VLAN ve Gerçek Ağ Güvenliği Arasındaki Fark

“Ağımızı VLAN’lara ayırdık, segmentasyon tamam” cümlesi güvenlik değerlendirmelerinde sık duyulur. VLAN’lar ağ yönetimi açısından değerli bir araçtır; ancak tek başına bir güvenlik sınırı oluşturmaz. Bu rehber farkı ve gerçek ağ güvenliği için gereken tamamlayıcı kontrolleri açıklar.

VLAN ne yapar, ne yapmaz?

IEEE 802.1Q VLAN’lar, aynı fiziksel switch altyapısını mantıksal yayın alanlarına (broadcast domain) böler. Farklı VLAN’daki cihazlar birbirine doğrudan Katman 2 üzerinden ulaşamaz; iletişim için yönlendirme gerekir. Sorun şudur: çoğu kurumda VLAN arası yönlendirme çekirdek switch üzerinde, herhangi bir filtre olmadan yapılır. Bu durumda tüm VLAN’lar birbirine tamamen açıktır.

Gerçek ayrım için dört tamamlayıcı kontrol

1. Segmentler arası trafiği denetleyin

VLAN arası yönlendirmeyi firewall üzerinden yapmak veya en azından switch ACL’leriyle sınırlamak gerekir. Varsayılan tutum “engelle, gerekeni izin ver” olmalıdır; izin verilen her akış belgelenmelidir.

2. Ağa erişimi kontrol edin

Boş bir porta takılan cihaz kullanıcı VLAN’ına düşüyorsa segmentasyonun anlamı azalır. 802.1X veya MAC tabanlı kimlik doğrulama (NAC) ile cihazlar kimliklerine göre doğru VLAN’a alınır; tanınmayan cihazlar misafir veya karantina ağına düşer.

3. Katman 2 saldırılarına karşı switch ayarları

• Kullanılmayan portları kapatın ve kullanılmayan bir VLAN’a atayın.
• Trunk portlarda yalnızca gerekli VLAN’lara izin verin; yerel (native) VLAN’ı kullanıcı trafiği için kullanmayın (VLAN hopping riskini azaltır).
• DHCP snooping, Dynamic ARP Inspection ve port güvenliği gibi özellikleri değerlendirin.

4. Yönetim ağını ayırın

Switch, firewall, hypervisor ve sunucu yönetim kartları (iDRAC/iLO) ayrı bir yönetim segmentinde olmalı ve yalnızca yönetim istasyonlarından erişilebilmelidir.

Örnek: kamera ve IoT ağı

IP kameralar ve yazıcılar genellikle güncelleme alamayan, zayıf yönetim arayüzlerine sahip cihazlardır. Ayrı VLAN’a almak ilk adımdır; asıl koruma, bu VLAN’dan yalnızca kayıt sunucusuna (NVR) giden trafiğe izin veren ve internete çıkışı kapatan politikadır.

VLAN ve yönlendirme altyapısının kurulumu için Eretek Network VLAN, Routing ve Ağ Segmentasyonu hizmetine; segmentler arası güvenlik politikaları ve erişim kontrolü için Ağ Güvenliği ve Segmentasyon ile Firewall Kural Yönetimi sayfalarımıza bakabilirsiniz.