İnterneti Kim Kullanıyor? MikroTik Torch ile Canlı Trafik Teşhisi

Kısa cevap: “internet yavaş, kim kullanıyor?” sorusunun cevabı router’ınızda hazır bekliyor. MikroTik’in Torch aracı, seçtiğiniz interface’ten o anda geçen trafiği IP ve port bazında canlı gösterir; hattı dolduran cihazı bir dakika içinde isimlendirirsiniz. Bu yazıda Torch’u hem Winbox’tan hem terminalden kullanmayı, bağlantı tablosunu (connection tracking) okumayı ve suçluyu bulduktan sonra ne yapacağınızı anlatıyorum.

Not: bu yazı istemci teşhisi içindir; hattı kimse doldurmuyor ama router’ın kendisi yoruluyorsa sorun başka yerdedir, o vaka için CPU ve performans teşhisi yazısına bakın.

Torch nedir, neyi gösterir?

Torch, bir interface’ten geçen trafiği kaynak adres, hedef adres, port ve protokol bazında sınıflandırıp her kalem için anlık gönderme/alma hızını (Tx/Rx) gösteren gerçek zamanlı bir izleme aracıdır. Kayıt tutmaz: yalnız siz bakarken akanı görürsünüz. Tam da bu yüzden “şu anda hattı kim yiyor?” sorusunun en doğru cevabıdır; dünkü kullanımı sormak için yanlış araçtır.

Sahada en sık gördüğüm senaryolar hep aynı kalıba çıkar: bir istemcinin bulut yedeklemesi, oyun konsolunun dev güncellemesi, 4K yayın açık unutulmuş bir TV veya en tatsızı, sızmış bir cihazın dışarıya taşma trafiği. Torch bunların hepsini aynı ekranda ele verir.

Doğru interface’i seçin: LAN tarafından bakın

En kritik kural: istemcileri ayırt etmek istiyorsanız Torch’u LAN tarafında (tipik kurulumda bridge) çalıştırın, WAN’da değil. WAN interface’inde trafik NAT’tan geçmiş haldedir; tüm yerel cihazlar router’ın tek genel IP’si altında toplanır ve “kim” sorusu cevapsız kalır.

İki görünürlük sınırını da bilerek bakın (resmi dokümanın uyarıları):

• Hardware offload açık bridge portlarında paketler CPU’ya uğramadan anahtarlanır; Torch bu trafiği göremez. LAN içi cihazdan cihaza kopyalama trafiği listede yoksa nedeni budur, internete giden trafik ise router’dan geçtiği için her zaman görünür.
• Kablosuzda istemciden istemciye iletilen unicast trafik de görünmeyebilir.

Başlamadan hattın gerçekten dolu olduğunu da teyit edin:

/interface monitor-traffic ether1 once

WAN portunun anlık toplam hızını gösterir. Hat doluysa Torch’a geçin; boşsa yavaşlığın nedeni kapasite değildir.

Winbox’ta Torch nasıl kullanılır?

Winbox’ta yol: Tools > Torch. Adımlar:

1. Interface olarak bridge (veya ilgili LAN portu) seçin.
2. Collect bölümünde Src. Address ve Port kutularını işaretleyin.
3. Start’a basın ve tabloyu Tx sütununa göre sıralayın.

En üstteki yerel IP, upload’ı; Rx sıralamasının tepesindeki IP download’u domine eden cihazdır. Port sütunu trafiğin türü hakkında ipucu verir: 443 üzerinden sürekli yüksek indirme çoğu zaman yayın veya güncellemedir. IP’yi cihaza çevirmek için IP > DHCP Server > Leases tablosuna bakın; hostname çoğu cihazı ele verir. Winbox arayüzüne yabancıysanız önce Winbox ve arayüz rehberine göz atın.

Terminalden Torch: CLI kullanımı

CLI’da mantık şudur: hangi alanı parametre olarak verirseniz o alan ayrı sütun olarak açılır; vermediğiniz alanlar tek satırda toplanır.

/tool torch interface=bridge src-address=0.0.0.0/0

Kaynak adres bazında döküm: LAN’daki her cihaz ayrı satır, yanında anlık Tx/Rx hızı. “Kim kullanıyor?” sorusuna en kestirme cevap bu tek satırdır.

/tool torch interface=bridge src-address=192.168.88.45/32 dst-address=0.0.0.0/0 port=any

Şüpheliyi bulduktan sonra büyüteç: tek cihazın (örnekte .45) hangi hedef adreslere hangi portlardan trafik akıttığını gösterir. Çıkışı durdurmak için Ctrl+C yeterli, Torch ekranı kapanınca hiçbir iz bırakmaz.

Aynı komutlar RouterOS 6’da da bu sözdizimiyle çalışır; Torch tarafında v6/v7 farkı yok denecek kadar azdır.

Connection tracking: bağlantı tablosunu okumak

Torch akışı gösterir, connection tracking ise bağlantı tablosunu: router’ın o anda izlediği her oturum, toplam bayt sayaçları ve anlık hızlarıyla birlikte bu tablodadır. Torch’un anlık fotoğrafına ek olarak “bu bağlantı ne zamandır açık, toplam ne taşımış” sorusunu cevaplar.

/ip firewall connection print

Tüm izlenen bağlantılar: kaynak, hedef, protokol, kalan zaman aşımı.

/ip firewall connection print detail where src-address~"192.168.88.45"

Tek cihazın bağlantıları, ayrıntılı: orig-bytes/repl-bytes toplam taşınan veriyi, orig-rate/repl-rate anlık hızı gösterir. ~ operatörü kısmi eşleşmedir; port numarası da adres alanına dahil olduğundan IP’yi bu biçimde yazmak pratik çözümdür.

/ip firewall connection print count-only where src-address~"192.168.88.45"

Bağlantı sayısı tek başına teşhistir: sıradan bir istemci onlarca bağlantı açar; yüzlerce, binlerce bağlantı açan cihaz ya P2P çalıştırıyordur ya da tarama/zararlı davranışı sergiliyordur. İkincisinden şüpheleniyorsanız hedef adreslere bakın: tanımadığınız adreslere sürekli ve düzenli bağlantı açan cihazı ağdan izole edip incelemeden geri almayın.

Kısa süreli izleme yetmezse: kalıcı seçenekler

Torch ve connection tracking “şu anda” sorularını çözer; “bu hafta kim ne kadar kullandı” sorusu için kayıt tutan bir mekanizma gerekir. Seçenekler:

Araç	Zaman penceresi	Ne gösterir	Ne zaman kullanın
Torch	Anlık, siz bakarken	IP/port bazında canlı hız	“Şu anda hattı kim yiyor?”
Connection tracking	Anlık tablo	Açık bağlantılar, oturum başına bayt ve hız	“Bu cihaz nereye bağlı, ne taşımış?”
Kid Control device	Kalıcı sayaç	Cihaz başına toplam indirme/yükleme	“Bu ay kim ne kadar kullandı?”
Traffic Flow (NetFlow/IPFIX)	Kalıcı, harici toplayıcı	Akış bazında tam kayıt	Şirket ağı, denetim ve raporlama

İki not:

• Kid Control adı yanıltmasın: ebeveyn denetimi aracı olsa da /ip kid-control device tablosu cihazları MAC adresinden tanıyıp her biri için bytes-down/bytes-up sayaçları tutar. Bir profil eklediğiniz anda sayaçlar dolmaya başlar; ev ve küçük ofis için sıfır maliyetli kota takibi sağlar.
• v6/v7 farkı: RouterOS 6’daki /ip accounting menüsü v7’de kaldırıldı. Eski rehberlerde görürseniz karşılığı yukarıdaki tablodur: basit ihtiyaçta Kid Control, ciddi ihtiyaçta Traffic Flow.

Cihazı buldum: şimdi ne yapmalı?

Bulmak işin yarısı; diğer yarısı doğru tepki. Sıram şu:

1. Tanı koy: DHCP lease tablosundan cihazı isimlendir. Trafik meşru mu (yedekleme, güncelleme, yayın) yoksa açıklanamaz mı?
2. Meşruysa sınırla, engelleme: yedekleme gece de çalışabilir, TV 4K yerine 1080p’ye de razıdır. Kalıcı çözüm hız sınırı koymaktır.
3. Şüpheliyse izole et: açıklayamadığınız trafik üreten cihazı ağdan ayırın, temizlenmeden geri almayın.

Hız sınırı için en basit köprü, simple queue:

/queue simple add name=tv-siniri target=192.168.88.45/32 max-limit=20M/20M comment="Yayin trafigi tavani"

target cihazın IP’si, max-limit upload/download tavanı. Cihazın IP’sini DHCP’de statik lease’e bağlamayı unutmayın; yoksa yarın farklı IP alır ve kuyruğun dışına çıkar.

Önemli uyarı: fasttrack açıkken queue trafiği yakalamaz, çünkü fasttrack’lenen paketler kuyruk zincirini atlar. Queue kullanacaksanız fasttrack kuralınızı ilgili trafiği kapsam dışı bırakacak şekilde düzenlemeniz gerekir; fasttrack’in CPU üzerindeki etkisi ve doğrulaması için performans teşhisi yazısındaki fasttrack bölümüne bakın.

Özet kontrol listesi

• Hat gerçekten dolu mu? /interface monitor-traffic ile teyit et
• Torch’u LAN/bridge tarafında çalıştır, WAN’da değil
• src-address dökümünde tepedeki IP’yi DHCP leases ile isimlendir
• Tek cihazı dst-address + port ile büyüt: nereye, ne trafiği?
• Bağlantı sayısına bak: yüzlerce oturum açan cihaz şüphelidir
• Kalıcı görünürlük gerekiyorsa Kid Control veya Traffic Flow kur
• Meşru trafiği queue ile sınırla, şüpheli cihazı izole et

Bu döngüyü bir kez oturttuğunuzda “internet yavaş” şikayeti dakikalar içinde isimli, adresli bir teşhise dönüşür. Ağınızda kalıcı görünürlük kurmak veya teşhisi birlikte koymak isterseniz MikroTik destek hizmetime ulaşabilirsiniz.