VLAN, Routing ve Ağ Segmentasyonu
Düz bir ağda yazıcı, kamera, misafir telefonu ve muhasebe sunucusu aynı yayın alanını paylaşır; bir cihazda başlayan sorun herkese ulaşabilir. Ağınızı VLAN’larla güvenli bölümlere ayırıyor, bölümler arası trafiği kurallarla denetliyoruz.
Düz ağı yönetilebilir ve güvenli bölümlere ayırıyoruz
Segmentasyon, VLAN sayısını artırmakla bitmez. Asıl iş, hangi grubun hangi servise hangi portlardan erişeceğini belirlemek ve bu kararı uygulanabilir, belgelenmiş bir yapıya dönüştürmektir.
Kurallar “varsayılan olarak engelle, gerekeni aç” yaklaşımıyla yazılır; kamera, yazıcı ve bina otomasyonu gibi güncellenmesi zor cihazlar ayrı bölümlere alınır.
Envanter ve trafik analizi
Mevcut cihaz grupları, IP blokları ve kim kime erişiyor sorusunun cevabı.
VLAN ve IP adres planı
Her bölüm için gerekçesi yazılı bir VLAN, IP bloğu ve DHCP planı.
Yönlendirme ve erişim kuralları
Inter-VLAN routing, switch ACL’leri ve firewall politikalarının ayrımı.
Port yapılandırması ve geçiş
Trunk ve access portlarının düzenlenmesi, aşamalı ve geri dönülebilir geçiş.
Dokümantasyon ve teslim
Güncel VLAN tablosu, kural matrisi ve port haritası.
VLAN ayırır, yönlendirme bağlar, kural denetler
Teknik kararların her biri bir sorunu çözmek için alınır: yayın alanını küçültmek, saldırının yayılmasını sınırlamak, arızada trafiği yedek yola taşımak ve yapıyı yönetilebilir tutmak.
VLAN segmentasyonu
802.1Q, Ethernet çerçevesine 12 bitlik bir VLAN etiketi ekler; aynı fiziksel switch üzerinde 4094’e kadar mantıksal ağ tanımlanabilir. Her VLAN’ın bir güvenlik veya yönetim gerekçesi olur.
Inter-VLAN routing
VLAN’lar arası yönlendirme çekirdek switch üzerindeki SVI arayüzleriyle yapılır. Küçük ortamlarda router-on-a-stick yöntemi de kullanılabilir.
Trunk ve access portlar
Switch’ler arası bağlantılar yalnızca gerekli VLAN’ları taşıyan trunk portlardır. Native VLAN kullanılmayan bir VLAN’a alınır; uç cihaz portları tek VLAN’lı access porttur.
ACL ve güvenlik
Switch ACL’leri hızlı ve basit filtreleme sağlar; durum takibi gereken trafik firewall üzerinden geçirilir. Yönetim arayüzlerine yalnızca yönetim VLAN’ından erişilir.
Yedeklilik
VRRP ile iki cihaz aynı sanal ağ geçidini paylaşır; OSPF lokasyonlar ve yedek bağlantılar arasında yolları otomatik öğrenir. Bir cihaz ya da hat devre dışı kaldığında trafik alternatif yola geçer.
Dokümantasyon
VLAN ve IP tablosu, kural matrisi, port haritası ve konfigürasyon yedekleri teslim edilir; yeni bir cihaz eklemek tahmin değil, tabloya bir satırdır.
Örnek VLAN ve erişim planı
Numaralar örnektir; plan, ortamınızdaki cihaz grupları ve iş akışlarına göre belirlenir.
Sunuculara yalnızca gerekli portlardan
Ses sunucusu ve SIP
Yalnızca kayıt sunucusu; internete çıkış yok
Yalnızca internet; iç ağa erişim yok
Yalnızca BT yönetici istasyonları
Katmanlı yapı
VLAN’lar erişim katmanında atanır, çekirdekte birbirine kurallarla bağlanır.
Yüksek hızlı omurga; VLAN arası yönlendirme (SVI), yedekli bağlantılar ve ağ geçidi yedekliliği.
Kat ve bina switch’lerini toplar; erişim kuralları ve yedekli uplink’ler bu katmanda sonlanır. Küçük ağlarda çekirdekle birleşir.
Kullanıcı, telefon, kamera ve erişim noktalarının bağlandığı katman; PoE, port güvenliği ve VLAN ataması.
Kesintisiz geçiş için aşamalı uygulama
Segmentasyon canlı bir ağda yapılır. Bu yüzden her adım önceden yazılır, test edilir ve geri alınabilir şekilde uygulanır; kullanıcılar çoğu zaman geçişi fark etmez.
Keşif
Mevcut VLAN’lar, IP blokları, switch konfigürasyonları ve gerçek trafik akışları çıkarılır.
Mimari tasarım
VLAN ve IP planı, kural matrisi ve her aşamanın geri dönüş planı yazılır.
Uygulama
Önce yönetim ve misafir gibi bağımsız bölümler ayrılır; kameralar, telefonlar ve kullanıcılar aşamalı olarak, çalışma saatleri dışında taşınır.
Doğrulama
Her VLAN’dan erişim testleri yapılır; DHCP, yönlendirme ve kuralların beklendiği gibi çalıştığı belgelenir.
Bakım
Yeni cihaz ve kullanıcı grupları plana göre eklenir; kurallar periyodik olarak gözden geçirilir.
Sık sorulan sorular
Ağınıza özel bir sorunuz varsa bize yazın; mevcut yapınızı birlikte değerlendirelim.
Mevcut düz ağı çalışma kesilmeden VLAN’lara ayırabilir miyiz?
Evet, aşamalı olarak. Önce yönetim ve misafir gibi bağımsız bölümler ayrılır, ardından kameralar ve telefonlar taşınır. Her aşama, geri dönüş planıyla ve çalışma saatleri dışında yapılır.
Kaç VLAN gerekir?
İhtiyaç kadar. Her VLAN’ın bir güvenlik veya yönetim gerekçesi olmalıdır. Gereksiz bölümleme, kural sayısını artırıp yönetimi zorlaştırır.
VLAN arası yönlendirmeyi switch mi, firewall mı yapmalı?
Yüksek hacimli ve güvenilir iç trafik çekirdek switch üzerinde, denetim gerektiren trafik firewall üzerinde yönlendirilir. Hangi trafiğin nereden geçeceği segmentasyon politikasında belirlenir.
İlgili hizmetler
Switch, Router ve Ağ Cihazları Kurulumu
Yönetilebilir switch, router ve firewall kurulumu; yedekli ve belgelenmiş konfigürasyon.
Kurumsal Network Danışmanlığı
Mevcut ağın yerinde değerlendirilmesi, hedef mimari ve uygulanabilir yol haritası.
Metro Ethernet ve İnternet Hatları
Lokasyonlar arası bağlantı, yedekli internet çıkışı ve servis sağlayıcı takibi.
Ağınızı güvenli bölümlere ayıralım
Mevcut cihaz ve kullanıcı gruplarınızdan yola çıkarak VLAN, IP ve erişim kuralı planını birlikte hazırlayalım.