Kurumsal ağlarda bant genişliği yönetimi (QoS) ve internet hızı optimizasyonu: Trafik önceliklendirme, ERP ve VoIP garantisi uygulama rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Bir ofiste veya fabrikada tek bir personelin büyük bir dosya indirmesi, yüksek çözünürlüklü video izlemesi, buluta yedek göndermesi veya arka planda işletim sistemi güncellemesi başlatması; tüm şirketin internetini yavaşlatarak muhasebenin e-fatura kesememesine, IP telefonlarda (VoIP) ses kesilmelerine ve ERP sorgularının donmasına neden olabilir. QoS (Quality of Service - Hizmet Kalitesi) ve Bant Genişliği Yönetimi (Traffic Shaping), güvenlik duvarı üzerinde trafiği önem derecesine göre sınıflandırarak kritik iş uygulamalarına öncelik ve hız garantisi tanımlama sanatıdır.
“İnternetimiz Çok Yavaş” Şikayetinin Gerçek Kök Nedeni: Bufferbloat ve Hat Doygunluğu
Kurumsal işletmelerde internet kesintisi veya yavaşlığı yaşandığında ilk refleks genellikle internet servis sağlayıcıyı (ISP) arayıp paket hızını 100 Mbps’den 500 Mbps’ye çıkarmak olur. Ancak sahada yaptığımız ağ analizlerinde, 1 Gbps simetrik Metro Ethernet hattına sahip fabrikalarda dahi ERP kopmaları ve IP santralde ses kırılmaları yaşandığını görüyoruz. Bunun temel mühendislik nedeni toplam hızın yetersizliği değil, yönetilmeyen bant genişliği ve kuyruk gecikmesidir (Bufferbloat).
Standart (yönetimsiz) bir ağda tüm veri paketleri güvenlik duvarına veya modeme geldiğinde “İlk Gelen İlk Çıkar” (FIFO - First In, First Out) mantığıyla işlenir. Ar-Ge departmanındaki bir mühendis 20 GB boyutunda bir CAD montaj dosyasını indirirken veya bir bilgisayar Windows 11 güncellemesi çekerken TCP protokolü hattın %100’ünü dolduracak şekilde genişler. Tam o saniyede üretim sahasındaki bir barkod okuyucunun ERP sunucusuna gönderdiği 5 kilobaytlık kritik stok paketi veya genel müdürün Zoom toplantısındaki ses paketi, devasa indirme kuyruğunun arkasında beklemek zorunda kalır. Milisaniyeler içinde iletilmesi gereken gerçek zamanlı paketlerin kuyrukta 300-500 ms beklemesi; sesin robotlaşmasına, uzak masaüstü (RDP) ekranlarının donmasına ve veritabanı bağlantılarının zaman aşımına (Timeout) düşmesine yol açar.
Katman 7 (Uygulama Katmanı) Trafik Analizi ve QoS Mimarisi
Geleneksel yönlendiriciler yalnızca IP adresi ve port numarasına (Katman 3/4) bakarak hız sınırlaması yapabilir. Oysa günümüzde hem kritik bulut ERP yazılımları hem de YouTube, Netflix ve dosya paylaşım siteleri aynı standart port (TCP 443 - HTTPS) üzerinden şifreli olarak çalışmaktadır.
Bu noktada yeni nesil Berqnet güvenlik duvarı ve UTM sistemlerinde bulunan DPI (Deep Packet Inspection - Derin Paket İnceleme) motoru devreye girer. Güvenlik duvarı TCP 443 trafiğinin içindeki uygulama imzasını okuyarak; hangi paketin Microsoft Teams sesli görüşmesi, hangisinin SAP/Logo ERP verisi, hangisinin ise arka planda çalışan bir Steam oyun güncellemesi veya sosyal medya videosu olduğunu anında ayırt eder.
Öncelik Hiyerarşisi Nasıl Kurgulanmalıdır?
Kurumsal bir güvenlik duvarı üzerinde bant genişliği, iş sürekliliği kritiklik derecesine göre 4 temel sınıfa (Queue / Pipe) ayrılır:
| Öncelik Seviyesi | Trafik Türü ve Uygulama Sınıfı | Bant Genişliği Kuralı (Guaranteed / Max) | Ağ Kuyruk Davranışı ve Gecikme Hedefi |
|---|---|---|---|
| 1. Öncelik (Kritik / Gerçek Zamanlı) | IP Santral / VoIP Ses Trafiği (SIP/RTP), Video Konferans (Teams, Zoom) | Asgari %20 Hat Garantisi (Düşük Gecikme Kuyruğu - LLQ) | Asla kesintiye uğramaz; gecikme (<30 ms) ve paket dalgalanması (jitter <10 ms) sıfırlanır |
| 2. Öncelik (Yüksek / İş Kritik) | İmalat ERP, CRM, MES, SSL-VPN, Bankacılık, E-Fatura ve GİB Portalları | Asgari %40 Hat Garantisi, Boşta %90’a Kadar Esneme | Yoğun saatlerde dahi ERP sorguları, el terminalleri ve SQL trafiği takılmaz |
| 3. Öncelik (Normal / Operasyonel) | Standart Kurumsal Web Gezintisi (HTTP/HTTPS), SMTP/IMAP E-Posta Trafiği | Kalan Kapasiteyi Dinamik ve Adil Paylaşım (SFQ) | Tek bir kullanıcının tüm havuzu sömürmesi engellenir, genel iş akışı rahatça sürer |
| 4. Öncelik (Düşük / Sınırlandırılmış) | Büyük Dosya İndirme, Windows/WSUS Güncellemeleri, YouTube, Misafir Wi-Fi | Azami %10–%15 ile Sınırlandırma (Hard Limit / Throttling) | Hat boşken belirlenen limite kadar çalışır, iş trafiği başladığı anda anında kısılır |
İmalat ve Kurumsal Ağlarda İleri Düzey Hız Optimizasyonu Teknikleri
Bant genişliği yönetimi yalnızca indirme (Download) hızını kısmak değildir; özellikle simetrik olmayan (VDSL veya standart Fiber) hatlarda Yükleme (Upload) kanalının doygunluğa ulaşması tüm interneti felç eder.
1. Upload (Yükleme) Kanalı Koruması ve ACK Paket Önceliklendirmesi
TCP protokolünde bilgisayara indirilen her veri paketinin ulaştığını teyit etmek için karşı sunucuya küçük bir ACK (Acknowledgment - Onay) paketi gönderilir. Eğer ağdaki bir telefon iCloud/Google Fotoğraflar’a video yedeklerken veya bir personel e-postayla 50 MB ek gönderirken şirketin Upload hattını %100 doldurursa, dışarıya ACK paketleri çıkamaz. Sonuç olarak şirketin 100 Mbps Download hattı tamamen boş olsa bile, onay paketleri gidemediği için indirme hızı da sıfıra düşer. Güvenlik duvarında Upload hızının %15’lik kısmı her zaman TCP ACK, DNS sorguları ve VoIP ses çıkışları için rezerve edilmelidir.
2. Misafir Ağı (Hotspot) ve Personel Mobil Cihaz İzolasyonu
Fabrika ve ofislerde çalışanların kişisel akıllı telefonları ve misafir bilgisayarları, şirket ağına bağlandıkları anda arka planda otomatik bulut senkronizasyonu ve uygulama güncellemesi başlatır. Bu cihazlar kesinlikle ayrı bir VLAN (Misafir/Personel Wi-Fi) üzerinde toplanmalı, KVKK ve 5651 yasal loglama kapsamında kimlik doğrulamadan geçirilmeli ve kullanıcı başına hız sınırı (Per-IP Bandwidth Limit, örneğin kullanıcı başı maksimum 3 Mbps) uygulanmalıdır.
3. Çift İnternet Hattı (Multi-WAN) Yük Dengeleme ve Politika Bazlı Yönlendirme
İmalat tesislerinde iş sürekliliği için genellikle iki farklı internet hattı (örneğin bir adet yüksek güvenceli Metro Ethernet ve bir adet yüksek hızlı GPON Fiber) bulundurulur. Policy-Based Routing (Politika Bazlı Yönlendirme) ile ERP, SSL-VPN, IP Santral ve e-fatura trafiği simetrik ve düşük gecikmeli Metro Ethernet hattına sabitlenirken; genel web gezintisi, yazılım güncellemeleri ve misafir Wi-Fi trafiği ikinci fiber hatta yönlendirilir. Hatlardan biri koptuğunda ise Failover mekanizması saniyeler içinde tüm kritik trafiği sağlam hatta aktarır ve otomatik olarak sıkı QoS profilini devreye sokar.
Bant Genişliği Yönetiminin Sağladığı Faydalar
- İnternet paketini ve aylık sabit telekom maliyetlerini yükseltmeye gerek kalmadan mevcut hattın verimliliği iki katına çıkar.
- Şirket içi internet çekişmeleri, kopan online toplantılar ve IT destek talepleri sona erer.
- Üretim sahasındaki kablosuz barkod okuyucular, el terminalleri ve CNC veri toplama istasyonları kesintisiz veri aktarır.
- Şüpheli veri sızıntıları veya botnet kaynaklı anormal trafik artışları güvenlik duvarı grafiklerinde anında fark edilerek savunma sanayii ve imalat siber güvenlik standartlarına tam uyum sağlanır.
Ağ hızınızı ve bant genişliğinizi optimize etmek, kesintisiz bir kurumsal iletişim altyapısı kurmak için Güvenlik Duvarı Çözümleri sayfamızı inceleyin.
Sıkça Sorulan Sorular
QoS (Bant Genişliği Yönetimi) açıldığında boş zamanlarda internet hızımız düşer mi?
Hayır, modern güvenlik duvarlarında kullanılan Dinamik Bant Genişliği Borulama (Dynamic Traffic Shaping) teknolojisi hattı sabit olarak bölüp atıl bırakmaz. Örneğin ERP ve VoIP için ayrılan %60’lık garanti kapasite o an kullanılmıyorsa, diğer kullanıcılar bu boş kapasiteyi ödünç alarak tam hızda internet kullanabilir. Ancak bir IP telefon görüşmesi başladığı veya ERP sorgusu geldiği milisaniyede, sistem otomatik olarak öncelikli trafiğe kendi garantili koridorunu geri verir.
Şirkette 1000 Mbps (1 Gigabit) fiber internet var, yine de QoS kuralı yazmak gerekir mi?
Kesinlikle gerekir. İnternet hızınız 1000 Mbps olduğu için tek bir bilgisayar da indirme yaparken saniyede 110 Megabayt veri çekerek hattın tamamını tek başına tüketebilir. Ayrıca asimetrik fiber paketlerde indirme hızı 1000 Mbps olsa bile yükleme (upload) hızı genellikle 50-100 Mbps ile sınırlıdır. Bulut yedeklemeleri veya güvenlik kamerası (NVR) izlemeleri upload kanalını doldurduğunda tüm şirkette gecikme (ping) fırlar. QoS, hattın büyüklüğünden bağımsız olarak adil paylaşım ve düşük gecikme garantisi sağlar.
Windows ve antivirüs güncellemelerini tamamen kapatmadan interneti yavaşlatmasını nasıl önleriz?
Güvenlik güncellemelerini kapatmak siber güvenlik açısından büyük bir risktir; doğru yaklaşım güncellemeleri kapatmak değil, Uygulama Bazlı Hız Sınırlaması (Application Throttling) yapmaktır. Güvenlik duvarı üzerinde Microsoft Update, Apple iOS güncellemeleri ve Adobe/antivirüs paketleri 4. öncelik sınıfına alınır ve mesai saatleri içinde (08:00 - 18:00) toplam hattın en fazla %10’unu kullanacak şekilde sınırlandırılır. Mesai bitiminde ise zamanlayıcı kurallarıyla hız limiti kaldırılarak tüm bilgisayarların güncellemelerini gece hızla tamamlaması sağlanır.