Fabrika ve şubeler arası IKEv2 Site-to-Site IPsec VPN kurulumunda Faz-1/Faz-2 şifreleme, Diffie-Hellman grupları, alt ağ planlaması ve DPD kopma ayarları.
Hızlı Özet (TL;DR)
Birden fazla üretim tesisi, lojistik deposu, bölge müdürlüğü veya satış mağazası bulunan işletmeler için lokasyonlar arasındaki veri iletişiminin güvenliği, kararlılığı ve hızı operasyonel sürekliliğin temel taşıdır. Şubelerdeki kullanıcıların, barkod el terminallerinin ve IP telefonların merkez fabrikadaki ana ERP ve üretim takip yazılımı veritabanına, ortak dosya sunucusuna veya Active Directory etki alanına erişebilmesi için açık internet üzerinden askeri standartlarda şifrelenmiş bir otoyol kurulmalıdır. IKEv2 Site-to-Site IPsec VPN (Noktadan Noktaya Ağ Birleştirme), uçlardaki güvenlik duvarları arasında Faz-1 (IKE SA) ve Faz-2 (Child/IPsec SA) kriptografik el sıkışmalarını gerçekleştirerek tüm şubeleri tek bir yerel ağ (LAN) gibi birbirine bağlar.
Neden Port Yönlendirme (RDP Açmak) İntihardır ve IPsec VPN Zorunludur?
Sahada yapılan en ölümcül güvenlik hatası; uzak şubedeki muhasebe veya depo personelinin merkezdeki ERP sunucusuna bağlanabilmesi için güvenlik duvarı üzerinde Uzak Masaüstü (RDP - Port 3389) veya SQL Server (Port 1433) portlarını doğrudan internete açmaktır (Port Forwarding / DNAT). İnternete açık bırakılan bir RDP portu, Shodan ve otomatik botnet tarayıcıları tarafından dakikalar içinde tespit edilir; kaba kuvvet (Brute-Force) veya kimlik bilgisi doldurma saldırılarıyla sunucu ele geçirilerek tüm fabrika verileri fidye yazılımıyla (Ransomware) şifrelenir.
Site-to-Site IPsec VPN mimarisinde ise dış dünyaya (internete) hiçbir sunucu portu açılmaz:
- Uçtan Uca Donanımsal Tünel: Merkez fabrikada ve her şubede konumlandırılan kurumsal güvenlik duvarı cihazları (Örn: Berqnet, Fortigate, Sophos, pfSense) yalnızca birbirlerinin statik WAN IP adresleriyle kriptografik olarak konuşur.
- İstemcisiz (Agentless) Şeffaf Erişim: Şubedeki bilgisayarlara, el terminallerine veya ağ yazıcılarına hiçbir VPN programı kurulmaz. Şubedeki
192.168.20.15IP’li bir bilgisayar, merkezdeki192.168.10.5IP’li ERP sunucusuna doğrudan aynı binadaymış gibi erişir. - Merkezi Güvenlik ve Yetkilendirme: Şube ile merkez arasındaki trafik güvenlik duvarının iç ağ kurallarıyla (Firewall Policy) denetlenir; şubedeki bir cihaza virüs bulaşsa dahi merkeze sadece izin verilen uygulama portlarından (Örn. sadece HTTPS/443 veya ERP portu) erişebildiği için zararlı yazılımın yayılması engellenir.
IKEv1 vs. IKEv2 ve Faz-1 / Faz-2 Kriptografik Parametre Karşılaştırması
Farklı marka güvenlik duvarları arasında (Örn. Merkezde Berqnet, Şubede farklı bir UTM cihazı) IPsec VPN tünelinin sorunsuz kurulabilmesi ve zaman aşımı kopmaları yaşanmaması için her iki uçtaki Faz-1 (Phase 1) ve Faz-2 (Phase 2) parametrelerinin birbirinin ayna görüntüsü (birebir aynı) olması şarttır:
| IPsec Tünel Katmanı / Parametre | Eski / Zayıf Yapılandırma (Önerilmez) | Kurumsal Altın Standart (IKEv2 Best Practice) | Saha Mühendisliği Açıklaması ve Rolü |
|---|---|---|---|
| Anahtar Değişim Protokolü (IKE Sürümü) | IKEv1 (Main / Aggressive Mode) | IKEv2 (RFC 7296) | Daha az paketle çok daha hızlı tünel kurar, MOBIKE ve yerleşik NAT-T desteği sunar, çoklu alt ağları (Traffic Selectors) tek tünelde taşır. |
| Faz-1 Şifreleme ve Bütünlük (Encryption / Hash) | 3DES / MD5 veya AES-128 / SHA-1 | AES-256-GCM veya AES-256-CBC + SHA-256 / SHA-384 | Tünelin yönetim ve kimlik doğrulama kanalını (IKE SA) kaba kuvvet ve kriptanaliz saldırılarına karşı korur. |
| Diffie-Hellman (DH) Anahtar Grubu | Grup 1 (768-bit), Grup 2 (1024-bit), Grup 5 (1536-bit) | DH Grup 14 (2048-bit MODP), Grup 19/20 (ECP Eliptik Eğri) veya Grup 21 | İki güvenlik duvarının internet üzerinden gizli anahtarı açıkça göndermeden ortak simetrik anahtar üretmesini sağlar. |
| Faz-2 (IPsec / Child SA) ve PFS (Perfect Forward Secrecy) | PFS Kapalı (Disabled) | PFS Açık (Enabled - DH Grup 14/19) + ESP AES-256 / SHA-256 | PFS açık olduğunda her Faz-2 anahtar yenilemesinde (Rekeying) sıfırdan yeni bir DH anahtarı üretilir; geçmiş trafik asla çözülemez. |
| Anahtar Yaşam Süresi (Key Lifetime) | Her iki uçta uyumsuz süreler | Faz-1: 28800 sn (8 Saat) / Faz-2: 3600 sn (1 Saat) | Faz-1 süresi her zaman Faz-2 süresinin katları olmalıdır; aksi takdirde anahtar yenileme anında paket kayıpları yaşanır. |
Alt Ağ (Subnet) Planlaması ve IP Çakışması Sorununun Çözümü
Şubeli işletmelerde IPsec VPN kurulumuna başlarken karşılaşılan en yaygın engel, hem merkezde hem de tüm şubelerde modem/güvenlik duvarı varsayılanı olan 192.168.1.0/24 IP bloğunun kullanılıyor olmasıdır. Eğer merkez fabrikanız da 192.168.1.x, Gebze deponuz da 192.168.1.x bloğundaysa; şubedeki bir bilgisayar 192.168.1.50 adresine gitmek istediğinde paketi VPN tünelinden merkeze göndermek yerine kendi yerel ağında arar ve bağlantı kurulamaz.
Kurumsal ağ mimarisinde her lokasyona ve her VLAN’a benzersiz bir RFC 1918 Özel IP Bloğu tahsis edilmelidir:
- Merkez Fabrika (Sunucu VLAN):
10.10.10.0/24(Gateway:10.10.10.1) - Merkez Fabrika (Kullanıcı/Üretim VLAN):
10.10.20.0/24 - 1. Şube (Lojistik Depo - WMS):
10.20.10.0/24 - 2. Şube (İstanbul Satış Ofisi):
10.30.10.0/24
Eğer mevcut bir fabrikada yüzlerce statik IP’li PLC ve CNC tezgahı olduğu için IP bloğu hemen değiştirilemiyorsa, güvenlik duvarı üzerinde BINAT (1:1 Çift Yönlü Ağ Adresi Dönüştürme / Sanal Alt Ağ Haritalama) tekniği uygulanarak çakışan ağlar sanal bir ara IP bloğu üzerinden kesintisiz haberleştirilir.
NAT-T (NAT Traversal), DPD (Dead Peer Detection) ve MSS Clamping Ayarları
Bir IPsec VPN tünelinin kağıt üzerinde “Bağlı (Connected / Up)” görünmesine rağmen içinden veri geçmemesi (Zombie Tunnel) veya büyük ERP ekranlarının açılırken donması, sahada şu üç ince mühendislik ayarıyla çözülür:
1. DPD (Dead Peer Detection - Ölü Uç Tespiti)
İnternet servis sağlayıcı hatlarında anlık bir yönlendirme kopması yaşandığında, şube güvenlik duvarı tünelin düştüğünü fark ederken merkezdeki cihaz tüneli hala açık sanabilir ve paketleri geçersiz tünele göndermeye devam eder. DPD (On-Demand veya Periodic: 10 saniye aralık, 3 hata toleransı / 30 saniye Timeout) aktif edildiğinde; karşı uçtan 30 saniye boyunca kriptografik R-U-THERE (Orada mısın?) yanıtı gelmezse eski takılı kalmış oturum (SA) derhal silinir ve tünel sıfırdan otomatik olarak yeniden kurulur.
2. NAT-T (NAT Traversal - UDP 4500 Kapsüllemesi)
Güvenlik duvarlarından biri ISS modemi arkasında (DMZ/Bridge modda değilse) veya CGNAT arkasında çalışıyorsa, standart IPsec ESP (IP Protokol 50) paketleri NAT cihazından geçerken bozulur. NAT-T özelliği açılarak standart UDP 500 (IKE) el sıkışmasının ardından tüm ESP paketlerinin UDP 4500 portu içine kapsüllenmesi (Encapsulation) sağlanır ve tünel modem arkasından dahi sorunsuz çalışır.
3. TCP MSS Clamping ve MTU Optimizasyonu
Standart bir Ethernet paketinin boyutu 1500 Byte (MTU)‘dur. Ancak paket IPsec VPN tünelinden geçerken üzerine ESP, UDP ve yeni IP başlıkları eklendiği için yaklaşık 60–80 Byte şişer ve paket boyutu 1500 Byte’ı aşar. Parçalanamayan (DF - Don't Fragment biti açık) paketler yolda düşer; bu da “Ping atabiliyorum ama ortak dosya paylaşımı veya ERP ekranı açılmıyor” sorununa yol açar. Güvenlik duvarının VPN arayüzünde TCP MSS Clamping değeri 1350 veya 1360 Byte olarak sabitlendiğinde bu sorun tamamen ortadan kalkar.
Şubeleriniz ve fabrikalarınız arasında kopmayan, yüksek hızlı IKEv2 IPsec VPN ve SD-WAN mimarisi kurmak için Güvenlik Duvarı Hizmetleri ve Berqnet Güvenlik Duvarı sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Site-to-Site IPsec VPN kurmak için hem merkezde hem de tüm şubelerde Statik (Sabit) IP olması zorunlu mudur?
En yüksek kararlılık için her iki uçta da Statik IP bulunması önerilir. Ancak küçük şubelerde veya 4.5G/LTE yedek hatlarında Statik IP yoksa, ** yalnızca Merkez Fabrikada Statik IP olması yeterlidir**. Dinamik IP’ye sahip şube güvenlik duvarları Dinamik DNS (DDNS) veya IKEv2 Aggressive / Responder-Only (Peer ID / FQDN Doğrulama) modunda yapılandırılarak, şubenin IP adresi her değiştiğinde merkezdeki sabit IP’li güvenlik duvarına otomatik bağlanması sağlanır.
Şubedeki kullanıcıların kendi genel internet gezintisi (YouTube, Google vb.) de VPN üzerinden merkeze mi gelir?
Bu tamamen kurgulanan yönlendirme mimarisine bağlıdır. Standart olarak uyguladığımız Split-Tunneling (Bölünmüş Tünel) yapısında; şubedeki bilgisayarların yalnızca merkez sunucu ağına (10.10.10.0/24) giden ERP, dosya paylaşımı ve iç ağ trafiği IPsec VPN tünelinden geçer; normal internet trafiği ise şubenin kendi internet hattından çıkar. Ancak şubede ayrı bir yasal loglama cihazı yoksa, Full-Tunnel (Merkezi Çıkış) yapılandırılarak şubenin tüm internet trafiği merkeze taşınıp merkezdeki 5651 yasal loglama ve filtreleme kurallarından geçirilebilir.
Merkezde Berqnet güvenlik duvarı varken şubelerde farklı marka (Fortigate, Sophos, Mikrotik vb.) cihazlar varsa IPsec VPN çalışır mı?
Evet, %100 uyumlu çalışır. IPsec ve IKEv2 (RFC 7296) markaya özel kapalı bir sistem değil, uluslararası standart bir ağ protokolüdür. Her iki cihazda Faz-1/Faz-2 şifreleme algoritmaları (AES-256, SHA-256, DH Group 14), yaşam süreleri (Lifetime) ve yerel/uzak alt ağ tanımları birebir eşleştirildiğinde farklı marka güvenlik duvarları arasında yıllarca kopmadan çalışan tam uyumlu tüneller kurulur.