IP Adresi Nedir? Subnet Maskesi, CIDR ve IPv6

Bir cihazın ağda bulunabilmesi için iki şey gerekir: bir adres, ve o adresin nerede bittiğini söyleyen bir sınır. Birincisini herkes tanır, 192.168.1.15 gibi görünür. İkincisi subnet maskesidir ve sahada en çok kafa karıştıran konu odur. Bu makale ağırlığını oraya veriyor.

En kısa yol telefon numarasından geçiyor. 0212 555 XX XX numarasına baktığınızda nerede alan kodunun bitip nerede abonenin başladığını bilirsiniz. Ama bunu numaraya bakarak bilmezsiniz: numaranın içinde bir ayraç yoktur, siz kuralı bildiğiniz için ayırırsınız. IP adresinde de öyle bir ayraç yoktur. Subnet maskesinin tek işi o ayracı koymaktır.

Bir şeyi de baştan yerine oturtalım, çünkü makalenin sonu buna dayanıyor: IP bir adres değil, bir protokoldür. Açılımı Internet Protocol, yani ağların birbiriyle nasıl konuşacağını belirleyen kurallar bütününün adı. Adres, o kuralların içinde tanımlanmış alanlardan yalnızca biridir. Bunun pratik sonucu şu: kurallar güncellendiğinde adresin biçimi de değişir, ve IPv4 ile IPv6 arasındaki fark tam olarak buradan doğar. İkisi rakip teknolojiler değil, aynı protokolün iki sürümü.

Aşağıda IP adresinin ne işe yaradığını, 32 bitin dört parçaya nasıl bölündüğünü, /24 gösteriminin tam olarak neyi anlattığını, özel adreslerin neden birbiriyle çakışmadan yaşadığını ve IPv6’nın neden ortaya çıktığını bulacaksınız. Maskeyi yanlış yazınca ağda ne olduğunu ise anlatmakla kalmayıp lab ortamında ölçüp göstereceğiz; sonuç muhtemelen beklediğiniz gibi değil. Doğrudan oraya gitmek isterseniz: subnet maskesi bölümü.

Bu makale Kurumsal Network Kurulumu hizmetimizin adresleme tarafına odaklanır ve ağ protokolleri rehberimizin bir alt başlığını derinleştirir.

IP Adresi Nedir? Paketi Hedefe Götüren Numara

IP adresi, bir ağdaki cihazı benzersiz şekilde tanımlayan ve gönderilen verinin hangi cihaza teslim edileceğini belirleyen numaradır. Internet Protocol (IP) adını taşıyan protokolün tek işi budur: eline verilen paketi, üstünde yazan adrese götürmek.

Telefon şebekesi bu işi yüz yıldan uzun süredir aynı mantıkla yapıyor. Bir numarayı çevirdiğinizde şebeke sizin kim olduğunuzla, ne konuşacağınızla, konuşmanın ne kadar süreceğiyle ilgilenmez. Tek yaptığı, numaranın gösterdiği yere bağlantıyı kurmaktır. IP protokolü de paketin içinde ne olduğuna bakmaz. İçerik başkalarının işidir, adres onun.

IP Ne Demek? Internet Protocol ve Sürüm Numaraları

IP, Internet Protocol sözcüklerinin kısaltmasıdır ve bu iki kelimenin ikisi de protokolün işini tarif eder.

Internet kelimesinin kendisi inter-network kısaltmasından gelir, yani ağlar arası. Adı buradan bakıldığında bir görev tanımıdır: tek bir ağın içinde kalan trafik için IP’ye ihtiyacınız yoktur, cihazlar birbirini doğrudan bulur. IP tam olarak farklı ağları birbirine bağlamak için vardır. Bu makalenin ilerleyen bölümünde subnet maskesinin cevapladığı soru da zaten budur: hedef benim ağımda mı, yoksa başka bir ağda mı?

Protokol kısmı ise bir kurallar bütünüdür. IP, gönderilen her paketin başında hangi bilginin nerede duracağını tanımlar: verinin nereden geldiğini, nereye gideceğini, kaç durak daha yaşayabileceğini. Adres bu kurallar bütününün bir parçasıdır, ondan bağımsız bir şey değil. “IP adresi” derken aslında “Internet Protocol’ün tanımladığı biçimdeki adres” demiş oluyoruz.

Bu ayrım, adının içindeki sayıyı da açıklıyor. IPv4 ve IPv6, iki farklı teknoloji değil, aynı protokolün iki sürümüdür: v harfi version, yani sürüm demek. Kurallar bütünü güncellendiğinde adresin biçimi de değişir, çünkü adres o bütünün içinde tanımlıdır. Bugün ağlarda gördüğünüz 192.168.1.15 biçimi dördüncü sürümün, 2a02:ff0:262:bcfe::1 biçimi ise altıncı sürümün kuralıdır.

Telefon numaralarında da olan budur. Numaranın kaç haneli olacağı, alan kodunun nereden başlayacağı, sıfırla mı çevrileceği: bunların hepsi bir numaralandırma planına yazılıdır. Plan değiştiğinde numaralar değişir, ama telefonun ne işe yaradığı değişmez.

Aradaki beşinci sürümü merak ettiyseniz: 5 numarası deneysel kalmış başka bir protokole ayrılmıştı ve hiçbir zaman yaygın kullanıma geçmedi. Bu yüzden IPv4’ten sonrası doğrudan IPv6 oldu.

Adresin İki İşi: Kim ve Nerede

Bir IP adresi aynı anda iki soruya cevap verir, ve bu ikilik konunun tamamını taşır.

• Kim: ağdaki hangi cihaz olduğunu söyler. Aynı ağda iki cihaz aynı adresi taşıyamaz, tıpkı aynı santralde iki abonenin aynı dahili numarayı alamayacağı gibi.
• Nerede: o cihazın hangi ağa ait olduğunu söyler. 0212 ile başlayan bir numara size daha aramadan İstanbul’un Avrupa yakasını anlatır.

İkinci işi çoğu anlatım atlar, oysa yönlendirmenin tamamı ona dayanır. Bir router elindeki paketi nereye göndereceğine karar verirken hedefin kim olduğuyla ilgilenmez, nerede olduğuna bakar. Şebeke 0212 kısmını görüp aramayı doğru bölgeye yollar; abone numarasının kime ait olduğunu ancak o bölgedeki santral bilir.

Peki adresin bu ikinci işi hiç olmasaydı ne olurdu? Geriye tek bir yöntem kalırdı: paketi her yöne birden göndermek. Hedefin nerede olduğunu bilmeyen bir ağın onu bulmak için başka yolu yoktur. Elli şubeli bir kurumda tek bir şubeye gidecek paket elli şubeye birden giderdi; kırk dokuzu “bu bana değil” deyip atardı, biri kabul ederdi. Her paket için. Ağ kısa sürede kendi gürültüsünde boğulurdu.

Telefon şebekesinde karşılığını düşünün: alan kodu diye bir şey olmasaydı, çevirdiğiniz numarayı Türkiye’deki bütün santrallere aynı anda sormak gerekirdi. 0212 tam olarak bu sorgulamayı gereksiz kılıyor.

İnternetin bu ölçekte çalışabilmesinin sebebi de budur ve tek cümleye sığar: adresin içindeki hiyerarşi sayesinde hiçbir yönlendirici bütün hedefleri bilmek zorunda değildir, yalnız bir sonraki adımı bilmesi yeterlidir. Adres “nerede” bilgisini taşımasaydı bu iş bölümü kurulamaz, her cihazın her hedefi bilmesi gerekirdi.

Buradan şu çıkıyor: adresin bir kısmı ağı, kalan kısmı o ağdaki cihazı gösteriyor. Peki bu ikisi arasındaki sınır nerede? Cevap birazdan, önce adresin kendisine bakalım.

Ağdaki Beşlinin Eksik Parçası

IP adresi tek başına bir bağlantı kurmaya yetmez. Port numaralarını anlattığımız makalede bir bağlantıyı benzersiz kılan beşliyi görmüştük: taşıma protokolü, kaynak IP adresi, kaynak port, hedef IP adresi ve hedef port. O listede IP adresi kullanılıyor ama tanımlanmıyordu; bu makale o boşluğu dolduruyor.

İş bölümü nettir ve tek cümleyle özetlenir: IP adresi paketi doğru makineye götürür, port numarası o makinenin içinde doğru programa teslim eder. Santral binaya bağlar, dahili numara kişiye ulaştırır. Biri olmadan diğeri işe yaramaz.

IPv4 Adresinin Yapısı: 32 Bit, Dört Oktet

İki sürümden bugün ağların ezici çoğunluğunun taşıdığı hâlâ dördüncüsü, bu yüzden yapıyı oradan öğrenmek gerekiyor.

IPv4 adresi 32 bitlik bir sayıdır ve okunabilir olsun diye sekiz bitlik dört parçaya bölünüp aralarına nokta konarak yazılır. Her parçaya oktet denir.

192.168.1.15
 |   |  | |
 |   |  | +--- 4. oktet
 |   |  +----- 3. oktet
 |   +-------- 2. oktet
 +------------ 1. oktet

Bilgisayarın gördüğü şey bu noktalı yazım değil, 32 tane sıfır ve birdir. Nokta gösterimi tamamen bizim içindir, tıpkı telefon numarasını 0212 555 XX XX diye boşluklarla yazmamız gibi: şebeke boşlukları görmez, biz numarayı akılda tutabilelim diye ayırırız.

Neden En Fazla 255? Sekiz Bitin Sınırı

Bir oktetin alabileceği en büyük değer 255’tir, çünkü sekiz bitle yazılabilecek en büyük sayı odur. Sekiz basamağın hepsi bir olduğunda 11111111 elde edilir ve bunun ondalık karşılığı 255’tir.

Buna karşılık bir oktet 256 farklı değer taşır ve bu iki sayının bir eksik olması sürekli kafa karıştırır. Sebebi tek cümle: bilgisayar saymaya sıfırdan başlar. Biz gündelik hayatta birden sayarız, birinci sıra, birinci gün, birinci deneme. Bilgisayar için ilk değer 1 değil 0’dır. Dolayısıyla oktetteki 256 değerin ilki 0, sonuncusu 255 olur: adet 256, en büyük sayı 255.

Bunu bir kez oturttuğunuzda adreslerde gördüğünüz sıfırlar da tuhaf gelmez. 192.168.0.1 gayet geçerli bir adrestir; oradaki sıfır “boş” ya da “tanımsız” demek değildir, sayının ilk değeridir. Aynı mantık makalenin ilerleyen bölümlerinde de karşınıza çıkacak: /24 gösterimindeki bitler de, bir ağdaki adresler de sıfırdan sayılır.

Bu yüzden 192.168.1.300 diye bir adres olamaz. Yazım hatası değildir, matematiksel olarak imkansızdır: 300’ü sekiz bite sığdıramazsınız. Bir yapılandırma ekranında böyle bir değer girmeye çalıştığınızda alan sizi reddediyorsa sebep budur.

Dört oktetin her biri 256 değer taşıdığına göre toplam adres sayısı 256 × 256 × 256 × 256, yani yaklaşık 4,3 milyardır. Bu sayıyı aklınızda tutun, makalenin ilerleyen bölümünde IPv6’nın neden var olduğunu anlatan şey tam olarak bu rakamın yetersizliği olacak.

Ağ Kısmı ve Host Kısmı: Alan Kodu ve Abone Numarası

Her IP adresi ikiye ayrılır: ağ kısmı adresin hangi ağa ait olduğunu, host kısmı o ağdaki hangi cihaz olduğunu gösterir.

0212 555 XX XX numarasında 0212 alan kodudur ve bölgeyi anlatır; 555 XX XX abone numarasıdır ve o bölgedeki tek bir hattı gösterir. IP adresinde de durum aynıdır. 192.168.1.15 adresinde 192.168.1 kısmı ağı, 15 kısmı o ağdaki cihazı gösterebilir.

Buradaki “gösterebilir” kelimesi özellikle seçildi ve makalenin dönüm noktası odur. Çünkü adrese bakarak bu ayrımın nerede yapıldığını anlayamazsınız. 192.168.1.15 adresinde sınırın üçüncü noktadan sonra olduğunu size hiçbir şey söylemiyor. Aynı adres pekala 192.168 ağının 1.15 numaralı cihazı da olabilirdi.

Telefonda bu sorunu yaşamayız çünkü kuralı ezbere biliriz: Türkiye’de alan kodları dört hanedir. IP adresinde ezberlenecek böyle bir kural yoktur, ağdan ağa değişir. İşte bu yüzden adresin yanında ikinci bir sayı taşınır.

Subnet Maskesi Nedir? Alt Ağ Maskesi ve Sınırın Yeri

Subnet maskesi (alt ağ maskesi), bir IP adresinin hangi kısmının ağı hangi kısmının cihazı gösterdiğini belirleyen sayıdır. Adresle her zaman birlikte yazılır, çünkü adres tek başına eksiktir.

Bir önceki bölümde kalınan yer tam olarak buydu: 192.168.1.15 adresinde sınırın nerede olduğunu adres söylemiyordu. Maske o sınırı çizen ikinci sayıdır. Kurumsal bir santralde “dahili numaralar üç hanedir” kuralı neyse, maske de odur: numaranın kendisinde yazmaz, ama onsuz numarayı doğru okuyamazsınız.

Maske Tam Olarak Neyi Maskeler?

Maske, adresin ağ kısmına denk gelen bitleri 1, host kısmına denk gelen bitleri 0 yaparak sınırı işaretler. Adının “maske” olmasının sebebi budur: adresin üstüne konan ve yalnız ağ kısmını görünür bırakan bir şablon gibi çalışır.

255.255.255.0 maskesini bit düzeyinde açalım, çünkü bu makalenin en çok atlanan yeri burasıdır:

Adres :  192.168.1.15
         11000000.10101000.00000001.00001111

Maske :  255.255.255.0
         11111111.11111111.11111111.00000000
         \_________ AĞ __________/ \_ HOST _/

Ağ    :  192.168.1.0

Maskede baştan itibaren 24 tane 1 var, sonra 8 tane 0 geliyor. Bu şu demek: adresin ilk 24 biti ağı, son 8 biti cihazı gösteriyor. Cihaz bir hedefe paket göndereceği zaman kendi adresiyle hedefin adresini bu maskeden geçirir ve iki sonucu karşılaştırır.

1. Sonuçlar aynıysa hedef kendi ağındadır. Paketi doğrudan ona verir, arada kimse yoktur.
2. Sonuçlar farklıysa hedef başka bir ağdadır. Paketi kendi çıkış kapısına, yani default gateway’e teslim eder.

Karar bundan ibarettir ve her paket için tekrarlanır. Aynı binadaki komşuya gitmek için merdivenden çıkarsınız, başka bir şehre gitmek için önce dışarı. Adresleme dünyasında bu kararı veren tek şey maskedir.

255.255.255.0 Ne Anlatıyor?

Maskedeki 255 değerleri “bu oktetin tamamı ağa aittir”, 0 değerleri “bu oktetin tamamı cihaza aittir” anlamına gelir. En sık karşılaşılan üç maskenin karşılığı şudur:

Cihaz sayılarının neden yuvarlak olmadığını merak ettiyseniz cevap şu: her ağda iki adres cihazlara verilemez, çünkü ikisi de tek bir cihazı değil topluluğun kendisini gösterir.

Host kısmının tamamı sıfır olan adres ağın kendi adıdır (192.168.1.0). Santralin numarası gibidir: kimsenin hattı değildir, o santralden söz ederken kullanılır. Host kısmının tamamı bir olan adres ise (192.168.1.255) anons hattıdır; oraya gönderilen paket tek bir aboneye değil, o santraldeki bütün dahililere birden gider.

Geriye kalan 254 adres cihazlara dağıtılır. Ağ geçidiniz de bu 254’ün içindedir: 192.168.1.1 ayrılmış ya da özel bir adres değil, sıradan bir host adresidir; onu ayrıcalıklı kılan şey numarası değil, o numaradaki cihazın dışarı çıkışı üstlenmesidir. Santralin dış hattına bakan görevli de sonuçta bir dahilide oturur.

Bu satırı yapılandırma ekranlarında hep birlikte görürsünüz. Aynı bilgiyi bir de ipconfig /all çıktısında, DHCP’nin dağıttığı bilgiler arasında görürsünüz: adres ve maske yan yana durur, çünkü biri olmadan diğeri anlamsızdır.

Lab: Yanlış Maskenin Maliyeti Nedir?

Şimdi soruyu tersine çevirelim: maskeyi yanlış yazarsanız ne olur?

Bu soruya sahada verilen standart cevap “bağlantı kopar” ya da “bazı cihazlara ulaşamazsınız” şeklindedir. Ölçtük: kopmadı. Ve olan şey, kopmaktan daha kötü.

Deneyi lab ortamında iki Ubuntu makinesiyle kurdum. Kurgu bilerek tek değişkenli: makinenin adresi hiç değişmiyor, yalnız maskesi değişiyor.

• Ölçüm yapılan makine: 192.168.1.12
• Hedef makine: 192.168.1.25 (aynı fiziksel ağda, maskesi doğru)
• Değişen tek şey: ölçüm yapılan makinenin maskesi, önce /24 sonra /28

/28 maskesi ağı 192.168.1.0 ile 192.168.1.15 arasına daraltır. Yani .12 kendi ağının içinde kalır, ama hedef olan .25 bu sınırın dışında kalır. Makine artık komşusunu yabancı sayacak, ve yabancıya giden paketleri doğrudan teslim etmek yerine ağ geçidine yönlendirecektir.

Önce doğru maskeyle, sağlıklı hali kaydedelim. Aşağıdaki çıktıda üç yere bakın: yönlendirme kararının hedefi nasıl gösterdiğine, ağda hangi soru sorulduğuna, ve gecikme değerine.

ip route get 192.168.1.25
ping -c 3 192.168.1.25

192.168.1.25 dev ens33 src 192.168.1.12

ARP, Request who-has 192.168.1.25 tell 192.168.1.12
ARP, Reply 192.168.1.25 is-at 00:0c:29:7c:79:af
IP 192.168.1.12 > 192.168.1.25: ICMP echo request, seq 1
IP 192.168.1.25 > 192.168.1.12: ICMP echo reply, seq 1

3 packets transmitted, 3 received, 0% packet loss
rtt min/avg/max/mdev = 0.495/0.601/0.797/0.138 ms

Okunacak satırlar şunlar:

1. ip route get çıktısında via kelimesi yok. Makine hedefe doğrudan gideceğini söylüyor, arada bir durak yok.
2. Ağda sorulan soru who-has 192.168.1.25. Makine doğrudan hedefin kendisini arıyor ve hedef cevap veriyor.
3. Ortalama gecikme 0,601 milisaniye. Aynı ağdaki iki cihaz arasında beklenen değer budur.

Şimdi tek bir şeyi değiştiriyoruz. Adres yine 192.168.1.12, maske /24 yerine /28:

ip route get 192.168.1.25
ping -c 3 192.168.1.25

192.168.1.25 via 192.168.1.1 dev ens33 src 192.168.1.12

ARP, Request who-has 192.168.1.1 tell 192.168.1.12
ARP, Reply 192.168.1.1 is-at 60:d8:a4:a7:2e:99
IP 192.168.1.12 > 192.168.1.25: ICMP echo request, seq 1
IP 192.168.1.12 > 192.168.1.25: ICMP echo request, seq 1
IP 192.168.1.25 > 192.168.1.12: ICMP echo reply, seq 1
IP 192.168.1.1 > 192.168.1.12: ICMP redirect 192.168.1.25 to host 192.168.1.25

From 192.168.1.1: icmp_seq=2 Redirect Host(New nexthop: 192.168.1.25)

3 packets transmitted, 3 received, 0% packet loss
rtt min/avg/max/mdev = 2.074/3.828/6.210/1.745 ms

En alttaki satır ilk bakışta rahatlatıcı: paket kaybı sıfır, ping çalışıyor. Arıza ararken bu çıktıyı gören çoğu kişi buraya bakıp “burada bir sorun yok” der ve başka yere bakmaya gider. Asıl olan şeyler ise üstteki dört satırda duruyor:

1. ip route get artık via 192.168.1.1 diyor. Makine hedefe doğrudan gitmiyor, router üzerinden dolaştırıyor. Oysa hedef aynı kablonun ucunda, bir metre ötesinde.
2. Ağda sorulan soru değişti: who-has 192.168.1.1. Makine artık komşusunu değil çıkış kapısını arıyor. Bu tek satır, arızanın tamamını anlatan satırdır.
3. Aynı ICMP paketi ağda iki kez görünüyor. Bir kez makineden router’a, bir kez router’dan hedefe. Yani aynı ağ segmentinde her paket iki kere taşınıyor; trafik ikiye katlanıyor.
4. Router “yanlış yapıyorsun” diye haber veriyor: ICMP redirect. Modem, hedefin zaten aynı ağda olduğunu görüp gönderene “bana sorma, doğrudan git” diyor. Bu mesaj sessizce üretilir ve hiçbir günlüğe düşmez. Redirect, ICMP’nin taşıdığı mesaj tiplerinden yalnızca biri; protokolün tamamı ve hangi mesajın neyi bildirdiği ICMP nedir rehberinde duruyor.

Ve ölçülebilir sonuç: gecikme 0,601 milisaniyeden 3,828 milisaniyeye çıktı, yani altı kattan fazla arttı. Üstelik değerler kararsız: 2,07 ile 6,21 arasında zıplıyor, çünkü router her seferinde araya girip yönlendirme yapıyor.

İki durumu yan yana koyduğumuzda öğrendiğimiz şey iki maske değil, şu ayrımdır:

Son satır bu tablonun tamamını taşıyor. Maske hatası bir kopma değil, bir sapmadır. Bağlantı çalışmaya devam ettiği için kimse arıza kaydı açmaz; kullanıcı yalnızca “ağ bugün ağır” der ve siz ping atıp “çalışıyor” dersiniz. Yıllar önce beni de en çok bu yanıltmıştı: maskeyi kontrol etmek, ping cevap verdiği sürece akla gelen son şeydir.

Bir uyarı: yukarıdaki kurtarma tamamen router’ın iyi niyetine bağlıdır. Bu ölçümde araya girip paketi hedefe ulaştıran bir cihaz vardı. İki makine arasında böyle bir cihaz yoksa, ya da yanlış maske hedefi router’ın da erişemeyeceği bir yere düşürüyorsa, o zaman gerçekten kopma yaşanır. Yani maske hatasının belirtisi ortama göre değişir: bazen yavaşlama, bazen tam sessizlik.

Yukarıdaki dökümlerde iki kez geçen who-has satırlarının kendisi ayrı bir protokole ait: makinenin bir IP adresinin hangi fiziksel adrese karşılık geldiğini sorma biçimi. Arızayı ele veren şeyin neden o satır olduğu, ve o satır hiç cevap almadığında ne anlama geldiği ARP ve adres çözümleme rehberimizde gerçek paket dökümleriyle anlatılıyor.

CIDR Gösterimi: /24 Ne Demek?

/24 gösterimi, maskedeki 1 bitlerinin sayısını yazmanın kısa yoludur. 255.255.255.0 maskesinde 24 tane 1 biti olduğunu bir önceki bölümde bit bit saymıştık; /24 tam olarak o sayıyı söyler. İkisi aynı maskenin iki yazımıdır.

Bu gösterimin adı CIDR’dır (Classless Inter-Domain Routing, sınıfsız alanlar arası yönlendirme). Sahada 192.168.1.0/24 yazan her yerde okuduğunuz şey budur: 192.168.1.0 ağı, ve o ağın ilk 24 biti sabit.

Sınıflı Adreslemeden CIDR’a

CIDR’ın neden var olduğunu anlamak için ondan önce ne olduğuna bakmak gerekiyor. Başlangıçta adres alanı sabit sınıflara bölünmüştü ve bir kurumun alabileceği ağ boyutu üç seçenekten ibaretti: yaklaşık 16 milyon adreslik, 65 bin adreslik, ya da 254 adreslik bloklar.

Sorun şurada: 300 cihazı olan bir kuruma bu üç seçenekten hangisini verirsiniz? 254’lük blok yetmez, bir üstü ise 65 bin adres demektir. Kurum 300 adres kullanır, kalan 65 binden fazlası kimseye verilemeden ölü durur. Bu, telefon şebekesinde bir kasabaya bütün bir alan kodunu tahsis edip 200 numara kullanmaya benzer.

CIDR bu sabit basamakları kaldırdı ve sınırı istediğiniz bite koyma imkanı verdi. 300 cihazlık kuruma 510 adreslik bir blok (/23) verilebilir hale geldi. Bugün /24 yazabiliyor olmamızın sebebi, adres alanının artık sınıflarla değil bit sayısıyla bölünmesidir.

Maske Daraldıkça Ağ Küçülür

CIDR sayısı büyüdükçe ağ küçülür, çünkü ağa ayrılan bit sayısı artar ve cihazlara daha az bit kalır. En sık kullanılan değerler şunlar:

Lab ölçümünde kullandığımız /28, tabloda görüldüğü gibi yalnız 14 cihaz alan bir ağ tanımlıyor. 192.168.1.12 adresi bu ağın içinde kalıyor, 192.168.1.25 ise dışında; ölçümde gördüğümüz davranışın sebebi tam olarak bu iki satırın arasındaki sınırdı.

/30 satırı da ilk bakışta garip görünür ama sahada çok kullanılır: iki router’ı birbirine bağlayan bir hatta üçüncü bir cihaz olmayacağı için iki adres yeterlidir. Adres israf etmemenin en uç örneğidir.

Özel ve Genel IP Adresleri: Dahili Numara ve Dış Hat

Adres alanının bir bölümü internette kullanılamayacak şekilde ayrılmıştır ve yalnız kurum içi ağlarda kullanılır. Bunlara özel IP adresi denir; internette yönlendirilebilen adreslere ise genel IP adresi.

Kurumsal santral tam olarak bu ayrımla çalışır. Şirketin dışarıya görünen bir numarası vardır, ama içeride yüzlerce dahili numara döner. 147 numaralı dahili yalnız o santralin içinde anlamlıdır; dışarıdan biri 147’yi çeviremez. Özel IP adresleri de böyledir.

RFC 1918 Aralıkları

Özel kullanıma ayrılan üç aralık vardır ve bu liste sabittir, büyümez:

Ev modeminizin size 192.168.1.x vermesinin sebebi bu tablonun son satırıdır. Kurumsal ortamlarda 10.x.x.x daha sık görülür, çünkü çok daha fazla alt ağa bölünebilir.

Adres Planında Plaka Kodu Yöntemi

10.0.0.0/8 bloğunun kurumsal ağlarda tercih edilmesinin sebebi yalnız büyüklüğü değil, içine anlam yerleştirmeye izin vermesidir. 16,7 milyon adresiniz olduğunda adresin oktetlerini bilgi taşımak için ayırabilirsiniz.

Türkiye’de şubeleri farklı şehirlere dağılmış kurumlarda sık karşılaşılan kalıp şudur: ikinci oktet ilin plaka kodunu taşır, üçüncü oktet ise o şubedeki cihaz rolüne ayrılır. 10.6. ile başlayan her adres Ankara olur, 10.34. İstanbul; üçüncü oktetteki 95 de diyelim erişim noktalarının ağı olsun.

10  .  6  .  95  .  5
|      |     |     |
|      |     |     +-- o ağdaki cihaz
|      |     +-------- cihaz rolü (erişim noktaları)
|      +-------------- il (06 = Ankara)
+--------------------- kurumun özel adres bloğu

Bu planın değeri, adres okumanın gerçekten zor olduğu yerde ortaya çıkar. Firewall kayıtlarında 10.6.95.5 satırını gören biri, envanter dosyası açmadan olayın Ankara şubesindeki bir erişim noktasıyla ilgili olduğunu bilir; 10.6.0.0/16 ile filtre uyguladığında da elli şubenin trafiği içinden yalnız Ankara’yı ayırır. Adresler rastgele dağıtılmış olsaydı aynı satır ona yalnız bir sayı söylerdi.

Telefon numarasının yaptığı işin aynısıdır bu. 0212 ile başlayan bir numara nasıl size daha aramadan bölgeyi söylüyorsa, 10.6. ile başlayan bir adres de şubeyi söyler. Fark şu: alan kodlarını size devlet dayatır, kendi özel adres planınızın anlamını siz koyarsınız.

Plan Olmasaydı Ne Olurdu?

Burada bir yanılgıyı baştan kapatalım: ağ yine çalışırdı. Adresler rastgele dağıtıldığında paketler birbirine karışmaz, yanlış şubeye gitmez. Bozulan şey ölçektir.

Plan olmadığında her şubenin her ağı yönlendirme tablosunda kendi satırını ister. Elli şube ve şube başına on ağ, elli satır yerine beş yüz satır demektir. Santralin yönlendirme defteri gibidir: 0212 ile başlayan her aramayı tek satırla İstanbul’a yollayabiliyorsanız defter ince kalır, her numarayı tek tek yazmanız gerekiyorsa kalınlaşır. Asıl sorun da defterin kalınlığı değil, her değişiklikte onu yeniden basmak zorunda kalmanızdır.

Bu bedel ilk gün görünmez; üç şubeli bir ağda kimse farkı hissetmez. Elli şubede, bir hat koptuktan sonra ağın yeniden oturmasını beklerken görünür. Ve o noktada adres planını değiştirmek her cihazın adresini yeniden vermek anlamına geldiği için pratikte en pahalı işlerden biridir.

Planın kendisini tasarlamak ayrı bir iştir ve bu makalenin kapsamı dışında: hangi oktetin neyi taşıyacağı, şube başına kaç alt ağ ayrılacağı ve iki cihazlık bağlantılara neden /30 verildiği kendi başına bir tasarım konusudur. Burada bilmeniz gereken tek şey şu: özel adres blokları rastgele dağıtılmak zorunda değildir.

Aynı Adres Binlerce Şirkette Nasıl Duruyor?

Şu anda Türkiye’de binlerce ağda 192.168.1.10 adresli bir cihaz var. Bu adresler gerçekten çakışıyor ama sorun çıkarmıyor, çünkü özel adresler internete hiç çıkmaz: servis sağlayıcıların yönlendiricileri bu üç aralıktan gelen paketleri taşımaz, doğrudan atar. Dahili numaralar gibi. Neredeyse her kurumda 1 danışmadır ve hiçbiri diğerine karışmaz, çünkü hiçbiri kendi santralinin dışına çıkmaz.

Karışmayı önleyen şey dahili numaranın benzersizliği değil, dış hattın benzersizliğidir. O 0212’li numara tek bir kuruma tahsis edilmiştir, içeride nasıl bir düzen kurulduğu dışarıdan görünmez bile. Özel adres blokları da size aynı özgürlüğü verir: 10.0.0.0/8 size ait değildir, herkese açıktır, ama kendi ağınızın içinde onu istediğiniz gibi bölersiniz. Plaka kodu düzeni bu özgürlüğün kullanılmış hâliydi.

Peki bu cihazlar internete nasıl çıkıyor? Kurumun sınırındaki cihaz, dışarı giden paketin kaynak adresini kendi genel adresiyle değiştirir; bu işlemin adı NAT’tır (Network Address Translation). 444’lü bir numaradan arandığınızda olan şeyin aynısı: hukuk biriminden de arasalar memnuniyet anketi için de arasalar, ekranınızda hep aynı numara görünür. Arkasında yüzlerce dahili vardır, dışarıya tek bir kimlik çıkar.

Santralin dönen aramayı doğru dahiliye bağlaması için bir kayıt tutması gerekir; kenar cihaz da aynısını yapar. Adresin sınırda tam olarak nasıl değiştiğini ve o kaydın ne kadar süre yaşadığını ağ adresi çevirisi rehberimizde ele alıyoruz.

Bunun Türkiye’de doğrudan hukuki bir sonucu var. Bir işlem soruşturmaya konu olduğunda zincir dış adresten servis sağlayıcıya, oradan aboneye, yani kuruma ulaşır; o anda hangi çalışanın o adresin arkasında olduğunu ise yalnız kurumun kendi kayıtları söyleyebilir. Kayıt yoksa iz kurumda biter. 5651 sayılı kanunun iç adres kayıtlarını saklama yükümlülüğü getirmesinin sebebi budur; kapsamı ve saklama süreleri 5651 log yönetimi rehberimizde, çevirinin ağın neresinde yapıldığı ise kurumsal network kurulumu sayfamızın konusu.

IPv4 Adresleri Neden Tükendi?

IPv4’ün 32 bitle üretebildiği toplam adres sayısı yaklaşık 4,3 milyardır ve bu sayı bugünün dünyası için yetersizdir. Protokol 1981’de standartlaştırıldığında dünya nüfusu 4,5 milyardı ve internete bağlanan şey bilgisayardı; kişi başına bir adres bile fazla görünüyordu.

Bugün tek bir çalışanın telefonu, dizüstü bilgisayarı ve tableti var. Buna kameralar, yazıcılar, erişim noktaları, sunucular ve sanal makineler ekleniyor. Kırılma noktası kişi sayısında değil cihaz sayısında yaşandı: 4,3 milyar adres, kişi başına birden fazla cihaz düşen bir dünyada matematiksel olarak yetmez.

Türkiye’nin telefon numaraları da aynı sebeple uzadı. Abone sayısı arttıkça mevcut numara uzunluğu yetmedi; alan kodları ayrıldı, abone numaraları bir hane büyüdü. Kimse bunu istediği için yapmadı, numaralar bittiği için yapıldı.

Adres tükenmesini geciktiren iki şey oldu ve ikisini de yukarıda gördünüz: özel adres aralıkları sayesinde bir kurumdaki yüzlerce cihaz tek bir genel adresin arkasına saklandı, CIDR sayesinde de bloklar ihtiyaç kadar dağıtılıp israf azaldı. İkisi de zaman kazandırdı, ama ikisi de yama. Adres alanının kendisini büyütmüyorlar.

Adres alanını büyütmenin tek yolu adresin kendisini uzatmaktı. IPv6 tam olarak budur.

IPv6 Nedir? 128 Bit ve Onaltılık Gösterim

IPv6, adres uzunluğunu 32 bitten 128 bite çıkaran IP sürümüdür. Sonuç, 340 undesilyon adres denen ve gündelik olarak kavranamayan bir sayıdır: dünyadaki her kum tanesine milyonlarca adres düşecek kadar çok.

Bu kadar uzun bir sayıyı noktalı ondalık yazımla göstermek imkansız olduğu için IPv6 farklı bir gösterim kullanır: onaltılık sayı sistemi ve ayraç olarak iki nokta üst üste.

IPv6 Adresi Nasıl Okunur, Nasıl Kısaltılır?

Bir IPv6 adresi sekiz gruptan oluşur ve her grup dört onaltılık basamak taşır:

2a02:0ff0:0262:bcfe:0000:0000:0000:0001

Bu haliyle okunması zor, bu yüzden iki kısaltma kuralı vardır:

1. Baştaki sıfırlar atılır. 0ff0 grubu ff0 olarak yazılır. Grubun tamamı sıfırsa tek 0 kalır.
2. Arka arkaya gelen sıfır grupları :: ile bir kez kısaltılır. Yukarıdaki adreste dört grup üst üste sıfır; bunların yerine :: konur.

İki kural uygulandığında adres şu hale gelir:

2a02:ff0:262:bcfe::1

İkinci kural bir adreste yalnız bir kez kullanılabilir. Sebebi basit: :: işareti “burada bir miktar sıfır grubu var” demektir, kaç tane olduğunu söylemez. İki yerde kullanılsaydı hangisinde kaç grup olduğu belirsiz kalır ve adres tek anlama gelmezdi.

IPv6’da subnet maskesi ondalık olarak yazılmaz, yalnız CIDR gösterimi kullanılır. Bir kurum ağında en sık göreceğiniz değer /64’tür: adresin ilk yarısı ağı, ikinci yarısı cihazı gösterir.

IPv4 ve IPv6 Karşılaştırması

İki sürüm arasındaki farkların çoğu adres uzunluğunun doğal sonucudur:

Son iki satır günlük hayatta en çok fark yaratanlar. IPv6’da adres o kadar bol ki cihazları tek bir genel adresin arkasına saklamaya gerek kalmıyor; her cihaz kendi genel adresini alabiliyor.

Ve bir satır daha var ki muhtemelen sizi ilgilendiren asıl kısım o: IPv6 adresi almak için kimsenin bir şey yapması gerekmiyor. Modern işletim sistemleri IPv6’yı varsayılan olarak açık getirir ve ağdaki bir router duyuru yayınlıyorsa cihaz kendi adresini kendisi üretir. Yani “biz IPv6 kullanmıyoruz” denen ağların çoğunda IPv6 adresleri fiilen dağıtılmış durumdadır. Bunu kendi lab ortamımızda ölçtük: IPv6 ile ilgili tek satır yapılandırma olmayan makinelerde global IPv6 adresleri duruyordu.

Bu, kendi başına bir makalelik konudur ve ayrıca ele alacağız. IPv6’nın istenmeden açık olmasının hangi arızalara yol açtığı, isim çözmede neden öne geçtiği ve kapatmanın neden düşünüldüğünden daha karmaşık olduğu, bu makalenin kapsamı dışında. Burada bilmeniz gereken tek şey şu: IPv6 gelecekte olacak bir şey değil, ağınızda bugün duran bir şey.

Sonuç

IP adresi cihazı gösterir, subnet maskesi o cihazın hangi ağa ait olduğunu gösterir, ve bu ikisi hiçbir zaman ayrı düşünülmez. Adres tek başına eksik bir bilgidir: 0212 555 XX XX numarasını alan kodunun dört hane olduğunu bilmeden doğru okuyamazsınız.

Lab ölçümünün bıraktığı ders ise şu: maske hatası çoğu zaman bağlantıyı koparmaz. Adres aynı kalmasına ve ping çalışmaya devam etmesine rağmen trafik router üzerinden dolaşmaya başladı, aynı paket ağda iki kez taşındı ve gecikme altı kattan fazla arttı. Ağ “çalışıyor” göründüğü için bu tür arızalar aylarca fark edilmez. Bir ağ yavaşlıyorsa ve sebebi bulunamıyorsa, ip route get çıktısındaki via kelimesi bakılacak ilk yerlerden biridir.

Buradan devam etmek için iki doğal adım var: adreslerin cihazlara nasıl dağıtıldığını DHCP nedir makalesinde, adresin üstüne binen ve trafiği doğru programa teslim eden katmanı ise port numaraları makalesinde bulacaksınız. Adreslemenin bir ağ tasarımının bütünü içinde nereye oturduğunu görmek isterseniz kurumsal network kurulumu sayfamız o resmi çiziyor.

Yazan

İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştüren bir ağ ve sistem mühendisidir. Şirketlere özel teknoloji rehberleri burada.