Wie lautet meine IP

Warum Ihr Browser das nicht von allein beantworten kann

Eine Seite wie diese sieht aus, als müsste sie die Antwort einfach auf dem Gerät ablesen können, auf dem sie läuft, und sie kann es nicht. Nichts an der Browser-Plattform gibt die Adresse preis, unter der Sie ins Internet gehen — es gibt keine Eigenschaft zum Auslesen und keine Berechtigung zum Erteilen. Die Adresse, die Ihr eigenes Gerät hält, ist fast nie die, nach der Sie fragen: Hinter einem Heimrouter ist es eine private Nummer, die der Router beim Hinausgehen umschreibt, und in einem Mobilfunknetz kann der Anbieter sie ein zweites Mal umschreiben. Die einzige Browserfunktion, die je überhaupt eine Adresse preisgab, war WebRTC, das die eigenen Adressen des Geräts sammelte, um ein Gespräch aufzubauen — und jeder aktuelle Browser versteckt inzwischen auch das hinter einem zufälligen Namen, der auf local endet. Über die Plattform war die Nummer also nie zu haben, und das wenige, was früher durchsickerte, war ohnehin die falsche.

Die Adresse, die Sie tatsächlich meinen, ist keine Eigenschaft Ihres Rechners. Sie ist das, was das andere Ende einer Verbindung sieht, wenn Ihr Datenverkehr ankommt, und sie gehört zu dem Gerät, das sie unterwegs zuletzt umgeschrieben hat: Ihr Router, das gemeinsam genutzte Carrier-Grade-NAT Ihres Anbieters, ein VPN-Ausgang, ein Firmen-Proxy. Sie existiert nur in den Augen eines Servers, den Sie kontaktiert haben. Deshalb ist der einzige Weg, sie zu erfahren, einen solchen Server zu kontaktieren und zu fragen, was er gesehen hat — und deshalb fragt diese Seite dreimal statt einmal.

• Es ist nicht die Adresse, die Ihr Betriebssystem für Ihren Netzwerkadapter anzeigt. Die ist meist privat — eine 192.168-Adresse, eine 10-Adresse, eine 172.16-Adresse — und bedeutet nur innerhalb Ihres eigenen Netzes etwas. Nichts jenseits Ihres Routers bekommt sie je zu sehen.
• Sie ist nicht dauerhaft. Die meisten Heimanschlüsse bekommen eine Adresse zugeteilt, die sich ändern kann, wenn der Router sich neu verbindet oder der Anbieter es so entscheidet, und ein Mobilfunkanschluss kann sie beim Ortswechsel ändern. Eine Adresse, die Sie letzten Monat in eine Firewall-Regel geschrieben haben, kann längst jemand anderem gehören.
• Es ist nicht zwangsläufig eine einzige Nummer. In einem Netz, das beide Familien führt, haben Sie gleichzeitig eine IPv4- und eine IPv6-Adresse; das sind unabhängige Nummern, von verschiedenen Teilen desselben Anbieters vergeben, und sie nehmen verschiedene Wege.

Das ist auch der Grund, warum die Antwort nicht im Seitenquelltext steht und ein Blick dorthin nichts findet. Jede Seite dieser Website wird beim Bauen als flache HTML-Datei geschrieben, lange bevor Sie sie öffnen, und die einzige Adresse, die in diesem Moment zur Verfügung steht, ist die der Baumaschine — die niemanden etwas angeht und Sie schon gar nicht. Die Datei, die bei Ihnen ankommt, trägt deshalb die Erklärung und drei beschriftete, leere Felder, und die Messungen werden danach eingetragen, von Ihrem eigenen Browser, aus Ihrer eigenen Verbindung. Wer in den Quelltext schaut und keine Adresse findet, liest den Entwurf und keinen Fehler.

Zwei Familien, und warum vielleicht nur eine antwortet

IPv4 und IPv6 sind zwei getrennte Adresssysteme, und jede einzelne Verbindung benutzt von Anfang bis Ende genau eines davon. IPv4-Adressen sind die vertrauten vier durch Punkte getrennten Zahlen, und ihr Vorrat ging vor Jahren zur Neige; IPv6-Adressen sind die langen, in hexadezimalen Gruppen mit Doppelpunkten geschriebenen, und davon gibt es mehr, als je jemand verbrauchen wird. Die meisten Netze führen heute beide zugleich — das heißt Dual Stack —, und in einem solchen Netz halten Sie in jeder Familie eine Adresse, ohne jeden rechnerischen Zusammenhang zwischen beiden.

Das macht eine einzelne Messung zur halben Antwort, und es ist die Falle, in die fast jedes Werkzeug dieser Art tappt. Der Name dieser Website führt sowohl einen IPv4- als auch einen IPv6-Eintrag, Ihr Browser wählt also einen von beiden, bevor hier auch nur eine Zeile Code läuft, und ein Werkzeug, das nur fragt, von welcher Adresse etwas angekommen ist, erfährt etwas über diese Familie und über keine andere. Wer seine IPv4 sucht, weil eine Firewall-Regel sie braucht, bekommt womöglich eine IPv6 zu sehen, ohne dass irgendetwas auf der Seite sagt, ob die andere Hälfte existiert, fehlt oder schlicht nie abgefragt wurde.

Eine Familie zu binden heißt deshalb, dort zu fragen, wo es nur eine gibt. Zwei der drei Messungen gehen an den öffentlichen Resolver von Cloudflare, angesprochen über eine ausgeschriebene Adresse statt über einen Namen, und die ausgeschriebene Adresse ist selbst die Bindung: Es gibt keinen Namen aufzulösen, also gibt es für den Browser nichts zu wählen. Eine ausgeschriebene IPv4-Adresse ist nur über IPv4 erreichbar und eine ausgeschriebene IPv6-Adresse nur über IPv6, und das Zertifikat deckt die Adresse ab; jede der beiden ist also eine gewöhnliche, geprüfte verschlüsselte Verbindung und kein Trick. Was von der ersten zurückkommt, ist bauartbedingt Ihre IPv4, und was von der zweiten zurückkommt, ist bauartbedingt Ihre IPv6.

• Vielleicht haben Sie die Familie schlicht nicht. IPv6 wird noch immer nicht von jedem Anbieter, in jedem Tarif oder von jedem Router im Auslieferungszustand angeboten, und ein Netz ohne IPv6 hat nichts zu melden.
• Vielleicht hält etwas unterwegs sie auf. Eine Firmen-Firewall, ein Hotelnetz oder ein Sicherheitsgerät kann eine Familie ganz verweigern — oder genau diesen einen Endpunkt verweigern, während der Rest der Familie einwandfrei funktioniert.
• Vielleicht wird sie stillschweigend blockiert statt abgewiesen. Eine Abweisung kommt sofort zurück und die Zeile sagt es; ohne Antwort verworfene Pakete sehen dagegen genau so aus wie gar nichts, und deshalb bekommt jede Messung eine begrenzte Wartezeit und wird danach aufgegeben, statt endlos weiterzudrehen.
• Vielleicht antwortet der Endpunkt mit etwas, das keine Adresse ist. Das ist ein anderes Scheitern als Schweigen, und die Zeile sagt, welches von beiden es war — denn ein Werkzeug, das jede Form des Scheiterns in ein einziges leeres Feld faltet, ließe Sie ein ungewöhnliches Netz nicht von einer kaputten Seite unterscheiden.

Nicht feststellbar ist nicht dasselbe wie nicht vorhanden

Zwei Situationen sind hier wichtiger als alle anderen, und aus einer gescheiterten Anfrage sehen sie gleich aus: eine Familie gar nicht zu haben, und sie auf dem Weg nach draußen blockiert zu bekommen. Werkzeuge dieser Art melden beides gleich, meist indem sie nichts zeigen und Sie raten lassen. Diese Seite hält beides auseinander, und die dritte Messung ist der ganze Mechanismus dafür. Sie geht an diese Website selbst, die beide Familien anbietet, also ist die Familie, die geantwortet hat, diejenige, die Ihr Browser bei freier Wahl genommen hat — und diese eine Tatsache genügt, um aus einem Schweigen einen Schluss zu machen.

• Der Endpunkt der Familie selbst hat geantwortet. Sie haben diese Familie, ihre Adresse steht in der Zeile darunter, und nichts, was die Seite sonst noch erfährt, kann das umstoßen.
• Er hat nicht geantwortet, und Ihr Browser hat diese Website über dieselbe Familie erreicht. Dann haben Sie sie nachweislich — Sie lesen diesen Satz gerade damit —, und etwas zwischen Ihnen und genau diesem einen Endpunkt hat genau diese eine Anfrage gestoppt. Das Urteil lautet, es sei nicht feststellbar, und der Grund steht daneben ausgeschrieben.
• Er hat nicht geantwortet, und Ihr Browser hat diese Website stattdessen über die andere Familie erreicht. Das ist der einzige Weg zu der Aussage, dass Sie die Familie nicht haben, und der einzige Fall, in dem diese Seite das sagen wird.
• Er hat nicht geantwortet, und diese Website auch nicht. Dann gibt es in keine Richtung einen Hinweis, und nicht feststellbar heißt genau das: Das Werkzeug hat nichts erfahren, was eine Aussage über das Werkzeug ist und nicht über Ihr Netz.

Deshalb steht unter jedem Urteil ein Satz und nicht bloß ein Link oder ein Tooltip. Nicht feststellbar verlangt völlig Verschiedenes von Ihnen, je nachdem, welcher der beiden Fälle vorliegt. Der eine sagt, dass eine Familie, die Sie sicher haben, irgendwo zwischen Ihrem Browser und einer ganz bestimmten Adresse blockiert wird — das ist etwas, dem man nachgehen kann. Der andere sagt, dass dieser Durchlauf nichts erfahren hat und aus einem anderen Netz zu wiederholen ist. Eine Farbe und ein Wort können diesen Unterschied nicht tragen, und ein Werkzeug, das zwischen beiden raten würde, sagte Ihnen etwas Falsches über Ihre eigene Verbindung.

Die dritte Messung ist auch für sich genommen lesenswert. Sie benennt die Familie, die Ihr Browser für einen gewöhnlichen Namen bevorzugt hat, der beide anbietet — das Ergebnis eines Wettlaufs, den Ihr Betriebssystem bei jedem Seitenaufruf veranstaltet, von keinem von Ihnen beiden entschieden und von niemandem eingestellt —, und kein vergleichbares Werkzeug meldet sie. Sie ist außerdem die Tatsache, gegen die beide Urteile oben geprüft wurden, und steht deshalb auf der Seite statt versteckt in der Begründung: Wer einen Schluss lieber prüft als glaubt, kann den Hinweis sehen, aus dem er gezogen wurde.

Warum die zwei Zeilen sich widersprechen dürfen

Jede Messung trägt mehr als eine Adresse. Dieselbe Antwort meldet das Land, in das der Endpunkt diese Adresse einordnet, das Cloudflare-Rechenzentrum, das geantwortet hat, die Version des verschlüsselten Transports, die HTTP-Version der Anfrage und ob die Verbindung über Cloudflares eigenen WARP-Client kam. Das wird je Zeile gedruckt und nie zu einer einzigen Zusammenfassung verschmolzen, denn die Zeilen widersprechen sich tatsächlich: Während dieses Werkzeug entworfen wurde, erreichte ein Gerät in einem einzigen Moment über IPv6 ein Rechenzentrum in London und über IPv4 eines in Israel. Keine der beiden Messungen war falsch, und kein Netz war gestört.

• Das Land ist der Ort, dem der Endpunkt die eingetroffene Adresse zuordnet — eine Auskunft über die Adresse und kein Wissen über Sie. Ein VPN verschiebt es, und ein Anbieter, der im Nachbarland registrierte Adressen vergibt, ebenso.
• Das Rechenzentrum ist der Cloudflare-Standort, der geantwortet hat, als dreibuchstabiger Code nach Art eines Flughafens. Jeder dieser Endpunkte wird von vielen Orten gleichzeitig angekündigt, und welchen Sie erreichen, entscheidet die Wegewahl im Internet — für jede Familie gesondert, weshalb sich diese Zeile am häufigsten unterscheidet.
• TLS ist die Version der Verschlüsselung, auf die sich die Verbindung geeinigt hat. Sie wird je Verbindung ausgehandelt, eine Zeile kann sich also von der anderen unterscheiden, ohne dass eine von beiden ungewöhnlich wäre.
• HTTP ist die Protokollversion, die genau diese Anfrage benutzt hat. Auch sie wird je Verbindung festgelegt und hängt davon ab, wie die Verbindung zustande kam, nicht von irgendetwas an Ihrem Netz.
• WARP sagt, ob Cloudflare den Verkehr als über den eigenen Client kommend erkannt hat. Bei den meisten Lesern steht das in allen drei Zeilen auf aus, und es steht hier, weil sich sonst wundern müsste, wer es nicht auf aus stehen hat und auf das Land schaut.

Lesen Sie eine Zeile also als Bericht über eine Verbindung und über nichts Weiteres. Zwei Zeilen, die zwei Rechenzentren nennen, sind kein aufzulösender Widerspruch; sie sind zwei Antworten darauf, wie Ihre beiden Familien Ihr Netz verlassen — genau das, was ein Werkzeug mit einer einzigen Adresse Ihnen nicht zeigen kann. Es ist auch der Grund, warum diese Angaben überhaupt an Zeilen hängen: Sie in eine Zeile zusammenzuziehen hieße, eine der beiden auszuwählen und so zu drucken, als beschriebe sie beide.

Wer gefragt wird, und was dieses Werkzeug nicht tut

Alle drei Anfragen gehen an dieselbe Stelle: an den trace-Endpunkt von Cloudflare, der mit einer kurzen Liste von Angaben über die soeben eingetroffene Verbindung antwortet. Diese Website wird selbst über Cloudflare ausgeliefert, der Gefragte ist also derjenige, der Ihre Adresse längst gesehen hat — er sah sie, als diese Seite geladen wurde, bevor eine Zeile des Seitencodes lief. Die drei Anfragen erbitten laut, was einen Augenblick zuvor stillschweigend übergeben wurde, und geben es an niemanden Neuen weiter. Deshalb werden sie automatisch gestellt und nicht hinter einer Schaltfläche: Eine Zustimmungshürde davor kostete Sie die Antwort, für die Sie gekommen sind, und brächte Ihnen nichts.

Dieses Argument ist spezifisch, und es ist ausdrücklich festzuhalten, dass es kein allgemeiner Freibrief ist, denn derselbe Satz wäre über fast jeden anderen Endpunkt falsch. Er gilt nur, solange der Gefragte derjenige ist, der die Seite ohnehin ausliefert. Richtet man ein Werkzeug wie dieses auf einen fremden Adressdienst, ist die Anfrage kein Echo mehr, sondern eine echte Offenlegung gegenüber einem Betreiber, der nichts hatte — und an diesem Punkt müsste die Begründung von vorn aufgebaut statt von hier zitiert werden. Das ist einer der Gründe, warum diese Seite keinen solchen Dienst benutzt.

Nichts, was Sie eingeben, wird irgendwohin gesendet, aus dem einfachen Grund, dass es hier nichts einzugeben gibt: Die Seite hat überhaupt kein Eingabefeld. Keine Adresse wird gespeichert, keine über Besuche hinweg behalten und keine in irgendetwas geschrieben, was die Seite zurücklässt. Ein Druck auf Neu abfragen nimmt alle drei Messungen von vorn und erarbeitet beide Schlüsse neu — das ist es, was die Seite offen zu halten lohnt, während ein VPN an- oder ausgeht, und es ist zugleich das Einzige, was die Anfragen je ein zweites Mal auslöst.

• Es schlägt nicht die Adresse eines anderen nach. Das braucht eine kommerzielle Geodatenbank über einen Dritten, hieße also, eine Adresse an einen Betreiber zu geben, der sie nicht hatte — und es ist eine andere Frage als die, die der Name dieser Seite stellt.
• Es nennt weder Ihren Anbieter noch dessen Nummer des autonomen Systems noch Ihre Stadt. Nichts davon steckt in den Antworten, die diese Seite bekommt, und es zu beschaffen führt über denselben Dritten wie oben.
• Es zeigt nicht Ihre lokale oder private Adresse. Kein aktueller Browser gibt sie noch preis, und sie war nie die Adresse, die Leute meinen, wenn sie diese Frage stellen — es ist die, die ihr eigenes Gerät ohnehin anzeigt.

Nichts davon ist eine Lücke, die darauf wartet, gefüllt zu werden. Jedes einzelne wäre mit einer Abhängigkeit von der Datenbank eines anderen und dessen fortdauerndem Wohlwollen zu erkaufen und mit dem einen zu bezahlen, worauf diese Seite achtet. Ein Werkzeug, das eine einzige Frage vollständig beantwortet — beide Familien, mit dem Beleg für jede und mit einem ehrlichen Schweigen dort, wo es keinen hat —, ist hier mehr wert als eines, das vier Fragen halb beantwortet.