VLAN ne işe yarar?
VLAN (Virtual Local Area Network), bir yerel ağı mantıksal yayın alanlarına ayırmaya yarar. Böylece aynı switch altyapısına bağlı cihazlar, yapılandırmaya göre farklı ağ segmentlerinde çalışabilir.
Örneğin personel bilgisayarları, misafir Wi-Fi, IP kameralar, IP telefonlar, sunucular ve ağ yönetim arayüzleri ayrı VLAN yapılarında tutulabilir. Bu ayrım fiziksel olarak her grup için ayrı switch kurmayı her zaman gerektirmez.
VLAN tek başına güvenlik duvarı değildir
VLAN cihazları mantıksal olarak ayırır; ancak VLAN’lar arasında yönlendirme açılmışsa hangi trafiğin geçebileceği ayrıca tanımlanmalıdır. Erişim kontrol listeleri (ACL), firewall kuralları ve yönlendirme politikaları olmadan yapılan bir ayrım beklenen güvenlik seviyesini sağlamayabilir.
Örneğin misafir ağından şirket sunucularına erişim engellenirken, personel ağından yazıcıya veya dosya sunucusuna sadece gerekli portlar üzerinden erişim verilebilir. Kamera kayıt cihazının da yalnızca gerekli kamera ve yönetim sistemleriyle haberleşmesi planlanmalıdır.
Küçük ve orta ölçekli işletme için örnek ağ ayrımı
Örnek bir tasarımda personel bilgisayarları, misafir kullanıcılar, güvenlik kameraları, IP telefonlar ve ağ yönetimi ayrı segmentlerde konumlandırılabilir. Gerçek VLAN numaraları ve IP aralıkları kurumun adresleme planına göre belirlenir; her işletme için geçerli tek bir numara şeması yoktur.
Misafir ağı internet erişimiyle sınırlandırılabilir. Kamera ağına personel bilgisayarlarından sınırsız erişim vermek yerine, canlı izleme ve yönetim için belirlenmiş yetkili istemciler kullanılabilir.
Kurulumda hangi cihazlar VLAN desteklemeli?
Yönetilebilir switch üzerinde access ve trunk portlarının nasıl kullanılacağı planlanmalıdır. Router veya firewall cihazı VLAN arayüzlerini ve ağlar arası güvenlik kurallarını desteklemelidir. Kablosuz erişim noktası, farklı SSID’leri uygun VLAN’lara eşleyebilmelidir.
Cihazların desteklediği VLAN sayısı, trunk yapısı, yönetim yöntemi ve lisans koşulları marka/model bazında değişebilir. Switch ile firewall arasındaki uplink portunun gerekli VLAN etiketlerini taşıyacak şekilde yapılandırılması gerekir.
Dokümantasyon ve test
Her VLAN için amaç, IP alt ağı, DHCP kapsamı, varsayılan ağ geçidi, DNS gereksinimi ve izin verilen kaynak/hedefler yazılı hale getirilmelidir. Ağ şeması değişikliklerden sonra güncellenmelidir.
Kurulum sonunda her segmentten hangi hizmetlere erişilebildiğini ve hangilerinin engellendiğini test edin. Özellikle yazıcı keşfi, dosya paylaşımı, kamera yönetimi, IP telefon servisleri ve misafir erişimi ayrı ayrı doğrulanmalıdır.
Sıkça sorulan sorular
VLAN için yönetilebilir switch gerekir mi?
VLAN yapılandırması için VLAN özelliklerini destekleyen bir switch gerekir. Kullanılacak port türleri ve yönetim seçenekleri cihazın teknik özellikleriyle doğrulanmalıdır.
Misafir Wi-Fi ayrı VLAN üzerinde olmalı mı?
Kurumsal ağ kaynaklarına erişmemesi gereken misafir cihazları ayrı bir ağ segmentinde tutmak yaygın bir güvenlik yaklaşımıdır. Ağlar arası erişim kuralları da buna göre tanımlanmalıdır.
VLAN kullanmak internet hızını artırır mı?
VLAN’ın temel amacı hız artırmak değildir. Ağ trafiğini düzenleme, yayın alanlarını ayırma ve erişim politikalarını uygulama amacıyla kullanılır.