Gemischtes Netzwerk IPv6 und IPv4 Windows Server

DHCP & IPv6 in KMU‑Netzen – Best Practice

Überblick

In vielen KMU‑Umgebungen führt die Kombination aus Windows Server, Active Directory und IPv6‑fähigen Routern zu unerwarteten Problemen. Grund: IPv6 ist routerzentriert, während IPv4 DHCP‑zentriert ist.

Diese Best Practice beschreibt eine stabile Hybridlösung:

• IPv4‑DHCP über Windows Server
• IPv6‑DHCPv6 über den Router
• IPv6‑DNS zeigt auf den Windows‑DNS
• Windows‑DHCP wird vom IPv6‑Adapter entbunden

Diese Architektur ist robust, AD‑kompatibel und für KMU leicht wartbar.

Hintergrund

IPv6 funktioniert grundlegend anders als IPv4:

• Router bestimmen das Netzverhalten (RA, Prefix, Flags)
• Viele Router erwarten, selbst DHCPv6 zu sein
• Windows‑Clients bevorzugen IPv6‑DNS gegenüber IPv4‑DNS
• Active Directory benötigt zwingend den Windows‑DNS

Wenn Router bei IPv6 ihren eigenen DNS verteilen, entstehen sofort Probleme:

• Domänenbeitritt schlägt fehl
• GPOs werden nicht angewendet
• Kerberos fällt auf NTLM zurück
• Loginzeiten verlängern sich massiv
• DFS und Autodiscover funktionieren nicht zuverlässig

Typische Probleme

• Router ignorieren Firewallregeln, wenn sie nicht selbst DHCPv6 machen
• RA‑Flags werden falsch gesetzt (M/O‑Flags)
• Router verteilen Provider‑DNS → AD bricht
• Windows‑DHCPv6 konkurriert mit Router‑RA
• Clients nutzen IPv6‑DNS des Routers statt Windows‑DNS

Best‑Practice‑Lösung

1. IPv4‑DHCP über Windows Server

• Standard‑DHCP‑Scope einrichten
• DNS‑Server = Windows‑DNS
• Gateway = Router
• Keine Besonderheiten

2. IPv6‑DHCPv6 über den Router

• Router bleibt „Chef“ für IPv6
• Router verteilt:
  • Prefix (z. B. /64)
  • RA‑Flags (M/O)
  • DHCPv6‑Optionen
• Wichtig: DNS‑Server = Windows‑DNS (AAAA‑Adresse)

3. Windows‑DHCP vom IPv6‑Adapter entbinden

• DHCP‑Konsole → IPv6‑Binding deaktivieren
• verhindert Konflikte zwischen Router‑RA und Windows‑DHCPv6
• verhindert Rogue‑Detection‑Fehlalarme
• Windows bleibt rein IPv4‑DHCP‑Server

4. DNS‑Konfiguration

• Windows‑DNS muss sowohl IPv4‑ als auch IPv6‑Adresse besitzen
• Router‑DHCPv6 muss diese IPv6‑DNS‑Adresse verteilen
• Keine externen DNS‑Server an Clients

Vorteile dieser Architektur

• Stabile AD‑Funktionalität
• Keine Konflikte zwischen Router und Windows
• Router‑Firewall arbeitet korrekt
• Prefix Delegation bleibt konsistent
• Wenig Komplexität → KMU‑tauglich
• Klare Verantwortlichkeiten:
  • Router = IPv6
  • Windows = DNS + IPv4

Zusammenfassung

Diese Hybridlösung ist nicht „akademisch schön“, aber in der Praxis die stabilste und wartbarste Variante für KMU‑Netze mit Active Directory. Sie berücksichtigt die Eigenheiten vieler Router und stellt sicher, dass Windows‑Clients immer den korrekten DNS verwenden.