Kurumsal Ağda VLAN Tasarımı: Nereden Başlamalı?

Düz (flat) bir ağda tüm cihazlar aynı yayın alanındadır: bir yazıcı, bir sunucu ve misafir telefonu aynı segmentte konuşur. Ağ büyüdükçe bu yapı hem performans hem güvenlik sorunu üretir. VLAN tasarımı bu sorunu çözmenin ilk adımıdır; ancak iyi bir VLAN planı switch komutlarından önce kağıt üzerinde başlar.

1. Önce kimin kime erişeceğini yazın

VLAN’ı cihaz türüne göre değil, erişim kuralına göre planlayın. Basit bir tablo yeterlidir: satırlarda gruplar (kullanıcı, sunucu, yönetim, misafir, ses, kamera, yazıcı, üretim), sütunlarda hangi gruba hangi servis üzerinden erişebileceği. Aynı kuralı paylaşan gruplar aynı VLAN’da kalabilir; kuralı farklı olan her grup ayrı bir segment adayıdır.

• Kullanıcı: İnternet, iş uygulamaları, yazıcılar
• Sunucu: Yalnız gerekli portlardan erişilir
• Yönetim: Switch, AP, firewall ve sunucu yönetim arayüzleri; yalnız BT ekibi
• Misafir: Sadece internet, iç ağa erişim yok
• Kamera / IoT: Sadece kayıt sunucusuna veya bulut servisine

2. Adres planını VLAN numarasıyla eşleştirin

VLAN numarası ile IP alt ağını ilişkilendirmek arıza anında zaman kazandırır. Örneğin VLAN 20 için 10.10.20.0/24, VLAN 30 için 10.10.30.0/24 gibi. Lokasyon varsa ikinci okteti lokasyona ayırmak (10.lokasyon.vlan.0/24) çok lokasyonlu yapıda özetleme ve VPN kurallarını sadeleştirir. Alt ağ boyutunu bugünkü cihaz sayısına değil, büyüme payına göre seçin.

3. Numaralandırma ve isimlendirme standardı

VLAN 1’i kullanıcı trafiği için kullanmayın. Tüm switch’lerde aynı VLAN numarası aynı amaca hizmet etmeli ve anlamlı bir isim taşımalıdır (ör. V20-KULLANICI, V90-YONETIM). Bu standart, dokümantasyon ve devir teslim için de temel oluşturur.

4. Trunk, erişim portları ve native VLAN

• Uç cihaz portları access modda, yalnız ilgili VLAN’da olmalıdır.
• Switch’ler arası bağlantılar trunk olmalı ve yalnız gereken VLAN’lara izin verilmelidir (allowed VLAN listesi).
• Native VLAN kullanılmayan bir VLAN’a taşınmalı, iki uçta aynı olmalıdır.
• Kullanılmayan portlar kapatılmalı veya boş bir “park” VLAN’ına alınmalıdır.
• IP telefon kullanılıyorsa ses için ayrı voice VLAN tanımlanmalıdır.

5. VLAN’lar arası yönlendirme nerede yapılacak?

İki yaygın model vardır. Layer 3 çekirdek switch üzerinde yönlendirme yüksek performans sağlar; segmentler arası filtreleme ACL ile yapılır. Firewall üzerinde yönlendirme ise durum takibi (stateful) yapan kurallar, kayıt ve denetim izi sunar; fakat firewall kapasitesinin bu trafiği taşıyabilmesi gerekir. Pratikte sık görülen çözüm, kullanıcı ve sunucu gibi yoğun trafiğin çekirdekte, misafir, kamera ve üretim gibi kontrol gerektiren segmentlerin firewall’da yönlendirilmesidir.

6. Geçişi kesintisiz planlayın

Düz ağdan VLAN’lı yapıya geçiş tek gecede yapılmak zorunda değildir. Önce yönetim ve misafir VLAN’ları, ardından yeni segmentler oluşturulur; cihaz grupları DHCP kapsamlarıyla birlikte sırayla taşınır. Her adımdan önce mevcut yapılandırmanın yedeğini alın ve geri dönüş adımını yazın.

Kontrol listesi

• Erişim matrisi yazıldı ve onaylandı
• VLAN–alt ağ–DHCP kapsamı eşlemesi dokümante edildi
• VLAN 1 kullanıcı trafiğinden çıkarıldı, native VLAN değiştirildi
• Trunk’larda allowed VLAN listesi tanımlandı
• Segmentler arası kurallar (ACL/firewall) en az yetki ilkesine göre yazıldı
• Yapılandırma yedekleri ve topoloji şeması güncellendi

Sık sorulan sorular

Kaç VLAN kullanmalıyız?

Sayı hedef değildir. Erişim kuralı farklı olan her grup için bir VLAN yeterlidir: kullanıcılar, sunucular, yönetim, misafir, ses, kamera, yazıcı gibi. Tek kuralı paylaşan grupları ayrı VLAN’lara bölmek yönetimi zorlaştırır.

VLAN tek başına güvenlik sağlar mı?

Hayır. VLAN yayın alanlarını ayırır; VLAN’lar arası trafik yönlendiriliyorsa ACL veya firewall kuralı olmadan segmentler birbirine erişebilir. Güvenlik için yönlendirme noktasında kural tanımlanmalıdır.

Native VLAN neden değiştirilir?

Trunk portlarda etiketsiz trafiğin taşındığı native VLAN varsayılan olarak VLAN 1’dir. Kullanılmayan bir VLAN’a taşımak ve kullanıcı trafiği için VLAN 1’i kullanmamak, yanlış yapılandırma ve VLAN hopping riskini azaltır.