Kurumsal ağlarda VLAN segmentasyonu nedir? Misafir, muhasebe, kamera ve fabrika ağlarını izole etme, siber yayılımı durdurma rehberini keşfedin. İnceleyin.
Hızlı Özet (TL;DR)
Sanayi tesislerinde ve kurumsal ofislerde karşılaşılan en tehlikeli altyapı zaafiyeti, tüm bilgisayarları, ERP sunucularını, IP güvenlik kameralarını, üretimdeki CNC/PLC tezgahlarını ve hatta misafirlerin cep telefonlarını tek bir düz ağda (Flat Network — örneğin 192.168.1.0/24 IP bloğunda) çalıştırmaktır. Bu düz mimaride, misafir Wi-Fi ağına bağlanan virüslü bir telefon veya varsayılan şifresi unutulmuş bir IP kamera üzerinden siber saldırganlar, muhasebe sunucularına ve yedekleme ünitelerine hiçbir güvenlik duvarı engeline takılmadan doğrudan erişebilir (Yanal Hareket / Lateral Movement). Çözüm, IEEE 802.1Q VLAN (Virtual Local Area Network) standardı ile fiziksel ağı mantıksal olarak birbirinden tamamen izole edilmiş güvenlik bölmelerine ayırmaktır.
Düz Ağ (Flat Network) Mimarisinin 3 Büyük Riski
Yönetilebilir olmayan (Unmanaged) ucuz kenar anahtarlarla (Switch) büyütülmüş düz bir şirket ağında üç temel operasyonel ve siber kriz kaçınılmazdır:
- Fidye Yazılımı (Ransomware) Domino Etkisi: Herhangi bir departmandaki tek bir bilgisayara oltalama (Phishing) e-postasıyla bulaşan fidye yazılımı, aynı yayın alanında (Broadcast Domain) bulunan tüm açık SMB paylaşımlarını, diğer departman bilgisayarlarını ve sunucuları dakikalar içinde tarayarak şifreler.
- Ağ Tıkanıklığı ve Broadcast Fırtınaları (Broadcast Storm): Fabrika genelindeki 200 bilgisayar, 80 adet yüksek çözünürlüklü IP kamera ve onlarca el terminali aynı alt ağda çalıştığında, ARP ve yayın (Broadcast) paketleri tüm switch portlarını meşgul eder. Bunun sonucunda ERP ekranlarında donmalar ve barkod okuyucularda kopmalar yaşanır.
- Erişim Kontrolü ve Görünürlük Kaybı: Aynı VLAN içindeki iki cihaz birbirleriyle konuşurken trafik güvenlik duvarına (Firewall) uğramadan doğrudan L2 Switch üzerinden geçer. Dolayısıyla bilgi işlem ekibi kimin hangi sunucuya eriştiğini göremez ve kısıtlayamaz.
IEEE 802.1Q VLAN Etiketleme (Tagging) Nasıl Çalışır?
VLAN teknolojisi, tek bir fiziksel ağ anahtarı (Managed Switch) ve tek bir fiber/bakır kablo omurgası üzerinde birden fazla sanal ve birbirinden habersiz yerel ağ oluşturmayı sağlar. IEEE 802.1Q protokolü, Ethernet çerçevelerinin (Frames) başlığına 4 baytlık bir VLAN ID etiketi (1 ile 4094 arası) ekler:
- Access (Erişim) Portları: Son kullanıcı bilgisayarlarının, yazıcıların veya CNC tezgahlarının bağlandığı portlardır. Sadece tek bir VLAN ID’ye (örneğin Üretim için VLAN 30) üyedir ve bağlı cihaz VLAN etiketinden habersizdir.
- Trunk (Omurga) Portları: Switch’lerin birbirine, kablosuz erişim noktalarına (Access Point) ve güvenlik duvarına bağlandığı ana hatlardır. Birden fazla VLAN’ın trafiğini etiketli (Tagged) olarak aynı kablo üzerinden birbirine karıştırmadan taşır.
Bir İşletmede Bulunması Gereken Asgari 6 VLAN Alanı
Endüstriyel bir işletmede veya kurumsal yapıda Sıfır Güven (Zero Trust) prensibine göre kurgulanması gereken standart VLAN mimarisi aşağıdaki gibidir:
| VLAN Adı | Örnek VLAN ID | Alt Ağ (Subnet) | Kapsadığı Cihazlar | Güvenlik Duvarı Erişim Politikası |
|---|---|---|---|---|
| Yönetim (Management) | VLAN 10 | 10.10.10.0/24 | Switch arayüzleri, iDRAC/iLO, ESXi/Proxmox, AP yönetim | Yalnızca IT yöneticisinin kriptolu bilgisayarından erişilebilir, internete kapalı |
| Sunucu Çiftliği (Servers) | VLAN 20 | 10.10.20.0/24 | Active Directory, ERP, SQL Veritabanı, Dosya Sunucusu | Kullanıcı VLAN’larından sadece gerekli uygulama portlarına (IPS aktif) izin verilir |
| Kurumsal Ofis & İdari | VLAN 30 | 10.10.30.0/24 | Muhasebe, Satınalma, Mühendislik bilgisayarları | Sunucu VLAN’a yetki bazlı erişim ve filtrelenmiş güvenli internet çıkışı |
| Üretim & OT Sahası | VLAN 40 | 10.10.40.0/24 | CNC tezgahları, PLC, HMI paneller, Kiosk ve Barkodlar | İnternete tamamen kapalı, sadece MES/ERP veri toplama portuna tek yönlü izin |
| IP Kamera & IoT (CCTV) | VLAN 50 | 10.10.50.0/24 | IP kameralar, NVR kayıt cihazları, PDKS turnikeleri | İnternete ve şirket içi tüm sunucu/ofis ağlarına %100 kapalı (Tam İzolasyon) |
| Misafir (Hotspot) | VLAN 60 | 172.16.60.0/24 | Ziyaretçi telefonları, tedarikçi dizüstü bilgisayarları | Yalnızca 5651 doğrulamalı internete çıkış; yerel ağlara erişim kesinlikle yasak |
Güvenlik Duvarı Üzerinden VLAN Yönlendirme (Inter-VLAN Routing)
Ağ segmentasyonunun gerçek güvenlik değerini ürettiği nokta Inter-VLAN Routing (VLAN’lar arası yönlendirme) katmanıdır. VLAN’lar oluşturulduktan sonra her bir VLAN’ın varsayılan ağ geçidi (Default Gateway) olarak L3 Switch yerine doğrudan kurumsal yeni nesil Güvenlik Duvarı (Firewall) yapılandırılır.
Bu mimari sayesinde, Ofis VLAN’ındaki (VLAN 30) bir bilgisayar Sunucu VLAN’ındaki (VLAN 20) ERP veritabanına erişmek istediğinde, paketler mutlaka güvenlik duvarının içinden geçmek zorunda kalır. Güvenlik duvarı bu trafiği inceler; yalnızca izin verilen TCP portuna (örneğin SQL portu) geçit verirken, olası bir istismar paketini IPS (Saldırı Önleme Sistemi) motoruyla havada yakalar ve engeller.
Üretim (OT) ve Misafir Ağlarında Özel İzolasyon Tedbirleri
1. OT / Endüstriyel Ağların Purdue Modeline Göre Ayrılması
Fabrikalarda eski işletim sistemleriyle (Windows XP/7 Embedded) çalışan CNC tezgahları ve dışarıdan bakım için bağlanan PLC’ler siber saldırılara karşı en kırılgan noktalardır. OT VLAN’ı kurularak üretim makineleri ofis ağından tamamen koparılır. Özellikle savunma ve otomotiv yan sanayi tesislerinde bu yapı Savunma Sanayii Ağ ve Siber Güvenlik standartlarının temel şartıdır.
2. Misafir Ağında İstemci İzolasyonu (Client Isolation) ve 5651 Uyumu
Misafir VLAN’ında yalnızca şirket sunucularına erişimi kapatmak yetmez; aynı zamanda misafir ağına bağlı iki ziyaretçinin telefon veya bilgisayarlarının birbirini görmesi de kablosuz erişim noktası (Access Point) üzerindeki Layer 2 Client Isolation özelliğiyle engellenmelidir. Ayrıca misafir VLAN trafiği KVKK ve 5651 Yasal Loglama kurallarına uygun olarak zaman damgasıyla kayıt altına alınmalıdır.
Karmaşıklaşan fabrika ve ofis ağınızı sıfır kesintiyle yeniden haritalandırmak, yönetilebilir switch ve güvenlik duvarı üzerinde uçtan uca VLAN segmentasyonu kurmak için uzman sistem mühendislerimizden destek alabilirsiniz.
Sıkça Sorulan Sorular
Mevcut düz ağımızı (Flat Network) VLAN yapısına geçirirken kabloları yenilememiz gerekir mi?
Hayır. VLAN teknolojisi mantıksal bir ayrım yaptığı için mevcut CAT6 bakır kablolarınızı ve fiber optik hatlarınızı değiştirmeye gerek yoktur. Yalnızca merkezde ve kenar noktalarda IEEE 802.1Q destekli yönetilebilir (Managed) ağ anahtarlarının ve VLAN destekli bir güvenlik duvarının bulunması yeterlidir.
Kablosuz ağda (Wi-Fi) tek bir Access Point üzerinden birden fazla VLAN yayınlanabilir mi?
Evet. Kurumsal sınıf Access Point cihazları Multi-SSID to VLAN Mapping özelliğine sahiptir. Tek bir cihaz üzerinden “Sirket_Personel” (VLAN 30), “El_Terminalleri” (VLAN 40) ve “Misafir_WiFi” (VLAN 60) olmak üzere farklı Wi-Fi isimleri yayınlanabilir ve bağlanan her cihaz otomatik olarak kendi izole VLAN tüneline düşer.
VLAN segmentasyonu ağ hızını yavaşlatır mı yoksa hızlandırır mı?
Ağ hızını yavaşlatmak bir yana, belirgin şekilde hızlandırır. Tüm cihazların aynı ağda yarattığı gereksiz yayın (Broadcast) ve kamera trafiği kendi küçük VLAN bölmelerine hapsedildiği için, ERP ve dosya sunucusu trafiğinin aktığı ana hatlar rahatlar ve paket gecikme süreleri (Latency) minimuma iner.