VLAN (sanal yerel ağ), tek bir fiziksel switch altyapısını birbirinden ayrı mantıksal ağlara bölmektir. Aynı switch'e takılı olsalar da farklı VLAN'daki cihazlar birbirini görmez; aralarındaki trafik ancak bir yönlendirici ya da güvenlik duvarı kuralıyla geçer.
Küçük bir ofiste bunun pratik karşılığı şudur: misafir telefonu, kamera kayıt cihazı ve muhasebe bilgisayarı aynı kabloyu ve switch'i kullanır ama birbirine erişemez.
Neden ayrı ağlara ihtiyaç var?
- Güvenlik: Kameralar ve IP telefonlar gibi cihazların yazılımları seyrek güncellenir. Bu cihazlardan birine erişen biri, aynı ağdaki bilgisayarlara da ulaşabilir. Ayrı VLAN bu yolu kapatır.
- Misafir erişimi: Ziyaretçilere verilen kablosuz ağ yalnız internete çıkmalı, şirket sunucusunu görmemelidir.
- Trafik düzeni: Kameraların sürekli video akışı ve telefonların ses trafiği, ofis verisinden ayrı tutulunca öncelik vermek kolaylaşır.
- Arıza sınırı: Bir ağda oluşan yayın fırtınası (ağı dolduran hatalı trafik) diğer VLAN'ları etkilemez.
Örnek plan: 20 kişilik ofis
| VLAN | Ad | Adres bloğu | Erişebildiği yerler |
|---|---|---|---|
| 10 | Ofis | 192.168.10.0/24 | İnternet, sunucu, yazıcılar |
| 20 | Sunucu | 192.168.20.0/24 | İnternet (yalnız güncelleme ve yedek) |
| 30 | Ses | 192.168.30.0/24 | Santral, servis sağlayıcı |
| 40 | Kamera | 192.168.40.0/24 | Yalnız kayıt cihazı; internete çıkamaz |
| 50 | Misafir | 192.168.50.0/24 | Yalnız internet |
| 99 | Yönetim | 192.168.99.0/24 | Switch ve erişim noktası yönetim arayüzleri, yalnız bilgi işlem |
Numara seçimi serbesttir; önemli olan numarayı adres bloğuyla eşleştirip (VLAN 40 = 192.168.40.x) her yerde aynı kullanmaktır. Kamera ağının neden internete kapalı tutulduğunu IP kamera nedir yazısında anlattık.
Etiketli ve etiketsiz port
VLAN'ın switch üzerinde uygulanması iki port türüyle olur. Standart adı 802.1Q'dur.
- Etiketsiz (erişim) port: Yalnız bir VLAN'a aittir. Takılan cihaz VLAN'dan habersizdir. Masadaki bilgisayar, kamera ve yazıcı bu tür porta bağlanır.
- Etiketli (trunk) port: Birden fazla VLAN'ın trafiğini taşır; her paket hangi VLAN'a ait olduğunu gösteren bir etiket taşır. Switch'ler arası bağlantı, güvenlik duvarına giden bağlantı ve birden fazla kablosuz ağ yayan erişim noktası bu tür porta bağlanır.
Örnek port düzeni:
| Port | Bağlı cihaz | Tür | VLAN |
|---|---|---|---|
| 1-20 | Masa bilgisayarları | Etiketsiz | 10 |
| 21-40 | IP telefonlar | Etiketsiz | 30 |
| 41-46 | Kameralar | Etiketsiz | 40 |
| 47 | Kablosuz erişim noktası | Etiketli | 10, 50 (+99 yönetim) |
| 48 | Güvenlik duvarı | Etiketli | 10, 20, 30, 40, 50, 99 |
Telefon ve bilgisayarın masada aynı kabloyu paylaştığı yapılarda port, bilgisayar için etiketsiz VLAN 10, telefon için etiketli VLAN 30 olarak ayarlanır; telefon kendi trafiğini etiketler.
VLAN'lar arası trafik
VLAN'lar kendi aralarında konuşamaz. Ofis bilgisayarının sunucuya ulaşması gibi gerekli geçişler güvenlik duvarında kural olarak yazılır. İlke, her şeyi kapatıp gerekeni açmaktır: "VLAN 10'dan VLAN 20'deki sunucunun dosya paylaşım portuna izin ver, gerisini reddet." Kuralların nasıl kurgulandığını firewall nedir yazısında anlattık.
Switch üzerinde de VLAN'lar arası yönlendirme yapılabilir; hızlıdır ama kural denetimi zayıftır. Küçük ve orta ofislerde yönlendirmeyi güvenlik duvarında yapmak daha kolay yönetilir.
Kurulumdan sonra sık görülen üç arıza
- Cihaz adres alamıyor: Yeni VLAN için güvenlik duvarında adres dağıtımı (DHCP) açılmamıştır ya da trunk portta o VLAN eklenmemiştir.
- Kablosuz ağa bağlanan telefon internete çıkamıyor: Erişim noktası misafir ağını VLAN 50 ile etiketliyor ama switch portunda VLAN 50 tanımlı değildir.
- Switch yönetim arayüzüne ulaşılamıyor: Yönetim VLAN'ı değiştirildikten sonra yöneticinin bilgisayarı eski ağda kalmıştır. Değişiklikten önce yapılandırma yedeği alınmalı ve değişiklik konsol bağlantısıyla yapılmalıdır.
Hangi switch gerekir?
VLAN için yönetilebilir switch şarttır. Yönetilemeyen switch'ler etiketli trafiği ya düşürür ya da tüm VLAN'ları birbirine karıştırır. Mevcut ağınızda bu tür cihazlar varsa ayrım yapılmadan önce değiştirilmeleri gerekir.
Yeni kurulumlarda VLAN planını kablolama ile birlikte hazırlıyoruz; tüm adımları network kurulumu nasıl yapılır yazısında topladık. Mevcut bir ağın ayrılması da ağ ve santral kurulumu hizmetimiz kapsamındadır; gerekli yönetilebilir switch ve erişim noktaları ağ donanımı başlığı altında yer alır.
Destek ve teklif
Bu konudaki kurulum ve destek talepleriniz için iletişim formunu kullanabilirsiniz.
Teklif alın