Port yönlendirme (port forwarding) ev internetinde nasıl yapılır?

Ev kameranıza iş yerinden bakmak, bir oyun sunucusu açmak, dışarıdan NAS'a bağlanmak istiyorsunuz. Cihaz evde çalışıyor, ama internet üstünden ona ulaşamıyorsunuz. Aradaki eksik iş çoğu zaman şudur: modeminizde port yönlendirme (port forwarding) kurulu değil.

Port yönlendirme, "dışarıdan bu porta gelen istekleri, evimin içindeki şu cihaza yönlendir" demenin yoludur. Aşağıda hem nasıl yapıldığını hem de dikkat edilmesi gereken iki büyük tuzağı — CGNAT ve güvenlik — anlatıyorum.

Port yönlendirme ne işe yarar?

Normalde ev ağınızdaki cihazlar dışarıya bağlanır (siz Google'ı çağırırsınız, size cevap gelir). Ama dışarıdan bir bağlantının cihazınıza ulaşması, "hangi cihaza" bilgisi olmadığı için modem tarafında düşer. Modeminizin dışarıya bakan tek bir IP'si vardır; içeride belki 10 cihaz vardır. Port yönlendirme, bu tek dış IP üstündeki belirli bir port numarasını içerideki belirli bir cihazın belirli bir portuna eşler.

Tipik kullanım alanları:

• Ev kamerası veya video kaydediciye (NVR/DVR) uzaktan erişim. Kameranın web arayüzüne dışarıdan bakmak için 80/443 ya da üretici portu açılır.
• NAS (ağa bağlı depolama). Synology, QNAP gibi cihazlara dışarıdan dosya, foto ya da media erişimi.
• Oyun sunucusu. Minecraft, Valheim, ARK gibi oyunların ev bilgisayarında sunucu barındırılması.
• Kendi kurduğunuz servisler. Home Assistant, Plex, Jellyfin, kişisel Git sunucusu.
• Uzaktan masaüstü. RDP/SSH — ama bu çok riskli, ilerideki güvenlik bölümüne bakın.

Ön koşul: cihaza sabit iç IP (DHCP rezervasyonu)

Port yönlendirme kuralı "192.168.1.42'ye gönder" der. Ama ev ağınızdaki cihazlar DHCP ile IP alıyorsa, modem yeniden başlatıldığında kamera bu sefer 192.168.1.55 alabilir. O anda kuralınız işaret etmediği bir IP'ye gitmeye çalışır ve çalışmaz.

Bu yüzden port yönlendirmeden önce hedef cihazın iç IP'sini sabitlemeniz gerekir. İki yol var:

1. Cihazın kendi ayarlarından statik IP — yerel ağa uygun bir IP, ağ maskesi, ağ geçidi ve DNS elle girilir. Nadiren tercih edilir; farklı ağa taşındığında yeniden ayarlamak gerekir.
2. Modemden DHCP rezervasyonu — modeme "bu MAC adresine her zaman şu IP'yi ver" dersiniz. Cihaz nerede olursa olsun bu IP'yi alır. Daha temiz yol budur.

Modem panelinde çoğunlukla "DHCP", "LAN" veya "Yerel Ağ" başlığı altında DHCP rezervasyonu / Statik DHCP / IP Reservation adıyla geçer. Cihazın MAC adresini seçer, ona bir IP verir, uygularsınız. Cihaz bir sonraki bağlanışında bu IP'yi alır. Modem panelinize giremiyorsanız 192.168.1.1 açılmıyor modem paneline giremiyorum yazısı işinize yarar.

Adım adım port yönlendirme

Modem markaları arayüzü farklı yerleştirir, ama mantık ve alanlar aynıdır:

1. Modemin yönetim paneline girin. Tarayıcıya 192.168.1.1 ya da 192.168.0.1 yazın; kullanıcı adı / şifre modemin arkasındaki etikettedir. Panel şifresini değiştirmediyseniz, port yönlendirmeye başlamadan önce mutlaka değiştirin.
2. NAT / Port Forwarding / Port Yönlendirme menüsünü bulun. Bazen "Sanal Sunucu (Virtual Server)" adıyla geçer.
3. Yeni kural ekleyin ve şu alanları doldurun:
   • Servis adı: kendinize hatırlatıcı, örneğin kamera-web.
   • Protokol: cihazın kullandığı — TCP, UDP ya da her ikisi. Web arayüzleri TCP, oyunların bir kısmı UDP kullanır; emin değilseniz cihazın belgesine bakın, ikisini birden açıp geçmek çoğu ev senaryosunda kabul edilebilir bir kısayoldur.
   • Dış port (WAN / public port): dışarıdan gelen bağlantının kullanacağı port. Kameranın web arayüzü için 80 yerine örneğin 8081 seçmek, tarama trafiğinin bir kısmını azaltır.
   • İç IP (LAN IP): yönlendirilecek cihazın az önce sabitlediğiniz iç IP'si.
   • İç port (LAN port): cihazın gerçekte dinlediği port. Kameraysa çoğunlukla 80, NAS'sa üreticiye göre değişir.
4. Kuralı kaydedin. Bazı modemler değişikliği uygulamak için yeniden başlatma ister.
5. Dışarıdan test edin. Ev ağınızdayken kendi dış IP'nize bağlanamayabilirsiniz (bunun adı "NAT loopback"tir ve her modemde çalışmaz). En temiz test, mobil verinize düşüp http://<dış IP>:<dış port> adresini denemektir.

Dış IP'nizi öğrenmek için basitçe Google'a "ip adresim" yazabilirsiniz. Ama IP'niz sabit değilse (birçok evde değildir) yeniden başladığınızda değişir — bunun için Dinamik DNS (DDNS) kullanılır; birçok modem panelinin kendi DDNS bölümü vardır.

Büyük tuzak: CGNAT

Kural doğru, iç IP doğru, port doğru — ama dışarıdan yine erişemiyorsunuz. Muhtemel neden: operatörünüz size gerçek bir dış IP vermemiş, onun yerine CGNAT (Carrier-Grade NAT) arkasına koymuş. Bu, operatörün tek bir dış IP'yi birçok aboneyle paylaştırdığı bir tekniktir. Adres tasarrufu yapar; ama sizin dışarıdan gelen bağlantılara açık bir kapınız kalmaz.

CGNAT'ta olup olmadığınızı anlamanın basit yolu:

• Modemin WAN durumu ekranındaki "WAN IP" ile Google'a "ip adresim" yazınca çıkan IP'yi karşılaştırın.
• Modemdeki WAN IP 100.64.0.0 – 100.127.255.255 aralığında (özel CGNAT bloğu) ise ya da modem IP'si ile dışarıya görünen IP birbirinden farklıysa CGNAT arkasındasınız.

Bu durumda hiçbir port yönlendirme kuralı çalışmaz — kural doğru, sorun modemin dışında. Çözüm:

• Statik / gerçek IP talep etmek. Çoğu operatör ek ücretli olarak sabit IP satar; bir kısmı "reel IP" adıyla sabit değil ama CGNAT dışında dinamik IP verir. Detay için sabit IP ev interneti nasıl alınır yazısına bakabilirsiniz.
• VPN tabanlı alternatif. Tailscale, WireGuard veya kendi kurduğunuz bir VPN sunucusu, port yönlendirmeye ihtiyaç duymadan cihazlarınıza uzaktan erişmenizi sağlar; dışa bir port açmadığı için güvenlik profili de daha iyidir.

Güvenlik: port açmak dışarıya kapı bırakmaktır

Bir portu dışarıya açtığınız an, o servisin taranmasına ve saldırıya uğramasına açık hale getirmiş olursunuz. İnternetin herhangi bir yerindeki botlar açık portları tarar; zayıf şifre, güncel olmayan yazılım veya bilinen bir açık varsa dakikalar içinde bulunur.

Uyulması gereken minimumlar:

• Sadece gerçekten gereken portu açın. "Ne olur ne olmaz" diye açık bıraktığınız port, birkaç ay içinde unutulur ve saldırı yüzeyiniz olur.
• Servisin varsayılan şifresini değiştirin. Kamera, NAS, modem — hepsi. Fabrika şifreleri halka açık listelerde geziyor.
• Cihaz yazılımını (firmware) güncel tutun. Kameraların çoğu ev sızmasında bulunan zayıf halkadır.
• RDP/SSH'ı dışarıya doğrudan açmayın. Bu iki portu tarayıp brute-force denemek en yaygın taramadır. Bu servisleri VPN arkasına alın; dışarı port açmak yerine önce VPN'e girin, sonra iç ağda RDP/SSH kullanın.
• Standart olmayan bir dış port kullanın. 22 yerine 22222, 3389 yerine daha yüksek bir port — brute-force taramalarını azaltır (ama güvenliğin tek başına dayanağı bu değildir).
• Mümkünse HTTPS ve iki adımlı doğrulama. Web arayüzü açıyorsanız 80 yerine HTTPS (443 veya özel port) üstünden gidin.

Port yönlendirmenin alternatifi ne?

Uzak erişim için port açmak zorunda değilsiniz. Son yıllarda daha güvenli iki alternatif var:

• Tailscale / WireGuard gibi mesh VPN'ler. Cihazlarınızı sanki aynı yerel ağdaymış gibi birbirine bağlar. Modem tarafında hiçbir port açılmaz; CGNAT arkasında bile çalışır. Ev kamerasına, NAS'a, kendi bilgisayarınıza dışarıdan erişmek için bugün en pratik yol.
• Üreticinin bulut hizmeti. Kamera ve NAS üreticilerinin çoğu, kendi bulut aracılığıyla uzaktan erişim sunar (mobil uygulamalar bunun üstünden çalışır). Kolaydır; ama trafik üretici sunucularından geçer, gizlilik ve güvenlik profili farklı düşünülmelidir.

Bu ikisi yeterli oluyorsa port yönlendirmeye hiç girmemek doğrudur.

Sık sorulan sorular