Switch VLAN Yapılandırması: VLAN Oluşturma ve Port Atama

Switch VLAN yapılandırması, bir switch’i birbirinden ayrı mantıksal ağlara bölen iki işten oluşur: önce VLAN’lar numarası ve adıyla oluşturulur, sonra portlar bu VLAN’lara atanır. Kamera bir VLAN’a, bilgisayar başka bir VLAN’a bağlanır ve aynı switch’te durdukları hâlde birbirlerinin ağına düşmezler.

Bu rehberde lab switch’imde VLAN oluşturup port atıyorum, sonucu üç çıktıyla doğruluyorum ve dört şeyi ölçüyorum:

1. VLAN adında Türkçe harf. Switch İ, Ö ve Ş harflerini kabul ediyor mu?
2. Olmayan VLAN’a port atamak. Yanlış yazılan bir numara hata veriyor mu?
3. Portu olan bir VLAN’ı silmek. O porta ne oluyor?
4. Boştaki portlar. Kullanılmayan VLAN’a alınıp kapatılan portta hangi ayarlar uykuda bekliyor?

Kümenin benzetmesiyle switch bir süpermarket şubesidir. VLAN numarası ve tabelası olan bir reyondur, port bir raf gözüdür, port atamak da o rafın hangi reyona ait olduğunu yazmaktır. Kullanılmayan raflar kapatılmış boş bir reyonda durur.

Bu yazı, switch yapılandırma rehberimizdeki kontrol listesinin 11. adımıdır ve Kurumsal Network Kurulumu hizmetimizin switch tarafına aittir. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık.

VLAN’ın nasıl çalıştığını, etiketin çerçevenin neresine girdiğini ve trunk ile access port farkını VLAN nedir yazımızda anlattık. Bu yazı o kavramların switch üzerindeki uygulamasıdır.

Switch VLAN Yapılandırmasından Önce: Plan ve Kendi Portunuz

VLAN’lar switch’e yazılmadan önce kâğıtta belli olmalıdır: hangi numara, hangi ad, hangi adres bloğu ve hangi port grubu. Kullandığımız planı, VLAN numarasının adresin üçüncü oktetine eşit olduğu iki lokasyonlu tabloyla yönetilebilir switch ayarları yazısının VLAN planı bölümünde anlattık. Hangi cihaz grubunun ayrı VLAN’a gireceğine nasıl karar verildiğini de ağ segmentasyonu yazımız anlatıyor.

İkinci ön koşul, switch’e hangi porttan bağlandığınızı bilmektir. Lab switch’ime modeme giden Gi1/0/1 üzerinden ulaşıyorum ve o port yönetim VLAN’ı olan VLAN 10’da duruyor. Kendi portunuzu yanlış VLAN’a atarsanız switch’le bağlantınız o anda kopar. Bu yüzden aşağıdaki ölçümlerin hepsini kablosuz, kapalı bir boş port olan Gi1/0/47 üzerinde yaptım ve yönetim portuna dokunmadım.

Switch’te VLAN Oluşturma: Numara ve Ad

VLAN bir numarayla oluşturulur ve bir ad alır. Ad teknik olarak isteğe bağlıdır, pratikte zorunludur. show vlan çıktısını okuyan kişi 30’un ne olduğunu addan anlar.

Bir VLAN’ı adıyla oluşturan satırlar şunlar:

configure
vlan 30
name PERSONEL
exit
exit

VLAN Adında Türkçe Harf: Switch Sessizce Düşürür

Planımız VLAN adlarını büyük harfle ve Türkçe karaktersiz yazıyor (YONETIM, MISAFIR). Bunun bir alışkanlık mı yoksa zorunluluk mu olduğunu görmek için deneme bir VLAN’a Türkçe harfli bir ad yazdım:

gmsw01(config)#vlan 70
gmsw01(config-vlan70)#name "YNETM-"
gmsw01(config-vlan70)#exit
gmsw01(config)#exit
gmsw01#show vlan id 70
VLAN   Name                             Ports          Type
-----  ---------------                  -------------  --------------
70     YNETM-                                          Static
...

Yazdığım ad YÖNETİM-İŞ idi. Switch Ö, İ ve Ş harflerini daha satırı yazarken düşürdü ve adı YNETM- olarak kaydetti; ne hata verdi ne uyarı. Türkçe karaktersiz kuralı bu yüzden bir tercih değil, bu cihazda zorunluluktur. Aynı kuralı switch adı için de uyguluyoruz.

Bir VLAN’ı ise hiç silemezsiniz: varsayılan VLAN 1. Denedim ve switch reddetti:

gmsw01(config)#no vlan 1
          Failure Information
---------------------------------------
   VLANs failed to be configured : 1
---------------------------------------
   VLAN             Error
---------------------------------------
VLAN 1         Can't remove the default VLAN.

VLAN 1 silinemediği için her switch’te durur ve aşağıda göreceğimiz gibi sahipsiz kalan portların düştüğü yer olur.

Switch Port Atama: Access Port ve Toplu Atama

VLAN oluştu, ama henüz içinde tek bir port yok. Kullanıcı cihazlarının bağlandığı portlar VLAN’a access port olarak atanır. Access port bağlı cihaz adına etiketi kendisi basar ve söker; cihaz tarafında yapılacak ayar yoktur. Farkı VLAN nedir yazısının access ve trunk bölümünde anlattık.

Tek bir portu ya da bir port grubunu aynı kalıpla atarsınız:

configure
interface range Gi1/0/29-36
switchport access vlan 30
exit
exit

interface range sekiz portu tek seferde aynı VLAN’a alır. Porta bir açıklama yazmak da atamanın parçasıdır. Lab switch’imin yönetim portunun yapılandırması şöyle:

gmsw01#show running-config interface Gi1/0/1
description "UPLINK-MODEM"
switchport access vlan 10

Arıza anında Gi1/0/1’in nereye gittiğini öğrenmek için kabloyu takip etmeniz gerekmez; açıklama söyler.

İki switch arasındaki bağlantı ya da birden çok VLAN taşıyan bir sunucu portu access değil trunk olur. Trunk’ı kurarken komut sırasının neden bağlantıyı kopardığını VLAN nedir yazısının lab bölümünde ölçtük.

Switch VLAN Doğrulaması: show vlan, Port Durumu ve MAC Tablosu

Atama bitti. Doğrulama üç komutla yapılır ve her komut ayrı bir soruyu cevaplar.

show vlan: Hangi VLAN Hangi Portları Taşıyor?

show vlan hangi VLAN’ın hangi portları taşıdığını tek tabloda gösterir:

gmsw01#show vlan
VLAN   Name                             Ports          Type
-----  ---------------                  -------------  --------------
1      default                          Po1-64         Default
5      LAB                              Gi1/0/2-24     Static
10     YONETIM                          Gi1/0/1        Static
20     SUNUCU                           Gi1/0/25-28    Static
30     PERSONEL                         Gi1/0/29-36    Static
40     SES                              Gi1/0/37-40    Static
50     KAMERA                           Gi1/0/41-44    Static
60     MISAFIR                          Gi1/0/45-46    Static
999    KULLANILMAYAN                    Gi1/0/47-48,   Static
                                        Te1/0/1-4

Bu tabloda üç satıra bakın:

1. VLAN 10 YONETIM yalnız yönetim portunu taşıyor. Yönetim ağına kullanıcı portu verilmez.
2. VLAN 1’de hiçbir fiziksel port yok. Yalnız port kanalları (Po1-64) kaldı; bunun neden istendiğini VLAN 1 neden sorun çıkarır bölümünde anlattık.
3. VLAN 999 boştaki iki portu ve dört SFP+ yuvasını taşıyor. Kullanılmayan her şey oradadır.

show interfaces switchport: Tek Portun Modu ve VLAN’ı

show interfaces switchport portun hangi modda ve hangi VLAN’da olduğunu söyler. Kısalttım:

gmsw01#show interfaces switchport Gi1/0/47
Port: Gi1/0/47
VLAN Membership Mode: Access Mode
Access Mode VLAN: 999
...
Trunking Mode Native VLAN: 1 (default)
Trunking Mode VLANs Enabled: All

Access Mode VLAN: 999 beklenen satırdır. Son iki satıra aşağıda döneceğim.

MAC Tablosu: Cihaz Gerçekten O VLAN’da mı?

show vlan tablosu atamayı gösterir, trafiği göstermez. Port bir VLAN’a atandıysa switch o porttaki cihazların MAC adreslerini o VLAN’da öğrenir. Yönetim portunda öyle görünüyor:

gmsw01#show mac address-table interface Gi1/0/1
Aging time is 300 Sec
Vlan     Mac Address           Type        Port
-------- --------------------- ----------- ---------------------
10       60D8.A4A7.2E99        Dynamic     Gi1/0/1
10       62D1.A4A7.2E99        Dynamic     Gi1/0/1
...

Gi1/0/1’de öğrenilen beş adresin beşi de VLAN 10’da. Switch’in bu tabloyu nasıl tuttuğunu switch nedir yazımızda anlattık. İki VLAN’ın aynı kablodan etiketle geçtiğini paket düzeyinde gösteren ölçüm ise VLAN nedir yazısının lab bölümünde duruyor.

Olmayan VLAN’a Port Atamak: Switch VLAN’ı Kendisi Açar

Doğrulama doğru yazılmış bir atamayı gösterir. Peki numara yanlış yazılırsa ne olur? Beklenen cevap bir hata mesajıdır: VLAN 71 yoksa switch “böyle bir VLAN yok” demelidir. Boş porta var olmayan VLAN 71’i atadım:

gmsw01(config)#interface Gi1/0/47
gmsw01(config-if-Gi1/0/47)#switchport access vlan 71
Access VLAN does not exist. Creating VLAN 71
gmsw01(config-if-Gi1/0/47)#exit
gmsw01(config)#exit
gmsw01#show vlan id 71
VLAN   Name                             Ports          Type
-----  ---------------                  -------------  --------------
71     VLAN0071                         Gi1/0/47       Static
...

Switch hata vermedi, VLAN’ı kendisi açtı ve adını VLAN0071 koydu. Port o yeni VLAN’a girdi.

Bunun sahadaki karşılığı bir yazım hatasıdır. Doğru yazılan switchport access vlan 30 portu PERSONEL ağına götürür. 30 yerine 31 yazılırsa, ölçtüğüm davranışa göre switch yine hata vermez ve portu içinde başka hiçbir cihaz olmayan yeni bir VLAN’a götürür. O porta takılan bilgisayar bağlantı ışığını yakar ama plandaki hiçbir sunucuya ulaşamaz.

Benzetme burada kopuyor. Olmayan bir reyon numarası yazan görevliye şube müdürü “böyle reyon yok” der. Switch ise reyonu açar ve rafı oraya bağlar. show vlan çıktısında VLAN0071 biçiminde, planınızda olmayan adlar görürseniz bu hatanın izine bakıyorsunuzdur.

VLAN Silmek: Port Uyarısız VLAN 1’e Düşer

Yanlış açılan VLAN’ı silmek gerekir. Silinen VLAN’ın portlarına ne olduğunu ölçmek için deneme bir VLAN 72 açtım, boş portu ona atadım ve VLAN’ı sildim:

gmsw01(config)#no vlan 72
gmsw01(config)#exit
gmsw01#show interfaces switchport Gi1/0/47 | include Access
VLAN Membership Mode: Access Mode
Access Mode VLAN: 1 (default)

Switch VLAN’ı uyarısız sildi ve port VLAN 1’e düştü. Aynı sonucu portun kendi atamasını kaldırarak da aldım: no switchport access vlan satırından sonra port yine VLAN 1’deydi ve show vlan id 1 onu Po1-64, Gi1/0/47 satırında gösterdi.

Bunun sonucu güvenlik tarafındadır. VLAN 1 bütün portların fabrikadan çıktığı ortak ağdır; oraya düşen port, ortak ağdaki her şeye ulaşan bir priz olur. Kapatılan bir reyonun rafları markette boş kalır. Switch’te silinen VLAN’ın portları ise ortak alana taşınır.

Doğru sıra şudur:

1. Portları taşıyın. VLAN’ı silmeden önce içindeki portları planınızdaki yerlerine ya da kullanılmayan VLAN’a atayın.
2. VLAN’ı silin. show vlan çıktısında VLAN’ın satırında port kalmadığını görünce silin.
3. VLAN 1’e bakın. show vlan id 1 satırında port kanalları dışında bir port görürseniz bir atamayı atladınız.

Boştaki Portlar: Kullanılmayan VLAN ve Kapatma

Silinen VLAN’ın portu VLAN 1’e düşüyorsa, boştaki portların yeri de VLAN 1 değildir. Planımızda onlar 999 KULLANILMAYAN VLAN’ında durur. Bu VLAN’ın adresi yoktur, hiçbir trunk’tan taşınmaz ve içinde çalışan bir cihaz yoktur; sahada adı blackhole VLAN’dır. Boştaki port hem oraya atanır hem kapatılır:

configure
interface range Gi1/0/47-48
switchport access vlan 999
shutdown
exit
exit

Lab switch’imde Gi1/0/47 bu hâlde:

gmsw01#show running-config interface Gi1/0/47
shutdown
switchport access vlan 999

İkisi birlikte gerekir, çünkü tek başına her biri eksiktir. Yalnız kapatılan port, biri onu bir gün açtığında bulunduğu VLAN’da çalışır. Yalnız 999’a alınan port ise elektriksel olarak canlıdır ve takılan cihaz bağlantı kurar. Kapatılan portu kullanılmayan VLAN’a almayı switch sıkılaştırma turunda boştaki bütün portlara uyguladık.

Yukarıdaki port çıktısının son iki satırı burada anlam kazanıyor. Port access modunda ve 999’da olduğu hâlde trunk ayarları varsayılan değerleriyle duruyor: Native VLAN: 1 ve VLANs Enabled: All. Bu port bir gün trunk’a çevrilirse native VLAN’ı 1 olacak ve bütün VLAN’ları taşıyacak. Ayarlar silinmiyor, uykuda bekliyor; bunun hangi saldırının kapısını açtığını VLAN güvenliği bölümünde anlattık.

Switch VLAN Yapılandırmasında Sık Yapılan Hatalar

VLAN beklediğiniz gibi çalışmıyorsa ya da bir port yanlış ağa düştüyse önce şunlara bakın:

• Kendi portunuzu yanlış VLAN’a atamak. Bağlantınız o anda kopar; toplu atamada interface range aralığının yönetim portunu kapsamadığını kontrol edin.
• VLAN numarasını yanlış yazmak. Switch hata vermez, yeni bir VLAN açar; show vlan’da planda olmayan VLANxxxx adlarını arayın.
• Portu olan VLAN’ı silmek. Portlar uyarısız VLAN 1’e düşer.
• Adda Türkçe harf kullanmak. Harfler sessizce düşer ve ad bozulur.
• Boştaki portları yalnız kapatmak ya da yalnız 999’a almak. İkisi birlikte yapılır.
• Doğrulamayı tabloda bırakmak. show vlan atamayı gösterir; cihazın gerçekten o VLAN’da olduğunu MAC tablosu gösterir.
• Kaydetmemek. Atamalar yalnız çalışan yapılandırmada kalırsa switch ilk yeniden başlatmada onları kaybeder. Çalışan ve kalıcı yapılandırmanın farkını yönetilebilir switch ayarları yazımızda anlattık.

Sonuç: Switch VLAN Hatasını Söylemez, Çıktıyı Siz Okursunuz

Switch VLAN yapılandırması iki satırlık bir iştir: VLAN numarası ve adıyla oluşturulur, port switchport access vlan ile ona atanır. Lab switch’imde zorluk komutlarda değil, switch’in sessiz kaldığı yerlerdeydi. Türkçe harfleri hata vermeden düşürdü, yanlış yazılan numara için yeni bir VLAN açtı ve silinen VLAN’ın portunu uyarısız VLAN 1’e taşıdı.

Üçünü de ancak çıktıyı okuyan fark eder. Girişteki süpermarket benzetmesiyle: reyon tabelaları yerinde görünse bile rafların hangi reyona bağlı olduğunu show vlan ve MAC tablosu söyler.

Rehberin sıradaki adımı döngü korumasıdır; sıralamanın tamamı switch yapılandırma rehberimizde duruyor. Birden çok switch’e aynı VLAN listesini yazmanın neden çoğu kurumda elle yapıldığını VLAN nedir yazısında anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn