Standart bir şirket içi (on-premise) alt ağ ile Bulut VPC (AWS / Azure / GCP) arasındaki fark nedir?

Geleneksel şirket içi fiziksel ağlarda alt ağ başına sadece 2 IP adresi rezerve edilir: ilki (.0) ağ kimliği ve sonuncusu (.255) yayın (broadcast) adresidir. Buna karşılık AWS VPC, Azure VNet ve Google Cloud gibi bulut sağlayıcıları her alt ağda 5 IP adresi rezerve eder: .0 (ağ), .1 (VPC varsayılan ağ geçidi), .2 (bulut DNS sunucusu), .3 (gelecekteki altyapı kullanımı) ve .last (yayın). Bu nedenle, bir /28 alt ağı şirket içinde 14 kullanılabilir host sağlarken, bulut VPC ortamında yalnızca 11 kullanılabilir host sunar.

Cisco Joker (Wildcard) maskesi ne işe yarar (ör. 0.0.0.255)?

Joker (Wildcard) maskesi, alt ağ maskesinin bitsel tersidir (~AltAğ_Maskesi) ve 255.255.255.255 değerinden standart maskenin çıkarılmasıyla elde edilir. Standart bir /24 maskesi (255.255.255.0) için wildcard maske 0.0.0.255 olur. Cisco IOS erişim listelerinde (ACL) ve OSPF yönlendirme protokolünde ikili 0 biti "bu bit ağ adresiyle birebir eşleşmelidir" anlamına gelirken, 1 biti "bu bit önemsizdir (don't care)" anlamına gelir. Bu sayede yönlendiriciler paketleri minimum işlemci yüküyle filtreler.

RFC 3021 uyarınca bir /31 alt ağında kullanılabilir host adresi bulunabilir mi?

Evet. Eski RFC 791 kurallarına göre /31 alt ağında yalnızca 2 adres bulunur ve bunların her ikisi de ağ ve yayın için ayrılacağından kullanılabilir host sayısı sıfır olurdu. Ancak RFC 3021, yönlendiriciler arası doğrudan noktadan noktaya (Point-to-Point) bağlantılar için /31 kullanımını standartlaştırdı. Noktadan noktaya hatta yalnızca iki uç bulunduğu için yayın trafiğine gerek yoktur ve ağ tanımlaması gereksizdir. Her iki adres de (ör. 10.0.0.0 ve 10.0.0.1) geçerli host uç noktaları olarak kullanılır ve omurga ağlarında milyonlarca IP tasarrufu sağlar.

RFC 1918 standardına göre özel (private) IP adres aralıkları nelerdir?

RFC 1918 standardı, internette yönlendirilmeyen kurum içi yerel ağlar için üç özel IP bloğu ayırmıştır: 10.0.0.0/8 (10.0.0.0 – 10.255.255.255 arası, 16.7 milyon host), 172.16.0.0/12 (172.16.0.0 – 172.31.255.255 arası, 1.05 milyon host) ve 192.168.0.0/16 (192.168.0.0 – 192.168.255.255 arası, 65.536 host). Küresel internet omurga yönlendiricileri BGP üzerinden bu bloklara gelen paketleri otomatik olarak düşürür; bu cihazlar internete çıkarken Ağ Adresi Çevirisi (NAT) kullanır.

Herhangi bir CIDR öneki için maksimum kullanılabilir host sayısı nasıl hesaplanır?

32 bitlik bir IPv4 adresinde N bitlik CIDR öneki çıkarıldığında geriye (32 - N) host biti kalır. Toplam IP adresi sayısı 2^(32 - N) formülüyle bulunur. Standart şirket içi ağlarda ağ ve yayın adresleri için 2 çıkarılır: Kullanılabilir_Host = 2^(32 - N) - 2. Bulut VPC (AWS / Azure) ortamlarında ise 5 çıkarılır: Kullanılabilir_Host = max(0, 2^(32 - N) - 5). Örneğin, bir /26 önekinde 32 - 26 = 6 host biti bulunur ve toplam 2^6 = 64 adres üretir: şirket içinde 62 kullanılabilir host, bulut VPC ortamında ise 59 kullanılabilir host elde edilir.

IP Alt Ağ Hesaplayıcı ve CIDR Görselleştirici (IPv4)

Alt Ağ / CIDR	Alt Ağ Maskesi	Alt Ağ Sayısı	Kullanılabilir Host / Alt Ağ	Toplam Host	Örnek Alt Ağ Aralığı
`/25`	255.255.255.128	2	126	252	`192.168.1.0/25` – `192.168.1.128/25`
`/26`	255.255.255.192	4	62	248	`192.168.1.0/26`, `.64/26`, `.128/26`, `.192/26`
`/27`	255.255.255.224	8	30	240	`192.168.1.0/27`, `.32/27`, `.64/27`...
`/28`	255.255.255.240	16	14	224	`192.168.1.0/28`, `.16/28`, `.32/28`...
`/29`	255.255.255.248	32	6	192	`192.168.1.0/29`, `.8/29`, `.16/29`...
`/30`	255.255.255.252	64	2	128	`192.168.1.0/30`, `.4/30`, `.8/30`...

1. 1981 Sınıflı Ağ Mimarisinin Çıkmazı: Sabit Sekizliler İnterneti Neden Neredeyse Çökertiyordu?

Eylül 1981'de Jon Postel ve DARPA mühendisleri RFC 791 standardını yayımladıklarında, dünya çapında dört milyardan fazla cihazın birbirine bağlanacağı fikri bir bilimkurgu fantezisinden ibaretti. Erken ARPANET yönlendirmesini olabildiğince basitleştirmek amacıyla, 32 bitlik IPv4 adres alanı 8 bitlik sekizli (oktet) sınırları boyunca katı idari «sınıflara» ayrıldı. Ağ ve istemci (host) sınırları bayt düzeyinde kaskatı donduruldu: A Sınıfı (/8) yalnızca 126 kuruluşa her biri 16.777.214 hostluk devasa bloklar bağışlarken; B Sınıfı (/16) 65.534 host; mütevazı C Sınıfı (/24) ise sadece 254 kullanılabilir host sunabiliyordu.

Bu hantal taksonomi, 1980'lerin sonundaki küresel ticari patlamayla birlikte tam bir kriz yarattı. Büyümekte olan orta ölçekli herhangi bir üniversite, şirket veya bölgesel internet servis sağlayıcısı (ISP) 254 cihazlık C Sınıfı sınırını rahatlıkla aşıyordu. Birden fazla C Sınıfı talep etmek yönlendirmeyi felç ettiği için herkes bir B Sınıfı blok talep etti. 1992 yılına gelindiğinde, küresel B Sınıfı adres havuzu %70'in üzerinde tükenmişti. Aynı dönemde büyük holdingler ve askeri kurumlar, fiilen sadece birkaç bin cihaz kullandıkları halde milyonlarca kamu IP adresini A Sınıfı bloklarda atıl bekletiyordu. Daha da kötüsü, küresel BGP yönlendirme tabloları geometrik olarak şişiyor, omurga yönlendiricilerinin (router) bellek ve işlemci kapasitelerini eritme tehlikesi taşıyordu.

2. 1993 CIDR Devrimi: Bit Maskeleri Küresel Yönlendirmeyi Nasıl Kurtardı?

Küresel ağ altyapısının iflasın eşiğine geldiği noktada, İnternet Mühendisliği Görev Gücü (IETF) Eylül 1993'te tarihi bir devrime imza attı: RFC 1519 ile Sınıfsız Alanlar Arası Yönlendirme (CIDR - Classless Inter-Domain Routing) standardı hayata geçirildi. CIDR, sekizlilerin katı prangalarını kırarak bit düzeyinde değişken uzunluklu alt ağ maskelerini ve modern eğik çizgi gösterimini (/24, /27, /19 gibi) hayatımıza soktu.

CIDR yönlendirme mimarisini iki temel sütun üzerinden kurtardı:

Süper Ağlar ve Rota Toplulaştırma (Supernetting): Omurga yönlendiricileri, BGP tablolarında yüzlerce ardışık C Sınıfı rotayı tek tek duyurmak yerine, hepsini tek bir /16 süper ağ rotası altında özetledi. Bu yenilik yönlendirme tablolarının şişmesini durdurarak çekirdek router belleklerini çöküşten kurtardı.
Hassas İhtiyaç Odaklı Tahsis: Kuruluşlar artık 254 ile 65.534 host arasında sıkışıp kalmaktan kurtuldu. Bir servis sağlayıcı tam ihtiyaca göre bir /20 (4.094 host), bir /22 (1.022 host) veya noktadan noktaya bağlantılar için cerrahi bir /29 (6 host) tahsis edebilmeye başladı.

CIDR, IPv4 adresleme alanının ömrünü onlarca yıl uzatarak NAT teknolojisi ve modern IPv6 standardı olgunlaşana kadar küresel internete hayati bir nefes aldırdı.

3. Alt Ağlarda Boole Cebri: Bitsel VE, Maskeler ve Ters Joker (Wildcard) Kuralları

Alt ağ hesaplamaları ağ yöneticilerine karmaşık görünse de, silikon ağ işlemcileri (ASIC) düzeyinde her şey saf Boole cebriyle işler. Bir router asla 192.168.1.1 gibi onluk sayılarla ilgilenmez; doğrudan 32 bitlik kayıtları işler. Bir paketin yerel alt ağa mı yoksa bir dış ağ geçidine mi ait olduğunu anlamak için donanım, hedef IP ile alt ağ maskesi arasında atomik bir bitsel VE (AND) işlemi gerçekleştirir:

Ağ Adresi Formülü: Ağ_IP = Paket_IP & AltAğ_Maskesi

Maskedeki her ikili 1 biti, IP adresindeki ilgili bitin doğrudan ağ kimliğine kopyalanmasını sağlar. Maske 0 bitine geçtiği anda ağ kimliği sona erer. Tersine, yayın (broadcast) adresi ise maskenin bitsel TERSİ (NOT) alınıp ağ adresiyle bitsel VEYA (OR) işlemine sokulmasıyla elde edilir:

Yayın Adresi Formülü: Yayın_IP = Ağ_IP | (~AltAğ_Maskesi)

Bu ters maske, ağ mühendisliğinde Cisco Joker (Wildcard) Maskesi olarak bilinir. Cisco ACL erişim listelerinde ve OSPF protokolünde 0.0.0.255 maskesi şunı ifade eder: «Sıfır olan bitler ağ adresiyle birebir eşleşmek zorundadır; bir olan bitler ise önemsizdir (don't care)». Wildcard maskesinin alt ağ maskesinin tersinden ibaret olduğunu bilmek, karmaşık güvenlik duvarı kurallarını anında berraklaştırır.

4. Bulut VPC Alt Ağ Gerçeği: AWS ve Azure Her Alt Ağda Neden 5 IP «Çalar»?

Akademik ağ kitapları standart kullanılabilir host formülünü şöyle öğretir: Kullanılabilir_Host = 2^(32 - N) - 2; burada çıkarılan iki IP ağ kimliği (.0) ve yayın adresidir (.255). Ancak modern bulut altyapısına (AWS VPC, Azure VNet, Google Cloud) geçtiğinizde bu iki IP kuralı tamamen çöker.

Bulut platformlarında her bir alt ağdan istisnasız 5 adet IP adresi rezerve edilir:

.0: Ağ adresi (RFC standart kablo tanımlayıcısı).
.1: VPC sanal router / Varsayılan Ağ Geçidi (hipervizör arayüzü).
.2: Bulut DNS çözümleyicisi (ör. AWS Route 53 Resolver / AmazonProvidedDNS veya Azure DNS).
.3: Bulut sağlayıcısının gelecekteki orkestrasyon ihtiyaçları için ayrılmış adres.
.last (ör. /24 ağında .255): Yayın adresi (bulut SDN ağlarında yayın trafiği olmasa da protokol uyumluluğu için ayrılmıştır).

Bu kural Kubernetes (EKS / AKS) kümelerinde sık sık felaketlere yol açar. Podlar için 14 kullanılabilir IP bekleyerek /28 alt ağı açan bir mühendis, bulutun kendisine yalnızca 11 IP (16 − 5) bıraktığını fark eder. Podların ufak bir otomatik ölçeklenmesi alt ağı hızla tüketir ve gizemli konteyner çöküşlerine neden olur.

5. VLSM ve Önek Hijyeni: Mikroservis Adres Kıtlığını Önleme

Değişken Uzunluklu Alt Ağ Maskeleme (VLSM) profesyonel altyapı tasarımının altın kuralıdır. Hibrit bulut mimarilerinde her ortama alışkanlıktan /24 alt ağı açmak ciddi bir mühendislik ihmalidir. Yalnızca şirket içi gRPC ile haberleşen izole bir mikroservis kümesi birkaç IP'ye ihtiyaç duyarken, genel yük dengeleyici katmanı geniş IP havuzlarına gereksinim duyar.

Doğru alt ağ segmentasyonu şu hiyerarşiyi takip etmelidir:

/28 veya /29: Mikroservis grupları, sıçrama sunucuları (bastion) ve yönetim arayüzleri (11–14 kullanılabilir host).
/26 veya /27: Veritabanı replikasyon düğümleri, Redis önbellekleri ve dahili API ağ geçitleri (27–59 host).
/24: Kubernetes işçi düğümleri (worker nodes), VPN istemci havuzları ve dinamik ofis DHCP ağları (251–254 host).
/30 veya /31 (RFC 3021): Yönlendiriciler arası noktadan noktaya hatlar ve Direct Connect hatları (sıfır adres israfı).

Bitsel alt ağ matematiğine hakim olmak, IP adreslemesini rastgele bir yük olmaktan çıkarıp optimize edilmiş bir mühendislik omurgasına dönüştürür.

IP Alt Ağ Hesaplayıcı ve CIDR Görselleştirici

💻 32 Bit Canlı İkili Cetvel ve Maske

📊 Alt Ağ Telemetrisi ve Ağ Sınırları

📐 VLSM Alt Ağ Bölümleme Tablosu

İlgili Araçlar (Ağ, Sunucular ve Güvenlik)