MikroTik'i PPPoE ile Bağlamak: Operatör Modemini Köprüye Almak

Kısa cevap: MikroTik’i fiber hattınıza doğru bağlamak iki adımdır: operatör modemini bridge (köprü) moduna almak ve PPPoE oturumunu MikroTik’te açmak. Böylece çift NAT ortadan kalkar, gerçek genel IP MikroTik’e düşer ve tüm ağ yönetimi tek elde toplanır. Bu yazıda süreci ve klasik MTU tuzağını anlatıyorum.

Neden PPPoE’yi MikroTik’te açıyoruz?

Varsayılan kurulumda operatör modemi hem PPPoE oturumunu açar hem yönlendirme/NAT yapar. Arkasına MikroTik koyup MikroTik’te de NAT yaparsanız çift NAT oluşur:

• Port yönlendirme iki katmanda ayarlanmak zorunda kalır, çoğu zaman çalışmaz
• VPN sunucusu kurmak zorlaşır (WireGuard/IPsec giriş bağlantısı sorunlu)
• Gerçek genel IP MikroTik’e değil modeme düşer
• Ağ mantığı iki cihaza bölünür, teşhis zorlaşır

Çözüm: modemi “aptal köprüye” indirmek, aklı MikroTik’e vermek.

Adım 1: Modemi bridge moduna al

Bu adım operatör cihazına göre değişir; genel akış:

1. Modemin web arayüzüne girin (genelde 192.168.1.1).
2. WAN/İnternet ayarlarında çalışma modunu Bridge (köprü) yapın. Bazı cihazlarda “PPPoE relay” veya “modem modu” olarak geçer.
3. PPPoE bilgilerini (kullanıcı adı/şifre) not alın; birazdan MikroTik’e gireceğiz. Arayüzde görünmüyorsa operatörden abonelik PPPoE bilgisini isteyin.
4. Bazı operatörlerde VLAN ID gerekir (fiber tarafında yaygın); varsa onu da öğrenin.

Bridge’e alınca modemin kendi yönlendirme ve genelde WiFi işlevi kapanır; bu beklenen sonuçtur. Kablosuzu artık MikroTik veya ayrı access point’ler sağlayacak.

Adım 2: MikroTik’te PPPoE client

Modemin bağlı olduğu portu (örnek ether1) kullanarak:

VLAN yoksa:

/interface pppoe-client add name=wan-pppoe interface=ether1 \
  user=abonelik-kullanici password=abonelik-sifre \
  add-default-route=yes use-peer-dns=yes disabled=no

Operatör VLAN istiyorsa (örnek VLAN 35):

/interface vlan add name=wan-vlan interface=ether1 vlan-id=35
/interface pppoe-client add name=wan-pppoe interface=wan-vlan \
  user=abonelik-kullanici password=abonelik-sifre \
  add-default-route=yes use-peer-dns=yes disabled=no

Bağlantı kurulunca /interface pppoe-client print durumu connected göstermeli ve /ip address print çıktısında wan-pppoe üzerinde genel bir IP belirmeli.

Adım 3: NAT ve firewall

PPPoE arayüzü artık WAN’ınız. NAT’ı ona (veya WAN interface list’ine) yönlendirin:

/interface list add name=WAN
/interface list member add list=WAN interface=wan-pppoe
/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade

Firewall koruma setinizde WAN’ı pppoe arayüzü/list’i olarak tanımlayın; temel koruma kuralları buraya uygulanır. Yönetim erişimini bu yeni WAN’dan kapatmayı unutmayın.

MTU: en sık PPPoE sorunu

PPPoE, Ethernet başlığından 8 byte çalar; efektif MTU 1492’dir. RouterOS PPPoE client bunu genelde otomatik ayarlar, ama “internet var ama bazı siteler açılmıyor / yavaş” belirtisi görürseniz TCP MSS clamp’i devreye alın:

/ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn \
  out-interface=wan-pppoe action=change-mss new-mss=clamp-to-pmtu \
  comment="PPPoE MSS clamp"

Bu, oturum açılışındaki paketlerin MSS’ini yol MTU’suna sabitler; PPPoE’nin en klasik “yarım çalışan internet” belirtisini çözer.

Doğrulama

1. /interface pppoe-client print durumu connected.
2. /ip address print çıktısında PPPoE üzerinde genel IP (modemdeki özel IP değil).
3. Bir istemciden internet + port yönlendirme testi (çift NAT gitti, artık tek katman).
4. whatismyip sonucu ile PPPoE IP’si aynı olmalı; farklıysa hâlâ çift NAT var demektir.

Modemi bridge’e alamıyorsanız (bazı operatör cihazları kilitlidir) DMZ veya modem arkası ikinci NAT geçici çözümdür ama idealı değil; bu durumlarda ya operatörden bridge destekli cihaz istenir ya da ONT ayrıştırılır.

Fiber geçişi, VLAN ayarı veya çok lokasyonlu PPPoE kurulumunda takılırsanız MikroTik destek hizmetim üzerinden ulaşabilirsiniz.