NAT Logu Neden Gereklidir?

Bir erişim kaydı size bir dış IP adresi ve bir zaman verir. Kurumsal bir ağda o adres, aynı anda yüzlerce kullanıcı tarafından paylaşılıyordur.

Zincirin Kopan Halkası

Adres çevirisi yapıldığında iç adres dışarıya görünmez. Dışarıdaki bir sunucunun kaydında yalnızca kurumun ortak çıkış adresi bulunur. O anda o adresi hangi iç makinenin kullandığını söyleyebilecek tek kayıt, çeviriyi yapan cihazın kendi kaydıdır.

Bu kayıt tutulmuyorsa zincir orada kopar ve sonrasında hangi araç alınırsa alınsın, hangi arşiv taranırsa taransın birleştirilemez, çünkü sonradan üretilemeyecek tek şey üretilmemiş bir kayıttır. Eksik olan veri değil, olayın kendisidir.

Neden Port Bilgisi de Gerekir

Tek bir dış adres, farklı port numaraları üzerinden çok sayıda iç adresi taşır. Dolayısıyla kayıt yalnızca “şu iç adres şu dış adrese çevrildi” demez; hangi kaynak portun hangi iç adrese ait olduğunu da içermelidir.

Kaynak portun karşı tarafça da kaydedilmesi gerektiği, internete açık sunucular için RFC 6302’de doğrudan önerilir. Karşı taraftan gelen bilgi de bu yüzden port içermelidir. Yalnızca IP adresi ve zaman verilerek gelen bir talep, o anda aynı adresi paylaşan onlarca kullanıcı arasından tek birini işaret edemez ve cevaplanmaya çalışılırsa yanlış kişiyi gösterir.

Zaman Uyumu

Erişim kaydı ile NAT kaydı farklı cihazlarda tutulur ve iki cihazın saati birbirinden kaymışsa eşleştirme yanlış kullanıcıyı gösterir. Birkaç saniyelik bir fark, yoğun bir çıkışta onlarca farklı oturuma denk gelir.

Bu yüzden ortak bir zaman kaynağı, log mimarisinin isteğe bağlı değil zorunlu bir parçasıdır.