Effiziente IPv6-Adresssuche basierend auf Hostnamen-Korrelation in IPv6-only-Netzwerken

Warum das Auffinden versteckter Internetadressen wichtig ist

Hinter jedem Telefon, Laptop, Server oder Smart-Sensor in einem modernen Netzwerk steht mindestens eine numerische Adresse, die Daten ihren Weg finden lässt. Mit dem neuen Internetstandard IPv6 kann jedes Gerät viele solcher Adressen haben, und der gesamte Raum möglicher Nummern ist astronomisch groß. Das macht es für Netzwerkadministratoren und Sicherheitsteams schwer, eine vermeintlich einfache Frage zu beantworten: Welche Geräte sind in meinem lokalen Netzwerk gerade tatsächlich erreichbar? Dieses Paper stellt HFinder6 vor, eine neue Methode, um aktive IPv6-Geräte schnell aufzuspüren – selbst in Netzwerken, die vollständig auf die ältere IPv4-Technik verzichtet haben.

Die Herausforderung: Geräte in einem Ozean von Zahlen sehen

Traditionelle Werkzeuge zur Kartierung von Computern im Netzwerk stammen aus der IPv4-Ära, in der der Adressraum klein war und einfache Tricks wie Broadcast-Anfragen meist funktionierten. IPv6 ändert dieses Bild: Der Adressbereich ist so groß, dass Probing per Brute Force unmöglich wird, und viele Entdeckungsmethoden, die auf Broadcast-Nachrichten beruhten, existieren schlicht nicht mehr. Frühe IPv6-only-Techniken versuchten, Antworten mit niedrigschwelligen Nachrichten zu erzwingen, doch moderne Betriebssysteme behandeln solchen Verkehr zunehmend als verdächtig und verwirfen ihn stillschweigend. Neuere Tools verbesserten die Abdeckung, indem sie IPv4- und IPv6-Informationen kombinierten – etwa indem sie Hostnamen über IPv4 lernten und dann dieselben Maschinen in IPv6 abfragten. Diese Methoden funktionieren heute einigermaßen, setzen aber das Vorhandensein von IPv4 voraus – eine Annahme, die zunehmend brüchig wird, da Betreiber reine IPv6-Netze einführen.

Eine neue Idee: Folgt den Namen, nicht den Zahlen

HFinder6 geht einen anderen Weg und konzentriert sich auf Hostnamen – die menschenlesbaren Bezeichnungen, die in Betriebssystemen eingebaut sind und von zentralen Netzwerkprotokollen weitverbreitet wiederverwendet werden. Die Autoren beobachten drei zentrale Fakten. Erstens sind Hostnamen innerhalb eines lokalen Netzwerks normalerweise eindeutig, weil Systeme und Management-Tools Duplikate zu vermeiden suchen. Zweitens tauchen diese Namen automatisch in vielen Standardaustauschen auf, von der Adresskonfiguration bis zu lokalen Namensabfragen, ohne dass ein Benutzer eingreifen muss. Drittens erlauben Standardformate einem Scanner, den Kurz-Hostnamen aus einem längeren, domänenartigen Namen herauszulösen. Zusammen bedeutet das: Wenn man Hostnamen zuverlässig auf einem Link sammeln kann, lässt sich das Netzwerk mit gewöhnlichen Namensauflösungsmechanismen fragen, welche IPv6-Adressen zu welchen Namen gehören. Damit verwandelt sich das Entdeckungsproblem vom Durchsuchen eines riesigen numerischen Raums in das Folgen einer deutlich kleineren Liste von Identifikatoren.

Wie HFinder6 Geräte sanft dazu bringt, sich zu offenbaren

Um Hostnamen ohne IPv4 zu ernten, nutzt HFinder6 eine wenig genutzte Interaktion zwischen zwei IPv6-Bausteinen. Es sendet eine sorgfältig gestaltete Router-Ankündigung an alle Geräte auf dem lokalen Link, mit einem Flag, das nach den Standards Clients anweist, die zustandsbehaftete Konfigurationsmethode DHCPv6 zu verwenden. Selbst wenn kein echter DHCPv6-Server existiert, senden konforme Systeme dennoch eine initiale Anforderungsnachricht, die typischerweise ihren vollständigen Namen enthält. HFinder6 lauscht kurz auf diese Requests, entfernt Duplikate mithilfe eines eingebauten Client-Identifiers und extrahiert jeden Hostnamen. Eine zweite, ständig aktive Komponente überwacht ähnliche Nachrichten fortlaufend, sodass neu hinzugekommene Maschinen und Geräte, die ihre Adressen erneuern, in dieselbe Hostnamenliste aufgenommen werden, ohne dass der Scanner erneut aktiv sondieren muss.

Namen in vollständige IPv6-Adresssätze verwandeln

Sobald HFinder6 eine Liste von Hostnamen hat, verwendet es zwei standardmäßige lokale Erkennungsprotokolle, Multicast DNS und Link-Local Multicast Name Resolution, um abzufragen, welche IPv6-Adressen zu jedem Namen gehören. Diese Anfragen bleiben vollständig in der IPv6-Welt, werden parallel gestellt, um Verzögerungen gering zu halten, und decken sowohl Windows- als auch Linux-Familien ab. Geräte antworten mit ihren verschiedenen IPv6-Adressen auf dem Link, einschließlich link-local Identifikatoren für die Basiskommunikation, längerlebigen globalen Adressen und temporären, datenschutzfreundlichen Adressen. Durch das Parsen dieser Antworten und das Klassifizieren der Adresstypen erstellt HFinder6 ein detailliertes Bild der Konfiguration jedes sichtbaren Hosts und geht damit weit über Werkzeuge hinaus, die pro Gerät nur eine einzelne Adresse sehen können.

Die Methode auf die Probe gestellt

Die Forschenden bauten ein Testbett mit 20 verschiedenen Betriebssystemversionen über Windows-Desktops, Windows-Server, Ubuntu und CentOS auf und verglichen HFinder6 mit vier IPv6-only-Skripten aus dem populären Nmap-Toolkit sowie drei fortgeschrittenen Dual-Stack-Scannern. In dieser gemischten Umgebung entdeckte HFinder6 43 von 47 möglichen IPv6-Adressen, verteilt über 18 Betriebssystemversionen – und erreichte damit die Vollständigkeit des besten existierenden Werkzeugs, während es vollständig ohne IPv4 arbeitete. Zudem übertraf es alle sieben Vergleichswerkzeuge in Geschwindigkeit, im Mittel etwas über zehn Sekunden pro Scan und mit rund 4,2 gefundenen aktiven Adressen pro Sekunde. Im Vergleich zu älteren IPv6-only-Methoden erhöhte es die Zahl entdeckter Adressen um mehr als das Fünffache und hielt die gleiche Abdeckung in einer strikt IPv6-only-Umgebung, in der dual-stack-basierte Techniken schlicht nicht mehr funktionierten.

Was das für reale Netzwerke bedeutet

Für den alltäglichen Netzbetreiber bietet HFinder6 eine Möglichkeit, zu sehen, was in einem IPv6-only-LAN wirklich vorhanden ist, ohne über weite Adressbereiche raten zu müssen oder auf veraltete IPv4-Hinweise angewiesen zu sein. Indem es standardmäßiges Verhalten moderner Systeme nutzt und sich auf einen kurzen Burst wohlgeformter Nachrichten plus passives Lauschen beschränkt, minimiert es Störungen und erzeugt gleichzeitig eine nahezu vollständige Karte aktiver Geräte und ihrer Adressen. Die Arbeit zeigt, dass sich selbst mit dem vollständigen Übergang des Internets zu IPv6 nachvollziehen lässt, welche Maschinen präsent und erreichbar sind – eine Voraussetzung für solides Management, Sicherheitsüberwachung und Fehlerbehebung in der nächsten Netzgeneration.

Zitation: Sun, C., Zhang, L., Wang, R. et al. Efficient IPv6 address scanning based on hostname correlation in IPv6-only network. Sci Rep 16, 8799 (2026). https://doi.org/10.1038/s41598-026-39577-2

Schlüsselwörter: IPv6-Scans, Netzwerkerkennung, Hostnamen-Korrelation, IPv6-only Netzwerke, Netzwerksicherheit