PPPoE Nedir? Modem Köprü Modu ve Çift NAT

PPPoE (Point-to-Point Protocol over Ethernet), servis sağlayıcının abone hattında bir oturum kurmasını, aboneyi kullanıcı adı ve parolasıyla doğrulamasını ve ona adres vermesini sağlayan protokoldür. Adındaki PPP eski çevirmeli bağlantıların protokolüdür; PPPoE onu Ethernet çerçevelerinin içine taşır. Modemin arayüzünde servis sağlayıcının verdiği kullanıcı adı ve parolayı gördüğünüz alanlar, bu oturum içindir. Lab’da bir PPPoE sunucusu ile bir istemci arasındaki oturumu paket paket kaydettim: keşif yarım milisaniyede bitti, oturum üç saniyede kuruldu ve hattın MTU’su 1492’ye indi.

Bir süpermarket şubesine mal, lojistik firmasının araçlarıyla gelir. Firma her gönderiyi standart kolinin içine koyduğu kendi etiketli kasasıyla taşır: kasanın etiketi gönderinin hangi şubeye ait olduğunu söyler. Kasa kullanışlıdır, ama duvarları kolinin içinde biraz yer kaplar ve aynı koliye artık biraz daha az mal sığar. PPPoE’de kasanın etiketi oturum numarası, duvarları da her çerçeveye eklenen 8 baytlık başlıktır.

Bu yazı ağ protokolleri rehberimizin bir parçasıdır ve Kurumsal Network Kurulumu hizmetimizde her yeni hatta verdiğimiz ilk kararı anlatır: PPPoE oturumunu modem mi kuracak, firewall mı?

PPPoE Nedir? Ethernet Üzerinden Abone Oturumu

PPPoE’nin yaptığı iş, Ethernet’in tek başına yapmadığı üç şeydir:

1. Kimlik doğrulama: abone, servis sağlayıcıya kullanıcı adı ve parolasıyla kendini tanıtır. Ethernet’te böyle bir adım yoktur; kabloya takılan her cihaz konuşabilir.
2. Adres verme: doğrulanan aboneye oturum boyunca kullanacağı adres ve DNS sunucuları verilir.
3. Oturum izleme: iki taraf hattın hâlâ ayakta olup olmadığını düzenli aralıkla sorar; biri susarsa oturum kapanır.

Servis sağlayıcı açısından bunun karşılığı, hangi adresin hangi aboneye ait olduğunu her an bilmektir. DHCP de adres verir, ama kimlik sormaz. DHCP yazımızda anlattığımız adres dağıtımı, kablonun ucundaki cihaza güvenilen bir iç ağ içindir; servis sağlayıcının hattı ise binlerce aboneyi taşır.

PPPoE, Ethernet yazımızda anlattığımız çerçevenin içinde çalışır. Çerçevenin EtherType alanı iki değer alır: keşif paketleri için 0x8863, oturum paketleri için 0x8864. Kablodaki bir çerçevenin PPPoE olduğu bu alandan anlaşılır.

PPPoE Ne İşe Yarar? Neden Geliştirildi?

PPPoE’nin günlük hayattaki karşılığı, modeminizin kurulum ekranında istenen kullanıcı adı ve paroladır. Servis sağlayıcı kablonun ucundaki cihazı bu ikisiyle tanır, hattınızı açar ve adresinizi verir. Bilgisayarınız ya da telefonunuz bunu hiç görmez, oturumu modem ya da firewall sizin yerinize kurar.

Gerçek Hayatta Ne İşinize Yarar?

Bu bilgi dört anda işe yarar:

1. Modemi ya da firewall’u değiştirdiğinizde. Hattın kimliği cihazda değil, kullanıcı adı ve parolada durur. Yeni cihaza aynı ikisini yazarsınız ve hat açılır. Bu yüzden hat açılırken verilen kullanıcı adı ve parola bir yerde saklanır. Elinizde yoksa yeni cihaz bağlanamaz ve servis sağlayıcıdan yeniden istenir.
2. Modemi köprü moduna aldığınızda. Oturumu artık firewall kurar ve hattın adresi doğrudan firewall’a gelir. Trafik iki kez çevrilmez. Farkı aşağıdaki köprü modu bölümünde ölçtük, FortiGate’te nasıl kurulduğunu WAN ayarı yazımızda anlattık.
3. Hat açılmadığında. Bağlantı sırayla kurulur: önce sunucu bulunur, sonra kimlik doğrulanır, en son adres verilir. Takıldığı adım sorunun yerini gösterir. Sunucu hiç cevap vermiyorsa sorun hatta ya da servis sağlayıcıdadır. Kimlik doğrulama reddediliyorsa kullanıcı adına ya da paroladadır. Adımları aşağıda paket paket gösterdik.
4. Bazı siteler açılıp bazıları takıldığında. PPPoE hattı her pakete 8 bayt ekler ve hattın MTU’su 1492’ye iner. Büyük paketlerin takılması bu farktan çıkabilir, MTU bölümünde ölçtük.

PPPoE Neden Geliştirildi?

PPPoE’yi tanımlayan RFC 2516 Şubat 1999’da yayımlandı. Çözdüğü sorunu ilk paragrafında, birbiriyle çatışan iki hedef diye koyuyor:

1. Aynı yerdeki birden çok bilgisayarı tek bir abone cihazıyla bağlamak: “It is desirable to connect multiple hosts at a remote site through the same customer premise access device.” RFC’ye göre bunun en ucuz yolu Ethernet’ti.
2. Çevirmeli bağlantıdaki erişim denetimini ve faturalamayı korumak: “It is also a goal to provide access control and billing functionality in a manner similar to dial-up services using PPP.”

Ethernet bilgisayarları ucuza bağlar, ama kabloya takılanın kim olduğunu sormaz. PPP aboneyi kullanıcı adı ve parolasıyla tanır, ama iki uçlu bir hat ister. PPPoE ikisini birleştirdi: PPP oturumu Ethernet çerçevesinin içinde taşınır ve RFC’nin deyişiyle erişim denetimi ile fatura “on a per-user, rather than a per-site, basis” yapılabilir.

Ethernet’te iki uçlu bir hat olmadığı için PPPoE’ye bir keşif aşaması eklendi: istemci önce karşı ucun Ethernet adresini öğrenir ve bir oturum numarası alır. Aşağıda kaydettiğimiz dört keşif paketi bu işi yapıyor.

Örnekteki mağaza şubesinde bu, lojistik firmasının mal getirdiği her şubeyi ayrı bir müşteri hesabıyla tanımasıdır. Kasanın etiketi gönderiyi o hesaba bağlar, firma da hangi şubeye ne taşıdığını ve kime fatura keseceğini bilir.

RFC’nin “per-user” dediği şeyi gündelik hayatta da görürsünüz. İnternet faturanızı ödemeyi unuttuğunuzda servis sağlayıcı mahallenizdeki binlerce kullanıcının değil, yalnız sizin internetinizi kesebilir. Bunu mümkün kılan, hattınızın sizin kullanıcı adınızla açılmış ayrı bir oturum olmasıdır. Kesme kararını PPPoE vermez, servis sağlayıcının kimlik doğrulama sunucusu verir. Bu konuşmanın standart protokolü RADIUS’tur ve sunucu iki yoldan birini kullanabilir:

1. Bir sonraki bağlanmada reddetmek: aboneliğiniz askıdaysa modeminizin gönderdiği kullanıcı adı ve parola kabul edilmez, oturum hiç kurulmaz.
2. Açık oturumu kapattırmak: sunucu, oturumu taşıyan servis sağlayıcı cihazına bir kesme mesajı gönderir. Mesaj RFC 5176’da tanımlı: “Disconnect-Request packets cause user session(s) to be terminated immediately”.

PPPoE Bağlantısı Nasıl Kurulur? Keşif ve Oturum

PPPoE bağlantısı iki aşamada kurulur: önce istemci bir sunucu bulur ve bir oturum numarası alır, sonra o oturumun içinde PPP konuşulur. İkisini görmek için lab sunucusunda iki ayrı ağ ortamı kurdum ve aralarına sanal bir kablo çektim. Bir tarafta servis sağlayıcıyı taklit eden bir PPPoE sunucusu (rp-pppoe), öbür tarafta abonenin istemcisi (pppd) çalışıyor. Ağ ortamlarının ve sanal kablonun ne olduğunu NAT yazımızın lab bölümünde anlattık.

Keşif: Dört Paketle Sunucu Bulmak

İstemci bağlanmaya çalıştığında kabloya kimin sunucu olduğunu bilmeden bir yayın gönderir. Keşfin dört paketi yarım milisaniyede bitti:

04:57:26.974777 42:c0:1a:74:7c:53 > ff:ff:ff:ff:ff:ff, ethertype PPPoE D (0x8863), length 32: PPPoE PADI [Service-Name] [Host-Uniq 0xE5200000]
04:57:26.974829 d2:7f:8b:da:67:e2 > 42:c0:1a:74:7c:53, ethertype PPPoE D (0x8863), length 75: PPPoE PADO [AC-Name "isp-lab"] [Service-Name "internet"] [AC-Cookie 0x87E7...] [Host-Uniq 0xE5200000]
04:57:26.974845 42:c0:1a:74:7c:53 > d2:7f:8b:da:67:e2, ethertype PPPoE D (0x8863), length 56: PPPoE PADR [Service-Name] [Host-Uniq 0xE5200000] [AC-Cookie 0x87E7...]
04:57:26.975274 d2:7f:8b:da:67:e2 > 42:c0:1a:74:7c:53, ethertype PPPoE D (0x8863), length 40: PPPoE PADS [ses 0x2] [Service-Name "internet"] [Host-Uniq 0xE5200000]

Dört paketin işi sırasıyla şudur:

1. PADI (keşif isteği): istemci yayın adresine (ff:ff:ff:ff:ff:ff) “burada bir sunucu var mı?” diye sorar.
2. PADO (teklif): sunucu adını (isp-lab) ve verdiği servisi (internet) söyleyerek cevap verir.
3. PADR (seçim): istemci teklifi seçer ve o sunucuya doğrudan başvurur.
4. PADS (onay): sunucu oturumu açar ve bir oturum numarası verir (ses 0x2).

Bu andan sonra her çerçeve bu oturum numarasını taşır. Örnekteki mağaza şubesinde bu, lojistik firmasının şubeye kasa etiketi vermesidir: bundan sonra gelen her kasa o etiketle tanınır.

Oturum: LCP, CHAP ve IPCP

Oturum açıldıktan sonra çerçevelerin EtherType’ı 0x8864’e döner ve içlerinde PPP konuşulur. Üç adım art arda geldi:

1. LCP (bağlantı ayarları): iki taraf hattın özelliklerinde anlaşır. Pakette MRU (alınabilecek en büyük paket) 1492, kimlik doğrulama yöntemi CHAP olarak geçiyor.
2. CHAP (kimlik doğrulama): sunucu istemciye rastgele bir sayı (challenge) gönderir; istemci bunu parolasıyla birleştirip hash’ini geri yollar. Parola hatta hiç gitmez; pakette yalnız kullanıcı adı ve hash görünüyor. Sunucunun cevabı Access granted.
3. IPCP (adres ayarları): istemci adres ister, sunucu ona bir adres ve DNS sunucusu atar.

Adresin nasıl verildiği pakette açıkça görünüyor. İstemci adresini bilmediği için boş bir istekle başlıyor; sunucu isteği “şunu kullan” diyerek geri çeviriyor (Conf-Nack) ve istemci aynı adresi onaylıyor:

04:57:30.006688 PPPoE  [ses 0x2] IPCP, Conf-Nack (0x03), id 1, length 24
	  IP-Addr Option (0x03), length 6: 100.64.10.21
	  Pri-DNS Option (0x81), length 6: 100.64.0.53
04:57:30.008366 PPPoE  [ses 0x2] IPCP, Conf-Ack (0x02), id 2, length 24
	  IP-Addr Option (0x03), length 6: 100.64.10.21
	  Pri-DNS Option (0x81), length 6: 100.64.0.53

İstemcide artık ppp0 adında yeni bir arayüz vardı, sunucunun verdiği adresle ve varsayılan rota o arayüzü gösteriyordu:

ppp0             UNKNOWN        100.64.10.21 peer 100.64.0.1/32
default dev ppp0 scope link

Çıktıdaki peer 100.64.0.1/32 oturumun öbür ucu, yani servis sağlayıcının PPPoE sunucusu. Varsayılan rota bu yüzden bir adres değil arayüz gösteriyor (dev ppp0): iki uçlu bağlantıda arayüzden çıkan her paket zaten karşı uca varır.

Keşiften adrese kadar bütün kurulum yaklaşık üç saniye sürdü; sürenin çoğu LCP’nin ayar tekrarlarıydı. Lab’daki adresleri servis sağlayıcıların paylaşımlı kullandığı 100.64.0.0/10 bloğundan verdim (RFC 6598). Gerçek bir hatta bu adres ya hattın genel adresidir ya da servis sağlayıcının kendi NAT’ının (CGNAT) arkasındaki bir adrestir.

PPPoE MTU Neden 1492? Sekiz Baytlık İç Kasa

Oturumun her çerçevesi, Ethernet başlığının arkasında 6 baytlık PPPoE başlığını ve 2 baytlık PPP başlığını taşır. Ethernet’in veri alanı 1500 bayttır ve bu 8 bayt o alandan harcanır:

Sınırı ping’le ölçtüm. PPPoE hattı üzerinden bölünmeyi yasaklayarak (-M do) önce 1464, sonra 1465 baytlık veriyle ping gönderdim:

ping -s 1464:
1472 bytes from 100.64.0.1: icmp_seq=1 ttl=64 time=0.262 ms
ping -s 1465:
ping: local error: message too long, mtu=1492

1464 bayt veri, 8 baytlık ICMP ve 20 baytlık IP başlığıyla tam 1492 bayt eder ve geçti. Bir bayt fazlası yola hiç çıkmadı. Kablodaki çerçeve ise yine 1514 bayttı: paket yakalamada PPP’nin taşıdığı kısım length 1494 (1492 bayt IP ve 2 bayt PPP) olarak göründü. Düz Ethernet’teki aynı sınırı Ethernet yazımızın MTU bölümünde 1500 bayt olarak ölçmüştük.

Bu 8 baytın pratik bedeli iç ağda ortaya çıkar. İç ağdaki bilgisayarlar 1500 baytlık paketlerle konuşur; dışarı giden büyük bir paket PPPoE hattına sığmaz. Yol üzerinde bir cihaz bunu bildirmezse bağlantı kurulur ama büyük sayfalar yarıda kalır.

Bu yüzden PPPoE yapan cihazda MSS düzeltmesi (MSS clamping) açılır: cihaz TCP bağlantısının başında karşı tarafa gönderilebilecek en büyük parça boyutunu (MSS) 1452 bayta indirir ve sorun hiç doğmaz. 1452, 1492 bayttan 20 baytlık IP ve 20 baytlık TCP başlığı düşülünce kalan yerdir. Büyük paketin yolda neden sessizce kaybolduğunu ICMP yazımızda anlattık.

PPPoE Hattı Kopunca Ne Olur? LCP Yankısı

PPPoE oturumu, iki tarafın birbirine düzenli aralıkla “orada mısın?” diye sormasıyla ayakta durur. Lab’daki sunucu her 10 saniyede bir LCP yankı isteği gönderiyor ve üç cevapsız istekten sonra oturumu kapatıyordu. Elektriği kesilen bir modemi taklit etmek için istemciyi haber vermeden durdurdum (04:58:26):

04:58:20.030209 PPPoE  [ses 0x2] LCP, Echo-Request (0x09), id 5, length 10
04:58:20.030845 PPPoE  [ses 0x2] LCP, Echo-Reply (0x0a), id 5, length 10
04:58:30.036186 PPPoE  [ses 0x2] LCP, Echo-Request (0x09), id 6, length 10
04:58:40.046312 PPPoE  [ses 0x2] LCP, Echo-Request (0x09), id 7, length 10
04:58:50.056429 PPPoE  [ses 0x2] LCP, Echo-Request (0x09), id 8, length 10
04:59:00.069854 PPPoE  [ses 0x2] LCP, Term-Request (0x05), id 2, length 25
04:59:06.095990 PPPoE PADT [ses 0x2] [Generic-Error "RP-PPPoE: Child pppd process terminated"]

Son cevap 04:58:20’de geldi. Sonraki üç yankı isteği cevapsız kaldı, sunucu 04:59:00’da oturumu kapatma isteği gönderdi ve 04:59:06’da PADT paketiyle oturumu bitirdi. İstemcinin kaybolmasından oturumun kapanmasına kadar 40 saniye geçti. Bu süre boyunca sunucu tarafında oturum açık görünür; servis sağlayıcının panelinde “bağlı” yazan bir hat, aslında yarım dakikadır ölü olabilir.

Modem Köprü Modu Nedir? PPPoE’yi Kim Yapar?

Modem köprü modu (bridge mode), modemin PPPoE oturumunu ve NAT’ı bırakıp çerçeveleri açmadan arkasındaki cihaza geçirdiği çalışma biçimidir. Kurumsal bir ağda modemin arkasında bir firewall durur ve PPPoE oturumunu ikisinden biri kurar:

1. Yönlendirici modu: modem PPPoE oturumunu kurar, hattın adresini kendisi alır ve iç tarafına özel bir ağ açar. Firewall’un dış bacağı bu özel ağdan bir adres alır (192.168.1.x). Firewall da kendi iç ağı için NAT yapınca her paket iki kez çevrilir.
2. Köprü modu: modem yalnız hattı Ethernet’e çevirir. PPPoE oturumunu firewall kurar, hattın adresi doğrudan firewall’un dış bacağına gelir ve NAT bir kez yapılır.

Çift NAT’ın bedelini NAT yazımızda lab’da ölçtük: dışarıdan içeriye bir servis açmak için iki cihaza ayrı ayrı kural yazmak gerekir ve biri unutulunca servis ulaşılmaz olur. Köprü modunun üç kazancı daha var:

1. Tek yerde yönetim: port yönlendirme, kural ve NAT yalnız firewall’da yazılır.
2. Gerçek dış adres logda: firewall’un trafik logunda çevrilen adres olarak hattın gerçek dış adresi görünür. 5651 kaydında eşleşme bu adresle yapılır; modemin arkasındaki özel adres bir işe yaramaz.
3. Hat sorunları firewall’da görünür: oturumun düşmesi, yeniden kurulması ve adresin değişmesi firewall’un olay logunda durur.

Köprü moduna geçmek için servis sağlayıcının verdiği PPPoE kullanıcı adı ve parolası gerekir, çünkü oturumu artık firewall kuracaktır. Bilgi yalnız modemin yapılandırmasında duruyorsa, modemi köprüye almadan önce servis sağlayıcıdan istenir.

Örnekteki mağaza şubesi bir AVM’nin içindeyse, mallar önce AVM’nin yükleme rampasına gelir. Rampa sorumlusu lojistik firmasının kasasını açıp malları AVM’nin kendi kolisine yeniden paketlerse, şube gönderinin kime ait olduğunu artık kasa etiketinden okuyamaz: bu yönlendirici modudur. Rampa kasayı açmadan şubeye geçirirse etiket şubeye kadar gelir: bu köprü modudur.

Sonuç: PPPoE Oturumunu Tek Bir Cihaz Kurmalı

PPPoE, servis sağlayıcının aboneyi tanıyıp ona adres verdiği bir oturumdur: dört paketlik keşif, LCP, CHAP ve IPCP ile kurulur, her çerçeveye 8 bayt ekleyerek MTU’yu 1492’ye indirir ve yankı istekleriyle ayakta durur. Kurumsal ağda asıl karar oturumu kimin kurduğudur. Modem kurarsa trafik iki kez çevrilir; modem köprüde kalıp oturumu firewall kurarsa NAT, kurallar ve log tek yerde toplanır.

Örnekteki süpermarket şubesinde lojistik firmasının etiketli kasası ancak rampada açılmadan geçerse şubeye kendi etiketiyle ulaşır. Hattın kendisini, statik adresi ve yedek hattı kurumsal internet hattı yazımızda anlattık. PPPoE oturumunu firewall’da kurmayı ve MSS’in hatta geçerken 1452’ye düzeltildiğini FortiGate Firewall WAN ayarı yazımızda ölçtüm.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn