# Zero Trust Ağ Mimarisi: Geleneksel VPN’lerin Sonu ve Kimlik Doğrulama Tabanlı Erişim Modeli

- Bağlantı: https://musti.org/inovasyon/zero-trust-ag-mimarisi-vpn-sonu/
- Yayımlanma: 2026-09-21T21:56:04+03:00
- Yazar: mmutlu

Bir saldırganın VPN’e çalıntı bir kimlik bilgisiyle bağlandığını düşünün. Klasik
güvenlik mimarisinde bu andan itibaren neredeyse hiçbir engelle karşılaşmaz — çünkü“
ağ içinde” olmak, uzun süre “güvenilir” olmakla eş anlamlı sayıldı. Hibrit çalışma
düzeni ve bulut uygulamalarının yaygınlaşmasıyla birlikte bu varsayım artık savunulamaz
hale geldi.

## “Kale ve Hendek” Modelinin Çöküşü

Klasik kurumsal güvenlik mimarisi bir kaleye benzer: dış duvarları (güvenlik duvarı,
VPN) sağlamlaştırırsınız, içeri giren herkese nispeten serbest hareket alanı tanırsınız.
Sahada gördüğüm vakaların ortak noktası şuydu: sızmanın kaynağı neredeyse hiç “dışarıdan
zorla girme” değildi — çalınmış, sızdırılmış ya da zayıf bir kimlik bilgisiydi. 
Saldırgan bir kez o kimlikle “içeri” girdiğinde, sistem onu meşru bir kullanıcıdan
ayırt edemiyordu.

## Zero Trust’ın Çıkış Noktası

Zero Trust mimarisi, konumu (ağ içi ya da dışı) güven göstergesi olarak kullanmayı
bırakır. Her erişim talebi — kullanıcı kim, cihazı ne durumda, hangi bağlamda (konum,
zaman, risk skoru) istekte bulunuyor — ayrı ayrı değerlendirilir. “İçeride olmak”
artık otomatik onay anlamına gelmiyor.

Bunu pratikte dört bileşen üzerinden kuruyoruz: [Entra ID](https://musti.org/category/microsoft-entra-id/)
üzerinden her erişimde zorunlu MFA; [Intune](https://musti.org/category/microsoft-intune/)
ile yönetilmeyen veya uyumsuz cihazların otomatik kısıtlanması; ağı tek bir geniş“
içeri” alanı yerine birbirinden izole küçük bölgelere ayıran mikro segmentasyon;
ve bir oturumun ortasında bile risk sinyali görülürse erişimi yeniden değerlendiren
sürekli izleme.

## Peki VPN Tamamen Devre Dışı mı Kalıyor?

Hayır, ama rolü kökten değişiyor. “Ağa genel erişim” veren geleneksel VPN’in yerini,
kullanıcıyı doğrudan ihtiyaç duyduğu tek bir uygulamaya bağlayan kimlik doğrulamalı
erişim çözümleri (ZTNA) almaya başladı. Fark şurada: eskiden “bir kez içeri gir,
her şeye eriş” mantığı vardı; şimdi her erişim ayrı ayrı doğrulanıyor.

## Bir Gecede Olmuyor

Zero Trust’a toptan geçiş gerçekçi bir hedef değil. Kademeli bir sıra izlemek daha
güvenli sonuç veriyor: önce MFA’yı tüm kritik sistemlerde zorunlu kılmak, ardından
cihaz uyumluluğu şartına dayalı koşullu erişim politikalarını devreye almak, son
olarak ağ segmentasyonunu adım adım sıkılaştırmak. Her aşama kendi başına değer 
üretiyor — hepsinin aynı anda bitmesini beklemeye gerek yok.

Sonuçta bu bir ürün satın alarak “tamamlanan” bir proje değil; kimlik, cihaz ve 
ağ katmanlarında sürekli doğrulamayı norm haline getiren bir mimari yaklaşım. “İçeride
= güvenli” varsayımının artık geçerli olmadığı bir tehdit ortamında, bu dönüşümü
ertelemenin maliyeti gün geçtikçe artıyor.