Türkiye'de CGNAT: paylaşılan IPv4 neyi bozar, nasıl doğrulanır

Modemde portu yönlendirirsiniz, dışarıdan kimse erişemez. DDNS kaydı bir adres gösterir ama o adres yalnızca size ait değildir. Güvenlik kamerası uygulaması yalnızca ev ağındayken çalışır, bazı sitelerde arka arkaya CAPTCHA çıkar, konsoldaki NAT uyarısı bir türlü düzelmez. Bu belirtilerin ortak sebebi çoğu zaman modem ayarı değil, operatörün adres planıdır.

Adı CGNAT (Carrier-Grade NAT), yani operatör seviyesinde adres çevirisi. Türkiye'de sabit hatlarda uygulanışı sağlayıcıya ve tarifeye göre değişir: Türk Telekom, Turkcell Superonline, Vodafone Net ve TurkNet gibi sağlayıcılarda genel ya da statik IPv4 genellikle ayrıca satın alınan bir seçenektir. Mobil hatlarda ve Superbox gibi mobil şebeke üzerinden çalışan ev interneti ürünlerinde ise operatör NAT'ını baştan varsaymak en doğrusudur. Aşağıda CGNAT'ın ne yaptığını, kendi hattınızda olup olmadığını üç dakikada nasıl doğrulayacağınızı, hangi senaryoları gerçekten bozduğunu, IPv6'nın bu tabloda nerede durduğunu ve bir tünel kullandığınızda neyin değişip neyin değişmediğini bulacaksınız.

CGNAT tam olarak ne yapıyor

Ev ağınızda zaten bir NAT var: modem, 192.168.x.x adreslerini tek bir dış adrese çevirir. CGNAT bunun üstüne ikinci bir katman koyar. Modeminizin WAN tarafında gördüğü adres de gerçek bir internet adresi değildir; operatörün merkezindeki büyük bir NAT cihazı çok sayıda aboneyi tek bir genel IPv4 adresi altında, port aralıklarını bölüştürerek dışarı çıkarır. Yani dış IP sandığınız adres başka abonelerle ortaktır.

• Abone tarafına genellikle RFC 6598 ile ayrılmış 100.64.0.0/10 bloğundan, yani 100.64.0.0 ile 100.127.255.255 arasından adres verilir; bazı kurulumlarda 10.0.0.0/8 gibi klasik özel bloklar da kullanılır.
• Tek bir genel adresin 65.536 TCP ve 65.536 UDP portu aboneler arasında bölüşülür; bir aboneye genellikle birkaç binlik bir aralık ayrılır.
• Eşleme yalnızca içeriden dışarı açılan oturumlar için oluşur. Dışarıdan gelen ilk paketin hangi aboneye ait olduğu bilinmediği için düşürülür.
• Sebep basit: kullanılabilir IPv4 adresleri tükendi. RIPE NCC 2019'dan beri havuzdan yeni büyük IPv4 bloğu dağıtmıyor, abone ve cihaz sayısı ise artmaya devam ediyor.

Üç dakikada teşhis

1. 1Modem arayüzüne girin (sağlayıcı modemlerinde adres çoğunlukla 192.168.1.1) ve WAN/İnternet durum sayfasındaki IPv4 adresine bakın. Adres 100.64.x.x – 100.127.x.x aralığındaysa ya da 10.x.x.x, 172.16.x.x – 172.31.x.x, 192.168.x.x ise arada operatör NAT'ı vardır.
2. 2Aynı anda tarayıcıdan dışarıya görünen adresinizi öğrenin. Modemin WAN adresi ile bu adres farklıysa teşhis kesindir.
3. 3İz sürün: Windows'ta tracert 8.8.8.8, macOS ve Linux'ta traceroute 8.8.8.8. Modemden sonraki ilk bir iki atlamada 100.64+ aralığında adres görüyorsanız operatör NAT'ının içindesiniz.
4. 4Kanıt testi: modemde bir port yönlendirin, arkasında dinleyen bir servis bırakın ve başka bir ağdan, örneğin mobil veriden, nc -vz ADRES PORT ile bağlanmayı deneyin. Aynı LAN içinden yapılan test hiçbir şey kanıtlamaz.
5. 5Mobil hatta modem arayüzü yoktur. Kurumsal APN veya operatörün ayrı statik IP hizmetini almadıysanız mobil bağlantıyı baştan CGNAT arkasında kabul edin.

Neyi bozar, neyi bozmaz

CGNAT bir arıza değil, bir yön kısıtıdır: giden her şey çalışır, gelen bağlantı çalışmaz. Ayrım bu kadar nettir ve sorun listesini ikiye böler.

• Bozulanlar: port yönlendirme ve DDNS; kamera, NAS, Home Assistant gibi cihazlara dışarıdan doğrudan erişim; kendi makinenizde sunucu barındırma; evde kurulu bir VPN sunucusuna dışarıdan bağlanma; eşler arası aktarımda gelen bağlantı kabul etme; NAT delme (hole punching) tekniğine dayanan uygulamalar, çünkü operatör NAT'ı çoğu zaman simetrik davranır; konsollarda görülen Katı NAT (NAT Türü 3) uyarısı; UPnP ve NAT-PMP, modemde açık olsalar bile operatör katmanına ulaşmaz.
• Bozulmayanlar: sayfa açma, video, bankacılık, çevrimiçi oyun (sunucuyu siz barındırmadığınız sürece), giden tünel oturumları ve hat hızı. CGNAT tek başına bant genişliğini düşürmez.

İkinci bir yan etki daha var: aynı genel adresi çok sayıda abone paylaştığı için adresin itibarı da ortaktır. Sizinle aynı havuzdaki bir aboneden çıkan otomatik trafik yüzünden size CAPTCHA çıkabilir, coğrafi konum veritabanları sizi başka bir ilde gösterebilir, bazı servisler adresi paylaşımlı olarak işaretleyebilir.

IPv6 bu sorunu çözer mi

Teoride evet: IPv6'da adres kıtlığı yoktur, her cihaz genel bir adres alabilir ve NAT'a gerek kalmaz. Pratikte Türkiye, IPv6 yaygınlığında Avrupa ortalamasının belirgin biçimde gerisindedir; bazı abonelerde etkindir, çoğunda değildir, mobil tarafta durum operatöre ve APN'e göre değişir. Genelleme yerine kendi hattınızda ölçün.

• Cihazınızda ipconfig (Windows), ip -6 addr (Linux) veya ifconfig (macOS) çıktısında 2 ya da 3 ile başlayan, yani 2000::/3 aralığındaki genel bir IPv6 adresi arayın. fe80:: yalnızca yerel bağlantı adresidir, saymaz.
• Genel IPv6 adresiniz olsa bile modem güvenlik duvarı gelen bağlantıları varsayılan olarak kapatır; kural açmadan erişim yine olmaz.
• Karşı tarafın da IPv6 kullanması gerekir. Ulaşmak istediğiniz ağ yalnızca IPv4 ise IPv6 tek başına yetmez.
• IPv6 etkinken bir tünel kurarsanız IPv6 trafiğinin tünelin dışından akma ihtimalini ayrıca kontrol edin; sızıntı kontrolü sayfamız hangi adresin göründüğünü gösterir.

Tünel kullanınca ne değişir

Bir VPN veya proxy tüneli CGNAT'ı ortadan kaldırmaz, üstüne bir katman daha ekler. Trafik yine sizden dışarı doğru açılır; fark, dışarıya çıkış noktasının operatörün havuzu yerine sunucunun adresi olmasıdır.

• Değişen: çıkış adresi ve o adresin itibarı, DNS sorgularının izlediği yol, ağ ile hedef arasındaki güzergâh.
• Değişmeyen: dışarıdan evinizdeki cihaza doğrudan gelen bağlantı. Çıkış adresi de paylaşımlıdır; size ayrılmış bir port aralığı verilmediği sürece gelen yön kapalı kalır.
• Eklenen: ikinci bir NAT ve tünel başlığı, paket boyutu bütçesini daraltır. Mobil veride bağlantının kurulup sayfaların açılmaması çoğunlukla buradan gelir; ayrıntısı mobil veri ile Wi-Fi farkını teşhis eden yazıda.
• Doğru mimari: evdeki cihazın kendisi dışarıdaki bir sunucuya giden bir oturum açar ve iki taraf orada buluşur. Gelen bağlantı beklemek yerine giden bağlantı kurmak, CGNAT'ın tek yön kuralına uyar.

Evinizin dışındayken aynı hesaplara ortak bir ağdan bağlanıyorsanız o ağın kendi kuralları da işin içine girer; kafe ve AVM ağlarının nasıl çalıştığını halka açık Wi-Fi yazısında ayrıca anlattık.

Sıkça sorulan sorular