Kameraya VPN ile Uzaktan Erişim: Port Açmadan, P2P Buluta Bağımlı Olmadan Güvenli Bağlantı

VPN ile kameraya uzaktan erişim nedir?

VPN (sanal özel ağ), uzaktaki bir cihazı internet üzerinden şifreli bir tünelle yerel ağa bağlayan yapıdır ve kameraya uzaktan erişimin port açmayan yoludur. Tünel kurulduktan sonra telefon ya da bilgisayar, sanki ofisin ya da evin ağındaymış gibi kamera ve kayıt cihazının yerel adresine ulaşır. Kameranın kendisi internete hiçbir servis sunmaz.

Bu yazı, kamera sistemine dışarıdan erişimin dört temel yolunu karşılaştıran genel rehberlerden farklı olarak yalnız VPN yolunu karar adımlarıyla anlatır. Port yönlendirmenin ve CGNAT'ın temel mantığı için kameraya dışarıdan erişim, CGNAT ve port yönlendirme rehberine, kamera tarafındaki genel siber güvenlik önlemleri için IP kamera siber güvenliği yazısına bakabilirsiniz.

Anlatım markadan bağımsızdır. Router, kayıt cihazı ve kamera modellerinin VPN desteği üreticiye ve yazılım sürümüne göre değiştiği için, desteğe bağlı noktalar metinde doğrula notuyla işaretlenmiştir; kurulumdan önce ilgili cihazın kılavuzundan teyit edilmelidir.

Doğrudan port açmak neden risklidir?

Port yönlendirme, kameranın ya da kayıt cihazının giriş sayfasını tüm internete açtığı için riskin kaynağıdır. Açık bir port, internetteki otomatik tarayıcıların bulabileceği bir hedeftir; bu tarayıcılar varsayılan parola, bilinen yazılım açığı ve zayıf kimlik doğrulama arar. Cihazda tek bir zafiyet bulunması, saldırganın doğrudan iç ağa ulaşması için yeterli olabilir.

VPN'de ise internete açılan tek yüzey VPN sunucusunun kendisidir ve o da yalnızca önceden tanımlanmış anahtar ya da sertifikaya sahip istemcilere cevap verecek biçimde yapılandırılır. Kamera arayüzü, kayıt cihazı ve diğer ağ cihazları dışarıdan görünmez.

• Port yönlendirme: her açılan port, cihazın kendi yazılımının güvenliğine bağlıdır; yama gecikirse risk büyür.
• P2P/bulut: port gerekmez, fakat bağlantı ve çoğu zaman görüntü akışı üreticinin altyapısından geçer; hesap güvenliği ve hizmetin devamlılığı üreticiye bağlıdır.
• VPN: dışarıya yalnız VPN hizmeti açılır; kamera ağı kapalı kalır ve erişim kimlik bilgisiyle sınırlanır.

VPN'in çalışma mantığı: tünel, anahtar ve yönlendirme

VPN, istemci ile sunucu arasında kimlik doğrulaması yapar, ardından yerel ağa giden paketleri şifreleyerek tek bir tünelden taşır. Pratikte üç şey tanımlanır: kimin bağlanabileceği (anahtar çifti, sertifika veya kullanıcı/parola), tünele hangi ağların verileceği ve istemcinin tünel içindeki adresi.

WireGuard, Curve25519 ile anahtar değişimi, ChaCha20 ve Poly1305 ile şifreleme ve kimlik doğrulama kullanır; IP paketlerini UDP üzerinden taşır ve Linux çekirdeğinde başlayıp Windows, macOS, BSD, iOS ve Android'e uzanan geniş platform desteğine sahiptir. Yapılandırmada her taraf bir özel/genel anahtar çiftine sahip olur ve karşı tarafın genel anahtarı eşleştirilir; hangi adres aralıklarının tünelden geçeceği "AllowedIPs" ayarıyla belirlenir.

OpenVPN, SSL/TLS protokolüne dayanan bir VPN'dir; sertifika, akıllı kart ve kullanıcı adı/parola ile kimlik doğrulamayı destekler, tek bir TCP ya da UDP portu üzerinden çok sayıda istemciye hizmet verebilir ve VPN arayüzünde güvenlik duvarı kurallarıyla erişim politikası uygulanabilir.

IPsec, IP katmanında güvenlik sağlayan açık standartlar kümesidir ve genellikle IKE (Internet Key Exchange) protokolüyle yapılandırılır; NIST SP 800-77 Rev. 1 (Haziran 2020) kurumların IPsec VPN'i güvenli kurmasına yönelik kılavuzdur. Birçok router ve güvenlik duvarı IPsec'i yerleşik sunar, fakat parametre uyumsuzluğu nedeniyle kurulum diğerlerine göre daha özen ister.

Kurulumcu için seçenekler: router, sunucu ve mobil istemci

Kurulumcunun önünde üç ana yerleşim seçeneği vardır ve hangisinin uygun olduğu müşterinin router'ına ve işin ölçeğine bağlıdır. Hepsinde ortak kural, VPN'in kamera ağının kapısında, yani ağa giriş noktasında sonlandırılmasıdır.

• Router/güvenlik duvarı üzerinde VPN sunucusu: birçok kurumsal ve bazı ev tipi router, WireGuard, OpenVPN veya IPsec sunucusu içerir. En az cihaz gerektiren yoldur. Router modelinin ve yazılım sürümünün hangi protokolü desteklediği ve işlemci gücünün tünel hızını nasıl etkilediği doğrula noktasıdır.
• Ayrı küçük sunucu veya mini bilgisayar: router VPN desteklemiyorsa, yerel ağdaki düşük güçlü bir cihaza WireGuard ya da OpenVPN kurulur; router yalnızca tek UDP/TCP portunu bu cihaza yönlendirir. Esneklik yüksektir, fakat bu cihazın güncelleme ve yedekleme sorumluluğu kurulumcuya ya da müşteriye geçer.
• Bulut veya aracı sunucu üzerinden bağlantı: iç ağdaki cihaz dışarıdaki bir sunucuya kendisi bağlanır; kullanıcılar da aynı sunucuya bağlanarak buluşur. CGNAT arkasında port açılamadığında bu yapı işe yarar (sonraki bölüm).
• Mobil VPN istemcisi: telefona WireGuard ya da OpenVPN istemci uygulaması kurulur ve profil, QR kod veya dosya olarak aktarılır. İstemci bağlandığında kamera uygulaması yerel adrese erişir. Uygulama bazında "yalnız belirli ağlar tünelden geçsin" ayarı kullanılırsa telefonun diğer trafiği tünele yüklenmez.
• Cihaz içi VPN: bazı kayıt cihazları ve kameralar kendi içinde VPN istemcisi sunar. Bu özelliğin varlığı ve sürüm farkı doğrula noktasıdır; yoksa router ya da sunucu seviyesi tercih edilir.

CGNAT arkasında VPN sunucusu: sabit IP ve aracı sunucu

CGNAT arkasındaki hatta gelen bağlantılar modeme ulaşmadığı için VPN sunucusunun dışarıdan erişilebilir bir adrese ihtiyacı vardır. CGNAT'ta operatör, abonelere genel IP yerine paylaşılan adres bloğu verir; RFC 6598 bu amaçla 100.64.0.0/10 "Shared Address Space" bloğunu ayırmıştır. Router'ın WAN adresi bu bloktaysa dışarıdan gelen VPN bağlantısı da router'a ulaşamaz.

Çözümler dört başlıkta toplanır ve her biri farklı bir gereksinim taşır:

• Sabit genel IPv4 adresi: operatörden talep edilir; VPN sunucusu doğrudan router'da çalışır. Hizmetin kapsamı ve koşulları operatöre göre değişir, doğrula.
• Aracı (relay) sunucu: internette sabit adresli küçük bir sanal sunucu kiralanır; kamera tarafındaki VPN cihazı bu sunucuya dışarı doğru bağlanır, kullanıcı da aynı sunucuya bağlanır. Dışarı doğru bağlantı CGNAT'a takılmaz. Trafik aracı sunucudan geçtiği için sunucunun güvenliği, konumu ve veri koruma yükümlülükleri hesaba katılmalıdır.
• Canlı keepalive ayarı: WireGuard'da NAT arkasındaki taraf, eşleştirmeyi açık tutmak için PersistentKeepalive kullanır; WireGuard dokümantasyonu geniş güvenlik duvarı çeşitliliğinde çalışan makul bir aralık olarak 25 saniyeyi önerir (varsayılan 0, yani kapalıdır).
• IPv6 ve çift yığın: hat IPv6 adresi alıyorsa ve istemci tarafı da IPv6 ulaşabiliyorsa, CGNAT sorunu IPv4'e özgü olduğundan bazı kurulumlarda doğrudan VPN erişimi mümkün olabilir; operatörün IPv6 sunumu ve güvenlik duvarı kuralları doğrula noktasıdır.

Kamera tarafında yerel ağa kapalı bırakma, güçlü parola ve ayrı VLAN

VPN kurulduktan sonra kamera ve kayıt cihazı internete hiçbir yoldan açık kalmamalıdır. Bunun için router'daki eski port yönlendirme kurallarının silinmesi, UPnP/otomatik port açma özelliğinin kapatılması ve kamera ile kayıt cihazındaki P2P/bulut servisinin gereksizse devre dışı bırakılması gerekir. Cihazların bu menülerinin adı ve yeri üreticiye göre değişir.

Kameralar ayrı bir VLAN'a (IEEE 802.1Q ile tanımlanan sanal ağ ayrımı) alınır ve VPN istemcilerine yalnız bu ağda gerekli adreslere izin verilir. Böylece bir kamera ele geçirilse bile saldırgan ofis bilgisayarlarına ya da yazıcıya geçemez. VLAN için yönetilebilir anahtar (switch) ve VLAN destekleyen router gerekir; bu desteğin ev tipi cihazlarda bulunup bulunmadığı doğrula noktasıdır.

VPN ile birlikte parola hijyeni de sürer: varsayılan parolalar değiştirilir, her cihaza benzersiz ve uzun parola verilir, kullanıcı yetkileri sınırlanır ve firmware güncel tutulur. Bu başlığın ayrıntıları için IP kamera siber güvenliği rehberine bakılabilir.

• Port yönlendirme kurallarını ve UPnP'yi kapatın; dışarıdan yalnız VPN portu açık kalsın.
• Kamera ve kayıt cihazını ayrı VLAN'a alın, VPN istemcisine yalnız gereken adresler için kural yazın.
• VPN istemcisi başına ayrı anahtar ya da sertifika üretin; cihaz kaybolursa yalnız o anahtarı iptal edin.
• Kayıt cihazı ve kameraların yönetim arayüzüne yalnız VPN içinden erişilsin.

Gecikme, bant genişliği ve görüntü akışı etkisi

VPN, canlı izlemenin hızını esas olarak ofisin yükleme (upload) hızı ve router'ın şifreleme gücü belirler; tünelin kendisi ek bir gecikme (birkaç ile birkaç on milisaniye) ekler. Şifreleme işlemi router işlemcisinde yapıldığı için zayıf bir cihazda tünel hızı hat hızının çok altında kalabilir.

Bant genişliği ihtiyacı için basit bir hesap kullanılır: toplam yükleme = aynı anda izlenen akış sayısı × akış bit hızı. Örneğin 4 Mbit/sn'lik ana akıştan 3 tanesi aynı anda izlenecekse yaklaşık 12 Mbit/sn yükleme gerekir; VPN başlığı (tünel ek yükü) nedeniyle yaklaşık %10 pay bırakılması makuldür. Bu ifadeler hesap yöntemidir, gerçek değer ağ ölçümüyle doğrulanmalıdır.

Mobilde veri tüketimi ve gecikmeyi azaltmak için canlı izlemede kameranın alt akışı (sub-stream) kullanılır, tam çözünürlüklü ana akış yalnız geri oynatma ve inceleme sırasında istenir. H.265 gibi verimli kodlama bit hızını düşürür, fakat mobil uygulamanın ve cihazın bu kodeği çözebilmesi doğrula noktasıdır.

Bağlantı sorunlarında sık görülen neden MTU (en büyük iletim birimi) uyuşmazlığıdır: tünel başlığı paketi büyüttüğü için büyük paketler bölünür ya da düşer. Görüntü kesiliyor ama giriş çalışıyorsa tünel arayüzünün MTU değeri düşürülerek test edilir.

Hangi yöntem ne zaman seçilir? P2P, port ve VPN

Seçim tek bir doğruya değil, müşterinin güvenlik beklentisine, hattın yapısına ve yönetim kapasitesine bağlıdır. Genel kural olarak veri gizliliği ve kurumsal kontrol önemliyse VPN, kurulum kolaylığı ve düşük teknik bilgi öncelikliyse P2P/bulut tercih edilir; doğrudan port yönlendirme yalnız sıkı güvenlik önlemleriyle ve istisnai olarak düşünülür. Üreticinin bulut hizmeti kapandığında ne olacağı konusu için yerel kontrol rehberine bakılabilir.

Kurulumcu, müşterinin kamera ağına uzaktan eriştiği durumlarda veri sorumluluğunu da hesaba katmalıdır; bu rolün KVKK açısından nasıl tanımlandığı kurulumcunun uzaktan erişiminde veri işleyen sorumluluğu yazısında anlatılmıştır. VPN erişim kayıtlarının tutulması ve kimlerin bağlanabildiğinin belgelenmesi bu açıdan da yararlıdır.

• VPN uygun: birden fazla kamera ve kayıt cihazı, ofis/işyeri ağı, yönetici erişimi, veri gizliliği öncelikli kurulumlar.
• P2P/bulut uygun: tek kameralı ev kullanımı, teknik yönetimi olmayan kullanıcı, CGNAT altında hızlı çözüm ihtiyacı; üreticiye bağımlılık kabul edilir.
• Port yönlendirme: yalnız zorunlu hallerde; sıradışı port numarası güvenlik sayılmaz, mutlaka güçlü parola, güncel yazılım ve erişim kısıtı gerekir.
• Karma yaklaşım: yönetici VPN ile, bilgi amaçlı canlı izleme ise üretici uygulamasıyla yapılabilir; hangi yolun hangi veriyi dışarı çıkardığı belgelenmelidir.

Kurulumcu ve toptancıyı Bayifi'de bulmak

Kamera sistemine VPN kurmak ağ bilgisi isteyen bir iştir; bu işi üstlenen kurulumcuyu Bayifi bayi listesinden il il inceleyebilir, örneğin İstanbul rehberine bakabilirsiniz. VPN destekli router, yönetilebilir anahtar ve kayıt cihazı gibi ürünleri toptancıların stoklu listelendiği Bayifi pazar bölümünde arayabilir; firmanızı eklemek için kaydol sayfasını kullanabilirsiniz.