IPv6’da “ping’i kapattım ama hâlâ çalışıyor” diyen herkesin yaşadığı kafa karışıklığına cevap.
IPv4 ile IPv6 arasındaki fark sadece adres uzunluğu değildir. Sahada en çok kafa karışıklığı yaratan konulardan biri, ARP ve ICMP’nin IPv6’daki rolüdür.
Özellikle “ICMP’yi kapattım ama IPv6 hâlâ çalışıyor” diyenlerin yaşadığı durum, bu farkın tam anlaşılmadığını gösterir.
IPv4’te ARP Ne İş Yapar?
IPv4 dünyasında ARP (Address Resolution Protocol), oldukça net bir göreve sahiptir:
IP adresinin hangi MAC adresine ait olduğunu bulmak.
Bir cihaz, aynı ağdaki başka bir cihaza paket gönderecekse önce şunu sorar:
“Bu IP kimde? MAC adresin ne?”
Bu iletişim ARP paketleri ile gerçekleşir ve ICMP’den tamamen bağımsızdır.
IPv6’da Neden ARP Yok?
IPv6 ile birlikte ARP tamamen ortadan kalktı.
Bunun yerine Neighbor Discovery (ND) mekanizması geldi.
Ve kritik nokta şu:
IPv6’da ARP’nin yaptığı işlerin tamamı ICMPv6 içine taşındı.
Yani IPv6’da ICMP:
- sadece ping değildir
- ağın çalışması için temel bir protokoldür
ICMPv6 Sadece Ping Değildir
IPv6’da ICMPv6 şu görevleri üstlenir:
- Neighbor Solicitation / Advertisement (ARP’nin yerini alır)
- Router Solicitation / Advertisement (gateway öğrenme)
- Duplicate Address Detection (aynı IP var mı?)
- Path MTU Discovery
Bu yüzden IPv6’da ICMP’yi tamamen engellemek,
IPv4’te ARP’yi engellemekle aynı etkiye sahiptir.
“Ping’i Kapattım Ama IPv6 Çalışıyor” Yanılgısı
IPv6 firewall’larında sık yapılan hatalardan biri,
ICMPv6’nın tamamını “ping” sanıp engellemektir.
Ancak çoğu firewall:
- Echo Request’i (ping)
- ama ND mesajlarını izinli bırakır
Sonuç olarak:
- Ping atılamaz
- Ama ağ çalışmaya devam eder
Bu durum çoğu zaman “kural çalışmıyor” gibi algılanır.
IPv6’da ICMP, IPv4’te ARP Gibidir
Kısa özetle:
- IPv4 → ARP ayrı, ICMP ayrı
- IPv6 → ARP yok, ICMPv6 her şeyin içinde
Bu yüzden IPv6 firewall yazarken soru şu olmalı:
“ICMPv6’yı kapatıyor muyum?” değil
“Hangi ICMPv6 tiplerine izin veriyorum?”
Sonuç
IPv6, IPv4’ün genişletilmiş hali değil;
farklı bir mantıkla tasarlanmış bir protokoldür.
Bu fark anlaşılmadığında, sorun firewall’da değil, yaklaşımda olur.