VLAN ile ağ bölümleme rehberi

Bu rehberde ne yapacağız?

Bu rehberde VLAN ile ağ bölümleme mantığını öğrenecek, bir Linux sunucuda 802.1Q etiketli VLAN arayüzü oluşturacak ve bölümler arası erişimi güvenlik duvarıyla kontrol edecek şekilde tasarım yapacaksınız. Hosting ve sunucu yöneticileri için hazırlanmıştır; yaklaşık 45-60 dakika ayırmanız yeterlidir.

VLAN (Virtual LAN), tek bir fiziksel anahtar altyapısını mantıksal olarak birbirinden yalıtılmış yayın alanlarına böler. Böylece yönetim, depolama, müşteri ve yedekleme trafiği ayrılır; bir bölümdeki ihlalin diğerlerine yayılması zorlaşır. Anahtar (switch) tarafındaki komutlar üreticiye göre değiştiği için bu rehber üretici bağımsız ilkeleri anlatır, Linux tarafında ise somut komutlar verir.

Gereksinimler

• VLAN destekleyen (802.1Q) yönetilebilir bir anahtar ve ona erişiminiz
• Debian/Ubuntu veya AlmaLinux/Rocky Linux çalıştıran bir sunucu ve sudo yetkisi
• Planlanmış bir VLAN numaralandırma ve IP adres şeması (örneğin yönetim, sunucu, müşteri, yedekleme)
• Sunucuya konsol ya da IPMI/KVM erişimi: ağ ayarını yanlış yaparsanız SSH bağlantınız kopabilir
• Anahtar yapılandırmasının yedeği ve bir bakım penceresi

Adım adım VLAN ile ağ bölümleme

1. Bölümleri ve numaraları planlayın

Önce hangi trafiğin ayrılacağına karar verin. Yaygın bir şema şöyledir: yönetim için VLAN 10, sunucular için VLAN 20, müşteri hizmetleri için VLAN 30, yedekleme için VLAN 40. Her VLAN için ayrı bir alt ağ (örneğin /24) ayırın. VLAN 1 varsayılan olduğu için kullanılmayan portları ve yerel (native) VLAN değerini kullanılmayan, boş bir numaraya taşımak iyi bir uygulamadır.

2. Anahtarda port türlerini belirleyin

Sunucuya giden porta etiketli (tagged) birden çok VLAN taşıyacaksanız o port trunk olarak ayarlanır. Tek VLAN'a ait bir cihazın bağlandığı port ise access olarak ayarlanır ve etiketsiz çalışır. Trunk üzerinde yalnızca gerekli VLAN'ları izin listesine alın; tüm VLAN'ları serbest bırakmayın. Bu ayarların komut sözdizimi üreticiye bağlıdır, cihazınızın resmi belgesine bakın.

3. Linux sunucuda VLAN modülünü ve arayüzü oluşturun

Aşağıdaki komutlar geçicidir, yeniden başlatmada silinir; bu nedenle önce deneme için uygundur. Arayüz adınızı (eth0 yerine kendi adınızı) ip -br link ile öğrenin.

sudo modprobe 8021q
ip -br link
sudo ip link add link eth0 name eth0.20 type vlan id 20
sudo ip addr add 10.10.20.5/24 dev eth0.20
sudo ip link set eth0.20 up

4. Debian/Ubuntu'da kalıcı hale getirin (netplan)

Ubuntu ve netplan kullanan Debian sürümlerinde /etc/netplan/ altındaki dosyaya vlans bölümü ekleyin. Dosyayı düzenlemeden önce kopyasını alın. Aynı adresin iki arayüzde birden tanımlı kalmaması için 3. adımda oluşturduğunuz geçici arayüzü önce sudo ip link delete eth0.20 ile silin. Kalıcı yapılandırmada arayüzün adı vlan20 olur; doğrulama komutlarında bu adı kullanın.

network:
  version: 2
  ethernets:
    eth0: {}
  vlans:
    vlan20:
      id: 20
      link: eth0
      addresses: [10.10.20.5/24]

Uzaktan çalışıyorsanız netplan try komutu kullanın; onay vermezseniz ayarlar otomatik geri alınır.

sudo netplan try

5. AlmaLinux/Rocky'de kalıcı hale getirin (NetworkManager)

RHEL tabanlı sistemlerde NetworkManager'ın nmcli aracı yeterlidir.

sudo nmcli connection add type vlan con-name vlan20 ifname vlan20 dev eth0 id 20 ip4 10.10.20.5/24
sudo nmcli connection up vlan20

6. Bölümler arası trafiği güvenlik duvarıyla sınırlayın

VLAN'lar tek başına güvenlik duvarı değildir. Bölümler arası trafik bir yönlendirici veya güvenlik duvarından geçiyorsa varsayılan olarak her şeyi engelleyip yalnızca gerekli akışlara izin verin; örneğin müşteri VLAN'ından yönetim VLAN'ına hiçbir erişim tanımlamayın. Linux ile yönlendirme yapıyorsanız net.ipv4.ip_forward ayarını yalnızca gerçekten gerekliyse açın ve forward zincirinde varsayılan politikayı drop yapın.

Doğrulama

Arayüzün VLAN etiketiyle oluştuğunu ve aynı VLAN'daki bir cihaza ulaşabildiğinizi kontrol edin. Kalıcı yapılandırmaya geçtiyseniz eth0.20 yerine vlan20 yazın.

ip -d link show eth0.20
cat /proc/net/vlan/config
ping -c 3 10.10.20.1

Çıktıda vlan protocol 802.1Q id 20 ifadesini görmelisiniz. Farklı bir VLAN'a ait cihaza ping atıldığında, güvenlik politikanız izin vermiyorsa yanıt almamanız beklenen sonuçtur. Etiketlerin gerçekten gidip geldiğini görmek için sudo tcpdump -e -nn -i eth0 vlan komutunu kullanabilirsiniz.

Sık karşılaşılan sorunlar

• Arayüz yukarıda ama ping yok: anahtardaki trunk portunda ilgili VLAN izinli değildir veya VLAN anahtarda hiç oluşturulmamıştır. Anahtar tarafını kontrol edin.
• Bağlantı koptu: ağ ayarını uzaktan değiştirirken yanlış arayüze adres atamış olabilirsiniz. Konsoldan bağlanıp geri alın; netplan için netplan try kullanın.
• Etiketsiz trafik karışıyor: native VLAN iki uçta farklı tanımlıdır. Her iki tarafta aynı olduğundan veya kullanılmayan bir VLAN'a ayarlandığından emin olun.
• MTU sorunları: bazı yapılandırmalarda etiket nedeniyle paket boyutu aşılır, büyük paketler düşer. MTU değerlerini uçtan uca karşılaştırın.
• Yeniden başlatınca VLAN kayboluyor: ayar yalnızca ip komutlarıyla yapılmıştır, kalıcı yapılandırmayı eklemediniz.

Güvenlik ve bakım notları

• Kullanılmayan anahtar portlarını kapatın veya kullanılmayan bir VLAN'a atayın.
• Trunk portlarında izin verilen VLAN listesini dar tutun ve dinamik trunk pazarlığı özelliklerini devre dışı bırakın.
• Yönetim arayüzlerini kendi VLAN'ında tutun ve yalnızca güvenilir adreslerden erişime açın.
• VLAN numaralarını ve adres şemasını belgeleyin; her değişiklikte güncel tutun.
• Anahtar yapılandırmasını düzenli yedekleyin ve değişiklikleri bakım penceresinde uygulayın.