Birçok işletmede iki internet hattı vardır: biri fiber, diğeri yedek olarak alınmış bir başka operatör ya da mobil hat. Çoğu zaman yedek hat aylarca hiçbir iş yapmadan bekler; ana hat tamamen kesildiğinde devreye girer. Ama sorun çoğu zaman hattın kesilmesi değil, yavaşlamasıdır. Video görüşmede ses kesilir, uzak masaüstü takılır, bulut ERP ekranı geç açılır; hat “çalıştığı” için yedeğe geçiş de olmaz. SD-WAN tam bu noktada devreye girer. Bu yazıda SD-WAN’ın ne olduğunu, klasik yedek hat yapısından farkını ve hangi güvenlik duvarlarında nasıl karşınıza çıktığını anlatıyoruz. Güvenlik duvarı seçimi için ağ güvenliği sayfamıza bakabilirsiniz.
SD-WAN nedir?
SD-WAN (Software-Defined WAN, yazılım tanımlı geniş alan ağı), birden fazla WAN bağlantısını tek bir havuz gibi yöneten ve trafiği sizin belirlediğiniz kurallara göre bu bağlantılara dağıtan yazılım tabanlı bir yönlendirme yaklaşımıdır. Bağlantılar fiber, farklı operatörlerin genişbant hatları, mobil hat, MPLS ya da şubeler arasındaki VPN tünelleri olabilir.
Temel fikir basittir: Güvenlik duvarı her hattın kalitesini sürekli ölçer. Hangi trafiğin hangi hattan gideceğine, o anki ölçüme ve sizin önceliklerinize göre karar verir.
Klasik yedek hattan farkı
Klasik yapıda karar tek bir soruya dayanır: hat ayakta mı? SD-WAN ise hattın ne kadar iyi çalıştığına bakar.
| Konu | Klasik yedek hat | SD-WAN |
|---|---|---|
| Yedek hattın kullanımı | Ana hat kesilene kadar boşta bekler | İki hat birlikte kullanılabilir |
| Geçiş kararı | Hat tamamen kesildiğinde | Gecikme, jitter ya da paket kaybı eşiği aşıldığında |
| Trafik ayrımı | Tüm trafik aynı hattan gider | Uygulamaya ya da kurala göre farklı hatlar seçilir |
| Görünürlük | Genellikle yalnızca “hat açık/kapalı” | Her hattın kalite geçmişi izlenebilir |
SD-WAN nasıl karar verir?
Hat kalitesini ölçer
Güvenlik duvarı her hattan belirlediğiniz hedeflere (örneğin genel bir DNS sunucusu ya da merkezdeki bir sunucu) düzenli aralıklarla yoklama gönderir. Bu yoklamalardan üç temel değer hesaplanır:
- Gecikme (latency): Paketin gidip gelme süresi. Uzak masaüstü ve bulut uygulamaları bundan etkilenir.
- Jitter: Gecikmedeki dalgalanma. Sesli ve görüntülü görüşmelerde kesilmelerin başlıca nedenidir.
- Paket kaybı: Yolda kaybolan paketlerin oranı. Az miktarı bile görüşme kalitesini düşürür.
Kurallara göre hat seçer
Siz hangi trafiğin hangi koşulda hangi hattı kullanacağını tanımlarsınız. Örneğin: video konferans ve IP telefon trafiği gecikmesi en düşük hattan gitsin; yedekleme ve büyük dosya aktarımları ikinci hattı kullansın; misafir Wi-Fi yalnızca ikinci hattan çıksın. Kalite eşiği aşıldığında ilgili trafik otomatik olarak diğer hatta kaydırılır.
Yükü paylaştırır
Belirli bir öncelik tanımlanmayan trafik, hatlar arasında dönüşümlü ya da ağırlıklı olarak dağıtılabilir. Böylece iki hattın toplam kapasitesinden yararlanırsınız. Tek bir oturum iki hatta bölünmez; dağıtım oturumlar arasında yapılır. Yani iki adet 100 Mbps hat, tek bir dosya indirmesini 200 Mbps yapmaz, ama çok kullanıcılı bir ofiste toplam kapasiteyi artırır.
Üç markada SD-WAN
SD-WAN ayrı bir cihaz gerektirmek zorunda değildir; birçok yeni nesil güvenlik duvarında yerleşik bir özellik olarak bulunur. Birlikte çalıştığımız üç markada durum şöyle:
FortiGate
SD-WAN, FortiGate’te ek lisans gerektirmeden yerleşik olarak gelir. “Performance SLA” adı verilen sağlık kontrolleri her hattın gecikme, jitter ve paket kaybını ölçer; tüm kontrollerde başarısız olan bir hattın rotaları devreden çıkarılır, hat düzelince geri eklenir. SD-WAN kurallarıyla trafik uygulamaya göre yönlendirilebilir. Ayrıntılar için FortiGate sayfamıza bakabilirsiniz.
WatchGuard Firebox
Firebox’ta SD-WAN, “SD-WAN action” olarak tanımlanır ve güvenlik duvarı kurallarına uygulanır. Link Monitor yoklamalarından hesaplanan paket kaybı, gecikme ve jitter değerlerine göre hat değiştirilebilir; yöntem olarak yük devretme (failover) ya da dönüşümlü dağıtım (round robin) seçilir. Harici hatların yanında MPLS gibi kiralık hatlar ve şube VPN tünelleri de SD-WAN yapısına katılabilir. Ayrıntılar için WatchGuard Firebox sayfamıza bakabilirsiniz.
Ruijie
Ruijie RG-WALL güvenlik duvarları birden fazla çıkış hattında yük paylaşımı ve karşılıklı yedekleme, politika tabanlı yönlendirme (PBR) ve IPsec VPN destekler. Bulut yönetimli Z Serisi modellerde üretici, Ruijie Cloud üzerinden SD-WAN ağ kurulumunu da belirtir. Ruijie’nin güçlü olduğu yer, güvenlik duvarını anahtar ve kablosuz ağla birlikte tek yönetimde toplamaktır. Ayrıntılar için Ruijie sayfamıza bakabilirsiniz.
Hangi özelliğin hangi modelde ve yazılım sürümünde bulunduğu değişebilir. Tasarımı her zaman kullanacağınız modelin güncel belgelerine göre yaparız.
Planlarken dikkat edilecekler
- Hatlar gerçekten farklı mı? İki hat aynı operatörün aynı santralinden geliyorsa tek bir arıza ikisini birden etkileyebilir. Mümkünse farklı operatör ve farklı altyapı seçin.
- Mobil hat ikinci hat olabilir mi? Fiber altyapının zor olduğu şubelerde 4G/5G hat iyi bir ikinci hat olabilir. Ancak kotası ve maliyeti olduğu için SD-WAN kurallarında yalnızca kritik trafiğe ya da yük devretmeye ayırmak mantıklıdır.
- Doğru ölçüm hedefi seçildi mi? Yoklama hedefi tek bir sunucuysa ve o sunucu yanıt vermezse sağlıklı bir hat yanlışlıkla devreden çıkabilir. Birden fazla hedef kullanın.
- Dışarıya açık servisler ne olacak? Dışarıdan erişilen bir sunucu ya da VPN, hat değiştiğinde farklı bir IP adresinden görünür. DNS kayıtlarını ve uzak kullanıcı ayarlarını buna göre planlayın.
- Güvenlik duvarı kapasitesi yeterli mi? İki hattın toplam hızını, güvenlik hizmetleri açıkken karşılayabilmelidir. Bkz. FortiGate model seçimi.
- Kayıt yükümlülüğü unutuldu mu? Misafir ağı hangi hattan çıkarsa çıksın erişim kayıtları eksiksiz tutulmalıdır. Bkz. 5651 loglama.
SD-WAN’ı kurduktan sonra izleyin
SD-WAN’ın asıl değeri, hat kalitesini geriye dönük görebilmenizdir. “Dün öğleden sonra görüşmeler neden koptu?” sorusunun cevabı çoğu zaman bir hattın o saatlerdeki paket kaybında yatar. Bu veriyi operatörle konuşurken somut kanıt olarak kullanabilirsiniz. Güvenlik duvarının arkasındaki anahtar ve sunucuları da ağ izleme ile takip ettiğinizde, bir yavaşlığın hattan mı yoksa iç ağdan mı kaynaklandığını hızla ayırt edersiniz. Farklı markalardaki güvenlik duvarlarının bant genişliği raporlarını tek yerde görmek için Firewall Analyzer kullanılabilir.
Hatların sürekliliği bir iş sürekliliği konusudur. İnternetin durduğu bir günün işinize etkisini iş sürekliliği planı yazımızda ele aldık.
Unna ile SD-WAN
SD-WAN tasarımına hatlarınızı ve uygulamalarınızı dinleyerek başlarız: hangi operatörler, hangi hızlar, hangi uygulamalar kritik, şubeler merkeze nasıl bağlanıyor? Ardından hangi trafiğin hangi hattı kullanacağını, ölçüm hedeflerini ve eşik değerlerini birlikte belirleriz. FortiGate, WatchGuard ya da Ruijie; mevcut cihazınız SD-WAN’ı destekliyorsa çoğu zaman yeni bir cihaza gerek kalmaz. Kurulumdan sonra bir hattı bilinçli olarak devreden çıkararak geçişi sizinle birlikte test ederiz. İki hattınızı birlikte kullanmaya başlamak isterseniz bize yazın.
