Check Point R76 ürünü ile IPSec Site to Site VPN yapılandırmasından bahsetmek istiyorum. Anlatımımı bir kaç başlık altında topladım.

Check Point Remote Gateway objelerinin yapılandırılması

Lokal ve Remote (Lokal) Network’lerin yapılandırılması

VPN Community ’sinin oluşturulması

VPN tüneli kullanacak network’lerin topology ile ilişkilendirilmesi

Firewall Rule’larının tasarlanması

Test!

Şimdi kullandığım lab topolojisine geçebiliriz.

GW1 isimli firewall’un internal network’ünde:

E-vault.info Active Directory domain’i hizmet vermektedir.

Exchange Server 2013 CAS ve Mailbox Server’lar ( ayrı sunucularda ) hizmet vermektedir.

Symantec Enterprise Vault 10.0.4 arşivleme sunucusu hizmet vermektedir.

Yapıda Security Information & Event Management için HP ArcSight Logger ( Selda’nın sunucusu ) hizmet vermektedir.

FW2 isimli firewall’un internal network’ünde:

Test amaçlı bir windows 7 client çalışmaktadır.

Yapılandırmaya başlayayım.

Check Point Remote Gateway objesinin yapılandırılması

Bu kısımda yapılan ayarlar lokal firewall ve remote firewall için yapılır. IPSec VPN hizmeti ile ilgili her iki firewall’da da yapılan ayarlar sonucunda IPSec VPN tüneli açılabilir.

GW1 üzerinde:

GW1’in topolajisi aşağıdaki gibidir.

GW1 objesi üzerinde IPSec VPN blade’ini devreye alalım.

Firewall özelliklerindeki alt kısımdan kutucuğu işaretlediğinizde sol kısımdaki bölgede IPSec VPN bölümü görünecektir.

Remote VPN gateway için ( remote peer için de diyebiliriz ) gateway objesini oluşturuyoruz.

Üstteki seçeneklerden “Externally Managed VPN Gateway” ile devam edeceğiz. Remote Peer,  Checkpoint dışında bir cihaz ise

“Interoperable Device” ile devam edebilirsiniz.

Oluşturduğum remote vpn gateway’in özellikleri üstteki gibidir. IP adresine, yazımın ilk kısımlarında aktardığım topoloji resminden bakabilirsiniz.

Normal şartlarda Gateway objesinin topolojisi ip adresini içerir! Üstteki resimde topology tab’ına bakarsanız ( henüz yeni oluşturduğunuzdan dolayı ) topology table’ın ip adresini içermediğini görebilirsiniz.

Gateway( remote peer için oluşturulan obje) objesinin topology tab’ına ip adresni “external” olarak ekleyiniz!

Aynı yapılandırmayı diğer firewall üzerinde de yapmalısınız. Diğer firewall’daki durumu aşağıya aktarıyorum.

Karşı taraftaki Checkpoint objesinin durumu ise aşağıdaki gibidir.

Local ve Remote Local Network’lerin yapılandırılması

Her iki checkpoint üzerinde, hizmet verdiği LAN’a dair network objesi ve uzak site’daki network objesi oluşturulmalıdır.

Benim lab ortamıma uyarlarsak;

172.20.1.0/24 network’ünü ve 172.29.1.0/24 network’ünü gösteren iki network objesi oluşturulmalıdır.

Üstte görüldüğü üzere her iki firewall’da hem kendi internal network’lerini hemde karşı tarafın internal network’lerini gösterir objeleri oluşturdum.

VPN Community ’sinin oluşturulması

Community yapılandırması için IPSec VPN blade’inin tab’ını kullanıyoruz.

Mesh : Her peer’in biribirine doğrudan bağlı olduğu durum

Start: Ortada bir peer, diğer peer’ler ortaya bağlı. Klasik hub&spoke modeli

Test ortamımda mesh topoloji’yi kullandım. Meshed Community detayları aşağıdaki gibidir.

Participating gateway kısmı, bu cummunity’ye katılacak gateway’leri göstermektedir.

Şifreleme method’ları konusunda çeşitliliğe gitmek isterseniz bir sonraki tab ihtiyaçlarınızı karşılayacaktır.

Tunnel Management kısmında, tunel’in sürekli olma durumunu ve tunelin nasıl paylaştırılacağını belirliyorsunuz. Normal şartlarda varsayılan ayarlar idealdir.

Gelişmiş ayarlarda Shared Secret tanımlaması çok önemlidir!

Her iki peer’deki vpn community’sinde de aynı olmalıdır!

Community için, Gateway’lerin internal network’lerinin aynı ip bloklarında olup olmama durumuna göre NAT devre dışı bırakılabilir.

Benzer özeliklerde bir VPN community ‘si diğer Checkpoint’te de oluşturulmalıdır!

Üstte de görüldüğü gibi participating gateway’ler sağdaki iki checkpoint’tir.

VPN tüneline girmesi istenilen network’lerin topoloji ile ilişiklendirimesi

Her iki firewall objesinde ( local ve remote gateway objelerinde ) tüneli kullanacak network’ler belirlenmelidir.

GW1 için durum aşağıdaki gibidir.

GW1 ‘deki remote vpn gateway için topoloji ilişkilendirmesi aşağıdaki gibidir.

FW2’deki topoloji – vpn domain eşleşmesi durumu aşağıdaki gibidir.

FW2’de remote vpn gateway için topoloji – vpn domain eşleşmesi durumu aşağıdaki gibidir.

Topoloji ile kullanılacak vpn domain’ini yani tuneli kullanacak ip network’leri belirlerken, ip network objelerini group’landırpm o group ’u da kullanabilirsiniz.

Örneğin üstteki gibi VPN_IP_Network şekilinde bir “simple group” objesi altında ilgili ip network’lerini toplayıp vpn domain definition kısmında bunu kullanabilirsiniz.

Firewall Rule’larının tasarlanması

Firewall rule’ları haricinde üstteki aşamaları her iki (Check Point) gateway için de yaptıysanız normal şartlarda VPN tuneli açılacaktır.

Bu durumu SmartView Tracker’dan gözleyebilirsiniz.

Permanent Tunnel log’unun detayına bakarsanız,

tünelin açıldığını görebilirsiniz.

Peki firewall rule’u ne işe yarayacak ? Rule ile tunel’i “hangi portu/protokolü ve/veya hangi source’un/destination kullanımına açacağız?” sorusunu cevaplıyoruz. Yine her iki firewall’da uygun rule’lar yazılmalıdır.

FW2’deki durum aşağıdaki gibidir.

GW1’deki durum aşağıdaki gibidir.

Üstteki rule ’larda görüldüğü üzere karşılıklı internal network’lerin; ICMP echo’larının, RDP isteklerinin, DNS sorgularının ve https taleplerinin S2S_VPN community’si kapsamındaki participant gateway’ler arasında açılan IPSec VPN tüneli ile iletişimine imkan tanıdık. Artık windows 7 client ile bir kaç servisten faydalanmaya çalışalım ve SmartView Tracker ile log’larına bakalım.

Test!

Test için; client’ın Exchange Server 2013 üzerinde duran mailbox’ına Outlook Anywhere ile bağlanmasını ve Symantec Enterprise Vault üzerinde duran arşivine erişmesini sağlayıp log’a bakacağım.

Bakınız üstte görüldüğü üzere windows 7 client açıldığında Domain Controller’a DNS sorgusu yaptı ve bu sorgu olması gerektiği gibi tünele girdi.

Windows 7 client’ımda Outlook 2010’u açtım ve RPC over HTTPS trafiği DNS sorguları ile karışık olarak hemen log’a yansıdı ve 172.20.1.40 ip adresine sahip Exchange Server 2013 CAS ’ına gitti.

Outlook Anywhere bağlantısı da outlook tarafında sağlandı.

Noah@e-vault.info kullanıcısı arşivine erişmek istediğinde bu talebi, log’a aşağıdaki gibi yansıyor.

Hatırlayacağınız üzere Symantec EV’nin ip adresi 172.20.1.38 idi.

Kullanıcının outlook’u tarafında ise durum aşağıdaki gibidir.

EV’nin bütün servisleri çalışıyor görünene göre

Bir yazıda daha sona geldik. Bu yazımda Check Point R76 üzerinde Firewall ve IPSec VPN blade’lerini kullanarak Site to Site VPN yapılandırması açıklamaya çalıştım.

Herkese sorunsuz ve neşeli günler dilerim.

TCP/IP protokolü routable yani yönlendirilebilen, internete çıkış yapmayı sağlayan, hızlı olan bir protokoldür. Windows işletim sistemlerini kurduğunuz zaman, TCP/IP protokolü otomatik olarak yüklenmektedir. TCP/IP protokolüne ait olan ayarları ister kurulum aşamasında, isterse kurulumdan sonra yapabilirsiniz.

Şimdi de TCP/IP adreslemesi ile ilgili olan alt başlıkları inceleyelim.

IP Numarası: TCP/IP protokolünü kullanan network ortamlarındaki bilgisayarlar arasın bir haberleşme sağlayabilmek için kullanılan ve her bilgisayarın kendine özgü, benzersiz kimlik numarasına “ip adres” adını veriyoruz.Aynı network ortamında bir bilgisayara verilen ip adresi başka bir bilgisayara verilirse meydana gelecek olan olaya da ip çakışması(ip confliction) adını veriyoruz.IP adresi 4 bölümden oluşan bir adrestir ve biz her bir bölüme 1 octet adını veriyoruz.Octet Yunanca’dan gelme bir kelime olup sekizli,sekizinci anlamlarına gelmektedir.Bu duruma göre ip adresi toplamda 4 oktetden oluşan br adrestir.

IP adresindeki her bir oktet 1 byte yani 8 bit değere sahiptir. Bu duruma göre toplamda ip adresi 32 bit yani 4 byte’dan oluşan bir adrestir.

Siz ip adresini girerken onluk yani decimal sayı sistemine göre girerek yapılandırırsınız.Örneğin, 192.168.2.1, 10.0.0.1 gibi.Bilgisayar haberleşme esnasında kendi içinde bu decimal adresi ikili binary sisteme çevirerek haberleşme sağlar.Onluk(decimal) tabandaki bir sayıyı ikili(binary) tabana, ikili tabandaki sayıyı da onluk tabana çevirme işlemi ile ilgili örneği aşağıdaki görüyorsunuz.

Onluk tabandaki bir 192 sayısını ikili tabana çevirmenin birinci yolu 192’yi 2’ye bölünemeyecek hale gelene kadar 2’ye bölmek ve son kalan rakam da dahil tersten yazmaktır.

Bunun daha kolay bir yolu aşağıda görülmektedir.

Yukarıdaki tablodaki yöntem çok daha kolaydır.IP adresi sekiz bit olduğu için sekiz ayrı kutucu çiziyorsunuz.Binary sisteme göre 2⁰ dan başlayıp 2⁷ ye kadar kutu değerlerini altına yazıp daha sonra en büyük değere sahip kutudan başlayarak 192’yi bulmaya çalışıyoruz.Seçtiğimiz kutulara 1 seçmediğimiz kutulara  0 yazdığımızda onluk tabandaki sayıyı ikili tabana çevirmiş oluyoruz.

Network ıd ve host ıd

Yukarıdaki şekilde ip adresinin yapısal şeması görülmektedir.Burada w, x, y, z gibi her bir parçaya bir oktet adı verilmektedir.

IP adresi kendi içerisinde iki farklı adres içermektedir:Network ID, Host ID.

Network ID İP adresinin ait olduğu network adresidir.Buna günlük hayatımızdan bir örnek vermek gerekirse sokak isimleri network ID’ye örnek verilebilir.

Host ID İP adresinin ait olduğu network adresidir.Buna günlük hayatımızdan bir örnek vermek gerekirse sokak içerisindeki apartman numaraları host ID’ye örnek verilebilir.

Subnet mask

IP adresindeki Nertwork ID’yi,   Host  ID’ den ayıran numaraya subnet mask denir. Yani bir ip adresinin neresi network ID, neresi host ID bunu belirleyen subnet mask değeridir.Her IP sınıfına ait olan subnet mask farklılık göstermektedir.

A sınıfı IP numarasına karşılık gelen subnet mask değeri 255.0.0.0

B sınıfı IP numarasına karşılık gelen subnet mask değeri 255.255.0.0

C sınıfı IP numarasına karşılık gelen subnet mask değeri 255.255.255.0

IP adresindeki network ID ile host ID’nin bulunmasında ip adresi ile subnet mask AND(ve işlemi yani çarpma) işlemine tabi tutulur. AND işleminde hepimizinde bildiği gibi iki taraftan herhangi birinin 0 olması durumunda sonuç sıfır, her ikisinin de 1 olması durumunda ise sonuç 1’dir.

Aşağıdaki örnek bunu çok açık bir şekilde göstermektedir.

Yukarıdaki örnekde de görüldüğü üzere AND işlemi sonucu çıkan 192.168.2 değeri yani ilk üç oktet network ID’yi gösteriken son oktet yani 0 değeri de host ID’yi göstermektedir.

Eğer sisteminizi subnetlere bölerseniz alt subnetlerin kullanacağı subnet mask değeri değişecektir. Bunun ile ilgili çeşitli hesaplamalar yapmak gerekir. Bu hesaplamalar ileride çıkaracağımız Windows 2003 Network Infrastructure kitabı kapsamı altında geniş bir şekilde anlatılacaktır.

Default Gateway

Farklı network adresi kullanan sistemlerin doğrudan birbirleri ile haberleşmesi mümkün değildir.Bu sistemlerin birbiri ile haberleşebilmesi için arada yönlendirme(routing)  görevi görecek yazılımlar ya da donanımlar kullanmanız gerekir.Farklı network adreslerini kullanan her bir network’e SUBNET adı verilmektedir.Farklı subnetler arası haberleşmeyi sağlayabilmek için arada kullanılan cihazlara da ROUTER adı verilmektedir.

Yukarıaki şekilde de görüldüğü üzere router’ın ethernetlerine 192.168.2.0 network’ü için 192.168.2.254, 192.168.3.0 network’ü içinse 192.168.3.254 adresleri verilmiştir.Bu ip adresleri sayesinde iki network birbiri ile haberleşecektir.Dolayısıyla 192.168.2.0 network’ü tarafındaki router bacağına o network ile aynı sınıfta olan bir ip adresi verilmesi gerekir ki bu şekilde 192.168.2.254 adresidir.Aynı şekilde İşte 192.168.3.0 network’ü tarafındaki router bacağına o network ile aynı sınıfta olan bir ip adresi verilmesi gerekir ki bu şekilde 192.168.3.254 adresidir.Router’ın ethernetlerine verilen bu ip adresleri o subnetlerdeki client bilgisayarlarına default gateway adresi olarak girilmesi gerekir.

Ip sınıfları

Dünya üzerinde kullanılan ip adresleri IENA adı verilen Uluslararası Internet Topluluğu tarafından kendi içerisinde 5 ayrı sınıfa ayrılmış durumdadır. Şimdi bu sınıfları inceleyelim.

A Class Ip Numaraları:

Bir IP numarasının hangi sınıf olduğunu anlayabilmek için birinci octet kullanılır. Eğer IP numarasının birinci octet kısmı 1 ile 126 arasında bir değer ise bu IP adresi A CLASS IP numarasıdır.Dünya üzerinde 126 tane network’ün A CLASS ip adresi ve her network içerisinde de 16,777,214 host bulunmaktadır.

Örnek:  75.56.2.215, 10.0.0.1, 25.1.1.254 gibi.

Şekilde de görüldüğü üzere A CLASS ip adreslerinde birinci oktet yani W değeri network adresini(network ID), geriye kalan üç oktet Y,X,Z ise host adresini(host ID) gösterir.

B Class Ip Numaraları

Eğer bir IP numarasının birinci octet kısmı 128 ile 191 arasında ise bu IP adresi B CLASS IP numarasıdır. Dünya üzerinde 16,384 tane network’ün B CLASS ip adresi ve her network içerisinde de 65,534 host bulunmaktadır.

Örnek: 131.107.15.21,157.125.65.45, 128.10.1.54,                                           

191.25.68.98  gibi.

Şekilde de görüldüğü üzere B CLASS ip adreslerinde ilk iki oktet yani W,X değeri network adresini(network ID), geriye kalan üç oktet Y,Z ise host adresini(host ID) gösterir.

C Class Ip Numaraları

Eğer bir IP numarasının birinci octet kısmı 192 ile 223 arasında ise bu IP numarası C  CLASS IP numarasıdır. Dünya üzerinde 2,097,152 tane network’ün C CLASS ip adresi ve her network içerisinde de 254 host bulunmaktadır.

Örnek: 192.168.2.1, 195.15.75.15, 200.200.200.200 gibi.

Şekilde de görüldüğü üzere C CLASS ip adreslerinde ilk üç oktet yani W,X,Y değeri network adresini(network ID), geriye kalan tek oktet Z ise host adresini(host ID) gösterir.

D Class Ip Numaraları

224.0.0.0’dan başlayıp 239.255.255.255’e kadar devam eden aralıktaki ip adresleri de D CLASS ip adresleridir.Bu sınıftaki ip adresleri multicast haberleşmesi için kullanılır.Örneğin, video konferans uygulamaları veya router’lar arası routing table güncelleştirmelerinde kullanılır.

E Class Ip Numaraları

240.0.0.0’dan sonra geriye kalan adreslerin oluşturduğu sınıfı E CLASS ip grubudur.Bu grup gelecekteki sistemlerde deneysel amaçlı kullanılmak üzere ya da çok özel birimler için kullanılmak üzere rezerve edilmiştir.

Aşağıdaki tabloda şu ana kadar açıkladığımız adresleme sınıflarının bir özetini görmektesiniz.

IP Adreslemede Dikkat Edilmesi Gereken Durumlar

Bir ip adresinde network ID 0 ve 255 ile başlayamaz ve bitemez.

Bir ip adresi hiçbir zaman 127 ile başlayamaz. Çünkü 127.0.0.1 dünya üzerindeki bütün bilgisayarların lokal ethernet testi için rezerve edilmiş loopback adres’dir. Fakat ip adresinin orta kısımlarında ve sonunda 127 kullanılabilir.

Bir ip adresinin tamamı 0 ve 255 sayılarından oluşamaz. Çünkü 0.0.0.0 bir network içerisinde ip adresi olmayan bir bilgisayarın ilk haberleşme anında kullandığı adrestir ve source adres olarak bilinir.0.0.0.0 teknik olarak “any” yani bilgisayarın kendi ip adresi dışındaki herşey anlamında kullanılır.255.255.255.255 adresi ise broadcast adresi olarak bilinir ve broadcast networklerde bilgisayarların birbirine data gönderirken kullandıkları hedef adres olarak bilinir.

Bir ip adresinde host ID 0 ve 255 ile bitemez. Çünkü 0 subnet adresi iken 255 de o subnetin broadcast adresidir.

Temel olarak ağ sistemleri bağlı olan host cihazlarının haberleşmesi için dizayn edilir, fakat ağ yapısı büyükçe ya da kontrol edilecek host sayısı arttıkça yapıyı yönetmek zorlaştığı gibi donanımsal alt yapıyı yönetmekte oldukça zorlaşacaktır. Bu durumda basit bir siyasi stratejisi işin içine girer “ Böl ve yönet” bu sistem büyük ağların yönetilmesinde ve güvenli ağ yapılarının kurulmasında en önemli stratejilerdendir. Bir ağ yapısını bölmenin birden çok yolu bulunmaktadır ki bu yazının amacı da bunları incelemek ve örneklendirmektir.

Ağ yapıları en basit anlamda iki farklı fiziksel ağ oluşturulması ile basitçe bölünebilir fakat bu maliyetli bir yapı ve aynı zamanda ağlar arası geçişler için çok fazla efor sarf edilmesine neden olur bu nedenle pek fazla tercih edilmez. Aslında bahsettiğim şey bölünmek istenen kısımların farklı switchlerde toplanmasıdır ki bu çok fazla port kaybına neden olduğu gibi her yapının diğer yapılarla haberleşmesi yada internete çıkabilmesi içinde router/modem ya da fazla ethernet bacağı olan tek bir router cihazına ihtiyaç duyulur. Bu hem maliyetli hem yönetmesi zor olan hem de router portları switch portlarına göre daha düşük forvarding kapasitesine sahip olduğu için yavaş bir yapı olacaktır, hele ki on ~ onbeş ayrı birimi yönetiyorsanız tam bir kâbusa dönecektir. Elbette burada unutulmaması gereken diğer bir nokta birimler arası host taşıma esnasında ek olarak kablo değişimi yapmak ve fiziksel efor sarf etmek gereğidir. Bizim gibi koca göbekli IT ciler için en istenmeyen durumdur, Hele ki online oyunun tam ortasında yada filim en heyecanlı yerinde şu bilgisayar şu birime devredildi gereğinin yapılması diye bir mail almak hiç hoş olmaz.

O zaman buna bir çözüm bulmak gerekir, basit anlamda fiziksel yapılar yerine bir kaç tıklama ile kurabileceğimiz mantıksal yapılar bunun en iyi çözümüdür gerek maliyet gerek zaman ve yönetim açısından daha kullanışlı çözümlerdir. Bu mantıksal yapılara VLAN ( Virtual Local Area Netrok – Sanal Yerel Ağ ) adı verilmektedir ki adından anlaşılacağı gibi mantıksal bir yapıdır yani fiziksel bir yapı yoktur. Vlanların tam olarak anlaşılması için bilinmesi gereken ilk  okul beş ve orta ikiye kadar gördüğümüz basit küme mantığıdır ki VLAN da bunu yapar, kümeleme işlemi yapar. Basit anlamda VLAN iki kısımda incelenir bunlardan birisi Port Based yada Private VLAN olarak anılan switch portlarının ayrıştırılması bir diğeri de paketlere eklenen 802.1q TAG bilgileri ile oluşturulan VLAN lardır.

Prvate VLAN / Port Based VLAN

Birden fazla switch kullanmaya benzer tek farkı switch yardımı ile hostların birbirlerinden ayrılmasıdır. Temel olarak çok switch kullanıldığında oluşan switch portlarının kaybı ve ağda yönetilmesi ve bakım gerektiren cihaz sayısını azaltılması hedeftir.

YAPI A Küme;

                A : { SW2,SW0,SW5 }

                B : { SW3,SW0,SW4 }

YAPI B Küme;

                A : { SW2,SW0,SW5 }

                B : { SW3,SW1,SW5 }

Şekilde görebileceğiniz gibi iki ayrı yapıda kurulabilir. YAPI A da bir adet router portu vardır ve switch router cihazının ayrım yapabileceği herhangi bir paket içeriği göndermez bu nedenle switchden gelen tüm paketler router cihazı için aynıdır ve tüm hostlar doğal olarak aynı IP blokunda olacaktır. Temelde istenilen yapılmıştır ağ farklı mantıksal alanlara bölünmüştü ve host değişimlerinde yerimizden kalkmadan sadece switch üzerinde değiştirerek yapabiliriz fakat internet çıkışı gibi işlemlerde kısıtlama ya da trafik yönlendirme işleri sorun olacaktır ve birçok DHCP ayarı gerekecektir ayrıca bu yapının temel sorunu vlanlar arası geçiş portların fiziksel olarak bölünmüş olmasından dolayı vlanlar arası geçiş sağlanamaz bu durumda çok kullanışlı değil. Yapı B aslında yapı A ile neredeyse aynı fakat bu sefer router/modem cihazını üzerindeki fazladan portlardan yararlanıyoruz ve tabi ki bu portlarda farklı IP blokları dağıtılabilmesi ve bu IP blokları için router içinde kural yazılabilmesi gerekir buda kullanılacak router cihazının maliyetini arttıracaktır. Her iki durumda da istenilen karşılansa da Private VLAN/ Port Based VLAN tam olarak ihtiyaçları karşılayamamaktadır.

Private VLAN/ Port Based VLAN yapıları daha çok farklı iki yada daha çok şirketi tamamen farklı iki ağ üzerinde yönetmek yada şirket networkü ile misafir networkünü tamamen birbirinden ayırmak için kullanılır fakat wifi yapılarında ve router yapılarında hem wifi cihazlarının hemde router cihazlarının birden fazla port gerekmektedir ayrıca IP subnet işlemi yapılacaksa da bu durumda birden fazla router portu gerekmektedir. Tabi bir diğer yolda Router cihazında ARP ile birden fazla IP tanımlamak ve yerel makinalarda DHCP ve Static iki subnet oluşturup birbirinden ayırmaktadır ki işimizi daha çok zorlaştıracaktır.

Temel sorunu vlanlar arası geçişlerin yapılamaması kullanılacak yapıya göre bağlantı ve geçiş cihazlarında birden fazla port gereksinimi doğurması.

TAG Based VLAN

Tag bazlı vlan sistemlerinde fiziksel bir ayrım söz konusu değildir olay tamamen transfer edilen paketlerin içeriklerine birbirlerinden ayrılmalarını sağlayan bazı TAG bilgileri girilmesi üzerinedir. Kullanımı kolaydır fiziksel müdahale gereksinimi çok azdır portlar kısa sürede yönetim arayüzünden başka bir TAG VLAN alınabilir. TAG VLAN basit anlamda iki tür port yapısından oluşur bunlar TRUNK portlar ve ACCESS portlardır elbette daha gelişmiş VLAN yapıları için kullanılan değişik mantıksal port tipleride bulunmaktadır fakat temel 802.1q bu port yapıları ile yönetilir.

TRUNK Port: Genel olarak içinden birden fazla mantıksal vlan paketi geçirilen porttur, gelen ve giden paketlere bir işlem yapmaz fakat isteğe göre vlansız paketlerin transferini durdurabilir. Kullanıldığı yerler birden fazla VLAN TAG ının aktarımının yapılmasını istenildiği yerlerdir. Bir VLAN switchden bir VLAN switche aktarım yapılırken birden fazla VLAN ının diğer switche aktarılması için yada VLAN router cihazına Switch üzerindeki VLAN ların aktarılması için kullanılır. Aynı sistem VLAN destekli AP cihazlarının birden fazla SSID sini tek kablo üzerinden farklı mantıksal VLAN lar için taşımak içinde kullanılır. En basit anlamı ile UPLINK portları TRUNK tipinde yapılandırılır.

ACCESS Port: Access port istemciler için kullanılır, bu portun özelliği hostan kendisine gelen paketleri tagsız olarak kabul etmesi ve bunları networke gönderirken tag başlığı eklemesidir aynı zamanda bahsi geçen hosta bir paket dönerken bu paketti TAG başlığının silinip hosta tagsız olarak aktarılmasını sağlar. Eğer Access portlar olmasa idi VLAN yapılarında kullanılacak tüm ethernet yapıları TAG desteklemeli idi bu hem maliyeti hem de VLAN kurulumundaki süreyi etkilediği gibi gereksiz iş yüküne de neden olacaktı.  Ayrıca ACCESS portlarının ayarları switch üzerinde yapılabildiği için hiç yerinizden kalkmadan istediğiniz cihazı istediğiniz bir VLAN gurubuna dahil edebilirsiniz. Access portlar yerel hostlar için kullanılmaktadır ve tag private vlanlar içinde kullanılabilir, fakat bu yaygın bir kullanım değildir pekte tavsiye edilmez.

802.1q VLAN yapılarında mutlaka ama mutlaka router cihazı VLAN ara yüzleri oluşturabilmelidir, aksi halde switch tarafından farklı vlanlardan gelen paketler router cihazına gönderildiğinde bir router cihazı için bir anlam ifade etmeyeceği için düşürülecektir.

Resimde görebileceğiniz gibi kümelerde bu sefer router portlarıda vardır, hali hazırda bu portların kümelere dahil olması yada bu kümenin kesişim noktasında bulunmasının nedeni tamamlayıcı bir unsur olmasıdır. Bu şu anlama geliyor VLAN yapısının tam olarak çalışması için birden fazla VLAN aktaran cihazların TRUNK portlarına host cihazlarının ise ACCESS portlrına bağlanması gerekir.

Hali hazırda artık VLAN nedir ve ne için kullanılır biliyoruz fakat anlattıklarımı iyi okuyan arkadaşlar için VLAN ların yetersiz kaldığı bir nokta olduğunu fark edeceksiniz. Bu kısım hepsinde statik değerler olmasıdır yani VLAN larda tüm değerler statiktir değiştirilebilir fakat müdahale gerektirir. Bu durumda kullanışlı oldukları kadar ek iş gerektiren yapılardır. Ayrıca yetersiz kaldığı bazı noktalarda bulunmaktadır bunların en başında IP telefonlar üzerinden aktarılan bilgisayar kabloları, kullananlar bilirler IP telefonların çoğu bir adet bridge switch protuna sahiptir ve tek kablo ile aynı masadaki hem IP telefon hemde PC beslenebilir, ikinci yetersizlik ise Sanal makinalarda tek porttan çıkan ve farklı vlanlara hizmet vermesi gereken sunucuların ayrıştırılmasında. Tabi daha önce belirttiğim gibi eğer IP telefon ve PC lerinizde VLAN TAG girdisi yapabiliyorsanız sorun yok yada Sanallaştırma sistemi için kullandığınız ethernet üzerinden sanal sunuculara VLAN lar ataya biliyorsanız yine sorun yok ama bunların hepsi maliyetleri arttıran durumlardır ayrıca takip gerektirir.  Sorunları çeşitlendirmek ve kafanızda daha iyi bir resim oluşturmak için şunlarda söylenebilir. VLAN yapıları için pahalı AP cihazları kullanımı gereksinimi, personelin anlık yer değişimlerinde düzgün çalışma ortamlarının oluşturulamaması ve süreli olarak bilgi işleme iş yükü yaratılması, 802.1x ile MAC doğrulamanın yapılması için ek donanımların kullanılması ve MAC bazında ayrımlara gidilmesi ve daha birçoğu, gördüğünüz gibi VLAN yapısı bize kolay yönetilebilir ve güvenli ağlar sağlarken aslında ek iş yükü de getirebiliyor. Peki ama hem bu statik yapıdan kurtulmanın hem de bahsi geçen ve daha sayılabilecek pek çok sorunun üzerinden nasıl gelebilir.

TAG based vlanlar paketlerin içindeki TAG bilgisine bakarak çalışırlar yani buradaki değişken paket içeriğinde ki VLAN ID sidir ve eğer bağlı cihazlar TAG bilgisi üretemiyorsa switch ACCESS portları kendilerine bağlı olan cihazlardan gelen paketleri taglarlar buraya kadar her şey yukarıdaki ile aynı, peki işin içine başka bir değişken sokar ve switchin bu TAG bilgilerini bu değişkene göre atamasını sağlarsak. Mesala switchimiz kabiliyetleri arasında benim ona vereceğim bir MAC adres listesine göre ACCESS portlardan gelen trafiği otomatik taglamasını sağlasak, yani biz bir şey yapmıyoruz MAC adreslerinden kimin hangi vlanda olması gerektiğini bir listeye çeviriyoruz ve gerisini switch kendisi hallediyor. İşte bu sisteme MAC Based VLAN deniyor.

MAC Bazlı VLAN :  Temel olarak çalışma mantığı TAG based VLAN ile aynıdır, fakat bu sefer ACCESS portlar VLAN TAG larını MAC adreslerine göre belirler yani iki değişkenimiz var ve hedef değişken MAC adreslerine göre değişiklik gösterebiliyor. Aynı porttan VLAN desteği olmayan bir switch ile çoğaltım yapılsa dahi switch cihazı MAC adresleri için sanal portlar üretir ve MAC adresine göre VLAN ataması yapar. Bu durumda tüm  ACCESS portlar dynamic çalışır yani statik bir değeri yoktur gelen MAC adres bilgisine göre olması gereken tipi otomatik olarak seçer, basitçe şirkette hangi kabloya bilgisayarınızı bağlarsanız bağlayın otomatik olarak dahil olduğunuz VLAN atanırsınız ve ucuz bir AP cihazı yada vlan desteği olmayan bir switch ile bile sistemi genişletir ve dinamik olarak çalışan bu vlan sisteminin keyfini yaşarsınız. Aynı zamanda AP cihazlarından, IP telefon PC ve Sanal makina sistemlerinde yaşadığınız sorunlardan kurtulursunuz.  MAC Bazlı VLAN tüm sisteme kendi kendine işleyen ve sürekli güncellenen dinamik bir VLAN yapısı kazandırır. Bu sistemin güzel yanlarından birisi 802.1x yapısında oluşan bağlanacak her cihaza sertifika üretme işinden kurtulursunuz yada misafir geldiğinde ona ayrı bir sertifika üretme işinden kurtulursunuz, hali hazırda Layer2 seviyesinde bir ayrım yapmaktadır ve hem güvenli hemde hızlı bir yapı kurmaktadır. Bu sistem için dikkat edilmesi gereken tek şey sağlam ve güçlü bir switch cihazı ile çalışmaktır hali hazırda switch artık sadece paket forvard etmiyor aynı zamanda paket içeriğini de kontrol ediyordur.

Artık sistemi biliyoruz, sistemimizi rahatlıkla VLAN yapısını geçirebiliriz. Devam eden satırlarda DrayTek ve SMC switchler aracılığı ile size MAC bazlı bir VLAN yapısının nasıl kurulacağını anlatacağım.

ADIM 1 : DrayTek Router cihazında sanal VLAN bacaklarının oluşturulması. Cihazın LAN VLAN kısmına giriniz alttaki resimdeki ile aynı şekilde VLAN arayüzlerini oluşturunuz ve cihazın portlarını resimde görüldüğü gibi UNTAG vlan kısmında da seçiniz. Bu şekilde hiçbir VLAN ayrılmamış MAC adresleri bu VLAN alınıp LAN1 subnetinden IP verilecektir bu hem VLAN lardan VLAN lara firewall kuralı yazarken hemde internet çıkışı için politikalarınız belirlerken yardımcı olacak bir durumdur. Güvenlik amacı ile oluşturulmuş olan “Permit untagged device in P1 to access router “ seçeneği yapı tam olarak kurulana kadar seçili kalabilir bu sayede VLAN atamalarında yanlışlık yapsanız dahi router cihazına birinci port üzerinden her zaman ulaşabilirsiniz.

ADIM 2 : Cihazın LAN >> General Setup kısmına girerek VLAN lar için seçtiğiniz sanal arayüzlerin DHCP ayarlarını yaparak alttaki resimde görüldüğü gibi aktif ediniz. VLAN ların ruting bazında birbirleri ile konuşmasını isterseniz altta bulunan inter-LAN Routing sekmesini aktif edip hangi porttaki VLAN ların hangi VLAN lar ile konuşabileceğini seçiniz. Bu şekilde VLAN ların birbirleri ile konuşmasına izin verirsiniz ayrıca geri kalan erişim sistemini de Firewall üzerinden düzenleyebilirsiniz.

ADIM 3: SMC Switch cihazınızın ara yüzüne girerek Management kısmında bulunan MAC-Based kısmından MAC adres listenizi oluşturun ve hangi portlardan cihaza erişim yapabileceğini seçin. Burası fiziksel güvenlik sağlamak için önemlidir her MAC adresi için her port seçilebilir yada özel portlar seçilerek personelin kendi birimleri dışına çıkması engellenebilir. Seçili portlar bahsi geçen MAC adresinin hangi portlardan gelir ise bahsi geçen VLAN tagı ile taglanacağını gösterir. Toplantı odasında bağlı tüm bilgisayarların UNTAG vlan olmasını ve birbirleri ile haberleşmesini istiyorsanız toplantı odasından gelen portu yada oraya kablo gönderdiğiniz portu seçmeniz yeterli olacaktır. Bu şekilde şirket bilgisayarları sadece toplantı odasında misafirler ile aynı ağda olacaktır.

ADIM4 : SMC Siwtch üzerinde VLAN kısmına girin ve hangi portların hangi VLAN ları kabul edeceğini seçin. Bu yukarıdaki sistemle hemen hemen aynıdır, tek farkı Uplink için kullanılan portların tüm VLAN lar için seçilmesi gerekliliğidir. Bu kısımda birden fazla GW ve farklı VLAN sistemleri olan yada aynı switch üzeride birden fazla şirket yöneten arkadaşlar priviate vlan yapısını da sağlayabilirler.

ADIM 5:  Bu adımda switch cihazının VLAN kısmında sadece uplink portu için Port Type bölümü C ( Custom Port ) olarak seçilir bu şekilde bu portun üzerinden birden fazla TAG paketi aktarılabilir hale gelir. Bu işlemden sonra yukarıda seçtiğiniz port ve girdiğiniz MAC adres bilgilerine göre bahsi geçen MAC adresleri kendilerine atanmış olan VLAN ları otomatik olarak alacaktır.

VLAN sistemleri MAC based VLAN sisteminden önce idare etmesi ek iş gerektiren yapılardı fakat MAC based VLAN la birlikte kolay kullanılabilir yüksek güvenlik sağlayan yapılar haline geldiler. Tabi VLAN kurmanın daha başka getirileri de var, mesela VLAN sistemi ile birlikte kullanılan 802.1p sayesinde yapınızda hangi cihazların paketlerinin öncelikli olarak iletileceği belirlenebilir ağır yük ve collision durumlarda hangi paketlerin düşürüleceği ve hangilerinin düşürülmeyeceği seçilebilir. Tüm yapıların ethernet üzerine taşınmaya çalışıldığı günümüzde kayıpsız veri transferi ihtiyacı olan VOIP cihazlarının paketleri diğer paketlere göre öncelikle dirilebilir ve daha temiz ve kayıpsız konuşmalar sağlanabilir.

Vyatta çekirdek yazılımı, Ipv4 – Ipv6 yönlendirmesi (OSPF, BGP,RIP,NAT), temel Firewall, IPSec ve SSL Open VPN gibi birçok işlemi yapabilen açık kaynak kodlu Network işletim sistemidir. Aynı zamanda ücretli versiyonu da mevcuttur. Aşağıdaki tablodan sürümler arasındaki farkları görebilirsiniz.

Kaynak : http://www.vyatta.com/product/vyatta-network-os/open-source-vs-enterprise

Kurulum için gerekli olan temel donanım ihtiyacı aşağıdadır.

Kaynak : http://www.vyatta.com/sites/vyatta.com/files/pdfs/vyatta_software_datasheet.pdf

Kurulum için gerekli iso dosyasını http://www.vyatta.org/downloads adresinden download ediyoruz.

Yukarıdaki teknik gereksinimlere gore yeni bir sanal makina oluşturup çalıştırıyoruz. Yönlendirme yapacak olduğumuz network sayısı kadar Ethernet kartı eklemeyi ve bu network kartlarını ilgili sanal switchlere eklemeyi de unutmuyoruz…Yazının ikinci bölümünde bu konuya ayrıca değinilecektir.

İşletim sistemi öncelikli olarak Live CD üzerinden açılacaktır. Default kullanıcı adı ve şifresi vyatta dır.

Hard diske kurulum başlatabilmek için install system komutunu kullanıyoruz. Kurulumun devam etmesi için Yes seçeneği ile devam ediyoruz.

Eğer kurulum için gerekli olan alan mevcut ise bütün adımları Enter ile geçerek kurulum işlemine devam edebiliriz. Buradaki en önemli adım dosyaların kopyalama işlemi sırasında disk formatlanacağı için data kaybı yaşama riskidir.

Vyatta kullanıcısı için yeni bir kullanıcı adı tanımlıyoruz.

Son olarak GRUP (Sistem ön yükleyicisi) kurulumunu Enter ile tamamlıyoruz.

Kurulum tamamlandı reboot komutu ile sistemi yeniden başlatıyoruz. Kurulum CD sini unmount yapmayı unutmuyoruz.

Interfaceleriminizin durumunu Show Interfaces komutu ile kontrol ediyoruz. Ben yönetimin kolay olması açısından Management interface haricindeki kartları henüz sisteme bağlamadım o yüzden o kartların yanında D(Down) işareti gözükmektedir.

İp verebilmek için configure komutu ile konfigürasyon moduna geçiyoruz.

Interface’e ıp atamak için set interfaces ethernet eth0 address 192.168.1.3/24 yazıyorum. Sonrasında commit ile onaylayıp save ile ayarları kaydediyorum.

Artık bu interface üzerinden SSH açıp Putty tarzı bir yazılım ile konfigürasyona devam edebilirim. Bunun için set service SSH yazıyorum. Commit ve Save komutlarını ise unutmuyoruz.

Vyatta olarak gelen hostname’i değiştirmek için set system hostname komutunu kullanıyoruz. Ayar her ne kadar uygulanmış olsa da bir sonraki konsol açılışına kadar bunu göremeyiz.

Şimdi de gateway adresimizi set system gateway-address 192.168.1.1 komutu ile tanımlayalım.

Bölüm 2 ‘de sanal Laboratuvar tasarımını oluşturup Routing işlemlerini tanımlayacağız.

Faydalı olması dileğimle.

Aşağıdaki resimde olduğu gibi, birbirlerinden bağımsız network adreslerine sahip ve farklı lokasyonlar da bulunan bir ağ yapısını simule etmek isterseniz mutlaka Routing işlemi yapabilen bir network cihazı veya uygulamasına sahip olmanız gerekmektedir.

Makalemin ilk bölümüne aşağıdaki link üzerinden ulaşabilirsiniz.

http://www.cozumpark.com/blogs/network/archive/2014/02/09/vyatta-core-ile-sanal-laboratuvar-ortaminin-olusturulmasi-bolum-1-kurulum-ve-temel-konfigurasyon.aspx

Birinci bölümde kurulumunu anlatmış olduğumuz Vyatta ile bu tür uygulamaları rahatlıkla yapabiliriz.  İlk olarak 3 lokasyonumuz icinde yeni Vswitch oluşturuyoruz. Birinci bölümde de belirttiğimiz gibi her switche birer tane Vyattanın Interfacelerinden ekliyoruz. Sonrasında konfigurasyonumuz aşağıdaki gibi gözükecektir.

Altyapımızı oluşturduktan sonra Vyattanın diğer interfacelerine IP adreslerini verelim.

set interfaces ethernet eth0 description "Arge IZMIR"
set interfaces ethernet eth0 address 172.16.14.1/25
set interfaces ethernet eth2 description "Merkez ISTANBUL"
set interfaces ethernet eth2 address 172.16.8.1/22
set interfaces ethernet eth3 description "Fabric BALIKESIR"
set interfaces ethernet eth3 address 172.16.12.1/23
commit
save

Interfacelerin durumunu show interface komutu ile kontrol ediyoruz.

Networklerin, dış dünyaya bağlantısını sağlayabilmek için eth1 üzerinden NAT kuralı yazılmalıdır. Sırasıyla aşağıdaki komutları yazıyoruz.

set nat source rule 1 outbound-interface eth1
set nat source rule 1 source address 172.16.14.0/25
set nat source rule 1 translation address masquerade
set nat source rule 2 outbound-interface eth1
set nat source rule 2 source address 172.16.8.0/22
set nat source rule 2 translation address masquerade
set nat source rule 3 outbound-interface eth1
set nat source rule 3 source address 172.16.12.0/23
set nat source rule 3 translation address masquerade
commit
save

Networkler interfacelere doğrudan bağlı olduğundan dolayı her hangi bir routing kuralı yazmaya gerek yoktur. Bundan dolayı bütün networkler bir birleriyle sorunsuz haberleşebilmektedir.

Faydalı olması dileğimle.

Bu yazımızda Layer 2’de hükümdarlığını süren Mac Adresleri ile Layer 2 Access Control List yazmayı konuşuyor olacağız. İsimlendirme karşınıza Mac Access Control List, Layer 2 Access Control List ve Ethernet Access Control List olarak çıkabilir. Layer 3 üzerinde IP bazlı Access Control List (ACL) yazımındaki teferruat burada olmayacaktır. Layer 2 katmanında da ek güvenlik sağlamak için biçilmiş kaftandır.

Access Control List yazma kısmındaki giriş bilgileri ve bazı tanım ve sınırlamalar cihazlara göre ufak değişiklikler gösterse de genel bir bilgi verecek olursak. Öncelikle yaz yazabildiğin kadar gibi bir bolluk söz konusu değil tabi ki belli bir sınırlama var kural yazımında ama bu rakamlar ihtiyaçları çok rahat karşıladığı için sıkıntı olmuyor. Bu rakamların konulma sebebi de performans kaybını önlemek içindir. Bunlardan bahsedecek olursak;

- Bir Line card üzerinde max. 256 Access List (ACL) yazılabilir. Bu sayı router’larda 256’yı geçebilir. Bu sayı değişkenlik gösterebiliyor tam olarak öğrenmek için cihaz özelliklere bakarak bulabiliriz.

- 1 Access List (ACL) içerinde max. 16  Access Control Enrty (ACE) yani Access Control girdisi girebiliriz. İlerleyen kısımlarda bu ACE’nin tam olarak hangi kısım olduğundan bahsedeceğiz.

Son olarak da Layer 3 bazlı Access List’ler de yapabildiğimiz gibi Layer 2 tarafında da “permit” ve “deny” filtreleme seçeneklerimiz mevcuttur fakat Layer 3 tarafındaki kural genişliği yoktur diyerek bitiriyorum giriş kısmını.

Yavaş yavaş konfigürasyon kısmına geçebiliriz. Öncelikle alttaki gibi PuTTY ile standart ayarlarla cihazımızın konsoluna erişiyoruz. Bu kısımda farklı olabilecek kısım sizin COM portunuzun numarası olabilir. Kontrol edip kendi COM portu numaranızı girebilirsiniz.

Öncelikle benim test cihazım Dell PowerConnect 5524 komut satırı Cisco ile benzerlik gösterse de tamamıyla aynı değildir. Ama mantık hemen hemen aynı olduğu için diğer markalara ait cihazlarda da ufak ufak farklılıklar olacaktır.

“Enable” ve “Configure terminal” ile Global Configuration Mod’a geçiyoruz.

Öncelikle Kuralımıza bir isim vereceğiz. Bu kısım için komut satırı;

Console (config)# mac access-list extended ACL_KURAL_ADI

Kuralımıza isim verdik şimdi yukarıda bahsi geçen ACE’leri (Access Control Girdisi) oluşturalım.

Bu ACE’lerin cihazlarda markadan markaya oluşturulmasında ufak farklılıklar mevcuttur. Dell tarafında bunun yapısı alttaki gibidir.

Permit | Deny {any | {Kaynak Mac - Kaynak Wildcard}} {any | {Hedef Mac - Hedef Wildcard}} [Vlan vlan-id]

Yukarıdaki kısımı kısaca açıklamak gerekirse öncelikle permit (izin ver) yada deny (engelle) ile başlayacağız. Bunu oluşturacağımız kurala göre bizim belirlememiz gerekiyor. Sonra kural yazmak istediğimiz makinenin mac adresini ve bu mac adres için bir wildcard mask girmemiz gerekiyor. Daha sonra hedef mac adresimiz ve onun wildcard’ı yapıda vlan yoksa burada kural bitiyor. Yapıda vlan varsa, kuralda hangi vlan için olduğunu belirtiyoruz.

Burada çoğu kısım anlaşılıyor ama wilcard mask kısmında biraz soru işareti olabiliyor. Bu Subnet Mask’ın tümleyeni gibi düşünebilirsiniz. Bildiğiniz gibi hesaplamalar bitlerle oluyor. Subnet mask’da 0 olan bitler Wilcard Mask’da 1 olur. Bu yüzden tümleyeni deriz. Aslında ikisi de aynı şeyi ifade edebilir. Ama bazı protokollerde wilcard mask kullanıyoruz.

Burada biz 00:00:00:00:00:00 wilcard mask’ını kullanacağız. Bu bir aralığı değilde sadece belirttiğimiz mac adresi’ni belirtir. Yani ip tarafından örnek verecek olursak bizim (255.255.255.255) diyerek sadece o ip diye belirttiğimiz mask adresine karşılık geliyor.  Peki wildcard mask’ın 00:00:00:00:00:FF olduğunu varsayarsak mac adresin en son oktet’i (xx:xx:xx:xx:xx:XX Büyük yazılan XX kısmı) 00’dan başlayıp FF’e kadar olan mac adresi aralığını belirtmiş oluruz. Yine kolay anlaşılmsı için ip kısmından örnek verecek olursam (255.255.255.0 gibi bir mask adresini kullandığımızda 254 tane ip adresimizin olduğu gibi düşünebiliriz)

Şimdi tekrar config kısmına dönelim ve ilk ACE’mizi oluşturalım.

Bu kuraldaki amacımız; 44:44:44:44:44:44 mac adresli makina 55:55:55:55:55:55 mac adresli makinaya erişebilsin olsun. Diğer makinaların hiç biri erişemesin olsun. Bu kural komut satırında uzun yer kapladığı için uzun olan kısım konsolda sol tarafta kaybolduğu için ekran görüntüsü almadım. Fakat komut alttaki gibidir.

console(config-mac-al)#  permit 44:44:44:44:44:44 00:00:00:00:00:00 55:55:55:55:55:55 00:00:00:00:00:00

Geri kalan diğer mac adreslere bu erişimi kapatmak içinde bu komuttan sonra;

console(config-mac-al)#  deny any any  komutunu yazmamız yeterli olacaktır. Bu komutu açıklayacak olursak “deny” yani engelle neyi ? “any” bütün kaynak bilgisayarların “any”  bütün hedef bilgisayarlara erişimine izin verme oluyor. Cihaz kuralları yukarıdan okumaya başladığı için 44:44:44:44:44:44 mac adresine verdiğimiz izin üstte olduğu için ona erişim izni verecektir. Firewall’daki kural sıralaması mantığı gibi yani üstteki kural alttakini ezer. Yani biz alttaki komutu üstteki ile yer değiştirirsek ilk kuralda herkesi engellediğimiz için bizim permit kuralına bakmayacaktır bile cihaz.

Aynı komutlarda “permit” ve “deny” kısımlarını da değiştirirsek. Yani alt kısımdaki gibi bir konfig girersek bu kez yalnızca 44:44:44:44:44:44 mac adresli cihazın 55:55:55:55:55:55 mac adresli cihaza erişimini engellemiş. Geri kalanlara izin vermiş oluyoruz.

console(config-mac-al)#  deny  44:44:44:44:44:44 00:00:00:00:00:00 55:55:55:55:55:55 00:00:00:00:00:00

console(config-mac-al)#  permit any any 

Yapımızda Vlan mevcut olduğunu varsayarsak bu örneğimizde de bir vlandaki cihazlarla iletişime geçmesi için sadece 1 makinamıza izin verelim. Mesela; sadece 44:44:44:44:44:44 mac adresli cihazımız vlan 10 üzerinde herhangi bir cihazla iletişim kurabilir. Fakat diğer cihazlar bu durum için engellenmiştir. İsterseniz “any” şeklinde tüm cihazlar diye bir genelleme yapmayıp sadece bir mac adresi veya bir mac adresi aralığında belirtebiliriz.

console(config-mac-al)#  permit 44:44:44:44:44:44 00:00:00:00:00:00 any vlan 10

console(config-mac-al)#  deny any any 

Buraya kadar kural yazma üzerine konuştuk. Peki, bu yazdığımız kurallar şuan geçerlimi? Geçerli ise cihazın tüm interface’leri üzerinde mi geçerli o kısma gelelim.

Öncelikle yazdığımız kurallar şuan geçerli değil. Çünkü bu kuralları bir interface’e atamadık. Bu atama işlemi interface’in giriş mi yoksa çıkış trafiğine mi ekleyeceğimize karar veriyoruz. Burada interface’den çıkan trafik için yalnızca oluşturduğumuz Access Control List’i atayabiliriz. Ama interface’e giren trafik için hem oluşturduğumuz Access control list’i hem de belli başlı protokollere izin verme veya engelleme işlemi yapabiliriz. Bu protokollerin hangileri olduğunu da açıklayacağız. Şimdi yazdığımız bir Access control list’i interface’lere atama işlemini yapalım.

Gigabitethernet 0/1 interface’inin çıkış trafiğine oluşturduğumuz ACL’i atayalım.

console(config)# interface gigabitethernet 0/1 komutu ile interface içerisine girdik.

console(config-if)# service-acl output komutundan sonra “?” ile çıkış trafiğine ne atayabileceğimizi görüyoruz. Yukarıda bahsettiğimiz gibi sadece oluşturduğumuz ACL’i atayabiliyoruz.

console(config-if)# service-acl output ACL_KURAL_ADI

Böylece gigabit ethernet 0/1 olan interface’imizden çıkan trafik uyguladığımız bu Access control list’e göre geçecektir. Diğer interface’lere bir kural uygulamadığımız için onlar normal bir şekilde işleyişlerine devam edeceklerdir.

Şimdi bir interface’imizin giriş trafiğine de bir ACL atayalım. Yukarıda giriş trafiğinde daha çok seçenek olduğundan bahsetmiştik. Bunlardan da bahsediyor olalım.

console(config)# interface gigabitethernet 0/12

console(config-if)# service-acl input komutundan sonra “?” ile giriş trafiğine ne gibi kurallar atayabileceğimizi görüyoruz.

Yukarıda da göründüğü gibi Ciscoya özel bütün protokolleri, cdp, vtp, dtp, udld, pagp, sstp ve bizim oluşturduğumuz ACL’leri interface giriş trafiğinde engelleyebiliyoruz. Önceden de belirttiğimiz gibi çıkış trafiğinden daha geniş seçenekler mevcut. Bu protokollerin neler yaptığını ne işe yaradığını tek tek açıklamak konumuz dışına çıkacaktır ama araştırma yapacaklar için tam adlarını yazalım.

CDP =>    Cisco Discovery Protocol

VTP =>     Vlan Trunking Protocol

DTP =>     Dynamic Trunking Protocol

UDLD =>  Unidiectional Link Detection

PAGP =>  Port Aggregation Protocol

Yukarıda belirttiğimiz seçenekleri giriş trafiği için girerek belirttiğimiz interface için giriş trafiğini kontrol edebiliriz.

Örnekleri çoklamak mümkün önemli olan mantığını kavramak zira farklı firmaları geçtim aynı firmanın farklı cihazlarında bile bazen komut satırı ufak değişiklikler göstermektedir. Yukarıda da belirttiğim gibi bu makalemizde Dell Powerconnect 5524 ürününü kullandık.

Bu makalemizde Layer 2 Access List yazımını anlatmaya çalıştık. Bir başka makalemizde görüşünceye kadar. Subnet’imiz Çözümpark , ping’imiz daim olması dileğiyle…

Bu makalemde sizlerle HP Networking ürün ailesinde yer alan ve A serisi ürün ailesi altında yer alan switchlerin” firmware” ve “bootrom” upgrade işlemlerini adım adım anlatıyor olacağım.

Öncelikle HP Networking Ürün Ailesi  A , E , V, S  serilerinden oluşmaktadır.

A serisi ürünler, Comware işletim sistemini kullanmaktadır.

E serisi ürünler, Provision ASIC işletim sistemini kullanmaktadır.

V serisi ürünler, Web Based ürünler ve Yönetilemeyen switch ürün ailesinden oluşmaktadır.

S serisi ürünler, Security ürün ailesini oluşturmaktadır. IPS ve Firewall çözümleri bu başlık altında yer almaktadır. Tipping Point markası burada bu aileyi temsil etmektedir.

Temel HP network ürün ailesi bilgisinin ardından sizlerle, Amacımız bu makale sonrasında HP A serisi ürünlerin kullandığı işletim sistemi olan Comware OS v5 işletim sisteminin güncel versiyonu olan Comware OS v7 ‘ye upgrade işlemini gerçekleştiriyor olmanız.

Öncelikli olarak upgrade işlemini HP A-5120-EI-24G ürününde gerçekleştiriyor olacağım. Fixed portlu tüm A serisi ürünlerde upgrade işlemi farklılık göstermemektedir.

Mevcut cihazın firmware versiyonunu ve çalışan kaydedilmiş konfigürasyonunu görüntülemek için aşağıdaki resimdeki işlem adımlarını takip edebilirsiniz.

RESİM-1

Bildiğiniz üzere firmware upgrade aşamasının ardından herhangi bir data silinmeyecektir. Ancak yinede önlem almak adına.  Yukarıdaki komut çıktsınında ardından tüm çalışan konfigürasyonu, notepad’e kaydederek konfigürasyon yedeğini almanızı tavsiye ederim. (RESİM-1-)

RESİM-2

Mevcut işletim sisteminin backup ve main alanlarda hangi işletim sistemi versiyonu kullandığını doğrulamak ve öğrenmek için yukarıdaki komut çıktısını kullanabilirsiniz. (RESİM-2)

Gerekli kontrollerin ardından switch’e firmware yükleme işlemini başlatabilmemiz için aşağıdaki ön gereksinimleri hazırlıyor olmanız gerekli. Sonucu başarılı sonuçlandığı takdirde işlemler adımına devam edebilirsiniz.  (RESİM-3-)

RESİM-3

Aşağıdaki işlemlerin olumlu sonuçlanması gerekmektedir. Aksi takdirde firmware yükleme işlemine geçemezsiniz. Cihazınızın flash’ın yeterince kapasite olmamasından ötürü sorun yaşayabilirsiniz. O sebeple aşağıdaki işlem adımlarının sonucusunda flash içerisinde yer alan firmware’i siliyoruz.  (RESİM-4)

RESİM-4

TFTP prokolü üzerinden cihazınıza firmware yükleyebilmeniz için, TFTP server yazılımına ihtiyacınız vardır. İlgili yazılımı altta yer alan link’ten indirebilirsiniz.

http://www.solarwinds.com/register/MoreSoftware.aspx?External=false&Program=52&c=70150000000CcH2&tftpreg=true

Yazılımı indirdikten sonra TFTP yazılımını kurduğunuz PC üzerinde TFTP portuna ve ICMP 8 nolu porta izin verdiğinizden emin olunuz.

Bu yönergelerinin tamamlanmasının ardından, aşağıdaki linkte yer alan 5120 switch için ilgili firmware’i indiriniz.

https://h10145.www1.hp.com/Downloads/SoftwareReleases.aspx?ProductNumber=JE069A&lang=pl&cc=pl&prodSeriesId=4174705

TFTP yazılımında aşağıdaki görülen ayarların yapıldığından ve indirdiğiniz firmware’i TFTP root klasörüne attığınızdan aşağıdaki aşamaları kontrol ederek emin olunuz. (RESİM-5)

RESİM-5

Tüm ön gereksinimleri tamamladıktan, ardından fimrware upgrade/install işlemini aşağıdaki komutu kullanarak başlatabilirsiniz.  (RESİM-6)

RESİM-6

Bu işlem adımının başarılı bir şekilde tamamlanmasının ardından, Boot ROM versiyonunuda yükseltmenizde fayda var. “.btm”  uzantılı dosya firmware ile aynı zip dosyası içerisinden çıkacaktır. (RESİM-7)

RESİM-7

Bu işlem adımlarının tamamlanmasının ardından, cihazınızda yüklemiş olduğunuz firmware ve bootrom versiyonlarının kalıcı olarak kullanılmasını sağlamak için ve bacukp ve main software versiyonlarını cihazımızda kalıcı olarak ayarlamak için aşağıdaki işlem adımlarını gerçekleştirmeniz gerekli.  (RESİM -8)

RESİM 8

Konfigürasyonun kaydedilmesinin ardından, cihazı reboot etmeniz gerekli. (RESİM 9)

RESİM 9

Cihazın açılmasının ardından, işletim sistemi versiyonu, flash içerisindeki bulunan dosyaların kontrolünün yapılmasının ardından, cihazın firmware ve bootrom versiyonun güncellendiğini kontrol edebilirsiniz. (RESİM 10)

RESİM 10

Resim 2 ile Resim 10 arasındaki fimrware versiyonlarını karşılaştrıdığınız zaman upgrade işleminin başarılı bir şekilde gerçekleştiğini görüntüleyebilirsiniz.

Aşamaları istinasız adım adım uyguladığınız takdirde tüm A serisi fixed portlu switchlerde işlem başarı ile sonuçlanacaktır.

Vyatta Core, yani ücretsiz olan router versiyonu, IPSEC ve OPENVPN yardımı ile site-to-site vpn çözümüne destek vermektedir. Firmanız büyüdü ve farklı bir lokasyonda sizden şube bilgi sistem altyapınızı hazırlamanızı istediler. Fakat her zamanki gibi en ekonomik hatta olabiliyorsa ücretsiz bir çözüm olması şarttı. Tam bu isteğe cevap verebilecek ve toplamda sadece 41 komut (21+20) ile bu altyapıyı hazırlayabileceğiniz çözümü Vyatta Core ile yapabilirsiniz.

Senaryomuz şekildeki gibi olsun ve daha önce sitede yayınlanan iki bölümlük makale refarans alınarak vyatta routerların kurulmuş olduğunu varsayalım.

Main Site ve Remote Site, Router IP konfigurasyonu aşağıdaki gibi yapılmalıdır.

Main Site :

set system host-name "MainSite"

set interfaces ethernet eth0 address 192.168.1.1/24

set interfaces ethernet eth0 description "Main-Internal"

set interfaces ethernet eth1 address 192.168.17.1/28

set interfaces ethernet eth1 description "Main-External"

set system gateway-address 192.168.17.1

set nat source rule 1 outbound-interface eth1

set nat source rule 1 source address 192.168.1.1/24

set nat source rule 1 translation address masquerade

commit

save

Remote Site :

set system host-name "RemoteSite"

set interfaces ethernet eth0 address 192.168.3.1/24

set interfaces ethernet eth0 description "Remote-Internal"

set interfaces ethernet eth1 address 192.168.28.1/28

set interfaces ethernet eth1 description "Remote-External"

set system gateway-address 192.168.28.1

set nat source rule 1 outbound-interface eth1

set nat source rule 1 source address 192.168.3.1/24

set nat source rule 1 translation address masquerade

commit

save

Bu işlemden sonra her iki router bir birlerinin dış interfacelerine (eth1) ping atabilmelidir. Tabi arada firewall gibi bir cihaz yok ise.

Her iki router da aşağıdaki komutlar yardımı ile SSH servisini açıyoruz ve root kullanıcısına erişim yetkisi tanımlıyoruz.

set service ssh

set service ssh allow-root

set system login user root authentication plaintext-password Password1234

commit

Routerların, bir birleri ile etkileşimde kullanacak oldukları anahtarı üretiyoruz. Bu işlemi sadece MainSite da yapıyoruz.

NOT: Anahtarın oluşturulmuş olduğu klasör upgrade işlemleri sırasında korunmamaktadır. Bu işlemler öncesi anahtarın yedeği alınmalı yada farklı bir klasörde anahtar saklanmalıdır.

generate openvpn key /etc/openvpn/key.psk

Oluşturulan anahtar WinSCP yada farklı yöntemler ile Remote-Site’a taşınmalıdır. Ben yazımda kolay olması sebebiyle WinSCP programını kullandım ve route kullanıcısı ile her iki routerda oturum açarak taşıma işlemini başlattım.

Sırasıyla routerlar da aşağıdaki komutları çalıştırıyoruz.

Main Site :

set interfaces openvpn vtun0 mode site-to-site

set interfaces openvpn vtun0 local-address 172.16.1.1

set interfaces openvpn vtun0 remote-address 172.16.1.2

set interfaces openvpn vtun0 remote-host 192.168.28.1

set interfaces openvpn vtun0 shared-secret-key-file /etc/openvpn/key.psk

commit

save

Remote Site :

set interfaces openvpn vtun0 mode site-to-site

set interfaces openvpn vtun0 local-address 172.16.1.2

set interfaces openvpn vtun0 remote-address 172.16.1.1

set interfaces openvpn vtun0 remote-host 192.168.17.1

set interfaces openvpn vtun0 shared-secret-key-file /etc/openvpn/key.psk

commit

save

Tüneli oluşturduğuktan sonra her iki routerda networkleri tanıtan static route komutu giriyoruz.

Main Site :

set protocols static route 192.168.3.0/24 next-hop 172.16.1.2

Remote Site :

set protocols static route 192.168.1.0/24 next-hop 172.16.1.1

Bu komutlar sonrası her routera bağlı olan LAN networkleri birbirleriyle sorunsuz haberleşebilecektir.

Tunelin ayakta olduğunu ve bağlantı durumunu görmek için “tail -f /var/log/messages”  komutu kullanılabilir.  Vyatta önünde herhangi bir modem, firewall gibi cihazlar var ie 1194 portu vyatta dış interface ‘ine yönlendirilmelidir.

İki routerda yapılan komutların topluca hali aşağıdadır.

Main Site :

set system host-name "MainSite"

set interfaces ethernet eth0 address 192.168.1.1/24

set interfaces ethernet eth0 description "Main-Internal"

set interfaces ethernet eth1 address 192.168.17.1/28

set interfaces ethernet eth1 description "Main-External"

set system gateway-address 192.168.17.1

set nat source rule 1 outbound-interface eth1

set nat source rule 1 source address 192.168.1.1/24

set nat source rule 1 translation address masquerade

set service ssh

set service ssh allow-root

set system login user root authentication plaintext-password Password1234

generate openvpn key /etc/openvpn/key.psk

set interfaces openvpn vtun0 mode site-to-site

set interfaces openvpn vtun0 local-address 172.16.1.1

set interfaces openvpn vtun0 remote-address 172.16.1.2

set interfaces openvpn vtun0 remote-host 192.168.28.1

set interfaces openvpn vtun0 shared-secret-key-file /etc/openvpn/key.psk

set protocols static route 192.168.3.0/24 next-hop 172.16.1.2

commit

save

Remote Site :

set system host-name "RemoteSite"

set interfaces ethernet eth0 address 192.168.3.1/24

set interfaces ethernet eth0 description "Remote-Internal"

set interfaces ethernet eth1 address 192.168.28.1/28

set interfaces ethernet eth1 description "Remote-External"

set system gateway-address 192.168.28.1

set nat source rule 1 outbound-interface eth1

set nat source rule 1 source address 192.168.3.1/24

set nat source rule 1 translation address masquerade

set service ssh

set service ssh allow-root

set system login user root authentication plaintext-password Password1234

set interfaces openvpn vtun0 mode site-to-site

set interfaces openvpn vtun0 local-address 172.16.1.2

set interfaces openvpn vtun0 remote-address 172.16.1.1

set interfaces openvpn vtun0 remote-host 192.168.17.1

set interfaces openvpn vtun0 shared-secret-key-file /etc/openvpn/key.psk

set protocols static route 192.168.1.0/24 next-hop 172.16.1.1

commit

save

Umarım faydalı bir makale olmuştur. Bir sonraki makalemde görüşmek üzere.

Gerek Hypervisor lerde gerekse diğer fiziksel sunucularda çoğu zaman bandwidth genişletmek ve redundancy arttırmak amaçlı teaming policyler kullanırız ancak sadece makina üzerinde yapılan bu konfigürasyonlarla bu işlem tamamlanmıyor.

Bu makalemde sizlere anlatacağım LACP hakkında genel bir bilgi vermek ve bir sonraki makalemde Esxi 5.1 ve 5.5 üzerinde nasıl LACP konfigürasyonu yapılacağını göstermek yönünde olacak…

Nic Teaming ve LACP kavramları çoğunlukla birbiriyle karıştırılır. Öncelikle bu 2 kavramdan bahsedelim. Nic Teaming policyleri host üzerinde yapılan ayardır ve genellikle Host interfacelerini fiziklsel yapıya göreActive/Standby yada Active/Active mimariyle çalıştırmaya dayanır.

LACP ( Link Aggregation Control Protocol ) aslında vendor bağımsız bir protocoldür. LACP vendor seviyesine indiğinde isimleri biraz değişiyor. Mesela Cisco bu konfigürasyonun ismine Ether Channel diyor Hp Port Trunkdiyor vs

Sonuç itibariyle switchlerde yapılan bu ayarın aslında host tarafında bir amaca hizmet ettiğini söylememiz gerekir. Bu amaç hostlar üzerinde mevcut throughput arttırma ve herhangi bir link kaybına karşı yedeklilik sağlamaktır.

Host üzerinde yapılan konfigürasyonda ( teaming/ bonding ) 2 yada daha fazla fiziksel interface in tek bir interface ( Logical Interface ) altında toplanarak çalışma esasına dayanır.

LACP ise hosttan çıkıp switchlere saplanan uplinklerin, tek uplink gibi çalışması esasıdır.

Dolayısıyla Sunucular üzerinde Active/Active Nic Teaming (LACP) konfigürasyonu yapmadan önce, switch tarafında bu konfigürasyonu yapmamız gerekir ki host uplinkleri için doğru bir referans olsun…

Şimdi sizlere network için bir design göstermek istiyorum. (Şekil için kusura bakmayın çünkü ilkokulda bile resim dersinden 2 alırdım : ) )

Yukarıda görmüş olduğunuz bu design host networking için fully redundant bir yapıyı gösteriyor. Soldaki şekil bizim yaptığımız fiziksel bağlantı. Sağdaki şekil ise switch tarafının ve host tarafındaki interfacelerin logical durumu.
Yapmış olduğum bu desing doğru bir design  örneğidir ve herhangi bir loop durumunu içermez.

Ancak piyasa çok şahit olduğum bir kaç yanlış var. Bu yanlışları söyleyelim;

1- Hosttan çıkan uplinkleri stack olmayan iki sw’e saplamak. Aşağıdaki şekilde anlatmaya çalıştım.

Host tarafında da bu linkler team edildiğinde( Active/Active Teaming ) bizi bir tehlike karşılıyor tehlikenin adı LOOP : ) Şimdi bu konu hakkında konuşalım;

Arkadaşlar stack olmayan 2 switch aslında birbirinden bağımsız iki switchtir. Dolayısıyla siz host tarafında niclerinizi team yaptığınızda 1 mac adresi elde edersiniz. 1 mac adresini 2 ayrı switch in arp tablosuna kaydedildiğini görürseniz layer 2 cinayeti olur ( loop ) STP ( Spanning Tree Protocol ) devreye girer ve loopa giren uplinkleri blocklar. STP günümüzde neredeyse bütün swlerde enable geliyor ( yönetilebilen switchler )

2- Stack edilmiş 2 switch olduğunu düşünelim. Hostumuzda 4 uplink var ve team edilmiş ( tek bir nic ) olarak çalışıyor. Ancak switch üzerinde herhangi bir LACP konfigurasyonu yapılmamış olsun . Bu durumda çalışmayı engelleyecek her hangi bir loop durumu olmayacaktır ancak switchlere saplanan uplinkler 1 uplink gibi davranmayacağı için sonuç itibariyle hiçbir zaman yüksek throughput yakalayamayız.

Özetle:

Active / Active Teaming policy leri sağlıkla kullanabilmemiz için switchlerin üzerlerine sapladığımız uplinkleri de doğru konfigure etmemiz gerekir.

LACP ve Nic Teaming hakkında bilgiler vermeye çalıştım. Umarım okuyan arkadaşlarıma yardımı olur.

Bu makale içerisinde sizlerle Aruba 650 Wireless Mobility Controller üzerinde Guest Network authentication konfigürasyonunu paylaşıyor olacağım.

Guest Network ihtiyacı tüm işletmelerde, misafir olarak dahil olan tüm kablolu/kablosuz kullanıcılara internet erişimini sağlamak için kullanılır. İnternet erişiminin açılmasının ardından, lokal’de bulunan işletme kaynaklarına erişim aynı zamanda engellenir.

İhtiyacın karşılanması için, yönetilebilir switch’lerde  Guest Network’ü karşılayacak bir VLAN karşılığınında oluşturulmuş olması gerekmektedir.

Makalemiz içerisinde ben sizlerle Mobility Controller tarafındaki tüm ayarları adım adım gerçekleştiriyor olacağım. Çok uzunca sayfalar sürmemesi için, konfigürasyonun bir kısmını CLI’dan, bir kısmını ise WEB ara yüzünden gerçekleştiriyor olacağım.

Yapılacak işlem adımları;

1.       Guest VLAN’nın Controller üzerinde oluşturulması ve Guest network için DHCP servis ayarlarının gerçekleştirilmesi.

2.       Guest User’ın rollerinin belirlenmesi

3.       Captive portal profil ayarlarının yapılması

4.       Guest Network için SSID ayarlarının gerçekleştirilmesi

5.       AAA profil ayarlarının yapılması

6.       VAP profil ayarlarının yapılması

7.       Guest Provisioning işlemi ve Guest hesabının oluşturulması

Guest Network için VLAN oluşturulması,

Guest profil için IP adresi ayarlarının ve İç network’den dışarı erişim için NAT ayarlarının yapılması.

Guest Network’ünden IP alacak kullanıcılar için DHCP servisinin ayarlanması,

Guest Network’ün  Internal network üzerinden erişeceği Public network DNS’leri ve Destination Networkleri aşağıdaki gibi tanımlıyoruz.

Cihazın global configuration level’ında iken aşağıdaki komutları sırası ile yazabilirsiniz.

!

netdestination Internal-Network

network 10.0.0.0 255.0.0.0

network 172.16.0.0 255.240.0.0

network 192.168.0.0 255.255.255.0

!

netdestination Public-DNS

host 195.175.39.39

host 208.67.222.220

!

Guest User’ların network erişim yetkilerinin komut satırından Policy ile tanımlanması,

Global configuration mode’da yazılmalı,

ip access-list session guest-logon-access

user any udp 68 deny position 1

any any svc-dhcp permit position 2

user alias Public-DNS svc-dns permit position 3

!

Internal network erişiminin kullanıcılar için kısıtlanması,

ip access-list session block-internal-access

user alias Internal-Network any deny position 1

Guest kullanıcıların, Web tabanlı erişimlerine izin verilmesi için,

ip access-list session auth-guest-access

user any svc-http permit position 1

user any svc-https permit position 2

!

Kullanıcı erişimlerinin bloklandığında session log’larının kaydedilmesi için,

ip access-list session drop-and-log

user any any deny log position 1

Guest kullanıcılar için Logon  rol konfigürasyonu,

user-role guest-logon

access-list session captiveportal position 1

access-list session guest-logon-access position 2

!

Guest kullanıcılarının logon,logout detaylarının belirlenmesi,

user-role auth-guest

access-list session cplogout position 1

access-list session guest-logon-access position 2

access-list session block-internal-access position 3

access-list session auth-guest-access position 4

access-list session drop-and-log position 5