Management VLAN Nedir? Yönetim Ağını Kullanıcıdan Ayırmak

Management VLAN (yönetim VLAN’ı), switch, router ve access point gibi ağ cihazlarının yönetim adreslerinin durduğu ve kullanıcıların bağlandığı portlardan ayrılmış VLAN’dır. Amacı hız değil erişimdir. Switch’in SSH ya da web ekranına yalnız yönetim VLAN’ındaki portlardan ulaşılır; bir kullanıcı prizine takılan cihaz o adresi göremez bile.

Bir süpermarket şubesini düşünün. Müşteriler reyonlarda dolaşır, şubenin yönetim masası ise müşteri katında değil personel alanındadır. Kasaların ayarı, fiyat listesi ve vardiya çizelgesi o masadan yönetilir. Masayı reyonun ortasına koyarsanız her müşteri başına gelebilir. Management VLAN, switch’in yönetim masasını müşteri katından personel alanına taşımaktır.

Bu yazıda lab switch’imin yönetim adresini, 24 kullanıcı portuyla aynı VLAN’dan ayrı bir yönetim VLAN’ına taşıdım. Taşıma sırasında açık SSH oturumunun nasıl koptuğunu, kullanıcı portundan yönetime artık hiçbir yoldan ulaşılamadığını ve adres taşınırken unutulan ağ geçidini ölçtüm.

VLAN’ın kendisini VLAN nedir yazımızda anlattık; bu yazı oradaki yönetim VLAN’ı maddesini ayrıntılandırır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık.

Management VLAN Nedir, Neden Kullanıcı VLAN’ından Ayrılır?

Management VLAN, ağ cihazlarının yönetim arayüzlerine ayrılmış ve kullanıcı portlarının üye olmadığı VLAN’dır. Switch’in yönetim adresi bir porta değil, bir VLAN’a verilir. Adresin nasıl verildiğini yönetilebilir switch ayarları yazımızda gösterdik. Buradaki soru adresin hangi VLAN’da durduğudur, çünkü adres hangi VLAN’daysa o VLAN’daki her porttan ona ulaşılır.

Lab switch’imin başlangıç hâline baktım.

show vlan

VLAN   Name                             Ports          Type
-----  ---------------                  -------------  --------------
1      default                          Po1-64         Default
5      LAB                              Gi1/0/1-24     Static
10     YONETIM                                         Static
...

show ip interface

Default Gateway................................ 192.168.1.1
...
Interface    State   IP Address      IP Mask         Method
----------   -----   --------------- --------------- -------
Vl1          Down    0.0.0.0         0.0.0.0         None
Vl5          Up      192.168.1.2     255.255.255.0   Manual

Yönetim adresi 192.168.1.2, VLAN 5’in sanal arayüzünde (Vl5) duruyor ve VLAN 5’te Gi1/0/1-24’ün hepsi var. Yani switch’in giriş ekranına 24 portun her birinden ulaşılıyordu. VLAN 10’un adı YONETIM, ama içi boştu. Parola yine de sorulur; ayrım parolanın yerine geçmez. Yaptığı iş, yönetim adresine ulaşabilen cihaz sayısını 24 porttan yalnız yönetim portlarına indirmektir.

Fabrika ayarında durum daha geniştir. Lab switch’imin fabrika ayarında yönetim arayüzü VLAN 1’deydi ve portlar da varsayılan olarak VLAN 1’dedir. Bunu konsol bağlantısı yazımızda fabrika ayarına döndürdüğüm switch’te ölçtüm. VLAN 1’in başka neden sorun çıkardığını da VLAN nedir yazımızın VLAN 1 bölümünde anlattık.

Management VLAN ile Native VLAN Aynı Şey mi?

Değildir. Yönetim VLAN’ı, cihazın yönetim adresinin durduğu VLAN’dır. Native VLAN ise iki switch’i bağlayan trunk’a etiketsiz gelen çerçevelerin düştüğü VLAN’dır.

İkisi aynı numarada olursa trunk’ın öbür ucundan gelen etiketsiz her çerçeve doğrudan yönetim VLAN’ına düşer. VLAN yazımızdaki saha notunda anlattığım kurum, yönetim VLAN’ını ayırmış ama trunk’ların native’ini VLAN 1’de bırakmıştı. Yönetim VLAN’ı kâğıt üzerinde ayrıydı, trunk’lar üzerinden ise değildi. İkisini karıştırmanın bedeli bu yüzden bir ayar hatası değil, bir güvenlik açığıdır.

Management VLAN Nasıl Kurulur? Adres, Port ve Ağ Geçidi

Yönetimi taşımanın asıl riski sıradadır, çünkü yanlış sırada yapılan bir adım bağlandığınız yolu keser. Sırası şöyledir:

1. Yönetim VLAN’ını oluşturun ve adlandırın. Lab’da VLAN 10 YONETIM adıyla zaten vardı.
2. Yeni VLAN’ın sanal arayüzüne adres verin.
3. Yönetim bilgisayarının portunu yeni VLAN’a alın, bunu konsoldan yapın.
4. Ağ geçidini yeni VLAN’ın ağına çekin.
5. Eski adresi en son kaldırın, yeni adrese bağlanabildiğinizi gördükten sonra.

İkinci adımda VLAN 10’a 192.168.10.2 adresini verdim:

configure
interface vlan 10
ip address 192.168.10.2 255.255.255.0
exit
exit

Interface    State   IP Address      IP Mask         Method
----------   -----   --------------- --------------- -------
Vl1          Down    0.0.0.0         0.0.0.0         None
Vl5          Up      192.168.1.2     255.255.255.0   Manual
Vl10         Down    192.168.10.2    255.255.255.0   Manual

Adres yazıldı ama arayüz Down oldu, çünkü VLAN 10’da o an çalışan tek bir port yoktu. Switch, içinde aktif port olmayan bir VLAN’ın arayüzünü açmadı. Bilgisayarım hâlâ VLAN 5’teki portta dururken 192.168.10.2’ye attığım üç ping’in üçü de cevapsız kaldı; bilgisayarın ARP tablosunda bu adres Incomplete olarak durdu. Aynı kablo ve aynı bilgisayar, ama VLAN farklı olunca adres görünmüyor.

Üçüncü adım portu yönetim VLAN’ına almaktır:

configure
interface gi1/0/1
switchport access vlan 10
exit
exit

Bu komutu konsoldan yazdım. Aynı komutu SSH’tan yazsaydım ne olacağını da ölçtüm.

Yönetim VLAN’ına Geçerken SSH Oturumu Neden Kopar?

Yönetim adresini değiştirirken oturumun bir şekilde yeni adrese taşınacağını düşünebilirsiniz. Taşınmıyor. Ölçmek için bilgisayardan eski adrese açık bir SSH oturumu tuttum ve oturum iki saniyede bir show clock yazmaya devam etti. Aynı anda iki adrese saniyede iki ping attım ve portu konsoldan VLAN 10’a aldım.

Ping’ler geçişi aynı saniyede gösterdi:

06:28:14  192.168.1.2=Success  192.168.10.2=TimedOut
06:28:14  192.168.1.2=TimedOut  192.168.10.2=Success
06:28:15  192.168.1.2=TimedOut  192.168.10.2=Success

SSH oturumu ise dondu. Switch’in son cevabı yerel saatle 06:28:13’e denk gelen show clock çıktısıydı:

gmsw01#show clock
03:28:13 (UTC+0:00) Sep 24 2026
Time source is SNTP (not synchronized)
gmsw01#FATAL ERROR: Network error: Software caused connection abort

Oturum yaklaşık 23 saniye cevapsız bekledi, sonra bilgisayar tarafı bağlantıyı kendisi kesti. Sebep iki katlıdır. Bilgisayarın eski adresi 192.168.1.224 artık switch’in hiçbir arayüzüyle aynı VLAN’da değil. Oturumun gittiği Vl5 de son aktif portu kaybettiği için Down oldu.

Asıl öğretici satır switch tarafındaydı. Yeni adresten bağlanıp oturumlara baktığımda koptuğunu düşündüğüm oturum hâlâ listedeydi:

Session User Name              Connection from   Idle     Session  Session
ID                                               Time     Time     Type
------- ---------------------- ----------------- -------- -------- ------------
0       ----                   EIA-232           00:01:50 00:03:44 Serial
1       ilker                  192.168.1.224     00:01:59 00:02:24 SSH
2       ilker                  192.168.10.224    00:00:00 00:00:07 SSH

Bilgisayar oturumu kapatmıştı, ama bunu switch’e söyleyebileceği bir yol kalmamıştı. Switch oturumu 1 numara olarak tutmaya devam etti ve ancak boşta kalma süresi dolunca listeden düşürdü. Oturum 9 dakika 40 saniyedir boştayken hâlâ oradaydı, iki dakika sonraki bakışta yoktu; lab switch’imde SSH için bu süre 10 dakika. Bu kopuşu önlemenin yolu sırayı doğru kurmaktır: portu taşıyacağınız zaman konsoldan bağlanın ya da önce yönetim VLAN’ına başka bir porttan erişin.

Management VLAN’ı Doğrulamak: Kullanıcı Portundan Ulaşılıyor mu?

Taşıma bitti. Şimdi ayrımın gerçekten çalıştığını görmek için eski adresi kaldırdım, ağ geçidini düzelttim ve bilgisayarımın portunu önce yönetim VLAN’ında, sonra bir kullanıcı portu gibi VLAN 5’te denedim:

Kullanıcı portundaki bilgisayar switch’in yönetimine artık hiçbir yoldan ulaşamıyor. Switch’in son hâli de bunu gösteriyor:

Default Gateway................................ 192.168.10.1
...
Interface    State   IP Address      IP Mask         Method
----------   -----   --------------- --------------- -------
Vl1          Down    0.0.0.0         0.0.0.0         None
Vl5          Down    0.0.0.0         0.0.0.0         None
Vl10         Up      192.168.10.2    255.255.255.0   Manual

Süpermarket benzetmesi burada kopuyor. Markette personel alanı bir kapıyla ayrılır ve o kapı zorlanabilir. VLAN ayrımında ise kullanıcı portundaki bilgisayar yönetim adresine ait bir kapı bile görmez. ARP sorusu cevapsız kalır ve adres o bilgisayar için yoktur. Ama bu yalnız VLAN’lar arasında yönlendirme yapan bir cihaz yoksa geçerlidir. Ağınızda böyle bir cihaz varsa kapıyı o açar ve kapıyı daraltmanın yolu bir erişim listesidir.

Yeni adrese ilk bağlandığımda bir de şu uyarıyla karşılaştım:

The host key is not cached for this server:
  192.168.10.2 (port 22)
You have no guarantee that the server is the computer you
think it is.
The server's rsa2 key fingerprint is:
  ssh-rsa 1024 SHA256:9Uw/V4h...2Kxc

Switch aynı switch, ama SSH istemcileri tanıdıkları anahtarları adrese göre saklar. Uyarıyı körü körüne onaylamadım. PuTTY’nin eski adres için sakladığı anahtarın parmak izini hesapladım ve iki parmak izi birebir aynı çıktı. Adres değiştirdikten sonra bu uyarıyı gördüğünüzde yapmanız gereken de budur: parmak izi aynıysa karşınızdaki cihaz aynıdır, farklıysa bağlanmayın.

Management VLAN’da Sık Yapılan Hatalar

Taşımanın doğurduğu hatalar şunlar; ilk üçünü lab’da ölçtüm:

• Portu SSH oturumunun içinden taşımak. Oturum koptu ve switch’e dönmenin tek yolu konsoldu.
• Ağ geçidini eski ağda unutmak. Eski adresi kaldırdıktan sonra switch’in ağ geçidi hâlâ 192.168.1.1 görünüyordu, oysa switch’in artık o ağda hiçbir arayüzü yoktu. Ağ geçidi yeni yönetim ağından bir adres olmalıdır, lab’da bu adres 192.168.10.1 oldu.
• Yönetim VLAN’ının yolunu açmamak. Switch log, saat ve izleme sunucularına yönetim VLAN’ından ulaşır. Lab’da o VLAN’ın yönlendiricisi olmadığı için switch’ten log sunucusuna attığım dört ping’in dördü de kayboldu. Gerçek bir ağda bu ağ geçidi, yönetim trafiğini yalnız gereken sunuculara geçiren bir yönlendirici ya da güvenlik duvarı arayüzü olur.
• Otomatik işleri unutmak. Yedek betiği ve izleme sistemi switch’e eski adresinden bağlanır, NTP ve log ise switch’ten eski yol üzerinden gider. Adres değişince hepsi yeniden ayarlanmalı. SSH anahtarını adrese göre saklayan bir yedek betiği yukarıdaki uyarıya takılıp durabilir.
• VLAN 1’i yönetim VLAN’ı yapmak. Fabrika ayarında her port VLAN 1’dedir; yönetimi orada bırakmak ayrım yapmamakla aynıdır.

Sonuç: Management VLAN Yönetimi Kullanıcı Portlarından Ayırır

Management VLAN, switch’in yönetim adresini kullanıcıların bağlandığı portlardan ayırır. Lab’da taşımadan önce 24 portun her biri switch’in giriş ekranına ulaşabiliyordu. Taşımadan sonra yalnız yönetim VLAN’ındaki port ulaşabiliyor. Taşımanın riski adımların sırasındadır: yeni adresi ekleyin, portu konsoldan taşıyın, ağ geçidini yeni ağa çekin, eski adresi en son kaldırın.

Yönetim VLAN’ını ayırmak işin yarısıdır. Diğer yarısı o VLAN’a kimin girebildiğidir; switch’in yönetim yollarını nasıl daralttığımızı switch sıkılaştırma yazımızda anlattık. Kurulumun bütün sırası ise switch yapılandırma rehberimizde duruyor.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn