* SLAAC reduziert IPv6 die Abhängigkeit von dritten Komponenten zur Organisation des Links
* Die Nutzung von Stateless Address Autoconfiguration erfordert keine manuelle Konfiguration der Hosts und nur sehr wenige Konfigurationsschritte auf dem Router
* Damit einher geht der Verlust einer strengen Zuordnung von Adressen zu bestimmten Hosts
; Aufgaben
{| class="wikitable options col1center "
|-
|-
! Aufgabe !! Beschreibung
! Aufgabe !! Beschreibung
|-
|-
| 1 || Link-local Address generieren
| 1 || [[Link-local Address]] generieren
|-
|-
| 2 || Stateless Address Autoconfiguration
| 2 || Autokonfiguration durchführen
|-
|-
| 3 || Duplicate Address Detection
| 3 || Duplicate Address Detection
|}
|}
# Den ersten Schritt macht der Host, indem er mittels Router Solicitation nach einem Router Advertisement fragt
; Aressverwaltung
#* Alternativ könnte er auch ein periodisches Router Advertisement abwarten
Umgebungen mit zentraler Adressverwaltung verwenden [[DHCPv6]]
#* diese Geduld beobachtet man aber eher selten
* Simultaner Betrieb von [[DHCPv6]] und Stateless Address Autoconfiguration ist möglich
# Der Router verschickt das angeforderte Router Advertisement,welches alle konfigurationsrelevanten Daten enthält
# Daraufhin führt der Host die Konfiguration des Interfaces durch und prüft die Eindeutigkeit der selbst erzeugten Adressen
# Wenn diese Eindeutigkeit angenommen werden kann, ist die Konfiguration des Interfaces vollständig und gilt als beendet
== Duplicate Address Detection ==
; Überblick
'''Duplicate Address Detection besteht aus mehrere [[Neighbor Solicitation]]s'''
* Wenn ein Node feststellen möchte, ob eine Adresse schon von einem anderen Node genutzt wird, dann versucht er die zugehörige Linklayer Address aufzulösen
# Host fragt mit einer [[Router Solicitation]] nach einem [[Router Advertisement]]
* Bleibt eine Antwort aus, benutzt offensichtlich kein anderer Node auf dem Link die überprüfte Adresse
# Router verschickt das angeforderte Router Advertisement mit den relevanten Daten
* Um Fehlschlüsse aufgrund von Paketverlusten zu vermeiden, sollen mehrere Neighbor Solicitations verschickt werden
# Host konfiguriert sein Interface
# Host prüft die Eindeutigkeit der selbst erzeugten Adressen
Ab wann eine Adresse als eindeutig gilt, hängt von den Parametern der jeweiligen Implementierung ab
<br clear=all>
* Jede Adresse hat anfangs den Status tentative (probeweise)
Wenn diese Eindeutigkeit angenommen werden kann, ist die Konfiguration des Interfaces vollständig und gilt als beendet
* Erst wenn die Duplicate Address Detection vollständig durchlaufen wurde, und keine Anzeichen darauf schließen lassen, dass die Adresse bereits in Benutzung ist, wird die Adresse valid (gültig)
== Ablaufverfolgung ==
'''Aufzeichnung einer Autoconfiguration mit Wireshark'''
Vom Hochfahren des Interfaces bis zu seiner endgültigen Konfiguration
=== Interface herunterfahren ===
# '''ip link set down dev enp2s0'''
2: enp2s0: <BROADCAST,MULTICAST> mtu 1500 qdisc pfifo_fast state '''DOWN''' group default qlen 1000
inet6 2001::a44d:a161:1a33:c64d/64 scope global dynamic noprefixroute
valid_lft 86399sec preferred_lft 14399sec
inet6 fe80::99d7:66e5:331d:9449/64 scope link noprefixroute
valid_lft forever preferred_lft forever
=== Aktivität beobachten ===
In Wireshark können wir bereits Aktivität beobachten. Wir warten den Abschluss der Konfiguration ab, sie ist erfolgreich verlaufen wenn wir Adressen mit den Parametern scope global und dynamic sehen:
# '''ip addr show dev enp1s0'''
2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
inet 10.30.1.1/24 brd 10.30.1.255 scope global enp1s0
valid_lft forever preferred_lft forever
inet6 fe80::523e:aaff:fe1f:6381/64 scope link
valid_lft forever preferred_lft forever
== Autoconfiguration ==
; SLAAC ist Bestandteil der Autoconfiguration, die drei wesentliche Aufgaben hat:
* Generieren einer Link-local Address
* Durchführen der Stateless Address Autoconfiguration
* Sicherstellen der Eindeutigkeit der generierten Adressen (Duplicate Address Detection)
* Damit reduziert IPv6 als Protokoll die Abhängigkeit von dritten Komponenten zur Organisation des Links
* Die Nutzung von Stateless Address Autoconfiguration erfordert keine manuelle Konfiguration der Hosts und nur sehr wenige Konfigurationsschritte auf dem Router
* Damit einher geht der Verlust einer strengen Zuordnung von Adressen zu bestimmten Hosts
* In Umgebungen wo die Zuordnung von Adressen zu Hosts zentral gesteuert werden soll, ist dieser Ansatz nicht ausreichend
* Dort würde man auf DHCPv6 zurückgreifen
* Aber auch ein simultaner Betrieb von DHCPv6 und Stateless Address Autoconfiguration wäre denkbar
* Padding Option, welche den Extension Header auf eine einheitliche Länge auffüllt
* Router Alert Option
** Informiert Multicastfähige Router, dass sich eine MLDv2 Message im Paket befindet
** Interessierte Router werten die Nachricht aus und ziehen daraus Schlüsse für ihr Multicast Routing
; Bei der MLDv2-Message handelt es sich um einen ''Changed to Exclude''
* In [[IPv6/Host/Multicast]] ist beschrieben, wie dieser Typ zu interpretieren ist
* Hier wird die Multicast Address ''ff02::1:ff60:d1e'' für alle potentiellen Multicast-Quellen freigegeben
* Die Nachricht entspricht dem Beitritt zur Multicast Group ''ff02::1:ff60:d1e''
* Es handelt sich dabei um die Solicited Node Multicast Address von Interface eth0 auf ''linux''
=== Gruppenbeitritt ===
; Zu diesem Zeitpunkt hat ''linux'' bereits einen Interface Identifier erzeugt
* Der Beitritt zur entsprechenden Multicast Group gewährt ihm Zugang zu den Paketen dieser Gruppe
; So hat er die Chance, frühzeitig zu erfahren, ob sein Interface Identifier schon verwendet wird
* Würde ein anderer Node seinen Interface Identifier bereits verwenden, so wäre dieser Node ebenfalls Mitglied der Multicast Group
* Eine doppelt vorkommende Adresse würde dadurch schneller auffallen
=== Gruppen mit mehreren Mitgliedern ===
; Es wäre allerdings auch möglich, dass ein anderer Node eine ähnliche Adresse verwendet
* Beispielsweise eine Adresse bei der sich die letzten 24 Bits gleichen
* Beide Nodes wären nun in derselben Gruppe, jene mit der gemeinsamen Solicited Node Multicast Address
* Beide Nodes würden auch Pakete empfangen, die nicht für sie bestimmt wären, die aufgrund der Ähnlichkeit der Adresse aber an die gemeinsame Gruppe geschickt wurden
* Jeder Node muss deshalb prüfen, ob ein Paket, welches an die Gruppe adressiert wurde, auch wirklich für ihn von Belang ist
* Auch ''linux'' könnte Pakete empfangen, nach der Prüfung des Inhaltes aber feststellen, dass der eigene Interface Identifier davon nicht betroffen ist
Möchte ''linux'' nun feststellen, ob die von ihm gewählte Adresse nicht nur vielleicht eindeutig ist, dann ist eine Duplicate Address Detection erfolgsversprechender
* Wenn sie fehlschlägt, dann ist die von ''linux'' gewählte Adresse sehr wahrscheinlich auf dem Link noch nicht vergeben
; Eine endgültige Gewissheit ist mit der Duplicate Address Detection nicht zu erreichen
* Im ungünstigsten Fall gehen genau jene Pakete verloren, die auf eine doppelte Adresse hinweisen würden
* Dazu sendet ''linux'' eine Neighbor Solicitation für die selbst erzeugte Adresse aus
; Quelladresse
Als Quelladresse wählt er wieder die Unspecified Address, da die Link-local Address noch nicht als eindeutig gilt
* Die Neighbor Solicitation geht an die Solicited Node Multicast Address der zu überprüfenden Link-local Address
* Im Feld Target Address taucht die gewünschte Adresse ''fe80::200:ff:fe60:d1e'' schließlich auf
Das Ausbleiben eines Neighbor Advertisements wertet der Node als Anzeichen für die Eindeutigkeit seiner Adresse auf dem Link
* Sie wird dann dem Interface zugewiesen und gilt fortan als valid
* Obwohl sich die Solicited Node Multicast Address für die Global Unicast Address nicht von der für die Link-local Address unterscheidet, versendet ''linux'' einen neuen Multicast Listener Report
* Der wesentliche Unterschied ist die Quelladresse des Paketes, siehe auch Abbildung 5.14
; Anstatt der Unspecified Address kommt diesmal die Link-local Address zum Einsatz
=== Test ===
* Der Rest des Paketes ist in Abbildung 5.15 dargestellt
Einem Test der Konnektivität von ''client'' steht nun nichts mehr im Wege
; Unverändert geblieben ist der Beitritt zur Solicited Node Multicast Group, der erneut mithilfe von Changed to Exclude erreicht wurde
Dazu verschicken wir Echo Requests von ''client'' an den Tunnelendpunkt des Tunnelbrokers
* Und einen weiteren Gruppenbeitritt können wir im Paket entdecken, der Beitritt zur Gruppe ff 2::fb
<syntaxhighlight lang="bash" highlight="1" line copy>
* Dies ist die Multicast DNS Address für die Verwendung mit IPv6, und für unser Netz nicht weiter wichtig
<syntaxhighlight lang="bash" highlight="1" line copy>
traceroute to 2 a 1 :198:2 : a23 ::1 (2 a 1 :198:2 : a23 ::1) 3 hops max , 8 byte packets
traceroute6 -n 2a01:198:200:a23::1
1 2 a 1 :198:2 :8 a23 ::1 2.2 4 ms 162 ms 193 ms
</syntaxhighlight>
2 2 a 1 :198:2 : a23 ::1 13.255 ms 13.412 ms 19.135 ms
; An erster Stelle steht der nächste Hop, in unserem Fall die Adresse des Interfaces eth1 von router
An erster Stelle steht der nächste Hop, in unserem Fall die Adresse des Interfaces eth1 von router
* Schon in der zweiten Zeile ist das Ziel erreicht
* Schon in der zweiten Zeile ist das Ziel erreicht
=== SLAAC unter Windows ===
; Analyse einer Autoconfiguration unter Windows
* Bei dieser Gelegenheit werden wir auch Unterschiede entdecken, die durch Aktivierung von Privacy Extensions auftreten
* Dazu öffnen wir als Administrator ein Terminal und stellen sicher das die Privacy Extensions aktiviert sind
* Nach dem Betätigen der Tastenkombination Windowstaste+X erscheint ein Menü in dem wir den Punkt Command Prompt (Admin) auswählen:
: Abbildung 5.17 SLAAC unter Windows
C:\Users\user> '''netsh interface ipv6 set global randomizeidentifiers = enabled'''
Ok
; Leider kommt es unter Windows beim Betrieb von Wireshark manchmal zu Problemen
* Der benötigte Treiber zum Mitschnitt von Daten heißt Windows Packet Capture (WinPcap), je nach Update-Stand von felis kann er funktionieren oder auch nicht
* Als Lösung bietet es sich an, den Verkehr von eth1 auf ''router'' mitzuschreiben, auch dort kommen die Pakete vorbei
Sobald Wireshark bereit ist, deaktivieren wir die LAN-Verbindung auf felis und aktivieren sie anschließend wieder
* Bei einer Beobachtung von ''router'' aus, können wir alternativ auch einen Neustart von felis durchführen
* In beiden Fällen ergibt sich ein Mitschnitt, der dem aus Abbildung 5.17 ähnlich sieht
=== Eigene Untersuchungen ===
; Untersuchen Sie die einzelnen Pakete und finden Sie heraus, zu welchem Zweck jedes einzelne versendet wurde
* Sie können sich dabei auf ICMPv6 beschränken und auch die Teile von MLDv2, die sich um Multicast DNS drehen, ignorieren
* Erkennen Sie anhand der Informationen in den Paketen, ob diese sich auf einen zufälligen (Privacy Extensions) oder auf einen EUI-64-basierten Interface Identifier beziehen?
: Abbildung 5.18: Interner Link mit DNS-Server
'''Stateless Address Autoconfiguration''' (SLAAC) - Automatische Konfiguration von IPv6-Adressen
== Autoconfiguration ==
; SLAAC ist Bestandteil der Autoconfiguration, die drei wesentliche Aufgaben hat
# Generieren einer Link-local Address
# Durchführen der Stateless Address Autoconfiguration
# Sicherstellen der Eindeutigkeit der generierten Adressen (Duplicate Address Detection)
SLAAC reduziert IPv6 die Abhängigkeit von dritten Komponenten zur Organisation des Links
Die Nutzung von Stateless Address Autoconfiguration erfordert keine manuelle Konfiguration der Hosts und nur sehr wenige Konfigurationsschritte auf dem Router
Damit einher geht der Verlust einer strengen Zuordnung von Adressen zu bestimmten Hosts
