MikroTik ile ağ cihazlarına dışarıdan erişim

Şirket müdürü evden kameraları görmek istiyor, BT uzmanı gece sunucuya bağlanmalı, muhasebeci de dışarıdan muhasebe yazılımına erişmeli. MikroTik ile bunun için üç ana yol vardır. Doğru seçim hem kullanım kolaylığına hem de güvenliğe bağlıdır.

Başlamadan önce: genel IP’niz var mı?

Bu makaledeki tüm yöntemler router’ınıza internetten erişilebildiğini varsayar:

• İnternetinizin sabit IP’si varsa sorun yok.
• IP’niz genel ama değişken ise DDNS kullanın (aşağıda anlatıyoruz).
• Servis sağlayıcı size özel IP verdiyse (CGNAT; router’ın WAN adresi 10. veya 100.64 ile başlar), dışarıdan hiçbir bağlantı router’a ulaşmaz. Bu durumda ya servis sağlayıcıdan genel IP isteyin ya da araya genel IP’li bir sunucu koyun (örneğin bir sanal sunucuda CHR) ve kendi router’ınız içeriden ona VPN ile bağlansın.

Yöntem 1: Port yönlendirme (basit ama riskli)

dstnat ile genel IP’deki bir port bir iç cihaza yönlendirilir; örneğin 192.168.10.50 adresindeki kamera NVR’ı:

/ip firewall nat add chain=dstnat in-interface-list=WAN protocol=tcp dst-port=8000 action=dst-nat to-addresses=192.168.10.50 to-ports=8000 comment="NVR from outside"

Risk: Bu port tüm internete açıktır. Kamera, NVR ve Uzak Masaüstü sürekli saldırı hedefidir ve birçoğunun bilinen açıkları vardır. Port açmak zorundaysanız:

• Erişimi belirli IP’lerle sınırlayın:

/ip firewall address-list add list=allowed-remote address=198.51.100.25 comment="Manager home"
/ip firewall nat set [find comment="NVR from outside"] src-address-list=allowed-remote

• Cihazın şifresini güçlendirin ve firmware’ini güncel tutun.
• Router, switch ya da sunucu yönetim panelini asla doğrudan açmayın.

Ayrıntılar MikroTik’te NAT türleri makalesinde.

Yöntem 2: IP Cloud ile DDNS

IP’niz değişiyorsa router’a IP adresiyle bağlanamazsınız. MikroTik’in ücretsiz IP Cloud servisi router’a sabit bir ad verir:

/ip cloud set ddns-enabled=yes
/ip cloud print

Çıktıdaki dns-name alanı, her zaman router’ınızın o anki IP’sini gösteren abcd1234.sn.mynetname.net gibi bir addır. Bu adı VPN ayarlarında ya da kamera uygulamasında kullanın. DDNS tek başına hiçbir port açmaz; yalnızca adresi bulur.

Yöntem 3: WireGuard ile VPN (önerilen)

VPN ile cihazınız (dizüstü ya da telefon) sanki şirket ağının içindeymiş gibi çalışır. Router’da yalnızca bir VPN portu açıktır ve geçerli anahtar olmadan kimse giremez. WireGuard RouterOS 7’de yerleşik gelir; hızlı, basit ve güvenlidir; Windows, macOS, Android ve iOS için resmî uygulamaları vardır.

MikroTik’te yapılandırma

/interface wireguard add name=wg-remote listen-port=13231
/ip address add address=10.99.0.1/24 interface=wg-remote
/interface wireguard print

Son komut router’ın açık anahtarını (public-key) gösterir; not alın.

WireGuard portunu input güvenlik duvarında açın. Bu kural zincirin sonundaki drop kuralının üstünde olmalıdır:

/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept comment="WireGuard" place-before=[find comment="input: drop everything else"]

Güvenlik duvarı kurallarınızın açıklamaları farklıysa kuralı Winbox’ta sürükleyerek yerine taşıyın.

İstemciyi oluşturma

Dizüstü ya da telefondaki WireGuard uygulamasında boş bir tünel oluşturun; uygulama istemcinin özel ve açık anahtarını kendisi üretir. İstemcinin açık anahtarını router’a peer olarak ekleyin:

/interface wireguard peers add interface=wg-remote public-key="CLIENT_PUBLIC_KEY" allowed-address=10.99.0.2/32 comment="Manager laptop"

İstemci uygulamasındaki tünel ayarları:

[Interface]
PrivateKey = (uygulama tarafından üretilir)
Address = 10.99.0.2/32
DNS = 192.168.10.1

[Peer]
PublicKey = ROUTER_PUBLIC_KEY
Endpoint = abcd1234.sn.mynetname.net:13231
AllowedIPs = 192.168.10.0/24, 10.99.0.0/24
PersistentKeepalive = 25

• AllowedIPs hangi trafiğin tünelden gideceğini belirler; bu örnekte yalnızca şirket ağının trafiği. Kullanıcının internet trafiği kendi yolundan gider.
• Her kullanıcı için ayrı adresli (10.99.0.3, 10.99.0.4 …) bir peer oluşturun ki her kişinin erişimini ayrı ayrı kesebilesiniz.

İç ağa erişim

MikroTik ile ağ güvenliği makalesinde kurduğumuz güvenlik duvarıyla tünelden iç ağa giden trafik geçebilir, çünkü yalnızca WAN listesinden gelen yeni bağlantılar engellenir. VPN kullanıcılarının router’ın Winbox’ına da erişmesini istiyorsanız wg-remote’u LAN listesine ekleyin; istemiyorsanız eklemeyin.

Her kullanıcının erişimini sınırlamak için chain=forward’da kural yazın; örneğin muhasebeci yalnızca muhasebe sunucusuna erişsin:

/ip firewall filter add chain=forward src-address=10.99.0.3 dst-address=!192.168.10.40 action=drop comment="Accountant only to accounting server" place-before=0

Üç yöntemin karşılaştırması

• Port yönlendirme: Hızlı kurulur; ama her cihaz doğrudan internete açıktır. Yalnızca sınırlı durumlar için ve IP kısıtlamasıyla.
• DDNS: Bir erişim yöntemi değildir; yalnızca değişken IP sorununu çözer ve diğer iki yöntemle birlikte kullanılır.
• VPN: Biraz daha fazla ayar, ama en güvenli yol: tek port, tam şifreleme ve kullanıcı bazında erişim kontrolü.

Dışarıdan erişim için önce IP durumunuzu bilin: sabit, değişken ya da CGNAT. Değişken IP sorununu IP Cloud ile çözün ve mümkün olduğunca cihazların portlarını açmak yerine WireGuard ile VPN kurun. Şubeleri bağlamak için de aynı WireGuard’ı ya da L2TP bağlantısını kullanabilirsiniz.