VLAN nedir, küçük işletmede neden gerekir?

Küçük bir ofiste bilgisayarlar, yazıcılar, kameralar, sunucu ve misafir telefonları çoğu zaman aynı ağda durur. Bu düzen kurulumu kolaylaştırır, ama her cihazın diğer her cihaza ulaşabilmesi anlamına da gelir. VLAN, ek kablo çekmeden bu cihaz gruplarını birbirinden ayırmanın en yaygın yoludur.

VLAN nedir?

VLAN (Virtual LAN, sanal yerel ağ), tek bir fiziksel ağ altyapısını birden fazla mantıksal ağa bölmeyi sağlar. Aynı anahtara (switch) takılı iki bilgisayar farklı VLAN'lardaysa, birbirlerini ayrı binalardaymış gibi doğrudan göremez. Her VLAN'ın kendi adres aralığı olur; VLAN'lar arasındaki trafik doğrudan geçemez, bir yönlendiriciden geçmek zorundadır.

Bunu bir iş merkezindeki katlara benzetebilirsiniz: Bina, merdiven ve asansör ortaktır, ama her katın kapısı ayrıdır ve katlar arasında kimin geçebileceğine girişteki güvenlik karar verir. VLAN'larda bu görevi genellikle güvenlik duvarı ya da yönlendirme yapabilen bir anahtar (katman 3 anahtar) üstlenir.

Etiket, erişim portu ve trunk portu

Anahtar, her paketin hangi VLAN'a ait olduğunu 802.1Q adlı standarda göre pakete eklediği küçük bir etiketle belirtir. VLAN numaraları 1 ile 4094 arasında seçilir. Bilgisayar veya yazıcı gibi tek bir ağa ait cihazın bağlı olduğu port "erişim portu" (access) olarak tek bir VLAN'a atanır; cihazın etiketten haberi bile olmaz. Anahtarlar arasındaki ya da anahtar ile güvenlik duvarı veya erişim noktası arasındaki bağlantılar ise birden fazla VLAN'ı etiketli olarak taşıyan "trunk" portlarıdır.

Küçük işletmede neden gerekir?

VLAN'ın değeri, ağdaki cihazların aynı güven düzeyinde olmamasından gelir. Küçük bir ofiste tipik ayrımlar şunlardır:

• Misafir ağı: Ziyaretçilerin telefon ve bilgisayarları yalnızca internete çıkar; dosya sunucusunu, yazıcıları ya da muhasebe bilgisayarını görmez.
• Kamera ağı: IP kameralar çoğu zaman yıllarca güncellenmeden çalışır. Ayrı bir VLAN'da durup yalnızca kayıt cihazıyla konuşabildiklerinde, bir kameradaki güvenlik açığı bütün ağa kapı açmaz.
• Sunucu ağı: Dosya, muhasebe veya ERP sunucuları ayrı bir bölümde tutulur; çalışanlar yalnızca ihtiyaç duydukları hizmete erişir.
• Yazıcı ve diğer cihazlar: Yazıcılar, toplantı ekranları ve kartlı geçiş sistemi gibi cihazlar kendi bölümünde toplanır.
• Yönetim ağı: Anahtarların, erişim noktalarının ve güvenlik duvarının yönetim arayüzlerine yalnızca bu ağdan ve yalnızca yetkili kişiler ulaşır.

Güvenliğin yanında düzen de kazanırsınız. Her bölümün kendi adres aralığı olduğunda bir IP adresine bakıp cihazın ne olduğunu tahmin etmek kolaylaşır. Yayın trafiği (broadcast, ağdaki tüm cihazlara giden mesajlar) de yalnızca kendi VLAN'ı içinde kalır; kalabalık bir ağda gereksiz trafik azalır.

Örnek bir VLAN planı

Aşağıdaki tablo 20–50 kişilik bir ofis için örnek bir başlangıç planıdır. Numaralar ve adresler zorunlu değildir; önemli olan grupların ve erişim ihtiyacının net olmasıdır.

VLAN numarasını adresin üçüncü bölümüyle eşleştirmek (VLAN 40 için 10.10.40.x gibi) zorunlu değildir ama ağı okumayı kolaylaştırır. Kablosuz tarafta her ağ adı (SSID) bir VLAN'a bağlanır: "Ofis" ağı çalışan VLAN'ına, "Misafir" ağı misafir VLAN'ına. Çalışanların kamera görüntülerini izlemesi gerekiyorsa, kamera ağının tamamına değil yalnızca kayıt cihazına erişim tanımlanır.

Asıl iş: VLAN'lar arası kurallar

Sık yapılan bir yanılgı, VLAN oluşturmanın tek başına koruma sağladığını düşünmektir. Birçok yönlendirici ve katman 3 anahtar, VLAN'lar arasındaki trafiği varsayılan olarak serbestçe yönlendirir. Kural yazılmadığında ağlar kâğıt üzerinde ayrı görünür, ama cihazlar yine birbirine ulaşır.

Daha güvenli başlangıç noktası, VLAN'lar arası trafiği varsayılan olarak engellemek ve yalnızca gerekenleri açmaktır: çalışanlardan dosya sunucusuna dosya paylaşımı, muhasebe sunucusuna ilgili uygulama portu, yazıcılara yazdırma portları gibi. Kurallar kaynak, hedef ve port belirtecek kadar dar olmalıdır. Kamera ve misafir ağlarından iç ağa doğru başlatılan bağlantılara izin vermeyin.

Gereken altyapı

• Yönetilebilir anahtarlar: 802.1Q desteklemeleri gerekir; yönetilemeyen anahtarlar VLAN etiketlerini anlamaz.
• Yönlendirme ve kural noktası: VLAN'lar arasında trafiği yönlendirip kural uygulayabilen bir güvenlik duvarı ya da katman 3 anahtar.
• Kablosuz erişim noktaları: Birden fazla ağ adını farklı VLAN'lara bağlayabilmelidir.
• Adres dağıtımı: Her VLAN'ın kendi DHCP havuzu olmalıdır; güvenlik duvarı bunu her VLAN için ayrı sunabilir ya da istekler merkezi bir DHCP sunucusuna aktarılabilir (DHCP relay).

Ev tipi modemlerdeki "misafir ağı" özelliği, birkaç kişilik bir ofiste misafirleri ayırmak için başlangıçta yeterli olabilir. Kamera, sunucu ve yönetim ayrımı gibi ihtiyaçlar ortaya çıktığında ise genellikle yukarıdaki altyapı gerekir.

Geçişi adım adım yapın

Mevcut düz bir ağı tek gecede bölmek, yazıcıların kaybolması ve uygulamaların bağlanamaması gibi sürprizlere yol açabilir. Daha sakin bir yol şöyledir:

1. Ağdaki cihazları listeleyin; her birinin hangi gruba gireceğini ve kiminle konuşması gerektiğini yazın.
2. Önce misafir ve kamera ağlarını ayırın. Bu ikisinin iç ağla iletişim ihtiyacı azdır, kazancı ise yüksektir.
3. Ardından yönetim ağını kurun ve ağ cihazlarının yönetim arayüzlerini oraya taşıyın.
4. Son olarak sunucuları ayırın; çalışanların hangi hizmetlere hangi portlardan eriştiğini önceden tespit edin.

Yönetim VLAN'ını değiştirirken cihaza uzaktan erişimi kaybetme riski vardır. Bu işi cihaza fiziksel olarak ulaşabileceğiniz bir zamanda yapın ve öncesinde yapılandırma yedeği alın. Çoğu anahtarda varsayılan olarak gelen VLAN 1'i kullanıcı ya da yönetim ağı olarak kullanmamak, kullanılmayan portları da boş bir VLAN'a atayıp kapatmak yaygın kabul gören iyi uygulamalardır.

Kontrol listesi

• Ağdaki cihazlar gruplandı ve her grubun neye erişmesi gerektiği yazıldı mı?
• Misafir ağı yalnızca internete çıkabiliyor mu?
• Kameralar yalnızca kayıt cihazıyla konuşabiliyor mu?
• VLAN'lar arası trafik varsayılan olarak engellenip yalnızca gerekenler mi açıldı?
• Ağ cihazlarının yönetim arayüzlerine yalnızca yönetim ağından ulaşılabiliyor mu?
• Anahtarlar, güvenlik duvarı ve erişim noktaları 802.1Q ve çoklu ağ adını destekliyor mu?
• Kullanılmayan portlar kapatıldı, VLAN 1 kullanıcı trafiğinden çıkarıldı mı?
• Ayrımdan sonra yazıcı, tarama ve kritik uygulamalar test edildi mi?