Kısaca
Küçük bir işletmenin ağını dört VLAN'a bölmek için anlatımlı bir şema: hangi VLAN neyi taşır, kutu nereye oturur, POS ve yazıcı muafiyetleri, kameralar neden ayrı durur.
Bir kafe, bir mağaza ya da küçük bir otel için ağ tasarımı dört soruyla başlar: misafir nereye bağlanır, kasa nereye bağlanır, kameralar nereye bağlanır, personel nereye bağlanır? Dördüne aynı cevabı veriyorsanız ("hepsi modeme") en yaygın hatayı yapıyorsunuz. Bu yazı dört VLAN'lı sade bir yerleşimi şema yerine kelimelerle anlatır; çizmeyi kendiniz yapabilirsiniz.
Şemayı kelimelerle okuyun
Yukarıdan aşağı dört katman düşünün.
En üstte modem/router. İnternete çıkan tek cihazdır. Fiber ya da 4.5G yedek hattı varsa yedek geçişi de burada olur. Router'ın bir portu switch'e, bir portu Hotspot-Box'ın WAN tarafına gider.
Altında yönetilebilir switch. VLAN'ları taşıyan omurgadır. Portları şöyle dağılır: kutunun LAN tarafı (misafir VLAN'ı), AP'ler (misafir ve personel VLAN'ları etiketli), kasa ve POS cihazları (POS VLAN'ı), kamera kayıt cihazı ve kameralar (kamera VLAN'ı), personel bilgisayarları ve yazıcı (personel VLAN'ı).
Yanda Hotspot-Box. WAN'ı router'a, LAN'ı switch'teki misafir VLAN'ına bağlıdır. Misafir VLAN'ının tek çıkış kapısıdır: IP dağıtır, portalı gösterir, hız ve kota uygular, iç IP dağıtım kayıtlarını toplar. Diğer üç VLAN kutuya dokunmaz; onlar router'dan çıkar.
En altta AP'ler. İki SSID yayınlar: misafir SSID'si misafir VLAN etiketiyle, personel SSID'si personel VLAN etiketiyle. İstemci yalıtımı misafir SSID'sinde açık.
Dört VLAN tablosu
| VLAN | Ne taşır | İnternete nereden çıkar | Portal var mı | Kime ulaşır |
|---|---|---|---|---|
| Misafir | Misafir telefonları, misafir TV'si, menü tableti | Kutu üzerinden | Evet (muaf cihazlar hariç) | Yalnızca internet |
| POS | Kasa, ödeme terminali, fiş yazıcısı | Router üzerinden | Hayır | Ödeme sağlayıcısı ve gerekli iç sunucu |
| Kamera | IP kameralar, kayıt cihazı (NVR) | Router üzerinden (uzaktan izleme gerekiyorsa) | Hayır | Yalnızca NVR ve yetkili personel cihazı |
| Personel | Ofis bilgisayarları, yazıcı, personel telefonları | Router üzerinden | Hayır | Personel kaynakları, isteğe göre NVR |
VLAN kimliklerini (örneğin 10, 20, 30, 40) siz seçersiniz; önemli olan her switch portunun ve her SSID'nin doğru etikette olmasıdır.
Misafir tarafındaki muafiyetler
Misafir VLAN'ında portalı geçemeyen cihazlar olur: duvardaki akıllı TV, misafirlerin kullandığı yazıcı, garsonların sipariş tableti. Bunlar için kutuda MAC muafiyeti tanımlarsınız. Cihaz doğrulama görmeden internete çıkar; ama yine misafir VLAN'ındadır, personel ya da POS ağına ulaşamaz.
POS ile ilgili iki durum vardır:
- Kasa ve sabit ödeme terminali: POS VLAN'ında olmalı. Misafir ağına koymak için hiçbir neden yok.
- Mobil ödeme cihazı yalnızca Wi-Fi biliyor ve tek SSID'ye bağlanabiliyor: İdeal çözüm POS SSID'si açmaktır. Geçici çözüm, cihazı misafir SSID'sine bağlayıp MAC muafiyeti vermektir. Bu yalnızca portalı atlatır; cihaz misafir hız planına ve istemci yalıtımına tabi kalır. Ödeme trafiği şifreli olduğundan çalışır, ama kalıcı tasarım bu olmasın.
Kameralar neden misafir VLAN'ına girmez?
Bu kural pazarlık dışıdır. Nedenleri:
- Kameraların web arayüzleri zayıftır. Çoğu fabrika parolasıyla çalışır, güncellenmez. Misafirle aynı ağda olan bir kamera, misafirin tarayıcısında açılabilir.
- Kayıt karışır. Kutu misafir VLAN'ındaki her cihaz için iç IP dağıtım kaydı tutar. Kamera bir misafir değildir; kaydın içine girmesi hem gereksizdir hem de inceleme anında kafa karıştırır.
- Bant genişliği. Kameralar sürekli yükleme yapar. Misafir planındaki hız sınırı kamerayı boğar; sınır yoksa kameralar misafirin bant genişliğini yer.
- Yalıtım gerektirir. Kamera yalnızca kayıt cihazıyla ve yetkili personel bilgisayarıyla konuşmalı. Bu, kendi VLAN'ında bir router kuralıyla en kolay sağlanır.
Uzaktan izleme gerekiyorsa kamera VLAN'ı router üzerinden dışarı çıkar ve router'da yalnızca kayıt cihazının ihtiyacı kadar yol açılır.
Kutu neyi yapar, neyi yapmaz?
Kutu misafir VLAN'ının güvenlik duvarı ve kayıt noktasıdır. POS, kamera ve personel VLAN'ları arasındaki trafiği router (ya da varsa kurumsal güvenlik duvarınız) yönetir. Kutu bir UTM'in yerini almaz; işletmenin iç ağ güvenliği ayrı planlanır. Kutunun güçlü yanı tam da bu sınırlamadır: misafir ağını işletmenin geri kalanından koparır ve koparılmış ağın kaydını tutar.
Yönetilebilir switch yoksa
Küçük bir kafede yönetilebilir switch olmayabilir. O zaman VLAN yerine fiziksel ayrım yaparsınız: kutunun LAN portundan yalnızca misafir AP'sine giden bir kablo; kasa, kamera kayıt cihazı ve personel bilgisayarı router'ın kendi portlarına. Dört VLAN yerine iki fiziksel ağ elde edersiniz: misafir (kutunun arkasında) ve geri kalanı (router'ın arkasında). Kamerayla kasanın aynı ağda olması ideal değildir, ama misafir yine dışarıda kalır. İşletme büyüyünce yönetilebilir switch ekleyip bu yazıdaki yerleşime geçersiniz; kutunun yeri değişmez.
Kurulum sırası
- Switch'te dört VLAN'ı tanımlayın, portları atayın.
- Router'da POS, kamera ve personel VLAN'larının ağ geçitlerini kurun; VLAN'lar arası kuralları yazın.
- Kutuyu bağlayın: WAN router'a, LAN misafir VLAN'ına.
- AP'lerde iki SSID'yi etiketleyin, misafir SSID'sinde istemci yalıtımını açın.
- Misafir TV ve tabletler için MAC muafiyetlerini girin.
- Misafir telefonuyla üç adımlı testi yapın: personel ağ geçidine ping, tarama, yazıcı denemesi.
Sektöre göre plan şablonları ve örnek yerleşimler için sektör rehberlerine, kutunun teknik özellikleri için kutu sayfasına bakabilirsiniz. Sanal makinede çalıştırmayı tercih ederseniz aynı yazılım sanal cihaz olarak da sunulur.
Bu yazı teknik bir rehberdir; hukuki danışmanlık niteliği taşımaz.