IPv4 adresleri tükendi ve bu, sunucu maliyetlerine doğrudan yansıyor: ek IPv4 adresleri ücretli, bazı sağlayıcılarda gerekçe göstermeniz isteniyor. IPv6 ise bol ve genellikle ücretsiz — ama kurulumu birkaç noktada dikkat gerektiriyor.
Bu rehber, fiziksel sunucularda IPv6 yapılandırmasını ve geçişte yapılan yaygın hataları anlatıyor.
Neden IPv6?
- Maliyet. IPv4 adresleri kıt bir kaynak ve ücretlendiriliyor. IPv6 blokları ise genellikle ücretsiz ve bol miktarda veriliyor.
- Erişilebilirlik. Yalnızca IPv6 bağlantısı olan kullanıcılar ve mobil ağlar giderek yaygınlaşıyor. IPv6 desteği olmayan bir site, bu kullanıcılara aracı katmanlar üzerinden ulaşır.
- Adres bolluğu. Her sanal makineye, her konteynere gerçek bir genel adres verebilirsiniz. IPv4'te bu ekonomik olarak mümkün değildir.
- Basitlik. Adres çevirisi (NAT) katmanına ihtiyaç kalmaz; ağ yapısı sadeleşir.
Doğru Yaklaşım: Çift Yığın
IPv4'ü kapatıp IPv6'ya geçmek bir seçenek değildir — internetin büyük bölümü hâlâ IPv4 kullanıyor. Doğru yaklaşım çift yığın (dual stack): sunucunuz her iki protokolde de erişilebilir olur.
İstemci hangisini destekliyorsa onu kullanır; ikisini de destekliyorsa genellikle IPv6 tercih edilir. Bu, geçişi kademeli ve risksiz kılar.
DNS Yapılandırması
IPv6 desteği, DNS tarafında tek bir kayıtla verilir: sunucunuzun IPv6 adresini gösteren bir AAAA kaydı. IPv4 için mevcut A kaydınız yerinde kalır.
En Kritik Uyarı
AAAA kaydını, IPv6 gerçekten çalışıyor olmadan eklemeyin.
Nedeni şudur: IPv6 destekleyen bir ziyaretçi, AAAA kaydını görür ve önce oraya bağlanmayı dener. Sunucunuzda IPv6 yapılandırması eksikse veya güvenlik duvarı IPv6 trafiğini engelliyorsa, o ziyaretçi için siteniz erişilemez olur.
Bu sorunun teşhisi zordur çünkü sizde çalışıyor görünür — sizin bağlantınız IPv4 kullanıyorsa hiçbir sorun fark etmezsiniz. "Bende açılıyor ama bazı kullanıcılar giremiyor" şikayetinin klasik nedenlerinden biridir.
Doğru sıra: önce sunucuda IPv6'yı yapılandır ve test et, sonra AAAA kaydını ekle.
Güvenlik Duvarı: İki Ayrı Kural Seti
Bu, IPv6 geçişinde yapılan en tehlikeli hatadır.
IPv4 ve IPv6 için güvenlik duvarı kuralları ayrı ayrı tanımlanır. IPv4 tarafında veritabanı portunu kapatmış olmanız, IPv6 tarafında da kapalı olduğu anlamına gelmez.
Sonuç: sıkı yapılandırılmış sandığınız bir sunucu, IPv6 üzerinden tamamen açık olabilir. Ve otomatik tarayıcılar IPv6 adres alanını da tarar.
Kontrol listesi:
- IPv6 güvenlik duvarı kuralları tanımlı mı?
- Varsayılan politika ret mi?
- Yalnızca gerekli portlar açık mı?
- Veritabanı ve yönetim portları IPv6 tarafında da kapalı mı?
- IPv6 üzerinden bir port taraması yaparak doğruladınız mı?
Son madde atlanmamalıdır: kuralları yazdığınızı sanıp yazmamış olmak, hiç yazmamaktan tehlikelidir.
Servis Yapılandırması
Sunucuda çalışan servisler, IPv6 üzerinden gelen bağlantıları da dinleyecek şekilde yapılandırılmalıdır. Varsayılan yapılandırmalar bazen yalnızca IPv4'ü dinler.
| Servis | Kontrol edilecek |
|---|---|
| Web sunucusu | IPv6 dinleme tanımı ve sanal host yapılandırması |
| SSH | IPv6 üzerinden erişim ve IP kısıtlama kuralları |
| Posta sunucusu | Ters DNS kaydı IPv6 için de tanımlı olmalı |
| Veritabanı | Yalnızca yerel dinlemeli — IPv6'da da |
| Uygulama | IPv6 adreslerini doğru kaydedip işleyebilmeli |
Uygulama Tarafı: Sessiz Sorunlar
IPv6 adresleri IPv4'ten farklı biçimdedir ve uygulamalar bunu her zaman doğru işlemez. Kontrol edilmesi gerekenler:
- Veritabanı alan uzunluğu. IP adresi saklayan sütunlar IPv4 için tasarlanmışsa, IPv6 adresi sığmaz ve kesilir. Yorum sistemleri ve güvenlik logları bu sorunu sıkça yaşar.
- IP tabanlı kurallar. Engelleme, hız sınırlama ve coğrafi tespit yapan kodlar IPv6'yı tanımalıdır. Tanımıyorsa o kurallar IPv6 ziyaretçileri için hiç uygulanmaz.
- Log analizi. Log işleme araçlarınız IPv6 adreslerini doğru ayrıştırabiliyor mu?
- Vekil arkasında gerçek IP. Öne bir vekil katmanı koyduysanız, gerçek istemci IP'sinin iletilmesi IPv6 için de yapılandırılmalıdır.
E-posta Tarafında Özel Durum
Sunucunuzdan e-posta gönderiyorsanız IPv6 ek dikkat gerektirir: büyük e-posta sağlayıcıları, IPv6 üzerinden gelen gönderimlerde ters DNS kaydını IPv4'ten daha katı arar.
IPv6 adresiniz için ters DNS kaydı tanımlı değilse, iletileriniz reddedilebilir. Bu, IPv6 etkinleştirildikten sonra ortaya çıkan ve nedeni geç anlaşılan bir teslimat sorunudur.
Ayrıca SPF kaydınıza IPv6 adresinizi de eklemeyi unutmayın — yalnızca IPv4 listeleyen bir SPF kaydı, IPv6 üzerinden yapılan gönderimlerde doğrulamayı geçemez.
Test Yöntemleri
- Sunucudan dışarı. IPv6 üzerinden bir dış adrese bağlanabildiğini doğrulayın.
- Dışarıdan sunucuya. IPv6 destekleyen bir ağdan sitenize bağlanmayı deneyin. Bu, en kritik testtir.
- Port taraması. IPv6 üzerinden hangi portların açık olduğunu kontrol edin.
- Log doğrulaması. Erişim loglarında IPv6 adreslerinin göründüğünü ve doğru kaydedildiğini kontrol edin.
- E-posta testi. IPv6 üzerinden gönderim yapıp teslim edildiğini doğrulayın.
Sonuç
IPv6 geçişi, çift yığın yaklaşımıyla risksiz biçimde yapılabilir — ama sıra kritiktir: önce sunucuda yapılandır ve test et, sonra AAAA kaydını ekle. Ters sırada yapılan bir geçiş, IPv6 kullanan ziyaretçiler için sitenizi erişilemez kılar ve bu sorunu siz fark etmezsiniz. İkinci kritik nokta güvenlik duvarıdır: IPv4 ve IPv6 kuralları ayrıdır, birinde kapalı olan port diğerinde açık kalabilir. E-posta gönderiyorsanız IPv6 için ters DNS ve SPF kaydını da tamamlayın.
Sıkça Sorulan Sorular (SSS)
IPv6 desteği şart mı?
Bugün zorunlu değil ama giderek yaygınlaşıyor ve maliyet avantajı sunuyor. Ek IPv4 adresleri ücretlendirilirken IPv6 blokları genellikle ücretsizdir. Ayrıca yalnızca IPv6 bağlantısı olan kullanıcılara doğrudan ulaşabilirsiniz.
AAAA kaydını ne zaman eklemeliyim?
Sunucuda IPv6 yapılandırmasını tamamlayıp test ettikten sonra. Erken eklenen bir AAAA kaydı, IPv6 kullanan ziyaretçiler için sitenizi erişilemez yapar — ve sizin bağlantınız IPv4 kullanıyorsa bunu hiç fark etmezsiniz.
Güvenlik duvarım IPv6'yı kapsıyor mu?
Ayrı yapılandırmadıysanız muhtemelen hayır. IPv4 ve IPv6 kuralları bağımsızdır. Bu, sıkı sandığınız bir sunucunun IPv6 üzerinden tamamen açık olması anlamına gelebilir. IPv6 üzerinden port taraması yaparak doğrulayın.
IPv6 açtım, e-postalarım reddediliyor
Büyük sağlayıcılar IPv6 gönderimlerinde ters DNS kaydını daha katı arar. IPv6 adresiniz için ters DNS kaydı tanımlı değilse iletiler reddedilir. Ayrıca SPF kaydınıza IPv6 adresinizi eklediğinizden emin olun.
