CGNAT Nedir? IP Adresi Tespitinde Önemi ve Bilirkişi Analizi Rehberi
CGNAT (Carrier-Grade NAT), modern GSM operatörlerinin kıt IPv4 adreslerini birden fazla aboneye paylaştırmak için kullandığı ağ teknolojisidir. Bu paylaşım, siber suç soruşturmalarında “şu IP adresine bağlanan kişi kim?” sorusuna doğrudan yanıt verilmesini zorlaştırır. CGNAT logları ve HTS GPRS kayıtlarının çapraz analiziyle NAT IP’sinin arkasındaki gerçek aboneye ulaşılır. Bu rehberde CGNAT’ın teknik temellerini, çalışma prensibini, IP tespitindeki rolünü ve bilirkişi analizinin yöntemlerini ele alıyoruz.
Carrier-Grade NAT — Operatör Düzeyi Ağ Adres Çevirimi
IPv4 adres kıtlığı — yaklaşık 4 milyar IP, milyarlarca cihaz
Port aralıklarıyla aboneler birbirinden ayrılır
Siber suç ve dolandırıcılık tespitinde kritik rol
CGNAT Nedir? Tanım ve Açılım
CGNAT, İngilizce “Carrier-Grade NAT” kelimelerinin baş harflerinden oluşan bir kısaltmadır ve Türkçeye “Operatör Düzeyi Ağ Adres Çevirimi” olarak çevrilir. Bazen “Large-Scale NAT (LSN)” olarak da anılır.
Anlamak için önce NAT (Network Address Translation) kavramından bahsetmek gerekir. NAT, bir ağdaki birden fazla cihazın tek bir kamu IP adresi üzerinden internete çıkmasını sağlayan teknolojidir. Evdeki modeminizin yaptığı iş NAT’tır: evdeki tüm cihazlar (telefon, bilgisayar, akıllı TV) modemin atadığı kamu IP’si üzerinden internete erişir.
CGNAT, NAT’ın operatör seviyesinde uygulanmış halidir. Yani sadece sizin evinizdeki cihazları değil, operatörün on binlerce abonesini aynı kamu IP havuzu üzerinden internete bağlar. Türkiye’de Turkcell, Vodafone ve Türk Telekom mobil internette CGNAT teknolojisini yaygın olarak kullanır.
CGNAT’ı büyük bir ofis binası gibi düşünün. Binanın tek bir sokak adresi vardır (kamu IP), ama içeride yüzlerce farklı ofis bulunur. Bir kargo sokak adresine gönderildiğinde, hangi ofise gideceği oda numarasıyla (port) belirlenir. CGNAT’ta da kamu IP + port aralığı kombinasyonu, hangi abonenin trafiği olduğunu belirler.
Neden CGNAT Kullanılır?
CGNAT’ın yaygın kullanılmasının temel sebebi IPv4 adres kıtlığıdır.
IPv4 Adres Kıtlığı Sorunu
İnternet’in temelinde yatan IPv4 protokolü, toplam ~4.3 milyar adres sunabilir (2³² = 4,294,967,296). Bu sayı 1980’lerde tasarlandığında dünya nüfusu için fazlasıyla yeterliydi. Ancak bugün:
- Dünyada 5 milyardan fazla internet kullanıcısı var
- Her kullanıcı ortalama 3-5 cihaz kullanıyor
- IoT cihazları (akıllı saat, kamera, ev otomasyon) ile bu sayı katlanarak artıyor
- Kullanılabilir IPv4 adresleri 2011’de bitti (IANA havuzu tükenmesi)
IPv6 Geçişi Yavaş İlerliyor
Yeni nesil protokol IPv6, neredeyse sınırsız adres alanı sunar (340 undecilyon adres). Ancak altyapı geçişi yavaş ilerliyor. Bu yüzden operatörler geçici çözüm olarak CGNAT’ı kullanıyor.
Operatör Avantajları
CGNAT, operatörlere şu pratik avantajları sağlar:
- IP Tasarrufu: Bir kamu IP’siyle yüzlerce aboneye hizmet
- Maliyet: IPv4 adresleri pahalı (~25-50 USD/adres karaborsa fiyatı)
- Güvenlik: Aboneler doğrudan internetten erişilemez (firewall etkisi)
- Esneklik: Trafik yoğunluğuna göre IP’leri dinamik olarak yönetebilme
CGNAT Nasıl Çalışır?
CGNAT’ın çalışma prensibini bir örnekle açıklayalım. Diyelim ki Turkcell’in CGNAT havuzunda
bir kamu IP adresi var: 88.235.42.107. Bu havuza bağlı 5 farklı abone (Ahmet,
Mehmet, Ayşe, Fatma, Ali) aynı anda Google’a bağlanıyor.
Adım 1: Cihazlara İç IP Atama
Operatör, her aboneye özel (private) IP adresi atar. Bu adresler RFC 1918 veya RFC 6598 standartlarına uygun aralıklardan seçilir:
10.0.0.0 - 10.255.255.255(ev/kurumsal NAT için)100.64.0.0 - 100.127.255.255(CGNAT için ayrılmış RFC 6598)172.16.0.0 - 172.31.255.255192.168.0.0 - 192.168.255.255
| Abone | Atanan İç IP |
|---|---|
| Ahmet (530-XXX-XX-X1) | 10.20.1.5 |
| Mehmet (530-XXX-XX-X2) | 10.20.1.27 |
| Ayşe (530-XXX-XX-X3) | 10.20.1.42 |
| Fatma (530-XXX-XX-X4) | 10.20.1.84 |
| Ali (530-XXX-XX-X5) | 10.20.1.91 |
Adım 2: Port Aralığı Atama
Tek bir kamu IP’si üzerinde 65,536 port bulunur (0-65535 arası). CGNAT, her aboneye bir port aralığı tahsis eder. Yaygın uygulama: her aboneye 1024’lük blok atanır.
| Abone | Port Aralığı | Toplam Port |
|---|---|---|
| Ahmet | 10000 - 11023 |
1024 |
| Mehmet | 11024 - 12047 |
1024 |
| Ayşe | 12048 - 13071 |
1024 |
| Fatma | 13072 - 14095 |
1024 |
| Ali | 14096 - 15119 |
1024 |
Adım 3: Trafik Çevirimi
Bir abone (Ahmet) Google’a bağlandığında, paket sırasıyla şu dönüşümlerden geçer:
- Cihazdan çıkış:
10.20.1.5:5283 → 142.250.187.78:443(Google IP) - CGNAT içeride: Kaynak adresi
10.20.1.5:5283→88.235.42.107:10847olarak değiştirir - İnternete çıkış:
88.235.42.107:10847 → 142.250.187.78:443 - Eşleşme tablosuna yazılır: CGNAT bir kayıt tutar “5283 portuyla iç IP 10.20.1.5’ten gelen bağlantı, dış 10847 portuna çevrildi”
Adım 4: Geri Yön Çevirim
Google’dan cevap geldiğinde, CGNAT eşleşme tablosuna bakıp paketi doğru aboneye iletir. Kullanıcı bu süreçten habersizdir, normal bir internet bağlantısı yaşar.
CGNAT Logları Neyi İçerir?
CGNAT cihazları, her oturum açma/kapatma işlemini log kaydı olarak tutar. Bu loglar, operatör tarafından belirli süre saklanır ve mahkeme veya savcılık kararıyla BTK aracılığıyla talep edilebilir.
Tipik bir CGNAT log kaydı şu bilgileri içerir:
| Alan | İçerik | Örnek |
|---|---|---|
| Tarih / Saat (Başlangıç) | Oturumun açıldığı an | 15.03.2024 14:23:45 |
| Tarih / Saat (Bitiş) | Oturumun kapandığı an | 15.03.2024 14:34:12 |
| Abone Hat Numarası (MSISDN) | Telefon numarası | +90 530 XXX XX XX |
| İç (Private) IP | Aboneye atanan özel IP | 10.20.1.5 |
| İç Port | Cihazın kaynak portu | 5283 |
| Kamu IP | İnternette görünen IP | 88.235.42.107 |
| Kamu Port | Çevrilmiş dış port | 10847 |
| Hedef IP | Bağlanılan sunucu IP’si | 142.250.187.78 |
| Hedef Port | Sunucudaki port | 443 (HTTPS) |
| IMEI / IMSI | Cihaz / SIM kart kimliği | Tipik olarak yer alır |
Türkiye’de operatörler, 5651 sayılı Kanun uyarınca CGNAT loglarını en az 2 yıl saklamak zorundadır. Bu süre içinde mahkeme veya savcılık kararıyla BTK aracılığıyla bu loglara ulaşılabilir. 2 yıl geçtikten sonra loglar silinebilir ve geri getirilemez.
CGNAT’ın HTS ile İlişkisi
CGNAT logları ile HTS kayıtları farklı amaçlar için tutulur, ancak birbirini tamamlayan veri kaynaklarıdır:
| Özellik | HTS Kayıtları | CGNAT Logları |
|---|---|---|
| Ne tutar? | Ses, mesaj, GPRS bağlantısı | İnternet trafiği oturumları |
| Konum bilgisi | Var (baz istasyonu) | Yok (sadece IP atama bilgisi) |
| İletişim hedefi | Karşı taraf numarası | Hedef IP / sunucu |
| Cihaz bilgisi | IMEI/IMSI | İç IP, IMEI/IMSI |
| Kullanım | Konum, birliktelik, iletişim örüntüsü | İnternet trafiği analizi, IP tespiti |
HTS kayıtlarındaki GPRS (İnternet Bağlantı) bölümünde, abone bir bağlantı açtığında kendisine atanan iç IP kaydedilir. Bu iç IP, CGNAT logundaki kayda eşleşir. İşte “çapraz analiz” bu iki kaynağın bir araya getirilmesidir.
İlgili Yazı: HTS Kayıtları Nedir? HTS kayıtlarındaki GPRS bölümü ve internet bağlantısı verileri rehberi.CGNAT ile IP Tespiti Nasıl Yapılır?
Adli soruşturmalarda en sık karşılaşılan senaryo şudur: Bir siber suç işlenir (dolandırıcılık, hakaret, terör propagandası, vb.) ve hedef sistemin loglarında bir kamu IP adresi tespit edilir. “Bu IP’den bağlanan kişi kim?” sorusunun yanıtı için CGNAT logları gereklidir.
Adım 1: Kaynak Bilgilerin Tespiti
Hedef sistemin (örneğin sosyal medya platformu, bankanın websitesi) loglarında şu üçlü aranır:
- Kamu IP:
88.235.42.107 - Kaynak Port:
10847 - Tarih ve Saat:
15.03.2024 14:23:45
Tek başına IP yetmez. Çünkü CGNAT havuzunda aynı IP’yi onlarca, yüzlerce abone paylaşıyor olabilir. Saat ve port bilgisi ayrıştırma için zorunludur.
Adım 2: BTK’ya Talep
Mahkeme veya savcılık kararıyla BTK’dan, belirtilen tarih ve saatte, belirtilen kamu IP’sinin (ve port aralığının) hangi aboneye atandığı bilgisi talep edilir.
Adım 3: Operatörün CGNAT Loglarından Tespit
İlgili operatör, CGNAT loglarında şu sorguyu yapar:
“Hangi abone, 15.03.2024 14:23:45 tarihinde, kamu IP 88.235.42.107 üzerinden 10847 portunu kullanıyordu?”
Sonuç: Hat numarası, IMEI, oturum başlangıç/bitiş saatleri.
Senaryo: Twitter’da nefret söylemi içeren bir tweet atan kişinin tespiti
isteniyor. Twitter, kullanıcının IP’sini Türk Adli mercilerine bildiriyor:
88.235.42.107, 14.05.2024 16:30:22, kaynak port 12876.
BTK + Operatör İşbirliği: Talep operatöre iletilir. Operatör CGNAT loglarında şu kaydı bulur:
MSISDN: +90 530 XXX XX 47
İç IP: 10.20.5.183
Kamu IP: 88.235.42.107
Port: 12876 (aralık 12048-13071)
Tarih: 14.05.2024 16:30:22
IMEI: 35XXXXXXXXX1234
Sonuç: Bu hat numarası savcılığa bildirilir. Hat sahipliği bilgisi ile birlikte değerlendirildiğinde fail tespit edilir.
HTS-CGNAT Çapraz Analizi
Daha karmaşık soruşturmalarda, sadece bir IP’nin kime ait olduğunu bulmak yetmez. Şüphelinin fiziksel konumunu, cihazını ve hareketini de doğrulamak gerekir. İşte burada HTS-CGNAT çapraz analizi devreye girer.
Çapraz Analizin Temel Mantığı
Aynı şüphelinin HTS GPRS kayıtlarındaki iç IP atamaları, CGNAT loglarındaki iç IP – kamu IP eşleşmeleri ile aynı zamanda oluşur. İki kayıt seti birleştirildiğinde:
- Şüpheli o sırada nerede bağlandı (HTS – baz istasyonu)
- Şüpheli o sırada hangi kamu IP’sini kullandı (CGNAT)
- Şüpheli hangi sunucuya/IP’ye bağlandı (CGNAT – hedef IP)
Tutarlılık Kontrolü
Çapraz analizde tutarlılık skoru hesaplanır. Beklenen senaryolar:
- Yüksek tutarlılık: Şüphelinin HTS kaydında o sıra konumu var, CGNAT logunda da o sıra trafik var, lokasyon makul mesafe içinde
- Düşük tutarlılık: CGNAT’ta trafik var ama HTS’te baz kaydı yok (cihaz farklı, başkası kullanıyor olabilir)
- Çelişki: HTS kaydı Adana’da, CGNAT trafiği aynı saatte İstanbul’da (iki farklı cihaz, iki farklı yer)
Çoklu Şüpheli Çapraz Analizi
Birden fazla şüpheli için, her birinin HTS ve CGNAT kayıtları çapraz değerlendirilir. Aynı kamu IP’sini paylaşan şüpheliler, aynı CGNAT havuzunda olduklarını gösterir — bu da aynı bölgede oldukları anlamına gelir.
İlgili Modül: Ceza Mahkemeleri HTS ve CGNAT Analizi HTS GPRS kayıtları ile CGNAT loglarının çapraz analizi — siber suçlar, organize suç ve dolandırıcılık dosyalarında kritik analiz. İlgili Modül: Savcılık Dosyaları HTS ve CGNAT Analizi Soruşturma aşamasında HTS ve CGNAT kayıtlarının birlikte değerlendirilmesi — özellikle siber suçlar ve finansal dolandırıcılık dosyalarında.Hangi Suç Türlerinde Kullanılır?
CGNAT analizi, internet üzerinden işlenen veya internet izlerinin bulunduğu her türlü suç soruşturmasında kritik bir araçtır:
Siber Suçlar
- Hesap ele geçirme (account takeover)
- Ransomware ve fidye yazılımı saldırıları
- Phishing (kimlik avı) operasyonları
- Veri sızdırma (data exfiltration)
- DDoS saldırıları
Finansal Suçlar
- İnternet bankacılığı dolandırıcılığı
- Kredi kartı sahteciliği
- E-ticaret üzerinden yapılan dolandırıcılıklar
- Kripto para aklama
İçerik Bazlı Suçlar
- Hakaret, iftira (sosyal medya kayıtları)
- Tehdit ve şantaj iletileri
- Terör propagandası
- Çocuk pornografisi (CSAM) yayma
- Yasadışı içerik paylaşımı
Organize Suç ve Terör
- Bylock benzeri uygulama kullanımı tespiti
- Şifreli iletişim platformlarına bağlantı analizi
- Suç örgütü iletişim ağlarının çıkarılması
CGNAT Analizinde Yazılım Kullanımı
CGNAT logları, HTS kayıtlarından bile çok daha hacimli veri setleri oluşturur. Tek bir CGNAT cihazı, günde milyonlarca log kaydı üretebilir. Bu hacimde verinin Excel’de manuel taranması imkânsızdır. Modern bilirkişi yazılımları bu yükü ele alır.
CGNAT analizi yapan profesyonel bir yazılımın özellikleri:
- BTK ve operatör formatlarındaki CGNAT loglarını otomatik tanıma
- HTS GPRS kayıtları ile çapraz eşleşme
- Çoklu kamu IP arama, port aralığı bazlı filtreleme
- Hedef IP / port grupları ile gelişmiş arama
- Çoklu şüpheli karşılaştırması
- Lokasyon tutarlılığı skoru hesaplama
- IMEI kronolojisi ve cihaz takibi
- Kamu IP havuz analizi (aynı havuzda buluşan kişilerin tespiti)
- Word formatında otomatik bilirkişi raporu üretimi
analizlerim.com İletişim Analiz Sistemi (İAS), CGNAT analizini HTS kayıtlarıyla otomatik çapraz eşleşme, lokasyon tutarlılığı skoru ve görselleştirme özellikleriyle sunan, T.C. Kültür ve Turizm Bakanlığı tarafından 2026/17503 tescil numarasıyla kayıt altına alınmış profesyonel bir bilirkişi platformudur.
İlgili Modül: Aile ve Hukuk Mahkemeleri İletişim Analizi Aile mahkemesi dosyalarında iletişim örüntülerinin otomatik tespiti — boşanma davalarında Word formatında bilirkişi raporu hazır. İlgili Modül: Ses ve Video Dosyalarınızı Metne Çevirme Bilirkişi raporlarında ses kaydı transkripsiyonuna ihtiyacınız varsa — Türkçeye özel eğitilmiş motor, konuşmacı ayırma desteği ve Word çıktısı.CGNAT Analizinde Profesyonel Çözüm
Hediye kontörle analizlerim.com’i deneyin. Aboneliksiz, taahhütsüz başlayın. T.C. Kültür Bakanlığı tarafından tescilli yazılım.
Ücretsiz Hesap Aç →Sıkça Sorulan Sorular
CGNAT ile NAT arasında fark nedir?
Temelde aynı teknolojidir. NAT, evdeki modemde veya küçük ofiste birden fazla cihazı tek IP’den çıkartır. CGNAT ise operatör seviyesinde, binlerce abonenin trafiğini tek havuza alan endüstriyel ölçekli NAT’tır. Mantık aynı, ölçek farklı.
Kamu IP’sini bilmek tek başına yeterli mi?
Hayır. CGNAT’ta aynı kamu IP’sini onlarca abone paylaştığı için, sadece IP yetmez. Kaynak port ve kesin tarih/saat de gerekir. Bu üçlü bilinmeden, abonenin tespiti mümkün değildir.
CGNAT logları ne kadar saklanır?
Türkiye’de 5651 sayılı Kanun uyarınca operatörler iletişim trafik bilgilerini en az 2 yıl saklamak zorundadır. Bu süre sonunda loglar silinebilir ve geri getirilemez. Bu yüzden soruşturmaların hızlı yürütülmesi önemlidir.
VPN kullanan birini CGNAT ile tespit edebilir miyiz?
Doğrudan zor. VPN kullanıldığında trafik VPN sunucusu üzerinden geçer ve kamu IP olarak VPN sunucusunun IP’si görünür. Operatör logları sadece abonenin VPN sunucusuna bağlandığını gösterir. Suçun işlendiği hedef sistemin loglarında VPN IP’si görüneceği için, VPN sağlayıcısının iş birliği gerekir — bu da çoğu zaman uluslararası işbirliği sürecine bağlıdır.
IPv6 yaygınlaşırsa CGNAT’a ihtiyaç kalkar mı?
Tam olarak değil. IPv6 yaygınlaşmasıyla IPv4 NAT ihtiyacı azalır, ancak uzun süre IPv4-IPv6 birlikte yaşayacaktır. Eski sistemler IPv4 kullandığı sürece CGNAT da kullanılmaya devam edecektir. Bu nedenle adli analiz açısından CGNAT, gelecek yıllarda da önemli bir veri kaynağı olarak kalacaktır.
CGNAT log analizinde en sık karşılaşılan sorun nedir?
Veri hacmi. Tek bir günde milyonlarca log kaydı oluşabilir. Manuel arama saatler süren bir iştir. Profesyonel yazılımlar bu süreyi dakikalara indirir. Ayrıca farklı operatörlerin farklı log formatları da analiz sürecini zorlaştırır — yazılımın çoklu format desteği şarttır.
Sonuç
CGNAT (Carrier-Grade NAT), modern internet altyapısının vazgeçilmez bir parçasıdır ve aynı zamanda siber suç soruşturmalarının da merkezinde yer alır. IPv4 adres kıtlığı nedeniyle operatörler tarafından kullanılan bu teknoloji, “şu IP’den bağlanan kim?” sorusunu doğrudan yanıtlamayı zorlaştırır — ancak doğru loglar ve doğru analizle yine de kesin tespit yapılabilir.
Adli soruşturmalarda CGNAT logları, HTS kayıtlarıyla çapraz olarak değerlendirildiğinde çok daha güçlü sonuçlar verir. Şüphelinin internet trafiği, fiziksel konumu, cihaz bilgileri ve hareket güzergâhı tek bir tutarlı tabloda birleştirilir.
Modern CGNAT analizi, devasa veri hacmi nedeniyle profesyonel yazılım desteği olmadan yapılabilecek bir iş değildir. analizlerim.com İletişim Analiz Sistemi, HTS ve CGNAT çapraz analizini bilirkişiler için tek arayüzde sunan, T.C. Kültür ve Turizm Bakanlığı tarafından tescilli bir bilirkişi platformudur.
Bu yazı, analizlerim.com editör ekibi tarafından hazırlanmıştır. İçerik, bilgilendirme amaçlıdır; hukuki danışmanlık niteliği taşımaz. Yazıdaki örnek IP adresleri ve port numaraları kurgusaldır; gerçek IP’lerle benzerlik tesadüfidir. Spesifik bir hukuki sorunla ilgili olarak avukatınıza danışmanız önerilir. Son güncelleme: 10 Mayıs 2026.