OPNsense ile VLAN Segmentasyonu ve Homelab Ağ Güvenliği Rehberi

OPNsense ile VLAN: İçindekiler

1. Ev Ağınıza Bağımsızlık Kazandırın
2. Neden Önemli: Ağ Güvenliğinde Segmentasyon
3. Temel Kavramlar: VLAN ve Bridge Mantığı
4. Uygulama: VLAN Yapısını Kurma ve Donanım Uyarıları
5. Yaygın Hatalar: Operatörlerin Dikkat Etmesi Gerekenler
6. En İyi Uygulamalar: Ağın Zayıf Noktalarını Kapatma

Ev Ağınıza Bağımsızlık Kazandırın

Ev ağınıza OPNsense ile VLAN tabanlı bir yapı kurmak, telekom sağlayıcısının (ISP) kullandığı köprü (bridge) modu cihazlarına boyun eğmekten kurtarmanızı sağlar. Bir homelab operatörü olarak biliyoruz ki, her türlü kısıtlamanın altına girmek performans ve güvenlik açısından uzun vadede feda edilebilir bir pazar değildir. Bu rehberde, fiziksel donanımı sanal ağ yapılarına bağlamanın pratik yollarını inceleyeceğiz. Telekom kutunuzdan çıkıp kendi firewall’unuzun kontrolündeki bir ağ kurmak, operasyonel kontrolünüzü geri almanın en garantili yoludur. Vodafone gibi sağlayıcılarla çalışırken, tünel moduna geçiş ve VLAN ID yönetimi sıkça karşılaşılan bir durumdur.

Biz bu rehberde bu süreçte atlanmamanız gereken adımlara odaklanıyoruz. Ayrıca, OPNsense’in sağladığı grafik izleme (Graphs) ve paket yakalama (Packet Capture) özellikleri, sadece bir router olarak değil, kapsamlı bir ağ yönetim sistemi olarak operasyonel verimliliği artırır. Bu araçlar, ağ trafiğindeki anormal yüklemeleri veya gizli bağlantıları tespit etmenizi sağlar, bu da ev ağınızdaki gizli riskleri tespit etmenin en hızlı yoludur.

Ek baglam icin opnsense ile vlan segmentasyonu ve homelab ag guvenligi rehb ve homelab_groundwork_with_opnsense baglantilarina bakabilirsiniz.

Neden Önemli: Ağ Güvenliğinde Segmentasyon

Tek bir büyük ağ, aynı zamanda tek bir büyük hedeftir. OPNsense ile VLAN segmentasyonu yapmanın en temel amacı, riski bölmektir. Segmentasyon (bölümlere ayırma) olmadan, bir saldırı tespit edilmezse sistemler genellikle aynı anda etkilenir. Bu konsepti sadece güvenlik açısından değil, operasyonel bakım açısından da ele almalısınız.

Segmentasyon, ağınızı güvenlik açısından kritik alanlardan ve yüksek risk alanlardan ayırt eder. Örneğin; yönetim arayüzleriniz, hassas verileriniz veya çalışan sunucularınız ile test ortamınızı, genel kullanıcıların bağlandığı ağdan fiziksel ve mantıksal olarak ayırmak zorundasınız.

• İzolasyon: Bir VM’de yayılan bir enfeksiyonun veya kötü niyetli bir yazılımın ana ağa sıçramasını engeller.
• Güvenlik Halkası: Saldırıya uğrayan bir segmentin, güvenli diğer segmentleri vurmasını zorlaştırır.
• Operatörlik: Ağ trafiğinin kaynaklarını ve sorunlarını daha net takip etmenizi sağlar. Bu, homelab ortamında bile izlenebilirlik gerekliliğidir.

Gerçek Dünya Senaryosu:
Bir IoT (Nesnelerin İnterneti) cihazı (örneğin akıllı bir su saatinin zararlı yazılımla enjekte edilmesi), sadece o VLAN’a bağlı diğer IoT cihazlarına yayılarak, ana sunucularınızı veya kişisel verilerinizi koruyan “Güvenli LAN” etrafında kalmalıdır.

Temel Kavramlar: VLAN ve Bridge Mantığı

Sisteme başlamadan önce mantıksal yapıyı kavramak önemlidir. OPNsense ile VLAN, 802.1Q standardına dayanan etiketleme teknolojisidir. Bu teknoloji, fiziksel bir kablo üzerinden birden fazla mantıksal ağın taşınmasını sağlar.

Bridge vs. Router Modları

OPNsense’de donanımı ayırırken karşılaşacağınız temel kavramlar Bridge ve Router modlarıdır. Bu modlar arasındaki fark, ağ trafiğinin nasıl işlendiğinde yatar. Bir portun Bridge modunda olması, onun sadece bir katman 2 (Layer 2) köprü görevi gördüğünü, MAC adreslerini iletmesini ve IP adresi ataması yapmamasını ifade eder. Karşılaştırması aşağıdadır:

Arayüz Yapısı ve VLAN Tanımları

OPNsense’de bir VLAN oluştururken, donanım portunun ayarlarına göre işlemin derinliği değişir. Genellikle fiziksel bir WAN portu, trafiği karşıya (ISP tarafına) gönderirken, OPNsense arayüzünü “Bridge” modunda çalıştırır. Bu sayede ISP’in NAT katmanına takılmadan, kendi NAT katmanınızı ve güvenlik duvarınızı (OPNsense) ön planda kullanırsınız.

Uygulama: VLAN Yapısını Kurma ve Donanım Uyarıları

Kurulum aşamasında donanım seçimi, başarının yarısıdır. Özellikle VLAN desteği sağlayan kartlar ve port ayırmaları konusunda dikkatli olmalısınız. Kurulumun temeli, VLAN ID’lerinizi doğru bir haritaya dökmektir.

Donanım Uyarıları: VLAN Destekli Kartlar ve Portlar

Fiziksel kart seçimi yaparken marka/model bilgisini göz ardı etmeyin. Özellikle evdeki eski veya ucuz kartlar VLAN desteğinde kısıtlamalara sahiptir. Genellikle Intel tabanlı ağ kartları, Realtek kartlara kıyasla çok daha kararlıdır. Aşağıdaki tablo, seçim yaparken dikkat etmeniz gerekenleri özetler:

VLAN Yapılandırma Senaryosu

Bir homelab operatörü olarak, standart bir ev planlaması yapmak yerine “güvenlik odaklı” bir plan kurmalısınız. Örnek bir VLAN haritası şöyledir:

OPNsense arayüzünde bu yapıyı kurmak için şu adımlar atılır: Interfaces > Assignments kısmından yeni bir VLAN Interface eklenir. Örneğin, VLAN 10’u WAN portuna taglanmış trafiğinden ayırmak için bir VLAN interface oluşturulur ve bir IP adresi atanır. Buradaki kritik nokta, VLAN interface oluştururken “Physical interface” seçiminin doğru yapılmasıdır.

Yaygın Hatalar: Operatörlerin Dikkat Etmesi Gerekenler

Birçok homelab tutkunu, kurulum sonrası ağda donma yaşar. Bu durum genellikle yapısal yanlışlıklardan kaynaklanır. Bir operatör olarak, hatanın kaynağını bulmak için önce donanıma, sonra yazılıma bakmalısınız.

• WAN Arayüzü Yönlendirici Olmalı: ISP cihazını “Bridge” moduna alıp, kendi OPNsense kurulumunda WAN arayüzünü de “Bridge” yaparsanız, NAT kuralları devreye girmeyeceği için internete çıkış yapılamaz. WAN arayüzünü mutlaka “Router” modunda bırakın.
• Portlara VLAN Tag Eklenmemesi: Fiziksel porttan gelen trafiği OPNsense’deki VLAN arayüzüne bağlarken, VLAN etiketinin (tag) atlanması, cihazların birbirini görmemesine neden olur.
• Statik Rota Eksikliği: Eğer WAN tarafında özel bir alt ağ kullanıyorsanız veya ISP’niz VLAN ID’leri gerektiriyorsa, OPNsense’de gerekli statik rotaların kurulmaması ağın doğrusal çalışmasını bozar.
• Tagged vs Untagged Hatası: Bu en kritik hatadır. Bir cihazın sadece LAN tarafında VLAN’e bağlı olduğu için (Untagged), o cihazın ağda görünmesi için aynı VLAN’i doğrudan LAN arayüzüne de Tag (etiket) olarak atamalısınız. Aksi takdirde cihazın MAC adresi yönlendirme tablosuna düşmez ve erişilemez kalır.

Sorun yaşadığınızda ilk yapmanız gereken işlem “Rollback” (geri alma) stratejisidir. Her ciddi kurulumdan önce, OPNsense yönetim panelinden yapılandırmanın yedeğini alın. Böylece bir hata anında sistemi bir dakikada sıfırlayabilirsiniz. Ayrıca, donanım kartının BIOS veya İşletim Sistemi ayarlarında (Debian/FreeBSD config) VLAN desteğinin açık olup olmadığını kontrol etmeyi unutmayın. Bazı anakartlarda “Virtualization” ayarları kapatıksa ağ kartları tam desteklenemez.

En İyi Uygulamalar: Ağın Zayıf Noktalarını Kapatma

Ağ güvenliğiniz, ne kadar çok katman kapatırsanız o kadar iyi. En az ayrıcalık (Least Privilege) prensibi burada devreye girer.

OPNsense VLAN Kurulumu ve Güvenlik Doğrulama

Aşağıdaki checklist’i kullanarak kurulum sonrası eksik olmayan bir yapı olduğundan emin olun:

• ☐ WAN arayüzü internet sağlayıcınızın IP yapısına göre statik IP veya DHCP alıyor mu?
• ☐ Tüm kritik VLAN arayüzleri için “IP adresi” atanmış mı ve erişilebilir mi?
• ☐ VLAN ayarlarında gereksiz portlara trafiğin akıp gitmediği doğrulanmış mı?
• ☐ Yedekleme işlemi (Backup) bir güvenli yere (USB veya bulut anahtar) aktarılmış mı?
• ☐ Güvenlik kurallarında (Firewall Rules) varsayılan olarak “Block All” (Hepsini Engelle) ilkesi var mı?

Routing (Katman 3 İletişimi)

VLAN’ler sadece fiziksel olarak ayırmak için değil, bunların birbirleriyle iletişim kurabilmesi için de önemlidir. OPNsense, bir Layer 3 cihaz olarak çalıştığı için, VLAN arayüzleri arasında routing kurmanız gerekir. Örneğin, VLAN 30 (Lab) üzerindeki bir sunucu, VLAN 10 (Management) üzerindeki OPNsense cihazını yönetmek istiyorsa, Firewall Rules kısmında bu trafiğe izin vermeniz gerekir. Aksi halde, “Destination unreachable” hatası alırsınız. Bu noktada, yönetim trafiğinin sadece kendi VLAN’i (VLAN 10) içinde kalmaya zorlanması daha güvenli bir uygulamadır.

Loglama ve Yedekleme

Bir operatör olarak biliyorum, sorun çıkınca ne olduğunu bilmezseniz çözemezsiniz. Ağ loglarını düzenli bir şekilde izleyin. OPNsense’de “Status > System Logs” menüsünü kullanarak trafiği izleyin. Ayrıca, işletim sistemi yamaları (firmware updates) yaptıktan sonra mutlaka yapılandırma yedeğini almayı unutmayın. VLAN yapılandırması yapıldığında, sadece sistem ayarlarını değil, aynı zamanda VLAN Interface tanımlarını da içeren yedek almak kritiktir.

Sıkça Sorulan Sorular

OPNsense ile VLAN segmentasyonu ve homelab ağ güvenliği rehberi uygularken en yaygın hata nedir?
En yaygın hata, ISP cihazını “Bridge” moduna alıp, kendi OPNsense kurulumunda WAN arayüzünü de “Bridge” olarak tanımlamaktır. Bu durumda NAT kuralları çalışmaz ve internete çıkış yapılamaz. Ayrıca, bazı eski donanımlarda VLAN ID desteğinin sadece belirli portlarda olması, port numaralarını yanlış atayarak trafiğin kaybolmasına neden olabilir. En kritik teknik hata, “Untagged” cihazları bağlarken VLAN arayüzü ile fiziksel port ayarlarının uyumsuz olmasıdır.

OPNsense ile VLAN segmentasyonu ve homelab ağ güvenliği rehberi ne zaman mantıklıdır?
Ev ağınıza yönetim kontrolü ve farklı servislerin (sabit telefon, güvenlik kamerası, ana bilgisayar) birbirinden izole edilmesi gerektiğinde veya kendi test ortamınızı (homelab) genel kullanıcı ağından ayırdığınızda mantıklıdır. Bu yapı, bir segmente yapılacak bir saldırının diğerlerini vurmasını zorlaştırır. Özellikle IoT cihazları için bir VLAN ayırma, bilgisayarınızın güncelleme süreçlerini etkilemeden onları izole etmenin en sağlıklı yoludur.

Lokal kısıtlamalar ve ISP uyumluluğu nasıl ele alınmalı?
Öncelikle ISP’nin desteklediği VLAN ID aralığını ve port ayırmalarını öğrenmelisiniz. Bazı sağlayıcılar sadece belirli portlar (örneğin sadece wan portuna) özel VLAN ID’leri gönderir. Donanım kartınızın da bu ID’leri destekleyip desteklemediğini kontrol edin. Örneğin, bir kartın sadece 4 portuna VLAN tagi gelebilir; bu durumda ağ planınızı bu fiziksel kısıtlamaya göre ayarlamanız gerekir. Ayrıca, OPNsense içindeki “Interfaces” > “Assignments” kısmında VLAN interface’i oluştururken, o arayüzün hangi fiziksel porttan (Lagg, Opt1 vb.) geldiğinin belirlenmesi şarttır.

Rehberi Daha Detaylı Öğrenmek İçin
Operatörler İçin Sorun Giderme Kılavuzu