Port Yönlendirmesi ile Harici Erişim Sağlamak

Evdeki eski dizüstü bilgisayarıma bir medya sunucusu kurduğum gün, işin kolay kısmının bittiğini fark ettim. Yerel ağda her şey tıkır tıkır çalışıyordu ama iş yerinden ya da telefonun mobil verisinden bağlanmayı denediğimde karşımda koca bir sessizlik vardı. Sorun sunucuda değildi; router'ım dışarıdan gelen isteği kime ileteceğini bilmiyordu. İşte port yönlendirmesi tam olarak bu boşluğu dolduruyor.

Burada size kendi kurcalamalarımdan öğrendiklerimi, sırasıyla ve gerçekten uygulanabilir şekilde anlatacağım.

Port yönlendirmesi aslında ne yapıyor?

İnternet servis sağlayıcınız size tek bir genel IP adresi veriyor. Evinizdeki telefon, televizyon, laptop ve sunucu bu tek adresin arkasında duruyor. Dışarıdan biri o adrese bağlanmaya çalıştığında router "bu paket hangi cihaza gidecek?" sorusuna cevap bulamıyor ve paketi çöpe atıyor.

Port yönlendirmesi, router'a şu talimatı vermek demek: "8096 numaralı porta gelen her şeyi 192.168.1.42 adresindeki cihazın 8096 portuna ilet." Bu kadar basit bir kural aslında, ama doğru kurmak için birkaç şeyi sırayla halletmek gerekiyor.

Adım adım: port yönlendirmesi nasıl yapılır

1. Sunucunuzun yerel IP adresini öğrenin. Linux'ta ip addr, Windows'ta ipconfig komutu yeterli. Genellikle 192.168.x.x veya 10.0.x.x ile başlayan bir adres göreceksiniz. Bu adresi bir kenara not edin.
2. Bu IP'yi sabitleyin. Benim ilk hatam buydu: yönlendirmeyi kurdum, iki hafta sonra elektrik kesintisi oldu, router yeniden başladı ve sunucuma farklı bir IP dağıttı. Kural artık boş bir adrese işaret ediyordu. Router arayüzündeki DHCP rezervasyonu bölümünden cihazın MAC adresine sabit bir IP atayın. Alternatif olarak cihazın kendi ağ ayarlarından statik IP tanımlayabilirsiniz, ama rezervasyon daha temiz bir yol.
3. Servisin hangi portta dinlediğini doğrulayın. SSH varsayılan olarak 22, web sunucusu 80 ve 443, birçok medya sunucusu 8096 veya 32400 kullanır. Emin değilseniz sunucuda ss -tulpn komutunu çalıştırıp dinlenen portları listeleyin.
4. Router arayüzüne girin. Tarayıcıya genelde 192.168.1.1 yazmak yeterli oluyor. Kullanıcı adı ve şifre cihazın altındaki etikette yazar. Hâlâ varsayılan şifredeyseniz, port açmadan önce mutlaka değiştirin.
5. Port yönlendirme bölümünü bulun. Marka marka değişiyor: "Port Forwarding", "Sanal Sunucu", "NAT Ayarları" veya "Uygulama Yönlendirme" gibi isimlerle karşınıza çıkabilir. Genelde Gelişmiş Ayarlar altında saklıdır.
6. Kuralı oluşturun. Doldurmanız gereken alanlar tipik olarak şunlar:
   • Kural adı (kendiniz için, örneğin "medya-sunucu")
   • Harici port / başlangıç-bitiş portu
   • Dahili IP adresi (2. adımda sabitlediğiniz)
   • Dahili port
   • Protokol: TCP, UDP veya her ikisi
   Protokolden emin değilseniz TCP ile başlayın; web ve SSH trafiği TCP üzerinden akar.
7. Sunucudaki güvenlik duvarını unutmayın. Router kapıyı açsa da işletim sistemi kendi duvarını örmüş olabilir. Ubuntu'da sudo ufw allow 8096/tcp gibi bir komutla ilgili portu açın. Bu adımı atlayıp saatlerce router ayarlarıyla boğuştuğum oldu.
8. Dışarıdan test edin. Aynı WiFi'ye bağlıyken test etmek yanıltıcıdır, çünkü birçok router kendi genel IP'sine yapılan iç isteği doğru yönlendirmez. Telefonunuzun mobil verisini açın ve genel-ip:port şeklinde bağlanmayı deneyin. Genel IP'nizi öğrenmek için basit bir "IP adresim ne" araması yeterli.

Sık yapılan hatalar

CGNAT tuzağı

Her şeyi doğru yaptığınız halde bağlantı kurulamıyorsa, servis sağlayıcınız size gerçek bir genel IP vermiyor olabilir. Router'ın WAN arayüzünde gördüğünüz IP ile dışarıdan görünen IP'niz farklıysa, taşıyıcı seviyesinde NAT arkasındasınız demektir. Bu durumda ya sağlayıcıdan statik IP talep edersiniz ya da bir aracı çözüm kullanırsınız.

Değişken IP'yi görmezden gelmek

Çoğu ev bağlantısında genel IP zaman zaman değişir. Ezberlemek yerine dinamik DNS servisi kullanın; router'ların büyük kısmında hazır DDNS bölümü bulunur. Böylece IP değişse bile aynı alan adıyla ulaşırsınız.

Gereğinden fazla port açmak

"Ne olur ne olmaz" diye 1-65535 aralığını yönlendirmek, evin bütün kapılarını ardına kadar açmak gibi. Sadece ihtiyacınız olan portu, sadece ihtiyacınız olan cihaza yönlendirin.

Varsayılan portları olduğu gibi bırakmak

22 portunu dışarı açtığınız gün otomatik tarama botları kapınızı çalmaya başlar. SSH'ı 22 yerine farklı bir harici porta yönlendirin, şifre girişini kapatıp anahtar tabanlı kimlik doğrulamaya geçin. Uzaktan sunucu bağlantısı konusunu ayrıntılı işlediğimiz yazı bu noktada iyi bir tamamlayıcı.

Şifresiz servisi internete açmak

Yerel ağda sorun olmayan bir panel, internete açıldığında ciddi bir risk hâline gelir. Web tabanlı bir servis yayınlıyorsanız en azından bir sertifika kurup HTTPS'e geçin; ücretsiz sertifika almak sandığınızdan kolay.

Özet

İşin özü dört şeyde toplanıyor: sunucunun yerel IP'sini sabitle, doğru portu tespit et, router'da kuralı yaz, güvenlik duvarını aç. Testi mutlaka ev ağının dışından yap. Bağlantı hâlâ kurulmuyorsa önce CGNAT ihtimalini kontrol et, sonra ağ tanılama ad