Makine Üreticisi Ağlarını Fabrikaya Bağlamak: 1:1 NAT ve IP Çakışması

Seri üretilen makineler fabrikaya çoğu zaman aynı IP planıyla gelir: her dolum makinesinin PLC’si 192.168.0.1, HMI’si 192.168.0.2’dir. Tek makine varken sorun yoktur. İkinci makine aynı ağa bağlandığında çakışma kaçınılmazdır; belirti de genellikle SCADA’da bir makinenin değerlerinin diğerinin ekranında görünmesi ya da bağlantının rastgele kopup gelmesidir. Aşağıda makine üreticisi (OEM) ağlarını fabrika ağına bağlarken 1:1 NAT, masquerade ve routed entegrasyon seçeneklerini, NAT’ın endüstriyel protokollerdeki sınırlarını ve OEM ile sipariş aşamasında yazılı hale getirilmesi gereken teknik maddeleri anlatıyoruz.

Seri makinelerde IP çakışması neden kaçınılmazdır

OEM açısından aynı IP planı bilinçli bir mühendislik tercihidir: PLC programı, HMI projesi, sürücü yapılandırmaları ve test prosedürü her makinede aynı kalır. Fabrika kabul testi (FAT) ve saha devreye alma (SAT) bu sabit plana göre yapılır; uzaktan destek ekibi her makineyi aynı adreslerle tanır. IP değişikliği istendiğinde OEM bunu ek mühendislik işi, garanti ve destek sorumluluğu açısından risk olarak görür. Bu tavır anlaşılırdır.

Fabrika tarafında ise her makineye SCADA, MES, historian ve bakım istasyonlarından tekil bir adresle ulaşılması gerekir. Üstelik makine içindeki aralık (sıklıkla 192.168.0.0/24 veya 192.168.1.0/24) fabrikanın ofis ağında ya da başka bir hücrede de kullanılıyor olabilir; bu durumda sorun yalnız makineler arasında değil, ofis ile makine arasında da çıkar. Fabrikanın kendi adres planının kurulması fabrika ağında IP adresleme ve cihaz isimlendirme standardı yazısının konusu; burada mesele, o planın dışından gelen makine ağlarını çakışmadan bağlamak.

Entegrasyon seçenekleri: 1:1 NAT, masquerade ve routing

Her makinenin içi ile fabrika ağı arasına bir makine router’ı (genellikle NAT ve firewall özellikli endüstriyel bir router veya güvenlik cihazı) konur. Üç temel yöntem var:

• 1:1 NAT (statik NAT, alt ağ eşleme): Makinenin iç alt ağı, fabrika planındaki tekil bir alt ağa birebir eşlenir. 192.168.0.10, fabrika tarafında 10.30.11.10 olarak görünür; host kısmı korunur. İçeri ve dışarı bağlantılar çalışır.
• Masquerade (NAPT): Makineden dışarı giden tüm trafik router’ın tek fabrika IP’sine çevrilir. Dışarıdan makineye bağlantı yalnız port yönlendirmeyle kurulur; aynı porttan hizmet veren birden fazla PLC varsa (iki PLC’de TCP 102 gibi) her biri için farklı dış port gerekir ve çoğu SCADA sürücüsü bunu yönetemez.
• Routed entegrasyon: Makine fabrika planından tekil bir alt ağla yeniden adreslenir; router yalnız yönlendirme ve firewall işi görür. NAT yoktur, protokol sorunları en aza iner, loglarda gerçek adresler görünür.

Kriter	1:1 NAT	Masquerade	Routed
Makinede IP değişikliği	Yok	Yok	Gerekir
Dışarıdan makineye erişim	Tüm cihazlara	Port yönlendirmeyle, sınırlı	Tüm cihazlara
Fabrika IP tüketimi	Makine başına bir alt ağ	Makine başına bir IP	Makine başına bir alt ağ
Protokol uyumluluğu	Çoğu TCP protokolünde iyi	Yalnız giden veri akışlarında iyi	En iyi
Tipik kullanım	Seri makine filosu	Yalnız veri gönderen makine	Yeni projeler, OEM uyumlu

Seri makine filosu için en yaygın ve dengeli seçim 1:1 NAT’tır. Masquerade, makinenin yalnız dışarıya veri gönderdiği (ör. MQTT ile bir broker’a yayın yaptığı) durumlarda yeterlidir. Routed entegrasyon uzun vadede en temiz yapıdır ve yeni satın almalarda şartnameyle zorunlu tutulabilir. Masquerade’i “fabrikadan makineye erişim” için kullanmaya çalışmak, port yönlendirme tablosunu kimsenin çözemediği bir yığına çevirir.

NAT’ın endüstriyel protokollerdeki sınırları

NAT yalnız IP ve TCP/UDP başlıklarını değiştirir. Protokolün içinde taşınan adresleri ve Layer 2 trafiğini düzeltmez. Sahada sorun çıkaranlar:

• PROFINET RT ve DCP: Layer 2 protokolleridir ve router’ı geçmez. Fabrika tarafındaki bir controller, NAT arkasındaki makinenin I/O cihazlarını PROFINET ile süremez; makineler arası I/O gerekiyorsa iki ağa ayrı ayrı IO-device olarak bağlanan ve ağları birbirine bağlamayan bir PN/PN coupler ya da TCP tabanlı veri alışverişi kullanılır. Mühendislik yazılımlarının cihaz keşfi de NAT’ı geçmez; bağlantı eşlenmiş IP adresi girilerek kurulur.
• EtherNet/IP: Explicit messaging (TCP 44818) 1:1 NAT üzerinden genellikle çalışır. Implicit I/O (UDP 2222) varsayılan olarak multicast kullanır ve router’ı geçmez; makineler arası I/O gerekiyorsa unicast bağlantıya ve NAT desteği açıkça belirtilmiş cihazlara yönelin. ListIdentity yanıtı cihazın kendi IP’sini taşıdığından keşif araçları iç adresi gösterebilir. Ekranda görünen adrese güvenmeyin.
• OPC UA: Sunucu, endpoint listesinde kendi iç hostname veya IP adresini döndürür. İstemci bu adrese bağlanmaya çalışırsa NAT arkasında başarısız olur; tipik belirti, keşfin başarılı olup bağlantının hemen ardından düşmesidir. Çözüm, istemcide endpoint URL’yi keşif adresiyle değiştirmek veya sunucuda alternatif hostname tanımlamaktır; sertifikadaki adres alanları da buna göre düzenlenir. Sertifika tarafı OPC UA güvenlik ayarları yazısında.
• OPC Classic (DCOM) ve aktif FTP: Dinamik port kullanır ve yük içinde adres taşırlar; NAT ile sorunludurlar. Bunları NAT üzerinden zorlamak yerine makine tarafına bir OPC UA veya MQTT gateway koymak daha sağlıklıdır.
• Modbus TCP ve S7comm: Yükte IP adresi taşımazlar; 1:1 NAT üzerinden sorunsuz çalışmaya en yakın protokoller bunlardır.

Makine router’ı ve güvenlik sınırı konumu

Makine router’ı yalnız adres çevirmez; makine zonunun sınırıdır. Bu yüzden üç karar en baştan verilir:

1. Sahiplik: Router’ı OEM mi sağlar, fabrika mı? OEM’in sağladığı cihazda yönetim parolası, firmware güncellemesi ve kural değişikliği yetkisinin kimde olacağı yazılı olmalıdır. Tercih edilen model, cihazın fabrika standardından seçilmesi ve yönetiminin fabrikada kalmasıdır.
2. Kural politikası: Router’da yalnız NAT değil, varsayılan ret politikası ve iletişim matrisine göre yazılmış izin kuralları olmalıdır. Router aynı zamanda hücre firewall’u işi görür; yerleşim ve mod seçimi için hücre seviyesinde firewall yazısına bakabilirsiniz.
3. Uzaktan erişim yolu: OEM’in makine içine kendi hücresel modemini veya uzaktan erişim kutusunu koyması, fabrikanın tüm segmentasyonunu baypas eden bir kanal açar. Pano kapağını açıp bakmadan bunu bilemezsiniz. Uzaktan destek fabrikanın onaylı erişim yolundan verilmelidir; güvenlik operasyonu tarafı makine üreticisi uzaktan erişimi rehberinde.

Adres eşleme tablosu ve dokümantasyon

1:1 NAT’ta fabrika tarafının eşlenmiş alt ağa nasıl ulaşacağı ayrıca tasarlanır. İki yol var: eşlenmiş alt ağı fabrikanın Layer 3 switch’inde router’ın dış arayüzüne statik rota olarak tanımlamak ya da eşlenmiş adresleri router’ın dış arayüzünün bulunduğu VLAN’dan seçip router’da proxy ARP kullanmak. Statik rota daha okunaklıdır ve yayın alanını büyütmez. Biz statik rotayı tercih ediyoruz.

Örnek eşleme tablosu (adresler örnektir):

Makine	İç alt ağ	Eşlenmiş alt ağ	Router dış IP
Dolum-01	192.168.0.0/24	10.30.11.0/24	10.30.1.11
Dolum-02	192.168.0.0/24	10.30.12.0/24	10.30.1.12
Dolum-03	192.168.0.0/24	10.30.13.0/24	10.30.1.13

Linux tabanlı bir makine router’ında bu eşleme NETMAP hedefiyle, fabrika Layer 3 switch’indeki rota ise Cisco IOS sözdizimiyle şöyle yazılır (eth0 fabrika tarafı, eth1 makine tarafı):

# Makine router'ı: Dolum-01
iptables -t nat -A PREROUTING  -i eth0 -d 10.30.11.0/24  -j NETMAP --to 192.168.0.0/24
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j NETMAP --to 10.30.11.0/24

# Fabrika L3 switch'i
ip route 10.30.11.0 255.255.255.0 10.30.1.11
ip route 10.30.12.0 255.255.255.0 10.30.1.12
ip route 10.30.13.0 255.255.255.0 10.30.1.13

Ticari endüstriyel router’larda aynı yapı “1:1 NAT” veya “subnet NAT” menüsüyle kurulur. Yöntem ne olursa olsun, eşleme tablosu IPAM kaydına, SCADA sürücü yapılandırmasına ve makine dokümantasyonuna aynı anda işlenir. Eşlenmiş adres yalnız router konfigürasyonunda yaşarsa, ilk arıza teşhisinde ekip iç ve dış adres arasında kaybolur. Host kısmını koruyan eşleme (192.168.0.10 ↔ 10.30.11.10) teşhisi belirgin biçimde kolaylaştırır. NAT davranışının temel tanımı için RFC 3022, NETMAP hedefi için netfilter proje sayfası başvurulacak kaynaklardır.

OEM teknik şartnamesine eklenecek maddeler

NAT sorunlarının çoğu sipariş aşamasında önlenebilir; makine sahaya geldikten sonra her değişiklik ek ücret ve tarih kayması demektir. Satın alma şartnamesine eklenecek maddeler:

• Makine içindeki tüm cihazların IP adresi, alt ağ maskesi ve ağ geçidi listesi teslim dokümanında yer alır; ağ geçidi tüm cihazlarda tanımlıdır.
• Makine, fabrikanın belirleyeceği alt ağa yeniden adreslenebilir olmalı ya da OEM, 1:1 NAT arkasında çalışmayı FAT sırasında gösterir.
• Makine dışına açılan tüm servislerin protokol, port ve yön listesi (iletişim matrisi) verilir; kullanılmayan servisler kapatılır.
• Makineler arası veya fabrika controller’ıyla gerçek zamanlı I/O gerekiyorsa yöntem (coupler, unicast implicit bağlantı vb.) teklifte açıkça yazılır.
• OPC UA sunucularında endpoint hostname’i ve sertifika adres alanları fabrikanın verdiği adlara göre yapılandırılabilir.
• Makine içinde fabrikanın bilgisi dışında hücresel modem, kablosuz erişim noktası veya uzaktan erişim cihazı bulunmaz; uzaktan destek fabrikanın erişim yolundan verilir.
• Makine router’ının yönetim yetkisi, firmware güncelleme sorumluluğu ve yapılandırma yedeği teslim maddeleri arasındadır.

Bu maddeler makine teslim alınırken SAT kontrol listesine de aynen taşınır: eşlenmiş adresten SCADA bağlantısı, historian toplama, mühendislik istasyonundan online erişim ve firewall’un varsayılan ret davranışı sahada tek tek test edilir. Kâğıtta yazan sahada denenir. Makine ağlarının fabrika mimarisine bağlanması için IT/OT entegrasyon danışmanlığı, fiziksel ağ tasarımı için endüstriyel Ethernet ve fabrika ağları sayfalarımıza bakabilirsiniz.

Sık sorulan sorular

Aynı IP planlı makineleri farklı VLAN’lara koymak çakışmayı çözer mi?

Makineler birbirinden ayrılır, ama fabrika tarafındaki SCADA veya historian iki farklı VLAN’daki aynı IP adresine yönlendirme yapamaz. VLAN ayrımı tek başına yetmez; makinelerin fabrikaya tekil adreslerle görünmesi için NAT veya yeniden adresleme gerekir.

1:1 NAT kullanırsam TIA Portal ile makine PLC’sine bağlanabilir miyim?

Cihaz keşfi Layer 2 olduğu için NAT arkasındaki PLC erişilebilir cihazlar listesinde görünmez. Bağlantı genellikle eşlenmiş IP adresi elle girilerek kurulur; firewall’da TCP 102 erişimi yalnız yetkili mühendislik istasyonuna açılır. Kullandığınız PLC ve yazılım sürümü için üreticinin NAT notlarını doğrulayın.

Makine router’ını OEM mi sağlamalı, fabrika mı?

Router makine zonunun güvenlik sınırı olduğu için yönetiminin fabrikada olması tercih edilir. OEM cihazı sağlıyorsa yönetim parolası, firmware güncellemesi, kural değişikliği yetkisi ve yapılandırma yedeğinin teslimi sözleşmede yazılı olmalıdır.

Masquerade ne zaman yeterlidir?

Makine yalnız dışarıya veri gönderiyorsa, örneğin bir MQTT broker’ına yayın yapıyor veya merkezi bir sunucuya dosya bırakıyorsa masquerade yeterlidir. Fabrika tarafındaki sistemlerin makinedeki birden fazla cihaza bağlanması gerekiyorsa 1:1 NAT veya routed entegrasyon seçilir.