Kurumsal Switch, Router Kurulumu ve VLAN Yapılandırma

Bir binanın elektrik tesisatını düşünün: sigorta kutusu, ayrı devrelere bölünmüş hatlar, bir devre attığında diğerlerini etkilemeyen sigortalar ve elektrik kesildiğinde devreye giren bir jeneratör. Bu tesisat görünmezdir; kimse duvarın arkasındaki kabloyu düşünmez, ta ki bir sigorta atıp bir kat karanlıkta kalana kadar. Kurumsal switch ve router altyapısı tam olarak bu görünmez omurgadır: üzerinden geçen her e-postayı, her dosyayı, her toplantıyı taşır ama doğru kurulduğunda kimse fark etmez. Cisco, Aruba/HPE, Ubiquiti veya MikroTik; hangi markada olursa olsun bu tesisatı kuruyoruz (kurulum), yapılandırmanın ve port güvenliğinin güncel kalmasını sağlıyoruz (yönetim) ve hangi mimarinin kurumunuza uygun olduğuna birlikte karar veriyoruz (danışmanlık).

Bu makale Kurumsal Network Kurulumu hizmetimizin switch ve router altyapısı koluna odaklanır; ağın giriş güvenliği için firewall kurulumu ve yönetimi rehberimize de bakabilirsiniz.

Switch ve Router Kurulumu: Devre Panosunun Kurulması

Bir elektrik panosunu monte etmek, sigortaları rastgele bir sıraya dizmek değildir; hangi devrenin hangi alanı besleyeceği, hangi sigortanın hangi yükü taşıyacağı baştan planlanır. Switch ve router kurulumunda da aynı disiplin işler: ofis, fabrika veya veri merkezi fark etmeksizin, ihtiyacınıza uygun modelleri katmanlı ve ölçeklenebilir bir mimariyle tasarlıyoruz. Her cihaz, sektörün en iyi uygulamalarına göre yapılandırılır; rastgele kutudan çıkarılıp prize takılmaz.

Küçük bir ofis için birkaç yönetilen switch’ten oluşan sade bir kurulumdan, çok katlı bir bina veya çok şubeli bir kampüs ağına kadar her ölçekte destek sağlıyoruz. Ölçek büyüdükçe planlama önem kazanır: 5 kullanıcılık bir ofiste gözden kaçan bir hata fark edilmeden düzelir, 500 kullanıcılık bir kampüste aynı hata saatlerce süren bir kesintiye dönüşür.

Yönetilen ve Yönetilmeyen Switch Arasındaki Fark Neden Önemli?

Bir elektrik panosuna yetkisiz birinin kendi uzatma kablosunu eklediğini düşünün: o kablo üzerinden neyin çekildiği, ne kadar yük bindirildiği kimse tarafından izlenmez, bir kısa devre olduğunda kaynağı bulmak da imkânsızlaşır. Yönetilmeyen (unmanaged) bir switch tam olarak budur: takıldığı anda çalışır ama üzerinde ne VLAN ayrımı, ne trafik izleme, ne de port bazlı yetkilendirme vardır. Kurumsal ağlarda sık karşılaştığımız risk, birinin masasının altına kendi getirdiği ucuz bir switch’i bağlamasıdır; bu switch, üzerinden geçen tüm cihazları segmentasyon dışında bırakır ve fark edilmeyen bir arka kapı açar. Yönetilen (managed) switch’lerde ise her port ayrı bir VLAN’a atanabilir, trafik izlenebilir ve yetkisiz bir cihaz bağlandığında o port otomatik olarak devre dışı bırakılabilir.

VLAN Segmentasyonu: Ayrı Devre Hatları

Bir binada mutfağın ve yatak odasının aynı sigortadan beslenmesi, mutfaktaki bir kısa devrenin tüm katı karanlıkta bırakması demektir. VLAN segmentasyonu, ağdaki bu ayrımı kurar: muhasebe, üretim, misafir Wi-Fi gibi farklı alanların trafiğini birbirinden izole eder. Misafir ağına bağlanan bir cihaz, bu sayede muhasebe sunucusuna doğrudan ulaşamaz; bir alandaki sorun (virüslü bir cihaz, aşırı trafik) diğer alanları etkilemez.

Örneğin muhasebe VLAN 10’da, üretim VLAN 20’de, misafir Wi-Fi ise VLAN 30’da çalışabilir; switch üzerindeki her port, bağlı olduğu cihazın hangi VLAN’a ait olduğuna göre yapılandırılır. Bir cihaz yanlışlıkla yanlış porta takılsa bile, o VLAN’ın erişim kurallarının dışına çıkamaz. Bu ayrımı sonradan eklemek, sıfırdan kurmaktan çok daha zahmetlidir; hangi departmanın hangi kaynağa erişmesi gerektiği netleşmeden bir kablo bile çekilmez.

VLAN’ın çizdiği bu sınırın teknik adı yayın alanıdır ve pratikte şu anlama gelir: iki cihaz aynı adres bloğunda görünse bile farklı VLAN’lardaysa birbirini hiç duymaz. Bu durumun sahada nasıl teşhis edildiği yayın alanı ve ARP yazımızda gerçek bir vakayla ele alınıyor.

Buradaki karar “hangi departman hangi VLAN’a girsin” sorusudur. Switch’in bu ayrımı teknik olarak nasıl kurduğu, yani access ile trunk portun farkı ve 802.1Q etiketi, ayrı bir yazının konusu.

Yedeklilik ve Kesintisiz Çalışma: Yedek Jeneratör Devreye Girdiğinde

Elektrik kesildiğinde jeneratörün otomatik devreye girmesi gibi, ağdaki kritik noktalarda da tek bir hata noktası bırakmıyoruz. HSRP/VRRP ile yedekli ağ geçidi (gateway) yapılandırması, ana cihaz arızalandığında yedeğinin fark edilmeden devralmasını sağlar. STP/RSTP ise farklı bir riski kapatır: switch’ler arasında yanlışlıkla oluşan bir döngü (loop), tüm ağı saniyeler içinde kilitleyebilir; bu protokoller döngüyü tespit edip otomatik olarak keser.

İkisi birbirinin yerini tutmaz. HSRP/VRRP bir cihazın çökmesine karşı korur, STP/RSTP ise yapılandırma hatasından doğan bir döngüye karşı korur; sağlam bir altyapı ikisini birlikte kurar. Ağ dışındaki katmanlarda aynı sorunun nasıl arandığını tek hata noktası yazımızda anlattık.

Örneğin ana omurga switch’i beklenmedik şekilde yeniden başladığında, HSRP/VRRP yapılandırması sayesinde yedek cihaz saniyeler içinde aynı sanal IP adresini üstlenir; kullanıcılar bağlantı kesintisini fark etmeden çalışmaya devam eder. Bu geçiş öncesinde test edilip doğrulanmadıysa, “yedek” olduğu düşünülen cihaz tam ihtiyaç anında devreye girmeyebilir; bu yüzden yedeklilik yapılandırması kurulumdan sonra mutlaka planlı bir kesinti testiyle doğrulanır, öylece bırakılmaz.

QoS: Öncelikli Devreler

Bir binada yaşam destek cihazlarının prizi ile misafir odasının prizi aynı devrede olmamalıdır; kritik yük her zaman önceliklidir. QoS (trafik önceliklendirme), ağda aynı mantığı uygular: sınırlı bant genişliğinde hangi trafiğin öncelikli taşınacağına karar verir.

Toplantı Saatinde Çöken Video Konferans

Yakın zamanda çok lokasyonlu bir kurumda tam olarak bu sorunla karşılaştık: MPLS hattının sınırlı bant genişliğinde, toplantı saatlerinde herkes aynı anda video konferansa girdiğinde ekranlar donuyor, sesler kesik kesik geliyordu. Video konferansın kullandığı trafik, aynı hattaki sıradan internet kullanımı tarafından eziliyordu; kesinti şiddeti toplantı büyüklüğüne göre değişiyordu, küçük toplantılarda az fark ediliyordu, kalabalık toplantılarda belirginleşiyordu.

Çözüm, hattı büyütmek değil, önceliklendirmekti: bir trafik şekillendirme politikasıyla video konferans trafiğini önceliklendirdik, diğer tüm trafiğin önceliğini düşürdük. Toplantı saati dışında kullanıcılar hattı normal şekilde paylaşıyor; toplantı anında öncelik her zaman video konferans paketlerinde oluyor. Doğru eşik değerlerine deneme yanılmayla ulaştık, kurulum toplam bir hafta sürdü. Bu projeyi hangi adımlarla tamamladığımızı QoS ve video konferans optimizasyonu vaka çalışmasında ayrıntısıyla anlatıyoruz.

Switch/Router Yönetimi: Yapılandırma Denetimi ve Port Güvenliği

Bir elektrik panosunu bir kez kurup unutmak, zamanla hangi sigortanın hangi devreyi beslediğinin unutulması demektir. Switch ve router yönetimi de aynı şekilde süreklilik ister; bu, genel ağ izlemenin (Syslog, SNMP) ötesinde, doğrudan switch ve router seviyesinde üç somut disiplinden oluşur.

• Yapılandırma yedekleme: Her değişiklik öncesi ve sonrası cihaz yapılandırması yedeklenir; bir hata olduğunda önceki çalışan sürüme dakikalar içinde dönülebilir, kimin ne zaman ne değiştirdiği de kayıt altındadır. Yedeğin hangi protokolle taşındığı da bir güvenlik kararıdır: TFTP ile alınan bir yedeğin ağda neye benzediğini paket düzeyinde ölçtük.
• Firmware ve güvenlik yamaları: Üretici tarafından yayınlanan güvenlik yamaları ve firmware güncellemeleri, test edildikten sonra planlı bir takvimle uygulanır; yamasız bırakılan bir cihaz, bilinen ve halka açık bir güvenlik açığını taşımaya devam eder.
• Port güvenliği denetimi: Hangi fiziksel porta hangi cihazın bağlı olduğu ve o portun doğru VLAN’a atanıp atanmadığı periyodik olarak doğrulanır; zamanla eklenen ve unutulan bağlantılar bu denetimle ortaya çıkar.

Bu üç disiplin olmadan kurulan en iyi mimari bile zamanla eskir; kurulumun kalitesini uzun vadede koruyan şey, sürekli yönetimdir.

Ağ Danışmanlığı: Doğru Mimariyi ve Markayı Seçmek

Bir binaya kaç sigorta, hangi kapasitede bir pano gerektiği, binanın büyüklüğüne ve yük ihtiyacına göre değişir; aynı karar ağ tarafında da verilmelidir. Ağ danışmanlığı, cihazları satın almadan önce hangi markanın, hangi topolojinin ve hangi ölçeğin kurumunuza uygun olduğuna karar verme sürecidir.

Bu karar tek bir soruya indirgenemez. Tek lokasyonlu, 20 kişilik bir ofis ile 15 şubeli bir zincirin ihtiyacı aynı mimariden karşılanmaz; ikincisinde merkezi yönetim konsolu, şubeler arası otomatik yapılandırma dağıtımı ve lisans yenileme takvimi kurulum kararını doğrudan etkiler. Bulut tabanlı merkezi yönetim panelini tercih eden kurumlar için Cisco Meraki veya Ubiquiti UniFi gibi araçlar devreye girer; geleneksel CLI tabanlı yönetimi tercih eden ve yüksek özelleştirme isteyen kurumlar için ise Cisco Catalyst, Aruba/HPE veya MikroTik genellikle daha uygun bir seçenektir. Danışmanlığın amacı, bu tabloyu satın alma kararından önce netleştirmektir.

Hangi Markalarla Çalışıyoruz?

Cisco Catalyst ve Meraki, Aruba/HPE, Ubiquiti UniFi ve MikroTik platformlarında deneyimliyiz. Mevcut altyapınıza ve bütçenize en uygun markayı danışmanlık aşamasında birlikte belirliyoruz; tek bir markaya bağlı kalmadan, ihtiyacınıza göre karar veriyoruz.

Switch/router kurulumu, yönetimi ve danışmanlığı burada birbirinden kopuk üç hizmet değil, aynı elektrik tesisatının farklı zamanlarına denk gelen tek bir sorumluluktur: pano önce doğru kurulur, sonra her gün doğru işletilir, ihtiyaç değiştiğinde de doğru mimariyle güncellenir.

Yazan

İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştüren bir ağ ve sistem mühendisidir. Şirketlere özel teknoloji rehberleri burada.