Switch'te VLAN'lar Arası Yönlendirme: SVI Yapılandırması

Switch’te VLAN’lar arası yönlendirme, switch’in kendi VLAN’ları arasında IP paketlerini taşımasını sağlayan ayardır. İki iş yapılır: switch’te yönlendirme genel olarak açılır ve her VLAN için adresli bir sanal arayüz (SVI) oluşturulur. SVI’nın adresi o VLAN’daki cihazların ağ geçidi olur.

Bu yazıda bu iki işi lab switch’imde yapıyorum. Paketlerin VLAN’lar arasında nasıl geçtiğini, TTL’nin neden bir azaldığını ve yönlendirmenin yerinin trafiği nasıl değiştirdiğini iki sanal switch arasında ölçtüm ve Layer 3 switch nedir yazımızda anlattım. Burada switch’in komutlarını ve kendi tablolarını gösteriyorum.

Kümenin benzetmesiyle switch bir süpermarket şubesidir ve her VLAN şubenin bir reyonudur. Bu adım, reyonlar arasında ürün taşıyacak transfer görevlisini işe almak ve her reyonun girişine onun masasını koymaktır.

Bu yazı, switch yapılandırma rehberimizdeki kontrol listesinin 14. adımıdır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık.

Switch’te VLAN’lar Arası Yönlendirmeden Önce: VLAN’lar ve Adres Planı

Yönlendirme var olan VLAN’ların arasında yapılır. Başlamadan önce üç şey hazır olmalı:

1. VLAN’lar oluşturulmuş ve portlar atanmış olmalı. Bu işi switch VLAN yapılandırması yazımızda anlattık.
2. Her VLAN’ın bir adres bloğu olmalı. Bloklar birbirine taşmamalıdır. Lab switch’imde VLAN planımızdaki VLAN 20’yi (SUNUCU) kullanıyorum; plandaki adres bloğu 10.34.20.0/24, plakası 34 olan İstanbul’un bloğu.
3. Yönlendirmeyi yapacak switch seçilmiş olmalı. Birden çok switch’iniz varsa yönlendirmeyi hangisinde yapacağınız trafiğin nereden nereye aktığına bağlıdır. Yanlış yerde yapılan yönlendirmenin omurga bağını nasıl iki kez doldurduğunu Layer 3 switch yazısının yönlendirme yeri bölümünde ölçtüm.

Yönlendirmeyi açmak, yönetim bağlantınızın geçtiği rota tablosuyla oynamak demektir. Bu yüzden bu adımı, switch’e konsoldan ulaşabileceğiniz bir anda yapın.

Switch’te VLAN’lar Arası Yönlendirme: ip routing ve SVI

Önce switch’in yönlendirme durumuna bakın.

Lab switch’imde yönlendirme fabrika ayarında kapalı:

gmsw01#show ip brief
Default Time to Live........................... 64
Routing Mode................................... Disabled
ICMP Rate Limit Interval....................... 1000 msec
ICMP Rate Limit Burst Size..................... 100 messages
ICMP Echo Replies.............................. Enabled
ICMP Redirect Mode............................. Enabled
Maximum Next Hops.............................. 1

Routing Mode Disabled, switch’in yalnız anahtarlama yaptığını söylüyor. Switch’in yönetim adresi olsa bile bu adres yalnız switch’i yönetmek içindir; switch paketleri VLAN’lar arasında taşımaz. Rota tablosu da bu durumda iki satırdır:

gmsw01#show ip route
...
Default Gateway is 192.168.10.1
S      *0.0.0.0/0 [253/0] via 192.168.10.1,   Vl10
C      *192.168.10.0/24 [0/1] directly connected,   Vl10

C satırı yönetim VLAN’ının (VLAN 10) switch’e doğrudan bağlı ağıdır, S satırı ise switch’in kendi trafiği için kullandığı ağ geçidi. Yönetim VLAN’ının neden ayrı tutulduğunu management VLAN nedir yazımızda anlattık.

Yönlendirmeyi açıp VLAN 20’nin arayüzünü oluşturan satırlar şunlar:

configure
ip routing
interface vlan 20
ip address 10.34.20.1 255.255.255.0
exit
exit

ip routing switch’in genel yönlendirme ayarıdır. interface vlan 20 VLAN 20’nin SVI’ını açar, ip address de ona adres verir. Switch satırların hepsini kabul etti ve yönlendirme açıldı: show ip brief çıktısında satır Routing Mode ... Enabled oldu.

İki satırın ayrı olması önemlidir. SVI’ya adres verip ip routing’i unutmak, ağ geçidinin ping’e cevap verdiği ama VLAN’lar arası tek paketin geçmediği bir durum üretir. Bu durumu sanal switch’te yakaladım ve Layer 3 switch yazısının SVI bölümünde gösterdim.

Switch’te VLAN’lar Arası Yönlendirme Doğrulaması: SVI Down Kaldı

Yönlendirme açık, SVI adresli. Rota tablosunda VLAN 20’nin ağını görmeyi beklersiniz. Tabloya yeniden baktım ve tablo değişmemişti: yine yalnız VLAN 10’un bağlı ağı ve varsayılan rota vardı. Nedenini SVI’ın kendi durumu söylüyor; kısalttım:

gmsw01#show ip interface vlan 20
Routing interface status....................... Down
Primary IP Address............................. 10.34.20.1/255.255.255.0
Method......................................... Manual
Routing Mode................................... Enable
Administrative Mode............................ Enable
...
Active State................................... Inactive
...

Satırlar sırayla şunu söylüyor:

1. Primary IP Address yazdığım adres; yapılandırma doğru.
2. Routing Mode Enable ve Administrative Mode Enable arayüzün yönlendirmeye ve kullanıma açık olduğunu gösteriyor.
3. Routing interface status Down ve Active State Inactive ise arayüzün çalışmadığını söylüyor.

Sebep yapılandırmada değil VLAN’dadır. VLAN 20’nin portlarında (Gi1/0/25-28) bağlı bir cihaz yok. SVI, VLAN’ında çalışan bir port olmadan devreye girmez; devreye girmeyen arayüzün ağı rota tablosuna da girmez. Lab switch’imde bu VLAN’ı ayağa kaldırmak için yönetim bağlantımın geçtiği portu değiştirmem gerekirdi, bu yüzden bu hâliyle bıraktım.

Bu, kurulum gününün sık tuzağıdır. VLAN’ın cihazları henüz takılmamışken SVI’ı kurup rota tablosuna bakan kişi arayüzün Down olduğunu görür ve yapılandırmayı yanlış sanır. Kontrol sırası şudur:

1. show ip brief: Routing Mode Enabled mı?
2. show ip interface vlan N: adres doğru mu, Routing interface status Up mı?
3. Up değilse: o VLAN’a atanmış portlardan en az birinde cihaz bağlı ve port açık mı?
4. show ip route: her SVI’nın ağı C satırı olarak görünüyor mu?
5. İstemci tarafı: istemcinin ağ geçidi kendi VLAN’ının SVI adresi mi? Başka VLAN’daki bir cihaza ping atınca TTL bir azalıyor mu?

Son maddenin neden işe yaradığını, yani yönlendirilen paketin TTL’sinin 64’ten 63’e indiğini Layer 3 switch yazısında ölçtüm.

Yönlendirme Açılınca Yönetim Bağlantısı

Rota tablosu yönlendirme açılmadan önce ve açıldıktan sonra aynı iki satırı taşıdı. Switch’in yönetim adresine ulaşan bağlantım da kesilmedi. Yine de yönlendirmeyi açmak switch’in kendi trafiğini de yönlendirme kararlarına bağlar. Bu yüzden bu adımı konsol erişimi elinizdeyken yapın.

VLAN’lar arası adres dağıtımı ayrı bir iştir. Cihazlar adresini DHCP’den alıyorsa ve DHCP sunucusu başka bir VLAN’daysa, SVI’nın o sunucuya isteği iletmesi gerekir. Bunun nasıl yapıldığını DHCP yazımızın relay bölümünde anlattık.

Bu yazıdaki ayarların hepsini ölçümden sonra geri aldım. Yönlendirme yeniden kapalı, VLAN 20’nin arayüzü silindi, VLAN’ın kendisi portlarıyla yerinde; hiçbir şey kaydedilmedi.

Switch’te VLAN’lar Arası Yönlendirmede Sık Yapılan Hatalar

VLAN’lar arası trafik geçmiyorsa önce şunlara bakın:

• ip routing’i unutmak. SVI’lar adresli olur, ağ geçidi ping’e cevap verir, ama VLAN’lar arası paket geçmez.
• VLAN’da çalışan port yokken SVI’ı hatalı sanmak. Arayüz Down ve Inactive görünür. SVI’ı sınamadan önce o VLAN’a bir cihaz bağlayın.
• İstemcinin ağ geçidini yanlış yazmak. Ağ geçidi, istemcinin kendi VLAN’ının SVI adresidir.
• Adres bloklarını çakıştırmak. İki SVI’ya aynı bloktan adres verilemez; blokların sınırını subnet hesaplama aracıyla doğrulayın.
• Yönlendirmeyi açınca erişimi kısıtlamamak. Yönlendirme VLAN’lar arası her trafiğe izin verir; kimin kime ulaşacağını bir erişim listesiyle belirleyin. Erişim listesinin nasıl okunduğunu ACL nedir yazımızda anlattık. Firewall’da durum tersidir: VLAN’lar arası yol, bir kural yazılana kadar kapalı kalır. Bunu FortiGate Firewall VLAN yapılandırması yazımızda gösterdik.
• Kaydetmemek. Ayarlar yalnız çalışan yapılandırmada kalırsa switch ilk yeniden başlatmada onları kaybeder. Çalışan ve kalıcı yapılandırmanın farkını yönetilebilir switch ayarları yazımızda anlattık.

Sonuç: Switch’te Yönlendirme İki Satırdır, SVI VLAN’ıyla Ayağa Kalkar

Switch’te VLAN’lar arası yönlendirme iki satırdır: ip routing ile yönlendirmeyi açmak ve her VLAN için interface vlan altında adresli bir SVI oluşturmak. Lab switch’imde yönlendirme fabrika ayarında kapalıydı; iki satırı da kabul etti ve yönlendirme açıldı.

VLAN 20’nin SVI’ı ise Down kaldı, çünkü o VLAN’da çalışan port yoktu. Yapılandırma doğru olsa bile SVI, VLAN’ına bir cihaz bağlanana kadar devreye girmez ve ağı rota tablosuna girmez.

Girişteki süpermarket benzetmesiyle: transfer görevlisinin masası reyonun girişine konmuştur, ama reyon açılmadan görevli işe başlamaz. Switch’te masa SVI’dır, reyonun açılması da o VLAN’da çalışan bir porttur.

Rehberin sıradaki adımı PoE ve komşu keşfidir; sıralamanın tamamı switch yapılandırma rehberimizde duruyor. VLAN’lar arası yönlendirmenin nasıl çalıştığını ve ölçümlerin tamamını Layer 3 switch nedir yazımızda anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn