Modemde Port Yönlendirme Ayarları
Evde bir NAS kurduğumda ilk hayal kırıklığım şuydu: ağ içindeyken her şey mükemmel çalışıyordu, ama işyerinden dosyalarıma erişmek istediğimde karşımda hiçbir şey yoktu. Telefonun mobil verisine geçtim, adresi yazdım, boşluk. Sorunun modemin arayüzünde bir yerde çözüleceğini biliyordum ama nereden başlayacağımı bilmiyordum. O gün öğrendiğim şeyi buraya, kendi kendine uygulamak isteyen birine anlatır gibi yazıyorum.
Problem tam olarak nedir?
Modeminiz aslında bir kapıcı gibi davranır. Dışarıdan gelen tek bir IP adresi vardır ve arkasında onlarca cihaz durur: telefon, laptop, akıllı TV, kamera, konsol. Dışarıdan bir istek geldiğinde modem "bu paketi hangi cihaza vereyim?" diye soramaz, çünkü NAT dediğimiz mekanizma yalnızca içeriden başlatılan bağlantıların cevabını takip eder. Yani tarayıcınızdan bir siteye gittiğinizde cevabın size ulaşması normaldir; ama kimsenin davet etmediği bir istek geldiğinde modem onu sessizce çöpe atar.
Port forwarding modem tarafında yaptığınız iş, tam olarak bu kapıcıya bir not bırakmaktır: "8096 numaralı kapıya gelen herkesi 192.168.1.42 adresindeki cihaza gönder." Bu kadar. Ne büyülü bir şey, ne de tehlikesiz bir şey; ikisinin arasında, bilinçli yapılması gereken bir ayar.
Başlamadan önce halletmeniz gereken üç şey
- Cihazın iç IP'sini sabitleyin. Bunu atlarsanız iki hafta sonra "çalışıyordu, bozuldu" derdine düşersiniz. Çünkü modem DHCP ile dağıttığı adresi bir gün değiştirir ve yönlendirme boşa çıkar. Ya cihazın kendi ayarlarından statik IP verin, ya modemin DHCP bölümünde MAC adresine sabit adres bağlayın. Bir modeme birden fazla cihaz bağlarken adres dağılımının nasıl işlediğini daha önce anlatmıştım, aynı mantık burada da geçerli.
- Gerçek bir dış IP'niz olduğunu doğrulayın. Modemin WAN bölümünde gördüğünüz IP ile herhangi bir "IP adresim ne" sayfasının gösterdiği IP aynı değilse, operatörünüz sizi CGNAT arkasına koymuş demektir. Bu durumda ne yaparsanız yapın port yönlendirme çalışmaz; operatörü arayıp statik ya da en azından gerçek IP talep etmeniz gerekir.
- Hedef uygulamanın hangi portu dinlediğini öğrenin. Tahminle iş yapmayın. Uygulamanın belgelerinde yazar; SSH için 22, RDP için 3389, web arayüzleri için genelde 8080 veya 8443 gibi.
Modem arayüzünde adım adım
Arayüze girmek için tarayıcıya 192.168.1.1 veya 192.168.0.1 yazıyorum. Menü isimleri markaya göre değişiyor ama aradığınız bölüm genelde NAT, Sanal Sunucu, Virtual Server, Port Forwarding ya da Uygulama Yönlendirme başlıklarından biri altında duruyor. Formda tipik olarak şu alanlar var:
- Servis adı: Kendinize hatırlatma. "nas-web" gibi anlamlı yazın.
- Dış port (WAN): İnternetten gelinecek kapı numarası.
- İç port (LAN): Cihazın gerçekten dinlediği port.
- İç IP: Sabitlediğiniz adres.
- Protokol: Emin değilseniz TCP seçin; oyun ve VoIP için TCP/UDP birlikte gerekebilir.
Buradaki en değerli püf noktası şu: dış port ile iç portu aynı yapmak zorunda değilsiniz. Ben SSH'ı asla 22 olarak açmıyorum; dışarıya 49022 gibi rastgele bir numara veriyorum, içeride 22'ye yönlendiriyorum. Otomatik tarama yapan botların ilk denediği kapılardan uzaklaşmak, tek başına ciddi bir koruma sağlıyor.
Seçenekleri karşılaştıralım
Dışarıdan erişim için tek yol port yönlendirme değil. Aşağıdaki tabloyu birkaç yıl içinde hepsini deneyerek çıkardım.
| Yöntem | Kurulum zorluğu | Güvenlik | Kime uygun? |
|---|---|---|---|
| Manuel port yönlendirme | Orta | Kontrol sizde, doğru yapılırsa iyi | Belirli bir servisi kalıcı açmak isteyen |
| UPnP (otomatik) | Çok kolay | Zayıf; uygulamalar habersiz kapı açar | Konsol oyunları, geçici ihtiyaçlar |
| DMZ host | Kolay | Kötü; cihazın tüm portları açılır | Sadece geçici test için |
| VPN sunucusu (modemde veya cihazda) | Zor | En iyisi; tek kapı, şifreli tünel | Birden fazla servise erişmek isteyen |
| Ters tünel servisleri | Kolay | Orta; üçüncü tarafa güvenmek gerekir | CGNAT arkasında kalanlar |
DMZ'yi görünce heveslenmeyin. "Tüm portları şu cihaza yönlendir" demek, o cihazı internetin ortasına savunmasız bırakmak demek. Bir kez bir test makinesinde denedim, günler içinde günlüklerde yüzlerce başarısız giriş denemesi birikmişti.
Çalışmıyorsa nereye bakarım?
- Cihazın kendi güvenlik duvarı. Modem tarafı doğru olsa da Windows Defender veya Linux'ta ufw isteği reddediyor olabilir.
- İç ağdan test etmeyin. Kendi WiFi'nizden dış IP'ye bağlanmak çoğu modemde çalışmaz. Mobil veriyi kullanın.
- Çifte NAT. Operatörün cihazına kendi modeminizi bağladıysanız yönlendirmeyi iki cihazda da yapmanız gerekir. Bu durumda birini köprü moduna almak daha temiz.
- Dinamik dış IP. IP'niz değişiyorsa bir dinamik DNS servisi tanımlayın; birçok modemin arayüzünde hazır bölümü var.
- Kayıt sonrası yeniden başlatma. Bazı modemler kuralı