Bir switch yanlış yapılandırıldığında iki senaryodan biri yaşanır: ya bir güvenlik açığı sessizce oluşur, ya da tüm departmanın interneti aniden kesilir. İkisi de tercih edilecek durumlar değil. Cisco switch yönetiminde günlük işimde en sık başvurduğum temel kavramları bu yazıda topladım.
VLAN: Ağı Mantıksal Olarak Bölmek
VLAN (Virtual LAN), fiziksel olarak aynı switch’e bağlı cihazları mantıksal olarak farklı ağlara ayırır. Muhasebe departmanının trafiği ile misafir Wi-Fi trafiğinin aynı yayın (broadcast) alanında olmaması hem performans hem güvenlik açısından kritiktir.
Switch(config)# vlan 10 Switch(config-vlan)# name MUHASEBE Switch(config)# interface fastEthernet 0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10
Bu basit yapılandırma bir portu belirli bir VLAN’a atar. Departman bazlı VLAN tasarımı hem trafik yönetimini kolaylaştırır hem de bir bölümdeki güvenlik olayının diğer bölümlere sıçramasını engeller.
Trunk Portlar: VLAN’ları Switch’ler Arası Taşımak
Birden fazla switch’iniz varsa ve her birinde birden fazla VLAN çalışıyorsa, switch’ler arası bağlantıların trunk olarak yapılandırılması gerekir. Trunk portlar, 802.1Q etiketleme sayesinde tek bir fiziksel bağlantı üzerinden birden fazla VLAN’ın trafiğini taşıyabilir.
Switch(config)# interface gigabitEthernet 0/24 Switch(config-if)# switchport mode trunk Switch(config-if)# switchport trunk allowed vlan 10,20,30
Trunk portlarda “allowed vlan” listesini mutlaka açıkça belirtmenizi öneririm — bunu bir keresinde atlamıştım ve varsayılan ayarla tüm VLAN’ların trunk üzerinden geçmesine izin vermiş olduk, bu da hem gereksiz broadcast trafiğine hem de fark edilmesi zor bir güvenlik riskine yol açmıştı.
Port Güvenliği
Bir kullanıcının kendi switch’ini veya yetkisiz bir cihazı ağa bağlamasını önlemek için port security kritik bir katmandır:
Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 2 Switch(config-if)# switchport port-security violation restrict Switch(config-if)# switchport port-security mac-address sticky
Bu yapılandırma bir porta bağlanabilecek maksimum MAC adresi sayısını sınırlar; ihlal durumunda trafiği tamamen kesmek yerine kısıtlamayı tercih eder — kullanıcı deneyimini bozmadan güvenliği sağlamanın pratik bir yolu.
Örnek Senaryo: Yeni Bir Ofis Katı
Yeni açılan bir ofis katında tipik adımlarım şöyle: önce departmanlara göre VLAN planlaması yapılır, kat dağıtım switch’i ile omurga switch arasındaki bağlantı trunk olarak yapılandırılır, erişim portlarına port security uygulanır ve son olarak yönetim VLAN’ı ayrı bir ağda izole edilerek switch’in kendisine yetkisiz erişim engellenir.
Pratikte Ne Değişir
VLAN, trunk ve port security kavramlarını sağlam öğrendiğinizde, kurumsal ağ altyapısının büyük bölümünü güvenle yönetebilirsiniz. Bu temelin üzerine STP (Spanning Tree Protocol) ve ağ segmentasyonu stratejileri eklendiğinde, tam anlamıyla dayanıklı bir ağ mimarisi ortaya çıkıyor — o konuları blogdaki diğer yazılarda ayrıca işledim.