Dijital Olay Yeri #02: Aynı IP, Farklı İnsanlar — CGNAT Gerçekte Nasıl Çalışıyor?

Aynı genel IP adresi, aynı anda farklı kişileri gösterebilir mi? CGNAT mimarisinde IP adresinin tek başına neden yetersiz kaldığını; port, protokol ve zaman bilgisinin delil değerlendirmesindeki rolünü inceliyoruz.

Saat 23.17.

Bir çevrim içi platformun kayıtlarında şüpheli bir işlem görülüyor:

05.08.2026 23:17:04
Source IP: 203.0.113.42
Source Port: 53124
Protocol: TCP
Request: POST /account/reset

Bir saniye sonra aynı IP adresinden başka bir işlem gerçekleştiriliyor:

05.08.2026 23:17:05
Source IP: 203.0.113.42
Source Port: 58310
Protocol: TCP
Request: GET /profile

İki farklı işlem.

Aynı genel IP adresi.

Peki, işlemleri aynı kişi mi yaptı?

Bağlantı Carrier-Grade NAT, yaygın kullanımıyla CGNAT, arkasından geliyorsa bu işlemler birbirinden tamamen farklı abonelere ait olabilir.

Çünkü CGNAT sistemlerinde aynı genel IP adresini aynı anda çok sayıda kullanıcı paylaşabilir.

Neden Aynı IP’yi Paylaşıyoruz?

İnternete bağlanan cihazların iletişim kurabilmesi için bir IP adresine ihtiyacı vardır. Ancak kullanılabilir IPv4 adreslerinin sınırlı olması, internet servis sağlayıcılarını mevcut adresleri birden fazla abone arasında paylaştırmaya yöneltmiştir.

CGNAT bu amaçla kullanılan ağ mimarilerinden biridir.

Ev veya iş yerindeki cihazlar önce modem üzerinden yerel IP adresleriyle haberleşir:

Telefon:      192.168.1.12
Bilgisayar:   192.168.1.24
Televizyon:   192.168.1.31

CGNAT kullanılan bir bağlantıda trafik internete ulaşana kadar birden fazla adres ve port dönüşümünden geçebilir:

Bilgisayar
192.168.1.24:52344
        ↓
Abone bağlantısı
100.72.18.27:49311
        ↓
Servis sağlayıcının CGNAT sistemi
203.0.113.42:53124
        ↓
İnternet servisi

Hedef sistem bu zincirin çoğu zaman yalnızca son kısmını görür:

203.0.113.42:53124

RFC 6598 ile 100.64.0.0/10 adres aralığı, servis sağlayıcıların CGN sistemlerinde kullanabileceği paylaşımlı adres alanı olarak ayrılmıştır.

Kullanıcılar Nasıl Ayırt Ediliyor?

CGNAT sistemi yalnızca IP adreslerini değil, bağlantılarda kullanılan kaynak portlarını da eşleştirebilir.

Basitleştirilmiş bir kayıt tablosu şöyle görünebilir:

Abone A
100.72.18.27:49311
→ 203.0.113.42:53124
TCP
23:17:03 – 23:17:46

Abone B
100.73.91.14:50102
→ 203.0.113.42:58310
TCP
23:17:04 – 23:18:12

Her iki abone internette aynı genel IP adresiyle görünmektedir:

203.0.113.42

Ancak kullandıkları dış kaynak portları farklıdır.

Yalnızca IP adresine bakıldığında bağlantılar aynı kaynaktan gelmiş gibi görünebilir. Port, protokol ve zaman bilgileri eklendiğinde ise farklı CGNAT eşleştirmeleri birbirinden ayrılabilir.

Bu nedenle sağlıklı bir teknik değerlendirmede şu verilerin birlikte ele alınması gerekir:

Genel IP + dış kaynak portu + taşıma protokolü + doğru zaman bilgisi + servis sağlayıcı eşleştirme kaydı

RFC 6888 de bir abonenin belirlenebilmesi bakımından dış IPv4 adresi, port ve zaman bilgisinin birlikte kullanılmasının önemine işaret eder.

Port Kaydedilmemişse Ne Olur?

Bir internet servisi yalnızca şu bilgiyi tutmuşsa:

Source IP: 203.0.113.42

ve bu adres aynı anda çok sayıda abone tarafından paylaşılıyorsa, bağlantının hangi abonelikten geldiğini geriye dönük olarak ayırmak mümkün olmayabilir.

Çünkü şu sorunun cevabı kayıtta bulunmamaktadır:

203.0.113.42 adresinin hangi portu?

Eksik port bilgisi sonradan tahmin edilerek güvenilir biçimde tamamlanamaz. İlgili kaynak portunun, bağlantıyı gören sistem tarafından olay anında kaydedilmiş olması gerekir.

RFC 7422 de CGNAT arkasındaki bir abonenin belirlenebilmesi için kaynak IP adresiyle birlikte kaynak portu ve zaman bilgisinin tutulmasını tavsiye eder.

Port bilgisi de tek başına yeterli değildir. Aynı port numarası TCP ve UDP altında farklı bağlantıları ifade edebileceği için protokol bilgisi de incelemeye dâhil edilmelidir.

Birkaç Saniyelik Fark Neyi Değiştirir?

CGNAT eşleştirmeleri sürekli oluşturulabilir, sonlandırılabilir ve yeniden kullanılabilir.

Aynı dış port belirli bir zaman aralığında bir aboneye, daha sonra başka bir aboneye tahsis edilmiş olabilir:

23:17:03 – 23:17:46 → Abone A
23:19:12 – 23:20:08 → Abone C

Bu nedenle yalnızca IP ve port bilgisine sahip olmak da yeterli olmayabilir. Olay zamanının doğru belirlenmesi gerekir.

İncelenen sistemlerin saat dilimleri farklıysa veya sistem saatleri birbiriyle uyumlu değilse kayıtlar yanlış eşleştirilebilir. Yoğun kullanılan bir CGNAT sisteminde birkaç saniyelik fark dahi başka bir bağlantıya işaret edebilir.

Eşleşme Bir İnsanı Gösterir mi?

Servis sağlayıcının kayıtlarında şu eşleşmenin bulunduğunu düşünelim:

203.0.113.42:53124
TCP
05.08.2026 23:17:04
→ Abone A

Bu kayıt, bağlantının belirtilen anda hangi abonelik veya servis sağlayıcı oturumuyla ilişkili olduğunu gösterebilir.

Ancak işlemi hangi cihazın gerçekleştirdiğini ve cihazı kimin kullandığını tek başına ortaya koymaz.

CGNAT eşleşmesi → bağlantı veya abonelik
Bağlantı ≠ cihaz
Cihaz ≠ kullanıcı

Port bilgisi aynı IP’yi paylaşan aboneliklerin ayrılmasına yardımcı olur. Fakat klavyenin başındaki kişiyi doğrudan göstermez.

Hukuki Değerlendirmede Bağlam

Türkiye’de CGNAT kayıtlarının delil niteliği özellikle ByLock yargılamaları bağlamında tartışılmıştır.

Anayasa Mahkemesinin Aydın Boybey kararında, Yargıtay içtihadına atıfla yalnızca BTK’dan getirtilen CGNAT kayıtlarının kişinin ByLock kullanıcısı olduğunun tespiti açısından yeterli delil kabul edilmediği belirtilmiştir.

Bu değerlendirme belirli bir ceza yargılamasına ve ByLock kullanımının ispatına ilişkindir. Dolayısıyla karardan “CGNAT kayıtlarının delil değeri yoktur” şeklinde genel bir sonuç çıkarılamaz.

CGNAT kayıtları önemli bir teknik izdir. Ancak bu izin hangi bağlantıyı gösterdiği, hangi verilerle doğrulandığı ve hangi çıkarımları desteklemediği açıkça ortaya konulmalıdır.

Dijital İzden Olay Örgüsüne

Bir CGNAT incelemesinde yalnızca “Bu IP kime ait?” sorusu sorulmamalıdır.

Kaynak portu ve protokol bilgisi bulunuyor mu? Sistem saatleri birbiriyle uyumlu mu? Servis sağlayıcının eşleştirme kaydı aynı zaman aralığını kapsıyor mu? Hesap, cihaz ve uygulama kayıtları bağlantıyı doğruluyor mu?

Dijital delilin gücü, tek bir kaydın kesin görünmesinden değil, birbirinden bağımsız verilerin aynı olay örgüsünü doğrulamasından gelir.

CGNAT mimarisinde aynı genel IP adresi, aynı anda birçok farklı aboneliği temsil edebilir.

IP adresi ortak olabilir.

Portlar ve bağlantılar farklı olabilir.

Bu nedenle dijital olay yerinde sorulması gereken asıl soru şudur:

“Bu IP, port, protokol ve zaman bilgisi hangi bağlantıyla eşleşiyor; diğer dijital bulgular bu eşleşme hakkında ne söylüyor?”

Çünkü dijital dünyada aynı IP adresini paylaşmak mümkündür.

Aynı eylemi paylaşmak ise bambaşka bir iddiadır.

Dijital Olay Yeri, teknolojinin geride bıraktığı izleri ve bu izlerden yapılan çıkarımların sınırlarını teknik ve hukuki perspektiflerin kesiştiği noktada ele alan bir yazı dizisidir.

Sıradaki dosya

DİJİTAL OLAY YERİ #03 — Dijital Delilde Zaman: Birkaç Saniye Bütün Hikâyeyi Değiştirebilir mi?

Kaynaklar

• RFC 6598 — IANA-Reserved IPv4 Prefix for Shared Address Space
• RFC 6888 — Common Requirements for Carrier-Grade NATs
• RFC 7422 — Deterministic Address Mapping to Reduce Logging in CGN Deployments
• Anayasa Mahkemesi — Aydın Boybey, B. No: 2019/18443, 11.06.2025