Bağlantı Noktası Yönlendirme ve PAT

NAT'ın en yaygın biçimi, NAT aşırı yüklemesi olarak da adlandırılan PAT (Port Adresi Çevirisi) yöntemidir. İletişimleri birbirinden ayırt etmek için bağlantı noktası numaralarını kullanarak yüzlerce cihazın tek bir genel IP adresini paylaşmasını sağlar.

Ev yönlendiricinizin yaptığı işlem budur: arkasındaki her cihaz internete tek bir genel adres üzerinden ulaşır ve cihazlar yalnızca bağlantı noktalarıyla birbirinden ayırt edilir.

Her TCP veya UDP bağlantısının bir kaynak bağlantı noktası ve bir hedef bağlantı noktası vardır. PAT, her dahili bağlantıya genel adres üzerinde benzersiz bir kaynak bağlantı noktası atar; böylece her akış, genel IP ve bağlantı noktası birleşimiyle benzersiz biçimde tanımlanır.

Belirli bir bağlantı noktası için yanıt geldiğinde yönlendirici, bunun hangi dahili cihaza ve bağlantı noktasına ait olduğunu bulmak için tablosuna bakar ve yanıtı doğru yere iletir.

PAT, her dahili cihaz IP'si ve bağlantı noktasını benzersiz bir genel IP ve bağlantı noktası çiftiyle eşleyen bir tablo tutar. Örneğin, dahili olarak 50000 bağlantı noktasını kullanan iki bilgisayara dışarıda farklı çeviri bağlantı noktaları atanır.

Tek bir genel adresin, birbirine karışmadan binlerce eş zamanlı bağlantıyı taşımasını sağlayan eşleme budur; çünkü her akışın kendine ait benzersiz bir harici bağlantı noktası numarası vardır.

PAT, dahili bir cihazın iletişimi başlattığı dışarı giden bağlantılarda çok iyi çalışır. Peki internet üzerindeki birinin ağınızın içindeki bir sunucuya ulaşmak istediği gelen bağlantılar ne olacak?

Yönlendiricide istenmeyen gelen bir bağlantı için tablo kaydı bulunmaz; bu nedenle bağlantının hangi dahili cihaza gönderileceğini bilemez ve bağlantıyı doğrudan düşürür. Bağlantı noktası yönlendirme bu noktada devreye girer.

Bağlantı noktası yönlendirme elle bir kural oluşturur: belirli bir bağlantı noktasındaki genel IP'ye gelen trafik, seçilen dahili cihazın belirli bir bağlantı noktasına yönlendirilir.

Örneğin, genel 443 numaralı bağlantı noktasını dahili bir web sunucusuna yönlendirmek, sunucunun NAT arkasında özel bir IP'si olsa bile internet kullanıcılarının tek genel adresiniz üzerinden bu sunucuya ulaşmasını sağlar.

Bağlantı noktası yönlendirme, NAT arkasındaki hizmetleri barındırmak için kullanılır:

• İnternetten erişilebilen bir ev web veya oyun sunucusu.
• Bir güvenlik kamerası sistemine uzaktan erişim.
• Dışarıdan erişilen, kendi sunucunuzda barındırdığınız bir uygulama.

Her kural, harici bir bağlantı noktasını tek bir dahili cihaza eşleyerek NAT sınırında belirli ve denetimli bir geçit açar.

Bu kavramsal kural, harici web trafiğini dahili bir sunucuya yönlendirir. Genel bağlantı noktasının özel bir cihaz ve bağlantı noktasıyla nasıl eşlendiğine dikkat edin.

Tamamen erişilebilir olması gereken bir sunucu için statik NAT, bir genel IP'yi bir özel IP'ye bire bir ve kalıcı olarak eşler. PAT'ın aksine, dahili sunucu her zaman aynı özel amaçlı genel adresi kullanır.

Bu yöntem, tek bir bağlantı noktası yönlendirme kuralının yetersiz kalacağı ve birçok bağlantı noktasında tutarlı, öngörülebilir gelen erişime ihtiyaç duyan sunucular için uygundur.

Yönlendirme kuralları genellikle belirli hizmetlerle ilişkilendirilmiş bilinen bağlantı noktalarını hedefler. 80 numaralı bağlantı noktasının yönlendirilmesi HTTP üzerinden bir web sunucusuna, 443 HTTPS üzerinden bir web sunucusuna, 25 ise SMTP üzerinden bir posta sunucusuna ulaşır.

Hangi bağlantı noktasının hangi hizmete eşlendiğini bilmek çok önemlidir: yanlış bağlantı noktası numarası trafiği yanlış yere veya hiçbir yere gönderir. Her zaman yalnızca barındırılan hizmetin gerçekten ihtiyaç duyduğu bağlantı noktalarını yönlendirin.

Her bağlantı noktası yönlendirme kuralı NAT sınırınızda bir delik açarak dahili bir cihazı internete maruz bırakır. Bu cihaz doğrudan saldırıya açık hâle gelir; bu nedenle güncel tutulmalı, sağlamlaştırılmalı ve mümkünse bir güvenlik duvarıyla korunmalıdır.

Yalnızca gerçekten ihtiyaç duyduğunuz bağlantı noktalarını açın, mümkün olduğunda kaynak adreslerini kısıtlayın ve güçlü koruma olmadan RDP veya SSH gibi hassas hizmetleri hiçbir zaman açık internete yönlendirmeyin.

PAT, her akışa benzersiz bir bağlantı noktası vererek birçok cihazın tek bir genel IP'yi paylaşmasını sağlar. Bu bilgiler bir çeviri tablosunda izlenir ve yöntem dışarı giden trafik için idealdir. Bağlantı noktası yönlendirme, gelen trafiğin seçilen bir dahili cihaza ulaşması için elle kurallar ekler; statik NAT ise bir genel IP'yi bir sunucuya tahsis eder. Açılan her geçit dikkatle yönetilmesi gereken bir güvenlik riskidir.

PAT ve yönlendirme bilginizi sınayın.

PAT, her akış için benzersiz bağlantı noktası numaraları kullanarak tek bir genel IP'yi birçok cihaz arasında paylaşır; bunlar bir çeviri tablosunda izlenir ve dışarı giden trafik için idealdir. Bağlantı noktası yönlendirme, gelen erişim için harici bir bağlantı noktasını dahili bir cihaza elle eşler; statik NAT ise bir genel IP'yi bir sunucuya tahsis eder. Açılan her geçit bir cihazı dışarıya maruz bırakır ve güvenli hâle getirilmelidir.