IPv6 erreichbar

Was geprüft

Ist eine IPv6-Adresse veröffentlicht, wird zur ersten zulässigen Adresse eine TLS-Verbindung aufgebaut. Auffällig ist der Punkt, wenn die Adresse eine Verbindung ablehnt oder der TLS-Aufbau scheitert. Zeitüberschreitungen und Fehler, die auf fehlendes IPv6 am Messstandort hindeuten (Netz oder Host nicht erreichbar), ergeben „nicht geprüft“ und nie einen auffälligen Punkt.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Eine veröffentlichte IPv6-Adresse, die die Verbindung ablehnt oder bei der der TLS-Aufbau scheitert, wird trotzdem als auffälliger Punkt (Niedrig) markiert, weil sie Besucher mit IPv6 betreffen kann.

Warum

Browser versuchen IPv6 und IPv4 nahezu gleichzeitig und nehmen die schnellere Verbindung. Antwortet die IPv6-Adresse nicht, sehen manche Besucher Verzögerungen; Programme ohne dieses Verfahren, etwa Webhooks oder Crawler, können ganz scheitern.

Wie beheben

Lassen Sie den Webserver auch auf IPv6 lauschen und den Port 443 in der Firewall für IPv6 freigeben. Gelingt das nicht, entfernen Sie den AAAA-Eintrag, bis IPv6 funktioniert.

Nebenwirkung: Nach Änderungen an Firewall oder Webserver beide Wege testen, etwa mit curl -6 und curl -4. Senken Sie die TTL (Gültigkeitsdauer im Zwischenspeicher) des Eintrags einige Stunden vor der Änderung, damit eine Korrektur schnell wirkt. Prüfen Sie danach mit dig oder nslookup direkt bei jedem zuständigen Nameserver.

Codebeispiel

nginx

listen 443 ssl;
listen [::]:443 ssl;

Apache (Serverkonfiguration)

Listen 443
Listen [::]:443

Test

curl -6 -I https://beispiel.de/
curl -4 -I https://beispiel.de/

Weiterführende Quellen

• https://www.rfc-editor.org/rfc/rfc8305.html