Kısa cevap

Access port tek bir VLAN'a aittir ve trafiği etiketsiz taşır; ucuna bilgisayar, yazıcı veya kamera gibi VLAN'dan habersiz cihazlar bağlanır. Trunk port ise birden fazla VLAN'ı etiketli taşır ve genellikle iki ağ cihazı arasında kullanılır.

Karar ölçütü tek cümlede#

Portun ucundaki cihaz VLAN etiketini anlıyor mu?

  • Anlamıyorsa → access
  • Anlıyorsa ve birden fazla VLAN taşınacaksa → trunk

Bir bilgisayar 802.1Q etiketli kare beklemez; ona etiketli trafik gönderirseniz kareyi işleyemez. Bir anahtar ise etiketi bekler, çünkü karenin hangi VLAN'a ait olduğunu başka türlü bilemez.

Access ve trunk port karşılaştırması
ÖlçütAccessTrunk
Taşınan VLAN sayısıBirBirden fazla
EtiketlemeEtiketsizEtiketli (native VLAN hariç)
Tipik karşı uçBilgisayar, yazıcı, kameraAnahtar, yönlendirici, hypervisor host
Yapılandırma hatasının sonucuCihaz yanlış ağa düşerVLAN’lar birbirine sızabilir

Tablo yatay olarak kaydırılabilir.

Native VLAN#

Trunk üzerinde bir VLAN etiketsiz taşınabilir; buna native VLAN denir. Amacı, etiket anlamayan eski cihazlarla uyumluluktur.

Native VLAN iki uçta aynı tanımlanmalıdır. Farklı tanımlanırsa, bir uçta bir VLAN'a ait olan etiketsiz trafik diğer uçta başka bir VLAN'a düşer. Bu, fark edilmesi zor ve sonuçları ciddi bir yapılandırma hatasıdır.

Sanallaştırma ortamlarında trunk#

Hypervisor host'larının bağlandığı portlar genellikle trunk yapılandırılır. Nedeni basittir: aynı fiziksel ağ kartının arkasında farklı VLAN'lara ait çok sayıda sanal makine bulunur.

Bu durumda etiketleme işini sanal anahtar üstlenir; fiziksel anahtar ise ilgili VLAN'ların hepsini trunk üzerinden host'a taşır.

Sık yapılan hatalar#

Devreye almadan önce kontrol edin

  1. İki uçtaki port modları uyumlu mu? (Bir uç access, diğer uç trunk ise bağlantı beklendiği gibi çalışmaz.)
  2. Native VLAN her iki uçta aynı mı?
  3. Trunk üzerinde yalnızca gerekli VLAN'lar mı taşınıyor?
  4. Access portlara yanlışlıkla ağ cihazı bağlanmış olabilir mi?
  5. Kullanılmayan portlar kapalı ya da kullanılmayan bir VLAN'a alınmış mı?

Otomatik trunk anlaşmasına dikkat#

Bazı platformlarda portlar, karşı uçla anlaşarak kendiliğinden trunk moduna geçebilir. Kolaylık gibi görünse de bu davranış, ağa bağlanan bir cihazın trunk elde etmesine zemin hazırlayabilir.

Üretim ortamlarında yaygın uygulama, port modunu açıkça belirlemek ve otomatik anlaşmayı kapatmaktır. Bu ayarın adı ve varsayılan davranışı platforma göre değiştiği için kullandığınız cihazın dokümantasyonundan doğrulayın.

Bir port hem access hem trunk olabilir mi?#

Tam olarak değil, ama pratikte buna çok yaklaşan bir yapılandırma vardır: IP telefonların bağlandığı portlar.

Bu portlarda telefon ses trafiğini etiketli gönderir, telefonun arkasına takılan bilgisayarın trafiği ise etiketsiz geçer. Anahtar tarafında bu genellikle "access port + ses VLAN'ı" biçiminde tanımlanır; teknik olarak yalnızca iki VLAN taşıyan sınırlı bir trunk'tır.

Bunun dışında bir portu aynı anda hem access hem trunk yapmak diye bir mod yoktur. Port ya etiketsiz tek VLAN taşır ya da etiketli birden fazla VLAN taşır.

Hayır, ve bu iki kavram isim benzerliği yüzünden sık karışır.

  • Trunk, tek bir bağlantı üzerinden birden fazla VLAN taşımakla ilgilidir. Amaç: VLAN çeşitliliği.
  • Link aggregation (LACP, 802.3ad), birden fazla fiziksel bağlantıyı tek mantıksal bağlantı gibi çalıştırmakla ilgilidir. Amaç: bant genişliği ve yedeklilik.

İkisi birbirinin alternatifi değil; bir araya getirilmiş bağlantı grubunun kendisi de trunk olarak yapılandırılabilir.

Etiketli bir kare access porta gelirse ne olur?#

Beklenen davranış, karenin düşürülmesidir: access port tek bir VLAN'a aittir ve gelen trafiğin etiketsiz olmasını bekler.

Ancak buradaki ayrıntı platforma göre değişir. Bazı anahtarlar etiketi portun kendi VLAN'ıyla aynıysa kareyi kabul eder, farklıysa düşürür; bazıları giriş filtresi ayarına göre davranır. Bu yüzden "etiketli kare access porta gelirse mutlaka düşer" varsayımını bir güvenlik önlemi olarak kullanmak doğru değildir.

Güvenlik tarafında dayanılması gereken şey portun modunun açıkça belirlenmiş olmasıdır — otomatik anlaşmanın kapalı olması, kullanılmayan portların kapatılması ve native VLAN'ın kullanıcı trafiği taşımaması.

Yanlış yapılandırılmış port nasıl bulunur?#

Belirti genellikle nettir: cihaz ağa çıkıyor ama beklediği sunuculara erişemiyor, ya da IP adresi almıyor.

İzlenecek sıra

  1. Cihaz IP adresi alıyor mu? Alıyorsa hangi aralıktan? Beklenmeyen bir aralık, portun yanlış VLAN'a atandığını gösterir.
  2. Portun mevcut modu ne? Access olması gerekirken trunk moduna geçmiş olabilir.
  3. İki uçtaki native VLAN aynı mı? Etiketsiz trafiğin karşı tarafta başka bir VLAN'a düşmesi bu uyumsuzluktan kaynaklanır.
  4. Trunk üzerinde ilgili VLAN gerçekten taşınıyor mu? VLAN listesi sınırlandırılmışsa yeni eklenen bir VLAN listede olmayabilir.
  5. VLAN anahtarda tanımlı mı? Porta atanmış ama anahtarda oluşturulmamış bir VLAN sessizce çalışmaz.

Bu beş adım, port yapılandırmasından kaynaklanan sorunların büyük bölümünü kapsar. Sorun bunlardan sonra da sürüyorsa nedeni genellikle port değil, VLAN'lar arası yönlendirme tarafındadır.

Ağ şemasında hangi bağlantının trunk olduğu nasıl görülür?#

Bir şemaya bakarken port modları genellikle yazılı değildir, ama bağlantının nerede durduğu çoğu zaman yeterli ipucunu verir.

Kural, yazının başındaki karar ölçütünün şema üzerindeki karşılığıdır: iki ağ cihazını birbirine bağlayan hatlar trunk adayıdır, uç cihazlara giden hatlar access'tir.

  • Anahtar ile anahtar arasındaki hat → trunk
  • Anahtar ile yönlendirici arasındaki hat → trunk (birden fazla VLAN yönlendiriliyorsa)
  • Anahtar ile hypervisor host arasındaki hat → genellikle trunk
  • Anahtar ile bilgisayar, yazıcı, kamera arasındaki hat → access

Bu ayrımı görebilmek için şemanın cihaz rollerini ayırt edecek biçimde çizilmiş olması gerekir. Yıldız topolojide anahtarların nasıl konumlandığı ve merkez ile uç cihazların şemada nasıl ayrıldığı, tam olarak bu okumayı mümkün kılan şeydir.

Önemli noktalar

  • Access port tek VLAN'ı etiketsiz, trunk port birden fazla VLAN'ı etiketli taşır.
  • Karar ölçütü, karşı uçtaki cihazın etiketi anlayıp anlamadığıdır.
  • Native VLAN iki uçta aynı olmalı ve tercihen kullanıcı trafiği taşımamalıdır.
  • Trunk üzerinde taşınan VLAN listesi açıkça sınırlandırılmalıdır.