Hallo Peter,
danke,
dass du diese interessante und relevante Frage in die Runde wirfst. Das
Thema /127 vs. /64 für Point-to-Point-Verbindungen ist in der Tat ein
Klassiker, bei dem die Meinungen oft auseinandergehen.
Du
hast die zentralen Dokumente ja bereits selbst sehr gut
zusammengefasst. Einerseits gibt es den RFC 6164, der aus
Sicherheitsgründen die Verwendung von /127-Präfixen auf reinen
Inter-Router-Links empfiehlt, um beispielsweise "Neighbor Discovery
Exhaustion"-Angriffe zu erschweren. Auf der anderen Seite stehen die operativen Best Practices, wie sie RIPE im Dokument RIPE-690 zusammenfasst.
Die
Empfehlung von RIPE, die du ansprichst, ist ein pragmatischer
Kompromiss. Man erkennt die sicherheitstechnischen Vorteile eines /127
an, weist aber gleichzeitig auf zwei wichtige Punkte aus der Praxis hin:
Nicht alle Router oder Switche unterstützen Präfixlängen, die größer
als /64 sind, oder die Nutzung solcher längeren Präfixe kann auf manchen
Geräten mehr Ressourcen verbrauchen. Ein /64 ist daher der "sicherste
Ansatz" (the safest approach), der mit praktisch jedem Equipment
funktioniert.
Ein /64 bietet Flexibilität, falls sich zukünftige Standards ergeben
oder der Link doch einmal für mehr als nur zwei Geräte genutzt werden
soll.
Der
Kern der RIPE-Empfehlung lautet daher: Selbst wenn man sich für die
Nutzung eines /127 entscheidet, ist es ratsam, für diesen Link trotzdem
ein ganzes /64 zu allokieren und das /127 nur als ein Teil davon zu
nutzen ("it is also advisable to allocate a /64 for each link and use
just one /127 out of it"). So kombiniert man die Sicherheit des /127 mit
der Stabilität und Zukunftssicherheit eines /64 in der Zuteilungslogik.
Dass
das Bundesverwaltungsamt in seinen Profilen für die öffentliche
Verwaltung die Nutzung von RFC 6164 aus Sicherheitsaspekten als
verpflichtend einstuft, unterstreicht den sicherheitstechnischen Aspekt.
Hier wiegt das Sicherheitsbedürfnis in einem klar definierten Umfeld
(öffentliche Verwaltung) möglicherweise schwerer als die allgemeine
operative Flexibilität, die RIPE für Provider im Auge hat.
Zusammenfassend
lässt sich sagen, dass es hier wohl keine universell "richtige" Antwort
gibt, sondern eher einen Abwägungsprozess zwischen maximaler Sicherheit
(RFC 6164), maximaler Kompatibilität und operativer Einfachheit
(RIPE-690). Die Empfehlung von RIPE ist ein sehr guter Mittelweg, der
versucht, das Beste aus beiden Welten zu vereinen.
Ich hoffe, das hilft dir weiter!
Viele Grüße