MikroTik'te Kamera ve NVR İçin Port Açma (Güvenli Yöntemiyle)

Kısa cevap: NVR veya DVR’a uzaktan erişimin üç yolu vardır ve en çok bilineni olan port açma, en riskli olanıdır. Kamera kayıt cihazlarını doğrudan internete açmak, bilinen zafiyetleri ve varsayılan şifreleri hedefleyen taramalara davetiye çıkarır. Kalıcı kurulumda doğru çözüm VPN üzerinden erişimdir; port açma yalnız kaynak IP kısıtıyla ve geçici olarak düşünülmelidir.

Senaryo: NVR iç ağda 192.168.10.200, MikroTik WAN’da dinamik IP.

Üç yol: hangisi ne zaman?

Yol	Artı	Eksi	Kime uygun
Üretici P2P/bulut (Hik-Connect vb.)	Kurulum yok, NAT derdi yok	Erişim üçüncü taraf buluta emanet; servis kapanırsa/yavaşlarsa çaresizsiniz	Tek kamera, hızlı çözüm isteyen ev kullanıcısı
Port açma (dst-nat)	Doğrudan, hızlı	İnternete açık yüzey; taranır, denenir	Kaynak IP’si sabit ofisten bağlanan ve kısıt uygulayabilenler
VPN (WireGuard)	Hiçbir port internete açılmaz; tüm ağa güvenli erişim	Telefona/bilgisayara istemci kurulumu ister	Kalıcı ve doğru kurulum isteyen herkes; benim önerim

Kameranızı internete açmanın riski teorik değil: internete açık NVR arayüzleri botlarca 7/24 taranıyor; zayıf şifreli ve firmware’i eski cihazlar dakikalar içinde deneniyor. Bu taramayı kendi gözlemlerimle honeypot yazımda anlatmıştım. VPN kurulumu 20 dakikanızı alır: MikroTik WireGuard rehberi hazır. Yine de port açmanız gerekiyorsa aşağıdaki gibi kısıtlı açın.

dst-nat ile port açma (kısıtlı ve doğru biçim)

Örnek: Dahua NVR (TCP 37777) ve RTSP (TCP 554). Önce bağlanacağınız yerlerin IP’lerini bir address-list’e koyun (sabit IP’li ofis, ev vb.):

/ip firewall address-list add list=kamera-izinli address=203.0.113.10 comment="ofis"
/ip firewall address-list add list=kamera-izinli address=198.51.100.0/24 comment="sube blogu"

Sonra dst-nat, yalnız bu listeden gelenlere:

/ip firewall nat add chain=dstnat protocol=tcp dst-port=37777 \
  src-address-list=kamera-izinli in-interface-list=WAN \
  action=dst-nat to-addresses=192.168.10.200 comment="NVR erisim"
/ip firewall nat add chain=dstnat protocol=tcp dst-port=554 \
  src-address-list=kamera-izinli in-interface-list=WAN \
  action=dst-nat to-addresses=192.168.10.200 comment="NVR RTSP"

src-address-list satırı bu kurulumun sigortasıdır: dünya değil, yalnız sizin listelediğiniz adresler kapıyı görür. Her yerden bağlanmam gerekiyor diyorsanız bu zaten VPN’in tarifidir; listeyi silmek yerine WireGuard kurun.

İki tamamlayıcı ayrıntı:

• Web arayüzünü (80/443) internete hiç açmayın. İzleme istemcileri 37777/8000 gibi SDK portlarıyla çalışır; en çok istismar edilen yüzey web arayüzüdür.
• NVR’ın kendi şifresi güçlü ve firmware’i güncel olsun. dst-nat kuralı sizi cihazın kendi zafiyetinden korumaz.

Dinamik IP: IP Cloud ile DDNS

Sabit IP’niz yoksa MikroTik’in yerleşik DDNS’i işi çözer:

/ip cloud set ddns-enabled=yes
/ip cloud print

Çıktıdaki dns-name (örn. 1234567890ab.sn.mynetname.net) her IP değişiminde güncel kalır; izleme istemcisine IP yerine bu adı yazın.

İç ağdan dış adresle erişim: hairpin

Telefondaki izleme uygulaması dışarıdayken çalışıp ofis WiFi’ına gelince bağlanmıyorsa hairpin NAT eksiktir: LAN’dan kendi WAN adresinize dönen trafik ek bir masquerade ister. Mekanizmanın tamamını (ve genel dst-nat mantığını) port yönlendirme rehberimde adım adım anlattım; kamera senaryosuna aynen uygulanır.

Doğrulama

1. Listedeki bir adresten bağlantı testi: izleme istemcisi + /log print eşliğinde.
2. Liste dışından test (telefonun mobil verisi): bağlantı kurulamamalı; kurallar print stats ile sayaç artışı göstermeli.
3. RTSP kontrolü: VLC ile rtsp://kullanici:sifre@ddns-adresi:554/... akışı.

Çok kameralı, çok lokasyonlu bir kurulumda (fabrika, şube ağı) kamera VLAN’ı, kayıt bant genişliği ve erişim mimarisini birlikte tasarlamak gerekir; bunun için MikroTik destek hizmetime ulaşabilirsiniz.