IPv4 מול IPv6: מה ההבדל ומה זה אומר לשרת שלכם

מה ההבדל בין IPv4 ל-IPv6, ומה צריך לעשות איתו כשמקימים שרת? בהשוואה של IPv4 מול IPv6 ההבדל הבסיסי הוא אורך הכתובת: כתובת IPv4 היא באורך 32 ביט, וכתובת IPv6 באורך 128 ביט. מההבדל הזה נגזר כל השאר: כמה כתובות קיימות, למה צריך NAT, איך כותבים את הכתובת, ואילו הגדרות צריך לבדוק בשרת כדי שאתר ודואר יעבדו בשתי הגרסאות.

המדריך מיועד לבעלי עסקים ולאנשי IT בתחילת הדרך. הוא מסביר את הפורמט, את הסיבה שכתובות IPv4 נגמרו, ואת ההשלכות המעשיות על שרת: רשומות DNS, חומת אש, רשומת PTR לשרת דואר ופקודות לבדיקה. אם אתם רוצים לראות קודם באיזו כתובת ציבורית העולם רואה אתכם כרגע, הכלי מה כתובת ה-IP שלי מציג אותה יחד עם ספק האינטרנט והמיקום המשוער.

IPv4 מול IPv6: אורך הכתובת ואופן הכתיבה

כתובת IPv4 נכתבת כארבעה מספרים עשרוניים בין 0 ל-255, מופרדים בנקודות. כל מספר מייצג 8 ביט, ויחד הם 32 ביט. דוגמה מטווח התיעוד שמוגדר ב-RFC 5737:

192.0.2.10

כתובת IPv6 נכתבת כשמונה קבוצות של 16 ביט בכתיב הקסדצימלי, מופרדות בנקודתיים, כפי שמגדיר RFC 4291. דוגמה מטווח התיעוד 2001:db8::/32 שמוגדר ב-RFC 3849:

2001:0db8:0000:0000:0000:0000:0000:0025
2001:db8::25

שתי השורות הן אותה כתובת. RFC 5952 קובע איך מקצרים: מוחקים אפסים מובילים בכל קבוצה, מחליפים את הרצף הארוך ביותר של קבוצות אפס ב-:: (פעם אחת בלבד בכתובת), ולא משתמשים ב-:: כדי לקצר קבוצת אפס בודדת. האותיות נכתבות באותיות קטנות. כדאי להכיר את הכללים, כי כלים שונים מציגים את אותה כתובת בצורות שונות, ובקובץ הגדרות של חומת אש או של שרת web קל לחשוב בטעות שמדובר בשתי כתובות.

כמה כתובות מיוחדות שתפגשו בשרת:

• 127.0.0.1 ב-IPv4 ו-::1 ב-IPv6 הן כתובות ה-loopback, כלומר השרת עצמו.
• כתובות שמתחילות ב-fe80:: הן כתובות link-local של IPv6. הן קיימות בכל ממשק רשת שבו IPv6 פעיל, ועובדות רק בתוך אותה רשת מקומית. אם זו כתובת ה-IPv6 היחידה שהשרת מציג, אין לו חיבור IPv6 לאינטרנט.
• הטווחים 10.0.0.0/8, 172.16.0.0/12 ו-192.168.0.0/16 הם כתובות IPv4 פרטיות לפי RFC 1918. הן לא מנותבות באינטרנט.

למה כתובות IPv4 נגמרו

32 ביט מאפשרים 2 בחזקת 32 כתובות, כ-4.3 מיליארד. חלק מהן שמור לשימושים מיוחדים, והשאר חולק בין ספקים, חברות ומוסדות לאורך עשרות שנים. המספר הזה קטן ממספר המכשירים המחוברים היום.

החלוקה מתבצעת בשתי שכבות. IANA מקצה גושי כתובות לחמשת הרשמים האזוריים, והם מקצים לספקים ולארגונים. ב-3 בפברואר 2011 הודיע ארגון ה-NRO שמאגר ה-IPv4 הפנוי של IANA נגמר: כל אחד מחמשת הרשמים קיבל גוש /8 אחרון, ולא נשארו כתובות להקצאה מ-IANA.

ישראל נמצאת באזור השירות של RIPE NCC, הרשם האזורי של אירופה, המזרח התיכון וחלקים ממרכז אסיה. ב-25 בנובמבר 2019 הודיע RIPE NCC שכתובות ה-IPv4 שלו נגמרו. בהודעה נכתב שהארגון ימשיך לאסוף כתובות IPv4 שחוזרות אליו, אבל מאגר פנוי של ממש כבר אין. לכן כתובת IPv4 ציבורית היא משאב מוגבל גם אצל ספקי שרתים.

IPv6 הוגדר כפתרון ארוך הטווח. RFC 8200 מציין שהגרסה מגדילה את גודל הכתובת מ-32 ל-128 ביט. 2 בחזקת 128 הוא מספר בן 39 ספרות, ולכן ב-IPv6 אין צורך לחסוך בכתובות.

NAT: איך IPv4 ממשיך לעבוד

הסיבה שרוב המשרדים והבתים עדיין עובדים ב-IPv4 בלי בעיה היא NAT. הנתב מקבל כתובת ציבורית אחת מהספק, וכל המחשבים מאחוריו מקבלים כתובות פרטיות מטווחי RFC 1918. כשמחשב פונה לאינטרנט, הנתב מחליף את הכתובת הפרטית בכתובת הציבורית שלו ושומר טבלה כדי לדעת לאן להחזיר את התשובה.

למשתמשים זה עובד טוב. לשרת זה פחות מתאים, משתי סיבות:

1. חיבור נכנס לא מגיע לשום מחשב מאחורי NAT, אלא אם מגדירים בנתב הפניית פורטים. לכן שרת שאמור לקבל פניות מהאינטרנט צריך כתובת ציבורית משלו, או הפניה מפורשת.
2. ספקים רבים מפעילים NAT גם ברמת הספק (CGNAT), כך שגם הנתב שלכם לא מקבל כתובת ציבורית אמיתית. במקרה כזה הפניית פורטים בנתב לא תעזור.

ב-IPv6 יש מספיק כתובות כדי שכל מכשיר יקבל כתובת ציבורית, ולכן NAT לא נדרש. המשמעות היא שחומת האש, ולא ה-NAT, קובעת מה נגיש מבחוץ. זה נכון גם בשרת וגם ברשת המשרדית.

טבלת השוואה: IPv4 מול IPv6

נושא	IPv4	IPv6
אורך כתובת	32 ביט	128 ביט
כתיב	ארבעה מספרים עשרוניים, למשל 192.0.2.10	שמונה קבוצות הקסדצימליות, למשל 2001:db8::25
מספר כתובות	2 בחזקת 32, כ-4.3 מיליארד	2 בחזקת 128
NAT	נפוץ מאוד, בגלל מחסור בכתובות	לא נדרש
הקצאת כתובת	ידנית או DHCP	ידנית, SLAAC (הקצאה עצמית לפי RFC 4862) או DHCPv6
כותרת החבילה	20 בתים לפחות, עם שדות אופציונליים	40 בתים קבועים, ותוספות בכותרות הרחבה
פיצול חבילות	גם נתבים בדרך יכולים לפצל	רק השולח מפצל, לא הנתבים
Broadcast	קיים	לא קיים, multicast מחליף אותו
רשומת DNS	A	AAAA
שימוש טיפוסי בשרת	נדרש כדי להגיע לגולשים שיש להם IPv4 בלבד	מוסיפים לצד IPv4, במצב dual stack

נתוני הכותרת והפיצול מגיעים מ-RFC 8200, שקובע שכותרת IPv6 בסיסית ארוכה ב-20 בתים מכותרת IPv4 מינימלית, ושפיצול ב-IPv6 נעשה רק במקור. היעדר ה-broadcast מוגדר ב-RFC 4291.

Dual stack: שתי הגרסאות על אותו שרת

שתי הגרסאות לא מדברות זו עם זו ישירות. מחשב שיש לו רק IPv6 לא יכול לפנות לשרת שיש לו רק IPv4 בלי מנגנון תרגום בדרך. לכן הדרך המקובלת היא dual stack: לשרת יש כתובת IPv4 וכתובת IPv6, והוא מאזין בשתיהן.

כשלאתר יש גם רשומת A וגם רשומת AAAA, הדפדפן של הגולש בוחר לפי מה שהחיבור שלו תומך. גולש שהחיבור שלו תומך ב-IPv6 יגיע לרוב דרך IPv6, וגולש ממשרד עם IPv4 בלבד יגיע דרך IPv4. האתר צריך לעבוד זהה בשני המסלולים.

מה זה אומר לשרת שלכם

רשומות A ו-AAAA

רשומת A מפנה שם דומיין לכתובת IPv4, ורשומת AAAA לכתובת IPv6. הוסיפו AAAA רק אחרי שבדקתם שהשרת באמת עונה ב-IPv6 על הפורטים הרלוונטיים. רשומת AAAA שמצביעה על כתובת שלא עונה גורמת לתקלה שקשה לאבחן: האתר עובד אצלכם במשרד וחלק מהגולשים מקבלים שגיאות או טעינה איטית.

חומת אש לשתי המשפחות

טעות נפוצה בשרתים במצב dual stack: חוקים מוגדרים ל-IPv4 בלבד, ושירות שנחסם ב-IPv4 פתוח לעולם ב-IPv6. בלינוקס, iptables מטפל רק ב-IPv4 ו-ip6tables מטפל ב-IPv6, ולכל אחד יש סט חוקים נפרד. ב-nftables אפשר להגדיר טבלה ממשפחת inet שחלה על שתי הגרסאות. ב-ufw בדקו שבקובץ /etc/default/ufw מוגדר IPV6=yes, כדי שכל חוק יוחל גם על IPv6.

אחרי כל שינוי בחוקים, בדקו מבחוץ את הפורטים הפתוחים בשתי הכתובות, ולא רק בכתובת ה-IPv4.

רשומת PTR ושרת דואר

רשומת PTR היא ה-reverse DNS: היא מתרגמת כתובת IP חזרה לשם. את ה-PTR לא מגדירים אצל רשם הדומיין, אלא אצל מי שמחזיק את טווח הכתובות, כלומר ספק השרת.

בשרת דואר ל-PTR יש השפעה ישירה על המסירה. בהנחיות של Google לשולחי דואר ל-Gmail נכתב שלכתובת ה-IP הציבורית של שרת SMTP שולח חייבת להיות רשומת PTR שמצביעה על שם, ושלאותו שם חייבת להיות רשומת A (ל-IPv4) או AAAA (ל-IPv6) שמחזירה את אותה כתובת. Google מזכירה גם שגיאה ייעודית לשליחה ב-IPv6 בלי PTR מתאים.

כאן נכנסת בעיה שקורית הרבה: לשרת יש IPv6, ה-PTR הוגדר רק לכתובת ה-IPv4, ושרת הדואר שולח ל-Gmail דרך IPv6 כי Gmail מפרסם רשומות AAAA. ההודעות נדחות או מסווגות כספאם. יש שני פתרונות. הראשון הוא לבקש מהספק PTR גם לכתובת ה-IPv6 של השרת. השני, כשאין אפשרות כזו, הוא להגביל את שרת הדואר לשליחה ב-IPv4: ב-Postfix עם inet_protocols = ipv4, וב-Exim עם disable_ipv6 = true. זו הסיבה ששרתי דואר רבים שולחים ב-IPv4 גם כשלשרת יש IPv6 פעיל.

איך בודקים IPv4 ו-IPv6 בשרת ובמחשב

בשרת לינוקס, הפקודות הבאות מציגות את הכתובות המוגדרות בכל משפחה:

ip -4 addr show
ip -6 addr show

אם בפלט של ip -6 מופיעה רק כתובת שמתחילה ב-fe80::, לשרת אין IPv6 ציבורי. כתובת עם scope global היא כתובת ציבורית.

בדיקת יציאה לאינטרנט בכל אחת מהגרסאות:

ping -4 -c 4 google.com
ping -6 -c 4 google.com
curl -4 -sI example.com
curl -6 -sI example.com

אם ping -6 נכשל וה-ping -4 עובד, ל-IPv6 אין מסלול החוצה. בדקו שיש נתיב ברירת מחדל עם ip -6 route.

בדיקת רשומות ה-DNS של הדומיין ושל ה-PTR:

dig +short A example.com
dig +short AAAA example.com
dig +short -x 192.0.2.10
dig +short -x 2001:db8::25

את example.com ואת הכתובות מחליפים בדומיין ובכתובות של השרת שלכם. במחשב Windows, ipconfig מציג את הכתובות ו-ping -6 עובד באותה צורה.

יסודות subnetting: /24 מול /64

המספר אחרי הלוכסן הוא אורך הקידומת, כלומר כמה ביטים מתוך הכתובת מגדירים את הרשת. השאר מגדירים את המחשבים בתוכה.

ב-IPv4, רשת /24 כוללת 256 כתובות. אחת שמורה לכתובת הרשת ואחת ל-broadcast, ולכן 254 שמישות. שרת בודד מקבל לרוב כתובת אחת מתוך רשת כזו של הספק. כדי לחשב טווח, מסכת רשת ו-wildcard לכל גודל רשת, מחשבון ה-Subnet וה-CIDR שלנו עושה את החישוב בדפדפן. הוא מיועד ל-IPv4.

ב-IPv6, הגודל הסטנדרטי של רשת אחת הוא /64. RFC 4291 קובע שמזהה הממשק בכתובות unicast הוא באורך 64 ביט, ועל זה בנוי גם SLAAC. רשת /64 אחת כוללת 2 בחזקת 64 כתובות, כלומר גודל כל מרחב ה-IPv4 בריבוע. לכן ב-IPv6 לא סופרים כתובות שמישות, ושרת יכול לקבל /64 שלם או כתובת אחת מתוכו, לפי מדיניות הספק.

מה לשאול לפני שבוחרים שרת

לפני הזמנת שרת וירטואלי, שאלו את הספק את השאלות האלה וקבלו תשובה בכתב:

• האם השרת מקבל כתובת IPv4 ציבורית משלו, או יושב מאחורי NAT?
• האם יש IPv6, ובאיזה גודל: כתובת בודדת או /64?
• האם אפשר להגדיר PTR לכל אחת מהכתובות, ומי מגדיר אותו?
• האם כתובת ה-IP נשארת קבועה גם אחרי התקנה מחדש של מערכת ההפעלה?

אצלנו, שרת וירטואלי Linux מגיע עם Ubuntu או Debian וגישת root מלאה ב-SSH, כך שכל הפקודות במדריך הזה רצות עליו כמו שהן. את פרטי הכתובות של התצורה שבחרתם, כולל IPv6 ו-PTR, בררו מול הצוות לפני ההזמנה.

גרסת ה-IP לא משפיעה על מהירות האתר באופן שאפשר להרגיש. מה שמשפיע הוא המרחק הפיזי בין השרת לגולשים, וזה מוסבר במאמר על מיקום השרת והשפעתו על הביצועים.

שאלות נפוצות

האם IPv6 מהיר יותר מ-IPv4?

לא באופן מובנה. לפי RFC 8200, חלק משדות הכותרת של IPv4 הוסרו ב-IPv6 או הפכו לאופציונליים כדי להקל על העיבוד בנתבים, אבל זמן התגובה נקבע בעיקר על ידי המסלול ברשת והמרחק לשרת. לפעמים מסלול ה-IPv6 קצר יותר ולפעמים ארוך יותר.

האם אפשר לוותר על IPv4 ולהפעיל שרת עם IPv6 בלבד?

טכנית כן, אבל גולשים שהחיבור שלהם תומך רק ב-IPv4 לא יגיעו לשרת בלי מנגנון תרגום בדרך. לאתר עסקי שמשרת קהל רחב, dual stack הוא הבחירה הבטוחה.

למה האתר עובד לי במשרד ולא עובד לחלק מהלקוחות?

סיבה נפוצה היא רשומת AAAA שמצביעה על כתובת IPv6 שהשרת לא מאזין בה, או חומת אש שחוסמת את ה-IPv6. בדקו עם curl -6 -sI מול הדומיין ממחשב שיש לו IPv6.

מה זה CGNAT ולמה הוא מפריע להפעיל שרת מהמשרד?

CGNAT הוא NAT שהספק מפעיל לפני הנתב שלכם, כך שכמה לקוחות חולקים אותה כתובת ציבורית. חיבורים נכנסים לא מגיעים אליכם גם אם הגדרתם הפניית פורטים. הפתרון הוא כתובת ציבורית מהספק, או שרת בדאטה סנטר.

איך יודעים אם לשרת יש רשומת PTR?

מריצים dig +short -x עם כתובת השרת. אם אין פלט, אין PTR. בודקים כל כתובת בנפרד, IPv4 ו-IPv6, ומוודאים שהשם שחוזר מפנה בחזרה לאותה כתובת.

שרת וירטואלי עם שליטה מלאה ברשת

אם אתם מתכננים להעביר אתר, שרת דואר או אפליקציה לשרת משלכם, תוכלו להגדיר בעצמכם את רשומות ה-DNS, את חומת האש לשתי גרסאות ה-IP ואת שרת הדואר. את המפרטים של כל החבילות תמצאו בעמוד מחירי השרתים הווירטואליים, ושם גם אפשר להתאים מעבד, זיכרון ונפח דיסק לפי הצורך.