Kurumsal güvenlik duvarlarında çift internet hattı (Metro Ethernet ve yedek fiber/LTE) yük dengeleme, SD-WAN uygulama yönlendirme ve otomatik failover.
Hızlı Özet (TL;DR)
Modern bir fabrikanın veya çok şubeli işletmenin tüm dış dünya iletişimi; e-Fatura/e-İrsaliye entegrasyonları, bulut ERP bağlantıları, IP telefon (VoIP) santralleri, şubeler arası VPN tünelleri ve müşteri portalları tek bir güvenlik duvarı (Firewall) ve internet hattı üzerinden akar. Eğer sistem odasındaki o tek güvenlik duvarının güç kaynağı arızalanır ya da organize sanayi bölgesindeki bir kazı çalışması sırasında ana fiber kablo koparsa; tüm fabrika internetsiz kalır, sevkiyat irsaliyeleri kesilemez ve üretim operasyonları felç olur. Yüksek Erişilebilirlik (High Availability - HA Cluster) donanım yedekliliği ile Çift İnternet Hattı (Dual-WAN) ve SD-WAN Trafik Yönetimi, hem cihaz arızalarına hem de servis sağlayıcı (ISS) kesintilerine karşı sıfır duruşlu (Zero-Downtime) bir ağ mimarisi inşa eder.
Tekil Nokta Arızası (Single Point of Failure) Neden Kabul Edilemez?
Sanayi kuruluşlarında saha operasyonları artık tamamen gerçek zamanlı veri akışına bağımlıdır. Depoda el terminaliyle okutulan barkodun merkezdeki ERP ve üretim takip yazılımı sunucusuna ulaşması, GİB (Gelir İdaresi Başkanlığı) üzerinden anlık e-İrsaliye onayı alınmadan tırların fabrika kapısından çıkamaması ve müşteri siparişlerinin B2B portalından akması saniyelik kesintilere dahi tahammül bırakmamaktadır.
Tek bir internet hattına ve tek bir güvenlik duvarı cihazına güvenmek, tüm bu operasyonu pamuk ipliğine bağlamaktır:
- Servis Sağlayıcı (ISS) Kaynaklı Kopmalar: Fiber optik saha dolaplarındaki arızalar, altyapı kazıları veya operatörün merkez omurgasındaki BGP yönlendirme sorunları saatlerce sürebilir.
- Donanım ve Güç Kaynaklı Arızalar: Güvenlik duvarı cihazının adaptörünün yanması, SSD diskinin bozulması veya yazılım güncellemesi (Firmware Upgrade) sırasındaki yeniden başlatmalar tüm yerel ağı dış dünyadan koparır.
- Bant Genişliği Tıkanıklığı (Congestion): Personelin büyük boyutlu CAD dosyaları indirmesi veya bulut yedeklemelerinin çalışması sırasında VoIP ses paketlerinin gecikmesi (Jitter) ve ERP ekranlarının donması.
Çift WAN (Dual-WAN) ve SD-WAN Çalışma Modlarının Karşılaştırması
Bir kurumsal güvenlik duvarı üzerine iki veya daha fazla farklı internet hattı bağlandığında, bu hatların nasıl kullanılacağı işletmenin önceliklerine göre üç farklı mimaride kurgulanır:
| WAN Yönetim Modu | Teknik Çalışma Mekanizması | Bant Genişliği Kullanımı | Kesinti Anında Geçiş (Failover) | En Uygun Kurumsal Senaryo |
|---|---|---|---|---|
| Active-Backup (Failover / Yedekli Hat) | Tüm trafik birincil hattan (Örn. Metro Ethernet) akar; ikincil hat (Örn. 4.5G/5G LTE veya VDSL) yalnızca birincil hat koptuğunda devreye girer. | Sadece 1. hat kapasitesi kullanılır; 2. hat beklemededir. | 1 – 3 Saniye (Ping/DNS Health Check sonrası otomatik geçiş). | İkinci hattın kotalı (GSM/LTE) veya düşük hızlı olduğu, sadece acil durum sürekliliği aranan tesisler. |
| Ağırlıklı Yük Dengeleme (Weighted Load Balancing) | Her iki hat aynı anda aktiftir; oturumlar hatların kapasite oranına göre (Örn. 100 Mbps ve 50 Mbps için 2:1 oranında) dağıtılır. | Her iki hattın toplam kapasitesi (%100 verimle) kullanılır. | Anlık (Kopan hattaki oturumlar saniyeler içinde sağlam hatta aktarılır). | İki farklı operatörden (Örn. Türk Telekom + Turkcell Superonline) simetrik/asimetrik sınırsız fiber alan işletmeler. |
| SD-WAN Uygulama ve Politika Tabanlı Yönlendirme | Trafik uygulama türüne, kaynak VLAN’a ve hat kalitesine (Latency, Jitter, Packet Loss) göre dinamik olarak en uygun hatta yönlendirilir. | Akıllı optimizasyon; kritik iş trafiğine garantili koridor açılır. | Milisaniyeler içinde (Paket kaybı eşiği aşıldığı anda hat tamamen kopmadan geçiş). | ERP, VoIP, IPsec VPN ve misafir internet trafiğini birbirinden izole etmek isteyen kurumsal fabrikalar. |
Metro Ethernet + Alternatif Fiber / 4.5G-5G LTE Hibrit Mimarisi
Gerçek bir hat yedekliliği (Redundancy) sağlamak için alınan iki internet hattının fiziksel olarak aynı saha dolabından ve aynı yeraltı borusundan (Duct) geçmemesi gerekir. Eğer hem ana hattınız hem de yedek hattınız aynı operatörün aynı sokaktaki fiber kablosunu kullanıyorsa, bir kepçe darbesinde her iki hat da aynı anda kopacaktır.
Maysa Yazılım saha mühendisliği standartlarında önerilen ideal Dual-WAN kombinasyonu şöyledir:
- Hat 1 (Birincil Ana Omurga): Simetrik hız, düşük gecikme (1–3 ms) ve statik IP bloğu sunan kurumsal Metro Ethernet veya noktadan noktaya (P2P) Radyolink/Fiber bağlantı.
- Hat 2 (Bağımsız Yedek ve Yük Paylaşım Hattı): Farklı bir altyapı operatöründen alınan kurumsal Fiber/PON bağlantı ya da kablo kopmalarından tamamen bağımsız çalışan endüstriyel dış ortam antenli 4.5G/5G Kurumsal APN/LTE hattı.
SD-WAN ve SLA Sağlık Kontrolleri (Link Health Monitor) Nasıl Çalışır?
Sıradan yönlendiriciler bir internet hattının koptuğunu yalnızca fiziksel Ethernet portunun ışığı söndüğünde (Link Down) anlar. Oysa sahadaki kesintilerin %90’ında güvenlik duvarı ile fiber modem arasındaki kablo sağlamdır (Link Up), ancak operatör santralinde internet erişimi gitmiştir.
Berqnet güvenlik duvarı gibi yeni nesil UTM/SD-WAN cihazları, her bir WAN bacağından dış dünyadaki güvenilir hedeflere (Örn. 8.8.8.8, 1.1.1.1 veya merkez sunucu IP’si) her saniye ICMP Ping, TCP/HTTP veya DNS sorguları göndererek Canlı Hat Kalitesi Denetimi (SLA Health Check) yapar:
- Gecikme (Latency) ve Jitter İzleme: Ana hatta anlık ping süresi 150 ms’yi aşarsa veya paket kaybı (Packet Loss) %3’ün üzerine çıkarsa, hat tamamen kopmamış olsa dahi ses (VoIP) ve canlı ERP oturumları otomatik olarak temiz olan ikinci hatta kaydırılır.
- Politika Tabanlı Yönlendirme (Policy-Based Routing - PBR): Güvenlik duvarı üzerinde yazılan SD-WAN kurallarıyla; Sunucu VLAN’ı, Muhasebe e-Fatura trafiği ve Şube VPN tünelleri garantili Metro Ethernet hattından çıkarılırken, Misafir Wi-Fi ağı, Windows/Linux güncellemeleri ve genel web gezintisi ikinci fiber hattan internete çıkarılır. Böylece bir personelin büyük bir video izlemesi fabrikanın ERP bağlantısını asla yavaşlatamaz.
- Otomatik Geri Dönüş (Failback / Preemption): Ana hatta yaşanan arıza operatör tarafından giderilip hat 60 saniye boyunca kesintisiz ve paket kayıpsız yanıt verdiğinde, kritik trafik sessizce tekrar ana Metro Ethernet hattına geri toplanır.
Donanım Yedekliliği: Active-Passive HA (High Availability) Cluster
İnternet hatlarını yedeklemek denklemin sadece yarısıdır; bu hatların sonlandığı güvenlik duvarı cihazının kendisi de yedeklenmelidir. Active-Passive HA Cluster mimarisinde, sistem odasına birebir aynı model iki adet güvenlik duvarı kurulur ve aralarında özel bir Heartbeat (Kalp Atışı ve Durum Senkronizasyonu) kablosu bağlanır.
Birincil (Master) cihaz tüm ağ trafiğini, 5651 yasal loglama kayıtlarını ve saldırı önleme (IPS) kurallarını yürütürken; İkincil (Standby) cihaz tüm yapılandırmayı, DHCP tablosunu ve aktif bağlantı durumlarını (Stateful Session Table) gerçek zamanlı kopyalar. Master cihazda donanımsal bir arıza oluştuğu anda, Standby cihaz VRRP/CARP sanal MAC ve IP adresini 1-2 saniye içinde devralır; iç ağdaki hiçbir bilgisayarda ağ geçidi (Gateway) değişmez ve iş sürekliliği kesintisiz devam eder.
Fabrikanızda kesintisiz internet, SD-WAN ve yedekli güvenlik duvarı mimarisi kurmak için Güvenlik Duvarı (Firewall) Çözümleri ve Berqnet Güvenlik Duvarı sayfalarımızı ziyaret edebilirsiniz.
Sıkça Sorulan Sorular
Ana internet hattımız koptuğunda dışarıdan sunucularımıza gelen bağlantılar (Web, ERP, Uzak Masaüstü) yedek hattan çalışmaya devam eder mi?
Evet. Dışarıdan içeriye gelen (Inbound) bağlantıların her iki hattan da kesintisiz çalışabilmesi için her iki internet hattında da Statik IP bulunmalıdır. Güvenlik duvarı üzerinde hem 1. WAN hem de 2. WAN IP adresleri için aynı Port Yönlendirme (DNAT) ve güvenlik kuralları tanımlanır. Ayrıca kurumsal alan adlarınızda DNS Failover (Düşük TTL’li A Kaydı) veya çift hedef tanımlı SSL/IPsec VPN profilleri kullanılarak, dışarıdaki saha personelinin ve şubelerin ana hat kopsa dahi saniyeler içinde yedek IP üzerinden merkeze bağlanması sağlanır.
İki internet hattını birleştirerek tek bir indirme işleminde iki hattın toplam hızını (Örn. 100 + 100 = 200 Mbps) görebilir miyiz?
Standart Çift WAN yük dengeleme (Load Balancing), Oturum Bazlı (Session-Based) çalışır. Yani tek bir TCP bağlantısı sadece tek bir internet hattının IP adresinden çıkabilir (100 Mbps); ancak aynı anda 50 personel ve sunucu internete çıktığında oturumlar iki hatta dengeli dağıldığı için şirket toplamda 200 Mbps kapasiteyi tam verimle kullanır. Ayrıca çoklu bağlantı (Multi-thread) destekleyen indirme ve bulut senkronizasyon işlemlerinde her iki hattın toplam hızına ulaşılır.
Bankacılık siteleri ve e-Devlet/GİB portalları çift internet hattı kullanırken “IP adresiniz değişti” diyerek oturumu kapatır mı?
Yanlış yapılandırılmış yük dengeleme sistemlerinde kullanıcının bir paketi 1. hattan, diğer paketi 2. hattan çıkarsa bankacılık sistemleri güvenlik gerekçesiyle oturumu sonlandırır. Kurumsal güvenlik duvarlarımızda uyguladığımız Kaynağa/Hedefe Göre Yapışkan Oturum (Sticky Sessions / Source-Destination Hashing) ve HTTPS (Port 443) Kural Sabitlemesi sayesinde, bir kullanıcının başlattığı güvenli oturum bitene kadar tüm paketleri aynı WAN hattı üzerinden yönlendirilir ve hiçbir kopma yaşanmaz.