Şube Ağı Standart Tasarımı: Tekrarlanabilir Küçük Ofis Şablonu

Şube sayısı ona yaklaştığında her ağın ayrı ayrı tasarlanmasının faturası gelir: birbirine benzemeyen yapılandırmalar, kimsenin yazmadığı istisnalar ve uzayan arıza süreleri. Gece 23:00’te uzaktan bağlanan mühendis önce “bu şubede kullanıcı VLAN’ı kaç?” sorusunun cevabını arar. Çözüm, şubeyi bir ürün gibi standartlaştırmaktır: aynı profil, aynı cihaz seti, aynı adresleme kuralı, aynı açılış prosedürü. Aşağıda WAN teknolojisinden bağımsız olarak şube içi ağ için tekrarlanabilir bir şablonun nasıl kurulacağını anlatıyoruz.

Standart şablon operasyonda ne kazandırır?

Getiri operasyonda görülür. Yeni şube açılışı bir tasarım projesi olmaktan çıkar, şablonun değişkenlerini doldurma işine döner. Uzaktan destek veren ekip hangi şubeye bağlanırsa bağlansın kullanıcı VLAN’ının numarasını, ağ geçidinin adresini ve yedek hattın hangi portta olduğunu bilir. Yedek cihaz stoku birkaç modelle sınırlı kalır; arızalı cihaz, şablondan üretilmiş yapılandırmayla birlikte saatler içinde değiştirilir. Denetimde de tek bir şablonu belgelemek, onlarca farklı yapılandırmayı tek tek açıklamaktan çok daha kolaydır.

Bedeli esnekliktir: her şubenin kendine özgü ihtiyacı şablona sığmayabilir. Bu yüzden şablon, birkaç profil ve kontrollü bir istisna süreciyle birlikte tasarlanır. Yazılmayan istisna standardı öldürür.

Şube profilleri: küçük, orta, büyük

Profilleri kullanıcı sayısından çok işlevsel ihtiyaca göre tanımlayın: yerel sunucu var mı, kesinti toleransı ne, kaç kat veya bina var? Aşağıdaki tablo örnek bir sınıflandırmadır.

Standart cihaz seti ve topoloji

Her profil için cihaz modeli, yazılım sürümü ve port kullanımı sabitlenir. Küçük ve orta profilde topoloji basittir: kenar cihazı tüm VLAN’ların ağ geçididir, switch’e tek bir trunk ile (orta profilde iki üyeli LACP ile) bağlanır, erişim noktaları switch’in PoE portlarından beslenir. Port eşleşmesi de standardın parçasıdır. “Switch’in son iki portu uplink, ondan önceki dört port erişim noktası” gibi bir kural, sahadaki kablolamayı uzaktan doğrulanabilir kılar; LLDP komşu tablosuna bakan mühendis yanlış takılmış kabloyu saha ekibi binadan çıkmadan yakalar. Erişim portu ve yönetim ayarlarının şablonu için switch yapılandırma standardı yazısına bakabilirsiniz.

Büyük profilde yönlendirme L3 switch’e taşınır ve firewall ile arasında bir transit VLAN kullanılır. Bu yapıda iç VLAN’lar arası trafik firewall’dan geçmez. Segmentler arası denetim gerekiyorsa ilgili VLAN’ların ağ geçidini firewall’da bırakın veya VRF ile ayırın. Bu karar şablonda açıkça yazılı olmalı; yoksa her şubede yeniden tartışılır ve her şube başka sonuca varır.

Elektrik tarafı da cihaz setinin parçasıdır. Kenar cihazı, switch ve hücresel modem aynı UPS’e bağlı değilse elektrik kesintisinde şube, tasarlanan yedek hatta rağmen erişimsiz kalır. Modem prizde kalır. Şube karanlıkta kalır.

IP adres bloğu ayırma kuralı: örnek tablo

Şubeler için en işe yarayan kural, her şubeye tek bir toplanabilir blok vermek ve bu bloğu şube numarasından hesaplanabilir kılmaktır. Merkezde her şube için tek bir rota bulunur ve bir IP adresine bakan herkes hangi şubeye ait olduğunu anlar.

Örnek kural: şubeler için 10.100.0.0/14 havuzu ayrılır (10.100.0.0–10.103.255.255). Her şubeye bir /22 verilir; havuz 256 adet /22 bloğuna bölünür. Şube numarası N ise bloğun başlangıcı, 10.100.0.0 adresine N × 1024 eklenerek bulunur: 1 numaralı şube 10.100.4.0/22, 2 numaralı şube 10.100.8.0/22 olur. 0 numaralı blok altyapı ve test için ayrılırsa 255 şube numarası kalır; daha fazlası öngörülüyorsa havuzu baştan geniş seçin. Sonradan büyütmek, tüm şubeleri yeniden adreslemek demektir. Her /22’nin içi tüm şubelerde aynı şekilde bölünür:

Misafir kablosuz ağı bu bloğun dışında tutulur: yerelden internete çıktığı ve kurumsal ağa yönlendirilmediği için her şubede aynı özel blok (örneğin 172.31.0.0/22) tekrar kullanılabilir. Tünel arayüzleri ve yönetim loopback adresleri için ayrı bir merkezi havuz kullanmak şube bloğunun bütünlüğünü korur. Hangi VLAN’ın neden ayrıldığına ilişkin genel ilkeler kurumsal ağda VLAN tasarımı yazısında var.

Blok içi kurallar da sabitlenmeli: ağ geçidi her zaman ilk kullanılabilir adres, HA çiftinin fiziksel adresleri sonraki iki adres, DHCP havuzu belirli bir adresten başlar. Bu kural sayesinde şablon üreteci ağ geçidini ve DHCP aralığını şube numarasından otomatik hesaplar; sahada elle adres yazan kimse kalmaz.

WAN bağlantısı ve yedekleme

Şablon, WAN teknolojisinden bağımsız olarak şu kararları içerir: birincil ve yedek hattın türü, hangi fiziksel porta bağlanacağı, merkeze kaç tünel kurulacağı ve yönlendirme protokolü. Teknoloji seçimi için SD-WAN ve MPLS karşılaştırması yazısı karar çerçevesi sunar.

• İki merkez ucu: Şube, birincil ve ikincil merkez (veya veri merkezi ile bulut) uçlarına ayrı tünel kurar. Tek merkez ucu, tüm şubeler için tek arıza noktasıdır.
• Toplu duyuru: Şube, yönlendirme protokolüyle yalnızca kendi /22 bloğunu duyurur; merkez tarafında beklenmeyen önek kabul edilmez. Prefix-list ile filtrelenmeyen bir şube, yanlış yazılmış tek bir statik rotayla merkezin yönlendirme tablosunu bozabilir.
• Yedek hat: Küçük şubede hücresel yedek hat çoğu zaman en pratik seçenektir; CGNAT ve veri kotası gibi kendine özgü konuları 4G/5G yedek internet hattı yazısında ayrıca anlattık.
• Yerel internet çıkışı: SaaS trafiğinin şubeden mi merkezden mi çıkacağı, güvenlik politikasıyla birlikte şablonda tanımlanır.

Sıfır dokunuşla kurulum ve uzaktan yönetim

Sıfır dokunuşla kurulum (ZTP), cihazın sahada yalnızca kablolanıp açılmasıyla yapılandırmasını merkezden almasıdır. Yöntem üreticiye göre değişir: bulut yönetimli platformlarda cihaz seri numarasıyla hesaba önceden atanır ve internete çıktığında yapılandırmasını çeker; Cisco IOS XE gibi platformlarda DHCP seçenekleriyle bir yapılandırma betiği veya PnP sunucusu adresi verilir; firewall üreticilerinin merkezi yönetim ürünleri de benzer ön kayıt mekanizmaları sunar. Hangisini seçerseniz seçin, cihazın ilk bağlantıyı hangi hattan ve hangi DNS/NTP ayarıyla kuracağını önceden test edin. Saati yanlış olan cihaz sertifika doğrulamasında takılır ve ZTP orada durur.

ZTP’nin değeri yapılandırmanın şablondan üretilmesiyle ortaya çıkar. Aşağıdaki Jinja2 parçası, şube numarasından VLAN arayüzlerini üreten basit bir örnektir:

{# degiskenler: sube_kodu, sube_no #}
{% set o2 = 100 + (sube_no * 4) // 256 %}
{% set o3 = (sube_no * 4) % 256 %}
hostname SB{{ '%03d' % sube_no }}-{{ sube_kodu }}-EDGE01
!
interface Vlan10
 description KULLANICI
 ip address 10.{{ o2 }}.{{ o3 }}.1 255.255.255.0
!
interface Vlan20
 description SES
 ip address 10.{{ o2 }}.{{ o3 + 1 }}.1 255.255.255.128
!
interface Vlan90
 description YONETIM
 ip address 10.{{ o2 }}.{{ o3 + 3 }}.1 255.255.255.224

Şablondan üretilen yapılandırmalar sürüm kontrol sistemine konur; değişiklik şablonda yapılır ve tüm şubelere dağıtılır. Elle yapılan değişikliklerin şablondan sapmasını izlemek için konfigürasyon yedekleme ve fark takibi kurun. Sapma fark edilmezse büyür. Bunun bir uygulaması Oxidized ile konfigürasyon yedekleme yazısında anlatılıyor.

Şube açılış kontrol listesi

• Şube numarası ve kodu atandı; IP bloğu ve VLAN tablosu şablondan üretilip IPAM’e işlendi.
• Birincil ve yedek hatların teslim bilgileri (devre numarası, IP, ağ geçidi) yapılandırmaya girildi.
• Cihazlar ZTP için ön kayda alındı veya şablon yapılandırmayla hazırlandı.
• Kablolama etiketleri ve port eşleşmesi saha ekibine iletildi.
• Tüneller iki merkez ucuna kuruldu; şube bloğunun merkezde tek rota olarak göründüğü doğrulandı.
• Birincil hat fiziksel olarak sökülerek yedek hatta geçiş test edildi; arayüzü yazılımla kapatmak bu testin yerini tutmaz.
• DHCP, DNS çözümleme, kablosuz ağlar ve IP telefon kaydı test edildi.
• Cihazlar izleme sistemine, konfigürasyon yedeklemeye ve merkezi log sunucusuna eklendi.
• UPS kapsamı ve elektrik kesintisinde kalan süre kontrol edildi.
• Şablondan sapan tüm ayarlar istisna olarak yazıldı.

Şablonun tasarlanması kurumsal network danışmanlığı, şube cihazlarının kurulumu switch, router ve ağ cihazları kurulumu, hatların temini ve takibi internet hat yönetimi hizmetlerimizin kapsamındadır.

Sık sorulan sorular

Her şubeye neden aynı VLAN numaralarını vermeliyiz?

Aynı VLAN numarası ve aynı amaç eşleşmesi, switch ve firewall yapılandırmalarının tek şablondan üretilmesini, merkezi politika yazılmasını ve arızada herkesin aynı dili konuşmasını sağlar. Şubeler birbirine katman 2 ile bağlanmadıkça VLAN numaralarının tekrarı çakışma yaratmaz; IP blokları ise her şubede ayrı olmalıdır.

Küçük şubede ayrı bir L3 switch gerekir mi?

Genellikle gerekmez. Birkaç VLAN ve onlarca kullanıcısı olan bir şubede firewall veya SD-WAN cihazı VLAN’lar arası yönlendirmeyi ve politikayı birlikte üstlenir; cihaz sayısı ve arıza noktası azalır. VLAN’lar arası trafik yüksekse veya şube büyürse yönlendirmeyi bir L3 switch’e taşımak gündeme gelir.

Misafir ağı için şubeye kurumsal blokta adres ayırmak gerekli mi?

Hayır. Misafir trafiği yerelden internete çıkıyor ve kurumsal ağa yönlendirilmiyorsa her şubede aynı özel blok tekrar kullanılabilir. Böylece kurumsal adres planını misafir cihaz sayısına göre büyütmeniz gerekmez. Misafir bloğunun WAN yönlendirme tablosuna hiçbir şekilde girmediğini doğrulayın.

Sıfır dokunuşla kurulum için sahada hiçbir teknik kişi gerekmez mi?

Cihazı kutudan çıkarıp kablolayacak ve fiziksel kontrolü yapacak biri sahada olmalıdır; ZTP bu kişinin yapılandırma bilgisine sahip olma ihtiyacını ortadan kaldırır. Kablolama etiketleri, port eşleşmesi ve hat teslim bilgileri önceden hazırsa sahadaki iş kısa ve hatasız biter.