Inter-VLAN Routing: L3 Switch SVI mı Router-on-a-Stick mi?

“Ping gidiyor ama uygulama bağlanmıyor” şikayetinin arkasında çoğu zaman yanlış yere konmuş bir varsayılan ağ geçidi vardır. VLAN’larla ayrılan segmentler birbirleriyle konuşmak için bir Katman 3 cihazına ihtiyaç duyar; bu cihazın router, L3 switch veya firewall olması performansı, ölçeği ve güvenlik politikasının nerede uygulanacağını belirler. Aşağıda üç yaklaşımı karşılaştırıyor, Cisco IOS yapılandırma örnekleri veriyor, ağ geçidi yedekliliği ile asimetrik yönlendirme tuzaklarını sahada nasıl yakalayacağınızı gösteriyoruz.

Inter-VLAN routing seçenekleri

Her VLAN ayrı bir IP alt ağıdır; uç cihaz başka bir alt ağa gitmek için varsayılan ağ geçidine başvurur. Tasarımın asıl sorusu bu ağ geçidinin nerede duracağıdır:

Segmentlerin nasıl ayrılacağı ayrı bir konu ve kurumsal ağda VLAN tasarımı rehberinde anlatılıyor; burada segmentlerin zaten tanımlı olduğunu varsayıyoruz.

Router-on-a-stick: ne zaman yeterli?

Bu yöntemde router ile switch arasında tek bir 802.1Q trunk bulunur. Router’ın fiziksel arayüzü her VLAN için bir alt arayüze bölünür:

interface GigabitEthernet0/0/1
 no ip address
!
interface GigabitEthernet0/0/1.10
 description KULLANICI
 encapsulation dot1Q 10
 ip address 10.10.10.1 255.255.255.0
 ip helper-address 10.10.50.10
!
interface GigabitEthernet0/0/1.20
 description SES
 encapsulation dot1Q 20
 ip address 10.10.20.1 255.255.255.0
!
interface GigabitEthernet0/0/1.999
 encapsulation dot1Q 999 native

Sınırlama mimarinin kendisinden gelir: VLAN 10’dan VLAN 20’ye giden paket trunk’tan router’a çıkar, router’dan aynı trunk’a geri döner. Trunk aynı trafiği iki kez taşır ve bütün VLAN’lar arası trafik router’ın yönlendirme kapasitesiyle sınırlanır. Örnek hesap: 1 Gbps full-duplex bir trunk’ta VLAN 10’daki istemci, VLAN 20’deki dosya sunucusundan 700 Mbps hızla kopyalama yaparsa bu akış trunk’ı iki kez kullanır: switch’ten router’a 700 Mbps (VLAN 20 etiketiyle), router’dan switch’e yine 700 Mbps (VLAN 10 etiketiyle). İnternetten gelen indirmeler de router’dan switch’e doğru aynı yönü kullandığı için kopyalama sürerken bütün kullanıcılara bu yönde yaklaşık 300 Mbps kalır.

Tek dosya kopyası, tüm şubeyi yavaşlatır.

Yine de birkaç VLAN’lı küçük şubelerde, VLAN’lar arası trafiğin çok düşük olduğu ve trafiğin büyük kısmının WAN’a gittiği yapılarda yeterli ve ekonomik bir çözümdür.

L3 switch SVI ile yönlendirme yapılandırması

L3 switch VLAN’lar arası paketleri ASIC üzerinde, donanımda yönlendirir. Her VLAN için bir SVI (Switch Virtual Interface) tanımlanır; SVI o VLAN’ın varsayılan ağ geçididir. Çekirdek veya dağıtım switch kurulumunda temel yapılandırma şöyledir:

ip routing
!
vlan 10
 name KULLANICI
vlan 20
 name SES
!
interface Vlan10
 description KULLANICI-GW
 ip address 10.10.10.1 255.255.255.0
 ip helper-address 10.10.50.10
 no shutdown
!
interface Vlan20
 description SES-GW
 ip address 10.10.20.1 255.255.255.0
 ip helper-address 10.10.50.10
 no shutdown
!
! Firewall'a giden L3 bağlantı: routed port
interface TenGigabitEthernet1/1/8
 description TRANSIT-FW
 no switchport
 ip address 10.255.0.2 255.255.255.252
!
ip route 0.0.0.0 0.0.0.0 10.255.0.1

Sahada en sık takıldığımız noktalar:

• ip routing unutulur. Bazı platformlarda varsayılan olarak kapalıdır; kapalıyken switch SVI’ler arasında yönlendirme yapmaz ve SVI’ler up görünse bile VLAN’lar birbirine ulaşamaz.
• SVI autostate: SVI’nin up olması için VLAN’ın var olması ve VLAN’da en az bir portun up/forwarding olması gerekir.
• Routed port tercihi: Firewall veya başka bir L3 cihazla bağlantıda transit VLAN + SVI yerine no switchport ile routed port kullanmak STP’yi bu bağlantının dışında tutar ve arızayı daha hızlı algılar.
• ip helper-address: DHCP dışında varsayılan olarak bazı başka UDP servislerini (DNS, TFTP, NetBIOS ad/datagram gibi) de iletir. Gerekmiyorsa no ip forward-protocol udp ile ilgili portları kapatın. Relay davranışının ayrıntısı DHCP relay ve DHCP snooping yazısında.

L3 switch’in yapamadığı iş durum tutan (stateful) güvenlik politikasıdır. ACL ile VLAN’lar arası erişimi sınırlayabilirsiniz; ama ACL oturum durumunu izlemez, uygulama katmanını görmez, ayrıntılı log üretmez.

Firewall üzerinde yönlendirme ve politika noktası

Bütün VLAN’ların ağ geçidini firewall’a vermek, segmentler arası her akışın bir politika kuralından geçmesi demektir. Kazanç belli: oturum bazlı kontrol, uygulama tanıma, kullanıcı bazlı kural, merkezi log. Bedeli kapasitedir. Kampüs içi doğu-batı trafiği (dosya paylaşımı, yedekleme, sanallaştırma) firewall’un işleme kapasitesini ve oturum tablosunu zorlar.

Pratikte en sık uygulanan model karmadır:

• Aynı güven seviyesindeki kullanıcı, ses ve yazıcı VLAN’ları çekirdek L3 switch’te yönlendirilir; gerekiyorsa ACL ile sınırlandırılır.
• Sunucu, yönetim, misafir ve OT gibi farklı güven seviyesindeki segmentlerin ağ geçidi firewall’dadır.
• Çekirdek ile firewall arasında bir transit bağlantı bulunur; çekirdekten firewall arkasındaki ağlara giden rota firewall’u gösterir.

Segmentler arası kural setinin tasarımı güvenlik politikası işidir ve mikrosegmentasyon politikası rehberinde ele alınıyor.

Varsayılan ağ geçidi yedekliliği: HSRP ve VRRP

İki dağıtım veya çekirdek switch’i varsa hiçbir VLAN’ın ağ geçidi tek cihaza bağlı kalmamalı. HSRP (Cisco’ya özgü, sürüm 1 RFC 2281 ile belgelenmiştir) ve VRRP (sürüm 3, RFC 5798) iki cihazın ortak bir sanal IP ve sanal MAC adresini paylaşmasını sağlar. Uç cihaz yalnız sanal IP’yi ağ geçidi olarak bilir.

! DIST-SW1 - VLAN 10 için aktif
track 1 interface TenGigabitEthernet1/1/8 line-protocol
!
interface Vlan10
 ip address 10.10.10.2 255.255.255.0
 standby version 2
 standby 10 ip 10.10.10.1
 standby 10 priority 110
 standby 10 preempt
 standby 10 track 1 decrement 20
!
! DIST-SW2 - VLAN 10 için standby
interface Vlan10
 ip address 10.10.10.3 255.255.255.0
 standby version 2
 standby 10 ip 10.10.10.1
 standby 10 priority 100
 standby 10 preempt

HSRP’de preempt varsayılan olarak kapalıdır; açıkça yazılmazsa arızadan dönen cihaz aktif rolü geri almaz. track ile uplink’ini kaybeden cihazın priority’si düşürülür ve aktif rol diğer cihaza geçer. Aktif ağ geçidi ile ilgili VLAN’ın STP root’u aynı cihazda olmalı; yoksa trafik iki dağıtım switch’i arasında boşuna dolaşır. VRRP’nin yapılandırma sözdizimi IOS ve IOS XE sürümlerine göre değişir; kullandığınız sürümün kılavuzunu esas alın. Stack veya sanal stack kullanıyorsanız tek mantıksal cihaz olduğu için bu protokollere gerek kalmaz; ayrıntı stack, MLAG ve vPC karşılaştırmasında.

Asimetrik yönlendirme ve durum tutan cihazlar

Asimetrik yönlendirme, gidiş ve dönüş paketlerinin farklı yollardan geçmesidir. Router ve L3 switch için çoğu zaman sorun değildir; oturum durumunu izleyen firewall için ise doğrudan bağlantı kopmasıdır. Firewall bir oturumun yalnız dönüş paketini görürse (TCP SYN’i görmeden SYN-ACK gelirse) paketi düşürür.

Kurumsal kampüs ağlarında en sık rastladığımız senaryo şu: Sunucu VLAN’ının ağ geçidi firewall’dadır, ama çekirdek switch’te de yönetim amacıyla aynı VLAN için IP adresli bir SVI bırakılmıştır. Kullanıcı VLAN’ından sunucuya giden paket çekirdekte doğrudan bağlı (connected) rota bulduğu için firewall’a uğramadan sunucuya ulaşır. Sunucunun yanıtı ise varsayılan ağ geçidi olan firewall’a gider; firewall oturumu tanımaz ve yanıtı düşürür. Belirti tipiktir: ping çalışır, uygulama bağlanmaz.

Unutulmuş tek bir SVI yeter.

• Bir VLAN’ın ağ geçidi tek bir yerde olur: ya çekirdekte ya firewall’da.
• Firewall arkasındaki VLAN’lar için çekirdekte IP adresli SVI bırakmayın; yönetim erişimini ayrı bir yönetim VLAN’ından verin.
• İki firewall veya iki internet çıkışı varsa dönüş yolunun aynı cihaza gelmesini rota tasarımıyla sağlayın ve testle doğrulayın.

Seçim tablosu ve doğrulama komutları

Kısa bir karar çerçevesi:

1. VLAN sayısı az, VLAN’lar arası trafik düşük ve L3 switch yoksa: router-on-a-stick.
2. Kampüs ölçeği ve yoğun doğu-batı trafiği varsa: çekirdek/dağıtımda SVI, iki cihaz varsa HSRP/VRRP veya stack.
3. Güven seviyesi farklı segmentler varsa: bu segmentlerin ağ geçidi firewall’da, geri kalanı SVI’de.
4. Çok sayıda L3 cihaz ve birden çok bina varsa: rotaların dinamik dağıtımı için kampüs ağında OSPF tasarımı değerlendirilmeli.

show ip interface brief | include Vlan
show interfaces Vlan10
show ip route
show ip route 10.10.50.0
show standby brief
show ip arp vlan 10
traceroute 10.10.50.20 source Vlan10

show standby brief çıktısında her grubun hangi cihazda Active olduğunu ve STP root yerleşimiyle uyumunu kontrol edin. Asimetrik yönlendirmeyi yakalamanın en pratik yolu traceroute’u iki yönden çalıştırmaktır: gidiş yolunu buradan, dönüş yolunu karşı taraftan. İki çıktı farklı cihazlardan geçiyorsa aradığınız sorun büyük ihtimalle budur. VLAN’lar arası yönlendirme mimarisini gözden geçirmek veya yeniden tasarlamak için VLAN, routing ve ağ segmentasyonu hizmet sayfamıza bakabilirsiniz.

Sık sorulan sorular

SVI oluşturdum ama durumu down görünüyor, neden?

Cisco switch’lerde SVI’nin up olması için ilgili VLAN’ın VLAN veritabanında bulunması ve o VLAN’da en az bir portun up ve forwarding durumunda olması gerekir. Arayüzde no shutdown girildiğini de kontrol edin.

HSRP mi VRRP mi kullanmalıyım?

Bütün ağ geçidi cihazları Cisco ise HSRP sorunsuz çalışır. Farklı üreticilerin cihazları aynı sanal ağ geçidini paylaşacaksa standart olan VRRP gerekir. İkisi de aynı sorunu çözer; fark çoğunlukla varsayılan davranışlarda ve zamanlayıcılardadır.

Tüm VLAN’ları firewall üzerinden yönlendirmek güvenlik için daha iyi değil mi?

Politika açısından en sıkı yöntemdir, ama firewall’un doğu-batı trafiğini de taşıyacak kapasitede olması gerekir. Pratikte birbirine güvenen kullanıcı VLAN’larının çekirdekte, sunucu ve hassas segmentlerin firewall arkasında yönlendirildiği karma model daha dengeli sonuç verir.

Router-on-a-stick hâlâ kullanılır mı?

Küçük şubelerde, L3 özelliği olmayan switch’lerle kurulmuş ortamlarda ve VLAN’lar arası trafiğin düşük olduğu yapılarda yeterlidir. Kampüs ölçeğinde tek trunk bağlantısı ve router işlem kapasitesi darboğaz olur.