Zusammenfassung

  • IPv6-Adresse, BGP-Route und Ping belegen nicht, dass Fragment, Destination Options, Hop-by-Hop oder Routing Header denselben Pfad überstehen. Die Fähigkeit gehört zu Richtung, Kette, Länge, Pfad und Zeitpunkt.
  • RFC 7872 sowie APNIC- und RIPE-Messungen fanden relevante, aber methoden-, typ-, längen- und standortabhängige Verluste. Historische Werte belegen Heterogenität, nicht die weltweite Quote 2026.
  • Betreiber von Parser, Firewall, Cloud und DDoS besitzen praktische Zulassungsmacht; Hersteller legen die Kostenkante fest. Eine Multi-Vendor-Matrix kann die These widerlegen. Der glaubwürdige Gegenentwurf ist ein begrenztes, messbares und auslaufendes Fähigkeitsprofil.

Die fehlende Maßeinheit

Der IPv6-Basisheader ist 40 Byte lang. Danach kann eine Kette folgen, in der jedes Next-Header-Feld zum nächsten Abschnitt führt, bis TCP, UDP oder ein anderes Protokoll erreicht ist. Wer Ports filtert, muss diese Kette durchlaufen.

Hardware ist endlich. ASIC-Stufen, Parsing-Puffer und CPU-Kapazität setzen Grenzen. Ein normales IPv6-Paket läuft mit Leitungsgeschwindigkeit; dieselbe Verbindung mit Layer 4 in 64 oder 128 Byte Tiefe kann im Slow Path, Rate Limit oder Drop enden.

RFC 7045 verlangt grundsätzlich die Weiterleitung trotz Standard-EH und angemessene Erkennung durch inspizierende Firewalls. Absichtlich konfigurierte Policy bleibt möglich. Die Norm koordiniert Interoperabilität, ersetzt aber kein altes Linecard-Silizium und betreibt keinen fremden DDoS-Dienst.

RFC 7112 fordert die vollständige Headerkette im ersten Fragment. Das erleichtert Inspektion, garantiert aber keine Parser-Tiefe. RFC 9098 nennt den Kern: außer der Path MTU existiert keine gemeinsame Tiefengrenze; für Layer 4 muss sequenziell geparst werden. Gewöhnliche Erreichbarkeit ist deshalb kein EH-Abnahmetest.

Historische Messungen mit Grenzen

RFC 7872 testete 2016 Web-, Mail- und Nameserver aus World IPv6 Launch und Alexa Top 1M. Bei World-IPv6-Launch-Webservern lagen Drops bei 11,88 % für 8-Byte Destination Options, 40,70 % für 8-Byte Hop-by-Hop und 30,51 % in der Fragment-Bedingung. Alexa-Webserver: 10,91 %, 39,03 %, 28,26 %. Alexa-Nameserver erreichten in der Fragment-Bedingung 55,23 %.

Das zeigt einen Effekt von Typ und Zielklasse. Es ist keine aktuelle Weltmessung. Zielliste, Paketbau, Pfad und Zeitraum gehören zum Ergebnis.

APNIC rekrutierte später Clients per Werbung. Der Bericht 2022 nennt etwa vier Millionen Messungen täglich. 2023 wurden Destination Options und Hop-by-Hop PadN mit 8, 16, 32, 64 und 128 Byte sowie Fragmentgrößen von 1.200 bis 1.416 Oktett getestet.

Der APNIC-Artikel von 2023 meldete rund 30 % Destination-Options-Verlust bis 64 Byte und 55 % bei 128 Byte, nachdem sich der Wert im April ungeklärt von etwa 90 % auf 55 % änderte. Derselbe APNIC-Artikel berichtete, dass ein Server der Universität Aberdeen vom 27. April bis 15. Mai 2023 370.742 Hop-by-Hop-Versuche für eine britische Stichprobe lieferte: 99,04 % Gesamtverlust, 98,25 % bei 8 Byte, 99,99 % bei 128.

Die Studie lokalisierte den Drop nicht abschließend. Zugangs-AS unterschieden sich; Hosting, virtuelle Fabric, Transit und Endpunkt blieben Kandidaten. Ein extremer End-to-End-Wert ersetzt keine kontrollierte Attribution.

RIPE Atlas fand angrenzend etwa 10 % Fragmentierungsprobleme unter teilnehmenden IPv6-Probes, zugleich schon rund 11 % vollständigen Verlust bei 100 Byte. Je Größe nahmen ungefähr 1.284–1.292 Probes teil; die Übertragbarkeit blieb offen. EH-Raten brauchen denselben funktionierenden IPv6-Kontrollpfad als Nenner.

Produktgrenzen werden zu Pfadgrenzen

Cisco beschreibt für benannte Plattformen feste Parsing-Ressourcen, eine 64-Byte-EH-Kette als Hardwarebeispiel und Softwarebehandlung oberhalb der Ressource bei Layer-4-Filtern. Ein Cisco-IOS-XR-7.1.1-Leitfaden für NCS 5500 zeigt Linecard-Unterschiede und Bedingungen ohne Layer-4-Matching bei EH.

Juniper bietet extension-headers-Matches und plattformspezifische Grenzen; auf einer IDS-Fläche blockiert fehlendes allow-ipv6-extension-header jedes EH-Paket. Nokia dokumentiert ipv6-eh max und limited; das zitierte Release durchsucht für bestimmte Filter bis zu sechs Header.

Das ist kein Herstellervergleich. Es belegt, dass Tiefe, Typen, Defaults, Zähler und Fast Path Produktattribute sind. Cloudkunden erben sie oft ohne Kenntnis des Chassis.

Sicherheitskosten sind real. RFC 8504 erlaubt Längen-, Anzahl- und Kettenlimits. RFC 8883 definiert ICMPv6 für zu großen Header, zu lange Kette und zu viele Elemente. RFC 9288 ordnet Transitfilterung. RFC 9673 aktualisierte 2024 Hop-by-Hop für selektive Verarbeitung. RFC 9740 ergänzte 2025 IPFIX um Typen, Anzahl, Kettenlänge und Vollständigkeit. RFC 9805 verwarf Router Alert für neue Protokolle.

Ein definierter Fehlercode beweist weder Implementierung noch Rückweg. Legitimität bedeutet nicht unendliche CPU, sondern offengelegte, proportionale Grenze und Diagnose.

Widerlegbar in 90 Tagen

Drei Access-, Transit- und Cloud/DDoS-Familien; drei Router-Silizium-, Firewall- und Host-Stack-Familien; 100 Pfadpaare je Servicefamilie. Verglichen werden Control, Fragment, Destination Options, Hop-by-Hop und Routing/SRH.

EH-Tiefen 8, 16, 32, 64, 128 Byte; empfohlene und andere gültige Reihenfolge; TCP, UDP, QUIC-ähnliches UDP; 256, 1.200, 1.400 Byte; 100 Durchläufe pro Zelle. Messen: Zustellung, Silent Drop, p95, Durchsatz, ICMP, Fast/Slow, CPU.

Die These fällt nur, wenn jede gültige EH-Zelle höchstens 0,1 Prozentpunkt vom Control abweicht, maximal ein EH-Silent-Drop je 100.000 auftritt, Latenz und Durchsatz innerhalb 2 % bleiben, CPU weniger als fünf Punkte steigt, bis 128 Byte kein Slow-Path-Sprung entsteht und 99,9 % absichtlich überschrittener Grenzen den erwarteten RFC-8883-Fehler zurückgeben. Typ, Byte, Reihenfolge, Gerät und Policy dürfen nicht mehr erklären als Erreichbarkeit; neue Nutzung muss ohne Tunnel, Allowlist, Probe oder Austausch wachsen.

Stärker wird der Trend, wenn gültige 8 Byte auf 10 % der Pfade mehr als fünf Punkte Differenz erzeugen, 64–128 Byte eine reproduzierbare Kante bilden, p95 25 % steigt, Durchsatz 20 % sinkt, CPU 15 Punkte steigt, über die Hälfte ohne brauchbares ICMP bleibt oder nur Device/Firmware/DDoS/Pfad das Ergebnis ändert. Das sind zukünftige Schwellen.

Was eine Zuteilung nicht garantiert

IPv6-Zuteilung belegt Eindeutigkeit und Registry-Eintrag. BGP belegt Control-Plane-Sichtbarkeit. Beides kauft keine optionale Verarbeitung entlang der Lieferkette. Ressourcenhalter müssen Adressmenge, Routing, Basisreichweite und EH getrennt beschaffen.

Abzufragen sind Typen, Limits, Fast/Slow, Firewall-Default, RFC-8883-Zähler und Ablauf nach Firmware-, Chassis-, Cloud- oder Policy-Wechsel; in beide Richtungen testen. „IPv6 Connectivity“ kann wahr und unzureichend sein.

IANA koordiniert Kennungen, IETF Syntax, RIR Register. Sie betreiben den Transitparser nicht. Das Gerät im Pfad besitzt faktische Macht, kein globales Mandat. Eigenschutz ist legitim, wenn Wirkung sichtbar, verhältnismäßig, diagnostizierbar und ersetzbar ist.

Lock-in entsteht im Kreis: Anwendungen meiden EH, geringe Nutzung senkt Investition, fixes Silizium erhält Unsicherheit. Tunnel oder geschlossene SRv6-Domäne helfen, ersetzen aber Pfadabhängigkeit durch Controllerabhängigkeit.