VLAN ile Ofis Ağı Bölümlendirme: Neden ve Nasıl?

Kısa cevap: VLAN, tek bir fiziksel ağ altyapısını birbirinden ayrı mantıksal ağlara bölmeyi sağlar. Ofiste çalışan bilgisayarları, misafir Wi-Fi, IP kameralar, IP telefonlar, yazıcılar ve sunucular ayrı bölümlere alındığında bir bölümdeki sorun ya da saldırı diğerlerine kolayca yayılmaz, trafik daha düzenli akar ve arızalar daha kolay bulunur. Bölümler arası geçiş güvenlik duvarında belirlenen kurallarla kontrol edilir.

Neden ağ bölümlendirmesi yapılır?

• Güvenlik: Güvenliği zayıf bir akıllı cihaz ya da misafir bilgisayarı, muhasebe ve sunucu ağına erişemez.
• Performans: Kamera kayıt trafiği gibi yoğun akışlar diğer kullanıcıları etkilemez.
• Ses kalitesi: IP telefon trafiğine öncelik verilerek konuşma kalitesi korunur.
• Yönetim kolaylığı: Hangi cihazın hangi ağda olduğu belli olduğundan arıza tespiti hızlanır.

Tipik bir ofis bölümlendirmesi

• Çalışan ağı: Bilgisayarlar ve dizüstü cihazlar.
• Sunucu ağı: Dosya sunucusu, NAS ve iş uygulamaları; yalnızca gerekli erişimlere açık.
• Ses ağı: IP telefonlar ve santral.
• Güvenlik ağı: IP kameralar, kayıt cihazı ve geçiş kontrol panelleri.
• Yazıcı ağı: Yazıcılar ve çok fonksiyonlu cihazlar.
• Misafir ağı: Yalnızca internete çıkabilen, ofis cihazlarına erişemeyen ayrı ağ.

Misafir ağının yasal kayıt tarafını misafir Wi-Fi rehberimizde, kablosuz ağ güvenliğini Wi-Fi güvenliği yazımızda anlattık.

VLAN için hangi ekipman gerekir?

Yönetilebilir switch’ler, VLAN destekli kablosuz erişim noktaları ve bölümler arası trafiği kurallarla yöneten bir güvenlik duvarı ya da yönlendirici gerekir. Yönetilemeyen basit switch’ler VLAN yapısını desteklemez. Mevcut altyapıda ekipman değişikliği gerekip gerekmediği keşifte belirlenir. Switch seçimini PoE switch rehberimizde, genel ağ yapısını ofis ağ altyapısı rehberimizde ele aldık.

İlgili rehber: ağ port güvenliği

Sık sorulan sorular

Küçük bir ofis için VLAN gerekli mi?

En azından misafir ağını ve kameraları ofis ağından ayırmak küçük ofislerde de önerilir. Cihaz sayısı ve kullanılan sistemler arttıkça daha ayrıntılı bölümlendirme yapılır.

Bölümler birbirleriyle hiç konuşamaz mı?

Gerekli olan iletişime izin verilir. Örneğin çalışan bilgisayarlarının yazıcılara baskı göndermesine izin verilirken, yazıcıların çalışan bilgisayarlarına bağlantı başlatması engellenebilir. Kurallar ihtiyaca göre en az yetki ilkesiyle yazılır.

VLAN yapısı sonradan kurulabilir mi?

Evet; ekipman destekliyorsa mevcut kablolama değişmeden kurulabilir. Geçiş sırasında cihazların adres yapısı değiştiği için planlı bir çalışma ve mesai dışı uygulama önerilir. Genel güvenlik önlemlerini siber güvenlik temelleri yazımızda topladık.