Dışarıdan Kameraya, NAS'a veya Ofis Bilgisayarına Erişemiyorum: CGNAT Nedir?
Modemde port yönlendirmeyi doğru yaptınız, güvenlik duvarını açtınız, cihaz yerel ağda çalışıyor — ama dışarıdan hiçbir şekilde bağlanamıyorsunuz. Bu tabloda hata sizde değil: operatörünüz size kendinize ait bir genel IP adresi vermiyor olabilir. Buna CGNAT denir ve port yönlendirmeyi kelimenin tam anlamıyla imkânsız kılar.
Son güncelleme:
Port yönlendirme yaptığınız hâlde dışarıdan erişemiyorsanız, önce modemin WAN IP adresi ile internetin gördüğü IP adresini karşılaştırın. Farklıysa CGNAT arkasındasınız ve modemde yapacağınız hiçbir ayar işe yaramaz. Dört gerçek çözüm vardır: (1) operatörden genel/statik IPv4 talep etmek, (2) operatör veriyorsa IPv6 üzerinden erişmek, (3) Tailscale veya Cloudflare Tunnel gibi ters tünel kurmak, (4) tarifeyi CGNAT kullanmayan bir pakete taşımak. Küçük ofisler için en hızlı ve en güvenli seçenek genellikle ters tüneldir — port açmadan, dışarıya hiçbir kapı bırakmadan çalışır.
Sorunun Nedeni
İnternette her cihazın ulaşılabilir olması için benzersiz bir genel IP adresi gerekir. IPv4 adresleri tükendiği için operatörler CGNAT (Carrier-Grade NAT) kullanır: onlarca aboneyi tek bir genel IP’nin arkasına koyar. Siz internete çıkabilirsiniz çünkü bağlantıyı siz başlatırsınız — ama dışarıdan size gelen bir bağlantı operatörün çeviri katmanında durur, modeminize hiç ulaşmaz.
Bu yüzden modemde port yönlendirme sayfasını ne kadar doğru doldurursanız doldurun sonuç değişmez. Kamera kaydedicisi (DVR/NVR), NAS, uzak masaüstü ve kendi sunucunuz gibi dışarıdan bağlantı kabul etmesi gereken her şey bu duvara takılır.
İkinci bir tuzak: bazı operatörler dinamik genel IP verir. Erişim çalışır ama modem her yeniden başladığında IP değişir ve bağlantı kopar. Bu durumda CGNAT yoktur, eksik olan sabit bir adrestir; çözüm dinamik DNS servisidir.
Adım Adım Çözüm
Önce hangi durumda olduğunuzu kesin olarak belirleyin — çözüm buna göre tamamen değişir.
CGNAT arkasında mısınız, 2 dakikada öğrenin
Modem arayüzüne girip WAN / İnternet bölümündeki IP adresini not edin. Sonra aynı ağdaki bir tarayıcıda “IP adresim” aratıp size gösterilen adrese bakın.
- İki adres aynıysa: genel IP’niz var, CGNAT yok. Sorun modem ayarında veya güvenlik duvarındadır → 2. adım.
- İki adres farklıysa: CGNAT arkasındasınız → 3. adımdan devam edin.
Modemdeki WAN IP şu aralıklardan birindeyse bu da CGNAT işaretidir: 100.64.x.x – 100.127.x.x, ayrıca 10.x.x.x veya 192.168.x.x.
Genel IP'niz varsa: yönlendirmeyi doğrulayın
CGNAT yoksa sorun yapılandırmadadır. Kontrol listesi:
- Hedef cihaza modem üzerinden sabit (rezerve) IP verin; DHCP ile adres değişirse yönlendirme boşa düşer.
- Yönlendirmede doğru protokol (TCP/UDP) seçili olmalı.
- Hedef cihazın kendi güvenlik duvarı o portu kabul etmeli.
- Testi mobil veriyle yapın; kendi ağınızın içinden dış IP’ye bağlanmak çoğu modemde çalışmaz (hairpin NAT).
IP’niz sabit değilse dinamik DNS (No-IP, DuckDNS gibi) kurun; çoğu modem ve NAS bunu yerleşik destekler.
Önerilen çözüm: ters tünel (port açmadan erişim)
CGNAT arkasındaysanız en pratik ve en güvenli yol budur. Cihaz bağlantıyı içeriden dışarıya kurar, siz de aynı ağa katılırsınız; modemde hiçbir port açılmaz.
- Tailscale / WireGuard tabanlı çözümler: ofisteki bilgisayara veya NAS’a kurulur, telefonunuza/laptopunuza da kurulur. Cihazlar birbirini özel bir ağdaymış gibi görür. Küçük ekipler için ücretsiz planlar yeterlidir.
- Cloudflare Tunnel: özellikle web arayüzlü panellere (NAS arayüzü, kamera yazılımı) dışarıdan erişim için uygundur.
- NAS üreticisinin kendi servisi: Synology QuickConnect veya QNAP myQNAPcloud, CGNAT arkasında da çalışır.
Bu yöntemin en büyük avantajı güvenliktir: internete açık bir port bırakmadığınız için otomatik tarayıcı botların hedefi olmazsınız.
Operatörden genel IP isteyin
Kamera kaydedici gibi tünel kurulamayan cihazlarda tek yol budur. Operatörünüzü arayıp “statik/genel IP” talep edin. Türkiye’de bu genellikle ücretli bir ek hizmettir ve kurumsal tarifelerde daha kolay verilir.
Talep ederken “CGNAT’tan çıkarılmak istiyorum, gerçek genel IPv4 adresi istiyorum” demek işlemi hızlandırır; ilk kademe destek çoğu zaman terimi bilir.
IPv6 seçeneğini değerlendirin
Operatörünüz native IPv6 veriyorsa CGNAT sorunu IPv6 tarafında yoktur; her cihaz kendi adresine sahiptir. Modemde IPv6’yı açıp hedef cihaz için güvenlik duvarında ilgili portu izinli hâle getirmeniz yeterlidir.
Sınır şudur: bağlanacağınız yerin de IPv6 desteklemesi gerekir. Mobil operatörlerin çoğu destekler, ama gittiğiniz her ağda çalışacağını garanti edemezsiniz. Bu yüzden IPv6’yı tek başına değil, tünel çözümüyle birlikte planlamak daha güvenlidir.
İnternete açılan her port, saniyeler içinde otomatik tarama botları tarafından bulunur. Varsayılan parolayla çalışan kameralar ve NAS panelleri fidye yazılımı vakalarının en yaygın giriş noktasıdır. Zorunlu değilse port açmayın; ters tünel veya VPN ile erişim hem daha kolay hem çok daha güvenlidir. Port açacaksanız varsayılan parolaları mutlaka değiştirin ve cihaz yazılımını güncel tutun.
Sık Atlanan Noktalar
Ofis içinden dış IP adresinize bağlanmayı denemek çoğu modemde çalışmaz (hairpin NAT desteklenmez). Testi mutlaka mobil veriyle, Wi-Fi kapalıyken yapın.
Operatör modemi bridge modda çalışıp arkasına ikinci bir router koyduysanız çift NAT oluşur. Bu durumda yönlendirmenin iki cihazda da yapılması veya birinin bridge'e alınması gerekir.
RDP portunu (3389) internete açmak en riskli yapılandırmalardan biridir. Uzak masaüstü erişimi mutlaka VPN veya tünel arkasından verilmelidir.
Çoğu DVR/NVR üreticisi CGNAT arkasında çalışan kendi bulut/P2P servisini sunar. Kalitesi markaya göre değişir ama port açmaktan güvenlidir; cihaz yazılımının güncel olması şarttır.
Sık Sorulan Sorular
Port yönlendirme yaptım ama çalışmıyor, neden?
En yaygın sebep CGNAT'tır: operatör size kendinize ait genel IP vermez, dışarıdan gelen bağlantı operatörde durur. Modemdeki WAN IP ile internetin gördüğü IP farklıysa CGNAT arkasındasınız ve modem ayarlarıyla çözülmez.
CGNAT arkasında olduğumu nasıl anlarım?
Modem arayüzündeki WAN IP adresi ile "IP adresim" aratınca çıkan adresi karşılaştırın. Farklıysa CGNAT vardır. Modemdeki adres 100.64.x.x – 100.127.x.x aralığındaysa bu da net bir CGNAT göstergesidir.
CGNAT nasıl aşılır?
Dört yol vardır: operatörden genel/statik IPv4 talep etmek, native IPv6 kullanmak, Tailscale veya Cloudflare Tunnel gibi ters tünel kurmak, ya da CGNAT kullanmayan bir tarifeye geçmek. Küçük ofisler için ters tünel genelde en hızlı ve en güvenli seçenektir.
Statik IP almak şart mı?
Kamera kaydedici gibi tünel yazılımı kurulamayan cihazlar için pratikte şarttır. Bilgisayar, NAS ve sunucu için tünel çözümü hem ücretsiz olabilir hem de daha güvenlidir.
VPN ile erişim port açmaktan daha mı güvenli?
Evet, belirgin biçimde. Port açtığınızda cihaz tüm internete görünür ve otomatik saldırı botlarının hedefi olur. VPN veya ters tünelde bağlantı içeriden kurulur, dışarıya açık kapı bırakılmaz.
İlgili Rehberler
Uzaktan Erişimi Güvenli Kuralım
Port açmadan, VPN/tünel tabanlı uzaktan erişim kuruyoruz. Kamera, NAS ve ofis bilgisayarlarına güvenli erişim için Ankara içi yerinde destek.