Port Açmadan Uzaktan Erişim Yöntemleri
Ters tünel, mesh VPN ve bulut aracı servislerle güvenli erişim.
Evdeki bir cihaza dışarıdan ulaşmanın klasik yolu modemde port açmak. Ama port açmak o hizmeti internetteki herkese açmak demek ve CGNAT arkasındaysanız zaten çalışmıyor. Port açmadan uzak erişimin üç yaygın yolu var: ters tünel, mesh VPN ve bulut aracı servisleri.
Bu üçünün trafik türüne göre nasıl seçileceğini CGNAT ve port yönlendirme yazısında anlattık. Bu yazı aynı yöntemlere güvenlik açısından bakıyor: hizmeti kim görebiliyor, kimlik nerede doğrulanıyor, aracı neyi görüyor.
Ortak hile: bağlantıyı içeriden açmak
Port açmak gerekiyor, çünkü modem dışarıdan gelen bağlantının evde hangi cihaza gideceğini bilmiyor. Üç yöntem de bu soruyu ortadan kaldırıyor: evdeki cihaz dışarıya bir bağlantı açıyor ve açık tutuyor.
Giden bağlantıya her modem ve her operatör izin veriyor; web sayfası açmakla aynı şey. Siz dışarıdan bağlandığınızda trafiğiniz bu hazır bağlantının içinden eve iniyor. Modemde hiçbir kural yok, port kontrol aracı da evinizde açık port görmüyor.
Üç yöntem, üç farklı kapı
| Ters tünel | Mesh VPN | Bulut aracı servis | |
|---|---|---|---|
| Nasıl çalışır | Evdeki cihaz bir sunucuya tünel açar, sunucu bir adres yayımlar | Cihazlarınız birbirini görebildiği özel bir ağa katılır | Uygulama üreticinin sunucusuna bağlanır, siz de oraya |
| Hizmeti kim görür | Ayara göre internetteki herkes | Yalnızca ağa eklediğiniz cihazlar | Yalnızca hesabınızla giriş yapan |
| Kimlik doğrulama | Hizmetin kendisi ya da tünelin önüne konan giriş | Ağa katılırken, cihaz başına | Üreticinin hesabı |
| Uygun olduğu iş | Web sitesi, herkese açık hizmet | Kendi cihazlarınız arası her şey | Kamera, uzak masaüstü, NAS uygulaması |
Ters tünel: kapı hâlâ herkese açık olabilir
Ters tünelde dışarıya yayımlanan bir adres oluyor. Bu adres, port açmanın yaptığı şeyi başka bir yoldan yapıyor: hizmet yine internete açık, yalnızca kapı modeminizde değil tünel sunucusunda.
- Yayımladığınız şey bir web sitesiyse sorun yok, amaç zaten bu.
- Yayımladığınız şey bir yönetim paneli, kamera arayüzü ya da dosya paylaşımıysa, port açmanın riskini aynen taşıyorsunuz.
- Birçok tünel servisi önüne ayrı bir giriş ekranı koymayı sunuyor. Panel ya da kişisel hizmet yayımlıyorsanız bu katman açık olmalı.
Ters tünel her zaman bir sunucu gerektiriyor; kendi sunucunuzsa SSH tünelinin -R bayrağı bu işin en sade hâli.
Mesh VPN: kapı yalnızca üyelere açık
Mesh VPN'de hiçbir şey internete yayımlanmıyor. Her cihaz özel bir ağa katılıyor ve yalnızca aynı ağın üyeleri birbirini görüyor. Telefonunuz bu ağdayken evdeki NAS'a yerel ağdaymış gibi ulaşıyor.
Güvenlik açısından en güçlü seçenek bu, çünkü saldırganın önce ağa katılması gerekiyor. Zayıf nokta da tam orada:
- Ağın yönetim hesabı bütün cihazların anahtarı. İki adımlı doğrulama açık olmalı.
- Kaybolan telefon ağın üyesi olarak kalıyor. Cihazı yönetim ekranından çıkarmak gerekiyor.
- Erişim kuralları: varsayılan ayar çoğu üründe "her üye her şeyi görür". Misafire verdiğiniz cihaz da evdeki her şeyi görüyor olabilir.
Trafik genellikle cihazdan cihaza doğrudan ve şifreli gidiyor. İki taraf da doğrudan bağlantı kuramazsa üreticinin aktarma sunucusundan geçiyor; şifreleme uçtan uca olduğu için aktarma sunucusu içeriği okuyamıyor, ama gecikme artıyor.
Bulut aracı servis: kapının anahtarı başkasında
IP kameraların, uzak masaüstü uygulamalarının ve NAS üreticilerinin "her yerden eriş" özelliği bu modelde. Kurulum en kolayı: hesapla giriş yapıyorsunuz, cihaz listede çıkıyor.
Bedeli şu: güvenlik tamamen üreticinin hesabına bağlı. Hesap ele geçerse cihaz da geçmiş oluyor; üretici servisi kapatırsa erişim bitiyor. Ayrıca bazı ürünlerde trafik üreticinin sunucusunda çözülüyor — görüntü ya da ekran oradan geçiyor. Bunu ürünün belgelerinde "uçtan uca şifreleme" ifadesini arayarak öğrenebilirsiniz; yazmıyorsa varsaymayın. IP kamera ve akıllı cihaz yazılarında bu hesap tarafına ayrıca değindik.
Kalıcılık: tünel uyuyunca kapı kapanıyor
Üç yöntemin de ortak bir zayıflığı var: evdeki cihazın açık tuttuğu bağlantı düşerse erişim de düşüyor. Dışarıdayken bunu fark ettiğinizde yapacak bir şey kalmıyor. Kurarken şunlara bakın:
- Tünel istemcisi kullanıcı oturumuna değil sistem servisi olarak kurulsun; bilgisayar yeniden başlayınca kendiliğinden kalksın.
- Bilgisayarda uyku modu kapalı olsun ya da ağ etkinliğiyle uyansın.
- Elektrik kesintisinden sonra cihazın kendiliğinden açılması gerekiyorsa BIOS'taki güç ayarına bakın.
- Evden çıkmadan önce mobil veriden bir kez test edin.
Hangisini seçmeli?
- Erişen yalnızca sizseniz: mesh VPN. İnternete hiçbir şey açılmıyor.
- Herkesin ulaşması gereken bir web hizmetiyse: ters tünel.
- Teknik kurulum istemeyen bir aile üyesi için kamera: üreticinin bulut servisi, güçlü şifre ve iki adımlı doğrulamayla.
Port açmak hâlâ bir seçenek ve nasıl yapıldığını ayrıca anlattık. Ama erişen yalnızca sizseniz, hizmeti dünyaya açmanın bir gerekçesi kalmıyor.
Sıkça sorulan sorular
Port açmadan dışarıdan eve nasıl bağlanılır?
Evdeki cihazın dışarıya bir bağlantı açıp açık tutmasıyla. Ters tünel, mesh VPN ve bulut aracı servisler bu yolla çalışır; modemde kural gerekmez, CGNAT’ta da çalışır.
Ters tünel port açmaktan daha mı güvenli?
Kendi başına değil. Yayımlanan adres internete açıktır; kapı modem yerine tünel sunucusundadır. Kişisel bir hizmet yayımlıyorsanız önüne ayrı bir giriş katmanı koyun.
Mesh VPN’in zayıf noktası nedir?
Ağın yönetim hesabı. Bu hesap bütün cihazlara erişim verir; iki adımlı doğrulama açık olmalı, kaybolan cihaz ağdan çıkarılmalıdır.
Bulut servisi trafiğimi görebilir mi?
Ürüne göre değişir. Uçtan uca şifreleme yoksa görüntü ya da ekran üreticinin sunucusundan çözülerek geçebilir. Belgelerde yazmıyorsa varsaymayın.
Uzak bağlantı neden ara ara kopuyor?
Evdeki cihaz uykuya geçiyor, yeniden başladıktan sonra istemci açılmıyor ya da bağlantı düşüyor olabilir. İstemciyi sistem servisi olarak kurun ve uyku ayarlarını kapatın.