VLAN (Virtual LAN, sanal yerel ağ), tek bir fiziksel switch altyapısı üzerinde birbirinden ayrı mantıksal ağlar oluşturmanızı sağlayan bir teknolojidir. Cisco belgesinin ifadesiyle bir VLAN, belirli bir switch grubu içinde var olan bir yayın alanı (broadcast domain) olarak düşünülebilir. Farklı VLAN'lardaki cihazlar aynı switch'e bağlı olsalar bile, aralarında bir yönlendirme yapılmadıkça birbirleriyle doğrudan haberleşemez.
Bu sayede misafir Wi-Fi'ı, IP kameraları ve şirket bilgisayarlarını ayrı kablolama yapmadan birbirinden ayırabilirsiniz. Bu yazıda VLAN'ın nasıl çalıştığını, 802.1Q etiketini, access ve trunk port (tagged/untagged) kavramlarını, native VLAN'ı, VLAN'lar arası yönlendirmeyi ve MikroTik belgelerinden alınmış kısa bir bridge VLAN filtering örneğini anlatıyoruz. VLAN destekleyen cihazlar için yönetilebilir switch nedir yazısına bakabilirsiniz.
VLAN Neden Kullanılır?
- Güvenlik ve ayrım: Misafirler veya güvenliği zayıf IoT cihazları, iş bilgisayarlarıyla aynı ağda bulunmaz.
- Yayın trafiğini sınırlamak: Her VLAN ayrı bir yayın alanı olduğu için yayın (broadcast) trafiği yalnızca o VLAN içinde kalır.
- Esneklik: Bir cihazı başka bir ağa almak için kablo değiştirmek yerine portun VLAN ayarını değiştirmek yeterlidir.
- Kural yazmak kolaylaşır: Her VLAN ayrı bir IP alt ağı olduğu için firewall kurallarını ağ bazında yazabilirsiniz.
802.1Q Etiketi Nasıl Çalışır?
VLAN'lar Ethernet çerçevesine eklenen bir etiketle (tag) ayırt edilir. Bu etiket IEEE 802.1Q standardında tanımlanır. Cisco'nun 802.1Q çerçeve biçimi belgesine göre etiket, orijinal Ethernet çerçevesinde kaynak adres (Source Address) ile Type/Length alanları arasına eklenen 4 baytlık bir alandır. Etiket şu parçalardan oluşur:
| Alan | Boyut | Anlamı |
|---|---|---|
| TPID | 16 bit | 0x8100 değeri, çerçevenin 802.1Q etiketli olduğunu gösterir |
| Priority (öncelik) | 3 bit | IEEE 802.1p önceliği, 0-7 arası sekiz seviye |
| CFI | 1 bit | MAC adresinin kanonik biçimde olup olmadığını gösterir |
| VID (VLAN ID) | 12 bit | Çerçevenin ait olduğu VLAN, 0-4095 arası değer |
Etiket çerçeveyi değiştirdiği için etiketi ekleyen cihaz çerçevenin FCS (hata denetimi) alanını yeniden hesaplar ve etiketli bir Ethernet çerçevesi 1522 bayta kadar çıkabilir. VID alanı 12 bit olsa da tüm değerler normal VLAN olarak kullanılmaz: Juniper belgesine göre VLAN ID 0 çerçevelerin önceliğini etiketlemek için ayrılmıştır ve Gigabit Ethernet arayüzlerinde kullanılabilir aralık 1-4094'tür. Etiket boyutunun MTU ile ilişkisini merak ediyorsanız MTU ve MSS nedir yazısına bakabilirsiniz.
Access Port ve Trunk Port (Untagged ve Tagged)
Bir switch portu VLAN açısından iki temel şekilde çalışır:
- Access port (untagged): Tek bir VLAN'a aittir. Bilgisayar, yazıcı, kamera gibi VLAN'dan haberi olmayan cihazlar bağlanır. Cihaz etiketsiz çerçeve gönderir; switch bu çerçeveyi portun VLAN'ına dahil eder ve cihaza gönderirken etiketi kaldırır.
- Trunk port (tagged): Birden fazla VLAN'ı aynı kablo üzerinden taşır. İki switch arasında, switch ile router arasında ya da birden çok SSID yayınlayan bir access point'e giden bağlantıda kullanılır. Çerçeveler 802.1Q etiketiyle taşınır, böylece karşı taraf hangi çerçevenin hangi VLAN'a ait olduğunu bilir.
MikroTik'in Bridge VLAN Table belgesi de aynı ilkeyi vurgular: trunk portlar taşıması gereken her VLAN için tagged, access portlar ise kendi VLAN'ları için untagged olmalıdır. Aynı belge access portlar için tek bir bridge VLAN girdisine birden fazla VLAN ID yazılmamasını, aksi halde VLAN'ların taşınmaması gereken portlara sızabileceğini belirtir.
PVID nedir?
PVID (Port VLAN ID), bir porta etiketsiz gelen çerçevelerin hangi VLAN'a dahil edileceğini belirler. Cisco IOS belgesine göre her 802.1Q portuna native VLAN ID'si olan bir PVID atanır (varsayılan VLAN 1'dir) ve tüm etiketsiz çerçeveler PVID ile belirtilen VLAN'a atanır.
Native VLAN Nedir?
Native VLAN, bir trunk port üzerinde etiketsiz taşınan VLAN'dır. Cisco'nun 802.1Q belgesine göre 802.1Q, native VLAN'daki çerçeveleri etiketlemez; trunk üzerinden gönderilen ve alınan diğer tüm çerçeveler etiketlidir. Aynı belge, trunk'ın iki ucunda aynı native VLAN'ın yapılandırılması gerektiğini belirtir.
MikroTik belgesi de bir başka riske dikkat çeker: dinamik girdiler bridge'in kendisini (CPU portu) untagged üye olarak ekleyebilir ve PVID'ler eşleşirse (varsayılan 1) istenmeyen etiketsiz yönetim erişimi açık kalabilir. Bu nedenle bridge VLAN tablosunu her zaman kontrol etmeniz önerilir.
VLAN'lar Arası Yönlendirme (Inter-VLAN Routing)
VLAN'lar ayrı yayın alanları olduğu için aralarındaki iletişim yönlendirme ile sağlanır. Cisco belgesi, VLAN'lar arası iletişimin routing ile yapıldığını ifade eder. Bunun için üç yaygın yol vardır:
- Router-on-a-stick: Router, switch'e tek bir trunk kabloyla bağlanır ve her VLAN için bir alt arayüz (sub-interface) kullanır.
- L3 switch: Yönlendirmeyi switch'in kendisi yapar.
- Router veya firewall üzerinde VLAN arayüzleri: Örneğin RouterOS'ta
/interface vlanile her VLAN için bir arayüz açılıp IP adresi verilir.
Burada kritik nokta şudur: VLAN'lar arası yönlendirme açıldığında ayrım otomatik olarak korunmaz. Misafir ağının iş ağına ulaşmasını engellemek için router ya da güvenlik duvarı üzerinde ayrıca filtre kuralları yazmanız gerekir. Her VLAN'a IP dağıtmak için DHCP, internete çıkış için de NAT yapılandırılır.
Kullanım Örnekleri
| Senaryo | Örnek VLAN | Amaç |
|---|---|---|
| Ofis bilgisayarları | VLAN 10 | Dosya sunucusu ve yazıcılara erişim |
| Misafir Wi-Fi | VLAN 20 | Yalnızca internet, iç ağa erişim yok |
| IP kameralar | VLAN 30 | Kameralar yalnızca kayıt cihazıyla konuşur, internete kapalı tutulabilir |
| Yönetim | VLAN 99 | Switch, access point ve router yönetim arayüzleri |
VLAN numaraları örnektir; kendi düzeninizi belirleyebilirsiniz. Misafir ağı genellikle bir access point'te ayrı bir SSID olarak yayınlanır ve access point'e giden kablo trunk olarak ayarlanır. Kafe ve otel gibi işletmelerde misafir ağı için yasal kayıt yükümlülüklerini 5651 loglama ve hotspot yazısında ele aldık. MikroTik belgesi de etiketsiz yönetim erişimi yerine ayrı bir yönetim VLAN'ı kullanılmasını (belgede VLAN99) ve bu VLAN'a mümkünse yalnızca trunk port üzerinden erişilmesini önerir.
MikroTik Bridge VLAN Filtering Örneği
Aşağıdaki örnek, MikroTik'in MikroTik Docs: Bridging and Switching belgesindeki "VLAN Example - Trunk and Access Ports" bölümünden alınmıştır. Senaryoda ether2 trunk port, ether6, ether7 ve ether8 ise sırasıyla VLAN 200, 300 ve 400'e ait access portlardır.
1. Bridge'i VLAN filtrelemesi kapalı olarak oluşturun:
/interface bridge
add name=bridge1 vlan-filtering=no2. Portları ekleyin; trunk port yalnızca etiketli çerçeve kabul eder, access portlara PVID verilir:
/interface bridge port
add bridge=bridge1 interface=ether2 frame-types=admit-only-vlan-tagged
add bridge=bridge1 interface=ether6 pvid=200 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether7 pvid=300 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether8 pvid=400 frame-types=admit-only-untagged-and-priority-tagged3. VLAN tablosunda ether2'yi her VLAN için tagged üye yapın (access portlar PVID'lerine göre untagged üye olarak dinamik eklenir):
/interface bridge vlan
add bridge=bridge1 tagged=ether2 vlan-ids=200
add bridge=bridge1 tagged=ether2 vlan-ids=300
add bridge=bridge1 tagged=ether2 vlan-ids=4004. Yapılandırma tamamlandıktan sonra VLAN filtrelemesini açın:
/interface bridge set bridge1 vlan-filtering=yesRouter'ın VLAN'lar arasında yönlendirme yapması isteniyorsa aynı belgedeki "InterVLAN Routing by Bridge" örneği, bridge'i her VLAN için tagged üye yapıp (tagged=bridge1) her VLAN için bir VLAN arayüzü ve IP adresi ekler. Aşağıda bu adımın iki VLAN'lık kısaltılmış hali var; belgedeki adresleri (20.0.0.1/24, 30.0.0.1/24) burada RFC 1918 özel aralığına uyarladık:
/interface vlan
add interface=bridge1 name=VLAN200 vlan-id=200
add interface=bridge1 name=VLAN300 vlan-id=300
/ip address
add address=10.20.0.1/24 interface=VLAN200
add address=10.30.0.1/24 interface=VLAN300Sık Sorulan Sorular
VLAN ile alt ağ (subnet) aynı şey mi?
Hayır. VLAN 2. katmanda bir yayın alanıdır, alt ağ ise 3. katmanda bir IP aralığıdır. Uygulamada genellikle her VLAN'a bir alt ağ verilir, bu yüzden birlikte anılırlar.
Kaç VLAN oluşturabilirim?
802.1Q VID alanı 12 bittir. Kullanılabilir aralık cihaza göre değişir; örneğin Juniper belgesinde Gigabit Ethernet arayüzleri için 1-4094 aralığı verilir. Kendi cihazınızın sınırını üretici belgesinden kontrol edin.
VLAN tek başına güvenlik sağlar mı?
VLAN trafiği 2. katmanda ayırır ama VLAN'lar arası yönlendirme açıksa ayrımı korumak için firewall kuralı gerekir. Native VLAN ve yönetim erişimi de doğru ayarlanmalıdır.
Yönetilemez switch ile VLAN yapılabilir mi?
Yönetilemez switch VLAN yapılandırması sunmaz. Port bazında VLAN atamak için yönetilebilir ya da smart bir switch gerekir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Güvenlik duvarı (firewall) nedir · Yönetilebilir switch nedir · Router, modem, switch farkı · MikroTik nedir · DHCP nedir · 5651 loglama ve hotspot