblöcke an dieser Stelle fehlen. Die Adresse 2001::db8::1 ist deshalb ungültig.
Präfix und Interface-Identifier erfüllen unterschiedliche Aufgaben
Das Präfix sagt dem Router, in welches Netz ein Paket gehört. Der Interface-Identifier zeigt, für welche Netzwerkschnittstelle es innerhalb dieses Netzes bestimmt ist. Diese Trennung ist der entscheidende Unterschied zu einer einfachen, flachen Gerätekennung.
Ein Internetanbieter kann dem Router beispielsweise ein größeres Präfix wie /56 oder /60 delegieren. Der Router teilt daraus eigene /64-Netze ab, etwa für das normale WLAN, ein Gastnetz und ein separates Smart-Home-Netz. Die tatsächlich verwendete Präfixgröße hängt vom Anbieter und Tarif ab.
Ein /64-Netz enthält theoretisch 264 mögliche Interface-Identifier. Für ein privates WLAN ist das weit mehr, als jemals benötigt wird. Der große Adressraum ist trotzdem sinnvoll, weil Geräte automatisch und ohne knappe Adressbereiche eingebunden werden können.
Warum ein Gerät mehrere IPv6-Adressen hat
Ein Laptop kann gleichzeitig eine Link-Local-Adresse, eine globale Adresse und eine temporäre Adresse besitzen. Das ist normal, weil jede Adresse einen anderen Zweck erfüllt. Ich sehe gerade bei der Fehlersuche häufig den Irrtum, dass nur eine einzige IPv6-Adresse pro Gerät erlaubt sei.
-
Link-Local-Adresse mit
fe80::/10für die Kommunikation im lokalen Netzwerksegment. - Globale Unicast-Adresse für Verbindungen über das Internet.
-
Unique Local Address aus dem Bereich
fc00::/7, praktisch meist mitfdbeginnend, für interne Netze. - Temporäre Adresse, die dem Datenschutz dient und regelmäßig wechseln kann.
Der hintere Teil muss dabei nicht zwingend aus der MAC-Adresse gebildet werden. Moderne Betriebssysteme verwenden oft stabile, zufällig erzeugte oder temporäre Kennungen. Das ist aus Datenschutzsicht besser, weil sich ein Gerät dadurch nicht so leicht dauerhaft über dieselbe Kennung verfolgen lässt.
Welche IPv6-Adressen im Heimnetz wichtig sind
Nicht jede IPv6-Adresse bedeutet, dass ein Gerät direkt aus dem Internet erreichbar ist. Entscheidend sind Adressbereich, Routing und Firewall-Regeln. Die wichtigsten Typen lassen sich gut anhand ihrer Präfixe unterscheiden.
| Adresstyp | Typischer Bereich | Verwendung |
|---|---|---|
| Global Unicast | 2000::/3 | Öffentliche Kommunikation über das Internet |
| Link-Local | fe80::/10 | Kommunikation im lokalen Segment und Router-Nachbarschaft |
| Unique Local | fc00::/7 | Private interne Netze ohne öffentliches Routing |
| Multicast | ff00::/8 | Nachrichten an mehrere Geräte oder bestimmte Gerätegruppen |
IPv6 kennt keinen klassischen Broadcast wie IPv4. Funktionen, bei denen ein Gerät früher alle Teilnehmer gleichzeitig angesprochen hätte, laufen über Multicast. Das reduziert unnötigen Verkehr und erlaubt eine genauere Auswahl der Empfänger.
Eine Link-Local-Adresse funktioniert nur im jeweiligen Netzwerksegment. Deshalb kann sie in mehreren Netzen gleichzeitig vorkommen. Bei manchen Diagnosebefehlen muss zusätzlich die Schnittstelle angegeben werden, zum Beispiel fe80::1%wlan0 unter Linux. Der Zusatz nach dem Prozentzeichen nennt die Netzwerkschnittstelle.
So verteilt der Router IPv6-Adressen über WLAN
Das WLAN selbst verändert den Aufbau der IPv6-Adresse nicht. Ob ein Gerät per Ethernet oder Funk verbunden ist, spielt für die 128-Bit-Adresse keine Rolle. Das WLAN bildet lediglich die lokale Verbindung, während IPv6 die Adressierung und Weiterleitung übernimmt.
SLAAC mit Router Advertisements
In typischen Heimnetzen informiert der Router die Geräte über sogenannte Router Advertisements. Diese Nachrichten enthalten unter anderem das lokale Präfix. Das Endgerät kombiniert es mit einem selbst erzeugten Interface-Identifier und konfiguriert sich weitgehend automatisch. Dieses Verfahren heißt SLAAC, also Stateless Address Autoconfiguration.
Der Router kann zusätzlich DNS-Informationen oder weitere Netzparameter bekanntgeben. Deshalb erhält ein Smartphone oft schon kurz nach der WLAN-Verbindung eine funktionierende IPv6-Konfiguration, ohne dass man eine Adresse manuell eintragen muss.
Lesen Sie auch: Wie viele IPv6-Adressen gibt es wirklich? /64 und /56 erklärt
Welche Rolle DHCPv6 spielt
DHCPv6 kann ergänzende Angaben liefern oder Adressen zentral verwalten. In vielen Heimnetzen wird es jedoch nicht genauso eingesetzt wie DHCP bei IPv4. Ein Router kann SLAAC für die Adresse und DHCPv6 nur für bestimmte Zusatzinformationen verwenden.
Für den Internetanschluss nutzt der Router häufig Prefix Delegation. Dabei bekommt er vom Anbieter nicht nur eine einzelne Adresse, sondern einen ganzen Präfixbereich für das eigene Heimnetz. Genau dieser Bereich wird anschließend in /64-Netze für WLAN, LAN oder Smart-Home-Geräte aufgeteilt.
Wenn der Anbieter das Präfix regelmäßig ändert, ändern sich auch die globalen IPv6-Adressen der Geräte. Für dauerhafte Zugriffe auf einen Heimserver sind deshalb dynamisches DNS, eine stabile interne Konfiguration und eine passende Freigaberegel wichtiger als das manuelle Festhalten an einer öffentlichen Adresse.
IPv6 im Heimnetz prüfen und typische Fehler vermeiden
Bei einer Störung prüfe ich zuerst, welcher Adresstyp vorhanden ist. Eine Adresse mit fe80:: zeigt, dass IPv6 lokal grundsätzlich aktiv ist. Für den Internetzugang braucht das Gerät zusätzlich eine globale Adresse und eine funktionierende Standardroute.
- Unter Windows zeigt
ipconfigdie IPv6-Adressen und das Gateway. - Unter Linux liefert
ip -6 addrdie Adressen der Schnittstellen. - Auf vielen Routern finden sich Präfix und Geräteadressen im Bereich für Netzwerk- oder IPv6-Einstellungen.
- Ein Test mit
ping -6prüft die Erreichbarkeit über IPv6, ersetzt aber keine DNS- oder Browserprüfung.
Ein häufiger Fehler ist, eine Link-Local-Adresse mit einer öffentlichen Adresse zu verwechseln. Ein anderer besteht darin, im Router nur IPv4-Freigaben einzurichten. Bei IPv6 muss die Firewall den Zugriff für das konkrete Gerät und den konkreten Dienst erlauben, sofern ein externer Zugriff wirklich gewünscht ist.
Auch das Abschalten von IPv6 ist selten eine gute erste Maßnahme. Manche Dienste bevorzugen IPv6, andere fallen bei Problemen auf IPv4 zurück. Dadurch entstehen schwer erkennbare Verzögerungen. Besser ist es, Präfix, Gateway, DNS und Firewall getrennt zu prüfen.
IPv6 und Sicherheit im WLAN
Eine globale IPv6-Adresse ist nicht automatisch eine Sicherheitslücke. Sie bedeutet lediglich, dass das Gerät grundsätzlich eine weltweit routbare Adresse besitzen kann. Schutz bietet die Firewall des Routers, die eingehende Verbindungen standardmäßig blockieren sollte.
Der Unterschied zu IPv4 liegt darin, dass IPv6 nicht zwingend auf NAT angewiesen ist. Bei IPv4 versteckt NAT viele Geräte hinter einer gemeinsamen öffentlichen Adresse. Bei IPv6 besitzen Geräte häufig eigene globale Adressen, während die Firewall die unerwünschte Kommunikation kontrolliert.
Für ein modernes Heimnetz empfehle ich getrennte Regeln für normale Clients, Gäste und Smart-Home-Geräte. Ein Fernseher oder eine WLAN-Steckdose braucht normalerweise keinen Zugriff auf alle Rechner im Haushalt. Die Trennung über unterschiedliche SSIDs, VLANs oder Routerprofile bringt deshalb oft mehr als eine komplizierte Einzelregel.
Datenschutz-Extensions können verhindern, dass ein Gerät dauerhaft anhand seines Interface-Identifiers erkennbar bleibt. Für Server oder gezielte Freigaben sind dagegen stabile Adressen beziehungsweise stabile Interface-Identifier praktischer. Hier muss man zwischen Privatsphäre und zuverlässiger Erreichbarkeit abwägen.
Was ich im Heimnetz von IPv6 dauerhaft prüfen würde
Der wichtigste Gedanke hinter dem IPv6-Aufbau ist nicht die lange Schreibweise, sondern die klare Trennung von Netz, Teilnetz und Gerät. Wer Präfix, Adresstyp und Firewall auseinanderhält, kann die meisten Probleme im WLAN schnell einordnen.
Für den Alltag reicht meist diese Kontrolle. Der Router sollte ein Präfix vom Anbieter erhalten, das WLAN sollte ein gültiges /64-Netz bekanntgeben, und die Geräte sollten neben der Link-Local-Adresse eine passende globale oder interne Adresse besitzen. Fehlt nur eine dieser Komponenten, liegt die Ursache meistens bei Router-Konfiguration, Provider-Anbindung oder Firewall und nicht bei der Länge der IPv6-Adresse selbst.
