CGNAT (Carrier-Grade NAT), internet servis sağlayıcısının sınırlı sayıdaki genel IPv4 adresini birden fazla abone arasında paylaşmasını sağlayan büyük ölçekli bir NAT uygulamasıdır. Ev yönlendiricisi de NAT yapıyorsa CGNAT, internet servis sağlayıcısının ağında ikinci bir çeviri katmanı oluşturur; ancak CGNAT kullanılan her bağlantıda iki NAT katmanı bulunması gerekmez.

Bu yapıda bilgisayar, telefon veya yönlendirici internete doğrudan kendine ayrılmış genel IPv4 adresiyle çıkmaz. CGNAT, adres ve port eşlemeleriyle abonelerin bağlantılarını birbirinden ayırır ve trafiği ortak genel IPv4 adreslerinden biri üzerinden internete gönderir. Buradaki port, kablonun takıldığı fiziksel giriş değil, ağ üzerinden iletişim kuran uygulamaları ayıran sayısal bir değerdir.

CGNAT'ta kullanıcının başlattığı bağlantıların çoğu çalışırken internetten ev ağına doğru başlatılan bağlantılar sınırlanır. Ev yönlendiricisinde oluşturulan bir port yönlendirme kuralı, internet servis sağlayıcısının CGNAT katmanında ilgili adresi ve portu aboneye bağlayan bir eşleme yoksa tek başına yeterli olmaz.

CGNAT'ta İnternete Çıkış Nasıl Gerçekleşir?

Ev yönlendiricisinin de NAT yaptığı yaygın kurulumda, kaynak IPv4 adresi önce ev yönlendiricisinde, ardından internet servis sağlayıcısının CGNAT sisteminde çevrilir. Kaynak portu ise her çeviride mutlaka değişmez; sistem mevcut port numarasını koruyabilir veya farklı bir numara atayabilir. Bu kurulumda bir web sitesine ya da uzak hizmete bağlantı şu şekilde gerçekleşir:

  1. Cihaz, ev ağındaki yerel IP adresi ve geçici kaynak portuyla bir bağlantı başlatır.
  2. Ev yönlendiricisi bu trafiği kendi dış ağ adresine çevirir ve hangi iç cihazın hangi bağlantıyı açtığını kaydeder.
  3. İnternet servis sağlayıcısının CGNAT sistemi, abonenin dış ağ adresini ortak genel IPv4 adreslerinden birine ve uygun bir kaynak portuna yeniden eşler.
  4. Hedef sunucu, bağlantının paylaşılan genel IPv4 adresinden ve CGNAT'ın ayırdığı kaynak portundan geldiğini görür.
  5. Yanıt paketleri önce internet servis sağlayıcısının CGNAT sistemine ulaşır. CGNAT sistemi ve ev yönlendiricisi kendi eşleme kayıtlarını ters yönde uygulayarak paketleri bağlantıyı başlatan cihaza teslim eder.

Bağlantı için otomatik oluşturulan eşlemeler genellikle sürelidir. Veriyi sıralı ve güvenilir biçimde ileten TCP ile bağlantı kurmadan veri paketleri gönderen UDP için eşlemelerin tutulma süreleri farklı olabilir. Gelen paketlerin hangi koşullarda kabul edileceği de internet servis sağlayıcısının uygulamasına ve kullanılan protokole bağlıdır. Eşleme sona erdiğinde CGNAT sistemi aynı portu daha sonra başka bir aboneye veya bağlantıya ayırabilir.

Ev Yönlendiricisindeki NAT ile CGNAT Arasındaki Farklar

Ev yönlendiricisindeki NAT, yerel ağdaki cihazların özel IP adreslerini yönlendiricinin dış ağ adresine çevirir. Kullanıcı aynı yönlendiricide cihazlara otomatik IP adresi dağıtan DHCP hizmetini, güvenlik duvarını ve destekleniyorsa port yönlendirmeyi yönetebilir. Bunlar aynı cihazda sunulsa da DHCP ve güvenlik duvarı, NAT'tan ayrı işlevlerdir.

CGNAT ise internet servis sağlayıcısının kendi ağında bulunur ve abonenin yönlendiricisinden sonra devreye girer. Kullanıcının modem veya yönlendirici arayüzünde yaptığı değişiklikler, servis sağlayıcı tarafındaki eşleme ve filtreleme kurallarını doğrudan değiştirmez.

Paylaşımlı Genel IPv4 Adresi Kullanımının Sonuçları

Ortak genel IPv4 adresi kullanıldığında bir internet hizmeti aynı adresin arkasında birden fazla bağımsız abone görebilir. CGNAT bağlantıları genel IPv4 adresi ve port eşlemeleriyle ayırır; internet servis sağlayıcısı genel IPv4 adresi, kaynak portu, protokol ve zaman bilgisini bağlantıyı doğru aboneyle eşleştirmek için kullanır.

Bu nedenle genel IPv4 adresi tek başına belirli bir kullanıcıyı veya cihazı kesin olarak tanımlamaz. İnternet servis sağlayıcılarının teknik kayıtlarında zaman ve port bilgisinin önemli olmasının nedeni de budur. Aynı şekilde paylaşımlı adres, kullanıcıların trafiğinin birbirine karıştığı anlamına gelmez; CGNAT, abonelerin bağlantılarını eşleme kayıtlarıyla birbirinden ayırır.

Ortak adres kullanımı bazı hizmetlerde dolaylı sorunlar oluşturabilir. Bir site IP tabanlı istek sınırı uyguluyorsa aynı genel adresi kullanan farklı aboneler ortak sınıra takılabilir. IP adresinin itibarı nedeniyle uygulanan bir engelleme de ilgisiz kullanıcıları etkileyebilir. Bunun gerçekleşip gerçekleşmemesi internet hizmetinin politikalarına ve internet servis sağlayıcısının adres dağıtımına bağlıdır.

CGNAT'ta Gelen Bağlantılar ve Port Yönlendirme

CGNAT, internetten gelen TCP veya UDP paketini hedef genel IPv4 adresi, hedef portu ve protokolle eşleşen kayda göre aboneye iletir. Uygun eşleme yoksa sistem, paketin hangi aboneye gönderileceğini belirleyemez; eşleme bulunsa da filtreleme kuralları paketi engelleyebilir.

Bu nedenle ev yönlendiricisindeki port yönlendirme doğru yapılandırılmış olsa bile dışarıdan erişim çalışmayabilir. Bu sınırlama özellikle evde hizmet barındırma, bazı kamera veya depolama sistemlerine doğrudan erişme, cihazların birbirine doğrudan bağlandığı eşler arası uygulamaları kullanma ve bir cihazın bağlantı kabul etmesini gerektiren senaryolarda belirginleşir.

Bazı uygulamalar dışarıya doğru bağlantı başlatarak mevcut eşlemeyi kullanır, NAT geçiş teknikleri dener veya trafiği bir aracı sunucu üzerinden taşır. Bu yöntemlerin başarısı uygulamanın tasarımına, CGNAT'ın eşleme davranışına ve internet servis sağlayıcısının politikasına bağlıdır; sonuç her uygulamada aynı olmaz.

CGNAT'ın Bağlantı Performansına Etkisi

CGNAT kullanılması tek başına internet hızının düşeceği veya gecikmenin artacağı anlamına gelmez. Web gezintisi, video izleme ve mesajlaşma gibi kullanıcının başlattığı bağlantılar çoğu durumda normal çalışır; CGNAT bu bağlantılar için gerekli eşlemeyi otomatik olarak oluşturur.

Bununla birlikte CGNAT, bağlantı kayıtlarını izleyen ve adreslerle portları çeviren ek bir katmandır. Yoğunluk, yetersiz port kapasitesi, kısa zaman aşımı süreleri veya CGNAT sistemindeki hatalı yapılandırma bağlantı kurulmasını zorlaştırabilir. Bu sorunlar bazı bağlantıları beklenmedik biçimde kesebilir veya yeniden kurmaya zorlayabilir. Etki, altyapı kapasitesi ve uygulamanın bağlantı modeline göre değişir. Bu nedenle yalnız CGNAT varlığına bakarak performans sonucu çıkarılamaz.

CGNAT Güvenlik Duvarının Yerini Tutar mı?

CGNAT, kendiliğinden bir güvenlik duvarı veya kapsamlı güvenlik önlemi değildir. Önceden oluşturulmuş eşlemesi bulunmayan bağlantılar internetten ev yönlendiricisine genellikle ulaşamaz; ancak CGNAT zararlı yazılımları, kullanıcının başlattığı riskli bağlantıları veya yanlış yapılandırılmış yerel hizmetleri tek başına engellemez.

Paylaşılan Genel IP Adresi Anonimlik Sağlar mı?

Paylaşılan genel IP adresi anonimlik garantisi vermez. İnternet hizmetleri hesap, çerez, cihaz bilgisi ve oturum verileri gibi başka sinyaller kullanabilir; internet servis sağlayıcısı ise bağlantıları kendi kayıtlarıyla ayırabilir. Bununla birlikte yalnız genel IP adresine bakarak belirli bir kullanıcıyı, cihazı veya ağ yapısını güvenilir biçimde belirleyemezsiniz.

Bağlantınızda CGNAT Olup Olmadığını Nasıl Anlarsınız?

Yönlendiricinin WAN arayüzündeki IPv4 adresi ile internette görünen genel IPv4 adresinin farklı olması, yönlendiricinin dışında başka bir NAT katmanı bulunduğunu gösterebilir. Karşılaştırma aynı internet bağlantısında ve birbirine yakın zamanda yapılmalıdır. VPN veya proxy üzerinden yapılan sorgu başka bir çıkış adresi gösterebileceğinden, böyle bir sorgunun sonucu CGNAT kontrolü için kullanılamaz.

WAN arayüzünde 100.64.0.0–100.127.255.255 arasındaki paylaşımlı adres alanından (100.64.0.0/10) veya özel IPv4 adres aralıklarından bir adres görmeniz CGNAT olasılığını artırır. Evde iki yönlendiricinin art arda kullanılması da adreslerin farklı görünmesine neden olabilir; bu yüzden adres farkı tek başına CGNAT kanıtı değildir.

  • İnternette görünen adresi gösteren bir hizmetteki IPv4 adresini, yönlendiricinin WAN IPv4 adresiyle karşılaştırın. IPv4 adresi ile IPv6 adresini birbiriyle karşılaştırmayın.
  • Adresler farklıysa arada başka bir ev yönlendiricisi bulunup bulunmadığını kontrol edin. Bağlantının CGNAT kullanıp kullanmadığını internet servis sağlayıcısından doğrulayın.
  • Port yönlendirmenin dış ağdan çalışmaması tek başına kanıt değildir; yerel güvenlik duvarı ve hizmet yapılandırması da aynı belirtiyi oluşturabilir.

IPv4 ve IPv6'nın birlikte sunulduğu bağlantılarda iki protokol farklı yollar izleyebilir. İnternet servis sağlayıcısı internetten yönlendirilebilen IPv6 adresleri veriyorsa IPv4 trafiği CGNAT üzerinden geçerken IPv6 trafiği bu katmana uğramayabilir. Bu nedenle yalnız IPv4 tarafındaki test sonucu bağlantının tamamını açıklamaz.