Hizmet detayı

Ağ Altyapısı, Ağ Güvenliği ve Ağ Yönetimi

Ağ tasarımından router ve switch yapılandırmasına, firewall ve VPN kurulumundan 7/24 ağ izlemeye kadar kurumsal ağın tamamı tek elden.

Done Dynamics; ağ altyapısı kurulumu, ağ güvenliği, ağ yönetimi ve ağ izleme hizmetlerini birlikte veren bir kurumsal yazılım ve sistem şirketidir. En çok talep gören üç iş belli: firewall kural yazımı ve mevcut kural setinin gözden geçirilmesi, şubeler arası site-to-site VPN kurulumu ve aylık hizmet olarak yürüyen sürekli ağ yönetimi. Bunların yanında güvenlik duvarı kurulumu, içerik filtreleme, VLAN segmentasyonu ve erişim denetimini bir arada sunuyoruz. Router config ve switch config sürüm kontrolünde tutulur; her değişiklik belgelenir ve geri alınabilir kalır.

Dört sütun

Tasarım, güvenlik, yönetim, izleme

Dördü ayrı satın alınabilir ama birlikte kurulduğunda çalışıyor; parça parça yapılan ağlarda sorumluluk sınırı kayboluyor.

Ağ Tasarımı ve Altyapı

Kaç kullanıcı, kaç cihaz, hangi trafik. IP planı, VLAN şeması, kablolama ve erişim noktası yerleşimi çizilir; kurulumdan önce belge olarak elinizde olur.

Ağ Güvenliği

Firewall kurulumu, kural setleri, içerik filtreleme, saldırı tespiti ve segmentasyon. Misafir, personel ve sunucu trafiği birbirine karışmaz.

Ağ Yönetimi

Router config ve switch config sürüm kontrolünde tutulur; her değişiklik kim, ne zaman, neden sorularının cevabıyla kaydedilir. Cihaz yazılımı ve yamalar takvimle yürür.

Ağ İzleme

Bağlantı, bant genişliği, hata sayacı ve cihaz sıcaklığı sürekli izlenir. Uyarı eşiği kullanıcı şikâyetinden önce tetiklenecek şekilde ayarlanır.

2 dakika · 4 soru

Ağınız büyüdükçe mi sorun çıkarıyor?

Dört soru. Cevaplarınız tek bir cihaz değişikliğini işaret ediyorsa bunu da açıkça söylüyoruz.

Ağınızın güncel bir şeması ve IP planı var mı?

Soru 1 / 4

Ağınızın güncel bir şeması ve IP planı var mı?
Kapsam

Yaptığımız işler

Firewall ve VPN kurulumundan VLAN segmentasyonuna, cihaz yapılandırmasından kablosuz kapsama ölçümüne.

Firewall Kurulumu

Kurumsal sınıf güvenlik duvarı donanım ve yazılım kurulumu, NAT ve port yönlendirme, uygulama tanıma ve loglama. Cihaz devreye alınırken kayıt saklama ve yedekleme de kurgulanır.

Firewall Kural Seti Yazımı ve Gözden Geçirme

Her kuralın yanında gerekçesi, talep edeni ve tarihi yazılı olur; değişiklik öncesi etki analizi yapılır. Çakışan ve gölgeleyen kurallar tespit edilir, kullanılmayanlar dönemsel gözden geçirmede kapatılır. Yüzlerce kurallı mevcut bir seti devralıp belgeleyerek sadeleştiriyoruz.

Site-to-Site VPN (Şubeler Arası)

İki ya da daha çok lokasyon tek ağmış gibi çalışır; IP aralığı çakışması baştan önlenir, yönlendirme merkezden yönetilir. WireGuard ya da IPsec seçimi mevcut donanıma göre yapılır; kritik lokasyonlarda yedek hat devreye alınır ve şube sayısı arttıkça yapılandırma merkezî tutulur.

VPN Kurulumu

Uzaktan çalışan için istemci VPN: şifreli tünelle iç kaynaklara erişim, çok faktörlü doğrulama ve cihaz bazlı yetkilendirme. Uzak masaüstü gibi servisler dışarıya açık port bırakmadan kullanılır.

Router Config ve Switch Config

Yönlendirme tablosu, VLAN, trunk ve link agregasyonu, spanning-tree, QoS ve port güvenliği. Yapılandırmalar yedeklenir, geri dönüş her zaman mümkün kalır.

VLAN Segmentasyonu

Muhasebe, üretim, misafir ve kamera ağı ayrı segmentlerde. Bir segmentteki cihaz ele geçirilse bile diğerine yatay geçiş yapamaz.

İçerik Filtreleme

Kategori bazlı erişim politikası, kötü amaçlı alan adı engelleme, çalışma saati kuralları. Kayıt tutma yükümlülüğüyle birlikte kurgulanır.

Kablosuz Ağ Altyapısı

Kapsama ölçümü, erişim noktası yerleşimi, kanal planı, dolaşım ve kapasite planlaması. Otel ve fabrika gibi zorlu ortamlarda saha ölçümüyle.

Sürekli Ağ Yönetimi

Aylık hizmet olarak yürüyen kapsam: dönemsel kural gözden geçirme, cihaz yazılımı ve yama takvimi, yapılandırma yedeği, kapasite raporu. Kesinti müdahalesi, cihaz envanterinin güncel tutulması ve değişiklik kaydı dahildir.

Çalışma biçimimiz

Ağ, çizilmeden kurulmaz

Sahada gördüğümüz ağların çoğu yıllar içinde eklene eklene büyümüş, kimsenin şemasını çizemediği ağlar. Önce belge, sonra kablo.

  • Önce ölçüm, sonra donanım

    Saha keşfi ve mevcut trafik ölçümü yapılmadan cihaz önerilmez. Çoğu ağ probleminin cevabı yeni donanım değil, yanlış yapılandırılmış mevcut donanımdır.

  • Yapılandırma sürüm kontrolünde

    Router ve switch config dosyaları depoda tutulur. Değişiklik öncesi ve sonrası fark görülebilir; hatalı bir kural dakikalar içinde geri alınır.

  • Segmentasyon varsayılan

    Tek düz ağ, bir cihaz ele geçirildiğinde tüm kuruma açılan kapıdır. Misafir, personel, sunucu ve kamera trafiği baştan ayrılır.

  • Kayıt ve mevzuat

    Halka açık ağ veren işletmelerde 5651 kapsamındaki kayıt yükümlülüğü kurulumun parçasıdır; imzalı saklama ve erişim yetkisi tanımlanır.

  • Kesintide kim arayacak belli

    İzleme uyarısı doğrudan bize düşer. Olay kaydı, müdahale süresi ve çözüm adımları yazılı raporlanır.

  • Devredilebilir kurulum

    Ağ şeması, IP planı, yapılandırma dosyaları ve parolalar kuruma teslim edilir. Sağlayıcı değiştirmek sıfırdan kurulum gerektirmez.

Süreç

Keşiften sürekli izlemeye

Beş aşama; kesinti gerektiren adımlar önceden yazılır ve mesai dışına alınır.

  1. 01

    Saha Keşfi

    Mevcut cihaz envanteri, kablolama durumu, kapsama ölçümü ve trafik profili çıkarılır. Çıktı bir rapor: neyin kaldığı, neyin değişmesi gerektiği.

  2. 02

    Tasarım

    IP planı, VLAN şeması, yönlendirme ve güvenlik politikası belgelenir. Onayınız alınmadan kabloya dokunulmaz.

  3. 03

    Kurulum

    Cihaz yapılandırması, firewall kuralları, VPN ve kablosuz altyapı devreye alınır. Kesintiyi en aza indirmek için geçiş planı önceden yazılır.

  4. 04

    Doğrulama

    Segmentler arası erişim testleri, VPN bağlantı testleri, kapsama ölçümü ve yük testi yapılır; sonuçlar raporlanır.

  5. 05

    İzleme ve Bakım

    Sürekli izleme, yazılım güncellemeleri, kural gözden geçirme ve dönemsel yapılandırma yedeği.

Ticari model

Proje sabit, yönetim aylık

Kurulum projesi sabit bedelle verilir; kapsam saha keşfi raporunda yazılıdır ve iş sırasında büyümez. Sürekli ağ yönetimi ve izleme aylık hizmet olarak yürür — cihaz sayısına göre fiyatlanır, kesinti müdahalesi ve dönemsel kural gözden geçirme dahildir. Saha keşfi ve tasarım raporu ayrı bir ilk adımdır; raporu alıp kuruluma başka bir ekiple devam etmek isterseniz belgeler yine sizindir.

Detay sayfaları

Her başlığın kendi sayfası var

En çok sorulan sekiz konuyu ayrı ayrı, uçtan uca anlattık.

Firewall kurulumu ve kural yazımı →

Kural setinin gerekçeyle yazılması, gölgeleyen kuralların ayıklanması, mevcut karmaşanın devralınması.

VPN kurulumu ve şube bağlantısı →

Uzaktan erişim, site-to-site tünel, IP aralığı çakışması ve yedek hat devri.

Router ve switch yapılandırması →

Yapılandırmanın sürüm kontrolünde tutulması, VLAN, QoS, yazılım güncelleme takvimi.

Ağ güvenliği →

Segmentasyon, yatay hareketin kesilmesi, güncellenemeyen cihazların ayrılması.

Ağ izleme ve sürekli yönetim →

Kesintiyi kullanıcıdan önce görmek, kapasite eğilimi, aylık bakım kapsamı.

Ağ tasarımı ve kurulum →

IP planı, VLAN şeması, yapısal kablolama ve kablosuz kapsama ölçümü.

NAC ve Cisco ISE ile ağ erişim kontrolü →

802.1X kimlik doğrulama, cihaz profilleme, dinamik VLAN ve kademeli devreye alma.

Cisco Meraki ile bulut tabanlı ağ yönetimi →

Çok şubeli ağın tek panelden yönetimi, şablon tabanlı kurulum, Auto VPN ve SD-WAN.

İlgili hizmetler

Hotspot ve misafir ağı →

Otel, hastane ve ofis için 5651 uyumlu kayıt, kullanıcı doğrulama ve marka özelleştirmeli karşılama sayfası.

Bilişim ve teknik destek →

Ağın yanındaki kullanıcı tarafı: bilgisayar, ofis uygulamaları, kurulum ve yazılım desteği.

Siber güvenlik denetimi →

Kurulan ağın ve üzerindeki uygulamaların saldırgan gözüyle test edilmesi, kritiklik seviyeli rapor.

Sunucu barındırma ve hosting →

Ağın ucundaki sunucular: özel barındırma, web hostlama ve projenin ayağa kaldırılması.

Bir sonraki yazılım projenize hazır mısınız?

Ekibimizle 30 dakikalık ücretsiz bir keşif görüşmesi planlayın.

Proje Başlat Daha Fazla →
Sertifikalar

Ağ ve siber güvenlik işlerini, uluslararası geçerli Cisco sertifikasyonuna sahip ekiple yürütüyoruz.

Cisco CyberOps Associate rozeti

Cisco CyberOps Associate

Veren kurum: Cisco · Sahibi: Devrim Tunçer

Güvenlik operasyon merkezi (SOC) yetkinliğini belgeleyen sertifika: güvenlik izleme, olay müdahalesi ve ağ saldırılarının analizi. Sızma tespiti, log korelasyonu ve olay sonrası müdahale gerektiren işlerde dayandığımız temel budur.

Credly'de doğrula Siber güvenlik hizmetimiz

Cisco CCNA Eğitimi

süresi doldu

Cisco eğitim sertifikası · Ocak 2023'te tamamlandı

Ağ temellerini kapsar: yönlendirme, anahtarlama, IP adresleme ve ağ güvenliği. Kurumsal ağ kurulumu ile segmentasyon işlerinde kullandığımız bilgi tabanı.

LinkedIn duyurusu Ağ altyapısı hizmetimiz

Ağ altyapısı: kimsenin şemasını çizemediği ağ

Ağ altyapısı: kimsenin şemasını çizemediği ağ

Bir kuruma ilk gittiğimizde sorduğumuz soru hep aynı: ağın şeması var mı? Cevap çoğu zaman hayır. Ağlar planlanarak değil, ihtiyaç çıktıkça büyür. Yeni bir ofis açılır, bir switch eklenir. Muhasebe kendi yazıcısını ister, bir kablo daha çekilir. Kamera sistemi kurulur, kurulumu yapan firma boştaki porta takar. Beş yıl sonra ortada kimsenin tam olarak bilmediği bir ağ altyapısı vardır ve o ağ, kurumun her işini taşımaktadır.

Sorun genellikle bir arıza gününde görünür hale gelir. İnternet yavaşlar ama nedeni bulunamaz; bir cihaz ele geçirilir ve nereye kadar ulaştığı çıkarılamaz; şubeye bağlanmak gerekir ama nasıl bağlanılacağı belli değildir. Done Dynamics bu noktada devreye giriyor: önce mevcut durumu ölçüyor ve çiziyor, sonra ağ güvenliği ve ağ yönetimi tarafını kuruyor.

Aşağıdaki metin sattığımız hizmeti anlatmaktan çok, bir ağın neden düzgün çalışmadığını ve neyin düzelttiğini anlatıyor. Router config ve switch config neden sürüm kontrolünde tutulmalı, segmentasyon neden bir güvenlik lüksü değil zorunluluk, izleme olmadan kesintiyi neden kullanıcıdan öğreniyorsunuz — hepsi sahadan çıkmış sorular.

Ağ tasarımı: kabloya dokunmadan önce çizilir

Ağ tasarımı, cihaz seçmekle başlamaz. Kaç kullanıcı var, kaç cihaz bağlanıyor, hangi trafik nereye akıyor — önce bunlar çıkarılır. Bir otelde misafir trafiği ile rezervasyon sisteminin trafiği aynı hatta karışıyorsa, dolu bir gecede resepsiyon ekranının donması sürpriz değildir. Fabrikada üretim hattındaki kontrolcülerle ofis bilgisayarları aynı yayın alanındaysa, tek bir yanlış yapılandırılmış cihaz hattı durdurabilir.

Tasarımın somut çıktısı üç belgedir: IP planı, VLAN şeması ve fiziksel yerleşim. IP planı hangi aralığın neye ayrıldığını gösterir; bu belge olmadan büyüyen ağlarda birkaç yıl içinde çakışan aralıklar ve kimsenin dokunmaya cesaret edemediği statik adresler birikir. VLAN şeması hangi trafiğin hangi segmentte olduğunu, segmentler arasında neyin geçeceğini yazar. Fiziksel yerleşim ise hangi kablonun nereye gittiğini — panoda etiketsiz kablo kalmaması demek.

Kablosuz tarafta tasarım ölçümle yapılır. Bir katın kaç erişim noktasıyla kapanacağı planda hesaplanır ama gerçek cevap sahada çıkar: beton duvar, metal raf, asansör boşluğu ve komşu işletmenin ağı sinyali beklenmedik biçimde etkiler. Kurulum öncesi ve sonrası iki ölçüm yapıyoruz; ikincisi kapsamayı belgeliyor. Otel ve fabrika gibi ortamlarda ağ tasarımı bu ölçüm olmadan tahmine dayanır ve tahmin genelde yanılır.

Bir de büyüme payı var, sık atlanan kalem. Bugün otuz kullanıcıya kurulan bir ağ üç yıl sonra elli kullanıcıyı taşıyacaksa, switch port sayısı ve kablolama buna göre seçilir. Sonradan port eklemek yeni cihaz almak kadar basit değildir; pano yeri, kablo kanalı ve elektrik de gerekir. Bir kurumsal yazılım şirketi olarak tasarım aşamasında bu üç yılı konuşmayı tercih ediyoruz.

Ağ güvenliği: firewall kurulumu ve segmentasyon

Güvenliğin ağ tarafındaki karşılığı iki başlıkta toplanır: dışarıdan içeri neyin geçtiği ve içeride kimin kime ulaşabildiği. Birincisi firewall kurulumu ve kural setleriyle, ikincisi segmentasyonla çözülür. Çoğu kurumda birincisi vardır, ikincisi yoktur — ve saldırıların sahada yaptığı asıl hasar ikincisinin eksikliğinden doğar.

Şöyle işler: bir çalışanın bilgisayarına bulaşan zararlı yazılım, o bilgisayarın ulaşabildiği her şeye ulaşır. Ağ düz kurulmuşsa bu, muhasebe sunucusu, yedek diski, kamera kaydedicisi ve üretim kontrolcüsü demektir. VLAN segmentasyonu bu yatay geçişi keser: muhasebe segmentindeki bir makine üretim segmentindeki bir cihazı göremez, çünkü aradaki geçiş kuralı yazılmamıştır. Tek bir olayın kurumun tamamına yayılmasıyla tek bir bilgisayarla sınırlı kalması arasındaki fark budur.

Firewall tarafında dikkat ettiğimiz şey kural sayısı değil, kuralların anlaşılır olmasıdır. Yıllar içinde eklenmiş, kimin neden açtığını kimsenin bilmediği yüzlerce kural taşıyan güvenlik duvarları görüyoruz. Böyle bir kural setinde bir portu kapatmak bile riskli hale gelir, çünkü neyi bozacağı bilinmez. Kurduğumuz her kuralın yanında gerekçesi ve talep eden kişi yazılıdır; dönemsel gözden geçirmede kullanılmayan kurallar kapatılır.

İçerik filtreleme bu tablonun üçüncü parçası. Kötü amaçlı alan adlarının engellenmesi teknik bir önlemdir ve çoğu zararlı yazılımın ilk adımını keser. Kategori bazlı erişim politikası ise kurumun tercihi — bunu bir denetim aracı değil, bant genişliği ve risk yönetimi olarak kurguluyoruz. Halka açık ağ verilen yerlerde ayrıca 5651 kapsamındaki kayıt yükümlülüğü devreye giriyor ve kurulum bunu da kapsıyor.

Firewall kural seti: yazmak kolay, yönetmek zor

Bir güvenlik duvarını devreye almak bir günlük iştir; o cihazın üzerindeki kural setini beş yıl sonra hâlâ anlaşılır tutmak asıl iştir. Sahada devraldığımız kurulumların büyük kısmında tablo aynı: yüzlerce satır kural, yanlarında hiçbir açıklama yok, kimin hangi ihtiyaç için hangi portu açtırdığı hatırlanmıyor. Kural yazan kişi işten ayrılmış, talebi yapan departman değişmiş, açılan servis kaldırılmış ama kural yerinde duruyor. Böyle bir sette tek bir portu kapatmak bile riskli hale gelir, çünkü neyin bozulacağı önceden bilinemez. Sonuç, kimsenin dokunmaya cesaret edemediği ve bu yüzden yalnızca büyümeye devam eden bir kural yığınıdır — her yeni talep bir satır daha ekler, hiçbir talep bir satır eksiltmez.

Bunun önüne geçen şey teknoloji değil, yazım disiplinidir. Yazdığımız her kuralın yanında üç bilgi bulunur: neden açıldığı, kimin talep ettiği ve hangi tarihte girildiği. Bu üç satır, iki yıl sonra kuralın hâlâ gerekli olup olmadığını sormayı mümkün kılan tek şeydir. Değişiklik öncesi etki analizi ikinci adım: yeni bir kural mevcut hangi kuralla çakışıyor, hangisini gölgeliyor, hangi trafiği farkında olmadan genişletiyor. Gölgeleyen kural sık rastlanan ve sinsi bir hatadır — üstteki geniş bir kural, alttaki dar ve dikkatle yazılmış kuralı hiç çalışmayacak biçimde etkisiz bırakır ve kimse bunu fark etmez, çünkü ağ çalışmaya devam eder. Kural sırasının kendisi bir güvenlik ayarıdır ve firewall kurulumu tamamlandıktan sonra asıl mesai buraya harcanır.

Üçüncü parça dönemsel gözden geçirme. Kural setine bakılan sabit bir takvim yoksa gözden geçirme hiç yapılmaz; bir olay çıkana kadar kimse o ekranı açmaz. Belirli aralıklarla kural isabet sayaçlarına bakıyoruz: aylardır hiç trafik görmemiş bir kural ya artık gereksizdir ya da yanlış yazılmıştır, ikisi de kapatılmadan önce sorulması gereken sorulardır. Geçici olarak açılan kurallar ayrı bir başlık — bir tedarikçinin kurulum yapması için açılan erişim, iş bittikten sonra kapanmadığında kalıcı bir açığa dönüşür. Bu tür kuralları süre bilgisiyle giriyoruz ve süre dolduğunda gündeme geliyorlar. Tüm bu değişiklikler kayıt altında tutulduğu için denetim istendiğinde geriye dönük iz sürülebilir hale geliyor: hangi kural ne zaman girdi, ne zaman kaldırıldı, kim onayladı.

Devralma senaryosu ayrı bir çalışma biçimi gerektiriyor. Mevcut karmaşayı bir hafta sonu temizlemek mümkün değildir ve denemek doğru da değildir; işleyen bir kurumun trafiğini kesme riski, düzensiz bir kural setinin taşıdığı riskten büyüktür. Yaptığımız iş önce haritalama: her kuralın ne yaptığı, hangi trafiği taşıdığı ve gerçekten kullanılıp kullanılmadığı çıkarılır, çıktı bir tablo olur. Temizlik bu tablonun üzerinde ve kurumla birlikte, adım adım yapılır — önce hiç trafik görmeyenler, sonra gölgelenenler, sonra sahibi bulunamayanlar. Her adımın geri dönüşü hazırdır ve hiçbir kural kurum onaylamadan kaldırılmaz.

VPN kurulumu: uzaktan erişimin doğru yolu

Uzaktan çalışma yaygınlaştıkça sahada en sık gördüğümüz hata şu oldu: kurum içindeki bir bilgisayara internetten doğrudan erişilebilsin diye uzak masaüstü portunun dışarı açılması. Bu, kapıyı açık bırakıp kilidin sağlam olduğuna güvenmek demek. O port, dünyanın her yerinden gelen otomatik tarayıcılar tarafından dakikalar içinde bulunur ve parola denemeleri başlar.

Doğru yol VPN kurulumu: kullanıcı önce şifreli bir tünelle kurum ağına dahil olur, sonra iç kaynaklara ulaşır. Dışarıya açık tek şey VPN uç noktasıdır ve o da kimlik doğrulamayla korunur. Çok faktörlü doğrulama eklendiğinde çalınmış bir parola tek başına işe yaramaz hale gelir; bunu artık standart olarak öneriyoruz.

Teknoloji seçimi ihtiyaca göre değişiyor. WireGuard modern kurulumlarda hız ve basitlik açısından öne çıkıyor, yapılandırması kısa ve anlaşılır. IPsec kurumsal cihazlarda yaygın destek gördüğü için mevcut donanımla çalışmak gerektiğinde tercih ediliyor. OpenVPN esnekliğiyle özel senaryolarda hâlâ işe yarıyor. Üçünü de kuruyoruz; kararı mevcut cihaz envanteri ve istemci tarafındaki gereksinim belirliyor.

Şubeler arası bağlantı ayrı bir başlık. Site-to-site VPN ile iki lokasyon tek ağmış gibi çalışır; şubedeki kullanıcı merkezdeki sunucuya sanki yan odadaymış gibi erişir. Burada dikkat edilmesi gereken şey yönlendirme ve adres çakışmasıdır: iki lokasyon aynı IP aralığını kullanıyorsa tünel kurulur ama trafik akmaz. Alanya yazılım ekibimizin devraldığı kurulumlarda en sık düzelttiğimiz sorun tam olarak bu.

IP aralığı çakışmasının neden bu kadar sık görüldüğünü açıklamak gerekir. Kutudan çıkan hemen her cihaz aynı varsayılan aralıkla gelir; kimse değiştirmediği için merkez de şube de aynı adres bloğunu kullanır. İki ofis birbirinden bağımsız çalışırken bu bir sorun değildir, ama site-to-site VPN devreye girdiği gün iki taraf da kendi yerel ağını arar ve karşı tarafa hiçbir paket gitmez. Sonradan düzeltmek pahalıdır: her cihazın adresi değişir, statik tanımlı yazıcılar ve sunucular tek tek elden geçer, sabit adrese göre yazılmış uygulama ayarları bozulur. Önlemek ise ilk gün bir tabloya bakmak kadar basittir — her lokasyona baştan ayrı bir aralık verilir ve o tablo, henüz açılmamış şubeler için de yer ayırarak tutulur.

Şube sayısı arttıkça ikinci bir eşik geliyor. İki lokasyonda kuralları elle senkron tutmak mümkündür, on lokasyonda değildir; her birine tek tek bağlanıp aynı değişikliği yapmak hem yavaştır hem de birinin atlanması kaçınılmazdır ve atlanan lokasyon aylarca fark edilmez. Bu yüzden yapılandırmayı merkezde tutuyoruz: tek kaynaktan üretilen ayarlar tüm lokasyonlara aynı biçimde iner, fark alınabilir ve geri dönüş tek adımdır. Aynı mantık dayanıklılık tarafında da geçerli — kritik şubelerde ikinci bir hat yedek olarak tanımlanır ve birincisi koptuğunda trafik otomatik olarak oraya kayar. Buradaki asıl iş devralmanın gerçekten çalıştığını doğrulamaktır; yedek hat yılda bir kez sınandığında değil, dönemsel olarak test edildiğinde işe yarar ve bu test sürekli ağ yönetimi hizmetinin yazılı kapsamında yer alır.

Yapısal kablolama: on yıl duracak katman

Ağın en uzun ömürlü parçası kablolamadır. Switch beş yılda, güvenlik duvarı üç yılda değişir; kablo on yıl yerinde kalır. Buna rağmen en az özen gösterilen katman genellikle budur, çünkü duvarın içinde kalır ve çalıştığı sürece kimse bakmaz.

Sahada gördüğümüz tipik tablo şu: panoda etiketsiz kablolar, hangi prizin nereye gittiği bilinmiyor, bir arıza aramak için kablo tek tek çekiliyor. Bu düzensizliğin maliyeti kurulum günü değil, beş yıl sonraki bir arıza gününde ortaya çıkıyor — ve o gün fatura saatlik kesintiyle ölçülüyor.

Yeni kurulumlarda uyguladığımız kural basit: her kablonun iki ucunda etiketi olur, pano şeması çizilir ve prizler numaralandırılır. Kablo kalitesi bugünkü hıza değil, beklenen ömür boyunca gerekecek hıza göre seçilir; aradaki fiyat farkı ilk kurulumda küçük, sonradan değiştirmenin maliyeti büyüktür.

Mevcut kablolamayı devraldığımızda ise önce test ediyoruz. Hat testi hangi kablonun sağlam, hangisinin sınırda çalıştığını gösterir. Sınırda çalışan bir kablo, arada bir kopan ve kimsenin nedenini bulamadığı bağlantıların en sık sebebidir. Bu testin çıktısı da ağ yönetimi teslim belgelerinin içinde yer alıyor.

Router config ve switch config: yapılandırma da koddur

Bir switch üzerinde yapılan değişiklik, bir yazılım değişikliğinden daha az kritik değildir — çoğu zaman daha kritiktir, çünkü etkisi anında ve tüm kurumu kapsar. Buna rağmen çoğu yerde cihaz yapılandırmaları kimsenin kaydını tutmadığı, kimin ne zaman neyi değiştirdiğinin bilinmediği bir alan olarak kalıyor.

Bizim yaklaşımımız basit: router config ve switch config dosyaları sürüm kontrollü bir depoda tutulur. Her değişiklik öncesi mevcut hal kaydedilir, değişiklik sonrası fark görülebilir. Bir kural yanlış yazıldıysa ve ağ bozulduysa, geri dönüş bir dosyayı geri yüklemek kadar kısa sürer. Bu düzen olmadan aynı işlem, hatırlamaya ve denemeye dayanır.

Cihaz yazılımı güncellemeleri ayrı bir disiplin gerektiriyor. Üreticinin yayımladığı her güncelleme hemen kurulmaz; kritik bir güvenlik yaması ile küçük bir hata düzeltmesi aynı aciliyette değildir. Güncelleme takvimi yazılı olur, kesinti gerektiren işler mesai dışına alınır ve her güncelleme öncesi yapılandırma yedeği alınır. Üretici desteği bitmiş cihazlar ayrı bir listede tutulur; onlar için yama gelmeyeceği için değişim planlanır.

Port güvenliği ve erişim denetimi de bu başlığın altında. Boştaki bir ağ prizine takılan herhangi bir cihazın ağa dahil olabilmesi, fiziksel erişimi olan herkese kapı açar. Port bazlı kısıtlama ve kimlik doğrulama bu kapıyı kapatır. Antalya yazılım tarafında hizmet verdiğimiz otellerde bu, misafir alanındaki prizler nedeniyle ilk kurduğumuz önlemlerden biri oluyor.

Kablosuz ağ: kapsama ölçülmeden vaat edilmez

Kablosuz ağ, kurumsal ağın en çok şikâyet üreten parçasıdır ve şikâyetlerin çoğu yanlış yerde aranır. "İnternet çekmiyor" cümlesinin arkasında bazen hat sorunu, bazen kanal çakışması, bazen de basitçe yanlış konumlandırılmış bir erişim noktası vardır. Ayırt etmenin tek yolu ölçmektir.

Kapsama ölçümü kurulumdan önce yapılır. Kat planı üzerinde sinyal seviyesi, gürültü ve komşu ağların yoğunluğu haritalanır. Beton duvarın, metal rafın ve asansör boşluğunun etkisi burada görünür hale gelir. Otel ve fabrika gibi ortamlarda tahminle yapılan yerleşimlerin neredeyse tamamı ya fazla cihazla ya da ölü noktalarla sonuçlanıyor.

Kanal planı ikinci belirleyici. Yan yana duran iki erişim noktası aynı kanalda yayın yapıyorsa birbirlerini yavaşlatırlar; bu, cihaz eklendikçe kötüleşen bir sorundur. Kapasite ise ayrı bir hesap: bir erişim noktasının kaç cihaz taşıyabileceği kâğıt üzerindeki sayı değil, o cihazların ne yaptığıyla ilgilidir. Otuz kişinin e-posta okuduğu bir ofisle otuz kişinin video izlediği bir lobinin ihtiyacı aynı değildir.

Dolaşım da sık atlanan konu. Kullanıcı bir kattan diğerine geçerken bağlantının kopmadan devredilmesi, cihazların doğru yapılandırılmasını gerektirir. Yanlış kurulumda telefon eski erişim noktasına tutunur ve sinyal zayıfken bile bırakmaz. Kurulum sonrası ikinci ölçüm bunu da doğruluyor ve ağ altyapısı teslim raporunda yazılı hale geliyor.

Şubeler ve çok lokasyonlu ağlar

Tek lokasyonda çalışan kurallar, ikinci lokasyon açıldığında yetmez hale gelir. Merkezdeki sunucuya şubeden nasıl erişilecek, hangi lokasyonun interneti hangi trafiği taşıyacak, bir hat koptuğunda diğer lokasyon etkilenecek mi — bunlar tasarım aşamasında cevaplanmazsa sonradan çözmek pahalıya gelir.

En sık kurduğumuz düzen site-to-site VPN üzerinden birleştirilmiş bir ağ. Her lokasyonun kendi IP aralığı olur, çakışma olmaz, yönlendirme merkezden yönetilir. Şubedeki kullanıcı merkezdeki uygulamayı sanki aynı binadaymış gibi kullanır. Kritik lokasyonlarda ikinci bir hat yedek olarak eklenir ve birincisi koptuğunda trafik otomatik olarak oraya kayar.

Merkezî yönetim burada zorunluluk haline gelir. On lokasyona tek tek bağlanıp kural değiştirmek hem yavaş hem hataya açıktır. Yapılandırmaların depoda tutulması, aynı değişikliğin tüm lokasyonlara tutarlı biçimde uygulanmasını sağlar. İzleme de merkezîdir: hangi şubede ne olduğu tek ekranda görünür.

Bir de yerel dayanıklılık meselesi var. Merkezle bağlantı koptuğunda şubenin tamamen durması istenmiyorsa, kritik servislerin yerel kopyası bulunmalıdır. Bunu her kurumda önermiyoruz — maliyeti var ve her iş buna değmez. Ama kasa, üretim ya da sağlık gibi durması pahalı olan işlerde konuşulması gereken bir başlık.

Ağ izleme: kesintiyi kullanıcıdan öğrenmemek

Bir kurumun ağ olgunluğunu ölçmenin en kısa yolu şu soruyu sormaktır: internet kesildiğinde bunu ilk kim fark ediyor? Cevap kullanıcı şikâyet edince ise izleme yok demektir ve arıza süresinin büyük kısmı, sorunun var olduğunun anlaşılmasıyla geçer.

Ağ izleme bunu tersine çevirir. Hat kesintisi, bant genişliği doygunluğu, arayüz hata sayaçları, cihaz sıcaklığı ve kritik servislerin erişilebilirliği sürekli ölçülür. Eşikler kullanıcı fark etmeden önce tetiklenecek şekilde ayarlanır — bir hattın yüzde doksan doluluğa çıkması, tamamen kesilmesinden önce görülür ve müdahale edilebilir.

İzlemenin ikinci faydası tartışmayı bitirmesidir. İnternet yavaş şikâyeti geldiğinde elde ölçüm varsa sorunun hat mı, iç ağ mı, yoksa bir uygulamanın kendisi mi olduğu birkaç dakikada ayrılır. Ölçüm yoksa herkes kendi tahminini savunur ve saatler tahminleri denemekle geçer. Aylık raporda kesinti süresi, kapasite eğilimi ve tekrarlayan olaylar yazılı olur.

Üçüncüsü kapasite planlaması. Bant genişliğinin ne zaman yetmez hale geleceği, hangi switch portlarının dolduğu ve hangi erişim noktasının aşırı yüklendiği eğilim verisinden görülür. Yatırım kararı böylece şikâyet üzerine değil, veriye bakılarak alınır. İstanbul yazılım tarafındaki çok lokasyonlu müşterilerimizde bu veri, bütçe döneminde en çok işe yarayan çıktı oluyor.

Kamera, yazıcı ve akıllı cihazlar: ağa bağlı ama kimsenin bakmadığı

Bir kurumda internete bağlı cihazları saydığınızda bilgisayar ve telefon sayısının çok üstüne çıkarsınız. Kameralar, ağ yazıcıları, kartlı geçiş sistemleri, klima kontrolcüleri, kasa cihazları, akıllı televizyonlar. Bunların ortak yanı şudur: kurulumu farklı firmalar yapmıştır, hiçbiri güncellenmez ve çoğunun parolası kutudan çıktığı gibidir.

Güvenlik açısından bakıldığında bu cihazlar ağın en zayıf halkasıdır. Bir kamera kaydedicisinin ele geçirilmesi tek başına ciddi bir olaydır; ama asıl risk, o cihazın kurum ağının geri kalanına açılan bir köprüye dönüşmesidir. Yıllardır yaması gelmeyen bir cihaz düz bir ağda duruyorsa, saldırgan için giriş kapısı hazır demektir.

Çözüm bu cihazları ayrı bir segmente almaktır. Kamera ağı yalnızca kaydediciyle konuşur, internete çıkması gerekmiyorsa hiç çıkmaz. Yazıcılar ayrı bir segmentte durur ve yalnızca yazdırma trafiğine izin verilir. Bu düzen kurulduğunda, güncellenemeyen bir cihaz bile ağın geri kalanı için tehdit olmaktan çıkar.

Envanter tutmak da bu işin parçası. Hangi cihaz nerede, hangi porta bağlı, hangi yazılım sürümünü çalıştırıyor ve kim sorumlu — bunlar bir tabloda durmadığında kimse cihazların varlığını hatırlamıyor. Saha keşfinde çıkardığımız envanter, çoğu kurumda ilk kez o gün oluşuyor ve genellikle kimsenin bilmediği birkaç cihaz ortaya çıkıyor.

Devralınabilir bir ağ bırakmak

Bir hizmet sağlayıcının kurduğu ağın en önemli özelliği, o sağlayıcı olmadan da anlaşılabilir olmasıdır. Sahada gördüğümüz kötü örneklerin ortak yanı ise şu: parolalar tek kişide, şema yok, yapılandırma yalnızca cihazın üzerinde, kimin neyi neden yaptığı belirsiz. Böyle bir ağı devralmak, sıfırdan kurmakla neredeyse aynı maliyete çıkıyor.

Biz tersini yapıyoruz. Ağ şeması, IP planı, VLAN tablosu, firewall kural gerekçeleri, cihaz envanteri ve yapılandırma dosyaları kuruma teslim edilir. Erişim bilgileri kurumun kendi kasasında durur; bizim erişimimiz ayrı hesaplarla ve kayıt altında olur. Sözleşme bittiğinde teslim edilecek bir şey aramaya gerek kalmaz, çünkü her şey zaten kurumdadır.

Bunun ticari karşılığı da var: kurum bizimle çalışmaya devam ediyorsa bunu mecburiyetten değil tercihen yapıyor demektir. Sürekli yönetim hizmetini aylık olarak veriyoruz ve kapsamı yazılı — izleme, kural gözden geçirme, yazılım güncellemeleri, kesinti müdahalesi ve dönemsel yedek. Kurulum projesi ise sabit bedelli ve kapsamı keşif raporunda tanımlı.

Son olarak sınır çizmek: her ağ probleminin cevabı yeni donanım değildir ve olmayan bir ihtiyaç için teklif yazmıyoruz. Keşif raporu bazen mevcut kurulumun yeterli olduğunu, yalnızca birkaç ayarın değişmesi gerektiğini söylüyor. O rapor da bir çıktıdır ve kurumda kalır — ağ altyapısı yatırımını ertelemenin de bilinçli bir karar olması gerekir.

Sıkça sorulan sorular

Mevcut cihazlarımız kullanılabilir mi, yoksa hepsini değiştirmek mi gerekiyor?
Çoğu zaman büyük kısmı kalır. Saha keşfinde her cihazın modeli, yazılım sürümü ve üretici destek durumu çıkarılır; hangisinin yeterli olduğunu ve hangisinin değişmesi gerektiğini gerekçesiyle raporlarız. Değişim önerimiz varsa nedeni yazılıdır: kapasite yetersizliği, güvenlik güncellemesinin gelmemesi ya da üretici desteğinin bitmiş olması.
VPN kurulumunda hangi teknolojiyi kullanıyorsunuz?
İhtiyaca göre WireGuard, IPsec veya OpenVPN. WireGuard modern kurulumlarda hız ve basitlikle öne çıkıyor; mevcut cihazınız yalnızca IPsec destekliyorsa onunla ilerliyoruz. Şubeler arasında site-to-site, uzaktan çalışan için istemci VPN kuruyoruz ve her ikisinde de çok faktörlü doğrulama öneriyoruz.
Router ve switch yapılandırmalarının yedeği kimde duruyor?
Yapılandırma dosyaları sürüm kontrollü bir depoda tutulur ve kopyası kurumda kalır. Her değişiklik öncesi ve sonrası fark görülebilir, hatalı bir kural dakikalar içinde geri alınır. Sözleşme bittiğinde tüm yapılandırmalar, ağ şeması ve erişim bilgileri kuruma teslim edilir.
Ağ izleme neleri kapsıyor ve uyarı kime gidiyor?
Hat kesintisi, bant genişliği doygunluğu, arayüz hata sayaçları, cihaz sıcaklığı ve kritik servislerin erişilebilirliği izlenir. Uyarılar doğrudan bize düşer; kritik seviyedekiler kurumdaki yetkiliye de iletilir. Aylık rapor kesinti süresini, kapasite eğilimini ve tekrarlayan olayları içerir.
Misafir ağını kurum ağından ayırmak neden zorunlu?
Aynı ağa bağlı bir misafir cihazı kurum içi sunuculara, yazıcılara ve kamera sistemine erişebilir. VLAN segmentasyonu bu geçişi kapatır. Halka açık ağ veren işletmelerde ayrıca 5651 kapsamında kayıt tutma yükümlülüğü bulunuyor; misafir ağını ayrı kurmak bu iki gereksinimi aynı anda karşılıyor.
Kurulum sırasında işimiz duracak mı?
Geçiş planı önceden yazılır, kesinti gerektiren adımlar mesai dışına alınır. Kritik altyapılarda geçici paralel çalışma kurgulanır ve geri dönüş adımı her zaman hazır tutulur. Beklenen kesinti süresi teklifte yazılı olur; sürpriz bir kapanma planlanmaz.
Fabrika ve otel gibi ortamlarda kablosuz kapsama nasıl garanti ediliyor?
Kurulum öncesi saha ölçümü yapılır; metal yüzey, beton duvar, raf yerleşimi ve komşu ağların etkisi ölçümle görülür. Erişim noktası sayısı ve konumu bu ölçüme göre planlanır. Kurulumdan sonra ikinci bir ölçümle kapsama doğrulanır ve rapor edilir.
Hizmet nasıl fiyatlanıyor?
Kurulum projesi sabit bedelle, sürekli yönetim ve izleme aylık hizmet olarak fiyatlanır. Saha keşfi ve tasarım raporu ayrı bir ilk adımdır; raporu aldıktan sonra kuruluma başka bir ekiple devam etmek isterseniz belgeler yine sizindir.