Cisco Catalyst L3 Anahtarlarda VLAN Segmentasyonu, SVI ve Inter-VLAN Routing Mimarisi

Düz (flat) bir ağda 300 bilgisayar, 50 yazıcı, sunucular ve güvenlik kameralarının aynı 192.168.1.0/24 ağında yaşadığını düşünün. Bir muhasebe personeli internetten indirdiği zararlı yazılımla ağdaki tüm sunuculara engelsizce erişebilir; üstelik ağdaki broadcast paketleri anahtarların işlemcilerini boğar. Kurumsal omurganın temeli, VLAN Segmentasyonu ve Layer-3 Inter-VLAN Yönlendirmesidir.

1. VLAN Haritası ve Yetki Matrisi Tasarımı

Örnek kurumsal VLAN topolojimiz:

• VLAN 10 - YONETIM: 10.10.10.0/24 (Switch, Firewall, iDRAC OOB yönetimi)
• VLAN 20 - SUNUCU: 10.10.20.0/24 (Active Directory, SQL, ERP sunucuları)
• VLAN 30 - KULLANICI: 10.10.30.0/23 (Personel bilgisayarları ve laptoplar)
• VLAN 40 - IP_TELEFON: 10.10.40.0/24 (VoIP santral ve masaüstü telefonlar)
• VLAN 50 - GUVENLIK_KAMERA: 10.10.50.0/24 (NVR ve IP kameralar)
• VLAN 90 - MISAFIR: 192.168.90.0/24 (Yalnızca internete açık misafir Wi-Fi)

2. Cisco IOS CLI Üzerinde SVI (Switch Virtual Interface) Yapılandırması

Trafiğin güvenlik duvarına (firewall) gidip orada darboğaz yaratmaması için yerel yönlendirme Layer-3 omurga anahtar (Core Switch) üzerinde yapılmalıdır:

! Global Yönlendirmeyi Aktif Etme
ip routing

! VLAN Tanımlamaları
vlan 10
 name MGMT
vlan 20
 name SERVERS
vlan 30
 name USERS
!
! SVI Ağ Geçitleri (Default Gateway)
interface Vlan10
 ip address 10.10.10.1 255.255.255.0
 no shutdown
!
interface Vlan20
 ip address 10.10.20.1 255.255.255.0
 no shutdown
!
interface Vlan30
 ip address 10.10.30.1 255.255.254.0
 ip helper-address 10.10.20.10   ! DHCP Sunucusuna Yönlendirme (Relay Agent)
 no shutdown
!
! Varsayılan İnternet Rotası (Next-Hop -> Güvenlik Duvarı)
ip route 0.0.0.0 0.0.0.0 10.10.10.254

3. Erişim Denetim Listeleri (ACL) ile İzolasyon

Kullanıcıların (VLAN 30) sunuculara (VLAN 20) doğrudan RDP/SSH yapmasını engellemek, yalnızca belirli portlara izin vermek için genişletilmiş (Extended) ACL uygulanır:

ip access-list extended ACL_USERS_TO_SERVERS
 ! Active Directory, DNS ve Web ERP servislerine izin ver
 permit tcp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 80
 permit tcp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 443
 permit tcp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 88
 permit udp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 53
 ! Doğrudan RDP (Port 3389) ve SSH (Port 22) engelle!
 deny tcp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 3389 log
 deny tcp 10.10.30.0 0.0.1.255 10.10.20.0 0.0.0.255 eq 22 log
 ! Geri kalan tüm yönlendirmelere izin ver
 permit ip any any
!
interface Vlan30
 ip access-group ACL_USERS_TO_SERVERS in

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• DHCP Helper Unutulması: Kullanıcı VLAN'ında bilgisayarlar IP alamıyorsa, SVI altına ip helper-address <DHCP_IP> girilip girilmediğini kontrol edin. DHCP yayın (broadcast) paketleri router veya L3 switch üzerinden varsayılan olarak geçemez.
• Trunk Portlarda Native VLAN Uyuşmazlığı: Kenar (edge) switchler ile omurga switch arasındaki trunk portlarda CDP-4-NATIVE_VLAN_MISMATCH hatası alıyorsanız, her iki taraftaki switchport trunk native vlan ayarını eşitleyin (Güvenlik gereği varsayılan VLAN 1 yerine kullanılmayan bir VLAN, örn: VLAN 999 native yapılmalıdır).

Mühendis Notu

Yönetim trafiğini (MGMT) asla kullanıcı VLAN'ı ile karıştırmayın. Switchlerin IP adresleri, sunucuların iDRAC kartları ve firewall yönetim bacakları yalnızca ayrı bir VLAN'dan ve sadece Bilgi İşlem odasındaki izinli IP'lerden erişilebilir olmalıdır.