CGNAT Nedir, Nasıl Anlaşılır? CGNAT Havuzundan Çıkma

Modemin arayüzüne girip port açtınız, kuralı defalarca kontrol ettiniz, ama güvenlik kameranıza dışarıdan hâlâ ulaşamıyorsunuz. Ya da konsolunuz "NAT tipi katı" diyor, arkadaşınızın kurduğu oyuna bir türlü giremiyorsunuz. Forumlarda sorduğunuzda aldığınız cevap hep aynı: "CGNAT havuzundasın, operatörü arayıp çıkarttır." Bu cevap çoğu zaman doğrudur, ama CGNAT'ın ne olduğunu, sizin hattınızda olup olmadığını ve operatörden tam olarak ne isteyeceğinizi söylemez.

Bu yazıda CGNAT'ın ne olduğunu, operatörlerin neden kullandığını ve nasıl çalıştığını sade bir dille anlatıyoruz. Ardından CGNAT arkasında olup olmadığınızı hiçbir program kurmadan nasıl test edeceğinizi gösteriyoruz. Port açma, NAT tipi, uzaktan erişim ve paylaşılan IP yüzünden çıkan doğrulama ekranları gibi sonuçları ele alıyor, en sonda da CGNAT havuzundan çıkmanın yollarını sıralıyoruz.

CGNAT nedir?#

Önce iki terimi açalım. IP adresi, internete bağlanan bir cihazın adresidir; girdiğiniz siteler size bu adres üzerinden cevap gönderir. NAT (ağ adresi çevirisi) ise evinizdeki modemin yıllardır yaptığı iştir: telefonunuz, bilgisayarınız ve televizyonunuz evin içinde 192.168.1.x gibi özel adresler kullanır, modem hepsini internete tek bir genel adresle çıkarır. Bu düzende genel IP adresi evinize, yani modeminize aittir.

CGNAT aynı işin bir kat yukarıda, operatörün ağında bir kez daha yapılmasıdır. Operatör modeminize genel bir adres vermez; onun yerine yalnız kendi ağının içinde geçerli bir adres verir. Sizin ve sizinle aynı cihaza bağlı diğer abonelerin trafiği, operatörün merkezindeki büyük bir NAT cihazından geçer ve internete o cihazın genel adresiyle çıkar. İnternet standartlarını yazan kuruluşun RFC 6888 belgesi CGNAT'ı böyle tanımlar: aynı IPv4 adresini birden fazla abone arasında paylaştıran ve abonenin yönetmediği bir NAT işlevi.

CGN, CGNAT ve NAT444 aynı yöntemin adlarıdır. Forumlarda geçen "CGNAT havuzu" ya da "CGN havuzu", ortak adresle internete çıkarılan abone grubunu anlatır. "CGNAT IP" ise operatörün modeminize verdiği, internette tek başına geçerli olmayan adrestir.

Operatörler neden CGNAT kullanır?#

Sebep tek cümleyle şudur: IPv4 adresleri bitti. IPv4 düzeninde yaklaşık 4,3 milyar adres vardır ve bu sayı, her telefonun ve televizyonun internete bağlandığı bir dünyaya yetmez. Avrupa, Orta Doğu ve Türkiye'ye adres dağıtan kurum RIPE NCC, elindeki son IPv4 adreslerini Kasım 2019'da dağıttığını duyurdu. O tarihten sonra yeni adres isteyen operatörler bekleme listesine yazılıyor.

Abone sayısı artan ama adres stoku artmayan operatör, eldeki adresleri paylaştırmak zorunda kalır. CGNAT bu paylaştırmanın yöntemidir. Web'de gezinen, video izleyen bir abone bu paylaşımı fark etmez, çünkü bu işlerde bağlantıyı siz başlatırsınız. Sorun, bağlantının dışarıdan size doğru başlaması gereken işlerde ortaya çıkar. Kalıcı çözüm olan IPv6'da adres sıkıntısı yoktur; farkları IPv4 ve IPv6 Proxy Farkı yazımızda anlattık.

CGNAT nasıl çalışır?#

Bir siteyi açtığınızda isteğiniz iki ayrı çeviriden geçer:

1. Telefonunuz isteği evdeki özel adresiyle (örneğin 192.168.1.25) modeme gönderir.
2. Modem isteğin kaynak adresini kendi WAN adresiyle değiştirir. CGNAT'ta bu adres genel bir adres değil, operatörün verdiği 100.72.14.8 gibi bir iç adrestir.
3. İstek operatörün ağındaki CGNAT cihazına ulaşır. Cihaz kaynak adresini bu kez gerçek bir genel IP adresiyle değiştirir ve isteğe o adres üzerinde boş bir port numarası ayırır.
4. Site isteği o genel adresten gelmiş görür ve cevabını oraya yollar.
5. CGNAT cihazı tuttuğu tabloya bakar, "bu adresin şu portu şu aboneye ayrılmıştı" der ve cevabı modeminize iletir. Modem de evin içindeki doğru cihaza teslim eder.

Buradaki port, aynı adresi paylaşan aboneleri birbirinden ayıran numaradır. Bir IP adresinde 65.535 port vardır; CGNAT cihazı bunları aboneler arasında bölüştürür. RFC 6888, operatörün abone başına ayrılan port sayısını sınırlayabilmesini şart koşar. Port kavramını TCP ve UDP Farkı yazımızın "port açmak ne demek" bölümünde anlattık.

Operatörün modeminize verdiği iç adres için ayrılmış özel bir blok bulunur: 100.64.0.0/10, yani 100.64.0.0 ile 100.127.255.255 arası. Bu blok 2012'de RFC 6598 ile yalnız bu iş için, CGNAT cihazı ile abone modemi arasındaki bağlantıları numaralandırmak üzere ayrıldı. IANA'nın özel amaçlı adres kayıtlarında adı "Shared Address Space" (paylaşılan adres alanı) olarak geçer ve internette yönlendirilmez. Bazı operatörler bu blok yerine 10.x.x.x gibi klasik özel adresleri kullanır; sonuç aynıdır.

Normal bağlantı ile CGNAT arasındaki fark nedir?#

CGNAT arkasında olduğunuzu nasıl anlarsınız?#

Test, iki adresi karşılaştırmaktan ibarettir.

1. Modem arayüzüne girin. Modeme kabloyla ya da Wi-Fi ile bağlı bir cihazın tarayıcısında adres çubuğuna 192.168.1.1 yazın (bazı modemlerde 192.168.0.1 ya da 192.168.2.1). Kullanıcı adı ve şifre çoğunlukla modemin altındaki etikette yazar.
2. WAN IP adresini bulun. Menü adları modelden modele değişir; Durum, Cihaz Bilgisi, İnternet ya da WAN başlıklı sayfaya bakın. Aradığınız satır "WAN IP adresi", "IP adresi" ya da "IPv4 adresi" diye geçer. Adresi not edin.
3. Dışarıdan görünen adresinize bakın. Aynı ağdaki bir cihazda arama motoruna "IP adresim" yazıp sonuçlardaki herhangi bir siteyi açın. Açıksa önce VPN'i ve proxy'yi kapatın, yoksa onların adresini görürsünüz.
4. İkisini karşılaştırın. Adresler aynıysa genel bir IP adresiniz vardır, CGNAT arkasında değilsiniz. Farklıysa arada adresinizi çeviren bir cihaz daha var demektir.

Modemdeki WAN adresinin hangi sayılarla başladığı da size fikir verir:

Telefonun mobil verisinde bu testi yapmaya gerek yoktur. Mobil şebekelerde abone sayısı adres sayısının çok üzerinde olduğu için mobil internet neredeyse her zaman CGNAT ile çalışır.

İleri seviye: komut satırından kontrol#

Modem arayüzüne giremiyorsanız Windows'ta Başlat menüsüne cmd yazıp Komut İstemi'ni açın ve şu komutu çalıştırın:

tracert -d -h 3 1.1.1.1

Komut, isteğinizin geçtiği ilk üç durağı listeler. Birinci satır modeminizdir (192.168.1.1 gibi). İkinci ya da üçüncü satırda 100.64 - 100.127 arasında ya da 10. ile başlayan bir adres görüyorsanız trafiğiniz operatörün iç ağından geçiyor demektir; bu da CGNAT'ın güçlü bir işaretidir.

CGNAT neleri etkiler?#

CGNAT'ın bütün etkileri tek bir kurala dayanır: sizin başlattığınız bağlantılar çalışır, dışarıdan size doğru başlayan bağlantılar çalışmaz. CGNAT cihazı, tablosunda karşılığı olmayan bir isteği kime teslim edeceğini bilemez ve atar.

Port açma (port yönlendirme) çalışmaz#

Modeminizde yazdığınız port yönlendirme kuralı yalnız modeminize kadar gelen trafiği ilgilendirir. CGNAT'ta dışarıdan gelen istek modeminize hiç ulaşmaz, çünkü genel adres sizin modeminizde değil operatörün cihazındadır ve o cihazda kural yazma yetkiniz yoktur. Portu açtığınız hâlde port kontrol sitesinin "kapalı" göstermesi bundandır; ayar aramadan önce WAN adresi testini yapın.

Oyunlarda NAT tipi katı çıkar#

Konsollar ve bazı bilgisayar oyunları, oyuncuları birbirine doğrudan bağlamaya çalışır. İki NAT katmanının arkasındaki bir konsola dışarıdan ulaşmak zorlaştığı için NAT tipi "katı" ya da "Tip 3" görünür; oyun kurmak, sesli sohbete girmek zorlaşır. Kablo operatörlerinin ortak laboratuvar testlerini özetleyen RFC 7021, aynı operatörde, tek genel adresle çalışan bir CGNAT cihazının arkasındaki iki konsolun birbirine bağlanamadığını, aracı sunucu kullanmayan internet telefonu aramalarının ve doğrudan torrent paylaşımının da çalışmadığını kaydeder. Konsol tarafındaki ayarları NAT Tipi Nedir? yazımızda, gecikme sorunlarını ise Oyunlarda Ping ve Paket Kaybı Çözümü yazımızda bulabilirsiniz.

Eve dışarıdan erişim kesilir#

Güvenlik kamerası kayıt cihazı, NAS, evdeki oyun sunucusu, uzak masaüstü ve kendi VPN sunucunuz dışarıdan gelen bağlantıyı bekler. CGNAT arkasında bunların hiçbirine doğrudan ulaşamazsınız. Kamera üreticisinin bulut uygulaması ise çalışmaya devam eder, çünkü orada bağlantıyı kamera başlatır.

IP'ye göre yetkilendirme güvenilmez olur#

Bazı hizmetler "yalnız şu IP adresinden gelen isteği kabul et" mantığıyla çalışır: pazaryeri API'leri, sunucu güvenlik duvarları, proxy panellerindeki IP whitelist (izinli IP listesi). CGNAT arkasında iki sorun çıkar. Adresiniz sık değişir ve liste boşa düşer. Daha önemlisi, listeye yazdığınız adres yalnız size ait değildir; aynı adresi paylaşan başka aboneler de o kapıdan geçebilir. Bu yüzden CGNAT arkasından proxy kullanırken IP whitelist yerine kullanıcı adı ve şifreyle bağlanın; iki yöntemin farkını Proxy Kimlik Doğrulama yazımızda anlattık. API tarafındaki çözüm için API için Statik IP yazımıza bakabilirsiniz.

Paylaşılan IP yüzünden neden engel ya da doğrulama ekranı görürsünüz?#

Siteler ziyaretçiyi ilk olarak IP adresiyle tanır. Bir adresten kısa sürede çok fazla istek gelirse, o adresten spam gönderilirse ya da art arda hatalı giriş denenirse site o adrese karşı temkinli davranmaya başlar: doğrulama ekranı gösterir, istekleri yavaşlatır ya da adresi geçici olarak kısıtlar. Site bunu yaparken adresin arkasında kaç kişi olduğunu bilemez.

Paylaşılan IP'de sorun tam burada başlar. Aynı genel adresi sizinle birlikte kullanan abonelerden biri bir siteye otomatik programla yükleniyorsa, site o adresi işaretler ve siz hiçbir şey yapmamışken aynı doğrulama ekranını görürsünüz. Kimse kötü bir şey yapmasa bile çok kişinin aynı adresten aynı siteye girmesi, toplam istek sayısını tek bir ev için fazla gösterebilir. Yurt, kafe, işyeri ağları ve paylaşımlı VPN'ler de aynı mekanizmayla çalışır.

Bu mekanizmanın karşınıza çıktığı yerleri ve her birinin kendine özgü çözümünü ayrı yazılarda anlattık:

• YouTube'da: Bot Olmadığınızı Doğrulayın Hatası
• Google aramada: Olağandışı Trafik Hatası
• Instagram'da: Instagram IP Banı ve Açık Proxy Hatası
• Cloudflare kullanan sitelerde: Error 1015
• E-posta ve güvenlik listelerinde: IP Kara Liste Nedir?

Çoğu kısıtlama geçicidir; beklemek ve sayfayı art arda yenilememek çoğu zaman yeter. Modemi kapatıp açtığınızda havuzdan başka bir genel adrese düşebilirsiniz; yöntemleri IP Adresi Nasıl Değiştirilir? yazımızda topladık. Hesabınız haksız yere kısıtlandıysa platformun itiraz formunu kullanın. Sorun sık tekrarlanıyorsa kalıcı çözüm, aşağıda anlattığımız gibi paylaşılmayan bir adrese geçmektir. Bir platformun verdiği yasağı dolanmaya çalışmak şartlara aykırıdır ve hesabınızı daha büyük riske sokar.

CGNAT kaydı nedir?#

Bir genel adresi aynı anda çok kişi kullandığında "şu saatte bu adresten kim bağlandı" sorusunun cevabı yalnız adresle verilemez. Bu yüzden operatörler CGNAT cihazının tablosunu kayıt altına alır: hangi aboneye, hangi anda, hangi genel adres ve hangi port ayrılmıştı. RFC 6888 bu kaydın içeriğini abone kimliği, genel adres, port, protokol ve zaman damgası olarak sayar. Sitelere yönelik RFC 6302 de aynı nedenle sunucuların ziyaretçinin yalnız IP adresini değil, kaynak portunu ve saniyesine kadar zamanı kaydetmesini önerir.

CGNAT havuzundan nasıl çıkılır?#

CGNAT operatörün ağında yapıldığı için modem ayarıyla, DNS değiştirerek ya da bir programla kapatılamaz. Çıkış yolları şunlardır:

1. Operatörden CGNAT dışına alınmayı isteyin. Müşteri hizmetlerini arayın ya da çevrim içi işlem merkezinden talep açın. Söyleyeceğiniz cümle şudur: "Hattım CGNAT havuzunda, port yönlendirme yapamıyorum; havuzdan çıkarılıp genel (gerçek) IP adresi almak istiyorum." Bazı sağlayıcılar bunu ücretsiz yapar, bazıları yalnız ücretli ek hizmet olarak sunar.
2. Statik IP hizmeti alın. Aylık ek ücretle verilen sabit adres her zaman genel bir adrestir, dolayısıyla CGNAT dışındadır. Kamera, sunucu ya da IP'ye göre yetkilendirme kullanıyorsanız en temiz çözüm budur. Dinamik genel IP ile farkını Statik IP ve Dinamik IP Farkı yazımızda anlattık.
3. IPv6 varsa kullanın. IPv6'da adres sıkıntısı olmadığı için her cihaz kendi genel adresini alır ve CGNAT devreye girmez. Operatörünüz IPv6 veriyorsa ve hem ulaşmak istediğiniz cihaz hem de bağlandığınız ağ IPv6 destekliyorsa dışarıdan erişim bu yoldan kurulabilir.
4. Doğrudan erişim şart değilse aracı bir hizmet kullanın. Kamera üreticisinin bulut uygulaması ya da bağlantıyı evden dışarı doğru başlatan tünel hizmetleri CGNAT'tan etkilenmez.

İşlem tamamlanınca modemi kapatıp açın ve testi tekrarlayın. İki adres aynıysa havuzdan çıkmışsınız demektir; port yönlendirme kurallarınız artık çalışır.

CGNAT ile proxy arasındaki bağ nedir?#

Proxy, internete sizin yerinize başka bir adresten çıkan aracı sunucudur ve yalnız sizden dışarı giden bağlantının adresini değiştirir. Evinize port açmaz, konsolunuzun NAT tipini değiştirmez, kameranıza dışarıdan erişim sağlamaz. Bunların çözümü operatördedir. Gaming Proxy gibi ürünler oyun sunucusuna giden rotayı ve görünen adresi değiştirir; NAT tipi sorununu çözmez.

CGNAT'ın proxy dünyasındaki asıl karşılığı mobil proxy'dir. Mobil şebekelerde bir genel adresin arkasında aynı anda çok sayıda gerçek abone bulunur. Bir site o adresi engellerse, o anda aynı adresi kullanan bütün gerçek müşterilerini de engellemiş olur. Siteler bu yüzden mobil operatör adreslerine genellikle daha hoşgörülü davranır. Mobil Proxy ürününün güven mekanizması tam olarak budur; ayrıntısını Mobil Proxy Nedir? ve Residential Proxy ve Mobil Proxy Farkı yazılarımızda bulabilirsiniz.

Tersi ihtiyaç da vardır: işiniz için dışarıya hep aynı, paylaşılmayan bir adresle çıkmanız gerekiyorsa (örneğin bir API'nin IP listesine yazdırmak için) ev hattınızın CGNAT arkasında olması engel değildir. ISP Proxy size ayrılmış ve değişmeyen bir adres verir; bağlantıyı siz başlattığınız için CGNAT bu trafiği etkilemez. Bu türün farkını ISP Proxy ve Residential Proxy Farkı yazımız açıklar.

Sık yapılan hatalar#

• Modemi sıfırlamak ya da değiştirmek. Sorun modemde değil operatörün ağındadır. Yeni modem de aynı iç adresi alır.
• DNS değiştirerek CGNAT'tan çıkmaya çalışmak. DNS yalnız site adlarını IP adresine çevirir, size verilen adresi değiştirmez.
• VPN açınca CGNAT'ın bittiğini sanmak. VPN çıkış adresinizi değiştirir ama o adres de paylaşılır ve çoğu VPN dışarıdan gelen bağlantıya port açmaz.
• Çift NAT'ı CGNAT sanmak. Modeminizin WAN adresi 192.168 ile başlıyorsa arkasında olduğunuz cihaz büyük ihtimalle binadaki ya da evdeki ikinci bir modemdir. Operatörü aramadan önce bunu kontrol edin.

Karar rehberi#

Sıkça sorulan sorular#

CGNAT internet hızını düşürür mü?#

Günlük kullanımda hayır. Trafiğiniz fazladan bir cihazdan geçer; o cihaz aşırı yüklüyse gecikme artabilir, ama bu operatörün kapasite sorunudur. Ping yüksekse nedenini önce Wi-Fi, hat kalitesi ve sunucu uzaklığında arayın.

CGNAT güvenli mi, güvenliği artırır mı?#

Dışarıdan size doğru bağlantı kurulamadığı için evdeki cihazlarınız internetten doğrudan taranamaz; bu küçük bir yan faydadır. Ancak CGNAT bir güvenlik ürünü değildir; zararlı bir siteye sizin başlattığınız bağlantıyı engellemez.

CGNAT'tan çıkmak ücretli mi?#

Sağlayıcıya ve pakete göre değişir. Kimi sağlayıcı talep üzerine ücretsiz olarak genel dinamik IP'ye geçirir, kimi yalnız aylık ücretli statik IP hizmetiyle çıkarır. Güncel koşulu kendi operatörünüze sorun; forumlardaki bilgiler eskimiş olabilir.

CGNAT'tan çıkınca IP adresim sabit mi olur?#

Hayır. Havuzdan çıkmak size genel bir adres verir, ama bu adres dinamik kalabilir ve modem yeniden bağlandığında değişebilir. Port yönlendirme ve NAT tipi için bu yeter. Adresin hiç değişmemesi gerekiyorsa ayrıca statik IP hizmeti almanız gerekir.

Mobil internette CGNAT'tan çıkılabilir mi?#

Bireysel mobil hatlarda pratikte hayır; mobil şebekeler CGNAT üzerine kuruludur. Telefondan internet paylaşımıyla oyun oynarken NAT tipinin katı çıkması da bundandır.

CGNAT arkasında proxy kullanabilir miyim?#

Evet. Proxy'ye bağlantıyı siz başlattığınız için CGNAT bu trafiğe karışmaz. Yalnız kimlik doğrulamada paylaşılan ve değişen adresinizi IP whitelist'e yazmak yerine kullanıcı adı ve şifreyle bağlanın.

Özet#

CGNAT, IPv4 adresleri tükendiği için operatörlerin tek bir genel adresi çok sayıda aboneye paylaştırmasıdır. Modeminizdeki WAN adresi ile "IP adresim" sitesinde gördüğünüz adres farklıysa CGNAT arkasındasınız. Gezinmeyi etkilemez; port açmayı, konsolda NAT tipini, eve dışarıdan erişimi ve IP'ye göre yetkilendirmeyi bozar. Çözüm modemde değil operatördedir: havuzdan çıkarılmayı, statik IP'yi ya da IPv6'yı isteyin. İşiniz için dışarıya hep aynı adresle çıkmanız ya da mobil operatör adresleriyle çalışmanız gerekiyorsa proxy hizmetlerimize göz atabilirsiniz.