Yönetilebilir Switch Ayarları: Ad, IP ve VLAN Planı

Yönetilebilir switch ayarları, cihaza tek bir kullanıcı bağlanmadan önce ona verilen üç kimlikle başlar. Bunlar kim olduğunu ve nerede durduğunu söyleyen bir ad, yönetim için ulaşılacak bir adres ve portlarını amacına göre bölen bir VLAN planıdır. Bu rehberde üçünü de lab switch’imde sırasıyla kuruyorum; aşağıdaki her komut ve her çıktı o cihazdan alındı. Cihaza kimin, hangi yetkiyle gireceğini belirleyen yönetici hesabı ayrı bir adımdır; onu switch’te yerel yönetici hesabı yazımızda anlattık.

Yeni açılan bir süpermarket şubesini düşünün. Raflar dolmadan önce kapıya şubenin tabelası asılır, şubeye bir telefon hattı bağlanır ve her reyonun numarası ile tabelası yerine konur. Genel müdürlük akşam gelen raporu şubenin adından tanır, müşteri de deterjanı manavın yanında aramaz. Bu yazı boyunca switch’i böyle bir şube gibi düşüneceğiz.

Bu benzetmeyi uzaktan kurmuyorum. Bir dönem süpermarkette reyon görevlisi olarak çalıştım ve reyon dizmenin bütün derdi, müşterinin aradığını ilk baktığı yerde bulmasıydı. Switch’e verilen ad ve VLAN planı da aynı işi görür; log ekranına bakan kişi cihazı ve portu ilk bakışta tanır.

Bu rehber, Kurumsal Network Kurulumu hizmetimizin switch tarafındaki ilk adımıdır. Sonraki adımların tamamını sırasıyla switch yapılandırma rehberimizdeki kontrol listesinde bulabilirsiniz. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü switch kurulumu ve VLAN yapılandırma hizmeti sayfamızda anlattık.

Switch’i kabinete takıp kablolamak işin fiziksel kısmıdır. Bu rehber cihaz ilk kez açıldıktan sonra verilen ayarları anlatır ve switch’e konsol kablosuyla ya da ağdan bağlanabildiğinizi varsayar.

Switch’in İlk Ayarlarında Üç Kimlik: Ad, Adres ve VLAN Planı

Kutudan çıkan bir switch trafiği hemen taşır, çünkü asıl işi için ne bir ada ne de bir adrese ihtiyacı vardır. Ad ve adres yalnız onu yönetecek kişi içindir. Fabrika da ona jenerik bir ad verir. Bu lab switch’inin fabrika adı console idi ve VLAN makalemizdeki eski çıktılarda hâlâ öyle görünür.

Şube benzetmesinin parçaları kurulumun adımlarına şöyle karşılık gelir:

Benzetme reyonlar arasındaki geçişte kopar. Müşteri manavdan şarküteriye yürür; bir VLAN’daki cihaz ise öbür VLAN’a ancak bir yönlendirici izin verirse ulaşır. Nedenini VLAN arası yönlendirme bölümünde anlattık.

Sıra da keyfî değildir. Ad ilk gün verilir, çünkü switch ilk log kaydını gönderdiği andan itibaren o adla tanınır.

Switch’e Ad Vermek: Lokasyonu Adın İçine Yazmak

Switch’in adı, onu bir log satırında gören kişiye cihazın ne olduğunu ve nerede durduğunu tek okumada söylemelidir. Adresi ya da seri numarasını ezberlemek zorunda kalan ekip, arıza anında önce envanter dosyasını açar.

Kullandığımız kural üç parçalıdır:

• Lokasyon kodu önce gelir. gm Genel Merkez’i, buc İzmir’deki Buca şubesini gösterir.
• Cihaz rolü ortada durur. sw switch demektir; aynı kural fw ile firewall’a, ap ile erişim noktasına da uzanır.
• Sıra numarası iki hanelidir. Onuncu cihazın alfabetik listede birincinin hemen altına düşmemesi için 01 diye yazılır.

Genel Merkez’deki ilk switch böylece gmsw01 olur, Buca’daki ilk switch de bucsw01 olur. Merkezi log ekranında ikisini ayırmak için hiçbir adresi hatırlamanız gerekmez.

Adlarda Türkçe karakter ve boşluk kullanmıyoruz. Ad, log sunucusunda bir klasör adına ve komut satırında bir isteme dönüşüyor; ikisinde de karakter kodlamasıyla uğraşmak istemezsiniz.

Adı vermek tek komuttur:

configure
hostname gmsw01

Komut Enter’a basıldığı anda uygulanır ve istem satırı bir sonraki satırda yeni adı taşır:

sercebilisimsw01#configure
sercebilisimsw01(config)#hostname gmsw01
gmsw01(config)#

Lab switch’imin eski adı sercebilisimsw01 idi. Bu ad bir lokasyon söylemiyordu, yalnız şirketi söylüyordu.

Ad yalnız istem satırında kalmaz. Switch’in yazdığı her log kaydı da artık bu adı taşır:

gmsw01#show logging
...
<187> Sep 23 11:31:13 gmsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(306) 3072 %% ...
<189> Sep 23 11:31:13 gmsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(1286) 3071 %% ...

Satırdaki gmsw01-1 switch’in adıdır, sonundaki -1’i switch kendisi ekler. Kayıtları toplayan bir log sunucusu cihazı bu addan tanır ve ad bu yüzden ilk gün verilir. Adı sonradan değiştirdiğimde ne olduğunu yazının sonunda ölçerek gösterdim.

Switch IP Verme: Yönetim Adresi, Subnet ve Gateway

Switch artık bir ad taşıyor, ama ad ona ulaşmanın yolunu vermez. Switch’e IP vermek, ona bir yönetim adresi, o adresin ait olduğu ağın sınırını (subnet maskesi) ve kendi ağının dışına çıkan trafik için bir kapı (varsayılan ağ geçidi) tanımlamaktır.

Yönetilebilir bir switch’te bu adres bir porta değil, bir VLAN’a verilir. Ayrı bir yönetim portu (out-of-band) olan modellerde adres o porta da verilebilir; lab switch’imde böyle bir port yok. Switch’in o VLAN’ın içinde kendine ayırdığı sanal arayüze SVI (Switch Virtual Interface) denir ve yönetim trafiği o arayüzden girer. Lab switch’imdeki yapılandırma şudur:

interface vlan 5
ip address 192.168.1.2 255.255.255.0
exit
ip default-gateway 192.168.1.1

255.255.255.0 maskesi switch’e hangi adreslerin kendi ağında olduğunu söyler; 192.168.1. ile başlayan her adres onun komşusudur. Maskenin nasıl okunduğunu subnet maskesi bölümünde anlattık.

Varsayılan ağ geçidi yazılmazsa switch yine çalışır ve ping’e cevap verir, ama bu cevabı yalnız kendi ağındaki cihazlara verir. Başka bir ağdan, örneğin bir şubeden ya da VPN’den gelen bağlantının cevabını nereye göndereceğini bilemez ve cevap hiç çıkmaz. Aynı sebeple kendi ağının dışındaki bir log ya da saat sunucusuna da ulaşamaz. Ağ geçidinin genel rolünü DHCP makalemizde anlattık.

Switch IP Adresi Nasıl Öğrenilir?

Adresi siz verdiyseniz zaten biliyorsunuz. Devraldığınız bir switch’te ise iki yol vardır.

Birinci yol switch’in kendisine sormaktır. Konsoldan bağlanıp yönetim arayüzünü listelersiniz:

gmsw01#show ip interface vlan 5
Routing interface status....................... Up
Primary IP Address............................. 192.168.1.2/255.255.255.0
Method......................................... Manual
...
MAC Address.................................... F48E.381B.184D

Method satırındaki Manual, adresin elle verildiğini gösterir. En alttaki MAC adresi ikinci yolun anahtarıdır.

İkinci yol ağdan bakmaktır. Aynı ağdaki bir bilgisayar switch’le konuştuysa, bilgisayarın ARP tablosunda switch’in MAC adresinin karşısında IP adresi yazar. Kendi iş istasyonumda baktım:

arp -a | findstr 192.168.1.2

  192.168.1.2           f4-8e-38-1b-18-4d     dynamic

MAC adresi, switch’in kendi ekranında gördüğümüz F48E.381B.184D ile aynıdır; yalnız yazılışı farklıdır. Bu tablonun nasıl dolduğunu ARP makalemizde anlattık. Switch adresini DHCP’den aldıysa aynı MAC adresi DHCP sunucusunun kira listesinde de görünür.

Doğrulama: Switch’e Adıyla ve Adresiyle Ulaşılıyor mu?

Ad ve adres yerinde duruyor. Şimdi iki yönü sınıyoruz. Switch kendi ağının dışına çıkabiliyor mu? Dışarıdaki bir bilgisayar switch’e ulaşabiliyor mu?

İlk sınama switch’ten ağ geçidine atılan ping’dir:

gmsw01#ping 192.168.1.1
...
Reply From 192.168.1.1: icmp_seq = 0. time= 2916 usec.
Reply From 192.168.1.1: icmp_seq = 1. time= 1017 usec.
Reply From 192.168.1.1: icmp_seq = 2. time= 1051 usec.
Reply From 192.168.1.1: icmp_seq = 3. time= 1010 usec.
----192.168.1.1 PING statistics----
4 packets transmitted, 4 packets received, 0% packet loss
...

İkinci sınama iş istasyonundan switch’e atılan ping’dir:

...
Reply from 192.168.1.2: bytes=32 time=3ms TTL=64
Reply from 192.168.1.2: bytes=32 time=3ms TTL=64
...

Bu iki çıktıda bakılacak yerler şunlardır:

• Ağ geçidinden gelen dört cevap (0% packet loss), switch’in ağ geçidine ulaştığını gösterir. Cevap yoksa önce maskeyi, sonra modeme giden portun VLAN’ını kontrol edin; yönetim adresinin durduğu VLAN ile o portun VLAN’ı aynı olmalıdır.
• İş istasyonundan gelen cevap, adresin ağda gerçekten yanıt verdiğini gösterir. Ping cevap veriyor ama SSH bağlanmıyorsa sorun adreste değil, uzaktan yönetim servisinin kendisindedir; SSH makalemiz oradan devam ediyor.
• İstem satırındaki yeni ad (gmsw01#), adın kalıcı yapılandırmaya yazılmadan önce de çalıştığını gösterir.

Sınamalardan biri tutmazsa aşağıdaki sık yapılan hatalar listesinden başlayın.

VLAN Adlandırma ve Örnek Segmentasyon Planı

Switch artık yönetilebilir durumda. Ama bir switch’in portları kutudan çıktığı hâliyle aynı VLAN’dadır; bu da bir süpermarketin bütün ürünlerini tek bir uzun rafa dizmesine benzer.

Segmentasyon, portları amaçlarına göre ayrı VLAN’lara bölmektir. Kameralar bir ağda, telefonlar başka bir ağda, misafirler üçüncü bir ağda durur ve birinde başlayan sorun öbürlerine kendiliğinden geçmez. VLAN’ın neden var olduğunu VLAN olmasaydı ne kırılırdı sorusuyla anlattık; burada planın kendisine odaklanıyoruz.

Planımızın kuralı şudur. VLAN numarası, o VLAN’ın adres bloğunun üçüncü oktetine eşittir. İkinci oktet ise lokasyonun il plaka kodunu taşır; bu kalıbı adres planında plaka kodu yöntemi bölümünde anlattık. Sonuçta adres kendi VLAN’ını ve şehrini söyler. 10.35.30.14 gören kişi, cihazın İzmir’deki personel ağında olduğunu envantere bakmadan bilir.

Bu kural bir standart değil, bizim kuralımız. VLAN’ı tanımlayan IEEE 802.1Q yalnız numaranın aralığını belirliyor: IEEE’nin kendi tanım dosyasında VLAN numarası 12 bitlik bir alandır ve 1 ile 4094 arasında bir değer alır. Numarayla IP adresi arasında bir bağ kurmaz. Kuralın kazancı teşhiste çıkıyor:

1. Yanlış adres segmentasyon hatasını gösterir. Personel portuna takılı bir bilgisayar 10.34.60.x almışsa port misafir VLAN’ındadır. Sorunun kablo değil, VLAN ataması olduğu adresten okunur.
2. Logdaki kaynak adres tek bakışta bir gruba bağlanır. 10.34.50.x kameradır, 10.34.60.x misafirdir. Envantere bakmak gerekmez.
3. Birden çok lokasyon ya da müşteri karışmaz. Her ağda aynı kural geçerli olunca numarayı bilen adresi de bilir. Numarayla üçüncü oktetin her ağda başka eşleştiği bir düzende, birden çok yere bakan bir entegratör bir süre sonra hangi numaranın hangi ağ olduğunu ancak belgeye bakarak bulur.

Kuralın bir sınırı var: üçüncü oktet en çok 255 olur, VLAN numarası ise 4094’e kadar çıkar. Bu yüzden kural, 255’e kadar numaralanan ve her VLAN’a bir /24 blok veren bir planda tutar. Aşağıdaki tablodaki 999 numaralı VLAN bu sınırın dışında kalır, ama ona zaten adres verilmez.

Aşağıdaki tablo bizim kullandığımız şemadır. Yaygın olduğu iddiasında değiliz; kendi şemanızı kurarken başlangıç noktası olarak alabilirsiniz.

Adlandırmada dört kurala uyuyoruz:

• Adlar büyük harfle ve Türkçe karaktersiz yazılır (YONETIM, MISAFIR). Gerekçe switch adındakiyle aynıdır.
• Ad amacı söyler, konumu söylemez. Konum zaten switch’in adında ve adresin ikinci oktetinde yazılıdır.
• Her lokasyonda aynı numara aynı amaca ayrılır. bucsw01 üzerindeki VLAN 40 da ses ağıdır; şubeden şubeye geçen teknisyen yeni bir tablo ezberlemez.
• Kullanılmayan portlar kendi VLAN’ına alınır. 999 KULLANILMAYAN hiçbir yere bağlanmaz ve boştaki bir prize takılan cihaz hiçbir ağa ulaşamaz. Portun bu VLAN’a kapatmayla birlikte nasıl alındığını aşağıda bağladığımız VLAN yazısında gösterdik.

Reyon numarası da böyle işler. Bir zincir market her şubesinde temizlik reyonuna aynı numarayı verirse, müşteri hangi şubeye girerse girsin deterjanı o numarada arar.

Bu tablodaki segmentlerin neye göre seçildiğini ve aralarında hangi geçişin açık olduğunu ağ segmentasyonu yazımızda erişim matrisiyle anlattık.

Planı switch’e uygulamayı, yani VLAN’ları adlarıyla oluşturmayı, portları atamayı ve sonucu doğrulamayı rehberin 11. adımı olan switch VLAN yapılandırması yazımızda anlattık. Aynı yazıda adların neden Türkçe karaktersiz yazıldığını da ölçtük: lab switch’ime YÖNETİM-İŞ yazdığımda Türkçe harfler hata vermeden düştü ve ad YNETM- olarak kaydedildi.

Switch Ayarlarını Kaydetmek: Running Config ve Startup Config

Ad ve adres switch’te çalışıyor. Ama elektrik şu an kesilse ikisi de geri gelmez.

Lab switch’imde, komut satırıyla yönetilen pek çok switch’te olduğu gibi, yapılandırmanın iki kopyası vardır. Şu an çalışan kopya (running-config) bellekte, açılışta okunan kopya (startup-config) ise kalıcı hafızada durur. Komut satırında yaptığınız her değişiklik yalnız çalışan kopyaya yazılır. Kaydetmeden önce iki kopya birbirini tutmuyordu:

gmsw01#show running-config | include hostname
hostname "gmsw01"
gmsw01#show startup-config | include hostname
hostname "sercebilisimsw01"

Çalışan kopyayı kalıcı kopyanın üzerine yazmak tek komuttur:

gmsw01#copy running-config startup-config
This operation may take few minutes.
Management interfaces will not be available during this time.
Are you sure you want to save? (y/n) y
Configuration Saved!
gmsw01#show startup-config | include hostname
hostname "gmsw01"

Kaydı en sona bırakmak bir güvenlik ağıdır. Yanlış bir port ayarı erişimi keserse switch’i yeniden başlatmak son kaydı geri getirir. Bunun sahada bir lokasyonu nasıl kurtardığını VLAN makalemizdeki trunk bölümünde anlattık. Kalıcı kopyanın bir yedeğini switch’in dışına almak ise ayrı bir iştir; switch yedeğinin nasıl alındığını TFTP makalemizde anlattık.

Kalıcı kayıt yine switch’in içinde durur ve switch’le birlikte bozulur. Yapılandırmanın cihazın dışına, tarihli olarak alınmasını switch yapılandırma yedeği yazımızda anlattık.

Switch Adını Sonradan Değiştirmek: Log Sunucusunda Ne Oluyor?

Kurulum bitti ve kaydedildi. Geriye başta verilen bir söz kalıyor. Adın neden ilk gün verilmesi gerektiğini burada ölçerek gösteriyorum. Bu bölüm kurulumun bir adımı değildir; isterseniz atlayıp sık yapılan hatalar listesine geçebilirsiniz.

Merkezi log sunucusu, ağdaki cihazların kayıtlarını tek bir yerde toplayan sunucudur; ne işe yaradığını syslog makalemizde anlattık.

Switch’in adı ilk bakışta kozmetik bir ayardır. İstem satırı değişir, trafik aynen akar. Bunu merkezi log sunucusunda sınadım. Lab switch’im kayıtlarını kendi kurduğumuz syslog sunucusuna gönderiyor. O sunucu gelen her kaydı, kaydın içinde yazan cihaz adıyla açtığı bir klasöre koyuyor; kurgusunu gönderen başına ayırma bölümünde anlattık.

Adı değiştirdim ve birkaç dakika sonra sunucudaki klasörlere baktım:

$ sudo ls -la /var/log/uzak/
...
drwxr-xr-x  2 syslog syslog 4096 Sep 23 03:03 gmsw01-1
drwxr-xr-x  2 syslog syslog 4096 Sep 23 03:00 sercebilisimsw01-1
drwxr-xr-x  2 syslog syslog 4096 Sep 23 03:00 sercesyslog

Ortada yeni bir klasör açılmış. Adların sonundaki -1, ad verme adımında gördüğümüz son ektir. Switch yapılandırmasında kendini yığının (stack) 1 numaralı üyesi olarak tanımlıyor ve her kayıtta bu numarayı adının sonuna yazıyor. Asıl soru, eski klasörle yeni klasörün arasında ne olduğudur. Eski klasörün son iki satırına ve yenisinin ilk üç satırına baktım:

$ sudo tail -n 2 /var/log/uzak/sercebilisimsw01-1/DOT1S.log
2026-09-23T11:28:03+00:00 sercebilisimsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(1286) 2880 %% ...
2026-09-23T11:28:03+00:00 sercebilisimsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(306) 2881 %% ...
$ sudo head -n 3 /var/log/uzak/gmsw01-1/DOT1S.log
2026-09-23T11:28:05+00:00 gmsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(1286) 2882 %% ...
2026-09-23T11:28:05+00:00 gmsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(306) 2883 %% ...
2026-09-23T11:28:07+00:00 gmsw01-1 DOT1S[dtlTask]: dot1s_txrx.c(1286) 2884 %% ...

Satırlar, modemden gelen ve switch’in reddettiği bir paketi anlatıyor; burada yalnız sayılara bakıyoruz:

1. Satırdaki numara switch’in kendi kayıt sayacıdır ve kesintisiz ilerliyor: 2880, 2881, 2882.
2. 2881 eski klasörün son satırıdır, 2882 ise yeni klasörün ilk satırıdır. İki kayıt arasında iki saniye var.
3. Sunucu için bunlar artık iki ayrı cihazdır. Arşivde geriye doğru arama yapan kişi, adın değiştiği güne kadarki kısmı başka bir klasörde bulur.

Switch’in adını sonradan değiştirmek yasak değildir. Ama log geçmişini ikiye böler ve bunu bilmeyen biri eski klasörü hiç aramaz. Şubenin tabelası da açılış günü asılır; aylar sonra değişirse genel müdürlüğün arşivinde aynı şube iki ayrı şube gibi durur.

Switch Ayarlarında Sık Yapılan Hatalar

Doğrulama tutmadıysa ya da kurulum aylar sonra sorun çıkarıyorsa önce aşağıdaki hatalara bakın:

• Fabrika adıyla bırakmak. Beş switch’in beşi de console adıyla log gönderirse, kayıtları cihaz adına göre ayıran bir log sunucusu hepsini tek klasörde toplar ve hangi satırın hangi kattan geldiği anlaşılmaz.
• Adı sonradan değiştirmek. Yukarıda ölçtüğüm gibi log geçmişi ikiye bölünür; izleme sistemine elle girilmiş cihaz adı da eski hâliyle kalır.
• Varsayılan ağ geçidini unutmak. Switch kendi ağından gelen ping’e cevap verir, ama uzaktan erişim ve log gönderimi sessizce çalışmaz.
• Yönetim adresini kullanıcı portlarıyla aynı VLAN’da bırakmak. O VLAN’a bağlanan herkes switch’in giriş ekranına ulaşır. Bu yazı yazılırken lab’ımızda durum buydu; 24 Eylül’de lab switch’inin yönetimini VLAN 10’a taşıdık ve nasıl taşındığını management VLAN yazımızda anlattık.
• Kaydetmeden bırakmak. Bir elektrik kesintisi günün bütün işini siler.
• Saati kurmamak. Bu yazıdaki log satırlarında saat 11:28 görünüyor, oysa kayıt anında gerçek saat UTC ile sabah üç civarıydı; switch’in saati yaklaşık 8,5 saat ileride. Yanlış saat, doğru adla bulunan satırın ne zaman yazıldığını belirsiz bırakır. Saatin kurumsal ağda neden bu kadar önemli olduğunu NTP makalemizde, switch’in saatini iç NTP sunucusuna bağlamayı da switch NTP ayarı yazımızda anlattık.

Sonuç: Kurulum Günü Verilen Kimlik Kalıcıdır

Yönetilebilir bir switch’e kurulum günü verdiğiniz üç ayar, cihazın ömrü boyunca her ekranda ve her log satırında karşınıza çıkar. Ad onu nerede arayacağınızı, adres ona nasıl ulaşacağınızı, VLAN planı da portlarından hangi trafiğin geçeceğini belirler.

Üçünü de kurulum günü yazmak, sonradan düzeltmekten ucuzdur. Lab’da yalnız adı değiştirmek bile tek bir switch’in log geçmişini iki klasöre böldü. Şube de tabelasını açılış günü asar, reyonlarını ilk mal gelmeden numaralar.

Bu ilk ayarların bir kurumsal ağ projesinde nereye oturduğunu Kurumsal Network Kurulumu sayfamızda anlattık.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn