IPv6 auf dem netcup-Server einrichten und prüfen

Dies ist Teil 32 unserer netcup-Serie. Davor: Teil 31: Server nicht erreichbar. Danach: Teil 33: SPF, DKIM, DMARC.

Neue netcup-Server bekommen in der Standardkonfiguration eine IPv4-Adresse und ein eigenes /64-IPv6-Netz. Ob IPv6 auf dem Server schon läuft, hängt vom Image ab. Diese Anleitung zeigt, wo die Werte stehen, wie Sie prüfen, ob alles läuft, und was bei einer Aktivierung von Hand zu beachten ist.

Diese Anleitung ist mit der netcup-Dokumentation und der Oberfläche des SCP abgeglichen (Stand 30.10.2026). Die Befehle wurden nicht auf einem netcup-Server getestet.

Voraussetzungen

• netcup-Server mit IPv6, also Konfiguration IPv4 und IPv6 oder IPv6 Connectivity
• Zugang zum SCP und zur Konsole im Reiter Bildschirm, falls die Netzwerkkonfiguration schiefgeht
• Linux-Server mit iproute2

Schritt 1: Netzwerkkonfiguration kennen

Bei Root-Servern und VPS ab Generation 12 wählen Sie bei der Bestellung eine von drei Konfigurationen:

Ein Wechsel ist bei eingerichteten Servern laut netcup nicht möglich. Ohne IPv4 erreichen Sie Dienste, die nur IPv4 sprechen, nicht direkt, prüfen Sie das vor der Bestellung.

Verifizieren: Sie wissen, welche Konfiguration Ihr Server hat.

Schritt 2: Werte im SCP ablesen

Öffnen Sie im SCP den Server und den Reiter Netzwerk. Unter IPv6-Adressen stehen das Netz in der Spalte CIDR und das Gateway unter Gateway / Geroutet zu.

Netz und Gateway brauchen Sie in den nächsten Schritten. Eine Adresse wählen Sie selbst aus dem Netz, zum Beispiel die Adresse mit der Endung ::1.

Verifizieren: Sie haben Netz, gewünschte Adresse und Gateway notiert.

Schritt 3: Aktuellen Stand prüfen

Sehen Sie nach, was das System schon eingerichtet hat:

ip -6 addr show
ip -6 route show
ping -6 -c 3 netcup.com

Zeigt ip -6 addr eine Adresse aus Ihrem Netz, steht eine Standardroute über fe80::1 da, und antwortet ping -6, ist IPv6 eingerichtet. Prüfen Sie dann trotzdem Schritt 4 und überspringen Sie die Schritte 5 und 6.

Verifizieren: Sie wissen, ob IPv6 bereits funktioniert.

Schritt 4: Firewall vorher prüfen

Sobald die Adresse aktiv ist, sind Dienste, die auf allen Adressen lauschen, über IPv6 öffentlich erreichbar, auch ohne DNS-Eintrag. Ein Dienst, der über IPv4 gesperrt ist, kann über IPv6 offen sein. Prüfen Sie deshalb vorher, was lauscht, und wie die Firewalls das behandeln:

sudo ss -6 -tln
sudo ufw status verbose
grep IPV6 /etc/default/ufw

Für ufw muss IPV6=yes in /etc/default/ufw stehen. Bei Docker prüfen Sie Ports auch über IPv6, siehe Teil 16. Bleibt im SCP die Policy netcup Ping allow zugewiesen, ist ICMPv6 ein- und ausgehend erlaubt, siehe Teil 5.

Verifizieren: Sie wissen, welche Ports über IPv6 offen wären. Nach der Aktivierung testen Sie von außen, dass ein gesperrter Port über die IPv6-Adresse nicht antwortet.

Schritt 5: Vorläufig einrichten und testen

Öffnen Sie vorher den Reiter Bildschirm. Testen Sie die Einstellung erst ohne Neustart. Diese Befehle wirken nur bis zum nächsten Neustart. Ersetzen Sie die Adresse durch Ihre eigene und eth0 durch den Namen, den ip a zeigt:

sudo ip -6 addr add 2001:db8:1::1/64 dev eth0
sudo ip -6 route add default via fe80::1 dev eth0
ping -6 -c 3 netcup.com

Verifizieren: ping -6 erhält Antworten.

Schritt 6: Dauerhaft speichern

Prüfen Sie zuerst, was Ihr System verwendet: ls /etc/netplan /etc/network/interfaces /etc/systemd/network. netcup zeigt in der Dokumentation nur den Weg über /etc/network/interfaces und weist darauf hin, dass er nicht bei allen Systemen funktioniert. Die beiden anderen Wege folgen der Dokumentation von Netplan und systemd.

ifupdown (/etc/network/interfaces):

iface eth0 inet6 static
    address 2001:db8:1::1
    netmask 64
    gateway fe80::1

Prüfen Sie vor dem Speichern, ob die Datei bereits einen IPv6-Block enthält, und legen Sie mit sudo cp -a /etc/network/interfaces /root/interfaces.bak eine Kopie an. Prüfen Sie die Datei anschließend mit sudo ifup --no-act eth0, denn der Test mit ip aus Schritt 5 sagt nichts über die Datei aus. Starten Sie erst dann neu.

Netplan (Datei in /etc/netplan/, Beispiel):

network:
  version: 2
  ethernets:
    eth0:
      addresses:
        - 2001:db8:1::1/64
      routes:
        - to: default
          via: "fe80::1"
          on-link: true

Ergänzen Sie die vorhandene Datei, statt sie zu ersetzen, und übernehmen Sie nur die Adresse und die Route. Wenden Sie die Änderung mit sudo netplan try an: Bestätigen Sie sie nicht innerhalb von 120 Sekunden, nimmt Netplan sie zurück. Das schützt vor dem Aussperren.

systemd-networkd (Datei in /etc/systemd/network/, Abschnitt der vorhandenen Datei):

[Network]
Address=2001:db8:1::1/64
Gateway=fe80::1

Laden Sie die Änderung mit sudo networkctl reload.

Ist der Server danach nicht erreichbar, spielen Sie die Kopie über den Reiter Bildschirm zurück.

Verifizieren: Nach dem Neustart zeigen ip -6 addr und ip -6 route die Werte, und ping -6 antwortet.

Schritt 7: DNS und Reverse-DNS

Erst jetzt legen Sie den AAAA-Eintrag an, siehe Teil 7. Der Reverse-DNS-Eintrag gehört im SCP in die Zeile der Adresse, siehe Teil 6. Prüfen Sie auch, dass Ihr Webserver auf IPv6 lauscht.

dig AAAA example.com +short
sudo ss -6 -tln

Verifizieren: Von einem Rechner mit IPv6 aus antwortet der Dienst über die Adresse.

Troubleshooting

Häufige Fragen

Kann ich weitere IPv6-Netze bekommen?

Ja, gegen Aufpreis. Das zeigt Teil 35.

Muss ich IPv6 nutzen?

Nein. Legen Sie keinen AAAA-Eintrag an, wenn IPv6 nicht sauber läuft, sonst scheitern Besucher mit IPv6.

Fazit

Erst die Firewalls prüfen, dann vorläufig testen, dann speichern und zuletzt im DNS eintragen. In dieser Reihenfolge bleibt der Server erreichbar, und ein Fehler trifft keine Besucher.

Weiterführende Anleitungen und Quellen

• Teil 6: Reverse-DNS
• Teil 7: DNS-Records
• Linux-Server absichern mit ufw und Fail2ban
• netcup Helpcenter: Server-Netzwerk verwalten
• netcup Helpcenter: Netzwerkkonfiguration auswählen
• netcup Helpcenter: IP-Adressen hinzufügen