Kurumsal ağ altyapısının en kritik bileşenlerinden biri, hiç şüphesiz switch katmanıdır. Bir switch yanlış yapılandırıldığında ya güvenlik açığı oluşur ya da tüm departmanın interneti “birden” kesilir. Bu yazıda, Cisco switch yönetiminde günlük işimde en çok kullandığım temel kavramları paylaşıyorum.
VLAN: Ağı Mantıksal Olarak Bölmek
VLAN (Virtual LAN), fiziksel olarak aynı switch’e bağlı cihazları mantıksal olarak farklı ağlara ayırmanızı sağlar. Örneğin muhasebe departmanının trafiği ile misafir Wi-Fi trafiğinin aynı yayın (broadcast) alanında olmaması hem performans hem de güvenlik açısından kritiktir.
Switch(config)# vlan 10 Switch(config-vlan)# name MUHASEBE Switch(config)# interface fastEthernet 0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10
Bu basit yapılandırma, bir portu belirli bir VLAN’a atar. Departman bazlı VLAN tasarımı, hem trafik yönetimini kolaylaştırır hem de bir bölümde yaşanan bir güvenlik olayının diğer bölümlere sıçramasını engeller.
Trunk Portlar: VLAN’ları Switch’ler Arası Taşımak
Birden fazla switch’iniz varsa ve her switch’te birden fazla VLAN çalışıyorsa, switch’ler arası bağlantıların “trunk” olarak yapılandırılması gerekir. Trunk portlar, 802.1Q etiketleme (tagging) sayesinde tek bir fiziksel bağlantı üzerinden birden fazla VLAN’ın trafiğini taşıyabilir.
Switch(config)# interface gigabitEthernet 0/24 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30
Sahadan bir not: Trunk portlarda “allowed vlan” listesini mutlaka açıkça belirtin. Varsayılan ayarla tüm VLAN’ların trunk üzerinden geçmesine izin vermek, hem gereksiz broadcast trafiğine hem de güvenlik risklerine yol açar.
Port Güvenliği: Yetkisiz Cihazları Engellemek
Bir kullanıcının kendi switch’ini veya yetkisiz bir cihazı ağa bağlamasını önlemek için port security kritik bir katmandır:
Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 2 Switch(config-if)# switchport port-security violation restrict Switch(config-if)# switchport port-security mac-address sticky
Bu yapılandırma, bir porta bağlanabilecek maksimum MAC adresi sayısını sınırlar ve ihlal durumunda (örneğin fazladan bir cihaz bağlandığında) portu tamamen kapatmak yerine trafiği kısıtlamayı tercih eder — bu, kullanıcı deneyimini tamamen kesmeden güvenliği sağlamanın pratik bir yoludur.
Gerçek Senaryo: Yeni Bir Ofis Katının Ağ Kurulumu
Yeni açılan bir ofis katında tipik olarak şu adımları izliyorum: önce departmanlara göre VLAN planlaması yapılır, ardından kat dağıtım switch’i ile omurga (core) switch arasındaki bağlantı trunk olarak yapılandırılır, erişim portlarına port security uygulanır ve son olarak yönetim (management) VLAN’ı ayrı bir ağda izole edilerek switch’in kendisine yetkisiz erişim engellenir.
Sonuç
Cisco switch yönetimi, ilk bakışta karmaşık görünse de VLAN, trunk ve port security gibi birkaç temel kavramı sağlam öğrendiğinizde, kurumsal ağ altyapısının büyük bölümünü güvenle yönetebilirsiniz. Bir sonraki yazıda bu temellerin üzerine STP (Spanning Tree Protocol) ve ağ segmentasyonu stratejilerini ele alacağım.