Die meisten VPS-Tarife enthalten IPv6, und die meisten bleiben halb eingerichtet: Die Adresse ist zugewiesen, ein AAAA-Record existiert, aber die Firewall oder der Webserver lauscht nie darauf. Ein Besucher mit IPv6 nimmt dann den schnellen Weg, wartet, bis er in eine Zeitüberschreitung läuft, und weicht erst danach auf IPv4 aus. Die Website fühlt sich langsam an, aus Gründen, die kein IPv4-Test zeigt.

Funktioniert es überhaupt

ip -6 addr show
ping6 -c2 ipv6.google.com
curl -6 -sS -o /dev/null -w '%{http_code}\
' https://yourdomain.com

Auf die letzte Zeile kommt es an. Hängt sie oder schlägt sie fehl, während die IPv4-Variante antwortet, zeigt Ihr AAAA-Record auf eine Tür, hinter der niemand steht.

Die drei Stellen zum Nachsehen

  • Der Webserver — Nginx braucht eine eigene listen-Zeile: listen [::]:443 ssl;
  • Die Firewall — ufw und firewalld behandeln v6 getrennt; iptables-Regeln gelten für ip6tables überhaupt nicht.
  • DNS — ein AAAA-Record hilft nur, wenn die beiden obigen Punkte stimmen.
# nginx
listen 80;
listen [::]:80;
listen 443 ssl;
listen [::]:443 ssl;

Ihre Anwendung sieht eine andere Adresse

Ein IPv6-Client kommt mit einer Adresse wie 2001:db8::1 an. Code, der eine IP in einer 15 Zeichen langen Spalte speichert oder gegen eine v4-Positivliste vergleicht, bricht stillschweigend. Auch eine Ratenbegrenzung auf die volle Adresse ist zu eng gefasst, denn ein Kunde hat üblicherweise ein ganzes /64.

Hinter Cloudflare oder irgendeinem Proxy ist die Adresse, die Ihr Server sieht, der Proxy. Lesen Sie die echte aus dem weitergereichten Header — siehe Cloudflare und die echte Besucher-IP.

Wenn Sie die Sache nicht zu Ende bringen

Entfernen Sie den AAAA-Record. Kein IPv6 heißt eine saubere, schnelle IPv4-Verbindung. Kaputtes IPv6 heißt eine Zeitüberschreitung bei jedem ersten Besuch.