VLAN Nedir? Misafir ve Kurumsal Ağı Segmentasyonla Doğru Ayırmak
Wispotter; havalimanı, perakende, otel ve kurumsal ağlarda misafir Wi-Fi ve ağ yönetimi çözümleri sunar. Referanslarımıza buradan ulaşabilirsiniz.
Aynı fiziksel altyapı üzerinde hem misafirlerin telefonları, hem çalışanların bilgisayarları, hem de kameralar ve yazıcılar çalışıyorsa, güvenliğin ilk adımı segmentasyondur. Segmentasyon, farklı cihaz gruplarını mantıksal olarak ayrı ağlara bölerek bir sorunun diğer gruplara sıçramasını engeller.
VLAN Nedir?
VLAN (Virtual Local Area Network, sanal yerel ağ), tek bir fiziksel ağ altyapısını mantıksal olarak birbirinden ayrı ağlara bölen bir yöntemdir. IEEE 802.1Q standardıyla tanımlanır: switch ve access point'ler, her veri paketine ait olduğu VLAN'ı belirten bir etiket ekler. Böylece aynı kabloyu ve aynı cihazları kullanan misafir ve çalışan trafiği, güvenlik duvarı izin vermedikçe birbirine karışmaz.
Misafir Ağı Neden İzole Edilmeli?
Misafir cihazlarının güvenlik durumunu kontrol edemezsiniz. Zararlı yazılım bulaşmış bir misafir cihazı, ayrım yoksa aynı ağdaki yazıcıları, kameraları ya da dosya paylaşımlarını görebilir. VLAN'lar ve güvenlik duvarı kuralları bu görünürlüğü ortadan kaldırır.
Fidye yazılımları (ransomware) çoğunlukla ağdaki açık servisleri tarayarak yayılır. İzole edilmiş bir misafir ağında enfekte bir cihaz yalnızca internete çıkabilir; şirket sunucularına ve paylaşımlarına ulaşamaz. Kameralar ve akıllı TV'ler gibi güncelleme alması zor IoT cihazlarını da ayrı bir VLAN'da tutmak aynı mantıkla önerilir.
| Segment | Kimler/Neler | Temel Kural |
|---|---|---|
| Misafir | Ziyaretçi cihazları | Yalnızca internet; iç ağa erişim yok; istemci izolasyonu açık |
| Çalışan | Şirket cihazları | 802.1X ile kimlik doğrulama, kurumsal kaynaklara erişim |
| IoT / Cihaz | Kamera, yazıcı, sensör, POS | Yalnızca gerekli hedefler; internet kısıtlı |
| Yönetim | Switch, access point, controller | Yalnızca yönetici cihazlarından erişim |
Segmentasyon Kontrol Listesi
- ✅ İstemci izolasyonu: Misafir ağında cihazların birbirini görmesini engelleyin.
- ✅ Güvenlik duvarı kuralları: Misafir VLAN'ından iç ağ adres bloklarına erişimi açıkça reddedin.
- ✅ DNS ve DHCP ayrımı: Misafir ağına ayrı adres aralığı ve mümkünse ayrı DNS politikası tanımlayın.
- ✅ Bant genişliği ayrımı: Misafir trafiğinin kurumsal trafiği ezmemesi için sınır koyun.
- ✅ Süreli erişim: Misafir erişimleri belirli bir süre sonunda otomatik geçersiz olmalıdır.
- ✅ Düzenli test: Misafir ağından iç ağa erişim denemesi yaparak kuralları doğrulayın.
🛠️ Saha Notu (Uygulama Deneyimi)
Segmentasyon projelerinde sık karşılaştığımız bir durum, VLAN'ların oluşturulup switch tarafında "trunk" izinlerinin eksik bırakılmasıdır; misafir ağı çalışıyor gibi görünür ama bazı katlarda kopar. Kurulum sonrası her katta ve her access point'te uçtan uca test yapılması önemlidir.
Sonuç
Segmentasyon bir kez kurulup bırakılacak bir ayar değil; ağ büyüdükçe gözden geçirilmesi gereken bir güvenlik pratiğidir. Kurumsal ortamlar için çözümlerimize At Work sayfasından ulaşabilirsiniz.
Sıkça Sorulan Sorular (FAQ)
Küçük bir ofis için VLAN gerekli mi?
Misafir kabul eden her ofis için en azından misafir ağını ayırmak önerilir; bu çoğu modern router ve access point'te basit bir ayardır.
Segmentasyon performansı düşürür mü?
Doğru yapılandırıldığında belirgin bir performans kaybı yaratmaz; aksine yayın (broadcast) trafiğini azaltarak ağı rahatlatabilir.
Misafir ağı şifresiz olabilir mi?
Şifresiz açık ağ yerine, kullanıcıya şifre sormadan trafiği şifreleyen OWE (Enhanced Open) ya da captive portal ile doğrulanan bir misafir ağı tercih edilmelidir. Ayrıntılar için WPA3 ve OWE yazımıza bakabilirsiniz.
Kaynaklar ve Ek Okumalar
Ağ Mimarinizi Gözden Geçirelim
Misafir, çalışan ve cihaz ağlarının doğru ayrıştırıldığından emin olun.
Ağ İncelemesi Talep Edin