Kameraya Dışarıdan Erişim: Port Yönlendirme, DDNS, P2P, VPN ve CGNAT Sorunu

Kameraya dışarıdan erişimin dört yolu nedir?

Evdeki ya da işyerindeki kamera ve kayıt cihazına internet üzerinden bağlanmak için dört temel yöntem kullanılır. Hepsinin ortak noktası, cihazın bulunduğu yerel ağın dışından gelen isteğin cihaza ulaşabilmesidir; farkları ise bu yolun nasıl açıldığı ve ne kadar güvenli olduğudur.

Bu yöntemlerden hangisinin çalışacağı çoğu zaman kurulumcunun tercihinden önce internet hattının yapısına bağlıdır. Modeme genel (public) bir IP adresi verilmiyorsa bazı yöntemler teknik olarak mümkün değildir. Bu yüzden önce hattı tanımak, sonra yöntemi seçmek gerekir.

• Port yönlendirme (port forwarding): modemde belirli portlar kayıt cihazına yönlendirilir; dışarıdan modemin genel IP adresine bağlanılır.
• DDNS: değişen genel IP adresini sabit bir alan adına bağlar; tek başına yol açmaz, port yönlendirmenin yanında kullanılır.
• P2P / bulut uygulaması: cihaz, üreticinin sunucusuna kendisi bağlanır; telefon uygulaması da aynı sunucu üzerinden cihaza ulaşır. Hik-Connect, DMSS, EZVIZ ve Imou bu sınıfa girer.
• VPN: telefon ya da bilgisayar, yerel ağa şifreli bir tünelle bağlanır ve kameralara sanki evdeymiş gibi erişir.

Port yönlendirme nasıl çalışır ve adımları nelerdir?

Port yönlendirme, modeme dışarıdan gelen belirli bir port numarasındaki trafiği yerel ağdaki bir cihaza ileten kuraldır. Modem genel IP adresini tek başına taşır; kural olmadığı sürece dışarıdan gelen bağlantıyı hangi cihaza vereceğini bilmez.

Temel akış şöyledir: kayıt cihazına sabit bir yerel IP verilir, modemde NAT/sanal sunucu bölümünde ilgili portlar o IP'ye yönlendirilir ve dışarıdan modemin genel IP adresi ile port numarası yazılarak bağlanılır. Ağ düzeni için güvenlik kamerası ağ kurulumu rehberindeki sabit IP planı bu adımın ön koşuludur.

• Kayıt cihazına DHCP rezervasyonu ya da elle sabit yerel IP ver.
• Cihazın kullandığı web (HTTP/HTTPS), canlı yayın (RTSP) ve üreticiye özgü servis portlarını cihaz menüsünden öğren; port numaraları üreticiye ve ayara göre değişir.
• Modemin yönetim ekranında bu portlar için kural oluştur ve hedef olarak kayıt cihazının yerel IP'sini yaz.
• Dışarıdan test et: aynı ağdan değil, mobil veriden bağlanarak dene.
• Modemin genel IP'si değişiyorsa DDNS tanımla; böylece IP yerine alan adı kullanılır.

CGNAT nedir ve port neden açılamaz?

CGNAT (Carrier-Grade NAT), operatörün tek bir genel IPv4 adresini birçok aboneye paylaştırdığı ağ adresi çevirisidir. RFC 6888 bu yapıyı, abonenin kontrolünün sınırlı olduğu ya da hiç olmadığı bir NAT olarak tanımlar. IPv4 adresleri yetersiz olduğu için operatörler bu yöntemi kullanır.

CGNAT arkasında modem, internete ait gerçek bir genel IP almaz; operatör ağında paylaşılan bir adres alır. Dışarıdan gelen bağlantı hangi aboneye ait olduğunu bilemediği için operatörün cihazında durur ve sizin modeminize ulaşmaz. Siz modemde ne kadar kural yazarsanız yazın, kuralın çalışacağı yere trafik hiç gelmez.

RFC 6598, bu iş için 100.64.0.0/10 bloğunu paylaşılan adres alanı olarak ayırmıştır. Modemin WAN adresi bu blokta ya da 10.x.x.x, 172.16-31.x.x, 192.168.x.x gibi özel bir aralıkta görünüyorsa hat büyük olasılıkla CGNAT arkasındadır.

Hattın CGNAT arkasında olduğunu nasıl anlarız?

En kesin kontrol, modemin yönetim ekranındaki WAN IP adresiyle internette görünen IP adresini karşılaştırmaktır. İki adres aynıysa modem gerçek bir genel IP almıştır; farklıysa araya bir NAT daha girmiştir.

Karşılaştırma yapılırken modem ekranı ile telefonun mobil veri bağlantısını karıştırmamak gerekir. Test, kameranın bağlı olduğu hattın modem ekranından ve o hatta bağlı bir bilgisayardan yapılmalıdır.

• Modemin yönetim sayfasında WAN/İnternet durumundaki IP adresini not et.
• Aynı ağdaki bilgisayardan bir IP sorgulama sitesini aç ve görünen genel IP'yi not et.
• İki adres aynıysa CGNAT yoktur; farklıysa ya CGNAT ya da modemin önünde ikinci bir cihaz (çift NAT) vardır.
• WAN adresi 100.64.0.0/10 bloğundaysa CGNAT neredeyse kesindir.
• Bilgisayarda izleme komutuyla (Windows'ta tracert, macOS ve Linux'ta traceroute) bir dış adrese giden yolu incele; ilk atlamalarda birden fazla özel adres görünüyorsa katmanlı NAT vardır.

4G/5G modemde kamera neden görünmüyor?

Mobil hatlarda internet genellikle CGNAT üzerinden verildiği için 4G veya 5G modemin arkasındaki kamera, port yönlendirmeyle dışarıdan görünmez. Bu, kamera ya da modemin bozuk olduğu anlamına gelmez; hat yapısının doğal sonucudur.

Bazı fiber ve sabit hat paketlerinde de CGNAT uygulanabilir. Operatörlerin statik IP ve CGNAT politikaları zamanla değiştiği için güncel durumu abonelik sözleşmesinden ve operatörün müşteri hizmetlerinden teyit etmek gerekir; bu yazıdaki bilgiler genel çerçevedir, belirli bir operatör ya da paket için kesin hüküm değildir.

Şantiye, bağ evi ya da güneş enerjili kamera gibi 4G hatla çalışan kurulumlarda doğrudan port açmaya çalışmak yerine P2P ya da VPN çözümü baştan planlanmalıdır. 4G tabanlı kameralar için güneş enerjili 4G kamera yazısına bakılabilir.

Bir diğer sık neden çift NAT'tır: operatörün verdiği modem yönlendirici modunda çalışırken arkasına ikinci bir yönlendirici takılmışsa, port yönlendirme iki cihazda da yapılmadıkça çalışmaz. Bu sorun CGNAT değildir ve ikinci cihazın köprü (bridge) moduna alınması ya da portların iki kademede açılmasıyla çözülür.

CGNAT varsa çözüm seçenekleri nelerdir?

CGNAT arkasında dışarıdan erişimin ortak mantığı, bağlantıyı dışarıdan içeri değil, cihazdan dışarı doğru başlatmaktır. Giden bağlantıları CGNAT engellemez; bu yüzden P2P ve ters tünel çözümleri çalışır.

Bir seçenek de IPv6'dır. Hat IPv6 veriyorsa ve cihaz IPv6'yı destekliyorsa NAT gerekmez, fakat modemin güvenlik duvarında ilgili izin verilmedikçe dışarıdan erişim yine kapalıdır ve cihaz desteği üreticiye göre değişir.

• Statik/genel IP talebi: operatörden genel IP adresi istenir. Bu hizmetin sunulup sunulmadığı, koşulları ve ücretlendirmesi operatöre ve pakete göre değişir; güncel durum operatörden sorulmalıdır.
• P2P / bulut uygulaması: cihaz üreticinin sunucusuna giden bağlantı kurar. Port açmak gerekmez ve CGNAT'ta çalışır; Hik-Connect, DMSS, EZVIZ gibi uygulamalar bu mantıktadır. Ayrıntı için Hik-Connect ve DMSS rehberlerine bakılabilir.
• VPN ile genel adresli bir sunucu: kamera ağındaki küçük bir cihaz (yönlendirici ya da mini bilgisayar), genel IP'si olan bir sunucuya VPN bağlantısı açar; telefon da aynı sunucuya bağlanarak ağa ulaşır.
• Ters tünel: yerel ağdaki cihaz, genel IP'li bir sunucuya kalıcı tünel açar ve gelen istek bu tünelden geri iletilir. Kurulum ve bakım için ağ bilgisi gerekir.
• Operatör hattını değiştirmek: genel IP veren bir fiber hat ya da işyeri paketi tercih edilebilir; paket koşulları kontrol edilmelidir.

Port açmak neden güvenlik riskidir?

Port yönlendirme, kamerayı ya da kayıt cihazını doğrudan internete açmak demektir ve internetteki otomatik tarayıcılar açık portları sürekli arar. Cihazın giriş sayfası herkese görünür hâle gelir ve saldırıya açık tek savunma hattı şifre ile cihazın yazılım sürümüdür.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), güvenlik kameraları dâhil birçok cihazın varsayılan kullanıcı adı ve şifreyle teslim edildiğini ve bunların değiştirilmesi gerektiğini belirtir. Aynı ajans internete açık hizmetlerin güncel tutulmasını, kullanılmayan servislerin kapatılmasını ve kritik sistemlerin ağda ayrılmasını önerir.

Port açmak zorunda kalındığında risk şu önlemlerle azaltılır: varsayılan portlar yerine farklı portlar kullanmak tek başına koruma sağlamaz ama gürültüyü azaltır; asıl koruma güçlü ve benzersiz şifre, güncel yazılım ve gereksiz servislerin kapatılmasıdır.

• Varsayılan şifreyi ilk kurulumda değiştir; her cihaza ayrı ve uzun bir şifre ver.
• Cihaz yazılımını (firmware) güncel tut; güncellemeyen eski cihazı internete açma.
• UPnP ve otomatik port açma özelliklerini kapat, yalnız gerekli portları elle yönlendir.
• Kullanılmayan servisleri (Telnet, SSH, FTP gibi) kapat; mümkünse yalnız şifreli HTTPS erişimini bırak.
• Kamera ağını ev ya da ofis cihazlarından ayır; kamera ağındaki bir cihazın ele geçirilmesi diğer cihazlara ulaşmasın.

Kurulumcu müşteriye en güvenli yolu nasıl seçer?

Güvenlik açısından genel sıra, internete hiçbir port açmayan çözümlerin öne geçmesidir: önce VPN, sonra iki aşamalı doğrulamalı P2P uygulaması, en sonda port yönlendirme gelir. Gerçek seçim; hattın yapısı, müşterinin teknik düzeyi ve kamera sayısına göre yapılır.

Müşterinin ihtiyacı yalnız telefondan canlı bakmak ve geçmiş kaydı izlemekse P2P uygulaması çoğu kurulumda yeterli ve en az bakım isteyen yoldur. P2P kullanılırken görüntü akışının üreticinin altyapısından geçebileceği, hesap güvenliğinin de kullanıcıya bağlı olduğu unutulmamalıdır. Hesapta ikinci doğrulama açılmalı, paylaşılan kullanıcılar yetkilendirilmeli ve doğrulama kodu cihaz etiketinde bırakılmamalıdır.

Kayıt cihazının tüm menüsüne ve üçüncü taraf izleme yazılımlarına erişim gerekiyorsa VPN daha uygundur. Merkezî bir yönetim yazılımı kullanan çok şubeli işletmelerde sabit genel IP, güvenlik duvarı ve VPN birlikte planlanır.

• Hattı kontrol et: WAN IP ile internetteki IP aynı mı, 100.64.0.0/10 bloğunda mı?
• CGNAT varsa port yönlendirmeyi eleme; P2P, VPN ya da genel IP talebini değerlendir.
• Yalnız canlı izleme isteniyorsa P2P uygulaması ve iki aşamalı doğrulama yeterlidir.
• Tam erişim isteniyorsa VPN kur; port açmayı son çare olarak bırak.
• Müşteriye yapılan ayarı, şifre sahibini ve yazılım güncelleme sorumluluğunu yazılı bırak.

Kurulumcu ve toptancıyı Bayifi'de bulmak

Hat yapısını okuyup port, P2P ya da VPN çözümünü sizin ağınıza göre kuracak bir firma arıyorsanız Bayifi'de il il firma dizinine göz atabilirsiniz. Bayi listesi ve bayi haritası bölgenizdeki kurulumcuları bulmayı kolaylaştırır.

Kayıt cihazı, switch ve kamera gibi ürünlerin toptan temini için Bayifi pazar yeri kullanılabilir. Kurulumcu ya da toptancı olarak firmanızı eklemek isterseniz kayıt sayfasından başvurabilirsiniz.