Powershell Eventlog für Kerberos Auth zeigt IP in einem komischen Format an

Question

Ich möchte Kerberos Anmeldungen in Powershell anzeigen.

Get-WinEvent -LogName Security | Where-Object { $_.Id -eq 4768 } | Select TimeCreated,Message | fl

Was bedeutet die Zeile

Client Address: ::ffff:172.21.0.131

Answer 1

Der Prefix "::ffff:" zeigt an, dass die Adresse im IPv6-Mapped-IPv4 Format vorliegt. Das ist eine Methode, um IPv4 Adressen innerhalb eines IPv6 Adressschemas darzustellen. "::ffff:172.21.0.131" entspricht also direkt der IPv4 Adresse 172.21.0.131.

Comments

Dann war das also eine ipv4 verbindung?

---

Es bedeutet dass die Kommunikation über IPv4 stattgefunden hat, aber das System IPv6 fähig ist und die Adresse nur in diesem Format anzeigt.

---

Kann man sagen dass es eine IPv4 Adresse getunnelt über IPv6 war?

---

Es ist kein Tunneling wie z. B. 6to4, Teredo, oder ISATAP. Bei Tunneling wird ein komplettes IPv6 oder IPv4 Paket in ein anderes Protokoll "eingepackt", um durch Netze zu tunneln, die das Zielprotokoll nicht direkt unterstützen. Es handelt sich um eine sogenannte IPv4-mapped IPv6-Adresse. Diese wird verwendet:

Wenn ein System oder eine Anwendung intern mit IPv6 arbeitet, aber eine Verbindung von einem IPv4-Client kommt.

Die IPv4-Adresse in eine IPv6-Adresse "eingebettet" wird, um sie in einem rein IPv6-kompatiblen Format weiterverarbeiten zu können.