Zusammenfassung

  • Revision 08 des YANG-Modells für IPv6 Neighbor Discovery steht bis 16. September 2026 im IETF Last Call. Das schreibbare Blatt auto-resolve kann Protokollierung, das Verwerfen der ND-Nachricht und die Sperre des Hosts in Gang setzen.
  • Die am 5. September abgeschlossene INTDIR-Prüfung lautet „Ready with Issues“ und beanstandet, dass enhanced-dad/auto-resolve offenbar nicht in der Liste sicherheitssensibler schreibbarer Knoten steht, obwohl es automatische Sperren ermöglicht.
  • Das Standardmodell liefert aggregierte Schnittstellenzähler, aber keinen Datensatz je Sperrentscheidung. Betreiber benötigen vor der Aktivierung belastbare Zuordnung, getrennte Aktionsresultate, Befristung und einen erprobten Entsperrweg.

Der relevante Fehler steckt nicht in der Syntax

Der Entwurf ergänzt gemeinsame Verwaltungsfunktionen für Adressauflösung, Redirects, Proxy Neighbor Advertisements, Neighbor Unreachability Detection sowie gewöhnliches und erweitertes Duplicate Address Detection. Revision 08 soll Proposed Standard werden. Die YANG-Prüfung im Datatracker meldet weder Fehler noch Warnungen.

Die INTDIR-Besprechung von Carlos Pignataro stellt diese technische Reife nicht in Frage. Sie richtet den Blick auf die Wirkung eines einzelnen konfigurierbaren Knotens. Der Sicherheitsabschnitt fordert geschützte Managementtransporte, gegenseitige Authentisierung und Zugriffsschutz durch NACM. Trotzdem reicht es nicht, den Kreis der Schreibberechtigten festzulegen. Nach dem Umschalten muss sich auch belegen lassen, welche automatisierte Entscheidung daraus entstanden ist.

Die Sperre stammt aus einem begrenzten Vertrauensmodell

RFC 7527 beschreibt den Ausgangsfall genauer. Ein vertrauenswürdiger Router bedient nicht vertrauenswürdige IPv6-Hosts. In einem Kabelzugangsnetz kann der Access Concentrator eine echte Dublette zu einer eigenen vorläufigen oder optimistisch verwendeten Adresse feststellen. Er soll eine Managementmeldung schreiben, die empfangene ND-Nachricht verwerfen und das Modem sperren, über dessen Layer-2-Servicekennung die Nachricht eintraf.

Diese Servicekennung ist die Brücke zwischen Paketbeobachtung und dem Adressaten der Maßnahme. Andere Netze dürfen die Automatik nutzen, wenn sie demselben Vertrauensmodell folgen. RFC 7527 erklärt sie nicht zur allgemeinen Reaktion auf jede DAD-Warnung.

Die Beschreibung im YANG-Entwurf behält die Rollen des vertrauenswürdigen Routers und der nicht vertrauenswürdigen Hosts bei. Das Blatt selbst liegt jedoch als generische Schnittstellenkonfiguration vor. Ein Betriebsprofil muss deshalb festhalten, auf welchen Links die Annahme gilt und welches Merkmal die Zuordnung stützt. Ein pauschales true könnte eine bereichsspezifische Maßnahme in eine unbegründete Standardstrafe verwandeln.

Ein besseres Signal bleibt angreifbar

Enhanced DAD verwendet eine Nonce, um zurückgeschleifte eigene Neighbor Solicitations von echten Adresskollisionen zu unterscheiden. Das beseitigt eine wichtige Fehlklassifikation. Es authentisiert aber nicht automatisch den Host, gegen den eine Sperre wirken soll.

RFC 4862 warnt, dass Duplicate Address Detection nicht vollständig zuverlässig ist. RFC 7527 nennt Manipulationen der Nonce und gefälschte Neighbor Advertisements als Angriffe. SEND wird dagegen empfohlen; SAVI ist eine weitere genannte Schutzschicht. Wenn ein Angreifer das Auslösesignal herstellen kann, muss die Kette vom Signal über die Layer-2-Zuordnung bis zur Sanktion überprüfbar bleiben.

In virtualisierten oder gemeinsam genutzten Zugängen kann eine Servicekennung fehlen, geteilt oder kurzlebig sein. Die im Paket beobachtete IPv6-Adresse allein ist keine dauerhafte administrative Identität. Eine automatisierte Sperre benötigt daher mehr Herkunftsnachweise als ein automatisierter Zähler.

Aggregierte Statistik ist keine Entscheidungsquittung

Das Modell enthält zahlreiche schreibgeschützte Zähler für empfangene, gesendete und verworfene ND-Nachrichten, darunter mehrere Verwerfungsgründe. Sie sind wertvoll für Überwachung und Kapazitätsplanung. Aus ihnen lässt sich jedoch nicht rekonstruieren, weshalb ein bestimmter Anschluss gesperrt wurde.

Im standardisierten Baum fehlt ein Vollzugsereignis, das Nachrichtentyp, Schnittstelle, strittige Adresse, Layer-2-Zuordnung, Richtlinienstand, Konfigurationsursprung und die drei Einzelergebnisse verbindet. Ebenso fehlen eine unblock-Operation und ein automatisches Ablaufdatum. Hersteller können solche Funktionen ergänzen. Damit bleibt aber gerade die Rechenschaft uneinheitlich, obwohl der Auslöser standardisiert ist.

Vor dem Einsatz sollte der Betreiber eine Quittung je Entscheidung verlangen. Sie nennt Klassifikation, Zeitpunkt, Schnittstelle, Adresse, Zuordnungsweg und Regelversion. Protokollierung, Verwerfen und Sperre erhalten getrennte Ergebnisse. Für die Sperre kommen Umfang, Dauer, Grundcode und ein getesteter Rückweg hinzu. Sonst vereinfacht der Boolesche Wert nicht nur die Bedienung, sondern auch die Beweislage.

Quellen