Ağ Segmentasyonu Nedir? VLAN Planı Nasıl Yapılır?

Ağ segmentasyonu, bir ağı birbirinden ayrılmış parçalara bölmek ve parçalar arasındaki trafiği yazılı bir kurala bağlamaktır. VLAN planı bu bölünmenin switch’teki uygulamasıdır: hangi cihaz grubunun hangi VLAN numarasına ve adres bloğuna düşeceğini, hangi grubun hangisine ulaşabileceğini gösteren belgedir. Bu yazıda önce lab ağımı dinledim ve bölünmemiş bir ağda bir makinenin hiçbir şey sormadan neler öğrendiğini ölçtüm. Sonra segmentlerin neye göre seçildiğini, erişim matrisini ve planın belgesini anlattım.

Bir süpermarket şubesi açılmadan önce reyon planı çizilir: hangi ürün hangi reyona girecek, hangi reyon hangisinin yanında duracak. Plan yalnız düzen için çizilmez. Temizlik ürünleri gıda reyonundan ayrı tutulur, çünkü birinde olan bir sızıntı öbürüne geçmemelidir. Ağ segmentasyonu da ağın reyon planıdır.

Bu yazı switch yapılandırma rehberimizin VLAN adımının arkasındaki kararı anlatır ve Kurumsal Network Kurulumu hizmetimizin bir parçasıdır. VLAN’ın ne olduğunu ve switch’in bu ayrımı nasıl kurduğunu VLAN makalemizde anlattık; burada konu, ayrımın nerede ve neye göre çizileceğidir.

Ağ Segmentasyonu Nedir? Düz Ağ ile Bölünmüş Ağ

Ağ segmentasyonu, düz bir ağı, her biri kendi yayın alanında kalan ve birbirine yalnız bir kontrol noktasından ulaşan parçalara bölmektir. Bölünmemiş, yani düz bir ağda bütün cihazlar tek bir yayın alanındadır: bir cihazın “herkese” gönderdiği paket ağdaki her cihaza ulaşır ve her cihaz her cihaza doğrudan ulaşabilir. Bölünmüş bir ağda bu iki şey de parça sınırında durur. Yayınlar kendi parçasında kalır, parçalar arasındaki trafik ise bir kontrol noktasından geçer ve orada yazılı bir kurala uyar.

Bu ayrım dört katmanda kurulabilir ve katmanlar birbirinin yerine değil, üst üste kullanılır:

1. Fiziksel ayrım: ayrı switch, ayrı kablo. En kesin ayrımdır ama en pahalısıdır ve genişlemesi zordur.
2. VLAN: tek bir switch’in portları ayrı yayın alanlarına bölünür. Kurumsal ağlarda segmentasyonun temel aracıdır.
3. Alt ağ ve kural: her VLAN kendi adres bloğunu taşır, VLAN’lar arası trafik bir yönlendiriciden ya da güvenlik duvarından geçer ve orada kurala uyar. Güvenlik duvarının bölgelerle çalışmasını firewall kurulumu yazımızda anlattık.
4. Cihaz düzeyi: aynı segmentteki iki cihazın bile birbirine yalnız izin verilen portlardan ulaşması. Mikrosegmentasyon denen bu katman, sunucuların kendi güvenlik duvarıyla ya da sanallaştırma platformunun kurallarıyla kurulur.

Bu yazının konusu ikinci ve üçüncü katmandır: switch’te VLAN planı ve VLAN’lar arasındaki kural.

Düz Ağda Bir Cihaz Ne Duyar? Lab Ölçümü

Segmentasyonun neyi kestiğini görmek için lab ağımı dinledim. Lab’ım modemin arkasında tek bir düz ağ; switch’in modeme bakan portu da bu ağın içinde. Syslog sunucusu olarak kullandığım Linux makinede hiçbir şey sormadan, yalnız yayın ve çoklu yayın paketlerini iki dakika boyunca kaydettim:

$ sudo timeout 120 tcpdump -i ens33 -n -Z root -w /tmp/yayin.pcap "broadcast or multicast"
82 packets captured
83 packets received by filter
0 packets dropped by kernel

Akşam saatinde, sessiz ve küçük bir ağda iki dakikada 82 paket geldi. Paketler altı farklı MAC adresinden çıktı; biri dinleyen makinenin kendisiydi. Kaynaklar arasında modem, switch ve iş istasyonum da vardı.

Sayıdan çok içerik öğretici. Üç bulgu ayrıca okunmaya değer.

Birinci Bulgu: İş İstasyonu Bir Adı Bütün Ağa Sordu

İş istasyonum iki saniye içinde aynı adı üç ayrı protokolle bütün ağa sordu:

16:31:12.769947 IP 192.168.1.115.5353 > 224.0.0.251.5353: 0 A (QM)? wpad.local. (28)
...
16:31:13.268079 IP 192.168.1.115.137 > 192.168.1.255.137: UDP, length 50
16:31:13.268558 IP 192.168.1.115.54637 > 224.0.0.252.5355: UDP, length 22

İlk satırda ad açıkça okunuyor: wpad. Öbür ikisinin içine baktım. LLMNR paketinde ad düz metin olarak wpad, NetBIOS paketinde ise bu protokolün kodlamasıyla FHFAEBEE diye başlıyor; kodlama çözülünce yine WPAD çıkıyor. wpad, Windows’un proxy ayarını ağdan kendiliğinden bulmak için aradığı addır.

Sorun sorunun kendisinde değil, sorulduğu yerde. Bu üç protokol “bu ad kimin?” sorusunu belirli bir sunucuya değil, ağdaki herkese sorar ve gelen cevaba inanır. Aynı yayın alanındaki herhangi bir cihaz “wpad benim” diyebilir. MITRE ATT&CK bu tekniği tarif ediyor: “By responding to LLMNR/NBT-NS/mDNS network traffic, adversaries may spoof an authoritative source for name resolution to force communication with an adversary controlled system.” Aynı sayfa azaltma yolları arasında ağ segmentasyonunu da sayıyor (T1557.001).

Segmentasyon bu soruyu ortadan kaldırmaz; bunun yolu bu protokolleri kapatmaktır. Segmentasyonun yaptığı, sorunun kimlere ulaştığını daraltmaktır. Misafir ağına bağlanan bir telefon, personel ağındaki bir bilgisayarın bu sorusunu hiç duymaz.

İkinci Bulgu: Cihazlar Kendini Tanıttı

İş istasyonum mDNS ile üzerinde çalışan bir müzik uygulamasını ağa ilan etti; ağdaki başka bir cihaz aynı uygulamanın keşif yayınını iki dakikada on kez gönderdi. Dinleyen makine hiçbir şey sormadan hangi cihazda hangi uygulamanın açık olduğunu öğrendi. Kurumsal bir ağda aynı kanaldan yazıcılar, ekran paylaşım cihazları ve kameralar kendini tanıtır. Düz bir ağda bu envanter, ağa bağlanan herkese kendiliğinden gelir.

Üçüncü Bulgu: Bir Cihazın Sorunu Herkesin Trafiği Oldu

Switch, saatini aldığı NTP sunucusunu arıyordu. Sunucu o sırada kapalıydı. Switch sunucunun adresini ARP ile saniyede bir, beş kez bütün ağa sordu ve 69 saniye sonra aynı beş soruyu yeniledi:

16:31:11.094142 ARP, Request who-has 192.168.1.15 tell 192.168.1.2, length 46
...
16:31:15.403773 ARP, Request who-has 192.168.1.15 tell 192.168.1.2, length 46
16:32:20.153105 ARP, Request who-has 192.168.1.15 tell 192.168.1.2, length 46

Bu soruyu yalnız switch’in kendisi ilgilendiriyor, ama ağdaki her cihaz onu aldı ve işlemek zorunda kaldı. Birkaç cihazlı bir ağda bu önemsizdir. Yüzlerce cihazın aynı yayın alanında durduğu bir ağda her cihazın bu türden küçük soruları toplanır; VLAN makalemizde bunun hesabını yaptık. ARP’ın menzilinin neden tam olarak yayın alanı olduğunu da ARP makalemizde anlattık. Switch’in susan bir NTP sunucusu karşısında ne gösterdiğini ise switch NTP server ayarı yazımızda ölçtüm.

Switch’in modeme bakan portunun sayaçlarını yakalamadan hemen önce ve hemen sonra okudum; aradaki 131 saniyede port 29 yayın ve 106 çoklu yayın paketi aldı. Switch her yayın paketini aynı VLAN’daki bütün portlara kopyalar; bu ağda o VLAN’a 24 port atanmış durumda.

Ağ Segmentasyonu Neye Göre Yapılır? Güven, Cihaz Türü ve Erişim

Ölçüm, ayrımın neden gerektiğini gösterdi. Sıradaki soru, çizginin nereden geçeceği. Segment seçmek için sorulacak soru tektir: bu grubun şu gruba ulaşmaması gerekiyor mu? Cümleyi kurabiliyorsanız iki grup ayrı segmenttir. Kuramıyorsanız aynı segmentte durabilirler.

Bu soruyu üç ölçüt cevaplar:

• Güven: ağa kimin getirdiği cihaz bağlanıyor? Misafir telefonu ve tedarikçinin dizüstü bilgisayarı sizin yönetmediğiniz cihazlardır; personel bilgisayarıyla aynı segmentte durmamalıdır. Misafir ağının kablosuz tarafını misafir Wi-Fi kurulumu sayfamızda anlattık.
• Cihaz türü: kamera, IP telefon ve yazıcı gibi cihazların yazılımı nadiren güncellenir ve üzerlerinde bir kullanıcı oturmaz. Birinin ele geçirilmesi, yanındaki cihazlara ulaşma yolu olmamalıdır. Kamera ağının kullanıcı trafiğine bindirdiği yükü IP kamera kurulumu sayfamızda anlattık.
• Erişim ihtiyacı: bir grubun gerçekten ulaşması gereken yer neresi? Kameranın ulaşması gereken tek yer kayıt cihazıdır; internete bile çıkması gerekmeyebilir.

Departman bu ölçütlerin yerini tutmaz. Muhasebe ile satış aynı sunuculara aynı yetkiyle ulaşıyorsa onları ayrı VLAN’lara bölmek yalnız bakım yükü getirir. Muhasebe, satışın ulaşmaması gereken bir sunucuyu kullanıyorsa ayrım zaten erişim ihtiyacı ölçütünden çıkar. Reyon planında da ürünler markaya göre değil, yan yana durduklarında birbirine zarar verip vermediklerine göre ayrılır.

Kaç VLAN olacağı da buradan çıkar: erişim ihtiyacı birbirinden farklı olan grup sayısı kadar. Her VLAN bir adres bloğu, bir ağ geçidi, çoğu zaman bir DHCP kapsamı ve kontrol noktasında bir kural takımı demektir. Gereğinden fazla VLAN, kural takımını kimsenin okuyamadığı bir listeye çevirir.

VLAN Planı Nasıl Yapılır? Numara ve Adres Bloğu

Segmentler belli olunca her birine bir numara ve bir adres bloğu verilir. Kullandığımız şemayı, VLAN numarasının adres bloğunun üçüncü okteti olduğu ve ikinci oktetin lokasyonun plaka kodunu taşıdığı planı, yönetilebilir switch ayarları yazımızda tablosuyla verdik; plaka kodunun mantığını ise IP adresi makalemizde anlattık. Burada yalnız o tabloyu kurarken verilen iki kararı ekliyorum.

Numara bir kurala bağlanır. Numaranın kendisi rastgele de olabilir, ama kuralı olan bir numara adresten okunur: 10.34.30.14 adresini gören kişi cihazın hangi VLAN’da durduğunu tabloya bakmadan bilir. Her lokasyonda aynı numara aynı amaca ayrılır.

Blok, grubun büyüyebileceği en büyük sayıya göre seçilir. Bugünkü cihaz sayısına göre seçilen dar bir blok dolduğunda onu büyütmek, o gruptaki her cihazın adresine, ağ geçidine ve kurallarına dokunmak demektir. Bir bloğun kaç cihaz aldığını subnet hesaplama aracımızla, farklı büyüklükteki blokları tek bir aralığa nasıl yerleştireceğinizi VLSM hesaplama aracımızla çıkarabilirsiniz.

Segmentler Arası Erişim Matrisi: Kim Kime Ulaşabilir?

Numara ve adres, planın yarısıdır. Öbür yarısı, segmentler arasındaki kuraldır ve segmentasyonu VLAN’dan ayıran da budur. VLAN’lar arası yönlendirme açıldığında ayrım kaybolmaz ama tek bir kontrol noktasına indirgenir; VLAN makalemizde bunun mekanizmasını anlattık. O kontrol noktasına yazılacak kuralın taslağı erişim matrisidir.

Matrisin başlangıç kuralı şudur: yazılı olmayan her geçiş kapalıdır. Sonra her geçiş tek tek ve gerekçesiyle açılır. Yukarıdaki plan için yazdığım başlangıç matrisi:

Tablo bir başlangıçtır. Her kurumda değişen satırlar olur: kamera kayıtlarını izleyen bir güvenlik görevlisi, santrale bağlanan bir çağrı merkezi yazılımı. Değişmemesi gereken, her açık geçişin bir satırının ve bir gerekçesinin olmasıdır.

Markette müşteri reyondan reyona serbestçe yürür; segmentlenmiş bir ağda ise reyonlar arası geçiş varsayılan olarak kapalıdır ve yalnız yazılı bir kuralla açılır. Benzetmenin koptuğu yer burasıdır ve segmentasyonun asıl işi de tam burada durur. Kuralın switch’te nasıl yazıldığını ACL makalemizde, güvenlik duvarında bölgelerle nasıl kurulduğunu firewall kurulumu yazımızda anlattık; FortiGate’te bölümleri zone’da toplayıp DMZ’yi ayırmayı FortiGate Firewall zone ve DMZ yapılandırması yazımızda ölçtüm.

VLAN Planı Belgesi: Hangi Sütunlar Tutulur?

Plan, switch’e yazılmadan önce bir belgede durur ve switch’ten sonra da orada kalır. Belgesi olmayan bir VLAN planı, onu kuran kişinin aklında durur ve o kişiyle birlikte gider. Bir VLAN planı belgesinde şu sütunlar bulunur:

• VLAN numarası ve adı: switch’teki adla birebir aynı.
• Amaç: bu segmentte hangi cihazların durduğu, tek cümle.
• Adres bloğu ve ağ geçidi: ağ geçidinin hangi cihazda olduğu dahil.
• DHCP: kapsam var mı, varsa hangi sunucudan ve hangi aralıkla.
• Lokasyon ve portlar: bu VLAN hangi switch’lerde, hangi portlarda.
• Erişim: erişim matrisindeki satırı ya da o satıra bağlantı.

Belgeyi yazmak işin kolay yarısıdır; zor yarısı, switch’le aynı kalmasıdır. Kendi lab switch’imde plan ile switch arasında bir fark var: lab’ın yönetim adresi plandaki VLAN 10’da değil, VLAN 5’te duruyor. Farkı yönetilebilir switch ayarları yazısında açıkça not ettim, çünkü not edilmemiş bir fark bir sonraki okuyana plan yanlışmış gibi görünür.

Switch’in gerçek hâlini düzenli olarak saklamayı switch yapılandırma yedeği yazımızda anlattık; plan belgesi ile yedek yan yana okunduğunda fark kendiliğinden görünür. Adresleme belgesinin genel dokümantasyon içindeki yerini BT dokümantasyonu yazımızda ele aldık.

Ağ Segmentasyonunda Sık Yapılan Hatalar

• VLAN’ları kurup aralarındaki yönlendirmeyi kuralsız açmak. Yayınlar ayrılır ama her cihaz yine her cihaza ulaşır. Segmentasyon, erişim matrisi yazılınca başlar.
• Segmentleri organizasyon şemasından çıkarmak. Departman sayısı kadar VLAN, kimsenin okuyamadığı bir kural listesi üretir. Ölçüt erişim ihtiyacıdır.
• Misafir ve kamerayı personel ağında bırakmak. İkisi de kurumun yönetmediği ya da güncellemediği cihazları ağa sokar ve lab ölçümünde görüldüğü gibi düz bir ağda her şeyi duyarlar.
• Bloğu bugünkü cihaz sayısına göre seçmek. Dolan bir bloğu büyütmek, o segmentteki her cihaza dokunmak demektir.
• Segmentasyonu ad çözme sorunlarının çözümü sanmak. Segmentasyon wpad gibi bir sorunun kimlere ulaştığını daraltır; sorunun kendisini LLMNR ve NetBIOS’u kapatmak çözer.

Sonuç: Ağ Segmentasyonu Cihazlardan Önce Planlanır

Ağ segmentasyonu, ağı parçalara bölmek ve parçalar arasındaki geçişi yazılı bir kurala bağlamaktır; VLAN planı bunun switch’teki belgesidir. Lab ağımda iki dakika dinlemek, düz bir ağda neyin paylaşıldığını gösterdi: bir bilgisayarın herkese sorduğu ad, cihazların kendini tanıtması ve bir cihazın sorununun herkesin trafiğine dönüşmesi. Üçü de segment sınırında durur.

Reyon planı raflar kurulmadan önce çizilir, çünkü dolu bir rafı taşımak boş bir rafı taşımaktan pahalıdır. Ağda da plan önce gelir: segmentler erişim ihtiyacından, numara ve blok kuraldan, geçişler matristen çıkar. Planı switch’e uygulama sırası switch yapılandırma rehberimizde duruyor.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn