FACHWISSEN · TECHNIK & SICHERHEITINSIGHTS · TECHNOLOGY & SECURITY
Dual-Stack-Netze: Warum eine geprüfte IPv4-Regel den IPv6-Pfad nicht automatisch abdecktDual-stack networks: why a verified IPv4 rule does not automatically cover IPv6
Ein Zugriff wird über eine bekannte Adresse korrekt gefiltert. Dieselbe Anwendung kann jedoch zusätzlich über eine andere Protokollfamilie erreichbar sein. In Netzen mit parallelem IPv4- und IPv6-Betrieb müssen Bestandsaufnahme, Regeln und Nachweise beide tatsächlich genutzten Wege berücksichtigen.
Erreichbarkeit vollständig erfassen
Eine Anwendung kann mehrere Adressen, Schnittstellen und Namensauflösungen besitzen. Welche Verbindung ein Client nutzt, hängt von seinem Netz und seiner Implementierung ab. Die technische Bestandsaufnahme sollte deshalb nicht allein auf einer bekannten IPv4-Adresse beruhen. Auch automatisch eingerichtete Adressen und freigegebene Dienste gehören in die Prüfung des konkreten Systems.
Dasselbe Schutzziel in beiden Familien durchsetzen
Die gewünschte Kommunikationsbeziehung bleibt fachlich dieselbe, ihre Umsetzung kann sich technisch unterscheiden. Filter, Überwachung und Zugangsregeln werden für beide Protokollfamilien betrachtet. Dabei müssen notwendige Kontrollfunktionen des jeweiligen Protokolls erhalten bleiben. Eine ungeprüfte Übernahme von Regeln oder eine pauschale Sperre sämtlicher Kontrollmeldungen ist keine belastbare Entsprechung.
Ein fiktiver Abnahmetest prüft beide Wege
Ein Team erlaubt eine Administrationsoberfläche nur aus einem vorgesehenen Verwaltungsbereich. Es prüft den erlaubten und den gesperrten Zugriff getrennt über die tatsächlich verfügbaren Adressfamilien. Name, Zieladresse, Testquelle und Zeitpunkt werden festgehalten. Ein einzelner erfolgreicher Negativtest über IPv4 würde den entsprechenden IPv6-Fall nicht nachweisen.
Betriebsentscheidungen ausdrücklich dokumentieren
Wird eine Protokollfamilie bewusst nicht verwendet, braucht auch diese Entscheidung eine technisch nachvollziehbare Umsetzung und spätere Kontrolle. Eine nur angenommene Nichtnutzung kann bei neuen Geräten oder Konfigurationsänderungen überholt sein. Inventar und Diagnoseverfahren werden deshalb mitgepflegt. Dual Stack ist weder automatisch unsicher noch automatisch vollständig abgesichert: Entscheidend ist, ob alle wirksamen Zugriffswege im vorgesehenen Schutzkonzept enthalten sind.
Access through a familiar address is filtered correctly. The same application may also be reachable through another protocol family. Networks operating IPv4 and IPv6 in parallel need inventory, rules and evidence that cover both paths actually in use.
Inventory the complete reachability
An application can have multiple addresses, interfaces and name-resolution results. The path a client uses depends on its network and implementation. Technical inventory should therefore not rely only on a familiar IPv4 address. Automatically configured addresses and enabled services also belong in the assessment of the actual system rather than being assumed absent.
Enforce the same protection goal in both families
The required business communication relationship remains the same, while its technical implementation may differ. Examine filtering, monitoring and access policies for both families. Preserve necessary control functions of each protocol. Copying rules without validation, or blocking all control messages indiscriminately, does not establish an equivalent and functional policy.
Test both paths in fictional acceptance
A team permits an administrative interface only from a designated management area. It tests permitted and blocked access separately through the address families actually available. Record the name, destination, test source and time. One successful negative test through IPv4 would not establish the corresponding IPv6 behaviour.
Document operational choices explicitly
A deliberate decision not to use one family also needs a technically traceable implementation and later checks. Assumed non-use can become outdated when devices or settings change. Maintain inventory and diagnostic procedures accordingly. Dual stack is neither automatically insecure nor automatically fully protected: what matters is whether all effective access paths are covered by the intended safeguards.