IPv4 için GRE tünelleri: ne zaman gerekir ve nasıl kurulur

Bir tünel, IPv4 adreslerini başka türlü taşıyamayacak bir sunucuda kullanmanızı sağlar. Blok, onu anons edebilen bir ağ tarafından anons edilir ve tünel trafiğini sunucunuza ve geri taşır. Sağlayıcınız “kendi IP'nizi getirin” (BYOIP) sunmadığında, AS numaranız olmadığında veya internetin tek başına yönlendireceği 256 adresten daha azına ihtiyacınız olduğunda çözüm budur.

Tünel aslında ne yapar

Bloğunuz için paketler onu anons eden ağa ulaşır. Orada her paket, sunucunuza adreslenmiş yeni bir paketin içine sarılır ve sıradan internet üzerinden gönderilir. Sunucunuz onu açar ve orijinal paketi, adresler yerel bir arayüzde yapılandırılmış gibi görür.

Original packet:  [IP header | data]
GRE packet:       [outer IP | GRE header | IP header | data]

Yanıtlar aynı yolu tersinden izler: sunucunuz onları sarar, tünelin öbür ucuna gönderir ve o ağ onları teslim eder. Bu dönüş yolu, çoğu kurulumun yanlış yaptığı adımdır ve aşağıdaki yapılandırma nedenini gösterir.

Tünel BYOIP'den ne zaman daha iyidir

BYOIP, bir bulut veya hosting sağlayıcının bloğunuzu kendi ağından anons etmesini sağlar (hangi sağlayıcılar yapar). Mevcut olduğu ve en az bir /24'ünüz olduğu yerde daha temiz seçenektir: ek atlama yok, ek arıza noktası yok ve sağlayıcının tam bant genişliği. Dört durumda tünel daha iyi bir tercihtir.

• Sağlayıcınız BYOIP sunmuyor. Örneğin Scaleway bunu belgelerinde açıkça söyler ve birkaçı daha onu yalnızca talep üzerine, bazı ürünleri için kabul eder, örneğin Infomaniak, TransIP ve UpCloud. Diğerleri, aralarında Contabo, Exoscale, Hostinger ve Akamai Cloud, hiçbir prosedür yayımlamaz.
• 256'dan az adrese ihtiyacınız var. Bir /24, ağların yönlendirme tablolarında kabul ettiği en küçük bloktur ve hiçbir sağlayıcının BYOIP'si onun altına inmez. Bir tünel bir /29 veya tek bir adres ulaştırabilir.
• ASN'niz yok ve sağlayıcı bir tane istiyor. Bazı sağlayıcılar alanınızı yalnızca kendi AS numaranızla bir BGP oturumu üzerinden kabul eder. Tünelin ikisine de ihtiyacı yoktur.
• Aynı adresleri birkaç yerde istiyorsunuz veya taşınma özgürlüğü istiyorsunuz. Anons olduğu yerde kalır; tünel sunucunuz nereye giderse oraya gider.

Bedeli bir sapmadır. Trafik size ulaşmadan önce tünelin öbür ucuna gider, bu yüzden sunucunuza yakın bir uç nokta seçin ve tavanı sunucunuzun portunun değil tünelin kapasitesinin belirlediğini unutmayın.

GRE mi WireGuard mı

İkisi de aynı trafiği taşır; iki uç arasındaki yolun neye ihtiyaç duyduğu konusunda farklıdırlar.

WireGuard'ın kendi platform listesi ve MikroTik'in RouterOS belgeleri nerede çalıştığını söyler (22 Ekim 2026'da kontrol edildi).

Uç noktanız NAT arkasındaysa seçim sizin için yapılmıştır: WireGuard. Aynısı, sanal ağlarında GRE'yi engelleyen Azure için de geçerlidir.

MTU ve MSS: klasik arıza

Kapsülleme başlıklar ekler, bu yüzden tünelin içine sığan en büyük paket düz bir Ethernet bağlantısının 1.500 baytından küçüktür: IPv4 üzerinden GRE için 1.476 bayt, WireGuard ise yaygın olarak 1.420 ile çalışır. Yanlış ayarlarsanız klasik belirtiyi görürsünüz: küçük istekler çalışır, büyük indirmeler ve TLS el sıkışmaları takılır, çünkü sığmayan paketler düşürülür ve bunu bildirmesi gereken mesajlar yolda çoğunlukla filtrelenir.

İki ayar bunu önler. Tünel arayüzünün MTU'sunu doğru değere ayarlayın ve tünel üzerinden yönlendirdiğiniz trafikte TCP maksimum segment boyutunu (MSS) sınırlayın (clamp), böylece iki uç sığan paketler göndermekte anlaşır. Her tünelle iki değeri de göndeririz ve talep üzerine değiştiririz.

Minimal bir Linux kurulumu

Aşağıdaki örnek, bir bloğu GRE üzerinden tek bir Linux sunucusuna getirir. Adresler belgeleme aralıklarıdır: 203.0.113.1 sunucunuzun genel adresi, 198.51.100.1 tünelin öbür ucu ve 192.0.2.0/24 bloktur.

# 1. The tunnel, from your server to the far end
ip tunnel add gre1 mode gre local 203.0.113.1 remote 198.51.100.1 ttl 255
ip link set gre1 mtu 1476 up
ip addr add 10.0.0.2/30 dev gre1

# 2. An address from the block on the server itself
ip addr add 192.0.2.10/32 dev lo

# 3. Replies from the block go back through the tunnel
ip rule add from 192.0.2.0/24 lookup 100
ip route add default via 10.0.0.1 dev gre1 table 100

1. adım insanların atladığı adımdır. O olmadan 192.0.2.10'dan gelen yanıtlar, o sağlayıcının size hiç vermediği bir kaynak adresi taşıyarak sağlayıcınızın kendi uplink'inden çıkar ve sağlayıcının sahteciliği önleme (anti-spoofing) filtreleri onları düşürür. Dağıtımınız katı ters yol filtrelemesini (reverse-path filtering) etkinleştiriyorsa, onu tünel için de gevşek moda ayarlayın (sysctl -w net.ipv4.conf.gre1.rp_filter=2).

Sunucu bloğu sanal makinelere veya container'lara yönlendiriyorsa, ilettiği trafikte MSS'yi sınırlayın:

iptables -t mangle -A FORWARD -o gre1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Tünel üzerinden BGP

Kendi AS numaranız varsa ve anonsu kendiniz kontrol etmek istiyorsanız, statik bir rota yerine tünel üzerinden BIRD, FRR veya router'ınızın kendi daemon'u ile bir BGP oturumu çalıştırabilirsiniz. Çoğu müşterinin buna ihtiyacı yoktur ve statik kurulumu tercih eder. Kendi ASN'nizden anons ediyorsanız ROA'nın o ASN'yi belirtmesi gerekir (RPKI ve ROA'lar).

RTM Networks'ün yeri

Bloğu anons eder ve sunucu nerede olursa olsun onu GRE veya WireGuard üzerinden sunucunuza ulaştırırız. Bu, BYOIP'nin işe yaramadığı yerlerde de çalışır: 256'dan az adres için ve alanınızı hiç kabul etmeyen sağlayıcılar için de. Sunucunun nerede olduğunu ve üzerinde ne çalıştığını söyleyin, GRE veya WireGuard'ı önerelim ve yapılandırmayı doğru MTU ve MSS değerleriyle gönderelim (GRE ve WireGuard tünelleri).