VLAN Nedir?
VLAN (Virtual Local Area Network / Sanal Yerel Alan Ağı), fiziksel olarak tek bir ağ üzerinde çalışan cihazları mantıksal olarak ayrı ağlara bölme yöntemidir. Aynı switch’e bağlı cihazlar, farklı VLAN’lara atanarak birbirinden yalıtılabilir. Bu sayede tek bir fiziksel altyapı üzerinde birden fazla bağımsız ağ kurulmuş gibi çalışır. Yeni bir departman için ayrı kablo çekmek yerine, mevcut altyapı üzerinde mantıksal bir bölüm tanımlanır.
VLAN Neden Kullanılır?
VLAN’ların kurumsal ağlarda tercih edilmesinin başlıca nedenleri güvenlik, performans ve yönetim kolaylığıdır. Ağ trafiğini mantıksal olarak bölmek, hem güvenlik risklerini azaltır hem de gereksiz yayın trafiğini sınırlayarak performansı artırır.
- Güvenlik: Muhasebe, misafir, üretim ve yönetim ağları birbirinden yalıtılır.
- Performans: Yayın (broadcast) trafiği yalnızca ilgili VLAN içinde dolaşır, ağın tamamını meşgul etmez.
- Esneklik: Cihazların fiziksel konumundan bağımsız gruplama yapılabilir.
- Yönetim: Departman bazlı kurallar merkezi olarak tanımlanır ve uygulanır.
VLAN Nasıl Çalışır?
VLAN’lar, IEEE 802.1Q standardıyla ağ paketlerine eklenen bir etiket (tag) sayesinde çalışır. Bu etiket, paketin hangi VLAN’a ait olduğunu belirtir ve switch’ler bu bilgiyi kullanarak trafiği doğru bölüme yönlendirir. Switch portları bu noktada iki temel şekilde yapılandırılır.
Access ve Trunk Portlar
Access portlar, tek bir VLAN’a atanmış son kullanıcı cihazları için kullanılır ve etiketsiz trafik taşır. Trunk portlar ise birden fazla VLAN trafiğini switch’ler arasında taşımak için kullanılır ve etiketli paketleri iletir. Doğru port yapılandırması, VLAN mimarisinin sağlıklı çalışmasının anahtarıdır. Yanlış tanımlanmış bir trunk portu, tüm VLAN yapısının güvenliğini zaafa uğratabileceği için bu ayarlar dikkatle yapılır ve düzenli olarak gözden geçirilir. Ayrıca bir IP telefonun arkasına bilgisayar bağlandığı senaryolarda ses ve veri trafiğinin ayrı VLAN’larda taşınması, tek portla iki farklı segmentin yönetilmesini mümkün kılar.
VLAN’lar Arası İletişim
Varsayılan olarak farklı VLAN’lar birbiriyle konuşamaz; bu, güvenlik açısından istenen bir davranıştır. İletişim gerektiğinde, katman 3 switch veya router üzerinden kontrollü yönlendirme yapılır. Böylece hangi VLAN’ın hangisine erişebileceği güvenlik kurallarıyla açıkça belirlenir ve gereksiz erişimler engellenir.
- Misafir WiFi ağının iç sistemlere erişimi engellenir
- Kamera ve IoT cihazları ayrı bir segmentte toplanır
- Sunucu ağı ayrı bir VLAN’da korunur
- Yönetim trafiği kullanıcı trafiğinden ayrılır
Segmentasyonun Güvenlik Değeri
İyi tasarlanmış bir VLAN yapısı, bir cihaz ele geçirildiğinde saldırganın tüm ağa yayılmasını zorlaştırır. Ağ segmentasyonu, modern güvenlik yaklaşımlarının temel taşlarından biridir ve saldırı yüzeyini belirgin biçimde küçültür. Ayrıca ağı bölmek, sorun giderirken de kolaylık sağlar; bir bölümdeki arıza diğerlerini etkilemez.
VLAN Planlaması Nasıl Yapılır?
Etkili bir VLAN yapısı, rastgele değil ihtiyaç analizine dayalı bir planlamayla oluşturulur. Öncelikle kurumdaki kullanıcı grupları, cihaz türleri ve güvenlik gereksinimleri belirlenir. Ardından her grup için ayrı bir VLAN ve buna karşılık gelen bir IP adres bloğu tanımlanır. Anlamlı bir numaralandırma şeması kullanmak, ilerideki yönetimi büyük ölçüde kolaylaştırır. Örneğin kullanıcılar, sunucular, kameralar ve misafirler için tutarlı numara aralıkları belirlenmesi, ağ büyüdüğünde bile düzenin korunmasını sağlar. Ayrıca VLAN sayısının gereğinden fazla artırılmaması, yönetimi karmaşıklaştırmamak açısından önemlidir. İyi planlanmış bir VLAN mimarisi, hem bugünün ihtiyaçlarını karşılar hem de gelecekteki genişlemelere zemin hazırlar.
Örnek Bir VLAN Planı
Kavramı somutlaştırmak için orta ölçekli bir ofis düşünelim. VLAN numarasını IP bloğuyla eşleştirmek, bir adrese bakıldığında hangi bölüme ait olduğunun hemen anlaşılmasını sağlar. Aşağıdaki plan yalnızca bir örnektir; numaralar kurumun ihtiyacına göre belirlenir.
- VLAN 10 – Yönetim: Switch, erişim noktası ve diğer ağ cihazlarının yönetim arayüzleri (ör. 10.0.10.0/24).
- VLAN 20 – Kullanıcılar: Çalışan bilgisayarları (ör. 10.0.20.0/24).
- VLAN 30 – Ses: IP telefonlar.
- VLAN 40 – Sunucular: Dosya, uygulama ve veritabanı sunucuları.
- VLAN 50 – Kamera ve IoT: IP kameralar, kayıt cihazları, bina otomasyonu.
- VLAN 60 – Misafir: Yalnızca internete çıkabilen ziyaretçi kablosuz ağı.
- Kullanılmayan bir VLAN: Trunk hatlarında yerel (native) VLAN olarak ve boştaki portları park etmek için ayrılır.
Switch Üzerinde VLAN Yapılandırma Adımları
Cihaz markasına göre komutlar ve menüler değişse de yapılandırma mantığı aynıdır:
- VLAN’ları oluşturun: Plandaki her VLAN, numarası ve anlaşılır bir adla tüm ilgili switch’lerde tanımlanır.
- Access portları atayın: Bilgisayar, yazıcı ve kamera bağlanan her port, yalnızca ait olduğu VLAN’a access port olarak verilir. IP telefon arkasına bilgisayar bağlanan portlarda ayrıca ses VLAN’ı tanımlanır.
- Trunk portları yapılandırın: Switch’ler arası ve switch ile güvenlik duvarı arasındaki bağlantılar trunk yapılır.
- Katman 3 arayüzlerini kurun: Her VLAN için bir ağ geçidi adresi, katman 3 switch ya da güvenlik duvarı üzerinde tanımlanır; DHCP her VLAN’a doğru adres bloğunu dağıtacak şekilde ayarlanır.
- Erişim kurallarını yazın: Hangi VLAN’ın hangisine, hangi servis için erişebileceği açıkça belirlenir; geri kalan trafik engellenir.
- Doğrulayın ve belgeleyin: Her VLAN’dan test cihazıyla adres alma, internete çıkma ve yasaklı bölümlere erişememe denenir; port-VLAN eşleşmeleri kayda geçirilir.
Trunk Portta İzinli VLAN Listesi
Trunk portlar varsayılan olarak tüm VLAN’ları taşıyabilir. İyi bir uygulama, her trunk hattında yalnızca o hattın gerçekten taşıması gereken VLAN’lara izin vermektir. Örneğin yalnızca kamera ve yönetim trafiği olan bir dış alan switch’ine kullanıcı ve sunucu VLAN’larını taşımanın bir gereği yoktur.
VLAN Yapılandırmasında Sık Yapılan Hatalar
- Varsayılan VLAN 1’i kullanıcı ya da yönetim ağı olarak kullanmaya devam etmek.
- Kullanıcı VLAN’ını trunk hatlarında yerel VLAN olarak bırakmak; bu, VLAN atlama (VLAN hopping) saldırılarına zemin hazırlar.
- Kullanıcı portlarında otomatik trunk anlaşmasını açık bırakmak.
- Boştaki portları kapatmamak ya da kullanılmayan bir VLAN’a almamak.
- VLAN’ları oluşturup aralarındaki yönlendirmeyi kuralsız bırakmak; böylece ayrımın güvenlik değerini yitirmek.
VLAN, segmentasyonun bir aracıdır; segmentasyonun güvenlik politikası tarafını Ağ Segmentasyonu ile Güvenliği Güçlendirme, bölümlerin nasıl belirleneceğini ise Ağ Segmentasyonu ile Güvenliği Artırmak yazılarımızda ele aldık. VLAN’lar arası yönlendirmede switch ve router’ın rolünü Switch ve Router Arasındaki Fark rehberimizde bulabilirsiniz. VLAN planlaması ve switch yapılandırması için Ağ ve Kablolama Altyapısı hizmet sayfamızı inceleyebilirsiniz.
GelecekINT olarak kurumsal ağınız için departman, misafir, kamera ve sunucu segmentlerini kapsayan güvenli VLAN mimarileri tasarlıyor; switch ve router yapılandırmalarını uçtan uca kuruyoruz. Ağınızı segmentlere ayırarak güvenliği ve performansı artırmak için WhatsApp hattımızdan teklif talep edebilirsiniz.
