- (0224) 322 22 90
- info@bursabilgisayar.tr
İşletmeler büyüdükçe networke bağlanan bilgisayar, sunucu, yazıcı, IP kamera, access point, VoIP telefon ve IoT cihazlarının sayısı da artar. Tüm cihazların tek bir yerel ağ içerisinde kontrolsüz şekilde çalışması zaman içerisinde yönetim, performans ve güvenlik sorunlarına neden olabilir.
Bursa Bilgisayar olarak Bursa VLAN ve ağ yapılandırma hizmetleri kapsamında işletmelerin mevcut network altyapısını analiz ediyor; kullanıcıları ve cihazları görevlerine göre farklı ağ segmentlerine ayırarak daha düzenli ve yönetilebilir kurumsal network yapıları oluşturuyoruz.
Managed switch, router, firewall ve kurumsal Wi-Fi sistemlerini birlikte yapılandırarak VLAN, IP adresleme, DHCP, routing ve erişim politikalarını işletmenin ihtiyaçlarına göre planlıyoruz.
VLAN, yani Virtual Local Area Network, aynı fiziksel network altyapısı üzerindeki cihazların mantıksal olarak farklı ağlara ayrılmasını sağlayan teknolojidir.
Örneğin bir işletmede;
aynı switch altyapısını kullanabilir ancak farklı VLAN’larda çalıştırılabilir.
Bu sayede fiziksel olarak aynı network altyapısı kullanılırken cihaz grupları arasında mantıksal ayrım oluşturulur.
Küçük bir işletmede birkaç bilgisayarın aynı network üzerinde çalışması başlangıçta sorun oluşturmayabilir.
Ancak network büyüdükçe bütün cihazların aynı ağ içerisinde tutulması yönetimi zorlaştırabilir.
VLAN yapılandırması;
yardımcı olabilir.
VLAN tek başına bir güvenlik çözümü değildir. Gerçek erişim kontrolü için firewall, routing ve erişim politikalarının da doğru şekilde yapılandırılması gerekir.
İşletmenin network mimarisine göre aşağıdaki çalışmalar gerçekleştirilebilir:
Network segmentasyonu, işletmenin ağ altyapısının farklı kullanıcı ve cihaz gruplarına ayrılmasıdır.
Örneğin;
VLAN 10 – Personel
VLAN 20 – Sunucular
VLAN 30 – IP Kameralar
VLAN 40 – VoIP
VLAN 50 – Misafir Wi-Fi
VLAN 60 – IoT
VLAN 99 – Network Yönetimi
gibi bir yapı oluşturulabilir.
Bunlar yalnızca örnektir. VLAN numaraları ve IP adresleri işletmenin mevcut altyapısına göre belirlenmelidir.
Çalışanların bilgisayarları ve kurumsal cihazları için ayrı bir network oluşturulabilir.
Bu network içerisindeki kullanıcıların hangi sunucu, yazıcı ve kurumsal sistemlere erişebileceği işletmenin ihtiyaçlarına göre belirlenebilir.
Personel ağı ile misafir, kamera ve IoT cihazlarının ayrılması daha düzenli bir kurumsal network yapısı oluşturur.
Sunucular işletmenin kritik sistemleri arasında bulunduğundan kullanıcı cihazlarıyla aynı kontrolsüz network içerisinde bulunmaları her yapı için uygun olmayabilir.
İhtiyaca göre;
ayrı bir sunucu networkünde konumlandırılabilir.
Kullanıcıların sunucu VLAN’ına erişimleri firewall ve diğer network politikaları üzerinden gerekli servislerle sınırlandırılabilir.
IP kamera sistemlerinde onlarca hatta yüzlerce kamera aynı network üzerinde çalışabilir.
Kamera trafiğinin kullanıcı bilgisayarlarıyla aynı ağ içerisinde bulunması hem yönetim hem de güvenlik açısından istenmeyebilir.
IP kameralar ve uygun durumlarda NVR sistemleri için ayrı kamera VLAN’ı oluşturulabilir.
Örneğin personel bilgisayarlarının doğrudan kameralara erişimi engellenirken yalnızca yetkili güvenlik bilgisayarlarının gerekli sistemlere erişmesine izin verilebilir.
İşletmeye gelen ziyaretçilerin şirketin ana networküne bağlanması doğru değildir.
Misafir kullanıcılar için ayrı SSID ve VLAN oluşturulabilir.
Örneğin:
Firma-Personel → Personel VLAN
Firma-Misafir → Misafir VLAN
Misafir ağı firewall üzerinden yalnızca internete çıkacak şekilde yapılandırılabilir.
Böylece ziyaretçilerin şirket bilgisayarlarına, sunucularına, yazıcılarına ve diğer kurumsal sistemlere erişimi sınırlandırılabilir.
Akıllı televizyonlar, otomasyon sistemleri, bazı üretim cihazları ve diğer IoT ekipmanları kurumsal networke bağlanabilir.
Bu cihazların çalışan bilgisayarları ve kritik sunucularla aynı network içerisinde tutulması her zaman uygun olmayabilir.
İhtiyaca göre IoT cihazları ayrı VLAN içerisinde çalıştırılarak erişimleri sınırlandırılabilir.
IP telefon sistemlerinin bulunduğu işletmelerde telefonlar için ayrı VLAN oluşturulabilir.
Bu sayede ses trafiği diğer kullanıcı sistemlerinden mantıksal olarak ayrılabilir.
Destekleyen switch ve telefon sistemlerinde QoS gibi özellikler de değerlendirilerek VoIP trafiğinin network üzerinde daha kontrollü yönetilmesi sağlanabilir.
Managed switch, access point, controller ve diğer network cihazlarının yönetim arayüzlerinin kullanıcı networkünden ayrılması tercih edilebilir.
Bu amaçla ayrı bir Management VLAN oluşturulabilir.
Yönetim ağına yalnızca yetkili IT kullanıcılarının veya belirli cihazların erişmesine izin verilecek şekilde güvenlik politikaları uygulanabilir.
Bu yapı özellikle daha büyük kurumsal networklerde yönetim güvenliğini artırmaya yardımcı olur.
VLAN kullanılabilmesi için switch altyapısının gerekli özellikleri desteklemesi gerekir.
Managed switchler üzerinde VLAN’lar oluşturularak portların hangi networke dahil olacağı belirlenebilir.
Örneğin switch üzerindeki;
için yapılandırılabilir.
Gerçek port yapısı işletmenin cihazlarına ve network topolojisine göre oluşturulur.
Tek bir VLAN içerisinde çalışacak bilgisayar, yazıcı veya kamera gibi cihazların bağlı olduğu switch portları uygun şekilde access port olarak yapılandırılabilir.
Örneğin personelin bilgisayarı Personel VLAN’ına ait access porta bağlandığında cihaz ilgili networkten IP adresi alabilir.
Bu yapı son kullanıcı tarafında ekstra VLAN yapılandırması gerektirmeden cihazların doğru networke dahil edilmesini sağlar.
Birden fazla VLAN’ın aynı fiziksel bağlantı üzerinden taşınması gerektiğinde trunk bağlantıları kullanılabilir.
Trunk yapısı özellikle;
kullanılabilir.
Örneğin personel ve misafir Wi-Fi ağlarının aynı access point üzerinden yayınlanması durumunda ilgili VLAN’lar switch ile access point arasındaki bağlantıda taşınabilir.
Farklı VLAN’larda bulunan cihazların birbirleriyle iletişim kurabilmesi için routing gerekir.
Bu işlem network mimarisine göre;
üzerinde gerçekleştirilebilir.
Ancak VLAN’lar arasında routing yapılması bütün networklerin birbirine sınırsız erişmesi gerektiği anlamına gelmez.
Hangi networkün hangi sisteme erişebileceği güvenlik politikalarıyla belirlenmelidir.
Kurumsal networklerde VLAN altyapısının firewall ile birlikte kullanılması daha kontrollü bir yapı oluşturur.
Örneğin firewall üzerinde;
Personel → Sunucu: Belirli servislere izin ver
Misafir → Sunucu: Engelle
Misafir → İnternet: İzin ver
Kamera → Personel: Engelle
IT Yönetim → Network Cihazları: İzin ver
gibi politikalar oluşturulabilir.
Gerçek erişim kuralları işletmenin sistemleri ve güvenlik gereksinimleri değerlendirilerek belirlenmelidir.
VLAN altyapısı oluşturulurken her network için düzenli IP adres aralıklarının belirlenmesi önemlidir.
Örneğin farklı ağlar için ayrı özel IP blokları planlanabilir.
Buradaki temel amaç hangi IP aralığının hangi sistem grubuna ait olduğunun kolaylıkla anlaşılabilmesidir.
Sunucu, switch, firewall, access point ve yazıcı gibi sabit cihazların IP adresleri de bu plan içerisinde düzenlenebilir.
Her VLAN içerisindeki kullanıcı cihazlarının otomatik IP alabilmesi için uygun DHCP yapısı oluşturulabilir.
DHCP servisi işletmenin network mimarisine göre firewall, router veya Windows Server üzerinde çalışabilir.
Her VLAN için ayrı DHCP scope oluşturularak kullanıcıların doğru IP, gateway ve DNS bilgilerini otomatik alması sağlanabilir.
Kurumsal networklerde DNS yapılandırması özellikle Active Directory kullanılan sistemlerde önemlidir.
Domain ortamındaki bilgisayarların doğru DNS sunucularını kullanması gerekir.
İnternet DNS servisleri ile şirket içerisindeki kurumsal DNS yapısının görevleri birbirine karıştırılmamalıdır.
Network yapılandırması sırasında işletmenin sunucu ve Active Directory altyapısı da dikkate alınarak DNS planlaması yapılabilir.
Windows Server ve Active Directory kullanılan işletmelerde network yapılandırmasının domain altyapısıyla uyumlu olması gerekir.
Domain bilgisayarlarının DNS, DHCP ve sunucu erişimleri buna göre planlanabilir.
VLAN kullanılan yapılarda farklı networklerde bulunan kullanıcıların domain controller ve diğer gerekli sunucu servislerine erişimi firewall politikalarıyla sağlanabilir.
Kurumsal Wi-Fi sistemlerinde VLAN kullanımı özellikle personel ve misafir ağlarının ayrılmasında önemlidir.
Tek bir access point üzerinden birden fazla SSID yayınlanabilir.
Örneğin:
BursaBilgisayar-Personel → VLAN 10
BursaBilgisayar-Misafir → VLAN 50
Access point, switch ve firewall tarafında gerekli VLAN yapılandırmaları birlikte gerçekleştirilerek iki kablosuz ağ mantıksal olarak birbirinden ayrılabilir.
Fabrikalarda kurumsal network standart ofislerden daha karmaşık olabilir.
Aynı altyapı üzerinde;
bulunabilir.
Bu sistemlerin tamamını tek bir networkte toplamak yerine işletmenin ihtiyaçlarına göre segmentasyon yapılabilir.
Özellikle üretim sistemlerinde yapılacak network değişikliklerinin operasyon üzerindeki etkisi dikkate alınarak planlı çalışma gerçekleştirilmelidir.
Birden fazla şubesi bulunan işletmelerde her lokasyon için standart bir IP ve VLAN planı oluşturulması network yönetimini kolaylaştırabilir.
Şubeler site-to-site VPN üzerinden merkezi sisteme bağlanıyorsa IP bloklarının birbirleriyle çakışmaması özellikle önemlidir.
Yeni şube açılışlarında aynı network standardının uygulanması altyapının daha kolay yönetilmesini sağlar.
VLAN cihazların mantıksal olarak ayrılmasını sağlar ancak VLAN tek başına firewall değildir.
Farklı VLAN’lar arasındaki trafik yanlış yapılandırılmışsa ağlar birbirlerine erişmeye devam edebilir.
Bu nedenle güvenli network segmentasyonu için;
VLAN + Routing + Firewall Politikaları + Kullanıcı Yetkilendirmeleri
birlikte değerlendirilmelidir.
Bursa Bilgisayar olarak VLAN projelerini yalnızca switch üzerinde VLAN ID oluşturmak şeklinde değil, networkün tamamını kapsayan bir yapı olarak ele alıyoruz.
İşletmenin mevcut networkü tek bir IP bloğu üzerinde çalışıyor olabilir.
Sistemin tamamını bir anda değiştirmek yerine kontrollü bir geçiş planı oluşturulabilir.
Öncelikle mevcut;
yapısı analiz edilir.
Ardından yeni VLAN ve IP planı oluşturularak sistemler uygun sırayla yeni network yapısına taşınabilir.
Yıllar içerisinde büyüyen işletmelerde farklı teknik ekipler tarafından yeni cihazlar eklenmiş olabilir.
Sonuç olarak;
gibi problemler ortaya çıkabilir.
Mevcut network haritalandırılarak daha düzenli bir IP, VLAN ve cihaz yapısına geçiş planlanabilir.
VLAN ve IP yapısının dokümante edilmesi özellikle kurumsal işletmelerde önemlidir.
Uygun projelerde;
kayıt altına alınabilir.
Bu sayede network altyapısı yalnızca sistemi kuran kişinin hafızasına bağımlı kalmaz.
Projenin büyüklüğüne göre değişmekle birlikte genel süreç şu şekilde ilerleyebilir:
Mevcut çalışan sistemlerde kesintiyi azaltmak için geçiş işlemleri uygun zaman aralıklarında planlanabilir.
VLAN ve network segmentasyonu özellikle çok sayıda kullanıcı veya network cihazı bulunan işletmeler için faydalıdır.
Başta;
için ihtiyaca uygun ağ mimarileri oluşturabiliriz.
Bursa Bilgisayar olarak VLAN yapılandırmasını tek başına bir switch ayarı olarak değerlendirmiyoruz.
Managed switch, router, firewall, Wi-Fi, sunucu, Active Directory, IP kamera, fiber ve yapısal kablolama altyapısını birlikte ele alıyoruz.
Bu sayede işletmenin yalnızca bugünkü cihazlarını birbirine bağlayan değil, gelecekte yeni kullanıcı, şube ve sistemler eklendiğinde de yönetilebilir kalabilecek bir network altyapısı oluşturmayı hedefliyoruz.
İşletmenizde tüm bilgisayarlar, kameralar, misafir kullanıcılar ve diğer cihazlar aynı network içerisinde çalışıyorsa mevcut ağ altyapınızı daha düzenli ve kontrollü hale getirebiliriz.
Bursa Bilgisayar olarak Bursa VLAN yapılandırma, network segmentasyonu, IP adres planlama, managed switch yapılandırma, kurumsal ağ yapılandırma ve firewall VLAN entegrasyonu ihtiyaçlarınız için mevcut network altyapınızı analiz ederek işletmenize uygun ağ mimarisini oluşturuyoruz.
