Kurumsal Network Kurulumu ve Ağ Çözümleri

Kurumsal network kurulumu, bir kurumun kablolamasını, switch’lerini, firewall’unu, kablosuz ağını ve izlemesini tek bir plana göre kurmaktır. Kurumsal ağ kurulumu diye de aranan bu işi Sistem Kuşu olarak İstanbul’da yerinde yapıyoruz. Önce bugünkü ağın haritasını çıkarıyor, tasarımı yazıya döküyor, kurulumu yapıyor ve her hattı, her kuralı ölçerek teslim ediyoruz. Ofisimiz Sarıyer Ayazağa’da, Maslak ve Levent iş merkezlerine komşu.

Bir ağı şehir planına benzetebilirsiniz. Kablolama şehrin yollarıdır, switch’ler kavşaklar, firewall şehrin kapısı, kablosuz ağ meydanlar, izleme de trafik merkezi. İyi bir şehirde bunların hepsi aynı imar planından çıkar. Plansız büyüyen şehirde ise her yeni mahalle bir öncekinin yoluna yaslanır ve trafik en dar sokakta kilitlenir. Kurumsal ağlarda da tek tek cihazlar nadiren asıl sorundur. Asıl sorun, yıllar içinde plansız eklenen parçaların birbirine yaslanmasıdır.

Bu sayfada kurulumun hangi işlerden oluştuğunu, nasıl ilerlediğini, doğru kurulmuş bir ağın neye benzediğini ve fiyatı neyin belirlediğini anlatıyoruz. Her işin ayrıntısı kendi hizmet sayfasında duruyor. Switch ve firewall tarafını lab’daki cihazlarımızda adım adım kurduğumuz rehberler de aşağıda.

Kurumsal Network Kurulumu Hangi İşlerden Oluşur?

Kurumsal network kurulumu altı iş grubundan oluşur ve her kurumda hepsi gerekmez. Aşağıda her grubun neyi kapsadığını ve iyi yapıldığını hangi ölçütle anlayacağınızı kısaca veriyoruz. Hangi durumda hangi gruptan başlanacağı bölümün sonunda.

Fiziksel Altyapı: Kablolama, Fiber ve Sistem Odası

Fiziksel altyapı, cihazlardan önce kurulan katmandır: bakır kablolama, katlar ve binalar arasındaki fiber ve cihazların durduğu sistem odası. Yapısal kablolamada her hat etiketlenir ve ölçülerek raporlanır. Fiber optik kablolamada her çiftin uçtan uca kaybı ölçülür ve hattın kayıp bütçesiyle karşılaştırılır. Sistem odasında ilk hesap güç ve ısıdır: odaya 5 kW güç giriyorsa o odadan 5 kW ısı çıkarılması gerekir. Odanın içini biz kurguluyoruz, elektrik ve soğutma tesisatını yükleniciyle yürütüyoruz.

Ağ Cihazları ve Güvenlik: Switch, Firewall, Erişim Kontrolü

Bu grup ağın bölümlerini kurar ve aralarındaki trafiği denetler. Switch kurulumunda kullanıcılar, sunucular, telefonlar ve kameralar ayrı VLAN’lara ayrılır, çünkü tek VLAN’daki bir arıza bütün ağı etkiler. Firewall kurulumunda bu bölümler arasındaki ve internete çıkan trafik kurallara bağlanır. Ağ erişim kontrolü ise kablolu ve kablosuz ağa ortak parola yerine kişisel hesapla girilmesini sağlar. Geçiş önce izleme kipinde yapılır: kimin nereden bağlandığı kimse dışarıda kalmadan görülür, zorlama ondan sonra açılır.

Kablosuz Ağ: Kurumsal Wi-Fi ve Misafir Ağı

Kablosuz ağ iki ayrı işten oluşur: çalışanların kullandığı kurumsal Wi-Fi ve misafirlerin ayrı ağı. Kurumsal Wi-Fi kurulumunda access point sayısı ve yeri yerinde ölçümle belirlenir, çünkü kesin sayı duvarın ve zeminin sinyali ne kadar yuttuğuna ve komşu yayınlara bağlıdır. Teslimde her nokta yeniden ölçülür ve raporlanır. Misafir Wi-Fi kurumsal ağdan yalıtılır, giriş bir karşılama ekranıyla (captive portal) kayıt altına alınır ve 5651 kayıtlarına bağlanır.

Dış Bağlantı: İnternet Hattı, Şube Bağlantısı ve SIP Trunk

Dış bağlantı, ağın binanın dışına açılan hatlarıdır: internet, şubeler arası bağlantı ve telefon. Kurumsal internet hattında kaç Mbit gerektiği, simetrinin şart olup olmadığı, statik IP ve yedek hat ihtiyacı başvurudan önce çıkarılır. Şube bağlantısında yedekli hat fiilen denenir: asıl hattın kablosu çekilir ve trafiğin ikinci hatta geçtiği birlikte görülür. SIP trunk tek tek telefon hatları yerine eşzamanlı görüşme sayısıyla ölçülen bir hat demetidir ve boyutu o sayıdan çıkar.

Ağa Bağlanan Sistemler: Santral, IP Kamera ve Kartlı Geçiş

Bu sistemler ilk bakışta ağın dışında görünür, ama ağın üstünde çalışır. IP santralde ses trafiği kendi VLAN’ına alınır ve önceliklendirilir, bulut santralde internet kesildiğinde ne olacağı baştan planlanır. IP kamera kaydı bant genişliği ve PoE bütçesi ister: 24 portun tamamı PoE olabilir, ama switch’in toplam bütçesi hepsini aynı anda tam yükte beslemeye yetmeyebilir. Kartlı geçiş panelleri de kendi ağ bölümlerinde durur.

Bu yüzden bu sistemleri sonradan takılan bir eklenti gibi değil, ağ planının içinde, kendi yolu olan bir mahalle gibi planlıyoruz. Kamerada ve kartlı geçişte montajı çözüm ortağımız yapar, ağ tarafını biz kuruyoruz.

İzleme ve İyileştirme: Darboğaz Ölçümü ve QoS

Network danışmanlığı, çalışan bir ağın ölçülüp iyileştirilmesidir. Cihazlar SNMP ile izlenir, yavaşlığın adresi tahminle değil grafikle bulunur ve düzeltme o kanıta göre yapılır: önce ölçüm, sonra QoS önceliklendirmesi ve bant genişliği yönetimi. Sınırlı bir hatta video konferans trafiğinin nasıl önceliklendirildiği aşağıdaki projelerden birinde.

Hangi Durumda Hangi İşten Başlanır?

Kurulum ihtiyacı genellikle beş durumdan biriyle doğar ve her durumun başlangıç noktası farklıdır:

1. Yeni ofise taşınma ya da sıfırdan kurulum: iş fiziksel altyapıdan başlar. Kablolama güzergâhı ve sistem odası planı cihaz seçiminden önce gelir, çünkü kabinetin yeri ve hatların uzunluğu hangi cihazın nereye konacağını belirler.
2. Büyüme, yani yeni bir kat ya da yeni bir şube: önce omurga ve VLAN planı gözden geçirilir. Bugünkü plan yeni katı kaldırmıyorsa eklenen her switch sorunu büyütür. Şube için ayrıca şubeler arası bağlantı kurulur.
3. Yavaşlık, kopma ya da Wi-Fi şikâyeti: önce ölçülür. Sorunun internet hattında mı, iç ağda mı, kablosuzda mı olduğu ölçülmeden yapılan cihaz değişikliği sorunu çözmeyebilir: darboğaz başka bir yerdeyse yeni cihaz onu ortadan kaldırmaz. Bu iş network danışmanlığı sayfamızda.
4. Güvenlik ya da denetim hazırlığı: bölümleme, kişisel hesapla ağa giriş ve kayıtların saklanması öne çıkar. Misafir ağı 5651 kaydı gerektiriyorsa o iş misafir Wi-Fi sayfamızda, kayıtların saklanması 5651 log yönetimi sayfamızda.
5. Belgesiz bir ağı devralma: ağı kuran kişi ya da firma ayrılmış, parolalar ve şema elde yoktur. İş keşifle başlar, ağın bugünkü hâli belgelenmeden hiçbir şey değiştirilmez. Switch ve firewall devralmasının nasıl yürüdüğü switch kurulumu ve firewall kurulumu sayfalarımızda.

Kurumsal Network Kurulumu Nasıl İlerler? Keşiften Teslime

Hangi işin gerektiği belli olduktan sonra kurulum altı adımda ilerler ve her adımın sonunda elinizde yazılı bir çıktı olur:

1. Keşif: bugünkü ağın envanteri çıkarılır: kablo güzergâhı, kabinetler, cihazlar, yaşları ve üretici desteğinin sürüp sürmediği. Kâğıttaki şema binadaki gerçek durumla karşılaştırılır. Çıktı: mevcut durum raporu.
2. Tasarım: topoloji, VLAN ve IP planı, yedeklilik kararı ve yönetim ağı yazıya dökülür. Çıktı: tasarım belgesi ve malzeme listesi.
3. Fiziksel kurulum: kablolama, kabinet ve güç. Her hat etiketlenir ve ölçülür. Çıktı: hat hat test raporu.
4. Cihaz kurulumu ve sıkılaştırma: switch, firewall ve access point’ler kurulur, fabrika ayarında açık gelen yollar kapatılır. Çıktı: cihaz başına yapılandırma ve yedeği.
5. Geçiş: yeni yapı eskisinin yanında kurulup sınanır, kullanıcılar mesai dışı bir pencerede taşınır. Yedekli bölümler planlı bir kesinti testiyle doğrulanır. Çıktı: geçiş ve test kaydı.
6. Teslim: ağ şeması, IP ve VLAN listesi, yapılandırma yedekleri ve test raporları teslim edilir. Ağı sizin ekibiniz yönetecekse devir bu belgelerle yapılır, bizim yönetmemizi isterseniz izleme o gün başlar.

İlk adım en kolay atlanan adımdır. Elde bir ağ şeması varsa da çoğu kez yıllar önce çizilmiştir ve sonradan eklenen switch’leri, kimsenin hatırlamadığı bağlantıları göstermez. Örnekteki şehirde bu, eski imar planıyla yol yapmaya kalkmaktır: plan düz bir cadde gösterir, gerçekte ise o caddenin ortasına izinsiz bir yapı çıkmıştır. Mevcut ağı haritalamanın ve envanteri güncel tutmanın yolunu BT dokümantasyonu yazımızda anlattık.

Tasarım adımının merkezinde katmanlı yapı durur. Kullanıcıların takıldığı erişim switch’leri, onları toplayan dağıtım katmanı ve sunucularla internete bağlanan omurga ayrı ayrı boyutlandırılır, çünkü her katmanın taşıdığı trafik farklıdır. Küçük bir ofiste omurga ile dağıtım tek cihazda birleşebilir, katlara yayılmış bir binada ayrılır. VLAN’lar arası yönlendirmenin switch’te mi firewall’da mı yapılacağı da bu adımda karara bağlanır. İki yolun farkını layer 3 switch nedir yazımızda ölçtük.

Yedeklilik de bu adımın kararıdır ve teknik değil iş kararıdır. Bir saatlik ağ kesintisinin kuruma neye mal olduğunu bilmeden doğru cevabı vermek mümkün değil. Omurgada iki cihazın birbirini nasıl yedeklediğini VRRP nedir yazımızda ölçtük. VLAN ve IP planının bir şubede nasıl adlandırılıp numaralandığını ise yönetilebilir switch ayarları yazımızda anlattık.

Doğru Kurulmuş Kurumsal Ağ Nasıl Olmalı?

Teslimden sonra ağın doğru kurulduğunu dört ölçütle anlarsınız: bölümlere ayrılmıştır, yönetimi kullanıcı trafiğinden ayrıdır, kayıtlarını kendi dışında tutar ve cihazları üretici desteği altındadır. Bu listenin güvenlik yarısını ABD Ulusal Güvenlik Ajansı’nın ağ altyapısı rehberi madde madde veriyor (NSA Network Infrastructure Security Guidance, Mart 2022, sürüm 1.0):

1. Bölümlere ayrılmış ağ (bölüm 2.2): benzer sistemler kendi alt ağında ya da VLAN’ında toplanır. Gerekçe rehberde açık: saldırgan önce yazıcı gibi kolay hedefleri seçer ve oradan diğer sistemlere geçer. Bölümlerin nasıl çizildiğini ağ segmentasyonu yazımızda anlattık.
2. Katmanlı savunma (bölüm 2.1): güvenlik cihazı yalnız internet kapısında durmaz, ağın içinde de durur. Bölümler arasındaki trafik de bir kuraldan geçer.
3. Şifresiz yönetim kapalı (bölüm 7.1): Telnet, HTTP ve SNMP v1/2c gibi şifresiz yönetim servisleri kapatılır. Şifreli protokol desteklemeyen cihaz için ayrı bir yönetim ağı kurulur. Yönetim ağının kullanıcı ağından nasıl ayrıldığını management VLAN nedir yazımızda gösterdik.
4. Kullanılmayan port kapalı (bölüm 9.4): boştaki port kapatılır ve varsayılan olmayan, kullanılmayan bir VLAN’a alınır. Açık bırakılan port, binaya giren herkesin ağa cihaz takabilmesi demektir.
5. Kayıtlar cihazın dışında (bölüm 6.2 ve 6.4): loglar en az iki merkezi log sunucusuna gider, her cihaz saatini en az iki güvenilir kaynaktan alır. Saati tutmayan logla bir olayın sırası çıkarılamaz. Ayrıntılar syslog nedir ve NTP nedir yazılarımızda.
6. Destekli donanım (bölüm 3.4): üretici desteği biten cihaz güvenlik güncellemesi almaz ve arızada servis görmez. Ömrünü doldurmuş bir firewall’un nasıl değiştirildiği aşağıdaki projelerden birinde.

Listenin fiziksel yarısı kablolamadır. Bakır hattın uzunluğu 100 metreyle sınırlıdır ve bu sınır pazarlık konusu değildir: daha uzak noktalar ya araya bir kabinet ve switch ister ya da fiber. Kabloların etiketlenip ölçülerek teslim edilmesi de aynı listenin parçasıdır, çünkü etiketsiz bir kabinette arıza aramak sokak adı olmayan bir şehirde adres aramaktır. Kategori seçiminden test raporuna kadar ayrıntılar yapısal kablolama rehberimizde.

Bu Listeyi Lab’da Adım Adım Kurduk

Yukarıdaki maddelerin cihaz tarafını kendi lab cihazlarımızda kurduk ve ekranlarıyla, çıktılarıyla yazdık. Kurulumu kendiniz yapacaksanız ya da işi nasıl yaptığımızı görmek istiyorsanız şu rehberlerden başlayın:

1. Switch yapılandırma rehberi: konsoldan ilk bağlantıdan sıkılaştırmaya 20 adım, her adımın hangi kurumda gerektiği ve ayrıntılı yazısıyla.
2. FortiGate Firewall yapılandırma rehberi: kutudan çıkan bir firewall’u canlıya alan 20 adım.
3. FortiGate Firewall nasıl kullanılır: günlük yönetim, yani pano, log, yedek ve kural ekleme.
4. Kurumsal kablosuz ağ tasarımı: ölçüm, PoE bütçesi ve kanal planı.

Rehber ile hizmet arasındaki ilişki basit: rehber işin nasıl yapılması gerektiğini gösterir, hizmette aynı işi sizin ağınızda biz yaparız.

Kurumsal Network Kurulumu Fiyatını Ne Belirler?

Kurumsal network kurulumunun tek bir fiyatı yok, çünkü aynı ifade 20 kişilik tek bir ofis için de onlarca şubesi olan bir kurum için de kullanılıyor. Fiyat iş grubu başına çıkar ve fiyatlandırma sayfamızda birkaç soruya yanıt vererek kendi işinizin tahmini bedelini görebilirsiniz. Oradaki işler üç türe ayrılır:

1. Gösterge bandı olan işler: switch, firewall, ağ erişim kontrolü, misafir Wi-Fi, şube bağlantısı ve network danışmanlığı. Switch ve firewall cihaz başına, şube bağlantısı lokasyon başına hesaplanır.
2. Keşiften sonra fiyatlanan işler: kablolama, fiber, sistem odası, kurumsal Wi-Fi, IP santral, IP kamera ve kartlı geçiş. Bedelleri binaya ve kapsama bağlı olduğu için keşiften önce sağlıklı bir rakam çıkmıyor. Kablolamada, kamerada ve kartlı geçişte malzeme ile montaj çözüm ortağımızındır ve üstüne pay eklemiyoruz.
3. Bizden ayrı bedel çıkmayan işler: kurumsal internet hattı, SIP trunk ve bulut santral. Tarifeyi operatör belirler, faturanız da onunla olur.

Tahmini bedelin bandın neresine oturacağını ve keşiften sonraki teklifi ise şu beş kalem belirler:

1. Kullanıcı ve port sayısı: işin tabanıdır, ama tek başına yanıltır. Aynı 100 port tek katta başka, dört kata dağılmış hâlde başka bir iştir.
2. Lokasyon sayısı: ikinci lokasyon fiyatı ikiye katlamaz, ama şubeler arası bağlantı ve merkezi yönetim gibi tek lokasyonda olmayan kalemler ekler.
3. Binanın durumu: kablolama var mı, güzergâh hazır mı, çalışma mesai içinde mi dışında mı? Aynı metraj bu cevaplara göre farklı işçilik taşır.
4. Yedeklilik: yedekli omurga ve çift internet hattı, cihaz sayısını ve kurulum süresini artırır. Kararı kesintinin size maliyeti verir.
5. Kurulumdan sonrası: ağı teslim edip çekilmemiz mi, aylık olarak bizim yönetmemiz mi?

Fiyatlandırma sayfasındaki rakam bir göstergedir, teklif değildir. Kesin bedel keşiften sonra gelen teklifte çıkar ve orada malzeme ile işçilik ayrı satırlarda, kalem kalem durur. Ağı kurulumdan sonra bizim yönetmemizi isterseniz aylık hizmetin bandı da aynı sayfada.

Kurumsal Network Projeleri: Beş Gerçek Vaka

Bu sayfadaki iş gruplarının gerçek hâli beş projede duruyor. Hepsini, Sistem Kuşu kurulmadan önce çok lokasyonlu bir kurumun BT ekibinde ben yürüttüm:

1. MPLS hatlarında QoS: sınırlı bant genişliğinde video konferans trafiği önceliklendirildi. Proje bir haftada tamamlandı.
2. NPS ve 802.1X ile ağ erişimi: switch ve Wi-Fi girişi paylaşılan parolalardan kişisel Active Directory hesaplarına taşındı, yine bir haftada.
3. Kablosuz ağ yenileme: sık elektrik kesintisinde arızalanan eski access point’ler ve controller, bulut yönetimli access point’lerle değiştirildi.
4. MPLS ve ISP geçişi: sözleşme sonunda lokasyonların bağlantısı yeni bir operatöre taşındı, firewall’lar yenilendi.
5. Firewall donanım yükseltmesi: ısınıp kapanan 6-7 yıllık bir FortiGate, veri merkezi taşımasıyla aynı anda ve kesinti olmadan değiştirildi.

Ortak noktaları şu: hiçbiri tek bir cihazın arızası değildi. Her biri ağın bir parçasının kurumun bugünkü ihtiyacına yetmemesiydi ve çözüm parçayı ağın geri kalanıyla birlikte yeniden planlamaktan geçti.

Kurumsal Ağın Temelleri: Kavram Yazılarımız

Kurulumu konuşmadan önce terimleri oturtmak isterseniz kavram yazılarımız şu sırayla okunabilir. Her biri bir kavramı tek başına, lab ölçümleriyle anlatıyor:

1. Yol ve kavşak: Ethernet nedir ve switch nedir.
2. Adres ve ad: IP adresi nedir, DHCP nedir ve DNS nedir.
3. Mahalleler: VLAN nedir.
4. Şehrin kapısı: NAT nedir ve firewall nedir.
5. Bütün harita: kurumsal ağ protokolleri.

Örnekteki şehirde bu sıra, önce yolları, sonra adresleri, sonra mahalleleri ve en son şehrin kapısını tanımaktır.

Sonuç: İyi Bir Ağ İyi Bir Plandan Doğar

Kurumsal network kurulumunun en pahalı hatası yanlış cihaz seçmek değil, plansız büyümektir. Keşifle bugünkü ağı haritalamak, tasarımı yazıya dökmek ve her hattı, her kuralı ölçerek teslim etmek bu yüzden işin kendisidir. Örnekteki şehirde imar planı, yeni mahallenin eski yolları tıkamadan eklenebilmesini sağlar. Ağda da aynı plan, beş yıl sonra eklenecek bir katın, bir şubenin ya da bir kamera sisteminin bugünkü ağı bozmadan yerine oturmasını sağlar.

Ağınızın bugünkü hâlini birlikte haritalamak isterseniz iletişim sayfamızdan bir keşif günü planlayabiliriz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn