NAT

NAT nedir?

NAT (Network Address Translation, ağ adresi çevirisi), bir yönlendirici veya güvenlik duvarının paketlerin kaynak ya da hedef IP adreslerini (ve çoğu zaman port numaralarını) değiştirerek özel ağdaki cihazların tek bir genel IP adresi üzerinden internete çıkmasını sağladığı tekniktir. Evdeki modemler bunu her gün yapar.

NAT, sınırlı IPv4 adres uzayını idare etmek için yaygınlaşmıştır. Özel adresler (örneğin 192.168.x.x, 10.x.x.x) internette yönlendirilmez; NAT bunları genel adrese çevirir.

Nasıl çalışır?

En yaygın biçim, çoğu zaman PAT veya “masquerade” denilen kaynak NAT'tır. Cihaz dışarı bir istek gönderdiğinde yönlendirici paketin kaynak adresini kendi genel adresiyle ve benzersiz bir portla değiştirir, eşlemeyi tablosunda tutar. Yanıt gelince tabloya bakıp doğru iç cihaza iletir.

Hedef NAT (port yönlendirme, DNAT) ise dışarıdan gelen bağlantıyı iç ağdaki belirli bir sunucuya yönlendirir. Örneğin genel adresin 443 portuna gelen trafik iç ağdaki web sunucusuna aktarılır.

Sunucu ve hosting ortamında

Bulut ve VPS ortamlarında sunucunun görünen genel IP'si çoğu zaman sağlayıcı tarafında NAT ile iç adrese eşlenmiştir. Konteyner ve sanal makine ağlarında (Docker köprüsü, KVM NAT ağı) da iptables veya nftables ile NAT kullanılır. Aynı genel IP arkasında birçok müşteri varsa kaynak adresi paylaşılan olduğu için engelleme listeleri ve günlük analizi karmaşıklaşır.

NAT, güvenlik duvarı değildir; yan etki olarak dışarıdan başlatılan bağlantıları engelleyebilir ama bunun için güvenlik kuralları yine gereklidir.

Nelere dikkat edilmeli?

• Port yönlendirmeyi yalnızca gereken servisler için açın ve kaynak IP kısıtlaması ekleyin.
• NAT'ı güvenlik yerine geçen bir önlem saymayın; ayrıca durum denetimli güvenlik duvarı kullanın.
• Web günlüklerinde gerçek istemci IP'sini görmek için ters vekilin ilettiği başlıkları doğru yapılandırın.
• E-posta sunucularında çıkış IP'sinin ters DNS ve SPF ile uyumlu olduğundan emin olun.
• Çok sayıda eşzamanlı bağlantı için NAT tablosu sınırlarını izleyin.
• IPv6'da NAT genellikle gerekmez; güvenlik duvarı kurallarını doğru yazın.

Sık yapılan hatalar

• “NAT arkasındayım, güvendeyim” diye düşünmek.
• Yönetim portlarını (SSH, RDP) tüm internete yönlendirmek.
• Çıkış IP'si paylaşıldığı için başkasının davranışından dolayı engellenen adresi fark edememek.
• Hairpin NAT gerektiren iç erişimde sorun yaşayıp yanlış tanı koymak.