Switch Kurulumu, VLAN ve Yönlendirici Yapılandırma Hizmeti

Bir binanın elektrik tesisatını düşünün: sigorta kutusu, ayrı devrelere bölünmüş hatlar, bir devre attığında diğerlerini etkilemeyen sigortalar ve elektrik kesildiğinde devreye giren bir jeneratör. Bu tesisat görünmezdir; kimse duvarın arkasındaki kabloyu düşünmez, ta ki bir sigorta atıp bir kat karanlıkta kalana kadar.

Kurumsal switch ve yönlendirici (router) altyapısı tam olarak bu görünmez omurgadır: üzerinden geçen her e-postayı, her dosyayı, her toplantıyı taşır ama doğru kurulduğunda kimse fark etmez. Cisco, Aruba/HPE, Ubiquiti veya MikroTik; hangi markada olursa olsun bu tesisatı kuruyoruz (kurulum), yapılandırmanın ve port güvenliğinin güncel kalmasını sağlıyoruz (yönetim) ve hangi mimarinin kurumunuza uygun olduğuna birlikte karar veriyoruz (danışmanlık).

Bu makale Kurumsal Network Kurulumu hizmetimizin switch ve router altyapısı koluna odaklanır; ağın giriş güvenliği için firewall kurulumu ve yönetimi rehberimize de bakabilirsiniz.

Kapsam: Ne Yapıyoruz, Ne Yapmıyoruz

Bu sayfadaki iş üç parçadan oluşuyor ve üçü de aynı sorumluluğun farklı zamanları: kurulum, sürekli yönetim, satın alma öncesi danışmanlık.

Yaptıklarımız:

• Mevcut topolojinin ve yapılandırmanın çıkarılması: hangi VLAN neden var, hangi bağlantı gerçekten yedekli, hangi port yıllar içinde unutulmuş.
• Switch ve yönlendirici (router) kurulumu, katmanlı mimari tasarımı, VLAN segmentasyonu ve VLAN’lar arası yönlendirme kurallarının yazılması.
• Yedeklilik yapılandırması (HSRP/VRRP, STP/RSTP) ve planlı bir kesinti testiyle doğrulanması. Test edilmemiş yedeklilik, yedeklilik sayılmaz.
• Port güvenliği denetimi, yapılandırma yedekleme düzeni ve firmware takvimi.
• Marka bağımsız satın alma danışmanlığı: hangi ölçeğe hangi mimari, bulut yönetimli mi CLI tabanlı mı?
• Çok lokasyonlu kurumlarda şubeler arası bağlantı ve merkezi yönetim kurgusu.

Yapmadıklarımız:

• Ev veya küçük ofis tipi yönetilmeyen cihaz kurulumu. Bu sayfadaki disiplinin karşılığı yönetilen switch’tir; yönetilmeyen bir cihazda ne segmentasyon ne denetim mümkündür.
• İnternet hattı ve tarife satışı. Hattı operatörünüzden alırsınız, biz o hattın arkasındaki ağı kurarız.
• Kablo çekimi ve kabinet işi bu hizmetin içinde değil, ayrı bir kalem: o işi anahtar teslim yapısal kablolama olarak yapıyoruz, teknik tarafı da yapısal kablolama ve zayıf akım tarafında anlatılıyor. Kablolama bitmeden aktif cihaz yapılandırması başlamaz.

Kapsamı baştan bu netlikte çizmek işi daraltmıyor: hangi işin kimde olduğunu bilmeyen bir proje, ilk aksaklıkta iki tarafın da birbirini beklediği bir yerde durur.

Switch ve Router Kurulumu: Devre Panosunun Kurulması

Bir elektrik panosunu monte etmek, sigortaları rastgele bir sıraya dizmek değildir; hangi devrenin hangi alanı besleyeceği, hangi sigortanın hangi yükü taşıyacağı baştan planlanır. Switch ve router kurulumunda da aynı disiplin işler: ofis, fabrika veya veri merkezi fark etmeksizin, ihtiyacınıza uygun modelleri katmanlı ve ölçeklenebilir bir mimariyle tasarlıyoruz. Her cihaz, sektörün en iyi uygulamalarına göre yapılandırılır; rastgele kutudan çıkarılıp prize takılmaz.

Küçük bir ofis için birkaç yönetilen switch’ten oluşan sade bir kurulumdan, çok katlı bir bina veya çok şubeli bir kampüs ağına kadar her ölçekte destek sağlıyoruz. Ölçek büyüdükçe planlama önem kazanır: 5 kullanıcılık bir ofiste gözden kaçan bir hata fark edilmeden düzelir, 500 kullanıcılık bir kampüste aynı hata saatlerce süren bir kesintiye dönüşür.

Kurulumun ilk gününde bir switch’e hangi adı, hangi yönetim adresini ve hangi VLAN planını verdiğimizi, lab switch’imizin gerçek çıktılarıyla yönetilebilir switch ayarları rehberimizde gösterdik. O planı switch’e uygularken switch’in hata vermeden geçtiği durumları da switch VLAN yapılandırması yazımızda ölçtük.

Bir switch’in kutudan üretime kadar geçtiği bütün adımları, her birinin hangi kurumda gerektiğiyle birlikte switch yapılandırma rehberimizde kontrol listesi olarak sıraladık.

Yönetilen ve Yönetilmeyen Switch Arasındaki Fark Neden Önemli?

Bir elektrik panosuna yetkisiz birinin kendi uzatma kablosunu eklediğini düşünün: o kablo üzerinden neyin çekildiği, ne kadar yük bindirildiği kimse tarafından izlenmez, bir kısa devre olduğunda kaynağı bulmak da imkânsızlaşır. Yönetilmeyen (unmanaged) bir switch tam olarak budur: takıldığı anda çalışır ama üzerinde ne VLAN ayrımı, ne trafik izleme, ne de port bazlı yetkilendirme vardır. Switch çeşitlerini ve yönetilebilir switch’in ne zaman gerektiğini switch nedir yazımızda anlattık.

Kurumsal ağlarda sık karşılaştığımız risk, birinin masasının altına kendi getirdiği ucuz bir switch’i bağlamasıdır; bu switch, üzerinden geçen tüm cihazları segmentasyon dışında bırakır ve fark edilmeyen bir arka kapı açar. Yönetilen (managed) switch’lerde ise her port ayrı bir VLAN’a atanabilir, trafik izlenebilir ve yetkisiz bir cihaz bağlandığında o port otomatik olarak devre dışı bırakılabilir.

VLAN Segmentasyonu: Ayrı Devre Hatları

Bir binada mutfağın ve yatak odasının aynı sigortadan beslenmesi, mutfaktaki bir kısa devrenin tüm katı karanlıkta bırakması demektir. VLAN segmentasyonu, ağdaki bu ayrımı kurar: muhasebe, üretim, misafir Wi-Fi gibi farklı alanların trafiğini birbirinden izole eder. Misafir ağına bağlanan bir cihaz, bu sayede muhasebe sunucusuna doğrudan ulaşamaz; bir alandaki sorun (virüslü bir cihaz, aşırı trafik) diğer alanları etkilemez.

Örneğin muhasebe VLAN 10’da, üretim VLAN 20’de, misafir Wi-Fi ise VLAN 30’da çalışabilir; switch üzerindeki her port, bağlı olduğu cihazın hangi VLAN’a ait olduğuna göre yapılandırılır. Bir cihaz yanlışlıkla yanlış porta takılsa bile, o VLAN’ın erişim kurallarının dışına çıkamaz. Bu ayrımı sonradan eklemek, sıfırdan kurmaktan çok daha zahmetlidir; hangi departmanın hangi kaynağa erişmesi gerektiği netleşmeden bir kablo bile çekilmez.

VLAN’ın çizdiği bu sınırın teknik adı yayın alanıdır ve pratikte şu anlama gelir: iki cihaz aynı adres bloğunda görünse bile farklı VLAN’lardaysa birbirini hiç duymaz. Bu durumun sahada nasıl teşhis edildiği yayın alanı ve ARP yazımızda gerçek bir vakayla ele alınıyor.

Buradaki karar “hangi departman hangi VLAN’a girsin?” sorusudur. Bu kararın departmana değil erişim ihtiyacına göre nasıl verildiğini ve segmentler arası erişim matrisini ağ segmentasyonu yazımızda anlattık. Switch’in bu ayrımı teknik olarak nasıl kurduğu, yani access ile trunk portun farkı ve 802.1Q etiketi, ayrı bir yazının konusu.

Yönlendirici (Router) Yapılandırması: Devreler Arası Geçiş

VLAN ağı ayrı devrelere böler, ama bu devrelerin birbiriyle konuşması gereken yerler her zaman vardır: muhasebedeki kullanıcı ERP sunucusuna ulaşmalı, üretim hattı lisans sunucusunu görmeli, hepsi internete çıkmalı. Elektrik panosunda bunun karşılığı devreler arası bağlantı değildir; ağda ise bir geçiş noktası gerekir ve o noktayı yönlendirici (router) ya da Layer 3 switch kurar. Layer 3 switch’in bu geçişi nasıl yaptığını ve nerede yapılması gerektiğini Layer 3 switch nedir yazımızda ölçtük.

Burada en sık yapılan hata şudur: VLAN’lar özenle ayrılır, sonra aralarındaki yönlendirme “çalışsın diye” kuralsız açılır. Kural yazılmadan açılan her geçiş, VLAN’la kurduğunuz sınırı geri alır. Misafir ağı ile muhasebe ağı ayrı VLAN’larda durur ama aralarındaki yol serbestse, ayrım kâğıt üzerinde kalmıştır.

Yönlendirici yapılandırmasında ele aldığımız dört karar:

• VLAN’lar arası yönlendirme ve erişim listeleri. Hangi VLAN hangisine, hangi porta ve hangi yönde erişebilir? Varsayılan “kapalı” olmalı, ihtiyaç duyulan geçiş tek tek açılmalıdır. Yön de önemlidir: sunucunun kullanıcıya erişmesi ile kullanıcının sunucuya erişmesi aynı kural değildir.
• Statik mi dinamik yönlendirme mi? Tek lokasyonlu ve az sayıda ağ bloğu olan bir kurumda statik yollar hem yeterli hem denetlenebilirdir. Lokasyon ve blok sayısı artınca elle yazılan yollar bakım yükü olmaya başlar; orada dinamik bir yönlendirme protokolü devreye girer.
• İnternete çıkış ve adres çevirisi. İç adreslerin dışarı nasıl çıktığı, hangi servisin dışarıdan erişilebilir olduğu ve bu kararların NAT tarafında ne anlama geldiği kurulumda netleşir. Dışarıya açılan her port ayrıca güvenlik tarafının konusudur.
• Şubeler arası bağlantı. Çok lokasyonlu kurumlarda merkez ile şube arasındaki yolun nasıl kurulduğu (hat, tünel veya operatör omurgası), hangi trafiğin öncelikli taşınacağı ve hat koptuğunda ne olacağı aynı yapılandırmanın parçasıdır.

Bu dördü kurulumda bir kez verilip bırakılan kararlar değil: kurum büyüdükçe yeni VLAN, yeni şube ve yeni servis eklenir, ve her ekleme mevcut kural setine bir satır daha yazar. O satırların zamanla ne hâle geldiği, aşağıdaki yönetim başlığının konusu.

Yedeklilik ve Kesintisiz Çalışma: Yedek Jeneratör Devreye Girdiğinde

Elektrik kesildiğinde jeneratörün otomatik devreye girmesi gibi, ağdaki kritik noktalarda da tek bir hata noktası bırakmıyoruz. HSRP/VRRP ile yedekli ağ geçidi (gateway) yapılandırması, ana cihaz arızalandığında yedeğinin fark edilmeden devralmasını sağlar. STP/RSTP ise farklı bir riski kapatır: switch’ler arasında yanlışlıkla oluşan bir döngü (loop), tüm ağı saniyeler içinde kilitleyebilir; bu protokoller döngüyü tespit edip otomatik olarak keser. Bu kilitlenmenin ölçülmüş hâlini, yani STP kapalıyken tek bir kablonun 24 saniyede 30,9 milyon yayın paketi taşıdığını, Spanning Tree yazımızda gösterdik.

İkisi birbirinin yerini tutmaz. HSRP/VRRP bir cihazın çökmesine karşı korur, STP/RSTP ise yapılandırma hatasından doğan bir döngüye karşı korur; sağlam bir altyapı ikisini birlikte kurar. Ağ dışındaki katmanlarda aynı sorunun nasıl arandığını tek hata noktası yazımızda anlattık.

Örneğin ana omurga switch’i beklenmedik şekilde yeniden başladığında, HSRP/VRRP yapılandırması sayesinde yedek cihaz saniyeler içinde aynı sanal IP adresini üstlenir ve kullanıcıların hiçbir ayarı değişmeden çalışma sürer. Bu devrin planlı kapanmada ve ani bir arızada kaç saniye sürdüğünü VRRP nedir yazımızda lab ölçümüyle gösterdik. Bu geçiş öncesinde test edilip doğrulanmadıysa, “yedek” olduğu düşünülen cihaz tam ihtiyaç anında devreye girmeyebilir; bu yüzden yedeklilik yapılandırması kurulumdan sonra mutlaka planlı bir kesinti testiyle doğrulanır, öylece bırakılmaz.

QoS: Öncelikli Devreler

Bir binada yaşam destek cihazlarının prizi ile misafir odasının prizi aynı devrede olmamalıdır; kritik yük her zaman önceliklidir. QoS (trafik önceliklendirme), ağda aynı mantığı uygular: sınırlı bant genişliğinde hangi trafiğin öncelikli taşınacağına karar verir.

Toplantı Saatinde Çöken Video Konferans

Yakın zamanda çok lokasyonlu bir kurumda tam olarak bu sorunla karşılaştık: MPLS hattının sınırlı bant genişliğinde, toplantı saatlerinde herkes aynı anda video konferansa girdiğinde ekranlar donuyor, sesler kesik kesik geliyordu. Video konferansın kullandığı trafik, aynı hattaki sıradan internet kullanımı tarafından eziliyordu; kesinti şiddeti toplantı büyüklüğüne göre değişiyordu, küçük toplantılarda az fark ediliyordu, kalabalık toplantılarda belirginleşiyordu.

Çözüm, hattı büyütmek değil, önceliklendirmekti: bir traffic shaping policy ile video konferans trafiğini önceliklendirdik, diğer tüm trafiğin önceliğini düşürdük. Toplantı saati dışında kullanıcılar hattı normal şekilde paylaşıyor; toplantı anında öncelik her zaman video konferans paketlerinde oluyor. Doğru eşik değerlerine deneme yanılmayla ulaştık, kurulum toplam bir hafta sürdü. Bu projeyi hangi adımlarla tamamladığımızı QoS ve video konferans optimizasyonu vaka çalışmasında ayrıntısıyla anlatıyoruz. QoS’u tek başına bir hizmet olarak, ölçümüyle birlikte nasıl verdiğimiz ise ağ analizi ve optimizasyon sayfasında yazılı.

Switch/Router Yönetimi: Yapılandırma Denetimi ve Port Güvenliği

Bir elektrik panosunu bir kez kurup unutmak, zamanla hangi sigortanın hangi devreyi beslediğinin unutulması demektir. Switch ve router yönetimi de aynı şekilde süreklilik ister; bu, genel ağ izlemenin (Syslog, SNMP) ötesinde, doğrudan switch ve router seviyesinde üç somut disiplinden oluşur.

• Yapılandırma yedekleme: Her değişiklik öncesi ve sonrası cihaz yapılandırması yedeklenir; bir hata olduğunda önceki çalışan sürüme dakikalar içinde dönülebilir, kimin ne zaman ne değiştirdiği de kayıt altındadır. Yedeğin hangi protokolle taşındığı da bir güvenlik kararıdır: TFTP ile alınan bir yedeğin ağda neye benzediğini paket düzeyinde ölçtüm.
• Firmware ve güvenlik yamaları: Üretici tarafından yayınlanan güvenlik yamaları ve firmware güncellemeleri, test edildikten sonra planlı bir takvimle uygulanır; yamasız bırakılan bir cihaz, bilinen ve halka açık bir güvenlik açığını taşımaya devam eder.
• Port güvenliği denetimi: Hangi fiziksel porta hangi cihazın bağlı olduğu ve o portun doğru VLAN’a atanıp atanmadığı periyodik olarak doğrulanır; zamanla eklenen ve unutulan bağlantılar bu denetimle ortaya çıkar.

Bu üç disiplin olmadan kurulan en iyi mimari bile zamanla eskir; kurulumun kalitesini uzun vadede koruyan şey, sürekli yönetimdir.

Yönetim altındaki bir cihaz arızalandığında etkisi tek kullanıcıyla sınırlı kalmaz: düşen bir dağıtım switch’i bir katı, düşen bir router bir lokasyonu birden karanlıkta bırakır. Bir arıza bildirildiğinde hangi adımların atıldığını, arızanın etki ve aciliyete göre hangi önem seviyesine yerleştiğini destek sürecimizde anlattık.

Ağ Danışmanlığı: Doğru Mimariyi ve Markayı Seçmek

Bir binaya kaç sigorta, hangi kapasitede bir pano gerektiği, binanın büyüklüğüne ve yük ihtiyacına göre değişir; aynı karar ağ tarafında da verilmelidir. Ağ danışmanlığı, cihazları satın almadan önce hangi markanın, hangi topolojinin ve hangi ölçeğin kurumunuza uygun olduğuna karar verme sürecidir.

Bu karar tek bir soruya indirgenemez. Tek lokasyonlu, 20 kişilik bir ofis ile 15 şubeli bir zincirin ihtiyacı aynı mimariden karşılanmaz; ikincisinde merkezi yönetim konsolu, şubeler arası otomatik yapılandırma dağıtımı ve lisans yenileme takvimi kurulum kararını doğrudan etkiler.

Bulut tabanlı merkezi yönetim panelini tercih eden kurumlar için Cisco Meraki veya Ubiquiti UniFi gibi araçlar devreye girer; geleneksel CLI tabanlı yönetimi tercih eden ve yüksek özelleştirme isteyen kurumlar için ise Cisco Catalyst, Aruba/HPE veya MikroTik genellikle daha uygun bir seçenektir. Danışmanlığın amacı, bu tabloyu satın alma kararından önce netleştirmektir.

Switch Kurulumu Fiyatını Ne Belirler?

Bu sayfada rakam bulamayacaksınız ve bunun sebebi gizlilik değil: aynı “switch kurulumu” ifadesi, 20 kişilik tek ofis için de 15 şubeli bir zincir için de kullanılıyor ve ikisinin işi aynı kalemde toplanamaz. Ama fiyatı neyin belirlediğini yazabiliriz, çünkü teklif isterken bu altı başlığı bilen kişi karşılaştırma yapabilir:

• Port ve kullanıcı sayısı. İşin tabanı bu, ama tek başına yanıltıcıdır: 200 portun tek katta mı yoksa altı kata dağılmış mı olduğu, gereken switch sayısını ve katlar arası bağlantıyı değiştirir.
• Lokasyon sayısı. İkinci lokasyon fiyatı ikiye katlamaz, ama şubeler arası bağlantı, merkezi yönetim ve uzaktan erişim gibi tek lokasyonda hiç olmayan kalemleri ekler.
• Katman derinliği. Sadece erişim katmanı (kullanıcıların takıldığı switch’ler) mi kuruluyor, yoksa omurga ve dağıtım katmanı da mı var? Omurga kararı hem cihaz sınıfını hem yedeklilik ihtiyacını yukarı çeker.
• Yedeklilik isteniyor mu? HSRP/VRRP ve yedekli omurga, cihaz sayısını ve kurulum süresini artırır. Bu bir teknik tercih değil iş kararıdır: bir saatlik ağ kesintisinin size ne kaybettirdiğini bilmeden doğru cevabı vermek mümkün değil.
• Sıfırdan kurulum mu, devralma mı? Boş bir binaya kurulum planlıdır ve öngörülebilir. Yıllardır çalışan bir ağı devralmak ise önce keşif ister: mevcut yapılandırmanın çıkarılması, belgelenmemiş kararların anlaşılması ve ancak ondan sonra değişiklik. Devralmalarda işin ilk üçte biri okumakla geçer.
• Marka ve lisans modeli. Bulut yönetimli platformlar yıllık lisans yeniler; geleneksel CLI tabanlı cihazlarda böyle bir kalem yoktur ama yönetim emeği artar. Toplam sahip olma maliyeti üç yıla bakmadan hesaplanamaz, ve bu karşılaştırma satın almadan önce yapılır.

Bir de model farkı var, çünkü ikisi ayrı fiyatlanır: kurulum tek seferliktir, sürekli yönetim ise aylık veya yıllık bir anlaşmadır. Kurulumu alıp yönetimi kendi ekibinizle yürütmek de mümkün; o durumda devir sırasında yapılandırma dokümantasyonunu ve yedekleme düzenini size bırakıyoruz.

Hangi Markalarla Çalışıyoruz?

Cisco Catalyst ve Meraki, Aruba/HPE, Ubiquiti UniFi ve MikroTik platformlarında deneyimliyiz. Mevcut altyapınıza ve bütçenize en uygun markayı danışmanlık aşamasında birlikte belirliyoruz; tek bir markaya bağlı kalmadan, ihtiyacınıza göre karar veriyoruz.

Switch/router kurulumu, yönetimi ve danışmanlığı burada birbirinden kopuk üç hizmet değil, aynı elektrik tesisatının farklı zamanlarına denk gelen tek bir sorumluluktur: pano önce doğru kurulur, sonra her gün doğru işletilir, ihtiyaç değiştiğinde de doğru mimariyle güncellenir.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn