Öffentliche IPv6-Adressierung in der Cloud: Schluss mit NAT, aber nicht mit der Firewall

WebDisk-Blog · Kategorie: Cloud-Computing · Lesezeit: ~8 Minuten

Kurz gefasst:- In Europa ist der Pool freier IPv4-Adressen 2019 erschöpft – die öffentliche IPv4-Adresse ist zu einer knappen Ressource geworden, die auf dem Sekundärmarkt gekauft und immer häufiger separat abgerechnet wird.- IPv6 stellt das ursprüngliche Modell des Internets wieder her: Jede virtuelle Maschine kann eine eigene öffentliche Adresse haben und direkt kommunizieren, ohne Adressübersetzung (NAT).- Eine öffentliche Adresse ist keine offene Tür – was aus dem Internet sichtbar ist, entscheidet die Firewall; ein vernünftiger Standard für heute ist Dual-Stack, also IPv4 und IPv6 parallel. >Sie arbeiten nicht mit dem Terminal? Sie können den Abschnitt mit den Befehlen überspringen – der Rest des Artikels lässt sich auch ohne ihn lesen.

Jedes Jahr verbinden sich Milliarden neuer Geräte mit dem Internet: Telefone, Sensoren, Kameras und in den Clouds virtuelle Maschinen und Container, nicht selten mit einer Lebensdauer, die in Minuten gemessen wird. Dabei bietet das Protokoll IPv4, auf dem das Internet seit den 1980er-Jahren läuft, nur knapp 4,3 Milliarden Adressen. Das ist seit Langem zu wenig – und das ist keine ferne Prognose, sondern der Ist-Zustand: 2019 hat das RIPE NCC, das Register, das die Adressen in Europa vergibt, die letzten freien Blöcke aus seinem Grundpool zugeteilt.

Die technische Antwort existiert seit über zwei Jahrzehnten und heißt IPv6. Es ist kein „IPv4 mit mehr Adressen“, sondern eine Rückkehr zur ursprünglichen Idee des Internets, in der jedes Gerät eine eigene, eindeutige Adresse hat und direkt mit anderen kommuniziert – ohne Vermittler, die Adressen im Flug übersetzen.

In diesem Artikel erklären wir, woher der Adressmangel kommt und warum er die Kosten in die Höhe treibt, was öffentliche IPv6-Adressierung in der Cloud in der Praxis bringt, warum eine öffentliche Adresse nicht von der Konfiguration der Firewall entbindet – und wie Sie in wenigen Minuten prüfen, ob Ihre Maschine wirklich IPv6 nutzt. Die konzeptionellen Abschnitte sind für alle, die über die IT-Architektur im Unternehmen entscheiden; der praktische Abschnitt richtet sich an Administratoren.

Warum fehlen IPv4-Adressen und was kostet das?

Eine IPv4-Adresse ist eine 32-Bit-Zahl, es gibt also rund 4,3 Milliarden mögliche Adressen – weniger als Menschen auf der Erde, von Geräten ganz zu schweigen. Das Internet ist dank einer Prothese namens NAT (Network Address Translation – Netzwerkadressübersetzung) nicht stehen geblieben: Eine öffentliche Adresse wird von vielen Geräten gemeinsam genutzt, und der Router übersetzt den Verkehr in beide Richtungen. Die Provider sind noch einen Schritt weiter gegangen und setzen CGNAT ein – NAT im Maßstab ganzer Wohnviertel, bei dem sich Hunderte Kunden dieselbe öffentliche Adresse teilen.

NAT funktioniert, hat aber seinen Preis. Ein hinter der Übersetzung verborgener Dienst ist von außen nicht erreichbar, solange keine Portweiterleitungen konfiguriert sind; direkte Verbindungen (Internettelefonie, Videokonferenzen, Spiele, P2P-Netze) erfordern Workarounds; die Diagnose, „wer sich eigentlich mit uns verbindet“, wird kompliziert, wenn sich hinter einer Adresse Hunderte Geräte verbergen.

Der Mangel zeigt sich auch in den Kosten. Freie IPv4-Adressen gibt es in den Registern praktisch nicht mehr, daher werden sie auf dem Sekundärmarkt gehandelt, und ein Teil der großen Cloud-Anbieter rechnet die öffentliche IPv4-Adresse als separaten Posten auf der Rechnung ab. Wir haben im Blog bereits darüber geschrieben, woraus sich der Preis der Public Cloud zusammensetzt – die öffentliche Adressierung ist einer jener Bestandteile, die in der Spezifikationstabelle nicht zu sehen sind, bis sie anfangen zu kosten.

IPv6: nicht „mehr vom Gleichen“, sondern ein anderes Netzmodell

Eine IPv6-Adresse hat 128 Bit. Die Zahl der möglichen Adressen ist so groß (39 Stellen), dass sie nicht mehr intuitiv fassbar ist; praktischer ist daher ein anderes Maß: Das Standard-Einzelnetz in IPv6 ist ein /64-Block, der allein schon über 18 Trillionen Adressen enthält – ein Pool, der mehr als vier Milliarden Mal größer ist als das gesamte IPv4-Internet. Diese Verschwendung ist Absicht: Ein so großes Subnetz ermöglicht die zustandslose Autokonfiguration (SLAAC), bei der die Maschine ihre Adresse selbst aus dem vom Router angekündigten Präfix ableitet – ohne DHCP-Server und ohne manuelle Adressvergabe.

Die wichtigste Änderung ist jedoch architektonischer Natur. Da die Adressen für jedes Gerät ausreichen, wird NAT überflüssig: Eine virtuelle Maschine, ein Container oder ein Sensor kann eine eigene, global eindeutige Adresse haben und direkt mit jedem anderen Gerät kommunizieren. Portweiterleitungen verschwinden, das Jonglieren mit einer einzigen öffentlichen Adresse zwischen Diensten verschwindet, und eine ganze Klasse von Problemen der Sorte „das funktioniert über doppeltes NAT nicht“ verschwindet ebenfalls. Die Netztopologie wird einfacher zu entwerfen und – ebenso wichtig – nach einem Jahr zu verstehen, wenn sie geändert werden muss.

Was bringt öffentliche IPv6-Adressierung in der Cloud?

In der Cloud-Umgebung ist der Unterschied besonders spürbar, denn dort wächst die Zahl der zu adressierenden Objekte am schnellsten: Jede virtuelle Maschine, jeder Container und jeder Dienst kann Erreichbarkeit von außen benötigen.

Mit öffentlicher IPv6-Adressierung:

• stellen Sie einen Dienst direkt bereit – ohne eine weitere IPv4-Adresse zu reservieren und ohne Port-Mapping; die Adresse des Dienstes ist seine Adresse und nicht „Port 8443 auf einer gemeinsamen Adresse“;
• ist die Architektur übersichtlicher – der Verkehr durchläuft keine Übersetzungsschicht, sodass Logs und Diagnose die tatsächlichen Adressen beider Kommunikationsenden zeigen;
• erschöpft die Skalierung den Pool nicht – die zehnte, hundertste und tausendste Maschine erhalten Adressen genauso einfach wie die erste.

In WebDisk Cloud – der auf der Plattform Apache CloudStack aufgebauten Public Cloud – ist die öffentliche IPv4- und IPv6-Adressierung Teil des Netzwerkangebots, neben VPC-Netzen, NAT/SNAT, Firewall, Portweiterleitungen und Load Balancern. Welche Maschinen und Dienste aus dem Internet erreichbar sind, bestimmen die vom Kunden festgelegten Firewall-Regeln und nicht die Grenzen des Adresspools. Details finden Sie auf der Seite der WebDisk Public Cloud, und wenn Sie eine bestehende Umgebung umziehen, werfen Sie auch einen Blick in den Leitfaden zur Migration von VMware zu WebDisk Cloud.

Öffentliche Adresse ≠ offene Tür: Die Firewall ist Pflicht

Die häufigste Sorge vor IPv6 lautet: „Wenn jede Maschine eine öffentliche Adresse hat, ist auch jede einem Angriff ausgesetzt.“ Diese Sorge verwechselt zwei Dinge: Adressierbarkeit und Erreichbarkeit.

NAT wurde nie als Sicherheitsmechanismus entworfen – sein Nebeneffekt war lediglich, dass Maschinen ohne Portweiterleitungen von außen schwer erreichbar waren. In der IPv6-Welt liefert dieselbe (und bessere) Kontrolle die Firewall: Eingehender Verkehr wird standardmäßig blockiert, und geöffnet wird ausschließlich das, was wir bewusst bereitstellen. Der Unterschied besteht darin, dass die Entscheidung explizit und auditierbar ist und nicht aus einer zufälligen Eigenschaft der Adressübersetzung resultiert.

In der Cloud lohnt es sich, die Regeln auf zwei Ebenen zu pflegen: die Firewall auf Plattformebene (im Cloud-Panel definierte Netzwerkregeln) und die Firewall im Betriebssystem der Maschine selbst. Zwei Schichten sind kein Übereifer – sie schützen vor einem Fehler in einer von ihnen.

Zwei Fallstricke verdienen eigene Sätze. Erstens: Dienste können auf IPv6 lauschen, obwohl sie „nur für IPv4“ konfiguriert wurden – viele Server binden sich standardmäßig an die Adresse ::, die beide Protokolle umfasst; das sollten Sie prüfen (wir zeigen, wie). Zweitens sollte man nicht darauf zählen, dass „uns in einem /64 niemand findet“ – das Durchscannen von 18 Trillionen Adressen ist zwar unpraktikabel, aber Adressen kommen ohnehin ans Licht: über DNS, Logs, Header, Zertifikate. Verstecken ersetzt weder die Firewall noch Updates. Und da die Maschine öffentlich erreichbar ist, ist das Wissen darüber, was auf ihr passiert, umso wichtiger – mehr zur eigenständigen Überwachung des VM-Zustands finden Sie in unserem Artikel über den Watchdog.

Was ist Dual-Stack und warum brauchen Sie weiterhin IPv4?

Obwohl der Anteil von IPv6 seit Jahren wächst, kommuniziert ein Teil des Internets weiterhin ausschließlich über IPv4. Deshalb ist der Übergangsstandard – „übergangsweise“ schon seit einem Jahrzehnt und wohl noch auf Jahre hinaus – Dual-Stack: Die Maschine hat gleichzeitig eine IPv4- und eine IPv6-Adresse, und das Betriebssystem wählt für jede Verbindung das Protokoll.

Für einen im Internet bereitgestellten Dienst bedeutet das in der Praxis: Wir veröffentlichen im DNS sowohl einen A-Record (IPv4-Adresse) als auch einen AAAA-Record (IPv6-Adresse). Moderne Clients nutzen den Mechanismus Happy Eyeballs – sie versuchen IPv6 und weichen schnell auf IPv4 aus, wenn dieser Pfad nicht antwortet. Das ist eine gute Nachricht mit einem Vorbehalt: kaputtes IPv6 ist mitunter schlimmer als gar keins. Wenn Sie einen AAAA-Record veröffentlichen, der IPv6-Verkehr aber von der Firewall blockiert wird oder die Route nicht funktioniert, spürt ein Teil der Clients Verzögerungen. Die Schlussfolgerung: Nach dem Aktivieren von IPv6 testen und überwachen wir den Dienst auf beiden Protokollen, nicht nur auf dem, über das sich gerade unser eigener Rechner verbindet.

Wie prüfen Sie, ob Ihre Maschine IPv6 nutzt?

Die folgenden Befehle funktionieren auf einer typischen Linux-Maschine und ändern nichts an der Konfiguration – sie lesen nur den Zustand aus.

# 1. Hat die Maschine eine globale IPv6-Adresse?
# (wir suchen den Scope "global"; fe80::... allein ist nur eine Link-lokale Adresse — das reicht nicht)
ip -6 addr show scope global

# 2. Gibt es eine Default-Route für IPv6?
ip -6 route show default

# 3. Geht der Verkehr tatsächlich über IPv6 in die Welt hinaus?
ping -6 -c 3 2001:4860:4860::8888 # öffentlicher DNS-Resolver von Google
curl -6 https://ifconfig.co # gibt Ihre öffentliche IPv6-Adresse aus

# 4. Was lauscht auf IPv6 — also was das Internet nach dem Öffnen der Firewall sieht
ss -6tulnp

# 5. Deckt die Firewall im System IPv6 ab?
sudo nft list ruleset # Tabellen vom Typ "inet" umfassen IPv4 und IPv6
sudo ip6tables -L -n # ältere, auf iptables basierende Systeme

Wenn Punkt 1 oder 2 nichts zurückgibt, suchen Sie die IPv6-Adressierung zuerst in der Netzwerkkonfiguration im Cloud-Panel – die Maschine zaubert keine Adresse herbei, die das Netz ihr nicht ankündigt. Wenn die Befehle aus Punkt 3 funktionieren, der Dienst aber trotzdem von außen nicht über IPv6 antwortet, ist fast immer die Firewall schuld (auf einer der beiden Ebenen) oder es fehlt der AAAA-Record im DNS.

Was löst IPv6 nicht?

Damit das Bild vollständig ist, listen wir auch auf, was öffentliche IPv6-Adressierung nicht leistet:

• Sie beschleunigt Anwendungen nicht automatisch. Der Pfad ohne NAT ist mitunter einfacher, aber die reale Performance hängt von den Routen zwischen den Providern ab – über IPv6 ist es mal schneller und mal langsamer.
• Sie erhöht die Sicherheit nicht von selbst. Firewall, Updates und Monitoring sind genauso notwendig wie bei IPv4.
• Sie erlaubt es heute nicht, IPv4 abzuschalten. Solange ein Teil der Clients und Dienste ausschließlich in IPv4 lebt, bleibt Dual-Stack eine Notwendigkeit.
• Sie erfordert eine Überprüfung der Werkzeuge. Logs, Listen erlaubter Adressen, Sperrmechanismen, Datenbankfelder für IP-Adressen (die textuelle IPv6-Schreibweise hat bis zu 45 Zeichen), Geolokalisierung und Monitoring müssen das neue Format verstehen – das sind in der Regel kleine, aber zahlreiche Anpassungen.

Häufige Fragen

Wird IPv6 IPv4 ersetzen? Langfristig ja, aber der Horizont wird in Jahren gemessen, nicht in Monaten. Die praktische Frage lautet daher nicht „IPv4 oder IPv6“, sondern „unterstützt meine Umgebung beide“.

Ist eine öffentliche Adresse auf jeder Maschine nicht ein Risiko? Das Risiko ist eine fehlende Firewall, nicht die Adresse. Die Regel ist dieselbe wie immer: Blockieren Sie eingehenden Verkehr standardmäßig, öffnen Sie bewusst und punktuell, pflegen Sie die Regeln auf Plattform- und Betriebssystemebene.

Ist IPv6 schneller als IPv4? Das Protokoll selbst gibt keine solche Garantie. Der Wegfall der Übersetzung vereinfacht den Paketpfad, aber über Latenzen entscheiden vor allem die Routen zwischen den Providern. Betrachten Sie einen etwaigen Gewinn als angenehme Überraschung, nicht als Geschäftsargument.

Warum kostet eine öffentliche IPv4-Adresse extra? Der Pool freier IPv4-Adressen im europäischen Register RIPE NCC ist 2019 erschöpft, Adressen werden daher auf dem Sekundärmarkt beschafft. Deshalb rechnet ein Teil der Cloud-Anbieter die öffentliche IPv4-Adresse als separaten Posten auf der Rechnung ab. IPv6 hat dieses Problem nicht – die Adressen reichen für jede Maschine.

Meine Anwendung speichert die IP-Adressen der Nutzer. Muss ich etwas ändern? Wahrscheinlich ja: Prüfen Sie die Feldlängen (textuelles IPv6 hat bis zu 45 Zeichen), die Formatvalidierung und alle Stellen, an denen die Adresse verglichen oder gefiltert wird. Denken Sie auch daran, dass eine IP-Adresse – unabhängig von der Version – eine Information bleibt, die Sie nach den Regeln des Datenschutzes verarbeiten.

Womit fängt man in einer bestehenden Umgebung an? Mit einer Bestandsaufnahme: Welche Dienste sollen aus dem Internet erreichbar sein und welche nur intern. Danach Dual-Stack auf den Edge-Diensten, Tests von außen auf beiden Protokollen, zum Schluss AAAA-Records im DNS. Der DNS-Record kommt bewusst zuletzt – ab dem Moment der Veröffentlichung werden die Clients diesen Pfad wirklich nutzen.

Zusammenfassung

Der Mangel an IPv4-Adressen ist von Dauer und kostet immer häufiger schlicht Geld. IPv6 löst ihn an der Wurzel: Es stellt das Modell wieder her, in dem jede Maschine eine eigene öffentliche Adresse haben kann und über die Verfügbarkeit von Diensten explizite Firewall-Regeln entscheiden, nicht Akrobatik mit Adressübersetzung. Der vernünftige Weg für heute ist Dual-Stack – bewusst eingeführt, mit Tests beider Pfade. Und wenn Sie sich bei dieser Gelegenheit fragen, wo Sie eine solche Umgebung ansiedeln sollten: Über die Vorteile eines lokalen Anbieters schreiben wir im Artikel über die polnische Cloud.

Wenn Sie eine Umgebung mit öffentlicher IPv6-Adressierung planen, prüfen Sie das Angebot der WebDisk Public Cloud oder schreiben Sie uns – wir helfen Ihnen, die Adressierung und die Firewall-Regeln zu planen.