DS-Lite – Dual-Stack Lite

Abkürzung: DS-Lite

Bei DS-Lite bekommt der Internetanschluss nur eine IPv6-Adresse vom Provider. IPv4 wird durch einen Tunnel zum Anbieter geführt und dort auf eine geteilte Adresse übersetzt.

Definition

Dual-Stack Lite ist ein Übergangsverfahren nach RFC 6333. Der Anschluss erhält ausschließlich IPv6-Konnektivität. IPv4-Verkehr aus dem Heimnetz wird im Router in IPv6-Pakete verpackt und zu einem Gerät im Netz des Anbieters geschickt, das ihn auspackt und auf eine öffentliche IPv4-Adresse umsetzt.

Die beiden beteiligten Komponenten haben eigene Namen. Der Teil im Router des Kunden heisst B4, der Gegenpart beim Anbieter AFTR. Die Adresse des AFTR bekommt der Router bei der Einwahl per DHCPv6 mitgeteilt, geregelt in RFC 6334.

Der Name ist irreführend. DS-Lite ist kein abgespecktes Dual Stack, sondern ein reiner IPv6-Anschluss mit angehängter IPv4-Notversorgung.

Warum Anbieter es einsetzen

DS-Lite löst dasselbe Problem wie Carrier-grade NAT, geht aber einen anderen Weg. Statt IPv4 im Zugangsnetz weiterzuführen, wird dort ausschließlich IPv6 betrieben. Das vereinfacht den Betrieb, weil nur noch ein Protokoll gepflegt werden muss.

Aus Sicht des Anbieters ist das der sauberere Ansatz. Aus Sicht des Kunden ist der Unterschied zu CGNAT gering, weil in beiden Fällen keine eigene öffentliche IPv4-Adresse zur Verfügung steht.

Woran man DS-Lite

Im Router zeigt die Statusanzeige IPv6 als verbunden, während bei IPv4 entweder nichts steht oder ein Hinweis auf DS-Lite oder AFTR erscheint. Manche Geräte führen eine Adresse aus dem Bereich 192.0.0.0/29, der in RFC 6333 für diesen Zweck vorgesehen ist.

In der Konfigurationsoberfläche von Routern ist DS-Lite häufig als eigene Option aufgeführt, teils zusammen mit einem Feld für die AFTR-Adresse. Wer diese Option setzen muss, hat einen DS-Lite-Anschluss.

Ein einfacher Test von außen: Eine Website, die die eigene Adresse anzeigt, nennt eine IPv4-Adresse, die der Router nirgends führt.

Auswirkungen

Die Einschränkungen entsprechen denen von Carrier-grade NAT, weil auch hier die öffentliche IPv4-Adresse geteilt wird.

• Portweiterleitungen für IPv4 bleiben wirkungslos
• DynDNS zeigt auf eine Adresse, die dem Anschluss nicht allein gehört
• Eingehende Verbindungen über IPv4 sind nicht möglich
• Die Reputation der geteilten Adresse wird von anderen Teilnehmern mitbestimmt

Dazu kommen zwei Punkte, die aus dem Tunnel selbst folgen.

Kleinere nutzbare Paketgröße. Der IPv6-Kopf des Tunnels belegt 40 Byte. Was davon übrig bleibt, steht dem IPv4-Paket zur Verfügung. Anwendungen, die große Pakete ohne Fragmentierung senden, können dadurch hängen bleiben. Das Fehlerbild ist unangenehm, weil der Verbindungsaufbau gelingt und erst die Übertragung größerer Datenmengen stockt. Router setzen deshalb meist automatisch einen kleineren MSS-Wert.

Ein zusätzlicher Punkt auf dem Weg. Aller IPv4-Verkehr läuft über das AFTR des Anbieters, auch wenn das Ziel geografisch nah liegt. Das kostet Latenz und macht die Leistung von der Auslastung dieses Geräts abhängig.

IPv6-Verkehr ist von alldem nicht betroffen. Er läuft direkt und ohne Tunnel.

Was hilft

Die Wege entsprechen denen bei Carrier-grade NAT. IPv6 nutzen, wo die Gegenstelle es unterstützt. Dual Stack beim Anbieter buchen, sofern angeboten. Oder die Erreichbarkeit über einen gemieteten Server mit öffentlicher Adresse herstellen, zu dem der heimische Router von innen eine dauerhafte Verbindung aufbaut.

Einen Wechsel auf Dual Stack bieten mehrere Anbieter an, teils kostenpflichtig, teils nur auf ausdrückliche Anfrage. Die Bezeichnung lautet je nach Haus öffentliche IPv4, Dual Stack oder feste IP-Adresse.

Abgrenzung

Dual Stack. Beide Protokolle laufen vollwertig nebeneinander, der Anschluss hat eine eigene öffentliche IPv4-Adresse. Kein Tunnel, keine geteilte Adresse.

Carrier-grade NAT. Der Anschluss bekommt eine IPv4-Adresse aus einem geteilten Bereich. Kein Tunnel, aber ebenfalls keine eigene öffentliche Adresse.

MAP-E und MAP-T. Verwandte Verfahren, bei denen dem Anschluss ein fester Portbereich einer geteilten IPv4-Adresse zugewiesen wird. Dadurch sind eingehende Verbindungen in begrenztem Umfang möglich.

6rd. Das Gegenstück in umgekehrter Richtung: IPv6 wird durch ein IPv4-Netz getunnelt.

Quellen

• RFC 6333: Dual-Stack Lite Broadband Deployments Following IPv4 Exhaustion
• RFC 6334: Dynamic Host Configuration Protocol for IPv6 (DHCPv6) Option for Dual-Stack Lite
• RFC 7021: Assessing the Impact of Carrier-Grade NAT on Network Applications
• RFC 7597 und RFC 7599: Mapping of Address and Port (MAP-E, MAP-T)