Altın Konu NAT Aşırı Yükü (PAT)

Nizam-ı Alem · 27 Kas 2025

Port Adresi Çevirisi (PAT), NAT aşırı yüklemesi olarak da bilinir ve yerel ağdaki (özel IP adreslerine sahip) birden fazla cihazın, internet gibi harici ağlara erişmek için tek bir genel IP adresini paylaşmasına olanak tanıyan bir Ağ Adresi Çevirisi (NAT) türüdür.

PAT’ın nasıl çalıştığını gerçekten anlayabilmek için, TCP/UDP bağlantılarının IP adresleri ve portlar bağlamında nasıl kurulduğunu bilmek gerekir. Bu nedenle soketler ve TCP oturumları hakkındaki bilgilerimizi kısaca tazeleyelim.

Soket nedir ve TCP oturumu nedir?
Ağ iletişiminde soket, cihazlar arasında veri gönderip almak için kullanılan bir uç noktadır. Genellikle bir istemci ve bir sunucu arasında iletişim sağlar ve uygulamaların TCP veya UDP gibi protokoller üzerinden veri alışverişinde bulunmasına imkân tanır.

Kısacası soket, bir IP adresi ile bir port numarasının birleşiminden oluşan iletişim yapısıdır.

IP_Address:Port_Number

İki uygulama iletişim kurduğunda, her biri bir soket oluşturur. İstemci soketi, sunucu soketiyle eşleştirilerek aralarında bir bağlantı kurulur ve böylece bir TCP veya UDP oturumu oluşturulur.

Bir TCP oturumu her zaman iki soket arasında gerçekleşir. Örneğin Windows’ta, ana bilgisayar ile uzak ana bilgisayarlar arasında kurulan oturumları netstat komutunun çıktısında görebilirsiniz.

Kod:

C:\> netstat -a -n | find /I "ESTABLISHED"
  TCP    10.1.1.1:43000      65.3.2.1:443      ESTABLISHED
  TCP    10.1.1.1:43001      65.3.2.1:443      ESTABLISHED
  TCP    10.1.1.1:43002      65.3.2.1:443      ESTABLISHED

Bir yerel ve bir uzak soket çiftinin bir TCP/UDP bağlantısını benzersiz şekilde tanımladığına dikkat edin. Örneğin, benzersiz bir TCP oturumu (10.1.1.1:43000-65.3.2.1:443)'tür. 10.1.1.1 ana bilgisayarı aynı sunucuya yeni bir TCP bağlantısı kurmak isterse, aşağıdaki gibi başka bir TCP bağlantı noktası kullanmalıdır: (10.1.1.1:43001-65.3.2.1:443). Mantık aşağıdaki diyagramda görselleştirilmiştir. Bilgisayarın aynı sunucuyla üç TCP oturumu kurduğuna dikkat edin. IP adreslerine ve bağlantı noktalarına (soketler) dikkat edin.

Bir diğer önemli noktaya dikkat edin: İstemci–sunucu iletişimlerinde sunucu soketi her zaman aynıdır. Sunucunun web barındırma hizmeti, her zaman aynı soketi (IP

ort) dinler; genellikle bu portlar 80 (HTTP) veya 443 (HTTPS)’dür. Bu nedenle, sunucuya gelen farklı TCP bağlantılarını ayırt eden taraf, istemcinin oluşturduğu sokettir.

Her TCP oturumu, bir çift soket arasında kurulur. Yerel ve uzak soketlerin birleşimi benzersizdir çünkü istemci ana bilgisayar her bağlantı için farklı bir TCP portu kullanır. Şimdi biraz farklı bir örneğe bakalım: Üç farklı ana bilgisayarın aynı sunucuya tek bir bağlantı kurduğu bir durum.

Her sunucunun aynı TCP portunu kullandığına dikkat edin. Peki sunucu, bu üç oturumu birbirinden nasıl ayırt eder? Her istemci farklı bir IP adresine sahiptir; bu da web sunucusunun bakış açısından üç TCP oturumunu benzersiz kılar.

Şimdi, iki senaryoyu web sunucusunun perspektifinden karşılaştıralım. Soketler ve TCP oturumları bağlamında herhangi bir fark görebiliyor musunuz?

Hayır, sunucu açısından bakıldığında hiçbir fark yoktur. İstemci–sunucu iletişimlerinde istemci, rastgele bir port seçerek bağlantıyı başlatır. Sunucu ise her zaman aynı soket üzerinden bağlantıları dinler. Bu nedenle sunucu, bir ana bilgisayara yönelik üç TCP oturumu ile üç farklı ana bilgisayara yönelik üç TCP oturumu arasında ayrım yapmaz. Sunucu için bunların hepsi yalnızca üç farklı TCP oturumudur.

Port Adresi Çevirisi (PAT) nedir?
İnsanlar, bunun avantaj sağlayabileceğini ve yalnızca IP adresini değil, tüm soketi (IP

ort) değiştirerek birden fazla istemcinin özel IP adreslerini tek bir genel IPv4 adresi üzerinden çevirebileceklerini fark etmiştir. Örneğin, aynı genel IPv4 adresine sahip ancak farklı portlara sahip üç ana bilgisayarın soketlerini (IP

ort) yeniden eşleyebiliriz. Bu durum, sunucu tarafında hiçbir şeyi değiştirmez.

PAT, içerideki birçok özel IPv4 adresini dışarıdaki tek bir genel IPv4 adresine dönüştürmek için tam olarak bu mantığı kullanır. İnternet iletişimlerinin %99’unun istemci–sunucu yapısında olması ve sunucu soketinin her zaman sabit olması gerçeğinden yararlanır. İstemci–sunucu iletişimlerinde bağlantıyı başlatan taraf istemcidir ve rastgele bir port numarası seçer; sunucunun port numarası ise bilinen ve sabittir.

PAT nasıl çalışır?
NAT Aşırı Yüklemesi olarak da bilinen Port Adresi Çevirisi (PAT), birçok istemcinin özel IP adresini tek bir genel IP adresine dönüştürür. Böylece farklı istemcilerden gelen çok sayıda TCP oturumu, sunucu tarafında tek bir istemciden geliyormuş gibi görünür. Bu durum sunucuyu hiçbir şekilde etkilemez. Ancak bu yöntem yalnızca istemci–sunucu iletişimlerinde istemci tarafı için geçerlidir.

Örneğin, PC1, PC2 ve PC3’ten gelen üç TCP oturumu, aşağıdaki şemada gösterildiği gibi sunucu tarafında aynı ana bilgisayardan (37.3.1.1) gelen üç TCP oturumu olarak görünür.

Ağ Adresi Çevirisi türleri arasında PAT, açık ara en popüler ve en yaygın kullanılan yöntemdir. Her ev tipi WiFi yönlendiricisi ile küçük, orta ve büyük ölçekli işletmelerin tamamı PAT kullanır. PAT, 65.000’e kadar özel IPv4 adresini tek bir genel IPv4 adresine çevirebildiğinden, çok sayıda cihaza sahip kuruluşlarda birden fazla genel IP adresi alma ihtiyacını büyük ölçüde azaltır.

Öte yandan PAT’ın bazı dezavantajları da vardır. Yalnızca istemci–sunucu iletişimlerinde, istemci tarafı için işe yarar (ki bu, internet trafiğinin %99’unu oluşturur). Dışarıdan içeriye gelen trafiği ise karmaşıklaştırır. Örneğin, içerideki bir sunucuya dışarıdaki istemcilerin erişmesi gerektiğinde PAT yeterli olmaz. Bu tür durumlarda kuruluşlar genellikle sunucu için statik bire bir NAT kullanarak dış istemcilerin içerdeki sunucuya ulaşmasını sağlar.

PAT (NAT Aşırı Yüklemesi) Yapılandırma
Şimdi yapılandırma örneğine geçelim. Aşağıdaki şemada gösterilen topolojiyi kullanacağız. İnternete erişmesi gereken üç istemci bulunuyor; ancak kuruluşun yönlendiricinin Eth0/1 arayüzüne atanmış yalnızca bir tane genel IPv4 adresi mevcut.

İçerideki tüm ana bilgisayarların dışarıyla tek bir genel IP adresi üzerinden iletişim kurmasını sağlamanın tek yolu PAT’tır (NAT Aşırı Yükleme olarak da bilinir).

Yapılandırma süreci, aşağıdaki şemada gösterildiği gibi üç adımdan oluşur.

Adım 1. İç ve Dış Arayüzleri Tanımlayın
İlk adım her ağ çeviri türü için aynıdır. Yönlendiriciye hangi arayüzlerin içeriye, hangilerinin dışarıya bağlanacağını söylemeliyiz.

Kod:

interface Ethernet0/0
 ip address 10.1.1.254 255.255.255.0
 ip nat inside
!
interface Ethernet0/1
 ip address 37.3.1.1 255.255.255.252
 ip nat outside
!

Eth0/0 arayüzünü İç ve Eth0/1 arayüzünü Dış olarak yapılandırıyoruz.

Adım 2. İç Yerel kriterlerini tanımlayın
Ardından, İç Yerel kriterlerini yapılandırmamız gerekiyor. Bu, temel olarak yönlendiriciye hangi IPv4 adreslerini çevirmesi ve hangilerini çevirmemesi gerektiğini söyler. Örneğimizde, yalnızca bir dahili alt ağımız var ve bunu INSIDE_LOCAL adlı bir erişim listesine yapılandırıyoruz.

Kod:

ip access-list standard INSIDE_LOCAL
 10 permit 10.1.1.0 0.0.0.255
!

Ancak gerçek dünya örneklerinde, bir kuruluşun birçok iç ağı olabilir ve bunlardan bazılarının yönlendiriciden çevrilmemiş, bazılarının çevrilmiş olarak geçmesi gerekir. Bu nedenle süreçte bu adım mevcuttur: ağ yöneticileri, yönlendiricinin hangi ağları çevireceği üzerinde tam kontrole sahip olmak ister.

Adım 3. NAT kurallarını yapılandırın
Son olarak, PAT kuralını yapılandırıyoruz. Komutun birkaç parametresi olduğunu ve biraz uzun olduğunu görebilirsiniz.

Kod:

ip nat inside source list INSIDE_LOCAL interface Ethernet0/1 overload
!

Komuttaki her parametreyi parçalara ayırıp açıklayalım:

ip nat inside - Çeviri, fiziksel olarak içeride bulunan ana bilgisayarlar içindir. İstemcilerin trafiği yönlendiricinin dahili arayüzüne gelecektir.
source - Çeviri, paketlerin kaynak IP adreslerini etkiler.
list INSIDE_LOCAL - PAT kuralına göre eşleştirilecek ve çevrilecek içerideki IP adresi aralığını içeren bir erişim.
interface Ethernet0/1 - Dışarıya bağlı arayüzü belirtir ve hangi IP adresinin NAT çevirisi için genel IP adresi olarak kullanılacağını belirtir.
overload - Bu, NAT aşırı yükü olarak da bilinen Port Adresi Çevirisini (PAT) etkinleştirir. Etkinleştirildiğinde, iç ağdaki birden fazla istemcinin, her bağlantı için benzersiz port numaraları kullanarak trafiği farklılaştırarak tek bir genel IPv4 adresi kullanmasına olanak tanır.

PAT (NAT Aşırı Yükü) Doğrulaması

Şimdi, istemcilerden dışarıdaki sunucuya bir miktar trafik başlattığımızda, PAT yönlendiricisindeki aktif çevirileri görebiliriz. İstemciler tarafından kullanılan portlara (yeşil) ve çeviriden sonraki portlara (mavi) dikkat edin. Rota, soketin tamamını (IP

ort) değiştirmiştir.

Kod:

NAT# sh ip nat translations
Pro Inside global      Inside local       Outside local      Outside global
tcp 37.3.1.1:4096      10.1.1.1:40591     8.8.8.8:23         8.8.8.8:23
tcp 37.3.1.1:4097      10.1.1.2:49399     8.8.8.8:23         8.8.8.8:23
tcp 37.3.1.1:4098      10.1.1.3:61278     8.8.8.8:23         8.8.8.8:23

Aşağıdaki komutu kullanarak da bazı yararlı bilgiler toplayabiliriz.

Kod:

NAT# sh ip nat statistics
Total active translations: 3 (0 static, 3 dynamic; 3 extended)
Outside interfaces:
  Ethernet0/1
Inside interfaces:
  Ethernet0/0
Hits: 140  Misses: 0
CEF Translated packets: 140, CEF Punted packets: 0
 Reserved port setting disabled provisioned no
Expired translations: 3
Dynamic mappings:
-- Inside Source
[Id: 1] access-list INSIDE_LOCAL interface Ethernet0/1 refcount 3
nat-limit statistics:
 max entry: max allowed 0, used 0, missed 0

İsabet ve Kaçırma sayaçlarına dikkat edin. Bunlar, kaç paketin çevrildiğini ve kaç paketin soket olmadığı için çevrilmediğini gösterir (genel IP: kullanılabilir port). Bu durum, yüzlerce istemci ve dışarıda yalnızca bir genel IPv4 adresi varsa ortaya çıkabilir. Sadece 2 adet 16 port numarası (65536) olduğunu unutmayın.

Önemli Çıkarımlar

Port Adresi Çevirisi (PAT), NAT Aşırı Yüklemesi olarak da bilinir ve ağ dünyasında en yaygın kullanılan NAT yöntemidir. Ev, küçük ofis, küçük veya büyük ölçekli işletmeler de dahil olmak üzere hemen hemen her ağda kullanılır. Ağ mühendislerinin anlaması gereken en kritik NAT konusudur.

PAT'ın (NAT Aşırı Yükü) Avantajları

Birçok dahili istemcinin (yerel istemcinin içinde) tek bir genel IP adresini (küresel istemcinin içinde) paylaşmasına olanak tanır ve böylece IPv4 adresleri korunur.
İstemci tarafındaki istemci soketini (içerideki yerel IP ve port) İç Global IP ve yeni port numarasından oluşan yeni bir soketle değiştirir .
Aynı genel IPv4 adresini en fazla 65536 dahili istemci paylaşabilir . (2 adet 16 adet kullanılabilir port numarası vardır ).
Dışarıdaki ana bilgisayarlar içerideki ana bilgisayarlara bağlantı başlatamadığı için ek bir ağ güvenliği düzeyi sağlar .

PAT'ın (NAT Aşırı Yükü) Dezavantajları

Yalnızca istemci-sunucu iletişimlerindeki istemciler için çalışır ve bu, İnternet iletişimlerinin %99'u için bir sorun teşkil etmez. Ancak, dışarıdaki istemcilerin erişebilmesi gereken, içerideki sunucuları barındırmak için kullanılamaz. Bu gibi durumlarda, birebir eşleme (statik NAT) ile birleştirilmesi gerekir.
VoIP, VPN'ler ve Oyun gibi bazı protokoller ve uygulamalar, aktarım sırasında istemci portunda değişikliğe izin vermez ve ek yapılandırma gerektirebilir.
Birden fazla ana bilgisayara ve çok sayıda eşzamanlı oturuma sahip yoğun talep gören ağlarda, istemciler port tükenmesi yaşayabilir ; bu da NAT yönlendiricisinin genel IPv4 adresiyle çeviri yapmak için daha fazla kullanılabilir porta sahip olmadığı anlamına gelir. Bu sorun, daha fazla Inside Global adresi eklenerek kolayca çözülebilir, ancak bu durum ek maliyet getirir (genel IP'ler maliyetlidir).