CGNAT Nedir? IP ve Port Kayıtlarıyla Kullanıcı Tespiti Nasıl Yapılır?

Mobil internette binlerce abone aynı IP adresini paylaşır. CGNAT kayıtlarında doğru kişiye ulaşmak için IP, port ve zaman birlikte nasıl okunur, en sık yapılan hatalar nelerdir?

Bir sosyal medya hesabının, e-postanın ya da bir web sitesine yapılan girişin hangi aboneye ait olduğu sorulduğunda, elinizde çoğu zaman yalnızca bir IP adresi ve bir zaman vardır. Mobil internette bu bilgi tek başına yetmez. Nedeni CGNAT.

CGNAT nedir?

CGNAT (Carrier-Grade NAT, operatör düzeyinde adres çevirisi), operatörün çok sayıda aboneyi aynı genel IP adresi arkasında internete çıkarmasıdır. IPv4 adresleri sınırlı olduğu için mobil operatörler her aboneye ayrı genel IP veremez; aboneye özel (iç) bir IP verilir ve internete çıkışta bu adres, binlerce aboneyle paylaşılan genel bir IP’ye çevrilir.

Aynı genel IP’yi aynı anda paylaşan abonelerin bağlantıları birbirinden kaynak port numarasıyla ayrılır. Operatör, hangi iç IP’nin hangi zaman aralığında hangi genel IP ve port (ya da port bloğu) ile çıktığını kaydeder. Bu kayıtlara genellikle CGNAT kaydı ya da NAT kaydı denir.

Kişi tespiti için gereken üç bilgi

1. Genel IP adresi: Hizmet sağlayıcının (platformun) gördüğü adres.
2. Kaynak port: Bağlantının o IP üzerinde kullandığı port.
3. Tam zaman damgası: Saniye hassasiyetinde ve saat dilimi belli zaman.

Bu üçü birlikte olmadan yapılan eşleştirme, aynı IP’yi o anda kullanan onlarca, hatta yüzlerce aboneden birini “şüpheli” gösterebilir. 31 Temmuz 2026’da yürürlüğe giren 7590 sayılı Kanunla 5651 sayılı Kanun’daki trafik bilgisi tanımına kaynak ve hedef port bilgisinin açıkça eklenmesi de bu ihtiyaçtan kaynaklanıyor (bkz. HTS kayıtları artık Siber Güvenlik Başkanlığı’ndan).

Eşleştirme nasıl yapılır?

• Platformdan gelen kayıttaki IP, port ve zamanı alın; zamanın hangi saat diliminde (UTC mi, Türkiye saati mi) verildiğini teyit edin.
• Operatörün CGNAT kaydında aynı genel IP için, o zamanı kapsayan ve aynı portu (ya da portu içeren port bloğunu) içeren satırı bulun.
• Bu satırdaki iç IP’yi ve oturum bilgisini, operatörün abone ve GPRS kayıtlarıyla eşleştirerek hattı belirleyin.
• Sonucu tek bir satıra dayandırmayın; mümkünse aynı hesabın farklı zamanlardaki birden çok girişini ayrı ayrı eşleştirin. Hepsi aynı hatta çıkıyorsa bulgu güçlenir.

En sık yapılan hatalar

• Yalnız IP ile eşleştirme: Port yoksa sonuç bir aday listesidir, kişi değildir. Raporda bu açıkça yazılmalıdır.
• Saat dilimi karışıklığı: Birçok platform zamanı UTC verir; Türkiye saatiyle arada 3 saat fark vardır. Bu fark gözden kaçarsa tamamen ilgisiz bir abone bulunur.
• Saat sapması: Platform ve operatör sunucularının saatleri arasında birkaç saniyelik fark olabilir. Eşleştirmede küçük bir tolerans kullanılmalı ve bu tolerans raporda belirtilmelidir.
• Port bloğunu atlamak: Bazı operatörler tek port değil, aboneye bir port aralığı ayırır. Port, aralığın içinde mi diye bakılmalıdır.
• Wi-Fi bağlantısını mobil sanmak: Aynı cihaz ev ya da iş yeri internetinden bağlandığında IP, mobil operatöre değil o internet servis sağlayıcısına aittir.

Bilirkişi raporunda nasıl yazılmalı?

Raporda eşleştirmenin hangi alanlarla (IP, port, zaman), hangi saat dilimiyle ve hangi toleransla yapıldığı açıkça belirtilmelidir. Port bilgisi bulunmayan kayıtlarda sonuç “bu IP’yi o zaman aralığında kullanan aboneler arasında” şeklinde ifade edilmeli, tek bir kişiye kesin olarak bağlanmamalıdır.

Sonuç

CGNAT, mobil internette IP adresini “kişi” olmaktan çıkarıp “ortak kapı” hâline getirdi. Doğru tespit için IP, port ve zamanın üçü birlikte, saat dilimi ve sapma göz önünde bulundurularak değerlendirilmelidir.