Kampüs Ağında IPv6’ya Geçiş: Adres Planı, SLAAC ve DHCPv6

“IPv6 kullanmıyoruz” cümlesi kampüs ağlarında neredeyse hiç doğru değildir. Windows, macOS ve Linux istemciler IPv6’yı varsayılan olarak açık getirir ve her arayüzde link-local adresle konuşur; IPv6 trafiği ağınızda zaten akıyor, sadece kimse planlamamış. Ertelemenin bedeli de genellikle bir gün sahte bir Router Advertisement ile ödenir. Aşağıda dual-stack bir kampüs geçişini adres planından istemci adresleme yöntemine, RA korumasından aşamalı devreye alma sırasına kadar uygulanabilir adımlarla anlatıyoruz.

Kampüs için IPv6 geçiş stratejileri

Kampüs ağında üç temel yaklaşım var:

Kurumsal ağlarda eski yazıcılar, endüstriyel cihazlar ve IPv4’e bağımlı uygulamalar yıllarca yaşamaya devam eder. Bu yüzden pratik hedef “IPv4’ü kapatmak” değil, IPv6’yı IPv4 ile aynı kalite ve güvenlik düzeyinde işletmektir. Bundan sonrası dual-stack modeli esas alıyor. Gerçekçi olan budur.

Adres planı: bloktan VLAN’a örnek tablo

IPv6 adres planının mantığı IPv4’ten farklıdır. Adres kıtlığı yoktur; kıt olan okunabilirlik ve rotaların tek önek altında toplanabilmesidir. IPv4 alışkanlığıyla “küçük alt ağ, az israf” diye düşünen ekiplerin ilk planı genellikle çöpe gider. Temel kurallar:

• Her son kullanıcı ve sunucu segmenti /64 olur. SLAAC yalnız /64 önekte çalışır; daha küçük alt ağ istemci uyumsuzluğu yaratır.
• Noktadan noktaya yönlendirici bağlantılarında /127 kullanılabilir (RFC 6164); loopback adresleri /128 olur.
• Bölümleme nibble (4 bit, tek onaltılık hane) sınırlarında yapılır; önekler okunur kalır, DNS ters bölgeleri kolay tanımlanır.
• Önek kaynağını baştan belirleyin. Operatörden alınan (PA) önek, operatör değiştiğinde yeniden numaralandırma gerektirir. Sağlayıcıdan bağımsız adres alanı (RIPE NCC üzerinden) bu riski kaldırır ama BGP ile duyurulmasını gerektirir. Operatörünüzün hangi uzunlukta önek verdiğini (örneğin /48 veya /56) önceden öğrenin.

Aşağıdaki örnek, dokümantasyon için ayrılmış 2001:db8::/32 bloğundan (RFC 3849) bir lokasyona /48 ayrıldığını varsayar. Dördüncü hextet’in ilk hanesi bölgeyi (0 altyapı, 1 A binası, 2 B binası, f veri merkezi), son üç hanesi VLAN numarasını gösterir:

Bu yapıda A binasının tüm segmentleri 2001:db8:4a00:1000::/52 altında toplanır; bina bazlı route summarization ve firewall nesneleri tek önekle yazılır. VLAN numarasını adrese yansıtmak, mevcut IPv4 VLAN düzeniniz tutarlıysa işe yarar. Düzen karışıksa önce onu toparlayın; dağınık VLAN üzerine kurulan IPv6 planı dağınıklığı kalıcı hale getirir. Bunun için kurumsal ağda VLAN tasarımı yazısı başlangıç noktasıdır.

SLAAC, DHCPv6 stateless ve stateful

IPv6 istemciler adresi üç yolla alabilir. Gözden kaçan ayrıntı şu: varsayılan ağ geçidi her durumda Router Advertisement (RA) ile gelir. DHCPv6 varsayılan rota taşımaz.

Kurumsal Windows ağlarında yaygın tercih, Windows bilgisayar segmentlerinde DHCPv6 stateful (adres kaydı ve dinamik DNS kaydı için), mobil cihaz ve misafir segmentlerinde SLAAC’tır. Nedeni Android: DHCPv6 ile adres (IA_NA) almayı desteklemez ve yalnız M bayrağı açık, A bayrağı kapalı bir segmentte IPv6 adresi edinemez. Mobil işletim sistemlerinin güncel davranışını pilot aşamasında test edin. Stateful DHCPv6’da rezervasyon MAC adresine değil DUID’ye göre yapılır; DUID işletim sistemi yeniden kurulduğunda değişebilir. SLAAC segmentlerinde ise istemciler gizlilik için geçici (temporary) adresler üretir. Olay incelemesinde “hangi IP hangi cihazdı” sorusu ancak ND tablosu, NetFlow veya NAC kayıtlarıyla cevaplanır. Bu kayıtları baştan toplayın.

Router Advertisement, M/O bayrakları ve RA Guard

RA mesajı istemciye üç şey söyler: varsayılan ağ geçidi, önek bilgisi (A bayrağıyla SLAAC’a izin verilip verilmediği) ve DHCPv6 kullanılıp kullanılmayacağı. M (Managed) bayrağı adresin DHCPv6’dan alınacağını, O (Other) bayrağı yalnız DNS gibi diğer bilgilerin DHCPv6’dan geleceğini belirtir. Cisco IOS XE üzerinde stateful DHCPv6 kullanan bir SVI örneği:

ipv6 unicast-routing
!
interface Vlan20
 description KULLANICI-A-BINASI
 ipv6 address 2001:db8:4a00:1020::1/64
 ipv6 nd managed-config-flag
 ipv6 nd other-config-flag
 ipv6 nd prefix 2001:db8:4a00:1020::/64 no-autoconfig
 ipv6 dhcp relay destination 2001:db8:4a00:f050::11
 ipv6 dhcp relay destination 2001:db8:4a00:f050::12

no-autoconfig parametresi önekteki A bayrağını kaldırır; istemci SLAAC adresi üretmez. DHCPv6 relay mantığı IPv4’teki ip helper-address ile benzerdir. IPv4 tarafındaki relay ve sahte sunucu koruması için DHCP relay ve DHCP snooping yazısına bakın.

IPv6’da sahte DHCP sunucusundan daha yaygın risk sahte RA’dır. İnternet bağlantı paylaşımı açık bir bilgisayar veya yanlış yapılandırılmış bir sanal makine RA gönderirse istemciler onu varsayılan ağ geçidi seçebilir. IPv6’yı henüz devreye almamış ağlarda da bu risk vardır, çünkü istemcilerde IPv6 açıktır. Sahada “bazı kullanıcılar bazı sitelere geç bağlanıyor” şikâyetinin arkasından sık çıkan budur. Koruma, erişim portlarında RA Guard (RFC 6105) ve DHCPv6 Guard ile sağlanır:

ipv6 nd raguard policy RA-HOST
 device-role host
!
ipv6 dhcp guard policy DHCP6-CLIENT
 device-role client
!
interface range GigabitEthernet1/0/1 - 46
 ipv6 nd raguard attach-policy RA-HOST
 ipv6 dhcp guard attach-policy DHCP6-CLIENT

RA Guard’ın bazı uygulamaları, IPv6 uzantı başlıklarıyla parçalanmış RA mesajlarını yakalayamayabilir (konu RFC 7113’te ele alınır). Erişim switch’inin yazılım sürümünün bu atlatmalara karşı davranışını üreticinin dokümantasyonundan doğrulayın.

ICMPv6 ve Neighbor Discovery’nin önemi

IPv4’te ICMP’yi toptan kapatmak kötü bir alışkanlıktır ama ağ çalışmaya devam eder. IPv6’da ICMPv6 kapatılırsa ağ çalışmaz. Neighbor Discovery (ND) ARP’ın yerini alır ve ICMPv6 mesajlarıyla işler: Router Solicitation (133), Router Advertisement (134), Neighbor Solicitation (135), Neighbor Advertisement (136) ve Redirect (137). Ayrıca IPv6’da yönlendiriciler paketi parçalamaz; yol üzerindeki MTU’dan büyük paket için kaynağa “Packet Too Big” (tip 2) mesajı döner. Bu mesaj firewall’da engellenirse küçük istekler çalışır, büyük aktarımlar asılı kalır. Teşhisi en zor arızalardan biridir.

Firewall ve ACL tasarımında ICMPv6 için başvuru kaynağı RFC 4890’dır. Ana hatlarıyla: Destination Unreachable (1), Packet Too Big (2), Time Exceeded (3) ve Parameter Problem (4) geçişte izinli olmalı; ND mesajları yerel bağlantıda her zaman çalışmalıdır. ND adres çözümlemesi için solicited-node multicast adreslerini kullanır ve istemciler bu gruplara MLD (ICMPv6 tip 130–132 ve 143) ile katılır. MLD mesajlarını da yerel bağlantıda engellemeyin; switch’lerde MLD snooping kullanılıyorsa ND’nin etkilenmediğini test edin.

Aşamalı dual-stack geçiş sırası

Sıra önemlidir. Korumayı yönlendirmeden önce, politikayı yaygınlaştırmadan önce kurarsınız:

1. Envanter: Switch, router, firewall, kablosuz kontrolcü, yük dengeleyici ve izleme araçlarının IPv6 desteğini, yazılım sürümlerini ve lisans gereksinimlerini listeleyin. IPAM ve SIEM’in IPv6 adreslerini işleyip işlemediğini kontrol edin.
2. Erişim koruması: RA Guard ve DHCPv6 Guard’ı, IPv6 yönlendirmesi açılmadan önce tüm erişim switch’lerine uygulayın.
3. Adres planı ve önek: Plan tablosunu onaylatın, DNS ters bölgelerini hazırlayın.
4. Omurga: Çekirdek ve dağıtım katmanında loopback, noktadan noktaya bağlantılar ve dinamik yönlendirme (OSPFv3 veya IPv6 adres ailesi) devreye alınır. Kampüs yönlendirme yapısı için kampüs ağında OSPF tasarımı yazısı referans alınabilir.
5. Güvenlik politikası eşitliği: Firewall’da her IPv4 kuralının IPv6 karşılığı yazılır. IPv4’te sıkı, IPv6’da açık bir firewall segmentasyonu fiilen ortadan kaldırır. Arka kapı böyle açılır.
6. Hizmetler: DHCPv6 kapsamları, DNS sunucularının IPv6 adresleri ve iç DNS kayıtları hazırlanır. İç ve dış DNS ayrımı için kurumsal DNS mimarisi yazısına bakın.
7. Pilot: BT ekibinin VLAN’ıyla başlayın; uygulama erişimi, VPN, yazdırma ve izleme test edilir.
8. Yaygınlaştırma: Kullanıcı VLAN’ları bina bina açılır. Sunucu segmentleri ve iç AAAA kayıtları, hizmetin IPv6 üzerinden gerçekten erişilebilir olduğu doğrulandıktan sonra yayımlanır.

Doğrulama komutları ve sık hatalar

Her segment açıldığında aşağıdaki kontrolleri konsoldan yapın:

! Cisco IOS XE
show ipv6 interface brief
show ipv6 interface Vlan20
show ipv6 neighbors
show ipv6 route
show ipv6 nd raguard policy RA-HOST

# Windows (PowerShell)
Get-NetIPAddress -AddressFamily IPv6
Get-NetRoute -AddressFamily IPv6 -DestinationPrefix ::/0
ping -6 2001:db8:4a00:f050::11

# Linux
ip -6 addr show
ip -6 route show default
rdisc6 eth0

show ipv6 interface Vlan20 çıktısında RA aralığı ve M/O bayraklarının durumu görülür. Linux’taki rdisc6 (ndisc6 paketi) segmentteki RA mesajlarını listeler; beklenmeyen bir kaynaktan RA görüyorsanız RA Guard eksik veya atlatılmıştır.

Sahada en sık karşılaştığımız hatalar:

• Kullanıcı segmentlerinde /64 yerine daha uzun önek kullanıp SLAAC’ı kırmak.
• ICMPv6’yı IPv4 alışkanlığıyla toptan engellemek.
• Firewall’da IPv6 kurallarını eksik bırakmak veya varsayılan izinle çalıştırmak.
• AAAA kaydını hizmet IPv6 üzerinden hazır olmadan yayımlamak; istemcilerin önce IPv6’yı deneyip gecikmeyle IPv4’e dönmesi.
• DHCPv6 rezervasyonlarını MAC adresine göre planlamak.
• Log ve olay incelemesi süreçlerinde IPv6 adres–cihaz eşlemesini hesaba katmamak.

Adres planının mevcut VLAN ve yönlendirme yapısıyla birlikte tasarlanması VLAN, routing ve ağ segmentasyonu çalışmasının, geçiş yol haritasının çıkarılması ise kurumsal network danışmanlığı kapsamında ele alınabilir.

Sık sorulan sorular

IPv6’yı kullanmıyorsak RA Guard’a gerek var mı?

Evet. Windows, macOS ve Linux istemcilerde IPv6 varsayılan olarak açıktır. Ağdaki bir cihaz sahte Router Advertisement gönderirse istemciler onu IPv6 varsayılan ağ geçidi olarak kullanabilir. RA Guard’ı, IPv6 yönlendirmesini devreye almadan önce erişim portlarına uygulayın.

Kullanıcı VLAN’larında neden /64 kullanmak zorundayız?

SLAAC arayüz kimliğini 64 bit olarak üretir ve yalnız /64 öneklerde çalışır. Daha uzun önek kullanılırsa SLAAC devre dışı kalır, bazı istemciler adres alamaz. IPv6 adres alanı geniş olduğu için /64 kullanmak israf sayılmaz.

SLAAC mı DHCPv6 mı seçmeliyim?

Adres kaydı ve dinamik DNS güncellemesi istiyorsanız Windows bilgisayar segmentlerinde DHCPv6 stateful uygundur. Android cihazlar DHCPv6 ile adres (IA_NA) almadığı için mobil ve misafir segmentlerinde SLAAC kullanın. Varsayılan ağ geçidi her iki durumda da Router Advertisement ile gelir.

Firewall’da ICMPv6’nın hangi mesajlarına izin verilmeli?

RFC 4890’a göre Destination Unreachable, Packet Too Big, Time Exceeded ve Parameter Problem mesajları geçişte izinli olmalıdır. Neighbor Discovery mesajları (133–137) yerel bağlantıda her zaman çalışmalıdır. Packet Too Big engellenirse büyük paket aktarımları asılı kalır.