MikroTik RouterOS Cihazlarında Torrents ve P2P Dosya Paylaşımını Firewall ile Kesin Engelleme Rehberi

Soru: Kurumsal Şirket ve Yurt Ağlarında Torrent (P2P) İndirmeleri İnterneti Felç Ettiğinde Nasıl Kesin Olarak Bloklanır?

Cevap: Üniversite yurtlarında, otellerde, öğrenci pansiyonlarında ve kurumsal şirket ağlarında tek bir kullanıcının bilgisayarına uTorrent, qBittorrent veya BitTorrent açarak dosya indirmeye başlaması, saniyeler içinde şirketin 1 Gbps fiber hattını dahi tamamen tıkayabilir. Torrent protokolü yalnızca yüksek bant genişliği tüketmekle kalmaz; aynı anda dünya genelindeki on binlerce farklı IP ye UDP bağlantısı açarak (DHT ve Peer Exchange) yönlendiricinin Bağlantı Tablosunu (Connection Tracking Table) 100.000 lerce oturumla doldurur; routerın RAM ini ve işlemcisini kilitler. Torrent dinamik ve şifreli portlar kullandığı için klasik port engellemeyle durdurulamaz; MikroTik RouterOS un Katman 7 (Layer 7 Protocol) ve TLS paket denetimiyle engellenmelidir.

Torrent Trafiği Standart Port Kurallarını Neden Aşar?

P2P mimarisi güvenlik duvarlarını atlatmak üzere tasarlanmıştır:

• Dinamik Rastgele Portlar: Torrent istemcileri sabit bir port kullanmaz; her indirmede 1024 ile 65535 arasında rastgele bir port açar.
• uTP (Micro Transport Protocol): Trafiği standart TCP yerine UDP paketleri arkasına gizler ve hız sınırlamalarını baypas eder.
• İçerik Şifreleme (Protocol Encryption): İstemciler paketlerin başlıklarını şifreleyerek derin paket inceleme (DPI) filtrelerinden kaçmaya çalışır.

1. Adım: Katman 7 (Layer 7) Regex Protokolü ile BitTorrent İmzalarını Yakalama

MikroTik üzerinde paketlerin ilk el sıkışma metinlerini yakalayan regex filtreleri tanımlanır:

Winbox Terminal Komutu:
# 1. Layer 7 Regex Tanımını Oluşturun:
/ip firewall layer7-protocol
add name="BitTorrent_L7" regexp="^(\x13bittorrent protocol|azver\x01|get /scrape\?info_hash=)"

# 2. Güvenlik Duvarında Bu İmzayı Taşıyan Paketleri Bloklayın:
/ip firewall filter
add chain=forward protocol=tcp layer7-protocol=BitTorrent_L7 action=drop comment="TCP Torrent Blokla" place-before=1
add chain=forward protocol=udp layer7-protocol=BitTorrent_L7 action=drop comment="UDP Torrent Blokla" place-before=2

2. Adım: Bilinen P2P Tracker ve DHT Portlarını Kapatma

Torrent istemcilerinin eş bulmasını sağlayan DHT ve Tracker UDP portları filtrelenir:

/ip firewall filter
# BitTorrent DHT ve Tracker Portlarını Engelleyin:
add chain=forward action=drop protocol=udp dst-port=6881-6889,6969,1337 comment="P2P Tracker Portlarini Kapat"
add chain=forward action=drop protocol=tcp dst-port=6881-6889,6969,1337 comment="P2P Tracker TCP Kapat"

3. Adım: Kullanıcı Başına Maksimum Eşzamanlı Bağlantı Sınırı (Conn-Limit)

Şifreli Torrent trafiğinin router tablosunu şişirmesini engellemenin en kusursuz matematiksel yolu bağlantı sayısı sınırlamasıdır (Normal bir kullanıcı webde gezerken aynı anda en fazla 50-80 bağlantı açar; Torrent ise 1000 bağlantı açar):

/ip firewall filter
# Tek bir IP nin aynı anda açabileceği maksimum TCP/UDP bağlantısını 100 ile sınırlayın:
add chain=forward action=drop protocol=tcp tcp-flags=syn connection-limit=100,32 in-interface=bridge-Yerel 
    comment="Tek Kullanici Max 100 Baglanti Siniri (Torrent Bogulmasini Onle)"

Bu kural devreye girdiği anda, bir kullanıcı Torrent açsa dahi program dünya geneline 100 den fazla bağlantı açamayacağı için eş bulamaz (0 Peer); indirme hızı 0 KB/s ye çakılır ve şirket interneti tek bir milisaniye dahi yavaşlamaz.

Kurumsal ağ bant genişliği optimizasyonu, P2P/Torrent engelleme, Layer 7 uygulama filtreleme ve MikroTik ağ güvenliği projelerinde BaykalSoft Ağ Altyapı Hizmetleri uzman kadromuzla iletişime geçebilirsiniz.