VLAN Nedir ve Neyi Çözer?

Kısa cevap

VLAN, aynı fiziksel anahtar üzerindeki cihazları birbirinden yayın (broadcast) düzeyinde ayrılmış mantıksal ağlara bölme yöntemidir. Ayrı VLAN'lardaki iki cihaz, aynı kabloya bağlı olsalar bile doğrudan haberleşemez; araya bir yönlendirme katmanı girmesi gerekir.

Çözdüğü sorun#

VLAN'sız bir anahtarda tüm portlar tek bir yayın alanındadır. Bir cihaz yayın (broadcast) gönderdiğinde, bu kare anahtarın tüm portlarına iletilir. Ağ büyüdükçe bunun iki sonucu olur:

• Gereksiz trafik. Her cihaz, kendisini ilgilendirmeyen yayınları işlemek zorunda kalır.
• Yetersiz ayrım. Misafir bir cihaz ile muhasebe bilgisayarı aynı ağda bulunur.

VLAN her ikisini de çözer: tek bir fiziksel anahtar, birbirinden bağımsız birkaç anahtar gibi davranır.

Etiket nereye ekleniyor?#

Bir kare aynı anahtar içinde kaldığı sürece etikete gerek yoktur; anahtar hangi portun hangi VLAN'a ait olduğunu zaten bilir. Etiket, kare iki anahtar arasında taşınırken gerekir: karşı taraf, gelen karenin hangi VLAN'a ait olduğunu bilmek zorundadır.

IEEE 802.1Q bu amaçla Ethernet karesinin içine 4 baytlık bir etiket ekler. Etiketin içinde VLAN kimliği (VID) 12 bitlik bir alandır. Bu da 4096 değer demektir; 0 ve 4095 ayrılmış olduğu için pratikte 1–4094 aralığı kullanılır.

VLAN'lar nasıl haberleşir?#

VLAN'lar tanım gereği birbirinden ayrıdır. İki VLAN arasındaki trafiğin geçebilmesi için bir yönlendirme (routing) katmanı gerekir: bir yönlendirici veya Layer 3 anahtar.

Bu, VLAN'ın aynı zamanda bir güvenlik aracı olarak kullanılmasını sağlar: trafiğin nereden nereye geçebileceği yönlendirme noktasında erişim listeleriyle denetlenebilir.

Sık yapılan hatalar#

• Yönetim VLAN'ını kullanıcı VLAN'ıyla aynı tutmak. Anahtar yönetim arayüzleri ayrı bir VLAN'da tutulmalıdır.
• Her şey için ayrı VLAN açmak. Gereğinden fazla VLAN, yönlendirme ve erişim kurallarını yönetilemez hâle getirir.
• Trunk portlarda gereksiz VLAN taşımak. Bir hat üzerinde yalnızca gerçekten gereken VLAN'lar taşınmalıdır.
• Numaralandırmayı belgelememek. VLAN numaraları zamanla anlamını yitirir; basit bir tablo bile sonradan çok işe yarar.

VLAN ile subnet aynı şey mi?#

Hayır. Aynı şey olmadıkları hâlde neredeyse her zaman birlikte kullanıldıkları için aynı sanılırlar.

• VLAN, ikinci katmanda bir yayın alanıdır. Hangi cihazların birbirini doğrudan görebileceğini belirler.
• Subnet, üçüncü katmanda bir adres aralığıdır. Hangi IP adreslerinin aynı ağda sayılacağını belirler.

Pratikte bir VLAN'a bir subnet karşılık gelir; çünkü aynı yayın alanındaki cihazların aynı adres aralığında olması yönetimi basitleştirir. Ama bu bir zorunluluk değil, bir tasarım tercihidir. Teknik olarak tek VLAN içinde birden fazla subnet çalıştırılabilir — yalnızca sonucu teşhis etmesi zor bir ağdır.

En fazla kaç VLAN tanımlanabilir?#

802.1Q etiketindeki VLAN kimliği alanı 12 bittir. Bu da 4096 değer demektir; 0 ve 4095 ayrıldığı için kullanılabilir aralık 1–4094'tür.

Bu sayı çoğu kurum ağı için fazlasıyla yeterlidir. Sınıra yaklaşan ortamlar genellikle çok kiracılı servis sağlayıcı ağlarıdır ve orada VXLAN gibi 24 bitlik kimlik kullanan kapsülleme yöntemlerine geçilir.

Ayrıca kâğıt üzerindeki sınır ile cihazın sınırı aynı şey değildir. Bir anahtarın aynı anda destekleyebileceği aktif VLAN sayısı modele göre daha düşük olabilir; bu bilgi cihazın veri sayfasındadır.

VLAN güvenlik önlemi sayılır mı?#

Kısmen. VLAN, farklı grupların trafiğini birbirinden ayırarak saldırı yüzeyini küçültür — kamera ağındaki bir cihazın sunucu ağını doğrudan taramasını engeller. Bu gerçek bir kazançtır.

Ama VLAN tek başına bir güvenlik sınırı değildir:

• VLAN'lar arası trafik zaten bir yönlendirici ya da üçüncü katman anahtar üzerinden geçer. Orada kural yoksa ayrım pratikte anlamını yitirir.
• Yanlış yapılandırılmış bir trunk port, bir VLAN'daki cihazın başka VLAN'lara erişmesine zemin hazırlayabilir.
• Aynı VLAN içindeki cihazlar birbirine tamamen açıktır.

Yaygın yaklaşım, VLAN'ı bölümleme aracı olarak görmek ve erişim kararlarını VLAN'lar arası geçiş noktasındaki kurallarla vermektir.

Etiketi kim ekliyor: anahtar mı sunucu mu?#

İkisi de olabilir, ve hangisinin ekleyeceği tasarım kararıdır.

Fiziksel bir bilgisayar için etiketi anahtar ekler; cihaz VLAN'dan habersizdir. Sanallaştırılmış ortamlarda ise etiketleme işi genellikle hypervisor içindeki sanal anahtara verilir: fiziksel anahtar host'a trunk üzerinden bütün VLAN'ları taşır, hangi sanal makinenin hangi VLAN'da olduğuna sanal anahtar karar verir.

Üçüncü bir seçenek, etiketlemeyi doğrudan sanal makinenin işletim sistemine bırakmaktır. Bu yöntem belirli durumlarda gerekir ama yaygın tercih değildir, çünkü VLAN üyeliğini altyapı yöneticisinin görüş alanından çıkarır.

Önemli noktalar

• VLAN, tek fiziksel anahtarı birbirinden ayrı yayın alanlarına böler.
• Etiket yalnızca kare anahtarlar arasında taşınırken gerekir; 802.1Q 4 bayt ekler.
• Kullanılabilir VLAN kimlikleri 1–4094 aralığındadır.
• VLAN'lar arası trafik için yönlendirme katmanı gerekir.
• VLAN ayrım sağlar; güvenliği sağlayan, yönlendirme noktasındaki kurallardır.