VLAN ve Ağ Segmentasyonu: Yapılandırma ve Güvenlik

Pek çok ofis ağında muhasebe bilgisayarları, misafirlerin telefonları, IP kameralar, yazıcılar ve sunucular aynı düz ağın içinde yan yana durur. Her şey çalışıyor gibi görünür; ta ki zafiyetli bir kamera veya zararlı yazılım bulaşmış bir dizüstü bilgisayar, ağdaki diğer tüm cihazlara serbestçe ulaşana kadar. VLAN ve ağ segmentasyonu, ağı amaca göre bölerek bu riski sınırlar, trafiği düzenler ve sorun gidermeyi kolaylaştırır. Bu rehberde segment planlamasından switch yapılandırmasına, erişim kurallarından sık yapılan hatalara kadar uygulamada işe yarayan adımları ele alıyoruz.

VLAN ve Segmentasyon Nedir, Neden Gereklidir?

Ağ segmentasyonu, ağı birbirinden yalıtılmış ve aralarındaki trafiğin kurallarla denetlendiği bölümlere ayırma yaklaşımıdır. VLAN (sanal yerel ağ) ise bunu yapmanın en yaygın aracıdır: aynı fiziksel switch altyapısı üzerinde, IEEE 802.1Q etiketleme standardıyla birbirinden ayrı mantıksal ağlar oluşturur. Her VLAN kendi yayın alanıdır; farklı VLAN'lardaki cihazlar ancak bir yönlendirici veya güvenlik duvarı üzerinden, izin verildiği ölçüde haberleşebilir.

Segmentasyon genellikle üç katmanın birleşimidir: VLAN ile ikinci katmanda ayrım, her VLAN için ayrı IP alt ağı ve segmentler arasındaki trafiği denetleyen erişim kuralları. Bu üçünden biri eksik kaldığında segmentasyon kâğıt üzerinde kalır.

Segmentasyonun sağladığı başlıca faydalar şunlardır:

• Yanal hareketin sınırlanması: Bir cihaz ele geçirildiğinde saldırgan veya zararlı yazılım yalnızca o segmente erişebilir. Bu, fidye yazılımlarının tüm ağa yayılmasını zorlaştıran en etkili önlemlerden biridir.
• Daha az yayın trafiği: Yayın alanları küçüldükçe gereksiz trafik azalır ve ağ daha öngörülebilir çalışır.
• Kolay yönetim ve sorun giderme: Hangi cihazın hangi amaçla nerede durduğu IP adresinden bile anlaşılır.
• Uyum ve denetim: Ödeme sistemleri, kişisel veri işleyen sunucular veya üretim sistemleri gibi hassas varlıklar ayrı tutularak denetim kapsamı daraltılır.

Segment Planlama: Departman, Sunucu, Misafir, IoT ve Kamera Ağları

İyi bir segmentasyon, switch'e dokunmadan önce kâğıt üzerinde tasarlanır. Orta ölçekli bir ofis için tipik bir segment yapısı şöyledir:

• Yönetim ağı: Switch, erişim noktası, güvenlik duvarı ve sunucu yönetim arayüzleri. Yalnızca BT yöneticilerinin erişebildiği en korunaklı segmenttir.
• Sunucu ağı: Dosya, uygulama, veritabanı ve etki alanı sunucuları.
• Kullanıcı ağları: Çalışan bilgisayarları; farklı güvenlik ihtiyacı olan departmanlar, örneğin finans veya insan kaynakları, ayrı segmentte tutulabilir.
• Ses ağı: IP telefonlar; ses kalitesi için önceliklendirme bu segmente uygulanır.
• Yazıcı ağı: Yazıcılar ve çok fonksiyonlu cihazlar.
• Kurumsal kablosuz ağ: Şirket cihazlarının bağlandığı kimlik doğrulamalı Wi-Fi.
• Misafir ağı: Yalnızca internete çıkabilen, iç kaynaklara hiçbir erişimi olmayan segment.
• IoT ve bina sistemleri: Toplantı odası ekranları, akıllı cihazlar, bina otomasyonu.
• Kamera ağı: IP kameralar ve kayıt cihazları.
• Üretim ağı: Üretim tesislerinde makineler ve operasyonel teknoloji sistemleri; kurumsal ağdan sıkı biçimde ayrılmalıdır. Bu konudaki yaklaşımımızı sanayi ve imalat sektörü sayfamızda bulabilirsiniz.

Planlama ilkeleri de en az segment listesi kadar önemlidir. VLAN numarası ile IP alt ağı arasında akılda kalıcı bir eşleme kurun; örneğin VLAN 20 için 10.0.20.0/24 gibi. Her segmentte büyüme payı bırakın, DHCP kapsamlarını buna göre tanımlayın ve tüm planı tek bir dokümanda tutun. Segment sayısını ihtiyaca göre belirleyin; her ayrım yönetilecek yeni kurallar demektir.

VLAN Yapılandırma Adımları: Switch, Trunk ve Inter-VLAN Routing

Yapılandırma üreticiye göre komut düzeyinde farklılık gösterse de adımlar aynıdır:

1. Donanımı doğrulayın: Tüm switch'lerin 802.1Q destekli yönetilebilir cihazlar olduğundan ve segmentler arası yönlendirme yapılacaksa katman 3 yeteneğinden emin olun.
2. VLAN'ları tanımlayın: Planlanan VLAN'ları ilgili tüm switch'lerde aynı numara ve anlamlı isimlerle oluşturun.
3. Erişim portlarını atayın: Bilgisayar, yazıcı ve kamera gibi uç cihazların bağlandığı portları ilgili VLAN'a erişim portu olarak atayın. IP telefonların arkasına bilgisayar bağlanıyorsa ses VLAN'ını ayrıca tanımlayın.
4. Trunk bağlantılarını yapılandırın: Switch'ler arası, switch ile güvenlik duvarı ve switch ile sanallaştırma sunucusu arasındaki bağlantıları trunk olarak ayarlayın. Erişim noktalarında her SSID bir VLAN'a eşlenir ve AP portu trunk olarak yapılandırılır. Her trunk'ta yalnızca gereken VLAN'lara izin verin.
5. Native VLAN'ı yönetin: Etiketsiz trafiğin taşındığı native VLAN'ı kullanıcı trafiği taşımayan ayrı bir VLAN'a alın; varsayılan VLAN 1'i kullanıcı veya yönetim trafiği için kullanmayın.
6. Segmentler arası yönlendirmeyi kurun: Yönlendirme ya katman 3 switch üzerindeki sanal arayüzlerle ya da güvenlik duvarı üzerinde yapılır. Güvenlik duvarı kuralların ayrıntılı uygulanmasını ve kayıt tutulmasını sağlar; katman 3 switch ise yoğun iç trafikte daha yüksek performans sunar. Çoğu işletmede güvenlik açısından hassas segmentler güvenlik duvarında sonlandırılır.
7. DHCP'yi ayarlayın: Her VLAN için ayrı kapsam oluşturun; DHCP sunucusu farklı bir segmentteyse ilgili arayüzlerde DHCP aktarımını yapılandırın.
8. Döngü korumasını etkinleştirin: Spanning tree protokolünü etkin tutun, kök switch'i bilinçli seçin ve uç cihaz portlarında BPDU korumasını açın.
9. Test edin ve belgelendirin: Her segmentten internet, sunucu ve diğer segmentlere erişimi test edin; port atamalarını ve VLAN planını güncel dokümana işleyin.

Segmentler Arası Erişim Kuralları ve Firewall Politikaları

Segmentasyonun güvenlik değeri, segmentler arasındaki kurallar kadardır. Temel ilke, varsayılan olarak her şeyi reddetmek ve yalnızca iş gereği olan trafiğe izin vermektir. Örnek bir kural seti şöyle kurgulanabilir:

• Misafir ağı yalnızca internete çıkabilir; iç ağlara ve yönetim arayüzlerine hiçbir erişimi yoktur.
• Kamera ağı yalnızca kayıt cihazıyla konuşur; kayıt cihazına erişim yalnızca güvenlik ekibinin bilgisayarlarından verilir.
• Kullanıcı ağları sunuculara yalnızca gerekli servis portları üzerinden erişir.
• Yazıcılara kullanıcı ağlarından yazdırma portları açılır, yazıcılar ise kullanıcılara bağlantı başlatamaz.
• Yönetim ağına yalnızca BT yöneticilerinin cihazlarından veya bir atlama sunucusundan erişilir.
• IoT cihazları yalnızca üreticinin bulut servislerine çıkabilir.

Kurallar oluşturulduktan sonra reddedilen trafiğin kayıtlarını düzenli inceleyin; hem yanlış kuralları hem de şüpheli davranışları buradan görürsünüz. Kural setini periyodik olarak gözden geçirip artık kullanılmayan izinleri kaldırın. Güvenlik duvarı seçimini ve kural yönetimini kurumsal güvenlik duvarı rehberimizde ele aldık.

Segmentasyonun bir sonraki adımı, kimlik ve cihaz durumuna göre erişim veren yaklaşımlardır. 802.1X ile kimlik doğrulayan portlar kullanıcıyı otomatik olarak doğru VLAN'a atayabilir; sunucular arası trafikte ise mikro segmentasyon, her iş yükünün yalnızca ihtiyaç duyduğu diğer iş yükleriyle konuşmasını sağlar. Bu yaklaşımı Zero Trust geçiş planı yazımızda ayrıntılı anlattık.

Performans Etkileri ve Yayın Trafiğinin Azaltılması

Düz ağlarda ARP, DHCP ve cihaz keşif protokollerinin ürettiği yayın trafiği tüm cihazlara ulaşır. Cihaz sayısı arttıkça bu trafik hem ağ kaynaklarını hem de uç cihazları gereksiz yere meşgul eder. VLAN'lar yayın alanını küçülterek bu yükü segment içine hapseder. Çok noktaya yayın kullanan uygulamalarda IGMP gözetleme, trafiğin yalnızca ilgili portlara iletilmesini sağlar. Ses VLAN'ına uygulanan hizmet kalitesi ayarları ise yoğun anlarda bile görüşme kalitesini korur.

Segmentasyonun performansa olumsuz etkisi de olabilir ve bu tasarımda hesaba katılmalıdır. Segmentler arası yönlendirme güvenlik duvarında yapılıyorsa, kullanıcılar ile dosya sunucusu arasındaki yoğun trafik güvenlik duvarının kapasitesini zorlayabilir; bu durumda cihaz kapasitesi buna göre seçilmeli veya uygun trafik katman 3 switch üzerinde erişim listeleriyle yönlendirilmelidir. Ayrıca yazıcı ve ekran paylaşımı gibi keşif protokolleri segmentler arasında kendiliğinden çalışmaz; bu servisler için kontrollü bir aktarım çözümü planlanmalıdır.

Sık Yapılan VLAN Hataları

• VLAN 1'i kullanmaya devam etmek: Varsayılan VLAN'ın kullanıcı ve yönetim trafiği için kullanılması, ayrımın zayıflamasına yol açar.
• Trunk'larda tüm VLAN'lara izin vermek: Gereksiz VLAN'ların her yere taşınması hem güvenlik hem de sorun giderme açısından risklidir.
• Native VLAN uyumsuzluğu: Trunk'ın iki ucunda farklı native VLAN tanımlanması, trafiğin yanlış segmente sızmasına neden olabilir.
• VLAN atlama saldırılarına açık bırakmak: Kullanıcı portlarında otomatik trunk anlaşmasının kapatılmaması ve native VLAN'ın kullanıcı VLAN'ı olması bu saldırılara kapı aralar.
• Segmentler arasında her şeye izin veren kural: VLAN'lar var ama aralarındaki trafik serbestse, elde edilen yalnızca düzenli bir IP planıdır.
• Yönetim arayüzlerinin kullanıcı ağından erişilebilir olması: Switch ve güvenlik duvarı panelleri yalnızca yönetim ağından açılmalıdır.
• Kullanılmayan portları açık bırakmak: Boş portlar kapatılmalı veya hiçbir yere çıkışı olmayan bir park VLAN'ına alınmalıdır.
• Dokümantasyon eksikliği: Hangi portun hangi VLAN'da olduğunu yalnızca cihaz yapılandırmasından öğrenmek, her değişikliği riskli hale getirir.

Proje Kapsamı ve Destek Alınacak Noktalar

Mevcut bir düz ağı segmentli yapıya taşımak, çalışan bir sistem üzerinde yapılan bir değişikliktir ve planlı ilerlemeyi gerektirir. Tipik bir proje şu aşamalardan oluşur:

1. Mevcut durum analizi: cihaz envanteri, trafik akışları ve uygulama bağımlılıkları
2. Segment ve IP planı ile erişim kuralı tasarımı
3. Geri dönüş planıyla birlikte mesai dışı bakım pencerelerinin belirlenmesi
4. Aşamalı geçiş: genellikle önce misafir ve kamera ağları, ardından yazıcı, sunucu ve kullanıcı segmentleri
5. Her aşamadan sonra uygulama testleri ve kullanıcı geri bildirimi
6. Güncel dokümantasyon ve BT ekibine devir

Projenin emeğini ve süresini belirleyen başlıca faktörler; switch'lerin yönetilebilir olup olmadığı, kat ve lokasyon sayısı, segmentlere taşınacak cihaz sayısı, sabit IP adresiyle çalışan eski sistemlerin varlığı ve uygulama bağımlılıklarının ne kadar belgelendiğidir. Yönetilemeyen masaüstü tipi switch'lerin kullanıldığı ağlarda önce donanım yenilemesi gerekebilir; bu nedenle segmentasyon çoğu zaman altyapı yenileme planıyla birlikte ele alınır.

Uzman desteğinin en çok fark yarattığı noktalar; uygulama bağımlılıklarının çıkarılması, güvenlik duvarı kural tasarımı, farklı üreticilerin switch'lerinin bir arada kullanıldığı ortamlar ve kablosuz ağ entegrasyonudur. Kablosuz tarafın segmentasyonla nasıl birleştiğini kurumsal Wi-Fi tasarımı yazımızda bulabilirsiniz.

Sonuç

VLAN ve ağ segmentasyonu, ağınızı saldırılara karşı dayanıklı, performans açısından öngörülebilir ve yönetim açısından anlaşılır kılan temel bir mimari karardır. Başarı; doğru segment planına, yalnızca gerekeni açan erişim kurallarına ve aşamalı, belgelendirilmiş bir geçişe bağlıdır. Mevcut ağınızın segmentasyon ihtiyacını birlikte değerlendirmek için network altyapı hizmetimizi inceleyebilir veya uzmanlarımızla ücretsiz ön görüşme yapabilirsiniz.