VLAN nedir?
VLAN (Virtual LAN), fiziksel olarak aynı ağ anahtarına bağlı cihazları mantıksal olarak ayrı ağlara bölen bir ağ segmentasyon yöntemidir. Her VLAN kendi yayın alanına sahiptir; böylece sunucular, yönetim arayüzleri ve kullanıcı trafiği birbirinden ayrılabilir.
VLAN’lar IEEE 802.1Q standardıyla etiketlenir ve ek kablolama gerektirmeden ağı güvenlik ve performans açısından düzenlemenizi sağlar.
Nasıl çalışır?
Yönetilebilir bir anahtar, her porta bir VLAN kimliği (VLAN ID) atar. Aynı VLAN’daki cihazlar birbiriyle doğrudan konuşur; farklı VLAN’lar arasındaki trafik ise bir router veya Layer 3 anahtar üzerinden geçer ve güvenlik duvarı kurallarına tabi tutulabilir.
Anahtarlar arasında birden fazla VLAN’ı tek kabloda taşımak için trunk portlar kullanılır; paketler 802.1Q etiketi taşır.
Sunucu ve hosting ortamında
Veri merkezlerinde genel internet trafiği, yönetim ağı (IPMI, iDRAC, iLO), yedekleme ağı ve depolama trafiği genellikle ayrı VLAN’larda tutulur. Böylece bir web sunucusu ele geçirilse bile saldırganın yönetim arayüzlerine doğrudan erişmesi engellenir.
Dedicated sunucu veya özel bulut kullanıyorsanız barındırma sağlayıcınızdan özel VLAN talep edebilir, sunucularınızı birbirine yalnızca özel ağ üzerinden bağlayabilirsiniz. Linux tarafında ip link add ile 802.1Q alt arayüzleri oluşturulabilir.
Nasıl uygulanır?
- Yönetim, üretim, yedekleme ve test ortamlarını ayrı VLAN’lara bölün.
- VLAN’lar arası trafiği varsayılan olarak engelleyip yalnızca gerekli portlara izin verin.
- Kullanılmayan anahtar portlarını kapatın veya kullanılmayan bir VLAN’a alın.
- Trunk portlarında yalnızca gereken VLAN’ları taşıyın.
- Yönetim VLAN’ına erişimi VPN ve belirli kaynak adreslerle sınırlandırın.
Sık yapılan hatalar
- VLAN’ı tek başına güvenlik duvarı sanmak; VLAN’lar arası yönlendirmede kural tanımlamamak.
- Varsayılan (native) VLAN’ı değiştirmeyip tüm cihazları aynı VLAN’da bırakmak.
- Trunk portlarını gereğinden fazla VLAN’a açık bırakmak.
- VLAN planını belgelendirmeyip zamanla karmaşık bir yapı oluşturmak.
Sık sorulan sorular
VLAN ne işe yarar?
VLAN, ağı mantıksal bölümlere ayırarak yayın trafiğini azaltır ve farklı sistemlerin birbirinden yalıtılmasını sağlar. Güvenlik ve düzen açısından en yaygın ağ segmentasyon yöntemlerinden biridir.
VLAN ile alt ağ (subnet) arasındaki fark nedir?
VLAN ikinci katmanda (Layer 2) bir yayın alanı tanımlar, alt ağ ise üçüncü katmanda (Layer 3) IP adresi aralığını belirler. Pratikte genellikle her VLAN’a ayrı bir alt ağ atanır.
VLAN kendi başına güvenliği sağlar mı?
Hayır. VLAN yalnızca trafiği ayırır; güvenliği sağlayan şey, VLAN’lar arasında uygulanan erişim kuralları ve doğru anahtar yapılandırmasıdır.
Bu terimin geçtiği rehberler
- Proxmox VE küme (cluster) kurulumu: gereksinimler, pvecm, quorum ve dikkat edileceklerProxmox VE küme (cluster) kurulumunu pvecm ile adım adım yapın: ağ ve gereksinimler, düğüm ekleme, quorum mantığı, QDevice ve kümeye girerken dikkat edilecekler.
- Dedicated sunucuda ağ bonding (active-backup ve LACP) ile yedekli bağlantı (netplan ve NetworkManager)Dedicated sunucunuzdaki iki ağ kartını bonding ile birleştirin: active-backup ve LACP (802.3ad) kurulumu, netplan ve NetworkManager örnekleri, failover testi.
- Yönetim ağını ayırma ve ağ cihazı erişim güvenliğiYönetim ağını ayırma ve ağ cihazı erişim güvenliği: ayrı yönetim ağı tasarımı, atlama sunucusu (bastion), SSH ile erişim, güvenlik duvarı kuralları ve günlükleme.
- Ağ cihazı firmware güncelleme planıAğ cihazı firmware güncelleme planı: envanter, yedek, imza ve sağlama doğrulama, bakım penceresi, aşamalı dağıtım ve geri dönüş adımlarıyla güvenli güncelleme süreci.
İlgili terimler
- VPNİki nokta arasında şifreli, özel bir tünel kuran ağ teknolojisi.
- WireGuardAz kodlu, hızlı ve modern kriptografi kullanan açık kaynaklı VPN protokolü ve uygulaması.
- Yük dengeleyici (load balancer)Gelen trafiği birden çok sunucu arasında dağıtan sistem.
- AnycastAynı IP adresinin birden çok konumda duyurulduğu ve trafiğin en yakın konuma yönlendirildiği ağ yönlendirme yöntemi.
- ARP zehirlenmesi (ARP spoofing)Yerel ağda sahte ARP yanıtlarıyla trafiği saldırganın cihazına yönlendirerek dinleme veya değiştirme yapan saldırı.
- BGPİnternetteki ağların birbirine yol bilgisi duyurmasını sağlayan yönlendirme protokolü.