Uzaktaki kullanıcıyı ve uzaktaki şubeyi kuruma bağlarken tek bir soru var: bu yol açıldığında başka kim geçebiliyor. Tasarımı o soruya göre yapıyoruz.
Done Dynamics; VPN kurulumu, şubeler arası VPN ve uzaktan çalışan erişimi kurgulayan bir ağ altyapısı ekibidir. İki farklı ihtiyacı ayrı ele alıyoruz: bir kişinin evden ya da yoldan kuruma bağlanması ile iki lokasyonun kalıcı olarak tek ağmış gibi çalışması aynı iş değil. Birincisinde kimlik doğrulama ve cihaz güveni belirleyici; ikincisinde adres planı, yönlendirme ve yedeklilik. Her iki kurulumda da yapılandırma dosyalarını sürüm kontrollü tutuyor, tünelleri sürekli izliyor ve hat koptuğunda ne olacağını kurulumdan önce yazıya döküyoruz. Alanya ve Antalya çevresinde yerinde, Türkiye genelinde uzaktan çalışıyoruz.
Devraldığımız ağların büyük bölümünde uzaktan erişim, VPN yerine modem üzerinde bir port yönlendirmesiyle çözülmüş oluyor. Kurulduğu gün çalışır, ilerleyen haftalarda sorun çıkarır.
En sık gördüğümüz kurulum hatası. Muhasebe programına evden erişilsin diye modeme bir port yönlendirmesi yazılır ve konu kapandı sanılır. Kapanmaz: internete açılan bir uzak masaüstü portu, tüm adres uzayını sürekli tarayan otomatik tarayıcılar tarafından dakikalar içinde bulunur. Bulunduktan sonra günün her saati parola deneme trafiği gelmeye başlar ve bir daha durmaz.
3389 yerine 33890 kullanmak koruma değildir. Tarayıcılar tek tek bilinen portları denemekle uğraşmaz; tüm aralığı tarar ve arkadaki servisin ne olduğunu verdiği yanıttan anlar. Standart dışı port yalnızca kendi kayıtlarınızı okumayı zorlaştırır, saldırı yüzeyini küçültmez.
Sızdırılmış parola listeleri ve kurum içinde tekrar kullanılan şifreler yüzünden tek katmanlı erişim uzun ömürlü değil. Deneme trafiği sabit hızda devam ettiği sürece doğru parolanın bulunması istatistiksel bir zaman meselesine dönüşür. Kilitleme politikası bunu yavaşlatır, ortadan kaldırmaz.
Başarısız giriş denemeleri çoğu kurumda zaten kaydediliyor ama kimse bakmıyor. Oysa deneme sayısındaki ani artış bir sonraki adımın habercisidir. Kurduğumuz her erişim yolunda kaydın nereye yazıldığı, ne kadar saklanacağı ve kimin baktığı baştan tanımlanır.
Tek kullanıcının kuruma bağlanması. Kurulumun kolay tarafı tüneli açmak; asıl iş bağlanan kişinin gerçekten o kişi olduğunu, cihazın kuruma ait olduğunu ve tünelin ucunda yalnızca gereken kaynakların açık olduğunu güvenceye almak.
Çok faktörlü doğrulama
Parola artık tek başına yeterli sayılmıyor. İstemci VPN kurulumlarında ikinci faktörü varsayılan olarak açıyoruz: uygulama üretimli tek kullanımlık kod ya da donanım anahtarı. Parola sızsa bile tek başına giriş için yetmez.
Cihaz bazlı yetkilendirme
Kullanıcının doğrulanması işin yarısı; diğer yarısı bağlanan cihazın kuruma ait olup olmadığı. Sertifika tabanlı cihaz kimliğiyle, aynı kullanıcı adı kişisel bir bilgisayardan girildiğinde bağlantı ya kabul edilmez ya da yalnızca sınırlı bir bölüme açılır.
Erişim kapsamının daraltılması
VPN'e bağlanan herkesin tüm ağı görmesi gerekmiyor. Muhasebe personeli sunucu yönetim arayüzüne, saha ekibi muhasebe veritabanına erişmemeli. Tünelin ucunda hangi adreslere ve hangi portlara izin verildiği kullanıcı grubuna göre yazılır.
Bölünmüş tünel kararı
Tüm trafik tünelden mi geçsin, yoksa yalnızca kurum kaynaklarına giden trafik mi? Tümü geçerse kurum kuralları ve içerik filtresi uzaktaki kullanıcıya da uygulanır ama internet hızı merkez hattına bağımlı olur. Yalnızca kurum trafiği geçerse hız korunur, kontrol azalır. Bu teknik bir zorunluluk değil kurumsal bir tercihtir; ikisini de kurabiliyoruz.
DNS sızıntısının kapatılması
Bölünmüş tünelde en çok atlanan ayrıntı. Tünel kurulur, trafik doğru akar ama isim çözümleme cihazın yerel DNS sunucusuna gitmeye devam eder. Sonuç ikiye ayrılır: ya kurum içi sunucu adları hiç çözülmez, ya da kurum içi adlar dışarıdaki bir sunucuya sorulur. Kurulumda DNS yönlendirmesi ayrıca yazılır ve bağlantı sonrası test edilir.
Hesap yaşam döngüsü
İşten ayrılan personelin VPN erişiminin kapatılması kâğıt üzerinde basit ama pratikte en sık aksayan adım. Erişimi kurum kimlik dizinine bağlıyoruz; personel kaydı kapandığında tünel de kapanır, ayrı bir listeyi güncellemek gerekmez.
Site-to-site VPN, iki ya da daha çok lokasyonu kalıcı bir tünelle birbirine bağlar. İstemci VPN'den farkı şudur: kullanıcı hiçbir şey açmaz, hiçbir yere giriş yapmaz. Tünel cihazdan cihaza kurulmuştur ve sürekli ayaktadır; şubedeki bilgisayar merkezdeki sunucuya sanki yan odadaymış gibi erişir. Doğru kurulduğunda kullanıcı VPN'in varlığından haberdar bile olmaz — hedef zaten budur.
Bu yapı yalnızca dosya paylaşımı için kurulmuyor. Şubelerin merkezî kimlik doğrulamaya katılması, kameraların ve telefon santralinin merkezden yönetilmesi, yedekleme trafiğinin genel internete hiç çıkmadan akması hep aynı tünelin üstüne biniyor. Yeni bir şube açıldığında ayrı ayrı düşünülmesi gereken beş farklı konu, tek bir tasarım kararına iniyor.
Sahada gördüğümüz en yaygın site-to-site sorunu bu. Kurulum tamamlanır, iki uç el sıkışır, tünel durumu yeşil görünür — ama şubeden merkeze hiçbir paket ulaşmaz. Sebebi neredeyse her zaman aynıdır: her iki lokasyon da varsayılan olarak gelen aynı yerel adres bloğunu kullanmaktadır. Modemler kutudan çıktığı ayarla devreye alındığında bu kaçınılmaz olur.
Mekanizması şudur: şubedeki bilgisayar merkezdeki bir adrese paket göndermek istediğinde, o adresin kendi yerel ağında olduğunu düşünür ve paketi tünele hiç vermez. Tünel sağlamdır, yönlendirme doğrudur; hata cihazda değil adres planındadır. Bu yüzden çakışmayı kurulum sırasında değil keşif aşamasında yakalıyoruz.
Kalıcı çözüm yeniden numaralandırmadır: her lokasyona kendine ait, üst üste binmeyen bir blok verilir ve bu plan belgelenir. Yeniden numaralandırma mümkün değilse — sabit adres verilmiş yüzlerce cihaz varsa — tünel üzerinde adres dönüşümü uygulayıp her lokasyonu karşı tarafa farklı bir blokla gösteriyoruz. Bu yol çalışır, ama belgesiz bırakıldığında birkaç yıl sonra kimsenin anlamadığı bir ağa dönüşür. Bu yüzden dönüşüm tablosunu yapılandırmayla birlikte teslim ediyoruz.
Örnek adres planı
| Lokasyon | Blok | Kapsam |
|---|---|---|
| Merkez | 10.10.0.0/16 | Sunucu ve personel |
| Şube 1 | 10.21.0.0/16 | Yerel ağ ve kasa |
| Şube 2 | 10.22.0.0/16 | Yerel ağ ve kamera |
| İstemci VPN | 10.90.0.0/16 | Uzaktan kullanıcı havuzu |
Şema örnektir. Önemli olan rakamlar değil ilkedir: her lokasyona ayrı ve tahmin edilebilir bir blok, yeni şube için baştan ayrılmış boşluk, istemci havuzunun şube bloklarından ayrı tutulması.
İki lokasyonda topoloji tartışması yoktur: bir tünel kurulur, iş biter. Üçüncü lokasyon eklendiğinde ilk karar noktası gelir. Yıldız düzeninde — hub-and-spoke — her şube yalnızca merkeze bağlanır. Yönetimi basittir, tünel sayısı lokasyon sayısı kadardır ve tüm trafik merkezden geçtiği için güvenlik kuralları tek yerde toplanır. Bedeli, iki şube arasındaki trafiğin merkez üzerinden dolaşması ve merkez hattının ortak darboğaza dönüşmesidir.
Tam örgü düzeninde her şube her şubeye doğrudan bağlanır. Gecikme en düşük seviyeye iner ama tünel sayısı lokasyon sayısının karesiyle büyür: beş şube on tünel, on şube kırk beş tünel demektir. Bu sayıya elle bakılmaz. Pratikte en çok kurduğumuz düzen ikisinin arasıdır: temel şema yıldız kalır, yalnızca aralarında yoğun trafik olan şubelere doğrudan tünel eklenir. Karar teknik tercihe değil ölçüme dayanır — hangi şubenin hangi şubeyle ne kadar konuştuğunu önce ölçüyoruz.
Üçü de sağlam. Seçimi ideoloji değil, mevcut cihaz listesi ve hız beklentisi belirliyor.
Hız ve sadelik
Kod tabanı küçük olduğu için gözden geçirmesi kolay, bağlantı kurulumu neredeyse anlık. Aynı donanımda IPsec'e göre gözle görülür şekilde daha yüksek aktarım hızı verir. Yapılandırma dosyası kısadır; hatalı kurulum ihtimali düşer.
Ne zaman: Yeni kurulan ağlar, sunucudan sunucuya tüneller, uzaktan çalışan erişimi, yüksek hız gereken şube bağlantıları.
Kurumsal cihaz desteği
Neredeyse her marka router, güvenlik duvarı ve kurumsal modem tarafından destekleniyor. Mevcut cihazları değiştirmeden iki farklı marka arasında tünel kurmak gerektiğinde ortak dil çoğunlukla budur. Karşılığı, daha uzun ve daha hataya açık bir parametre listesi.
Ne zaman: Farklı markaların yan yana durduğu ağlar, devralınan altyapılar, iş ortağı ağına açılan tüneller, denetim gereği belirli şifreleme paketi şart koşulan kurumlar.
Esneklik
Standart web trafiğinin geçtiği port üzerinden çalışabildiği için kısıtlı ağlarda ayakta kalır. Sertifika altyapısı ve kullanıcı bazlı kural yazımı olgun. Bedeli performans: aynı donanımda WireGuard kadar hızlı değildir.
Ne zaman: Otel, havalimanı gibi kısıtlı misafir ağlarından bağlanan kullanıcılar; kullanıcı başına ayrıntılı yetki gereken istemci kurulumları.
Yedekliliğin ölçüsü ikinci hattın varlığı değil, kesinti anında işin devam edip etmediğidir.
Aynı binaya aynı fiber güzergâhından gelen iki abonelik yedeklilik sağlamaz; kazma aynı kabloyu keser. Yedek hattı farklı taşıyıcıdan ya da farklı teknolojiden — mobil geniş bant gibi — seçmek gerekir. Tasarımda ilk sorduğumuz soru budur.
Hat koptuğunda tünelin ikinci hat üzerinden yeniden kurulması saniyeler alır ve bu sürede açık oturumlar düşer. Devralmanın ne kadar sürdüğü ile hangi uygulamanın bunu tolere ettiği baştan yazılır — dosya kopyalama ile kasa oturumu aynı şeyi yaşamaz.
Yedekliliğin en çok atlanan tarafı. Merkeze ulaşamayan şubede kasa satış yapabilmeli, personel giriş yapabilmeli. Hangi servisin şubede yerel çalışmaya devam edeceğine kurulumdan önce karar veriyoruz: yerel kimlik doğrulama kopyası, yerel DNS önbelleği, çevrimdışı çalışabilen kasa yazılımı.
Şubeleri yedeklemek, merkezdeki tek tünel sonlandırıcı cihaz arızalandığında işe yaramaz. Kritik kurulumlarda merkezde ikinci bir sonlandırıcı ve iki cihaz arasında otomatik devir kurulur; şubeler her iki uca da tanımlıdır.
Tünel trafiği şifrelenir ve bunu bir işlemci yapar. Küçük bir router, 1 Gbit hat üzerinde birkaç yüz Mbit tünel hızında tıkanabilir. Donanım hızlandırma desteği olan cihazlarda bu tavan belirgin şekilde yükselir. Belirleyici olan hattın hızı değil cihazın şifreleme kapasitesidir — cihaz seçiminde baktığımız ilk rakam budur.
Klasik sorun ve teşhisi en zor olanı. Tünel başlıkları paketi büyüttüğü için, hat üzerindeki en küçük paket boyutunu aşan trafik parçalanır ya da düşer. Belirti tuhaftır: ping çalışır, küçük istekler gider, ama bazı siteler hiç açılmaz ve dosya kopyalama yarıda durur. Çözüm tünel arayüzünde doğru MTU ve oturum başlangıcında MSS düzeltmesidir.
Şubenin merkeze ne göndereceği ölçülmeden hat seçilmemeli. Kamera akışı, yedekleme penceresi ve uzak masaüstü oturumları birbirinden çok farklı profillerdir. Yükleme hızının indirme hızından düşük olduğu asimetrik hatlarda darboğaz neredeyse her zaman yükleme yönünde çıkar.
Tünel içinde de trafik önceliklendirilebilir. Telefon görüşmesi ve kasa işlemi gecikmeye duyarlıdır; yedekleme değildir. Yedekleme trafiğine tavan koymak ya da onu gece penceresine almak, tek bir ayarla şubedeki gündelik yavaşlığı bitirir.
İzlenmeyen tünel, koptuğunu şubeden gelen telefonla öğrendiğiniz tüneldir. Kurduğumuz her tünel izleme kapsamına giriyor ve uyarı eşiği şikâyetten önce tetiklenecek şekilde ayarlanıyor.
Adres planı kurulumdan önce gelir; çakışma keşifte görülmezse kurulumda zaman kaybettirir.
Lokasyonlar, mevcut cihazlar, hat türleri ve kullanılan IP blokları çıkarılır. Çakışma varsa burada görülür. Çıktı bir şema ve adres planı belgesidir.
Şube sayısına göre yıldız ya da örgü topoloji, cihaz uyumuna göre tünel teknolojisi, yedeklilik seviyesi ve devralma davranışı kararlaştırılır.
Tüneller kurulur, yönlendirme yazılır, erişim kuralları uygulanır, MTU ve MSS ayarlanır. Yapılandırmalar sürüm kontrollü depoya alınır.
Her yön için erişim testi, hat koparma denemesi, devralma süresi ölçümü, DNS ve MTU kontrolü. Test kayıtları rapor olarak teslim edilir.
Tünel izleme devreye alınır, sertifika takvimi kurulur, aylık kullanım raporu üretilir. Yeni şube açılışında şema aynı kalır, yalnızca blok eklenir.
VPN kurulumunu tek seferlik bir iş gibi fiyatlamak yanıltıcı olur. Tünel kurulduğu gün çalışır; asıl maliyet sertifikaların yenilenmesi, hat sağlayıcısı değiştiğinde yapılandırmanın güncellenmesi, yedek hattın periyodik test edilmesi ve kopma anında kimin ne yapacağının belli olmasıdır. Bu yüzden teklifi iki satır halinde yazıyoruz: sabit bedelli kurulum ve aylık işletme. Donanım gerekirse üçüncü satır olarak ayrı görünür. Sözleşmede müdahale süresi ve mesai dışı kapsam açıkça yazılır; arıza anında bunun pazarlığını yapmak kimseye iyi gelmiyor.
Seçimi büyük ölçüde mevcut donanımınız belirliyor. Uçlarda modern cihazlar varsa ve hız önemliyse WireGuard tercih ediyoruz: daha hızlı, yapılandırması daha kısa, hata yapma ihtimali düşük. Farklı markaların yan yana durduğu ya da devralınan bir altyapıda ortak paydayı IPsec sağlıyor; neredeyse her cihaz destekliyor. Kısıtlı misafir ağlarından bağlanılacaksa OpenVPN standart web portu üzerinden çalışabildiği için ayakta kalıyor. Keşif sırasında cihaz listesini çıkarıp hangisinin uygun olduğunu gerekçesiyle birlikte yazıyoruz.
Çoğunlukla evet, ama kontrol edilmeden söylenmemeli. Bakılacak üç şey var: cihazın hangi tünel teknolojilerini desteklediği, şifreleme için donanım hızlandırma olup olmadığı ve üretici desteğinin devam edip etmediği. Desteği bitmiş bir cihaz tünel kursa bile güvenlik yaması almayacağı için tavsiye etmiyoruz. Uyumsuzluk çıkarsa iki yol var: cihazı değiştirmek ya da tünelin ucuna küçük bir sonlandırıcı koyup mevcut cihazı olduğu gibi bırakmak.
Şube sayısı topolojiyi değiştirir. Yaklaşık on lokasyona kadar merkezî yıldız düzeni — hub-and-spoke — hem yönetimi hem maliyeti basit tutar; tüm trafik merkezden geçer. Şubeler arasında doğrudan ve yoğun trafik varsa, ya da merkezden geçmek gecikmeyi kabul edilemez hale getiriyorsa, seçili şubeler arasında doğrudan tünel ekliyoruz. Yirmi lokasyonu aşan kurulumlarda her tüneli elle yazmak sürdürülemez olduğu için şablon tabanlı, merkezden dağıtılan bir yapıya geçiyoruz.
Bu en sık karşılaştığımız engel ve çözümü var. Belirtisi şudur: tünel kurulur, iki uç birbirini görür gibi görünür ama trafik akmaz. Sebep, iki lokasyonun da aynı yerel adres bloğunu kullanmasıdır — cihaz karşı taraftaki adresi kendi ağında sanır ve paketi tünele hiç vermez. Kalıcı çözüm adres planını yeniden düzenlemek ve her lokasyona ayrı blok vermektir. Yeniden numaralandırmanın mümkün olmadığı durumlarda tünel üzerinde adres dönüşümü uygulayıp her lokasyonu karşı tarafa farklı bir blokla gösteriyoruz. İkincisi çalışır ama belgesi olmadan bakımı zordur; bu yüzden mümkün olan her yerde önce adres planını düzeltiyoruz.
Yedekli kurulumlarda tünel ikinci hat üzerinden saniyeler içinde yeniden kurulur; açık oturumlar düşer, uygulamalar yeniden bağlanır. Yedek hat yoksa ya da o da koptuysa asıl soru şudur: şube bu süre boyunca çalışabiliyor mu? Bu yüzden tasarımda hangi servisin şubede yerel çalışmaya devam edeceğini baştan belirliyoruz — kasa yazılımı, yerel kimlik doğrulama, yerel DNS önbelleği. Merkeze bağımlılığı sıfırlamak mümkün değil, ama sıfır ile tam durma arasında geniş bir aralık var ve o aralığı tasarım belirliyor.
Evet. Üç teknolojinin de mobil istemcisi var; IPsec çoğu telefonda işletim sistemine gömülü geldiği için ek uygulama bile gerekmiyor. Mobil cihazlarda dikkat ettiğimiz iki başlık şu: kişisel telefondan kuruma bağlanılacaksa erişim kapsamının daraltılması, ve cihaz kaybolduğunda o cihaza ait anahtarın tek başına iptal edilebilmesi. İkincisi için her cihaza ayrı anahtar tanımlıyoruz, ortak profil dağıtmıyoruz.
Evet, ve bu hem işletme hem mevzuat açısından gerekli. Kim, ne zaman, hangi cihazla bağlandı ve oturum ne kadar sürdü bilgisi kaydediliyor. Kayıtların nerede saklanacağı, ne kadar süreyle tutulacağı ve kimin erişebileceği kurulumla birlikte yazılıyor. Trafik içeriğini kaydetmiyoruz; kaydedilmesi gereken bağlantı meta verisidir, tünelden geçen verinin kendisi değil.
İşi iki kaleme ayırıyoruz. Birincisi kurulum: keşif, adres planı, tasarım, tünellerin kurulması ve doğrulama testleri. Bu sabit bedelli çalışılıyor ve kapsamını lokasyon sayısı ile mevcut cihazların durumu belirliyor. İkincisi süreklilik: tünel izleme, sertifika yenileme, yapılandırma yedeği, arıza müdahalesi ve aylık rapor. Bu aylık hizmet bedeli olarak yazılıyor. Donanım gerekiyorsa üçüncü bir kalem olarak ayrı listeleniyor; cihaz satışını kurulum bedelinin içine gizlemiyoruz.
İlgili hizmetler
Ağ tasarımı, kablolama, VLAN şeması, izleme ve sürekli yönetim — VPN'in üzerine oturduğu üst katman.
Tünelin ucundaki kural setini yazan katman: kim nereye erişebilir, hangi trafik kayıt altına alınır.
Tünelin taşındığı cihazların yapılandırması: yönlendirme, WAN failover, VLAN ve sürüm kontrollü config.
Tünelin diğer ucundaki sunucular: barındırma, yedekleme ve erişim yönetimiyle birlikte.
Tünel izleme, sertifika takvimi ve arıza müdahalesini üstlenen sürekli destek hizmeti.
Ekibimizle 30 dakikalık ücretsiz bir keşif görüşmesi planlayın.
Ağ ve siber güvenlik işlerini, uluslararası geçerli Cisco sertifikasyonuna sahip ekiple yürütüyoruz.
Veren kurum: Cisco · Sahibi: Devrim Tunçer
Güvenlik operasyon merkezi (SOC) yetkinliğini belgeleyen sertifika: güvenlik izleme, olay müdahalesi ve ağ saldırılarının analizi. Sızma tespiti, log korelasyonu ve olay sonrası müdahale gerektiren işlerde dayandığımız temel budur.
Cisco eğitim sertifikası · Ocak 2023'te tamamlandı
Ağ temellerini kapsar: yönlendirme, anahtarlama, IP adresleme ve ağ güvenliği. Kurumsal ağ kurulumu ile segmentasyon işlerinde kullandığımız bilgi tabanı.