IPv4 ve IPv6 proxy farkları: adres yapısı, NAT ve çift yığın

Kısa cevap: IPv4 proxy hedefe 32 bitlik bir IPv4 adresiyle, IPv6 proxy ise 128 bitlik bir IPv6 adresiyle bağlanır. IPv6 çıkış yalnızca hedef sunucu IPv6 destekliyorsa, yani alan adı için bir AAAA kaydı yayımlıyorsa işe yarar; IPv4’ün yerini kendiliğinden almaz ve ne daha hızlıdır ne de daha gizlidir. Aşağıda adres yapısından başlayıp proxy’nin hedefe nasıl bağlandığına kadar farkı adım adım açıyoruz.

İki adres ailesi: 32 bit ve 128 bit

IPv4 RFC 791 (yeni sekmede açılır) ile tanımlanır: adres 32 bittir ve noktayla ayrılmış dört ondalık sayı olarak yazılır (203.0.113.25). Bu, toplamda 2³² yani yaklaşık 4,3 milyar adres demektir. IPv6’nın protokolü RFC 8200 (yeni sekmede açılır), adresleme mimarisi RFC 4291 (yeni sekmede açılır) ile tanımlanır: adres 128 bittir ve iki nokta üst üsteyle ayrılmış sekiz adet 16 bitlik onaltılık grup olarak yazılır. Gruplardaki baştaki sıfırlar atılabilir, art arda gelen sıfır grupları bir kez :: ile kısaltılabilir: 2001:0db8:0000:0000:0000:0000:0000:0025 ile 2001:db8::25 aynı adrestir.

/64 kuralı: IPv6 adresleri nasıl gruplanır?

RFC 4291’e göre IPv6 tekil (unicast) adreslerin büyük çoğunluğunda son 64 bit arayüz kimliğidir. Geriye kalan ilk 64 bit ağ önekini oluşturur; bu yüzden bir yerel ağın standart boyutu /64’tür ve tek bir /64 içinde 2⁶⁴ adres bulunur. Otomatik adres yapılandırması (SLAAC) da bu boyuta dayanır. Sağlayıcılar müşterilere çoğu zaman birden fazla /64 içeren daha geniş bir önek (örneğin /56 veya /48) devreder.

Proxy açısından sonucu şudur: aynı /64 alt ağından gelen adreslerin ilk 64 biti aynıdır. Adresler tek tek farklı görünse de, adresleri gören herkes onların aynı ağ önekine ait olduğunu kolayca anlayabilir. Bir hizmetin bu öneki nasıl değerlendirdiği tamamen o hizmetin kendi politikasıdır; dışarıdan bilinemez ve kesin bir kural olarak ele alınmamalıdır.

NAT, CGNAT ve uçtan uca adresleme

IPv4 adresleri kıt olduğu için ağlar onları paylaştırır. Evdeki modem, bütün cihazlarınızı tek bir genel IPv4 adresinin arkasına toplar (NAT). Mobil operatörler bunu bir kat daha ileri taşır: RFC 6598 (yeni sekmede açılır) ile ayrılmış 100.64.0.0/10 aralığını kullanan taşıyıcı sınıfı NAT (CGNAT) sayesinde çok sayıda abone aynı genel IPv4 adresini paylaşabilir. Bu yüzden tek bir genel IPv4 adresi, arkasında birden fazla kullanıcıyı temsil edebilir; ayrıntısı Mobil proxy ve CGNAT rehberinde.

IPv6’da adres alanı o kadar geniştir ki her cihazın küresel olarak yönlendirilebilir bir adres alması tasarımın hedefidir; NAT bir zorunluluk olmaktan çıkar (güvenlik duvarı ise yine gereklidir). Bu, IPv6 adreslerinin IPv4’e göre daha az paylaşıldığı anlamına gelebilir; ancak bir garanti değildir. Bir adresin kaç kişi tarafından kullanıldığı, sağlayıcının yapılandırmasına bağlıdır.

Çift yığın, AAAA kaydı ve Happy Eyeballs

Bugün çoğu cihaz çift yığın (dual stack) çalışır: hem IPv4 hem IPv6 adresi vardır. Bir alan adını açarken sistem DNS’ten hem A (IPv4) hem AAAA (IPv6) kaydını ister. İkisi de varsa tarayıcı ve işletim sistemi RFC 8305 (yeni sekmede açılır) ile tanımlanan Happy Eyeballs yöntemini uygular: IPv6 denemesi kısa bir öncelikle başlar, hızlı sonuç vermezse IPv4 denemesi de başlatılır ve önce kurulan bağlantı kullanılır. Kullanıcı hangi ailenin seçildiğini çoğu zaman fark etmez.

Proxy devreye girince tablo değişir. İstemciden proxy’ye giden bağlantının adres ailesi ile proxy’den hedefe giden bağlantının adres ailesi birbirinden bağımsızdır. Uygulamanız proxy’ye bir alan adı verdiğinde adı proxy çözer ve hedefe hangi aileyle bağlanılacağını proxy’nin kendi yapılandırması belirler:

1. Uygulama proxy sunucusuna bağlanır. Bu bağlantı IPv4 de olabilir IPv6 da; yaygın bir düzen, istemcinin proxy’ye IPv4 ile bağlanıp proxy’nin hedefe IPv6 ile çıkmasıdır.
2. Uygulama hedefin adını iletir: HTTPS için CONNECT api64.ipify.org:443, düz HTTP için tam URL.
3. Proxy adı kendi çözümleyicisiyle çözer ve A ile AAAA kayıtlarına bakar.
4. Proxy, çıkış adresinin ailesine uygun bir kayıt bulursa hedefe bağlanır; bulamazsa hata döner ya da yapılandırılmışsa diğer aileyle çıkar.
5. Hedef sunucu bağlantının kaynağı olarak proxy’nin çıkış adresini görür. Sizin Happy Eyeballs tercihiniz yalnızca proxy’ye giden ilk adımı etkiler.

IPv6 proxy neyi yapabilir, neyi yapamaz?

• Yapabilir: AAAA kaydı yayımlayan hedeflere IPv6 çıkış adresinden bağlanır. Adres alanı geniş olduğu için çok sayıda ayrı adres içeren paketler mümkündür.
• Yapamaz: Yalnızca A kaydı yayımlayan bir hedefe IPv6 üzerinden ulaşamaz. Proxy bu durumda hata verir ya da IPv4 ile çıkar; ikinci durumda hedef sizin IPv6 adresinizi değil, proxy sunucusunun IPv4 adresini görür.
• Hızlandırmaz: IPv6 kendiliğinden daha hızlı değildir. Bağlantının performansı yola, altyapıya ve hedefe bağlıdır; adres ailesine değil.
• Şifrelemez: Adres ailesinin şifrelemeyle ilgisi yoktur. HTTP proxy trafiği kendisi şifrelemez; HTTPS istekleri ise proxy kullansanız da kullanmasanız da hedefe kadar TLS ile şifreli kalır. Ayrıntı: VPN ve proxy arasındaki farklar.
• Kimliği yok etmez: Hedef, çıkış adresini ve önekini görür; tarayıcı çerezleri, oturum bilgileri ve parmak izi adres değişince kaybolmaz.

Bir hedefin IPv6 destekleyip desteklemediğini anlamak

Belirleyici olan AAAA kaydıdır. Kayıt varsa hedef en azından IPv6 üzerinden ulaşılabilir olduğunu ilan etmiştir; yoksa IPv6 çıkışla o hedefe gidemezsiniz. Komut satırından şöyle bakabilirsiniz (boş çıktı, AAAA kaydı olmadığı anlamına gelir):

# Linux / macOS
dig +short AAAA api64.ipify.org
dig +short AAAA api.ipify.org

# Windows
nslookup -type=AAAA api64.ipify.org

Bir adresin hangi aileye ait olduğunu, kısaltılmış ve açık yazımını, ters DNS bölgesini ve alt ağ hesabını IPv4 / IPv6 Bilgi aracında görebilirsiniz. Aynı araç, kendi bağlantınızın IPv6 durumunu da test eder.

Ne zaman, hangisi?

Bu sitede listelenen IPv6 Proxy paketleri /64 alt ağlarından gelen adreslerle ve yalnızca HTTP(S) protokolüyle sunulur; sipariş formunda ülke seçimi yoktur. IPv6 ile çalışmaya karar verdiyseniz, uygulamada dikkat edilecek noktalar için IPv6 proxy kullanırken dikkat edilecekler rehberine geçin.