Güvenlik duvarı seçerken nelere dikkat edilmeli? Firewall throughput, IPS hızı, SSL-VPN kapasitesi, kullanıcı sayısı ve doğru donanım seçim rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Bir işletme veya üretim tesisi için güvenlik duvarı (Firewall) seçerken yapılan en yaygın ve en maliyetli hata, yalnızca cihazın satış broşüründe büyük puntolarla yazan “Ham Güvenlik Duvarı Hızı”na (Raw Firewall Throughput) veya tahmini “kullanıcı sayısına” bakarak karar vermektir. Oysa modern bir Yeni Nesil Güvenlik Duvarı (NGFW / UTM), gerçek saha koşullarında yalnızca basit Katman 3/4 port yönlendirmesi yapmaz; ağ geçidi antivirüs taraması, IPS saldırı önleme, Uygulama Kontrolü (Katman 7 DPI) ve SSL/TLS şifreli trafik denetimi gibi ağır işlemci (CPU) ve bellek (RAM) gerektiren güvenlik motorlarını aynı anda yürütür. Doğru kapasitede boyutlandırılmayan bir cihaz, mesai başladığında %100 CPU kullanımına ulaşarak paket düşürmeye (packet drop) başlar, VPN bağlantılarını koparır ve tüm fabrikanın internet erişimini darboğaza sokar.
Broşür Verisi vs Saha Gerçeği: Raw Throughput Neden Yanıltıcıdır?
Güvenlik duvarı üreticilerinin veri sayfalarında (datasheet) ilk satırda yer alan “10 Gbps Firewall Throughput” gibi değerler, laboratuvar ortamında tüm güvenlik filtreleri kapalıyken ve maksimum boyutlu (1518 byte) UDP paketleri tek yönlü akıtılırken ölçülen teorik sınır hızlardır. Gerçek bir kurumsal ağda ise trafik akışı IMIX (Internet Mix) adı verilen; 64 byte’lık küçük TCP el sıkışma (SYN/ACK) paketlerinden, DNS sorgularından ve 1500 byte’lık dosya aktarımlarından oluşan karmaşık bir yapıya sahiptir.
Cihaz üzerinde güvenlik katmanları devreye alındığında donanım kapasitesinin nasıl değiştiğini anlamak için şu üç darboğaz noktası mutlaka hesaba katılmalıdır:
- Derin Paket İnceleme (DPI - Deep Packet Inspection): Cihaz artık sadece paketin başlığındaki IP ve port bilgisine bakmaz; paketin yükünü (payload) açarak bunun bir ERP verisi mi, WhatsApp sesli araması mı yoksa gizlenmiş bir fidye yazılımı komutu mu olduğunu analiz eder. Bu işlem ham throughput değerini anında %50 ila %70 oranında düşürür.
- SSL/TLS Şifre Çözme (SSL Inspection): Günümüzde kurumsal internet trafiğinin %90’ından fazlası HTTPS (TLS 1.3) ile şifrelidir. Güvenlik duvarının şifreli paket içindeki zararlı yazılımı yakalayabilmesi için paketin şifresini çözmesi, taraması ve tekrar şifreleyerek istemciye iletmesi gerekir. Kriptografik donanım hızlandırması (ASIC / AES-NI) zayıf olan cihazlarda SSL Inspection açıldığında hız %80’e varan oranda düşebilir.
- 5651 Loglama ve Korelasyon Yükü: Türkiye’deki işletmeler için yasal zorunluluk olan 5651 sayılı kanun kapsamında her yerel IP dağıtımının (DHCP) ve her oturum hareketinin (NAT/Web logu) kaydedilip imzalanması, cihazın hem işlemcisini hem de disk G/Ç (IOPS) kapasitesini sürekli meşgul eder.
İncelenmesi Zorunlu 6 Kritik Donanım Metriği
Bir güvenlik duvarı şartnamesi hazırlarken veya teklifleri karşılaştırırken veri sayfasında (datasheet) doğrudan incelenmesi gereken teknik parametreler şunlardır:
| Donanım Parametresi | Teknik Anlamı | Darboğaz Olduğunda Yaşanan Sorun | KOBİ ve Fabrika İçin Asgari Kriter |
|---|---|---|---|
| UTM / Threat Protection Hızı | AV + IPS + Uygulama Kontrolü + Web Filtreleme aynı anda açıkken gerçek hız | İnternet hattı 500 Mbps olsa bile hızın 80 Mbps’ye düşmesi | Şirketin mevcut + 3 yıl içinde planlanan toplam WAN (Metro/Fiber) hızının en az 1.5 katı olmalıdır |
| IPS (Saldırı Önleme) Hızı | Paketlerin binlerce zafiyet imzasıyla gerçek zamanlı karşılaştırılma kapasitesi | Ağ içi VLAN’lar arası geçişte (Inter-VLAN) gecikme (latency) artışı | WAN hızının en az 2-3 katı olmalı; iç ağ segmentasyonu yapılacaksa Gigabit seviyesinde seçilmelidir |
| Eşzamanlı Oturum (Concurrent Sessions) | Cihazın durum tablosunda (State Table / RAM) aynı anda tutabileceği aktif bağlantı sayısı | Tablo dolduğunda yeni web sayfalarının açılmaması ve ERP kopmaları | Toplam aktif uç nokta (PC + Mobil + IoT) $\times$ ortalama 500–1.000 oturum güvenlik payıyla hesaplanmalıdır |
| Saniyedeki Yeni Bağlantı (CPS) | Cihazın saniyede kurabildiği yeni TCP/UDP oturum sayısı (Connections Per Second) | Sabah mesai başlangıcında veya bulut senkronizasyonunda yavaşlama | Yoğun SaaS (Office 365, bulut ERP) kullanan 100 kişilik bir şirkette minimum 15.000 - 25.000 CPS |
| IPsec / SSL-VPN Throughput | Şubeler arası (Site-to-Site) ve mobil personelin şifreli tüneldeki veri aktarım hızı | Uzaktan çalışanların ortak dosya sunucusuna erişirken bağlantı kopması | Eşzamanlı VPN kullanıcı sayısı ve şube kamera/ERP trafiğinin toplam bant genişliğini aşmalıdır |
| Fiziksel Port ve Depolama | Cihaz üzerindeki 1GbE RJ45, 2.5GbE ve 10GbE SFP+ fiber port sayısı ile SSD kapasitesi | Yedek internet hattı bağlayamama veya log diskinde doluluk hatası | Çoklu WAN (Load Balance) ve omurga switch bağlantısı için yeterli port + dahili kurumsal SSD |
“Kullanıcı Sayısı” Yanılgısı: Fabrikalarda Aktif Cihaz Hesabı Nasıl Yapılır?
Satın alma süreçlerinde sıklıkla “Şirketimizde 50 bilgisayar var, öyleyse 50 kullanıcılık bir firewall yeterlidir” şeklinde hatalı bir varsayım yapılır. Oysa modern bir imalat tesisi veya kurumsal ofiste güvenlik duvarından IP alan ve oturum açan cihaz sayısı, masa başı personel sayısının 3 ila 5 katıdır:
- Beyaz Yaka Personel Cihazları: 50 çalışanın her birinde 1 adet dizüstü/masaüstü bilgisayar ve şirket Wi-Fi ağına bağlı 1 adet akıllı telefon bulunur (100 cihaz).
- Üretim Sahası ve OT Cihazları: CNC tezgahları, PLC kontrol üniteleri, el terminalleri (barkod okuyucular), dokunmatik MES/kiosk ekranları ve endüstriyel yazıcılar (30-50 cihaz).
- Fiziksel Güvenlik ve Bina Otomasyonu: IP güvenlik kameraları, NVR kayıt cihazları, PDKS yüz tanıma/kartlı geçiş turnikeleri, IP telefon santrali ve masaüstü IP telefonlar (40-80 cihaz).
- Misafir Ağı (Hotspot): Gün içinde fabrikayı ziyaret eden denetçiler, tedarikçiler ve müşteriler (15-30 cihaz).
Görüldüğü üzere “50 kişilik” bir fabrikada güvenlik duvarının arkasında aslında 200’den fazla aktif IP adresi bulunmaktadır. Üstelik Windows güncellemeleri, OneDrive/SharePoint senkronizasyonları ve bulut tabanlı uygulamalar tek bir bilgisayarda bile aynı anda 300-400 adet TCP oturumu açmaktadır.
İşletmenizin gerçek cihaz envanterine ve internet hızına en uygun modeli belirlemek için Güvenlik Duvarı Seçim Rehberi makalemizi ve kurumsal Güvenlik Duvarı (Firewall) Çözümleri sayfamızı inceleyebilirsiniz.
Ağ Topolojisi, VLAN Segmentasyonu ve Yüksek Erişilebilirlik (HA)
Güvenlik duvarı yalnızca şirketi dış dünyaya (İnternet/WAN) bağlayan bir sınır kapısı değildir; aynı zamanda iç ağdaki farklı güvenlik bölgelerini (VLAN) birbirinden ayıran İç Segmentasyon Güvenlik Duvarı (ISFW) görevini üstlenir.
Inter-VLAN Yönlendirme ve 10GbE SFP+ İhtiyacı
Üretim ağı (OT), Muhasebe/ERP sunucu ağı, İdari personel ağı ve Misafir Wi-Fi ağı farklı VLAN’lara ayrıldığında; idari ağdaki bir bilgisayarın sunucu VLAN’ındaki ERP veritabanına veya dosya sunucusuna erişimi güvenlik duvarı üzerinden denetleniyorsa, iç ağdaki Gigabit trafiği de firewall işlemcisinden geçer. Bu mimaride cihaz üzerinde mutlaka SFP/SFP+ fiber portlar veya Port Birleştirme (LACP / Link Aggregation) desteği bulunmalı, omurga anahtar (Core Switch) ile güvenlik duvarı arasındaki bağlantı darboğaz yaratmamalıdır.
Aktif-Pasif (Active-Passive) Donanım Yedekliliği (High Availability)
7/24 vardiya usulü çalışan fabrikalarda, lojistik merkezlerinde ve e-fatura/ERP sistemleri dışarıya açık olan işletmelerde tek bir güvenlik duvarı donanımı Tek Hata Noktasıdır (Single Point of Failure). Adaptör arızası, anakart yanması veya yıldırım düşmesi durumunda tüm fabrikanın iletişimi durur. Kurumsal süreklilik için iki özdeş güvenlik duvarı Active-Passive HA (Yüksek Erişilebilirlik) modunda konumlandırılır; ana cihazda donanımsal bir arıza yaşandığı anda yedek cihaz tüm IP adreslerini, VPN tünellerini ve kural tablosunu milisaniyeler içinde devralarak kesintisiz çalışmayı sürdürür.
İşletme Ölçeğine Göre Berqnet Kapasite Eşleştirmesi
Yerli üretim, TRtest onaylı ve dahili 5651 yasal loglama/Hotspot modüllerine sahip Berqnet Güvenlik Duvarı ailesinde saha mühendisliği deneyimlerimize göre önerilen kapasite aralıkları şöyledir:
- 10 – 40 Aktif Cihaz (Küçük Ofis / Atölye): Berqnet BQ25 veya BQ60 serisi. Tek veya çift internet hattı, temel SSL-VPN ve yasal loglama ihtiyaçları için dengeli donanım sunar.
- 40 – 120 Aktif Cihaz (KOBİ / Tek Lokasyonlu Fabrika): Berqnet BQ100 serisi. Çoklu VLAN yapısı, aktif IPS/Antivirüs filtrelemesi, şube IPsec VPN bağlantıları ve yüksek eşzamanlı oturum kapasitesi sağlar.
- 120 – 300+ Aktif Cihaz (Orta ve Büyük Ölçekli Sanayi Tesisleri): Berqnet BQ200, BQ300 ve üzeri Rackmount kurumsal modeller. Yüksek hızlı Metro Ethernet hatları, yoğun SSL-VPN trafiği ve Active-Passive HA yedekliliği için tasarlanmıştır.
Ağınızda hem siber güvenliği hem de yasal uyumluluğu tek kutuda çözmek için KVKK ve 5651 Yasal Loglama sayfamıza göz atabilirsiniz.
Sıkça Sorulan Sorular
İnternet hızımızı 100 Mbps’den 1000 Mbps’ye (1 Gbps) çıkardık, ancak hız testinde hala 150 Mbps görüyoruz. Neden?
Bu durum, mevcut güvenlik duvarınızın UTM / Threat Protection Throughput sınırına takıldığınızın en net göstergesidir. Cihazınızın fiziksel WAN portu Gigabit (1000 Mbps) desteklese bile, içindeki işlemci gelen paketlere IPS, Antivirüs ve Uygulama Kontrolü uygularken en fazla 150 Mbps veriyi işleyebilmektedir. Hattınızın gerçek hızını güvenlikten ödün vermeden kullanabilmek için UTM/IPS kapasitesi 1 Gbps üzerinde olan üst model bir güvenlik duvarına geçiş yapılmalıdır.
Güvenlik duvarı seçerken “Lisanssız Donanım” kullanmak güvenli midir?
Hayır. Bir NGFW/UTM güvenlik duvarının yıllık güvenlik lisansları (IPS imzaları, Ağ Geçidi Antivirüs veritabanı, Web Filtreleme kara listeleri ve Uygulama Kontrolü güncellemeleri) sona erdiğinde cihaz körleşir. Sıfırıncı gün (Zero-day) saldırılarını, yeni çıkan fidye yazılımı komuta-kontrol (C2) sunucularını ve zararlı oltalama sitelerini tanıyamaz; yalnızca basit bir modem/router gibi port yönlendirmesi yapabilir.
Şubeler arası bağlantıda IPsec VPN mi yoksa SSL-VPN mi kapasiteyi daha verimli kullanır?
Merkez ile şubeler veya fabrikalar arasındaki sabit noktadan noktaya (Site-to-Site) bağlantılarda IPsec VPN çok daha yüksek performanslıdır; çünkü modern güvenlik duvarları IPsec şifrelemesini (AES-GCM) doğrudan donanımsal kriptografi hızlandırıcı çipler üzerinde işler. SSL-VPN ise saha satış ekibi, yöneticiler veya teknik destek personelinin dizüstü bilgisayarlarından (Client-to-Site) ağa güvenli bağlanması için tercih edilmelidir.