Şubeler arası özel ağ: MPLS, VPLS, IPsec ve kurumsal APN

Ayrı adresler, ortak iş kaynakları

Kurumsal WAN, farklı yerlerdeki yerel ağları bir işletme ağı içinde buluşturur. Hedef her cihazın her cihaza sınırsız ulaşması değil, ihtiyaç duyulan kaynağa yetkili erişim sağlamaktır. Merkezdeki ERP, depodaki stok sistemi, ortak dosya sunucusu veya kamera kayıt sistemi bu ağ üzerinden kullanılabilir. Uygulama lisansları ve kullanıcı yetkileri bağlantı hizmetinden ayrı değerlendirilir.

Özel operatör devreleriyle kurulan bir ağın siteler arası veri taşımak için genel internet çıkışına ihtiyacı olmayabilir. Mevcut internet hatları üzerinde IPsec tünelleriyle kurulan model ise o hatları taşıma yolu olarak kullanır. Her iki durumda da internet erişiminizin mevcut sağlayıcısı korunarak uygun bir tasarım yapılabilir; cihaz, adresleme ve sağlayıcı koşulları önceden kontrol edilir.

• Ofis ve fabrika: ERP, dosya paylaşımı ve yetkili uzak bakım erişimi.
• Liman deposu ve merkez: stok, sevkiyat, barkod ve lojistik uygulamaları.
• Mağaza zinciri: sipariş, stok ve merkez uygulamaları; ödeme sistemleri için ayrıca ilgili sağlayıcının bağlantı ve güvenlik koşulları.
• Kamera ve kayıt sistemleri: yalnızca yetkili kullanıcıların erişimi, görüntüleme ve kayıt trafiğine uygun kapasite planı.

Fiber, RF, 5G ve uydu: aynı ağın farklı erişim yolları

Her lokasyonda aynı erişim teknolojisi bulunması gerekmez. Bir fabrika fiberle, uygun görüş hattına sahip depo RF/radyolinkle, geçici mağaza uygun mobil erişimle, uzak bir tesis ise hizmet koşulları elveriyorsa uyduyla bağlanabilir. Bu erişimler, uyumlu uç cihazlar ve yönlendirme politikalarıyla ortak ağ tasarımında birleştirilebilir.

Fiber güzergâhı, RF için görüş hattı ve frekans koşulları, 5G kapsaması ve kapasitesi, uydu hizmetinin Türkiye’de sunulabilirliği ile operatör ve izin koşulları adres bazında doğrulanır. Gecikme, veri paketi, NAT ve tünel desteği de seçimi etkiler. Kapasite; şube sayısından tek başına çıkarılmaz, eşzamanlı iş yükü ve özellikle upload ihtiyacına göre önerilir.

Erişim yolu ile ağ hizmeti aynı katman değildir: fiber fiziksel bir taşıma ortamıdır; MPLS/VPLS, IPsec veya Ethernet taşıma ise bu yolun üzerinde sağlanan farklı işlevleri tanımlar. Teklifte her uçta neyin teslim edildiği ve hangi bölümün kim tarafından yönetildiği açıkça gösterilir.

MPLS L3VPN: farklı alt ağları yönlendirme ile birleştirmek

BGP/MPLS IP VPN modelinde işletmenin farklı lokasyonlarına ait IP ağları, sağlayıcı tarafındaki ayrı yönlendirme tabloları ve politikalarla taşınır. Her şubenin kendi alt ağı olabilir; ortak sunuculara erişmek için bütün şehirleri aynı yerel yayın alanına taşımak gerekmez. RFC 4364 bu L3VPN mimarisini tarif eder. [1]

Türkiye’de operatörlerin kurumsal VPN ürünleri de bu kullanımın örneklerini sunar; Türk Telekom TTVPN sayfası MPLS tabanlı ofisler arası özel ağ ve trafik önceliklendirmesini açıklar. [2] MyFi Business projesinde uygun operatör hizmeti, teslim noktaları ve gerekiyorsa farklı ağlar arasındaki bağlantı koşulları birlikte değerlendirilir. Operatör ürününün varlığı, her adreste hazır kapasite veya MyFi ile resmî ortaklık anlamına gelmez.

MPLS VPN’de müşterilerin trafiğinin ayrıştırılması, verinin otomatik olarak uçtan uca şifrelendiği anlamına gelmez. Gizlilik ve bütünlük için gereken şifreleme ayrıca tasarlanır; uygun projelerde uçlar arasında IPsec kullanılabilir. [1][4]

VPLS ve Katman 2 taşıma ne zaman gerekir?

VPLS, seçilen uçlar arasında Ethernet tabanlı çok noktalı bir hizmet sağlar; aynı hizmet içindeki MAC adreslerini öğrenip ileten bir sanal LAN davranışı oluşturur. [3] Belirli bir VLAN’ın veya Ethernet bağlantısının iki ya da daha fazla tesise taşınması gereken durumlarda değerlendirilir. Noktadan noktaya Ethernet taşıma da ayrı bir seçenek olabilir.

Sunuculara erişim ihtiyacı tek başına bütün şubelerin aynı VLAN’da bulunmasını gerektirmez. Büyük bir Katman 2 alanında broadcast, MAC ölçeği, döngü ve arıza yayılımı kontrol edilmelidir. Bu nedenle ihtiyaç duyulan VLAN’lar sınırlanır; diğer ağlar yönlendirme ve güvenlik kurallarıyla ayrılır. VPLS de tek başına içerik şifrelemesi olarak sunulmaz.

IPsec, GRE ve UDP tabanlı tünellerin görevleri farklıdır

IPsec, IP katmanındaki trafiğin güvenliğini sağlamak için kullanılan bir mimaridir. Uygun kimlik doğrulama ve şifreleme ayarlarıyla merkez ve şubeler arasında korumalı tüneller kurulabilir. Anahtar ve sertifika yönetimi, uç cihazların güncellenmesi, erişim kuralları ve performans birlikte planlanır. Bir ürünün adında VPN geçmesi, seçilen profilin şifreleme kapsamını tek başına açıklamaz. [4]

GRE bir kapsülleme yöntemidir; kendi başına şifreleme veya karşı uç kimlik doğrulaması sağlamaz. [5] Taşınacak protokol ve cihaz desteğine göre IP taşıma veya Ethernet’i taşıyabilen uygun türevler kullanılabilir. Her GRE tüneli otomatik olarak Katman 2 tüneli değildir. Gizlilik gerektiğinde uygun bir şifreli taşıma katmanıyla birlikte tasarlanır.

UDP de bir güvenlik ürünü veya başlı başına özel ağ hizmeti değildir. Örneğin VXLAN, Ethernet çerçevelerini UDP/IP üzerinden taşıyan bir yöntemdir. [6] İnternet gibi güvenilmeyen bir yol üzerinde kullanılacaksa erişim kısıtları ve gereken şifreleme ayrıca sağlanmalıdır. Tünel başlıkları nedeniyle MTU/MSS, parçalanma, NAT ve cihaz uyumluluğu kabul testinin parçasıdır.

Dark fiber: optik altyapı üzerinde daha fazla kontrol

Dark fiber, aktif iletim ekipmanı ile aydınlatılmamış fiberin kullanımının sağlandığı bir altyapı modelidir. İki uçtaki optik cihazlar ve işletim sorumluluğu ayrıca planlanır. [7] Uygun ve kiralanabilir bir güzergâhta veri merkezi, kampüs veya tesisler arası bağlantı ihtiyacı için değerlendirilebilir; her lokasyonda sunulabilen hazır bir internet paketi değildir.

Mesafe, optik kayıp bütçesi, fiberin teslim noktaları, ek ve konektörler, cihazlar, enerji ve bakım kapsamı belirlenir. Aynı kablo veya kanalda ilerleyen iki fiber çifti, fiziksel güzergâh yedeği sayılmaz. Dark fiber de veriyi kendiliğinden şifrelemez; ihtiyaç duyulan optik/Ethernet/IP katmanı koruması ayrıca tasarlanır. Kapasite ve işletim maliyeti proje koşullarına göre değerlendirilir.

5G ve kurumsal APN ile saha uçlarını merkeze bağlamak

Uygun operatör hizmetinde şirkete tanımlanan SIM’lerin trafiği kurumsal APN üzerinden merkez, veri merkezi veya kararlaştırılan ağ sonlandırma noktasına yönlendirilebilir. Bu, mobil router kullanan mağaza, saha cihazı veya geçici lokasyonu kurumsal ağa dahil etmek için bir seçenek olabilir. Hangi SIM tiplerinin kabul edildiği, adresleme, rota ve merkez bağlantısı operatörle birlikte belirlenir.

Vodafone’un MPN açıklaması, özel APN trafiğinin belirlenen sonlandırma noktalarına MPLS bağlantısıyla taşındığı bir modeli ve 5G ile uyumlu kullanım seçeneklerini anlatır. [8] Ancak özel APN almak, kendiliğinden özel bir baz istasyonu, ayrılmış radyo kapasitesi veya 5G ağ dilimi satın almak anlamına gelmez. Bunlar ayrı hizmet özellikleridir. Her kurumsal SIM’in aynı hizmete uygun olduğu da varsayılmaz.

APN’nin özel olması, bütün yolun uçtan uca şifreli olduğunun kanıtı değildir. Turkcell’in kurumsal APN sözleşmesi, APN düğümü ile kurumsal ağ arasında şifrelenmeyen tünel veya IPsec korumalı bağlantı seçeneklerini ayrı tanımlar. [9] MyFi Business tasarımında mobil bölüm, merkez teslimi ve ek şifreleme sınırları yazılı netleştirilir. 5G kullanımı adres kapsaması, cihaz/SIM uyumluluğu ve operatörün ilgili hizmet desteğine bağlıdır.

İnternet çıkışı isteğe bağlı: merkezden, şubeden veya karma

Şubeler arası özel ağ kurulduktan sonra istenirse merkezde ya da veri merkezinde bir internet çıkışı eklenebilir. Şubelerin izin verilen internet trafiği bu noktaya yönlendirilir; firewall, NAT, içerik politikaları ve kayıtlar ortak bir noktada yönetilebilir. Bu internet erişimi MyFi’den alınabilir veya mevcut sağlayıcıyla uygun koşullarda kullanılabilir. Özel ağ ile internet hizmetinin ticari ve teknik sınırları ayrı belirtilir.

Merkezî çıkışta bütün şubelerin eşzamanlı yükü, merkez devresinin upload/download kapasitesi ve güvenlik cihazının gerçek iş yükü hesaplanır. Merkez bağlantısı veya firewall arızalanırsa birçok şube etkilenebileceği için yedek merkez, ikinci yol ve cihaz sürekliliği değerlendirilir. SaaS ve toplantı uygulamalarını gereksiz yere uzak merkeze taşımak gecikmeyi artırabilir.

Bu yüzden bazı projelerde kurumsal sunuculara özel ağ üzerinden erişim korunurken belirli internet uygulamaları şubeden yerel çıkışla çalıştırılır. Merkezî, yerel veya karma model; güvenlik politikası, gecikme, maliyet ve destek sorumluluğuna göre seçilir. Hedef herkes için tek bir şablon değil, işinize uygun trafik akışıdır.

Ortak kaynaklar, ayrı yetkiler ve kontrollü yedekleme

Bir mağazanın stok sunucusuna erişebilmesi, kamera ağına veya fabrikanın üretim kontrol sistemlerine de erişmesi gerektiği anlamına gelmez. Kullanıcılar, sunucular, kameralar, misafir erişimi ve üretim sistemleri uygun VLAN/VRF ve firewall kurallarıyla ayrılır. Yönetim ve uzaktan erişimde kimlik doğrulama, yetki sınırları ve gereken çok faktörlü doğrulama ayrıca ele alınır.

Kamera görüntüsü, dosya kopyası ve yedekleme aynı anda taşındığında kritik ERP işlemlerini etkilememesi için kapasite ve trafik öncelikleri planlanır. Merkezde kayıt ile sahada kayıt farklı yükler oluşturur. Uygun fiber, RF, mobil veya uydu yedeğine geçişte tünelin yeniden kurulması, kaynak IP değişimi, uygulama oturumları ve gecikme sınanır. Bir yedeğin mevcut olması, tüm uygulamaların kesintisiz devam edeceğini tek başına garanti etmez.

İstenirse trafik izleme ve anomali bildirimi de bu ağa eklenebilir. Böylece yalnızca hattın açık olup olmadığı değil, şubelerin kullanım eğilimleri ve beklenmedik değişimler de değerlendirilir. Müdahale yetkisi ve bildirim kanalları müşteriyle kararlaştırılır.

MyFi Business ile keşiften çalışan kurumsal ağa

MyFi Business; adreslerin değerlendirilmesi, uygun kendi altyapısı ve operatör seçeneklerinin araştırılması, ağ tasarımı, cihaz ve kurulum koordinasyonu ile destek sürecini tek muhatap üzerinden yürütebilir. MPLS/VPLS, şifreli VPN, Ethernet taşıma, APN ve uygun güzergâhta dark fiber seçenekleri ihtiyaca göre birlikte veya ayrı ele alınır.

İlk görüşmede lokasyon listesi, merkez ve sunucuların bulunduğu yer, mevcut hatlar, kullanılacak uygulamalar, kamera/kayıt ihtiyacı, yedekleme beklentisi ve internet çıkışı tercihi yeterli bir başlangıçtır. Parola veya özel yapılandırma dosyalarını ilk talep formuna eklemeniz gerekmez. Teklifin ardından hangi uçların hangi kaynaklara erişeceği ve arıza sırasında ne olacağı yazılı kabul planıyla doğrulanır.

• Adres ve mevcut altyapı envanteri; yeni uçların eklenme ihtimali.
• IP planı, çakışan alt ağlar, DNS ve uygulama erişim matrisi.
• Şifreleme sınırları, yönetim yetkileri, log ve izleme kapsamı.
• Devre/cihaz sorumlulukları, destek saatleri ve kararlaştırılan hizmet hedefleri.
• Gerçek uygulama testi, kontrollü yedek yola geçiş ve geri dönüş planı.