Wie Privacy Extensions dauerhaft deaktivieren?

[CoMo]

Hallo,

ich habe gefühlt schon 1000x die Privacy Extensions abgeschaltet, aber das bleibt nie persistent. Spätestens nach ein paar Tagen habe ich wieder temporäre Adressen.

Was ich versucht habe:

netsh interface ipv6 set global randomizeidentifiers=disabled store=active
netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent
netsh interface ipv6 set privacy state=disabled store=active
netsh interface ipv6 set privacy state=disabled store=persistent
Set-NetIPv6Protocol -UseTemporaryAddresses Disable
Set-NetIPv6Protocol -RandomizeIdentifiers Disabled

Was muss ich tun, damit Windows sich das merkt? Muss ich das alle paar Minuten per Aufgabenplanung ausführen? Oder kann ich die Funktionalität irgendwie komplett aus Windows rauspopeln?

 

[Sebbi]

Da Microsoft immer mehr wie Apple aggiert und seinen Nutzers vorschreibt, was das beste ist, werden einige Einstellungen unter Windows 11 nur noch temporär vorgenommen und irgendwann wieder auf Standard zurückgesetzt.
Diese Einstellung fällt darunter.

Du kannst es mal in einer administrative Powershell versuchen, ob die Einstellungen dann einen richtigen Neustart überleben, denn der Schnellstart übernimmt viele Einstellungen und Bugs von der vorherigen Sitzung.
Ansonsten wird das nur per Script gehen.

Im Allgemeinen ist es aber nicht ratsam, diese Privacy Extensions ohne triftigen Grund zu deaktivieren, da ansonsten dein Gerät je nach deiner Netzwerkkonfiguration quasi wie ein Server komplett im Internet steht, was durchaus problematisch sein kann.

 

[CoMo]

Du kannst es mal in einer administrative Powershell versuchen, ob die Einstellungen dann einen richtigen Neustart überleben, denn der Schnellstart übernimmt viele Einstellungen und Bugs von der vorherigen Sitzung.

Das ist, was ich bisher immer gemacht habe. Da bleibt überhaupt nichts persistent. Schnellstart habe ich noch nie genutzt. Hier gibt es nur Standby und Reboot.

Ansonsten wird das nur per Script gehen.

Ich habe jetzt die obigen Befehle in ein Powershell-Skript gepackt und führe es per Aufgabenplanung alle 30 Minuten aus. Kein besonders schöner Workaround.

Im Allgemeinen ist es aber nicht ratsam, diese Privacy Extensions ohne triftigen Grund zu deaktivieren, da ansonsten dein Gerät je nach deiner Netzwerkkonfiguration quasi wie ein Server komplett im Internet steht, was durchaus problematisch sein kann.

Da steht ja noch mein Router davor. Nur kann ich da natürlich keine sinnvollen Firewall-Regeln für die Dienste auf meinem Windows konfigurieren, wenn sich dessen öffentliche IP-Adresse ständig ändert.

 

[Sebbi]

Da steht ja noch mein Router davor.

hast du mal auf z.B. wieistmeineip.de geprüft, ob da die IPv6 Adresse von deinen Router steht oder ob da die (temporäre) IPv6 Adresse von deinen Rechner steht? Denn NAT wird bei IPv6 meinen Wissens nach nicht vorgesehen, darum gibt es ja diese Privacy Extensions.

Denn wenn da die IPv6 des Rechners steht, hilft dir dein Router weniger als zuvor und eine gut gemachte Firewall Funktion ohne Lücken wird wichtig. NAT war da nice da einfach jedes Packet gedropt wurde, wenn der Port nicht weitergeleitet oder das nicht erwartet wurde. Zudem kannte Angreifer nur die IP des Routers.

 

[CoMo]

Mein Router ist eine OPNsense und da gibt es die übliche Deny-All Regel auf dem WAN-Interface. Was ich nicht explizit freigebe, wird gedroppt.

Ich habe eine statische IPv4-Adresse und ein statisches v6-Präfix. Mit welchen meiner 75 Trillionen IPv6-Adressen ich nach außen auftrete, möchte ich selbst entscheiden. Das hat nicht das OS einfach ungefragt für mich zu tun.

 

[Sebbi]

da gibt es die übliche Deny-All Regel auf dem WAN-Interface

Solange es bei der FW keinen Bug gibt an der Stelle oder eine nicht dokumentierte Hintertür etc, die durch die Angreifer gefunden wird, ist ja alles iO.
NAT war da eben schön einfach und quasi fehlerfrei programmiert / ausgereift. Bei HW FW Geschichten etc. hört man ja immer wieder man, das es da Probleme mit Sicherheitslücken gibt.

Mit welchen meiner 75 Trillionen IPv6-Adressen ich nach außen auftrete, möchte ich selbst entscheiden.

hast du eine eine statische IPv6 festgelegt in den Netzwerkeigenschaften oder steht das bei dir auf dynamisch und wird dir vom Router immer nur die gleiche IPv6 intern zugewiesen?

Wenn das so aussieht, versuch mal die statisch eintragen, ggf bleiben dann aucn deine Einstellungen erhalten

 

[CoMo]

Alle meine Geräte generieren sich ihre IPv6-Adresse aus dem vom Router zugewiesenen Präfix und ihrer MAC-Adresse. Und genau so soll das auch sein. Und funktioniert auch mit allen Geräten außer dem Windows-PC. Der stellt sich immer wieder von selbst auf temporäre Adressen um.

Wenn ich eine neue Adresse möchte, muss ich die nicht händisch vergeben, sondern ich ändere einfach die MAC-Adresse des Netzwerkadapters.

 

[Bob.Dig]

Alle meine Geräte generieren sich ihre IPv6-Adresse aus dem vom Router zugewiesenen Präfix und ihrer MAC-Adresse. Und genau so soll das auch sein.

Auch wenn ich deine Frage nicht beantworten kann, wenn Du einen festen Prefix hast, vergib doch deine Adresse manuell... wo ist da im privaten Umfeld das Problem.
Auch könntest Du stattdessen DHCPv6 nutzen.
Bei IPv6 hab ich mir angewöhnt, ganze Subnets zu regeln und nicht einzelne IPv6-Adressen, ich hab aber auch sehr viele Subnets. 😉

Ergänzung (12. März 2025)

ChatGPT behauptet folgende Lösung zu kennen:

1. **Open the Registry Editor**:
   - Press `Win + R` to open the Run dialog.
   - Type `regedit` and press Enter.

2. **Navigate to the following key**:
   ```
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters
   ```

3. **Create a new DWORD value**:
   - Right-click on the `Parameters` folder, select `New`, and then choose `DWORD (32-bit) Value`.
   - Name it `DisabledComponents`.

4. **Set the value**:
   - Double-click on `DisabledComponents` and set its value to `0x20` (which disables temporary IPv6 addresses).
   - Click OK.

5. **Close the Registry Editor** and restart your computer for the changes to take effect.

 

[Bob.Dig]

@CoMo Und, schon getestet?

 

[CoMo]

Nein, ich fummel für gewöhnlich nicht in meiner Registry rum, nur weil ChatGPT sich irgendwas zusammenreimt 😛

Im Moment läuft mein Powershell-Skript per Aufgabenplanung.

 

[Bob.Dig]

Spielverderber. Ich hab es jetzt getestet und es hat funktioniert... nicht. Schon interessant, was sich die KI so ausmalt.