Teknolojiyi anlaşılır kılan pratik ipuçları

Modemde Port Yönlendirme Ayarları

Evde bir NAS kurduğumda ilk hayal kırıklığım şuydu: ağ içindeyken her şey mükemmel çalışıyordu, ama işyerinden dosyalarıma erişmek istediğimde karşımda hiçbir şey yoktu. Telefonun mobil verisine geçtim, adresi yazdım, boşluk. Sorunun modemin arayüzünde bir yerde çözüleceğini biliyordum ama nereden başlayacağımı bilmiyordum. O gün öğrendiğim şeyi buraya, kendi kendine uygulamak isteyen birine anlatır gibi yazıyorum.

Problem tam olarak nedir?

Modeminiz aslında bir kapıcı gibi davranır. Dışarıdan gelen tek bir IP adresi vardır ve arkasında onlarca cihaz durur: telefon, laptop, akıllı TV, kamera, konsol. Dışarıdan bir istek geldiğinde modem "bu paketi hangi cihaza vereyim?" diye soramaz, çünkü NAT dediğimiz mekanizma yalnızca içeriden başlatılan bağlantıların cevabını takip eder. Yani tarayıcınızdan bir siteye gittiğinizde cevabın size ulaşması normaldir; ama kimsenin davet etmediği bir istek geldiğinde modem onu sessizce çöpe atar.

Port forwarding modem tarafında yaptığınız iş, tam olarak bu kapıcıya bir not bırakmaktır: "8096 numaralı kapıya gelen herkesi 192.168.1.42 adresindeki cihaza gönder." Bu kadar. Ne büyülü bir şey, ne de tehlikesiz bir şey; ikisinin arasında, bilinçli yapılması gereken bir ayar.

Başlamadan önce halletmeniz gereken üç şey

  1. Cihazın iç IP'sini sabitleyin. Bunu atlarsanız iki hafta sonra "çalışıyordu, bozuldu" derdine düşersiniz. Çünkü modem DHCP ile dağıttığı adresi bir gün değiştirir ve yönlendirme boşa çıkar. Ya cihazın kendi ayarlarından statik IP verin, ya modemin DHCP bölümünde MAC adresine sabit adres bağlayın. Bir modeme birden fazla cihaz bağlarken adres dağılımının nasıl işlediğini daha önce anlatmıştım, aynı mantık burada da geçerli.
  2. Gerçek bir dış IP'niz olduğunu doğrulayın. Modemin WAN bölümünde gördüğünüz IP ile herhangi bir "IP adresim ne" sayfasının gösterdiği IP aynı değilse, operatörünüz sizi CGNAT arkasına koymuş demektir. Bu durumda ne yaparsanız yapın port yönlendirme çalışmaz; operatörü arayıp statik ya da en azından gerçek IP talep etmeniz gerekir.
  3. Hedef uygulamanın hangi portu dinlediğini öğrenin. Tahminle iş yapmayın. Uygulamanın belgelerinde yazar; SSH için 22, RDP için 3389, web arayüzleri için genelde 8080 veya 8443 gibi.

Modem arayüzünde adım adım

Arayüze girmek için tarayıcıya 192.168.1.1 veya 192.168.0.1 yazıyorum. Menü isimleri markaya göre değişiyor ama aradığınız bölüm genelde NAT, Sanal Sunucu, Virtual Server, Port Forwarding ya da Uygulama Yönlendirme başlıklarından biri altında duruyor. Formda tipik olarak şu alanlar var:

  • Servis adı: Kendinize hatırlatma. "nas-web" gibi anlamlı yazın.
  • Dış port (WAN): İnternetten gelinecek kapı numarası.
  • İç port (LAN): Cihazın gerçekten dinlediği port.
  • İç IP: Sabitlediğiniz adres.
  • Protokol: Emin değilseniz TCP seçin; oyun ve VoIP için TCP/UDP birlikte gerekebilir.

Buradaki en değerli püf noktası şu: dış port ile iç portu aynı yapmak zorunda değilsiniz. Ben SSH'ı asla 22 olarak açmıyorum; dışarıya 49022 gibi rastgele bir numara veriyorum, içeride 22'ye yönlendiriyorum. Otomatik tarama yapan botların ilk denediği kapılardan uzaklaşmak, tek başına ciddi bir koruma sağlıyor.

Seçenekleri karşılaştıralım

Dışarıdan erişim için tek yol port yönlendirme değil. Aşağıdaki tabloyu birkaç yıl içinde hepsini deneyerek çıkardım.

YöntemKurulum zorluğuGüvenlikKime uygun?
Manuel port yönlendirmeOrtaKontrol sizde, doğru yapılırsa iyiBelirli bir servisi kalıcı açmak isteyen
UPnP (otomatik)Çok kolayZayıf; uygulamalar habersiz kapı açarKonsol oyunları, geçici ihtiyaçlar
DMZ hostKolayKötü; cihazın tüm portları açılırSadece geçici test için
VPN sunucusu (modemde veya cihazda)ZorEn iyisi; tek kapı, şifreli tünelBirden fazla servise erişmek isteyen
Ters tünel servisleriKolayOrta; üçüncü tarafa güvenmek gerekirCGNAT arkasında kalanlar

DMZ'yi görünce heveslenmeyin. "Tüm portları şu cihaza yönlendir" demek, o cihazı internetin ortasına savunmasız bırakmak demek. Bir kez bir test makinesinde denedim, günler içinde günlüklerde yüzlerce başarısız giriş denemesi birikmişti.

Çalışmıyorsa nereye bakarım?

  • Cihazın kendi güvenlik duvarı. Modem tarafı doğru olsa da Windows Defender veya Linux'ta ufw isteği reddediyor olabilir.
  • İç ağdan test etmeyin. Kendi WiFi'nizden dış IP'ye bağlanmak çoğu modemde çalışmaz. Mobil veriyi kullanın.
  • Çifte NAT. Operatörün cihazına kendi modeminizi bağladıysanız yönlendirmeyi iki cihazda da yapmanız gerekir. Bu durumda birini köprü moduna almak daha temiz.
  • Dinamik dış IP. IP'niz değişiyorsa bir dinamik DNS servisi tanımlayın; birçok modemin arayüzünde hazır bölümü var.
  • Kayıt sonrası yeniden başlatma. Bazı modemler kuralı