[Çözüldü] Swtich VLan Acl yazmak

L3'de route özelliği vardır, L2'de yoktur. Vlan'dan ne anladığınıza gelirsek Vlan sanal farklı ağlar oluşturmaktır, amaç zaten farklı depertmanları, sistemleri birbirinden ayırmaktır. Birbiri ile haberleşmesi gereken vlan ağları özel senaryoya girer.

Yani amacın ağları birbirinden ayırmak ve haberleşmemesini sağlamak olduğu için sizin düşüncenizin tersine bir durum var ortada.

L3'de route özelliği vardır, L2'de yoktur. Vlan'dan ne anladığınıza gelirsek Vlan sanal farklı ağlar oluşturmaktır, amaç zaten farklı depertmanları, sistemleri birbirinden ayırmaktır. Birbiri ile haberleşmesi gereken vlan ağları özel senaryoya girer.

Yani amacın ağları birbirinden ayırmak ve haberleşmemesini sağlamak olduğu için sizin düşüncenizin tersine bir durum var ortada.

 

Gayet iyi anladığımı düşünüyorum Ali bey, vlan'lara ayırdığımız zaman bu vlan'lar AD Sunucusu Vlan'ı ile yada yazıcıların Vlan'ı gibi ile haberleşmesi gerekmezmi. bu durum özel senaryoya girmezmi?

bence bu tarz cevap vereceğinize hiç vermeseniz daha iyi olmazmı. neticede benim yaşım ve iş tecrübem sizin kadar değildir.

Neden savunmaya geçtiğinizi anlayamadım? Yazdığımda hiçbir kötü niyet besleyerek yazılmış bir kelime yok, tamamen bildiklerimi ve mantığı aktarmaya çalıştım ne yaşınızı nede tecrübemizi bilmiyorum ki benim tecrübemide network olarak sizin bilme şansınız yok, çünkü network alanında çalışmıyorum.

özel senoryaya girmezmi dediğiniz durum girer evet ozaman da layer3 kullanmanız gerekir omurga olarak.(başka bir yolu varsada daha tecrübeli arkadaşlar zaten düzeltme yaparlar)

L2 üzerinde acl yazamazsınız çünkü bu segmentte vlanlar birbiri ile haberleşmez

Acl sayısı L3 switch marka modeline göre değişiklik gösterebilir

Vlanların birbiri ile haberleşmesi fw üzerinde sonlandırılarak da sağlanabilir veya engellenebilir.

L3'de route özelliği vardır, L2'de yoktur. Vlan'dan ne anladığınıza gelirsek Vlan sanal farklı ağlar oluşturmaktır, amaç zaten farklı depertmanları, sistemleri birbirinden ayırmaktır. Birbiri ile haberleşmesi gereken vlan ağları özel senaryoya girer.

Yani amacın ağları birbirinden ayırmak ve haberleşmemesini sağlamak olduğu için sizin düşüncenizin tersine bir durum var ortada.

 

Gayet iyi anladığımı düşünüyorum Ali bey, vlan'lara ayırdığımız zaman bu vlan'lar AD Sunucusu Vlan'ı ile yada yazıcıların Vlan'ı gibi ile haberleşmesi gerekmezmi. bu durum özel senaryoya girmezmi?

bence bu tarz cevap vereceğinize hiç vermeseniz daha iyi olmazmı. neticede benim yaşım ve iş tecrübem sizin kadar değildir.

Merhaba,

Mertcan bey burada gönüllülük esasına göre yardımlaşma söz konusu. Her alanda uzman ile sorulara destek verme gibi bir durum yok. Ali hocamız size yardımcı olmak istemiş. Yazdıkları son derece mantıklı.Teknoloji dünyasında herkes yoğurdu farklı yer.

Kimi insan yazıcı, sunucu, kullanıcıları ayırmak için farklı blok kullanır. Kimisi tamamen izole için farklı blok kullanır. Günümüzde bir çok firma vlan kullanmakta ancak bloklar arası iletişimin gerektiği durumlar söz konusu. Ad, Web server yazıcı gibi. Bu durumda ya vlanlar iletişim halinde olacak yada benim zamanım çok güvenlik sıkı olacak derseniz izinli yerlere erişimi olacak.

Vlanlar arası iletişim için ip routing destekleyecek cihaz gerekir bunu l3 cihazlar yapar. Bende firewall var tepede bu işi yaparım derseniz oda mümkün. Ancak firewall giderse networkte topallar. 

Farklı durumlar söz konusu. Mimariye göre tasarım gerekir. Ben çok özel ağ yapacağım derseniz verirsiniz parayı alırsınız nac sistemini, her yer kısıtlı olsun sürekli ben ayar değiştireceğim derseniz yaparsınız acl list veya 802.1x olur gider sonu yok.

Dediğim gibi herkes burada her konuda sonuna kadar bakim olamaz olsa zaten bu gezegende olmaz amaç yardımlaşmak.

İyi geceler diler saygılar sunarım.

Merhabalar,

Konuyu uzatmak gibi bir niyetim yok sadece şunu belirtmek isterim, Bu portal'a da üye olan herkesin bilgi ve tecrübesi belirli bir seviyede olmayabilir, nitekim ben kendimi çaylak bile görmem. ama heves ettim kendi cabalarımla bişeyler yapmaya çalışıyorum. Ben 23 yaşındayım Bağcılarda Internet Cafem var.  sevdiğim için bilgisayarlarla uğraşmaya çalışıyorum.

Sorduğum sorular, sizlere basit yada mantıksız gelebilir.  ama öğrenmek için sormak gerekir. 

ayrıca bu soruyu sorarken oğru kelimeleri bulmak için çabalayıp uzun ve anlaşılır biçimde yazmışım. karşılığında da cevap yazmak isteyen kişidende aynı saygıyı bekledim zaten sorduğum soruda sizler benim acemi olğugumu anlamışsınız. Ben Sadece Ali'bey'in bir acemiye cevap verme ihtiyacı hissetmesi sonucunda ona göre anlaşılır bir dille yazmasını isterdim.

Mertcan kardeşim ben 34 yaşındayım.

Arsmızda 11 yaş var. Sen maddeler halinde sorunu sor. Sana cevap veren insanlara sadece sende yapıcı yaklaş yeterli.

bir önceki cevabımda dediğim gibi teknolojide farklı yöntemler söz konusu bir sorunun bir doğrusu yok.

Burada çözüme ulaşmayacak sorununda yok.

Sen kafana takılanları sırala gelsin.

Anlayışın için teşekkür ederim. Rıza Hocam

Cevap dediğiniz şeyi insanlar farklı şekilde bekliyorlar: kimisi yol gösterilmesini, kimisi olayın mantığını, bazısıda hazır yapılmış çözümü istiyor. Cevap verenlerde de aşağı yukarı bu mantık var. Sizin olayınızda tavsiyem öncelikle network ün ve TCP/IP nin ne olduğunu ve temellerini öğrenmeniz gerekir. Soruya L2 L3 yazdığınızda altı dolu olmalı ve gelen cevapta yazan tanımın ne olduğunu bilmeli veya araştırmalısınız.

başka bir tavsiyede Udemy de online network temelleri, ccna, sistem gibi eğitimleri online uygun fiyata alabilirsiniz.

Uğur hocam Udemy güzelmiş hemen siteye üye oluyorum  böyle birşeyden haberim yoktu.

Teşekkür ederim.

Selam ,

Genel yapılan hata Vlan ile Vlan Routing farklı yapıdır

Vlan > Virtual Local Area Network > Amacı birden fazla İzole Ağ oluşturmak > Güvenlik , Çok fazla İP bloğu oluşturma vs

Vlan Routing > Oluşturulan Vlanlar arası olası senaryolarda haberleşmesini sağlamak

L2 Swich Vlan yapar çünkü rol model uygun yaıdır 

L3 Swich Router özelliği var demektir bu sayede vlanlar arası statik yönlendirme yapar ( Router Yani Yönlendirici )

Nacinaze tavsiyem öğrenmek isiyorsan eleştirilere mormalize etmelisiniz.

Merhaba,

Konu çözüme ulaşmış ama ben biraz açmak istedim ilerde bu posttan yararlanmak isteyen başkaları olursa diye.

Öncelikle VLAN ve ACL iki ayrı sistem, sistemlerden birisi bir fiziki switch üzerinde birden fazla mantıksal switch ( izole port gurubu gibide düşünebilirsiniz ) oluşturmanıza ve bunları gereki durumlarda L2 ve L3 olarak başka switchlere taşımanıza yarıyan VLAN diğeri ise L1 den L4 kadar olan kısımda erişim kuralları yazmanızı sağlayan erişim güvenlik sistemi. Öncelikli olarak ACL bir firewall sistemi değildir ve o şekilde düşünülüp kullanılmamalıdır, firewall ihtiyacı var ise VLAN yada farklı switchler bir firewall cihazında sonlandırılmalıdır.

ACL için L1 den L4 kadar dedim, bu şu anlama geliyor; ACL sistemlerinde kaynak, hedef yada servis bazında erişim kuralları yazılabilir L1 den L4 kadar yazılabiliyor ise bu durumda kaynak yada hedef Fiziki port , MAC adresi, IP adresi yada TCP/UDP tagı taşıyan framler olabilir ( Frame kısmını özellikle yazdım çünki switchler frame taşırlar paket değil bu nedenlede firewall değildirler. ) kısacası paketin içeriğine müdahil olmazlar sadece framin kaynak, hedef, servis kısımlarına bakarlar.

ACL sistemininin en güzel kısmı herhangi bir VLAN olmayan yada L3 swiyesinde roting bulunmayan ağda yapısında dahi switch üzerinde dönebilecek tüm trafiklere müdahil olabilmesidir yani Layer2 katmanında çalışabilir basitçe şu MAC adresi şu fiziki porta erişmesin diyebilirsiniz buda eğer ihtiyacınız firewall değil ise sadece erişim kısıtlamak istiyorsanız switch üzerinde yüksek bant genişliği ile bu önlemi alabilirsiniz demektir ki bu güvenlik tarafında kutsal kase gibidir :). Güvenlikçi arkadaşlar bilir 🙂

Durum özet olarak bu, ACl yazımı ise her switch markasında switchin seviyesi ve üzerinde işletim sistemi yada firmanın kendi güvenlik politikasına göre değişebilir, bu nedenle kullanıcı dokümanını okumak gerekir. Ayrıca bazı markalar ACl sistemini L3 sevyesindeki Switch cihazlarını routing yapısında kullandıklarında bazen NAT yaptırma gibi işlemlerdede kullanıyorlar kısaca router gibi kullanıldığında bu ACL tabloları iç, dış, gurup NAT sisteleri içinde kullanılabiliyor.

@rizasahan

@vasviuysal

@ertanerbek

selam abi, 

benim yapım dağınık toplamaya çalışıyorum, ,bir tane omurga l3 switch alıyorum,

4 tane  kenar hp l2 switch bir tanede forti 60e firewall var,

normalde vlan 2 tane idi, bir tane server ailesi için 192.168.1.0 blok birde standart 192.168.2.0 blok

gatewayleri forti firewalldı, tüm  trafik ona geliyordu,spefisik durumlar için 1.0 bloga  gerekli istemci için tek tek kural yazıyordum.

şimdi 5 tane vlan yapıp ,  bunların uplinklerini yeni omurga switche getirmek istiyorum,

l3 switche  bildiğim kadarıyla switch svi yapılıyor, networkdeki yükü l3 karşılayacak bu durumda fortinin yükü hafifleyecek,

vlan gatewayleri

192.168.1.1  üretim

192.168.2.1 mühendislik

192.168.3.1  arge 

192.168.4.1  yönetim

192.168.5.1  acces point- yazıcı - turnike - kart okuyucu ,

olduğunu varsayarsak firewalın nimetlerinden nasıl yararlanacağız ? 

gatewaylar sonucta L3 gidecek hem mantıksal hem fiziksel olarak ,vlan lar arası yönlendirmeyi l3 yapıyor? firewalla nasıl trafik gelecek ? gelsede filtremeyi yada kesip biçmeyi nasıl yapıyor ,ttekrar yük binmeyecekmi bu durumda , 

kafama oturması için aydınlatırsanız sevinirim.

@feriterkadam Diğer postunuz altında tüm sorularınız cevaplanmış durumda

iyi çalışmalar