1. NAT Mimarisi ve Çalışma Prensibi
NAT İşlem Katmanları
┌─────────────────────────────────────────┐
│ Uygulama Katmanı │
├─────────────────────────────────────────┤
│ Taşıma Katmanı (TCP/UDP) │
├─────────────────────────────────────────┤
│ Ağ Katmanı (IP) - NAT BURADA │
├─────────────────────────────────────────┤
│ Veri Bağı Katmanı │
└─────────────────────────────────────────┘NAT, OSI modelinin Ağ katmanında (Katman 3) çalışır ve IP paket başlıklarını değiştirir.
NAT Domain Yapısı
┌──────────────────┐ ┌──────────────────┐
│ İç Ağ (Inside) │ │ Dış Ağ (Outside)│
│ │ │ │
│ ┌────────────┐ │ │ ┌────────────┐ │
│ │Private IP │ │ NAT │ │Public IP │ │
│ │192.168.1.x │◄─┼────────►┼─►│203.0.113.x │ │
│ └────────────┘ │ Router │ │Internet │ │
│ │ │ └────────────┘ │
└──────────────────┘ └──────────────────┘NAT Terminolojisi
Inside Local (İç Yerel)
- İç ağda kullanılan private IP adresi
- Örnek: 192.168.1.100
- NAT işleminden önce paketin kaynak IP’si
Inside Global (İç Global)
- NAT sonrası kullanılan public IP adresi
- Örnek: 203.0.113.10
- İnternete çıkarken kullanılan IP
Outside Local (Dış Yerel)
- İç ağdan görünen dış IP adresi
- Genellikle Outside Global ile aynı
Outside Global (Dış Global)
- İnternetteki sunucuların gerçek IP adresi
- Örnek: Google DNS 8.8.8.8
2. NAT Çeviri Tablosu
Çeviri Tablosu Formatı
Pro İç Global İç Yerel Dış Yerel Dış Global
--- ---------------- ---------------- ---------------- ----------------
tcp 203.0.113.1:1024 192.168.1.10:3389 74.125.24.1:80 74.125.24.1:80Tablo Bileşenleri
Protokol
- TCP: Web, email, uzak bağlantı
- UDP: DNS, video streaming
- ICMP: Ping işlemleri
Port Numaraları
- 0-1023: Sistem portları (HTTP:80, HTTPS:443)
- 1024-65535: Dinamik portlar
- PAT bu portları kullanarak çeviri yapar
Çeviri Tablosu Özellikleri
- Her satır bir aktif bağlantıyı gösterir
- Kullanılmayan bağlantılar timeout ile silinir
- Tablo boyutu cihaz hafızasını etkiler
3. NAT Türleri
Static NAT (Statik NAT)
Çalışma Mantığı
- Kalıcı bire bir IP eşlemesi
- Her zaman aynı çeviri
- Çift yönlü trafik akışı
- Sunucular için ideal
Özellikler
- Manuel yapılandırma gerekir
- Timeout’a tabi değil
- Her iç IP için bir dış IP gerekli
Dynamic NAT (Dinamik NAT)
Çalışma Mantığı
1. İç cihaz internete çıkmak ister
2. Router, IP havuzundan boş IP arar
3. Geçici eşleme oluşturur
4. Bağlantı bitince IP serbest kalırHavuz Yönetimi
- İlk gelen ilk servis edilir
- Havuz dolunca yeni bağlantı reddedilir
- Havuz büyüklüğü = maksimum eşzamanlı kullanıcı
PAT (Port Address Translation)
Çalışma Mantığı
1. Orijinal port uygunsa kullan
2. Değilse 1024-65535 arasından seç
3. Çakışma varsa sonraki portu dene
4. Port:IP kombinasyonu benzersiz olmalıPAT Türleri
- Interface Overload: Dış interface IP’sini kullan
- Pool Overload: Birden fazla IP ile PAT
- Static Overload: Belirli bir IP ile PAT
Kapasite
- Teorik: 65.535 bağlantı per IP
- Pratik: 10.000-15.000 bağlantı
- Sınırlama: Hafıza ve CPU
Port Forwarding (Port Yönlendirme)
Çalışma Mantığı
1. Dış IP:Port'a paket gelir
2. Statik tablo kontrolü
3. İç IP:Port'a yönlendirilir
4. Return trafiği otomatik çevrilirYaygın Kullanımlar
- Web sunucu: 80, 443
- Email sunucu: 25, 110, 143
- Uzak masaüstü: 3389
- SSH: 22
4. NAT İşlem Sırası
İçeriden Dışarı (Outbound)
1. Yönlendirme kararı
2. NAT çeviri kontrolü
3. Kaynak IP/Port değişimi
4. Paket iletimiDışarıdan İçeri (Inbound)
1. Gelen paket kontrolü
2. NAT tablosu sorgusu
3. Hedef IP/Port değişimi
4. İç ağa yönlendirme5. Access List ve NAT
ACL Temelleri
- Hangi IP’lerin NAT kullanacağını belirler
- Yukarıdan aşağı işlenir
- İlk eşleşmede durur
- Sonunda gizli “deny all” vardır
Wildcard Mask Hesaplama
Subnet Mask → Wildcard Mask
255.255.255.0 → 0.0.0.255 (/24 network)
255.255.255.128 → 0.0.0.127 (/25 network)
255.255.255.192 → 0.0.0.63 (/26 network)
255.255.255.224 → 0.0.0.31 (/27 network)
255.255.255.240 → 0.0.0.15 (/28 network)
255.255.255.248 → 0.0.0.7 (/29 network)
255.255.255.252 → 0.0.0.3 (/30 network)ACL Numaralandırma
- 1-99: Standard ACL (sadece kaynak IP)
- 100-199: Extended ACL (detaylı kontrol)
- İsimli ACL: Kolay yönetim
6. Timeout Değerleri
Varsayılan Timeout Süreleri
Bağlantı Tipi Süre
─────────────────────────────
TCP (kurulu) 24 saat
TCP (geçici) 1 dakika
UDP 5 dakika
DNS 1 dakika
ICMP (ping) 1 dakikaTimeout Yönetimi
- Kullanılmayan bağlantılar otomatik silinir
- Timeout değerleri değiştirilebilir
- Kısa timeout = daha az hafıza kullanımı
- Uzun timeout = daha az yeniden bağlantı
7. NAT Performans Faktörleri
İşlem Türleri
Yazılım NAT (Yavaş)
├─ İlk paket
├─ Debug aktifken
└─ Karmaşık protokoller
Donanım NAT (Hızlı)
├─ Takip eden paketler
├─ Basit TCP/UDP
└─ CEF destekli cihazlarPerformans Ölçütleri
- Saniyedeki çeviri sayısı
- Eşzamanlı bağlantı sayısı
- Hafıza kullanımı (bağlantı başı ~300 byte)
- CPU kullanımı
8. NAT Sınırlamaları
Sorunlu Protokoller
Protokol Sorun Nedeni
────────────────────────────────────
FTP Data kanalı ayrı port kullanır
VoIP (SIP/H.323) Paket içinde IP adresi taşır
IPSec VPN Port numarası yok
Bazı online oyunlar Özel port gereksinimleri
P2P uygulamalar Çoklu port kullanımıÇözümler
- ALG (Application Layer Gateway) desteği
- Port triggering
- UPnP (evde kullanım)
- Manuel port açma
9. Sorun Giderme
Sistematik Yaklaşım
Seviye 1: Temel Bağlantı
├─ Ping testi
├─ Interface durumu
└─ IP yapılandırması
Seviye 2: NAT Yapılandırması
├─ Inside/Outside tanımları
├─ ACL kontrolü
├─ Pool/PAT ayarları
└─ Static eşlemeler
Seviye 3: Çeviri Analizi
├─ Translation table kontrolü
├─ İstatistikler
└─ Timeout değerleriYaygın Sorunlar
Belirti Olası Sebep Kontrol
──────────────────────────────────────────────────────
Çeviri yok Yanlış ACL show access-list
Tek yönlü trafik Return route eksik show ip route
Yavaş bağlantı Yazılım NAT show ip nat statistics
Bağlantı kopmaları Timeout çok kısa show ip nat translationsDebug Komutları
show ip nat translations - Aktif çevirileri göster
show ip nat statistics - NAT istatistikleri
show ip interface brief - Interface durumları
clear ip nat translation * - Tabloyu temizle (DİKKAT!)
debug ip nat - Gerçek zamanlı izleme10. Güvenlik ve En İyi Uygulamalar
Güvenlik Kontrolleri
- Spesifik ACL kullanın (permit any kullanmayın)
- Gereksiz portları açmayın
- Varsayılan timeout değerlerini koruyun
- Translation limitlerini ayarlayın
Yapılandırma Kontrol Listesi
- Inside/Outside interface’ler doğru tanımlanmış
- ACL’ler test edilmiş
- Pool boyutu yeterli
- Static NAT’lar dokumentlenmiş
- Timeout değerleri uygun
- Verification komutları çalışıyor
Performans İpuçları
İyi Uygulama Açıklama
────────────────────────────────────
Özel ACL kullanın Gereksiz çeviri yapılmaz
Pool boyutu %20 fazla Ani yükselmelere karşı
Düzenli monitoring Sorunları erken yakala
Dokümantasyon Troubleshooting kolaylaşırBu dokümantasyon, Cisco NAT/PAT teknolojisinin temel prensiplerini ve pratik uygulamalarını kapsamaktadır. Başarılı bir NAT implementasyonu için hem teknik detayları anlamak hem de sistematik bir yaklaşım benimsemek gerekir.
About the Author
