MikroTik RouterOS ile Güvenli Port Yönlendirme (Port Forwarding / DST-NAT) ve Hairpin NAT Kurulum Rehberi

Kurumsal Ağlarda Dış Dünyadan İç Sunuculara Güvenli Erişim Mimarisi

Kurumsal ağlarda şirket merkezinde barındırılan NVR kamera kayıt cihazları, yerel web portalları, ERP veritabanları veya IP santral sistemlerine şirket dışından erişebilmek için yönlendirici üzerinde Hedef Ağ Adresi Dönüşümü (Destination NAT / DST-NAT) yani Port Yönlendirme tanımlanır. Ancak standart modemlerde kolayca yapılan bu işlem, MikroTik RouterOS cihazlarında gelişmiş güvenlik duvarı mimarisi sebebiyle doğru yapılandırılmadığında çalışmaz. Ayrıca işletmelerin karşılaştığı en büyük kafa karışıklığı, dışarıdan sorunsuz açılan bir portun şirket içindeki yerel bilgisayarlardan genel IP veya alan adı yazılarak açılmamasıdır. Bu döngüsel kilitlenme Hairpin NAT (NAT Loopback) kuralı ile aşılır.

MikroTik DST-NAT Mekanizması Nasıl Çalışır?

Dış dünyadan gelen bir veri paketi MikroTik’in WAN arayüzüne ulaştığında yönlendirici şu adımları izler:

1. Paketin hedef IP’si şirketin genel statik IP’sidir (Örn: 88.245.120.10:8080).
2. DST-NAT kuralı devreye girerek bu paketin hedef başlığını yerel sunucunun iç IP’siyle (Örn: 192.168.10.50:80) değiştirir.
3. Paket yönlendirme (Routing) tablosuna aktarılır ve yerel ağdaki sunucuya teslim edilir.

1. Adım: Winbox Üzerinden Güvenli DST-NAT Port Yönlendirme Kuralı

Dışarıdaki rastgele bir portu içerideki farklı bir yerel porta yönlendirmek için Terminal üzerinden şu komut yürütülür:

# Dışarıdan gelen 8443 portunu iç ağdaki 192.168.10.50 sunucusunun 443 HTTPS portuna yönlendirme:
/ip firewall nat
add chain=dstnat action=dst-nat to-addresses=192.168.10.50 to-ports=443 
    protocol=tcp in-interface-list=WAN dst-port=8443 
    comment="Guvenli Web Port Yonlendirme"

in-interface-list=WAN parametresi hayati önem taşır; bu parametre kuralın yalnızca dış internetten gelen isteklerde tetiklenmesini sağlar, yerel ağ trafiğini gereksiz yere NAT yüküne sokmaz.

2. Adım: Hairpin NAT (NAT Loopback) Kuralının Kurulması (En Kritik Halka)

Şirket içindeki bir çalışan, dışarıdaki müşteriler gibi tarayıcısına https://guvenlik.sirketiniz.com:8443 yazdığında sayfa açılmaz. Çünkü sunucu yanıt paketini doğrudan istemcinin yerel IP’sine yollar; istemci ise paketi genel IP’den beklediği için oturumu düşürür. Bu asimetrik yönlendirmeyi çözmek için Hairpin NAT tanımlanır:

# Yerel ağdan çıkıp tekrar yerel ağa dönen paketler için Hairpin NAT:
/ip firewall nat
add chain=srcnat action=masquerade protocol=tcp src-address=192.168.10.0/24 
    dst-address=192.168.10.50 dst-port=443 
    comment="Hairpin NAT Loopback Kurali"

Bu kural sayesinde iç ağdaki bir bilgisayar genel alan adını sorguladığında, router araya girerek sunucuya paketin kendisinden (routerdan) geldiğini söyler; sunucu yanıtı routera döner, router da istemciye ileterek bağlantıyı kusursuz tamamlar.

3. Adım: Port Tarayıcılarına Karşı Güvenlik Sıkılaştırması

Açılan portları korumak için port yönlendirme doğrudan dış porta eşitlenmemelidir. Örneğin içeride RDP 3389 çalışıyorsa dış port 53389 gibi yüksek ve rastgele bir port seçilmeli (Port Obfuscation); brute-force saldırılarına karşı firewall filtre kurallarıyla bağlantı sıklığı (Connection Rate) sınırlandırılmalıdır.

Kurumsal ağ mimarileri, MikroTik DST-NAT/Hairpin yapılandırmaları, DMZ tasarımı ve siber güvenlik duvarı projelerinde BaykalSoft Ağ Altyapı Hizmetleri uzman kadromuzla iletişime geçebilirsiniz.