CCNA Gün 46 - WAN Architectures - Networkous

Bu Yazıda Leased Line, MPLS (Layer 2 MPLS VPN, Layer 3 MPLS VPN), İnternet Bağlantıları (DSL, Cable Internet), Yedekli İnternet Bağlantıları (Single Homed, Dual Homed, Multihomed, Dual Multihomed), Site-to-Site VPN (IPsec, GRE over IPsec, DMVPN) ve Remote Access VPN (TLS) Hakkında Bilgi Edineceğiz.

WAN Mimarileri

• WAN (Wide Area Network), Geniş Bir Coğrafi Alana Yayılan Ağdır. Örneğin Şehirler Arası, Ülkeler Arası gibi.

• WAN, Coğrafi olarak Ayrı olan LAN'ları Bağlamak için Kullanılır. Örneğin Bir Şirketin İstanbul, Ankara ve İzmir'de Ofisleri Varsa Bu Ofislerin Her Biri LAN'dır ve Aralarındaki Bağlantılar Bir WAN oluşturur.

• İnternetin Kendisi Bir WAN olarak Kabul Edilebilmesine Rağmen WAN Terimi Genellikle Bir Kuruluşun Ofislerini, Data Center'larını, vb. Birbirine Bağlayan Private Bağlantıları İfade Etmek için Kullanılır.

• Not: Private Link = Özel Bağlantı. Public - Shared Link = Genel, Paylaşılan Bağlantı.

• VPN (Virtual Private Network), İnternet gibi Public / Shared Bağlantılar Üzerinden Private WAN Bağlantıları oluşturmak için Kullanılabilir.

• Yıllar Boyunca Birçok Farklı WAN Teknolojisi Geliştirilmiştir. Konuma Bağlı olarak Bazıları Mevcut olacak ve Bazıları olmayacaktır. Bir Ülkede Eski olarak Kabul Edilen Teknolojiler, Diğer Ülkelerde Hala Kullanılabilir.

WAN over Dedicated Connection (Leased Line)

Yukarıdaki Resimde Bir İşletmeye Ait Merkezi Bir Data Center ve Bazı Ofisler Vardır. Office A, Office B, Office C ve Data Center Tek Başlarına Bir LAN'dır.

Her Ofis, Bir Tür Fiziksel Bağlantı olan Kiralık Hat (Leased Line) Aracılığıyla Data Center'a Bağlanıyor. Leased Line, Şirketin Sitelerini Birbirine Bağlamak için Kullanılan Private Bağlantıdır.

Not: Site = Yer, Mekan.

Merkezi Site, Data Center, HUB olarak Adlandırılır ve HUB'a bağlanan Ofis Sitelerine SPOKE Denir.

Full Mesh Topolojiye Kıyasla Hub-and-Spoke Topolojisinin Önemli Bir Avantajı Hangi Trafiğe İzin Verilip Verilmediğini Merkezi olarak Kontrol Etmenin Daha Kolay olmasıdır. Örneğin Ofisler Arasındaki Tüm Trafik, Data Center'daki Firewall Cihazına Gönderilir ve Hangi Trafiğe İzin Verilip Hangilerine Verilmeyeceği Kontrol Edilebilir.

Gerçek Dünya

Her Siteyi Doğrudan Data Center'a Bağlayan Tek Bir Fiziksel Kablo Yerine Her Siteyi Birbirine Bağlayan ISP'ye (Internet Service Provider) Bağlantı Kurulur. Bu Bağlantılar Serial Kablo kullanır. Serial Bağlantılar Ethernet Değil, HDLC ve PPP gibi Layer 2 Kapsüllemesi Kullanır.

WAN connection via Ethernet (Fiber)

Fiber Optik Bağlantılar, Geleneksel Bakır UTP Ethernet Kablolarından Çok Daha Uzun Mesafelere İzin Verir, Bu Nedenle Günümüzde Ethernet Fiber Optik Kablo Kullanan WAN'lar oldukça Yaygındır.

WAN over Shared Infrastructure (Internet VPN)

İnternet, Bir Kuruluşun Siteleri Arasındaki WAN Bağlantıları için Kullanılabilir.

Ancak İnternetin Kendisi Private Bir Ağ Değildir. Public / Shared, Herkese Açık Bir Ağdır. Bu Nedenle İnternet Üzerinden Korumasız olarak Önemli Verileri Göndermek İyi Bir Fikir Değildir.

Şirket, Siteler Arasında Trafik Göndermek için VPN (Virtual Private Network) Kullanacaktır. Bunu Yakında Daha Ayrıntılı Ele Alacağız, Ancak Temelde Paket Şifrelenecek ve Şifrelenmiş Paket Yeni Bir Paket İçinde Kapsüllenip Gönderilecektir. Böylece İçerikler Yalnızca Hedeflenen Alıcılar Tarafından Okunabilecektir. İnternet Üzerinden Gönderilen Paketler VPN Sayesinde Korunmuş Olur.

Leased Line

• Leased Line, Tipik olarak İki Siteyi Birbirine Bağlayan Özel Fiziksel Bağlantıdır. 

• Leased Line, Serial Bağlantı (PPP veya HDLC) Kullanır.

• Farklı Hızlar Sağlayan Çeşitli Standartlar Vardır ve Farklı Ülkelerde Farklı Standartlar Mevcuttur.

• Kuzey Amerika'da Standart İsimler T ile Başlar.

• T1: 1.544 Mbps Bandwidth
• T2: 6.312 Mbps Bandwidth
• T3: 44.736 Mbps Bandwidth

• Avrupa'da ve Diğer Bölgelerde Standart İsimler E ile Başlar.

• E1: 2.048 Mbps Bandwidth
• E2: 8.448 Mbps Bandwidth
• E3: 34.368 Mbps Bandwidth

• Leased Line; Yüksek Maliyet, Yüksek kurulum Süresi ve Düşük Hızlar Sağlaması Nedeniyle Ethernet WAN Teknolojileri Daha Popüler Hale Gelmektedir.

MPLS (Multi Protocol Label Switching)

• MPLS, ISP'lerin Kendi İç Ağında Kullandığı Bir Teknolojidir ve Kuruluşların ISP MPLS Altyapısı Üzerinden WAN oluşturmasına olanak Tanır.

• İnternete Benzer Şekilde ISP'lerin MPLS Altyapısı Paylaşılan (Shared) Altyapıdır, Çünkü Birden Çok Kuruluş WAN Bağlantısı Yapmak için Aynı Altyapıya Bağlanır.

• Label Switching, Label Kullanılarak MPLS Altyapısı Üzerinden VPN'lerin oluşturulmasına olanak Sağlar.

• Label, MPLS Altyapısı Üzerinde Kuruluşların Trafiğini Ayırmak için Kullanılır.

• Bazı Önemli Terimler:

• CE Router = Customer Edge Router

• PE Router = Provider Edge Router

• P Router = Provider Core Router

ISP Ağının İç Yapısını oluşturan ve Doğrudan CE Router'a Bağlanmayan P Router'lar Bulunmaktadır.

PE Router, CE Router'dan Alınan Frame'e Label Ekler. Label, Layer 2 Ethernet Başlığı ile Layer 3 IP Başlığı Arasına Yerleştirilir. MPLS, Layer 2.5 Protocol olarak da Adlandırılır.

ISP Ağı İçinde Yönlendirme Kararları Vermek için Destination IP Adres Değil, Label Kullanılır.

Normal IP Yönlendirmesinde Router, Destination IP Adresi Kontrol Eder ve Paketin Nereye İletileceğine Karar Vermek için Route Tablosunu Kullanır. MPLS Router, Paketin Nereye İletileceğine Karar Vermek için MPLS Label Kullanır.

CE Router, MPLS Kullanmaz. Yalnızca PE/P Router MPLS Kullanır.

MPLS Tarafından Sağlanabilecek Birkaç Farklı VPN Türü Vardır.

Layer 3 MPLS VPN

• CE ve PE Router, Yönlendirme Bilgilerini Paylaşmak için OSPF gibi Bir Dinamik Yönlendirme Protokolü Kullanarak Eşleşir.

• OSPF olması Gerekmiyor, Başka Bir Yönlendirme Protokolü de olabilir veya Müşteri, Next Hop olarak PE Router'ı Kullanarak Statik Rota da Kullanabilir. Ancak Bir Dinamik Yönlendirme Protokolünün Kullanıldığını Varsayalım.

Yukarıdaki Topolojide Ofis A'nın CE Router'ı PE Router ile Eşleşir ve Ofis B'nin CE Router'ı Diğer PE Router ile Eşleşir.

Ardından OSPF Aracılığı ile Ofis A'nın CE Router'ı Ofis B'nin Rotalarını Öğrenecek ve Ofis B'nin CE Router'ı da Ofis A'nın Rotalarını Öğrenecektir. Bu Bir Layer 3 MPLS VPN'dir.

Layer 2 MPLS VPN

• CE ve PE Router Eşleme oluşturmaz.

• ISP Ağı, CE Router'lar için Tamamen Şeffaftır.

• CE Router'lar PE Router'a Fiziksel olarak Bağlı olsa da Aslında İki CE Router Doğrudan Bağlı Gibidir. CE Router'ların WAN Portu Aynı Subnet'de olacaktır.

• OSPF gibi Bir Dinamik Yönlendirme Protokolü Kullanılıyorsa İki CE Router Doğrudan Birbirleriyle Eşleşir.

ISP Ağı Daha önce olduğu gibi Hala MPLS Çalıştırıyor, Ancak Bunu Aşağıdaki Resimde olduğu gibi İki CE Router'ı Birbirine Bağlayan Büyük Bir Switch gibi Yapıyor.

CE Router, PE Router'a Fiziksel olarak Bağlıdır ve ISP Ağı, CE Router'ları Birbirine Bağlayan Büyük Bir Switch gibi Çalışır.

WAN Hizmeti için ISP'nin MPLS Ağına Bağlanırken Birçok Farklı Teknoloji Kullanılabilir.

Yukarıdaki Resimde Ofis A ve Ofis B Fiber Optik Ethernet, Ofis C Wireless 4G / 5G, Ofis D Genellikle Evde İnternet Erişimi için Kullanılan CATV, Ofis E Leased Line Serial Bağlantı ile ISP'nin MPLS Ağına Bağlanıyor. Bu Ofislerin Hepsi ISP'nin MPLS Altyapısı Üzerinden Birbirleri ile Haberleşebilir.

CCNA Sınavı için MPLS'nin Trafiği Yönlendirmek için Destination IP Adres Değil Label Kullandığını, CE/PE/P Router Terimlerini, Layer 3 MPLS VPN'de OSPF gibi Bir Yönlendirme Protokolü Kullanarak Eşleme oluşturan CE Router ve PE Router olduğunu, Layer 2 MPLS VPN'de CE Router'ların Doğrudan Bağlıymış (ISP Network = Big Switch) gibi olduğunu Bilmelisiniz.

İnternet Bağlantıları

• Bir Kuruluşun İnternete Bağlanması için Sayısız Yol Vardır. Örneğin Leased Line ve MPLS gibi Private WAN Teknolojileri, ISP'nin İnternet Altyapısına Bağlanmak için Kullanılabilir. Leased Line ve MPLS'nin Kendisi Private Ağ olmasına Rağmen İnternet olan Public Ağa Erişmek için Bir Araç olarak Kullanılabilir.

• Ev İnternet Erişimi için Yaygın olarak Kullanılan Cable Internet ve DSL gibi Teknolojiler de Bir Kuruluş Tarafından da Kullanılabilir. Ayrıca Fiber Optik Ethernet, İnternet Erişimi için Uzun Mesafelerde Sağladığı Yüksek Hızlar Nedeniyle Popülaritesini Arttırmaktadır.

• Yukarıda Bahsettiğim İki İnternet Erişim Teknolojisine Kısaca Bakalım: Cable Internet ve DSL.

DSL (Digital Subscriber Line)

• Müşterilere Telefon Hatları Üzerinden İnternet Bağlantısı Sağlar ve Çoğu Evde Kurulu olan Telefon Hattını Kullanır. Dolayısıyla Bu Hem ISP Hem de Müşteri için Çok Uygundur.

• Modem (Modulator-Demodulator)

• Verileri Telefon Hatları Üzerinden Gönderilmeye Uygun Bir Formata Dönüştürmek için Gereklidir.
• Ayrı Bir Cihaz veya Home Router'a Dahil Edilmiş olabilir.

Cable Internet

• TV Hizmeti için Kullanılan CATV (Cable TV) Hattı Üzerinden İnternet Erişimi Sağlar. Tıpkı DSL gibi Kurulu Hatlardan Yararlanır ve Bunlar Üzerinden İnternet Erişimi Sağlar.

• Verileri CATV Hattı Üzerinden Gönderilmeye Uygun Bir Formata Dönüştürmek için Cable Modem Gereklidir. Cable Modem, Ayrı Bir Cihaz veya Home Router'a Dahil Edilmiş olabilir.

Yedekli İnternet Bağlantıları

• Ev Kullanıcısı için Tek Bir İnternet Bağlantısına Sahip olmak Sorun Değildir. İnternet Erişimini Kaybetmeniz Biraz Can Sıkıcı olabilir, Ancak Bu Bir Felaket Değil.

• Ancak Birçok Şirket için İnternet Erişimi Operasyonları için Çok Önemlidir. Bu Nedenle Yedekli İnternet Bağlantılarına Sahip olmak En İyisidir ve Bilmeniz Gereken Birkaç Terim Vardır. 

Single Homed

1 ISP'ye 1 Bağlantınız Varsa Buna Single Homed Denir. Bu, Standart Bir Ev İnternet Bağlantısı Gibidir ve İşletme için İdeal Değildir, Çünkü Burada Yedeklilik Yoktur.

Dual Homed

1 ISP'ye 2 Bağlantınız Varsa Buna Dual Homed Denir. Bu Biraz Yedeklilik Sağlar, Ancak Yine de İdeal Değildir.

Multihomed

2 Farklı ISP'nin Her Birine 1 Bağlantınız Varsa Buna Multihomed Denir. Bu, Yedekliliği İyileştirir, Çünkü ISP'nin Birine Bir şey olursa Diğer ISP Üzerinden Hala İnternet Erişiminiz olur.

Dual Multihomed

2 Farklı ISP'nin Her Birine 2 Bağlantınız Varsa buna Dual Multihomed Denir. Bu, En Fazla Yedekliliği Sağlar. Şirketin Durumuna Bağlı olarak Bu Gerekli olmayabilir veya Maliyete Değmeyebilir.

Internet VPNs

• Leased Line ve MPLS gibi Private WAN Hizmetleri Güvenlik Sağlar, Çünkü Her Kuruluşun Trafiği, Özel Fiziksel Bağlantılar (Leased Line) veya MPLS Label Kullanılarak Ayrılır.

• Şirketin Sitelerini Birbirine Bağlamak için İnterneti WAN olarak Kullanırken Varsayılan olarak Yerleşik Bir Güvenlik Mekanizması Yoktur. İnternet gibi Public / Shared Bir Ağ Üzerinden Güvenli İletişim Sağlamak için VPN (Virtual Private Network) Kullanılır.

• İki Tür İnternet VPN Ele Alacağız:

• Site-to-Site VPN using IPsec
• Remote-Access VPN using TLS

Site-to-Site VPN (IPsec)

İki Site Arasında İnternet Üzerinden Point-to-Point Bağlantı Kurmak için Kullanılan VPN'dir.

Yukarıdaki Topolojide Hem Ofis A Hem de Ofis B İnternete Bağlıdır ve Ofislerdeki Cihazların Birbirleri ile Güvenli Bir Şekilde İletişim Kurabilmesi için Aralarında Site-to-Site VPN Kullanacağız.

Site-to-Site VPN, Orijinal IP Paketini VPN Başlığı ve Ardından Yeni Bir IP Başlığı ile Kapsülleyerek İki Cihaz Arasında VPN Tunnel oluşturur.

IPsec Kullanılırken Orijinal IP Paketi Yeni IP Başlığı ile Kapsüllenmeden Önce Şifrelenir. IPsec'i Güvenli Kılan da Budur.

Router Orijinal IP Paketini Alacak, Okunamayacak Şekilde Şifreleyecek, IPsec VPN Başlığı ve Yeni Bir IP Başlığı Ekleyecek ve Ardından İnternet Üzerinden İletecektir. Bu İşlemi Daha Ayrıntılı İnceleyelim.

İki Router Arasında IPsec VPN Tunnel Yapılandırdığımızı Düşünelim.

A Ofisindeki PC, B Ofisindeki PC'ye Trafik Göndermek İstiyor, Bu Nedenle Şifrelenmemiş Veri Önce Default Gateway olan Router'a Gönderilir.

Router Veriyi Şifreler ve VPN Başlığı ve Yeni Bir IP Başlığı Ekler. Daha Sonra Şifrelenmiş Veri İnternet Üzerinden VPN Tünelinin Diğer Ucuna Gönderilir.

Alıcı Router Verinin Şifresini Çözer ve Veriyi Hedef PC'ye Gönderir.

Süreci Özetleyelim:

Router, VPN Tunnel Üzerinden Gönderilecek Bir Paket Aldığında Sırasıyla:

• Gönderici Cihaz, Session Key (Encryption Key) kullanarak Orijinal Paketi Şifreleme Algoritması (Örnek: AES, RSA, vb.) ile Şifreler.

• Gönderici Cihaz, Şifreli Paketi VPN Başlığı ve Yeni Bir IP Başlığı ile Kapsüller ve VPN Tünelinin Diğer Tarafındaki Cihaza Gönderir.

• Alıcı Cihaz, Orijinal Paketi Elde Etmek için Verinin Şifresini Çözer ve Ardından Orijinal Paketi Hedefine İletir.

Site-to-Site VPN'de Yalnızca İki Uç Nokta Arasında VPN Tunnel oluşturulur (Örneğin İnternet'e Bağlı İki Router). Sitedeki Diğer Cihazların Kendileri için VPN Tunnel oluşturması Gerekmez. Router'a Şifresiz Verileri Gönderebilir ve Router da Verileri Şifreleyip VPN Tunnel Aracılığıyla İletir.

Standart IPsec için Bazı Sınırlamalar Vardır:

• IPsec, Broadcast ve Multicast Trafiği Desteklemez. Yalnızca Unicast Trafiği Destekler.

• OSPF gibi Dinamik Yönlendirme Protokolleri Multicast Trafik Kullandığından IPsec VPN Tunnel Üzerinde Kullanılamayacağı Anlamına Gelir. Bu Sorun, GRE over IPsec ile Çözülebilir.

• Büyük Ağlarda Birden Çok Site Arasında VPN Tunnel Yapılandırmak Emek İsteyen Yoğun Bir İştir. Düzinelerce VPN Yapılandırmak Çok Zaman ve Dikkatli Planlama Gerektirir. Bu Sorun, DMVPN ile Çözülebilir.

Yukarıdaki Çözümlerin Her Birine Kısaca Bakalım.

GRE over IPsec

• GRE (Generic Routing Encapsulation), IPsec gibi VPN Tunnel oluşturur, Ancak Orijinal Paketi Şifrelemez, Bu Nedenle Güvenli Değildir.

• GRE, Broadcast / Multicast Trafiği Kapsülleyebilme Avantajına Sahiptir.

• IPsec'in Güvenliği ile GRE'nin Esnekliğini Elde Etmek için GRE over IPsec Kullanılır.

• Orijinal Paket, GRE Başlığı ve Yeni Bir IP Başlığı ile Kapsüllenecek ve Ardından GRE Paketi IPsec ile Şifrelenecek, IPsec VPN Başlığı ve Yeni Bir IP Başlığı ile Kapsüllenecektir.

DMVPN

• DMVPN (Dynamic Multipoint VPN), Manuel olarak Her Bir Router'da VPN Tunnel Yapılandırmak Zorunda Kalmadan Dinamik olarak Full Mesh IPsec VPN Tunnel Network oluşturulmasına olanak Tanıyan Cisco Tarafından Geliştirilmiş Bir Çözümdür.

    1. HUB Router'a Bağlı olan Her Router ile IPsec VPN Tunnel Yapılandırılır.

    2. HUB Router, Diğer Router'lara Kendi Aralarında Nasıl IPsec VPN Tunnel Oluşturulacağı Hakkında Bilgi Verir.

Yalnızca HUB Router'a Bağlı olan Router'lar ile IPsec VPN Tunnel Yapılandırdık. Ancak Diğer Router'lar Kendi Başlarına Full Mesh IPsec Tunnel Network Oluşturacaktır.

DMVPN, Hub-and-Spoke Topolojisinin Yapılandırma Basitliğini (Yalnızca HUB Router'a Bağlı olan Spoke Router'lar ile IPsec VPN Tunnel Yapılandırılır) ve Doğrudan Bağlı Cihazlarda İletişim Verimliliği (Spoke Router'lar, Trafik Hub Router'dan Geçmeden Doğrudan İletişim Kurabilir) Sağlar.

Bazı Şirketler, Merkezi Bir Firewall Cihazının Trafiği Kontrol Edebilmesi için Tüm Trafiğin HUB Router Üzerinden Akmasını İsteyebilir. Ancak Diğer Şirketler, Full Mesh Ağın Sağladığı Verimli Doğrudan Spoke-to-Spoke İletişimi İsteyebilir.

Remote-Access VPN

Hostların (PC, Mobil Telefon, vb.) İnternet Üzerinden Şirketin İç Kaynaklarına Güvenli Bir Şekilde Erişmesini Sağlamak için Kullanılır.

Remote Access VPN Genellikle TLS (Transport Layer Security) Kullanır.

• TLS, HTTPS (HTTP Secure) için de Güvenlik Sağlar.

• TLS Daha Önce SSL (Secure Sockets Layer) olarak Biliniyordu ve Netscape Tarafından Geliştirildi. Ancak IETF Tarafından Standartlaştırıldığında TLS olarak Yeniden Adlandırıldı.

VPN Client Yazılımı, (Örnek: Cisco AnyConnect) Hostlara Yüklenir. Host, TLS Server gibi Davranan Şirketin Router veya Firewall Cihazına TLS VPN Tunnel oluşturur. Bu, Şirketin İç Ağındaki Kaynaklara Güvenli Bir Şekilde Erişmesini Sağlar.

Soldaki Hostlar, Sağdaki Data Center'da Bulunan Şirketin Server'larına Erişmek İstiyor. Bütün Hostlarda Cisco AnyConnect Yazılımı Kuruludur ve Aynı Zamanda Data Center'daki Firewall Cihazında TLS Server Yapılandırılmıştır. Hostların Her Biri Firewall Cihazına TLS VPN Tunnel oluşturur ve Ardından VPN Tunnel Aracılığıyla Şirketin Server'ları ile Güvenli Bir Şekilde İletişim Kurabilirler.

IPsec gibi TLS de Orijinal Paketleri Şifreleyip Ek Başlıklar Ekler.

Site-to-Site vs Remote-Access VPN

• Site-to-Site VPN, IPsec Kullanır. Remote-Access VPN, TLS kullanır.

• Site-to-Site VPN İki Siteyi İnternet Üzerinden Kalıcı olarak Bağlamak için Kullanılır.

• Remote-Access VPN, VPN Client Yazılımı Kurulu olan Bir Hosta Hizmet Verir. İki Siteyi Birbirine Bağlamak Yerine Hostu Bir Siteye Bağlar.

• Remote-Access VPN, Güvenli olmayan Bir Ağa Bağlıyken Şirket Kaynaklarına Güvenli Bir Şekilde Erişmek İsteyen Hostların Kullanabildiği İsteğe Bağlı Erişimdir.

Quizs

Cevaplar (Sırası ile):

• b
• c
• a
• b
• c

ANKI

Okuduğunuz için teşekkürler.