NAT Nedir?

NAT, ağlar arasında geçerken IP adreslerinin çevrilmesidir. Ev bağlantısında sık görülen biçimi, birden fazla yerel cihazın aynı genel IPv4 adresini paylaşmasıdır. Ancak NAT'ın bütün çeşitlerini “tek dış IP” diye tanımlamak eksik kalır; bire bir adres eşlemeleri de yapılabilir.

Adres çevirisi ile port çevirisini ayır

Temel NAT adresi değiştirir. NAPT/PAT, TCP veya UDP portlarını da kullanarak birden fazla akışı aynı dış adreste ayırabilir. SNAT kaynak, DNAT hedef adresinin değiştirilmesini anlatır. Bunlar farklı eksenlerdir; PAT, SNAT ve DNAT birbirini dışlayan üç ürün türü değildir. Kavramların protokol tarafı RFC 3022 içinde açıklanır.

Aşağıdaki eşlemeler temsili olup dış adres belgeleme için ayrılmış aralıktandır:

192.168.1.20:51000 → 203.0.113.10:40001
192.168.1.21:51000 → 203.0.113.10:40002

İki istemci aynı kaynak portunu kullanabilir; çeviri cihazı dış tarafta ayrı eşlemeler tutar. Geri dönen trafik uygun durum kaydıyla ilişkilendirilir. Tablo kapasitesi, zaman aşımları veya cihaz yeniden başlatılması mevcut bağlantıları etkileyebilir.

Port yönlendirme neden tek başına yeterli olmayabilir?

Port yönlendirme, örneğin dışarıdaki TCP 8443 trafiğinin içerideki belirli IP ve porta gönderilmesini sağlar. Uygulamanın doğru adreste dinlemesi, hedef cihazın adresinin kararlı olması, dönüş yolunun bulunması ve güvenlik duvarının izin vermesi de gerekir. UDP kuralı TCP hizmetini açmaz; aynı port numarası protokolü eşitlemez.

Kontrolü önce yerel ağdan, sonra yetkili bir dış bağlantıdan yap. İç ağdan genel IP'ye yapılan deneme NAT loopback desteğine bağlı olabilir ve gerçek dış erişimle aynı testi yapmaz. Yönetim servislerini bütün internete açmak yerine erişim kapsamını sınırlı tut.

Çift NAT ve CGNAT

Evde art arda çalışan iki router, iki ayrı çeviri katmanı oluşturabilir. Servis sağlayıcının CGNAT sistemi ise daha üstte, senin yönettiğin cihazın dışında olabilir. Yalnız ev router'ında port açmak bu üst katmanda eşleme oluşturmaz.

WAN adresini aynı IPv4 bağlantısının dışarıdan görünen adresiyle karşılaştır. RFC 6598, CGN için 100.64.0.0/10 alanını tanımlar. Bunun dışında bir WAN adresi görmek CGNAT olmadığını tek başına kanıtlamaz. Sağlayıcıdan genel adres ve gelen bağlantı politikası hakkında bilgi al.

NAT güvenlik duvarı veya şifreleme değildir

Adres çevirmek trafiği şifrelemez, kullanıcıyı doğrulamaz ve güvenlik politikasının yerini tutmaz. Çeviri cihazı aynı zamanda durum izleyen güvenlik duvarı çalıştırabilir; bu işlevler ayrı değerlendirilmelidir. Küresel IPv6 adresi kullanan bir ağda da erişim kuralları gereklidir; güvenliği yalnız NAT varlığına bağlama.

“Port kapalı” teşhisinde şu sırayı kullan: uygulama dinliyor mu, yerelden ulaşılıyor mu, hangi protokol çevriliyor, üstte başka NAT var mı? Port ve dinleyen servis kontrolünü yapmadan yalnız çeviri kuralını tekrar oluşturmak sorunun yerini göstermez.