IPv6 funktioniert nur manchmal? DNS, Firewall und Path MTU prüfen

Das Fehlerbild zuerst messbar machen

Notieren Sie Hostname, Zeitpunkt, Client-Netz, verwendete Anwendung und die genaue Fehlermeldung. Trennen Sie danach die Adressfamilien: DNS-Abfragen für A und AAAA zeigen die veröffentlichten Ziele; Werkzeuge wie curl mit -4 beziehungsweise -6 prüfen denselben HTTPS-Aufruf gezielt über IPv4 oder IPv6. Ein erfolgreicher IPv4-Test belegt keinen funktionierenden IPv6-Pfad.

Vergleichen Sie nicht nur Erfolg und Fehler, sondern auch Dauer, Antwortgröße und Wiederholbarkeit. Wenn ausschließlich einzelne Netze, Geräte oder größere Übertragungen betroffen sind, grenzt das die Suche deutlich ein.

1. A- und AAAA-Ziele getrennt kontrollieren

• Stimmen die veröffentlichten A- und AAAA-Adressen mit der vorgesehenen Plattform überein?
• Liefern autoritative Nameserver und verwendete Resolver dieselben aktuellen Werte, oder wirkt noch ein alter TTL-Zeitraum?
• Zeigt ein AAAA-Eintrag auf einen früheren Server, Proxy oder Load Balancer, der nicht mehr vollständig betrieben wird?
• Überwacht das Monitoring beide Adressfamilien ausdrücklich, statt nur den zuerst erfolgreichen Pfad?

2. Listener, TLS und Firewall auf dem IPv6-Ziel prüfen

Die Adresse kann im DNS korrekt sein, obwohl der Dienst dort nicht lauscht. Prüfen Sie auf dem Zielsystem die IPv6-Adresse und Route sowie den Listener des Webservers, Reverse Proxys oder Load Balancers. Container- und Proxy-Konfigurationen können IPv4 und IPv6 unterschiedlich behandeln. Testen Sie die öffentliche Adresse deshalb zusätzlich von außerhalb des Servernetzes.

Für HTTPS müssen Hostname, Zertifikat und Server Name Indication auf beiden Pfaden zum selben vorgesehenen Dienst führen. Kontrollieren Sie außerdem Host-Firewall, vorgeschaltete Netzwerkfilter und Sicherheitsgruppen getrennt für IPv6. Eine vorhandene IPv4-Regel wird nicht automatisch zu einer gleichwertigen IPv6-Regel.

3. ICMPv6 gezielt filtern, nicht pauschal sperren

ICMPv6 ist ein grundlegender Bestandteil von IPv6. Dazu gehören Fehlermeldungen wie „Packet Too Big“, die ein Absender für die Ermittlung der nutzbaren Pfad-MTU benötigt. Eine pauschale Sperre kann deshalb Verbindungen beschädigen, obwohl TCP-Port 443 in der Firewall freigegeben ist.

Das bedeutet nicht, jede ICMPv6-Nachricht ungeprüft weiterzuleiten. Verwenden Sie nachvollziehbare Regeln nach Nachrichtentyp und Netzgrenze, berücksichtigen Sie die Empfehlungen für Firewalls und protokollieren Sie verworfene Pakete begrenzt. Alte IPv4-Filterregeln sollten nicht unverändert auf IPv6 übertragen werden.

4. Bei kleinen Erfolgen und großen Fehlern an die Path MTU denken

IPv6-Router fragmentieren weitergeleitete Pakete nicht. Ist ein Paket für den nächsten Abschnitt des Pfads zu groß, meldet der Router dies mit ICMPv6 Packet Too Big; der Absender passt die Paketgröße anschließend an. Werden diese Meldungen gefiltert oder erreichen sie den Absender nicht, können kleine Requests funktionieren, während TLS-Verbindungen, Uploads oder Downloads hängen bleiben.

Vergleichen Sie deshalb einen kleinen Abruf mit einer größeren, kontrollierten Übertragung. Werkzeuge wie tracepath können Hinweise auf die Path MTU geben. Prüfen Sie insbesondere Tunnel, VPNs, Overlays und Übergänge mit abweichender MTU. Senken Sie die MTU nicht vorschnell global: Erst der nachgewiesene Engpass bestimmt, an welcher Stelle eine Konfiguration korrigiert werden muss.

5. Aus mehreren Netzen und mit beiden Adressfamilien testen

• Denselben Host über IPv4 und IPv6 aus dem Büro- oder Rechenzentrumsnetz testen.
• Einen zweiten unabhängigen Zugang nutzen, etwa Mobilfunk oder einen externen Prüfpunkt.
• DNS-Ergebnis, Quell- und Zieladresse, Port, Uhrzeit und konkrete Fehlermeldung zusammen dokumentieren.
• Nur bei vorhandener Berechtigung Paketmitschnitte erstellen und dabei Nutzdaten sowie personenbezogene Informationen schützen.

Mit belastbaren Befunden schneller zur Ursache

Für eine Eskalation an Betreiber oder Provider sind „IPv6 geht nicht“ und ein einzelner Screenshot selten ausreichend. Hilfreich sind ein enges Zeitfenster, der betroffene Hostname, die aufgelösten A- und AAAA-Adressen, das Client-Netz, getrennte IPv4-/IPv6-Ergebnisse und der Hinweis, ob nur größere Übertragungen scheitern.

Wenn der betroffene Dienst bei NUXOA betrieben wird, senden Sie diese Angaben ohne Zugangsdaten über den vorgesehenen Support- oder Kontaktweg. Damit lässt sich schneller unterscheiden, ob DNS, Zielsystem, Firewall oder der Netzpfad untersucht werden muss.