Port Yönlendirme Yapıldığı Halde Port Neden Kapalı Görünür?

Sesli Dinle — Makale

Modemde port yönlendirme kaydının doğru görünmesi, dışarıdan bağlantının mutlaka kurulacağı anlamına gelmez. Kural yalnızca gelen trafiğin hangi yerel cihaza gönderileceğini belirleyen bir aşamadır; isteğin önce doğru genel IPv4 adresine ulaşması, port yönlendirme kuralındaki protokol ve portla eşleşmesi, hedef cihazdaki güvenlik duvarından geçmesi ve çalışan hizmet tarafından kabul edilmesi gerekir.

TCP, bağlantı kurarak veriyi sıralı ve güvenilir biçimde ileten; UDP ise aynı bağlantı kurulumunu yapmadan bağımsız paketler gönderen taşıma protokolüdür. NAT, paketlerin IP adreslerini ve gerektiğinde portlarını çevirir; ev yönlendiricisindeki port yönlendirme, bu çeviriyi dışarıdan başlatılan bağlantılar için tanımlar. Yanlış protokol seçimi, çalışmayan hizmet, hatalı hedef adresi veya arada başka bir NAT cihazı bulunması erişimi engelleyebilir.

Bir test aracının “kapalı” etiketi, sorunun nedenini tek başına açıklamaz. TCP bağlantısının reddedilmesiyle hiç yanıt alınamaması farklı sonuçlardır; bazı araçlar bunları aynı etiket altında gösterebilir. Özellikle UDP’de sessizlik, açık fakat yanıt vermeyen bir hizmet ile filtrelenen trafiği ayırmaya yetmez. Kullanılan test, hizmetin protokolüne uygun olmalıdır.

Hizmetin Yerel Ağda Çalıştığını Doğrulama

Port yönlendirmeyi incelemeden önce hedef uygulamanın beklenen portta bağlantı veya paket kabul etmek üzere beklediğini, yani portu dinlediğini doğrulayın. Bir oyun sunucusu, web hizmeti, kamera arayüzü veya başka bir hizmet kapalıysa modem doğru paketi doğru cihaza iletse bile bağlantı kurulamaz.

Hizmetin yalnızca aynı cihaz içindeki iletişimde kullanılan geri döngü adresinde dinlemesi de benzer bir belirti üretir. Bu durumda uygulama aynı bilgisayardan çalışabilir, ancak yerel ağdaki başka bir cihazdan erişilemez. Uygulamanın hangi ağ arayüzünde ve portta dinlediğini, uygulama yapılandırmasını ve işletim sistemindeki dinleyen bağlantılar listesini inceleyerek doğrulayın.

Aynı yerel ağdaki ikinci bir cihazdan hedef cihazın yerel IP adresine ve hizmetin gerçek portuna bağlanın. Bu test başarısızsa uygulamanın çalışmasını, dinleme adresini ve cihaz güvenlik duvarını inceleyin. Misafir ağı veya kablosuz istemcilerin birbirine erişmesini engelleyen bir yalıtım ayarı da yerel testi durdurabilir. Yerel erişim başarısızlığı, tek başına hedef uygulamanın bozuk olduğunu veya dış port yönlendirmesinin çalışmadığını kanıtlamaz.

Yerel IP Adresi, Port ve Protokolün Hizmetle Eşleşmesi

Modemdeki bir kuralın “etkin” görünmesi, alanlarının doğru olduğu anlamına gelmez. En sık gözden kaçan hata, hedef cihazın yerel IP adresinin değişmesi veya yönlendirilen protokolün uygulamanın kullandığı protokolle uyuşmamasıdır.

• Hedef yerel IP adresi: Kuralın gösterdiği adres, hizmetin şu anda çalıştığı cihazın adresi olmalıdır.
• Dış port: İnternetten bağlantı kurulurken kullanılan porttur.
• İç port: Hedef cihazdaki hizmetin gerçekten dinlediği porttur; dış portla aynı olmak zorunda değildir.
• Protokol: Hizmet TCP kullanıyorsa TCP, UDP kullanıyorsa UDP eşlemesi gerekir. Bazı uygulamalar her ikisini birden kullanabilir.

DHCP sunucusu, yerel IP adresini cihaz için belirli bir süre ayırır. Cihaz bu süre dolmadan yenileme ister; sunucu onayladığında mevcut adresin kullanım süresi uzar, sırf yenileme yapıldı diye adres değişmez. Süre dolana kadar onay gelmezse cihaz eski adresi kullanmayı bırakıp yeniden adres ister. Yeniden adres alırken aynı veya farklı adres verilebilir.

Hedef cihazın yerel IP adresi gerçekten değişirse port yönlendirme kuralı eski adrese paket göndermeyi sürdürebilir. DHCP adres rezervasyonu, yönlendiricinin belirli cihaz için aynı yerel IP adresini ayırmasını sağlar. Rezervasyonun ardından cihazın gerçekten bu adresi kullandığını ve port yönlendirme kuralının da bu adrese bağlı olduğunu doğrulayın.

Aynı genel IPv4 adresi, dış port ve protokol için birden fazla kural varsa hangi kuralın öncelikli olduğunu kontrol edin. Bazı yönlendiriciler çakışan kuralı reddeder, bazıları sırasına göre birini uygular. İncelenen hizmetin manuel ve otomatik eşlemelerini karşılaştırın; çalışan başka hizmetlerin kurallarını topluca kaldırmayın.

Güvenlik Duvarı NAT Kuralından Sonra da Trafiği Engelleyebilir

NAT ile port yönlendirme, hedef cihazın güvenlik duvarını devre dışı bırakmaz. Paket doğru bilgisayara ulaştıktan sonra işletim sistemi, güvenlik yazılımı veya uygulamanın kendi erişim kuralı bağlantıyı reddedebilir ya da sessizce düşürebilir.

Bu yüzden yalnızca “uygulamaya izin verildi” bilgisini değil, kuralın doğru protokolü, doğru portu ve doğru ağ profilini kapsayıp kapsamadığını kontrol edin. Kaynak IP adresi kısıtlaması, yalnız izin verilen adreslerden gelen bağlantıları kabul eder; dış test izin listesinde olmayan bir adresten yapılıyorsa güvenlik duvarı trafiği engelleyebilir.

Tanılama amacıyla tüm güvenlik duvarını kapatmak yerine ilgili gelen trafik kuralını ve günlükleri incelemek daha güvenlidir. Güvenlik duvarı politikalarında genel yaklaşım, yalnız gereken trafiğe izin vermek ve gereksiz portları kapalı tutmaktır.

WAN IPv4 Adresi ile Genel IPv4 Adresini Karşılaştırma

Yerel test başarılıysa dışarıdan gelen paketin port yönlendirme yaptığınız modeme ulaşıp ulaşmadığını kontrol edin. Modem veya yönlendirici arayüzündeki internet bağlantısını gösteren WAN bölümünün IPv4 adresini, aynı bağlantının internetten görülen genel IPv4 adresiyle karşılaştırın.

Karşılaştırmada iki ölçüm aynı internet çıkışına ait olmalıdır. Trafiği başka bir sunucu üzerinden taşıyan VPN veya aracı sunucu üzerinden görülen adres, ev modeminin adresi olmayabilir. Birden fazla internet hattı kullanılıyorsa da yanlış hattın adresini karşılaştırmak NAT varmış gibi yanlış bir sonuca götürebilir.

Bu iki adres farklıysa bağlantının önünde başka bir NAT katmanı bulunabilir. Bu katman evdeki ikinci bir yönlendirici olabileceği gibi internet servis sağlayıcısının ağı da olabilir. Böyle bir durumda yalnız içteki modemde yapılan port yönlendirme, dışarıdan başlatılan bağlantıyı tek başına iç cihaza ulaştıramaz.

Üstteki cihaz sizin kontrolünüzdeyse aynı trafiği o cihazdan da doğru alt yönlendiriciye iletin. İnternet servis sağlayıcısının CGNAT sistemi genel IPv4 adresini aboneler arasında paylaştırıyorsa evdeki kural tek başına yeterli değildir. Doğrudan genel IPv4 adresi, internet servis sağlayıcısının desteklediği özel port eşleme seçeneği veya başka bir uzaktan erişim yöntemi gerekebilir.

Dış Ağ ve Protokol Seçiminin Port Testine Etkisi

Port yönlendirme testinde bağlantı gerçekten yerel ağın dışından başlatılmalıdır. Aynı ev ağındaki cihazdan modemin genel IPv4 adresine bağlanmak, trafiği tekrar içerideki hedefe döndüren NAT loopback (hairpin) özelliğine bağlıdır. Bu özellik desteklenmiyorsa dışarıdan çalışacak bir port, içeriden genel IPv4 adresiyle test edildiğinde başarısız görünebilir.

Bu nedenle mobil veri bağlantısı, başka bir internet hattı veya kontrolünüzdeki uzak bir sistem gibi yerel ağın dışındaki bir kaynak kullanın. Test sırasında hedef hizmet açık olmalı, güncel genel IPv4 adresi kullanılmalı ve kontrol edilen protokol uygulamanın kullandığı protokolle aynı olmalıdır.

Genel amaçlı port kontrol siteleri çoğunlukla TCP bağlantısını sınar. UDP hizmetleri için yalnız “yanıt yok” sonucuna bakmak yeterli değildir; uygulamanın beklenen UDP isteğine verdiği gerçek yanıt veya protokole özgü bir test daha anlamlıdır. Alan adı kullanılıyorsa DNS kayıtlarının hangi IP adresini gösterdiğini de doğrulayın; DNS, alan adlarını IP adresleri gibi kayıtlarla eşleştiren sistemdir.

IPv4 Kuralı ile IPv6 Bağlantısı Neden Ayrı Test Edilir?

DNS içindeki A kaydı IPv4, AAAA kaydı IPv6 adresini bildirir. İstemci AAAA kaydındaki IPv6 adresine bağlanıyorsa ev modemindeki IPv4 port yönlendirme kuralını sınamış olmaz. IPv4 kuralını kontrol ederken kullanılan hedef adresi ve IP sürümünü açıkça belirleyin.

Cihaza internetten yönlendirilebilen bir IPv6 adresi atanmışsa tipik yapılandırmada IPv4'teki adres çevirisine gerek yoktur. Buna rağmen yönlendiricinin ve hedef cihazın IPv6 güvenlik duvarı kuralları gelen bağlantıyı engelleyebilir. IPv6 testinde hedef cihazın güncel IPv6 adresi, hizmetin IPv6 üzerinde dinlemesi ve ilgili izinler ayrıca kontrol edilir.

İnternet Servis Sağlayıcısının Filtrelemesi Ne Zaman Araştırılır?

Hizmet yerel ağdan erişilebiliyor, port yönlendirme kuralı doğru, cihaz güvenlik duvarı izin veriyor ve modem doğrudan genel IPv4 adresi kullanıyor; buna karşın dışarıdan başlatılan bağlantı hedefe ulaşmıyorsa internet servis sağlayıcısının trafiği filtrelemesi olası nedenlerden biri olur. Bazı internet servis sağlayıcıları belirli gelen bağlantıları veya bağlantı türlerini kendi politikaları gereği sınırlandırabilir.

Burada port numarasına bakarak varsayım yapmak yerine sağlayıcının güncel destek belgelerini veya teknik desteğini kullanın. İnternet servis sağlayıcısının filtreleme olasılığı, önceki katmanlar testlerle elendikten sonra olası nedenler arasında öne çıkar; aksi halde yerel yapılandırma hatasını dış ağ sorunu sanmak kolaydır.

Paket Yakalama İşlemi Bağlantının Nerede Kesildiğini Nasıl Gösterir?

Ayarlar görünürde doğru olduğu halde sonuç değişmiyorsa en değerli bilgi, dış test sırasında paketin hangi noktaya kadar geldiğidir. Yönlendirici günlükleri, cihaz güvenlik duvarı kayıtları veya hedef bilgisayarda alınan paket kaydı, paketin hangi noktaya ulaştığını doğrudan gösterir.

TCP hizmetinde dışarıdan bağlantı denenirken hedef cihazda ilgili porta gelen başlangıç paketini görmek, yönlendirme zincirinin en azından o cihaza kadar çalıştığını güçlü biçimde gösterir. Paket hedefe geliyor fakat bağlantı kurulamıyorsa uygulamanın dinleme durumunu, cihaz güvenlik duvarını ve yanıtın doğru ağ arayüzünden çıkıp çıkmadığını inceleyin. Hedef cihazda hiç paket görülmüyorsa önce doğru ağ arayüzünde, doğru IP sürümü ve portla paket yakalandığını doğrulayın. Dış ve iç port farklıysa hedef cihazda iç portu arayın. Yakalama ayarları doğru olduğu halde paket gelmiyorsa port yönlendirme kuralını, yönlendirici filtresini, aradaki NAT cihazlarını, hedef genel IPv4 adresini ve internet servis sağlayıcısı üzerinden geçen bağlantıyı inceleyin.

TCP testinde “bağlantı reddedildi” yanıtı, hedef cihazın veya aradaki bir güvenlik cihazının bağlantıyı açıkça reddetmesiyle oluşabilir. Bu yanıt, paketin mutlaka amaçlanan uygulamaya ulaştığını kanıtlamaz. Zaman aşımı ise sessiz filtreleme, yanlış hedef, paket kaybı veya dönüş trafiğinin ulaşmaması gibi nedenlerden kaynaklanabilir; tek başına hangi cihazın engellediğini göstermez.

Hedef cihazın yanıtı, gelen bağlantıyı yönlendiren NAT cihazına geri dönmelidir. Yanlış ağ geçidi veya VPN nedeniyle yanıt başka bir yoldan çıkarsa yerel ağ testi çalışsa bile dış bağlantı tamamlanamayabilir.

Yerel Bağlantı ve Dış Port Testi Sonuçları Nasıl Karşılaştırılır?

Aynı “kapalı port” sonucu farklı nedenlerden çıkabildiği için her testin nerede başarısız olduğunu kaydetmek tanılamayı hızlandırır. Aşağıdaki tablo kesin hüküm vermez; bir sonraki kontrolü seçmeye yarayan pratik bir eşleştirme sunar.

En yararlı yöntem, her aşamada yalnız bir değişiklik yapmak ve aynı testi yeniden çalıştırmaktır. Böylece hangi değişikliğin sonucu etkilediğini görür, modem ayarlarıyla güvenlik duvarını ve uygulama yapılandırmasını aynı anda değiştirerek yeni hata üretmezsiniz.

Hizmet İnternete Açılmadan Önce Hangi Önlemler Alınmalı?

Hizmeti dışarıdan erişime açmadan önce yazılımını güncelleyin, güçlü kimlik doğrulama kullanın ve mümkünse bağlantı kurabilecek kaynak IP adreslerini sınırlayın. Yalnız gerekli port ve protokolü açın. Kamera veya cihaz yönetim arayüzlerini doğrudan internete sunmak yerine uygun bir VPN üzerinden erişim, bu arayüzlerin herkese açık olmasını önleyebilir.

Bir portun erişilebilir olması, o hizmetin güvenli olduğu anlamına gelmez. Sorun giderme sırasında eklenen geçici kuralları kaldırmak ve tüm cihazı internete açan geniş kapsamlı kurallardan kaçınmak, çalışır durumdaki yapılandırmanın gereksiz risk oluşturmasını önler.