IPv6 neden şimdi gündemde?
IPv4 adreslerinin pratikte tükenmesi, CGNAT kullanımının artması ve uzaktan erişim senaryolarının çoğalması IPv6’yı “bir gün geçeriz” seviyesinden çıkarıp gerçek bir ihtiyaç hâline getirdi. IPv6 sadece daha fazla adres demek değil; doğru planlandığında daha temiz bir ağ tasarımı, daha az NAT bağımlılığı ve modern güvenlik yaklaşımlarına daha uyumlu bir altyapı anlamına geliyor. Bu yazıda, ev/ofis ölçeğinden başlayıp küçük işletmeye kadar uygulanabilecek şekilde Dual Stack (IPv4+IPv6 birlikte) kurulumu, DNS kayıtları ve temel güvenlik adımlarını pratik bir rehber olarak ele alacağım.
1) Ön koşullar: ISS ve modem/router desteğini doğrulayın
Önce internet servis sağlayıcınızın (ISS) IPv6 sağladığını kontrol edin. Birçok ISS, DHCPv6-PD (Prefix Delegation) ile router’a bir “prefix” (örneğin /56 veya /64) atar. Modem/router arayüzünüzde IPv6 menüsünü bulun; “Native IPv6”, “DHCPv6”, “Prefix Delegation” gibi seçenekler görmelisiniz. Eğer cihazınız çok eskiyse IPv6 desteklese bile gelişmiş firewall/RA ayarlarını sunmayabilir. Bu aşamada hedefiniz: router’ın WAN tarafında IPv6 adresi alması ve LAN tarafına prefix dağıtabilmesi.
2) Dual Stack kurulum: IPv4’e dokunmadan IPv6’yı ekleyin
En sorunsuz geçiş yaklaşımı Dual Stack’tir. Çünkü cihazlar ve uygulamalar IPv6’yı destekliyorsa onu kullanır, desteklemiyorsa IPv4 ile devam eder. Router’da IPv6’yı etkinleştirdikten sonra genellikle iki kritik ayar vardır: DHCPv6-PD ve RA (Router Advertisement). DHCPv6-PD ile ISS’den aldığınız prefix, LAN’a dağıtılır. RA ise istemcilere “bu ağda IPv6 var, varsayılan ağ geçidi benim” bilgisini duyurur. Çoğu ev router’ında “SLAAC” (Stateless Address Autoconfiguration) otomatik gelir; bu sayede Windows, macOS, Linux ve mobil cihazlar IPv6 adresini kendisi üretir.
Kurulumdan sonra istemci tarafta doğrulama yapın. Windows’ta ipconfig, Linux/macOS’ta ip a komutuyla global IPv6 adresi görmelisiniz (genellikle 2000::/3 aralığında). Ardından bir IPv6 test sitesine girip erişimi doğrulayın. Eğer “IPv6 var ama internet yok” gibi bir durum oluşursa, çoğunlukla DNS veya firewall kuralı hatasıdır.
3) DNS tarafı: AAAA kayıtları, ters kayıt ve split-horizon
IPv6’da web sunucunuzu veya evdeki servislerinizi dışarı açacaksanız DNS’e AAAA kaydı eklemeniz gerekir. Örneğin example.com için hem A (IPv4) hem AAAA (IPv6) kaydı eklemek, istemcinin en uygun protokolle bağlanmasını sağlar. Bazı sistemler IPv6’yı tercih edebilir; bu yüzden IPv6’nız stabil değilse AAAA kaydını eklemek “yavaş açılıyor” şikâyetlerine yol açabilir. En iyi pratik: önce IPv6 bağlantısını ve firewall’ı sağlamlaştırın, sonra AAAA kaydını yayınlayın.
Kurumsal tarafta iç ağ isim çözümlemesi için split-horizon DNS (içeride farklı, dışarıda farklı kayıt döndürme) kullanılıyorsa, IPv6’yı her iki tarafta da tutarlı planlamak önemlidir. İçeride özel servisler için ULA (fc00::/7) kullanmak cazip görünse de çoğu senaryoda ISS’den gelen global prefix ile devam etmek, NAT benzeri karmaşıklıklardan kaçınmanızı sağlar. Ters DNS (PTR) kaydı ise genellikle barındırma sağlayıcı/ISS tarafında yönetilir; e-posta gibi servisler planlıyorsanız ihmal etmeyin.
4) Güvenlik: “NAT yoksa güvensiz” yanılgısı ve doğru firewall
IPv4 dünyasında NAT, yanlışlıkla “güvenlik duvarı” yerine kondu. IPv6’da her cihazın global adres alabilmesi, doğru yapılandırılmamış ağlarda yüzey alanını artırır. Bu yüzden IPv6’ya geçerken yapılacak en kritik iş, router üzerinde stateful firewall kurallarını kontrol etmektir. İyi haber: Çoğu modern router, IPv6’da varsayılan olarak dışarıdan içeri gelen bağlantıları engeller, içeriden dışarıya izin verir.
Kontrol etmeniz gerekenler: WAN’dan LAN’a inbound trafiğin kapalı olması, yönetim arayüzünün (web/SSH) internetten erişime açık olmaması, UPnP benzeri otomatik port açma mekanizmalarının IPv6’da ne yaptığı ve misafir ağlarının IPv6 izolasyonu. Ayrıca IoT cihazlar için ayrı VLAN veya misafir SSID kullanıyorsanız, IPv6 tarafında da aynı segmentasyonun uygulandığından emin olun. IPv6’da “port taraması daha zor” gibi iddialar pratikte güvenlik stratejisi değildir; temel yaklaşım yine aynıdır: minimum yetki, segmentasyon ve güncel yazılım.
5) Adres planlama: /64, /56 ve küçük ölçekli iyi pratikler
IPv6’da tipik bir LAN segmenti /64 kullanır. ISS’den /56 alıyorsanız teoride 256 adet /64 alt ağınız vardır; bu da “her VLAN’a bir /64” yaklaşımını kolaylaştırır. Ev/ofis için basit bir plan: ana ağ, misafir ağı ve IoT ağı için üç ayrı /64 ayırmak. Router bunu otomatik yapabiliyorsa harika; yapamıyorsa en azından tek bir /64 ile başlayıp ileride genişletebilirsiniz. Burada amaç, büyüdükçe yamalı bohça olmamak.
6) Sorun giderme: En sık karşılaşılan 5 problem
1) IPv6 var görünüyor ama site açılmıyor: DNS çözümlemesi veya firewall sorunu olabilir. İstemcide farklı DNS deneyin (ISS DNS’i, güvenilir bir genel DNS). 2) Bazı cihazlar IPv6 alıyor bazıları almıyor: RA yayınları kapalı olabilir veya Wi‑Fi izolasyonu/ACL engeli vardır. 3) Oyunlarda/VoIP’de sorun: Uygulama IPv6’yı kötü yönetiyor olabilir; geçici olarak AAAA kaydını kaldırmak veya istemci tarafında IPv6 önceliğini düşürmek test amaçlı yapılabilir. 4) Prefix sık değişiyor: ISS dinamik prefix veriyorsa, dış erişim için dinamik DNS ve otomatik güncelleme şarttır. 5) Port açmadan servis yayınlamak: IPv6’da NAT yok diye her şey açık değildir; yine firewall’da ilgili portlara izin vermelisiniz.
Sonuç: IPv6’yı kontrollü şekilde devreye alın
IPv6’ya geçişi “bir gecede IPv4’ü kapatalım” şeklinde düşünmek yerine, Dual Stack ile başlayıp adım adım olgunlaştırmak en sağlıklı yoldur. Önce ISS ve router uyumluluğunu doğrulayın, sonra RA/DHCPv6-PD ile istemcilere stabil adresleme sağlayın, DNS’te AAAA kayıtlarını kontrollü yayınlayın ve en önemlisi IPv6 firewall kurallarını bilinçli yönetin. Doğru kurulduğunda IPv6, erişilebilirliği artırır ve ağ yönetimini daha öngörülebilir hâle getirir.
