IPv4, IPv6 ve NAT: İnternet adreslerinin bitmesi ve evdeki modeminizin gizli işi

İnternete bağlı her cihazın, ona ulaşılabilmesi için bir adrese ihtiyacı vardır. Bu adrese IP adresi denir. Bugün kullandığımız iki IP sürümü var ve aralarındaki fark, internetin son otuz yılının hikâyesini anlatıyor.

IPv4: 4,3 milyar adres yetmedi

IPv4 adresleri noktalarla ayrılmış dört sayıdan oluşur: 203.0.113.10. Her sayı 0 ile 255 arasında olabilir, yani toplam yaklaşık 4,3 milyar adres vardır. 1980'lerde bu sayı sonsuz gibi görünüyordu. Bugün ise dünyada insan sayısından fazla akıllı telefon var; buna bilgisayarları, sunucuları, televizyonları ve akıllı ampulleri de ekleyin.

Bölgesel internet kayıt kuruluşlarının dağıtacak yeni IPv4 adresleri 2010'larda büyük ölçüde tükendi. Bugün IPv4 adresleri ikinci el piyasada alınıp satılıyor ve bulut sağlayıcıları sabit IPv4 adresi için ayrıca ücret alıyor.

NAT: Bir adresi paylaşmak

Adresler bitmesine rağmen internetin çalışmaya devam etmesini sağlayan teknoloji NAT'tır (Network Address Translation, ağ adresi dönüştürme).

Evinizdeki modem, internet sağlayıcınızdan tek bir genel (public) IP adresi alır. Evdeki cihazlara ise yalnızca ev içinde geçerli olan özel (private) adresler dağıtır. Bu adresler üç ayrılmış aralıktan gelir:

10.0.0.0    – 10.255.255.255
172.16.0.0  – 172.31.255.255
192.168.0.0 – 192.168.255.255

Telefonunuz bir siteye bağlanmak istediğinde modem, isteğin gönderen adresini kendi genel adresiyle değiştirir ve hangi iç cihazın hangi bağlantıyı başlattığını bir tabloda tutar. Cevap geldiğinde tabloya bakıp doğru cihaza iletir. Dünyadaki milyonlarca ev ve ofis, aynı 192.168.1.x adreslerini birbirine karışmadan bu sayede kullanabiliyor.

NAT'ın yan etkisi: Dışarıdan içeri girilemez

NAT, bağlantıyı içeriden başlatan cihazlar için harika çalışır. Ama dışarıdan biri evinizdeki bir cihaza bağlanmak istediğinde modem, isteği hangi iç cihaza ileteceğini bilemez. Evdeki güvenlik kamerasına ya da NAS cihazına dışarıdan doğrudan ulaşılamamasının sebebi budur.

Bunun klasik çözümü port yönlendirmedir (port forwarding). Modem arayüzünde "dışarıdan 8080 portuna gelen istekleri 192.168.1.50 adresinin 80 portuna ilet" gibi bir kural tanımlarsınız. Ancak bu yöntem, o cihazı internetin tamamına açar. Güncellenmeyen bir kameranın internete açılması, ele geçirilmesinin en kısa yoludur. Daha güvenli seçenek, eve bir VPN (örneğin WireGuard) ile bağlanmaktır.

CGNAT: NAT'ın arkasında bir NAT daha

Pek çok mobil operatör ve bazı internet sağlayıcıları bir adım daha ileri gidiyor. Size bile gerçek bir genel IPv4 adresi vermiyor; sizi ve yüzlerce müşteriyi kendi büyük NAT'larının arkasına alıyor. Buna CGNAT (Carrier-Grade NAT) denir.

Modeminizin arayüzünde gördüğünüz WAN adresi 100.64.x.x ile 100.127.x.x arasındaysa (bu aralık CGNAT için ayrılmıştır) ya da özel adres aralıklarından birindeyse, CGNAT arkasındasınız demektir. Bu durumda modeminizde port yönlendirme yapsanız bile dışarıdan erişim çalışmaz. Çözüm ya internet sağlayıcınızdan sabit (statik) IP talep etmek ya da bir tünel ya da VPN servisi kullanmaktır.

IPv6: Adres sıkıntısının kalıcı çözümü

IPv6 adresleri 128 bittir ve onaltılık sayılarla yazılır:

2001:0db8:0000:0000:0000:0000:0000:0010
2001:db8::10        (aynı adresin kısaltılmış hâli)

Toplam adres sayısı yaklaşık 3,4 × 10³⁸'dir. Dünyadaki her kum tanesine milyarlarca adres düşecek kadar. Bu bolluk sayesinde NAT'a gerek kalmaz; her cihaz kendi genel adresine sahip olabilir.

Ama bir yanlış anlamayı düzeltmek gerekiyor: NAT bir güvenlik duvarı değildir. IPv6'da cihazların doğrudan adreslenebilmesi, onların korumasız olduğu anlamına gelmez. Modern modemler IPv6 için varsayılan olarak "içeriden başlatılmayan bağlantıları engelle" kuralıyla bir güvenlik duvarı uygular. Sunucularınızda da güvenlik duvarı kurallarınızı IPv6 için ayrıca kontrol edin. IPv4 için kapattığınız bir port, IPv6'da açık kalmış olabilir.

IPv6 neden bu kadar yavaş yayılıyor?

IPv6 1998'de standartlaştı, ama küresel trafiğin hâlâ ancak yarısına yakını IPv6 üzerinden akıyor. Ülkeler arasında da büyük farklar var. Sebepleri:

• NAT, sorunu "yeterince iyi" çözdü. Acil bir baskı olmayınca geçiş ertelendi.
• IPv4 ile doğrudan uyumlu değil. Geçiş süresince her şeyin iki protokolü birden desteklemesi (dual-stack) gerekiyor. Bu da iki kat yapılandırma ve test demek.
• Eski donanım ve yazılım. Bazı ağ cihazları ve uygulamalar IPv6'yı hâlâ eksik destekliyor.

Web sitesi sahipleri için pratik notlar

• Sunucunuzun bir IPv6 adresi varsa, alan adınıza AAAA kaydı ekleyin. Ama önce web sunucusunun IPv6 adresinde de dinlediğini ve güvenlik duvarının 80 ve 443 portlarına IPv6 üzerinden izin verdiğini test edin.
• Yanlış ya da çalışmayan bir AAAA kaydı, IPv6 kullanan ziyaretçilerin sitenize ulaşamamasına ya da çok yavaş ulaşmasına yol açar. Bu sorunların teşhisi de zordur, çünkü yalnızca bazı kullanıcıları etkiler.
• Loglarda, güvenlik eklentilerinde ve IP tabanlı engelleme kurallarında IPv6 adreslerinin de doğru işlendiğinden emin olun.

Kendinizi test edin

curl -4 https://ifconfig.co      # IPv4 genel adresiniz
curl -6 https://ifconfig.co      # IPv6 genel adresiniz (varsa)

İkinci komut bir adres döndürüyorsa, sizin bağlantınız IPv6'yı zaten kullanıyor. Büyük ihtimalle farkına bile varmadan.