Bilgi Bankası

Firewall'da IP Subnet Neden Kullanılır?

Firewall'larda IP subnet (alt ağ) kullanmanın temel amacı, ağ trafiğini daha granular bir şekilde kontrol edebilmektir. Subnet'ler, büyük bir IP adres bloğunu daha küçük, yönetilebilir parçalara böler. Bu sayede, belirli bir subnet'teki cihazlara özel kurallar tanımlayabilir, bu cihazların hangi kaynaklara erişebileceğini veya hangi tür trafiği gönderebileceğini belirleyebilirsiniz.

• Güvenlik: Hassas verilerin bulunduğu subnet'leri izole ederek, yetkisiz erişimi engelleyebilirsiniz.
• Performans: Ağ trafiğini segmentlere ayırarak, ağ tıkanıklığını azaltabilir ve performansı artırabilirsiniz.
• Yönetilebilirlik: Daha küçük subnet'ler, ağ yönetimini ve sorun gidermeyi kolaylaştırır.

Örneğin, bir şirketin muhasebe departmanı ile pazarlama departmanı farklı subnet'lerde olabilir. Muhasebe departmanının subnet'ine, sadece belirli sunuculara erişim izni verilirken, pazarlama departmanının subnet'ine daha geniş bir erişim izni verilebilir.

IP Subnet Nedir ve Nasıl Çalışır?

IP subnet, bir IP ağının mantıksal olarak bölünmüş bir parçasıdır. Subnet'ler, bir IP adresi ve bir subnet maskesi kullanılarak tanımlanır. Subnet maskesi, IP adresinin hangi bitlerinin ağ adresini, hangi bitlerinin ise host adresini temsil ettiğini belirtir.

Örneğin, 192.168.1.0/24 IP bloğu, 192.168.1.0 ağ adresine ve 255.255.255.0 subnet maskesine sahiptir. "/24" ifadesi, subnet maskesinin ilk 24 bitinin "1" olduğunu gösterir. Bu, IP adresinin ilk 24 bitinin (192.168.1) ağ adresini, son 8 bitinin ise host adresini temsil ettiği anlamına gelir. Bu subnet'te 254 adet kullanılabilir host adresi bulunur (192.168.1.1 - 192.168.1.254).

Subnet maskesini daha iyi anlamak için aşağıdaki tabloyu inceleyebilirsiniz:

Bir cihaz, bir IP adresi ve bir subnet maskesi ile yapılandırıldığında, hedef IP adresinin aynı subnet'te olup olmadığını belirleyebilir. Eğer hedef IP adresi aynı subnet'te ise, cihaz doğrudan hedefe veri gönderebilir. Eğer hedef IP adresi farklı bir subnet'te ise, cihaz veriyi varsayılan ağ geçidine (default gateway) gönderir. Ağ geçidi, farklı subnet'ler arasındaki trafiği yönlendirir.

Firewall'da IP Subnet Tabanlı Kurallar Nasıl Tanımlanır?

Firewall'da IP subnet tabanlı kurallar tanımlamak, genellikle aşağıdaki adımları içerir:

1. Firewall'a Giriş Yapın: Firewall'ın yönetim arayüzüne web tarayıcısı üzerinden veya SSH gibi bir protokol kullanarak giriş yapın.
2. Kural Bölümüne Gidin: Firewall'ın kural yönetimi bölümünü bulun. Bu bölüm genellikle "Firewall", "Security Rules", "Access Control" gibi isimlerle adlandırılır.
3. Yeni Kural Oluşturun: Yeni bir kural oluşturma seçeneğini tıklayın.
4. Kaynak (Source) Tanımlayın: Kuralın hangi subnet'ten gelen trafiği etkileyeceğini belirtin. Kaynak olarak bir subnet adresi (örneğin, 192.168.1.0/24) veya bir IP adresi aralığı (örneğin, 192.168.1.10 - 192.168.1.50) belirtebilirsiniz.
5. Hedef (Destination) Tanımlayın: Kuralın hangi subnet'e veya IP adresine giden trafiği etkileyeceğini belirtin.
6. Hizmet (Service) Tanımlayın: Kuralın hangi protokol (örneğin, TCP, UDP, ICMP) ve port numarası (örneğin, 80, 443, 22) üzerinden akan trafiği etkileyeceğini belirtin.
7. Eylem (Action) Tanımlayın: Kuralın trafiğe ne yapacağını belirtin. Genellikle "Allow" (izin ver), "Deny" (engelle) veya "Reject" (reddet) gibi seçenekler bulunur. "Allow" trafiğe izin verirken, "Deny" ve "Reject" trafiği engeller. "Reject" ayrıca gönderene bir hata mesajı gönderir.
8. Kuralı Kaydedin ve Etkinleştirin: Kuralı kaydettikten sonra, etkinleştirmeyi unutmayın. Bazı firewall'lar, kuralları otomatik olarak etkinleştirirken, bazılarında manuel olarak etkinleştirmeniz gerekebilir.

Örnek: 192.168.1.0/24 subnet'inden gelen trafiğin, 10.0.0.10 adresindeki web sunucusuna (port 80 ve 443) erişimine izin veren bir kural oluşturmak için aşağıdaki adımları izleyebilirsiniz:

1. Firewall'a giriş yapın.
2. Kural yönetimi bölümüne gidin.
3. Yeni bir kural oluşturun.
4. Kaynak olarak 192.168.1.0/24 belirtin.
5. Hedef olarak 10.0.0.10 belirtin.
6. Hizmet olarak TCP port 80 ve 443 belirtin.
7. Eylem olarak "Allow" seçin.
8. Kuralı kaydedin ve etkinleştirin.

Farklı Firewall Ürünlerinde Subnet Tanımlama Örnekleri

Farklı firewall ürünleri, subnet tanımlama konusunda farklı arayüzler ve komutlar kullanabilir. İşte bazı popüler firewall ürünlerinde subnet tanımlama örnekleri:

Cisco ASA

object network WEB_SERVER
 host 10.0.0.10
object network INTERNAL_NETWORK
 subnet 192.168.1.0 255.255.255.0

access-list INSIDE_OUT extended permit tcp object INTERNAL_NETWORK object WEB_SERVER eq www
access-list INSIDE_OUT extended permit tcp object INTERNAL_NETWORK object WEB_SERVER eq https
access-group INSIDE_OUT in interface inside

Bu örnekte, önce "WEB_SERVER" ve "INTERNAL_NETWORK" adında iki nesne tanımlanır. "WEB_SERVER" nesnesi, 10.0.0.10 IP adresini temsil ederken, "INTERNAL_NETWORK" nesnesi 192.168.1.0/24 subnet'ini temsil eder. Daha sonra, "INSIDE_OUT" adlı bir erişim listesi oluşturulur ve bu erişim listesi, "INTERNAL_NETWORK" subnet'inden "WEB_SERVER" adresine gelen TCP trafiğine (port 80 ve 443) izin verir.

iptables (Linux Firewall)

iptables -A INPUT -s 192.168.1.0/24 -d 10.0.0.10 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -d 10.0.0.10 -p tcp --dport 443 -j ACCEPT

Bu örnekte, "iptables" komutu kullanılarak, 192.168.1.0/24 subnet'inden 10.0.0.10 adresine gelen TCP trafiğine (port 80 ve 443) izin verilir. "-A INPUT" parametresi, kuralın gelen trafiği etkileyeceğini belirtir. "-s" parametresi, kaynak IP adresini veya subnet'ini belirtir. "-d" parametresi, hedef IP adresini belirtir. "-p" parametresi, protokolü belirtir. "--dport" parametresi, hedef port numarasını belirtir. "-j ACCEPT" parametresi, trafiğe izin verileceğini belirtir.

pfSense

pfSense, web tabanlı bir arayüze sahiptir. Subnet tanımlamak için, "Firewall" -> "Rules" bölümüne gidin ve yeni bir kural oluşturun. Kural oluşturma ekranında, "Source" bölümünde "Type" olarak "Network" seçin ve subnet adresini (örneğin, 192.168.1.0/24) girin. "Destination" bölümünde, hedef IP adresini veya subnet'ini belirtin. "Protocol" ve "Destination port range" bölümlerinde, ilgili protokol ve port numaralarını belirtin. Son olarak, "Action" bölümünde "Pass" (izin ver) seçeneğini seçin ve kuralı kaydedin.

IP Subnet'lerin Güvenlik Açısından Önemi ve Best Practices

IP subnet'leri, ağ güvenliğini artırmak için önemli bir araçtır. Ancak, doğru şekilde yapılandırılmazlarsa, güvenlik açıkları oluşturabilirler. İşte IP subnet'leri kullanırken dikkat edilmesi gereken bazı best practices:

• Subnet'leri Planlı Bir Şekilde Oluşturun: Subnet'leri, ağınızın ihtiyaçlarına göre planlı bir şekilde oluşturun. Örneğin, hassas verilerin bulunduğu cihazları ayrı bir subnet'te tutun.
• En Az Yetki İlkesini Uygulayın: Her subnet'e, sadece gerekli olan kaynaklara erişim izni verin. Gereksiz erişim izinlerinden kaçının.
• Firewall Kurallarını Düzenli Olarak Gözden Geçirin: Firewall kurallarını düzenli olarak gözden geçirin ve güncelleyin. Gereksiz veya yanlış yapılandırılmış kuralları kaldırın.
• Ağ İzleme ve Loglama'yı Etkinleştirin: Ağ trafiğini izleyin ve logları düzenli olarak analiz edin. Anormal aktiviteleri tespit etmek için güvenlik araçları kullanın.
• Subnet'ler Arası İletişimi Kontrol Edin: Subnet'ler arasındaki iletişimi firewall kurallarıyla kontrol edin. Gerekli olmayan subnet'ler arası iletişimi engelleyin.
• Subnet Maskelerini Doğru Yapılandırın: Subnet maskelerini doğru bir şekilde yapılandırın. Yanlış yapılandırılmış subnet maskeleri, ağ sorunlarına ve güvenlik açıklarına yol açabilir.

Gerçek Hayattan Örnek: Bir perakende şirketi, müşteri verilerini sakladığı bir veritabanı sunucusunu ayrı bir subnet'te tutmaktadır. Bu subnet'e, sadece yetkili personelin erişimine izin verilmektedir. Ayrıca, bu subnet'teki trafik düzenli olarak izlenmekte ve loglanmaktadır. Bu sayede, müşteri verilerinin güvenliği sağlanmaktadır.

IP Subnet ve VLAN Karşılaştırması

IP subnet ve VLAN (Virtual LAN), ağ trafiğini segmentlere ayırmak için kullanılan iki farklı teknolojidir. Her ikisi de ağ güvenliğini artırmaya ve performansı iyileştirmeye yardımcı olabilir. Ancak, çalışma prensipleri ve kullanım alanları farklıdır.

IP Subnet: IP subnet'ler, ağ katmanında (Katman 3) çalışır ve mantıksal IP adresleme kullanarak ağı segmentlere ayırır. Farklı subnet'ler arasındaki iletişim için bir router veya Katman 3 switch gereklidir. IP subnet'ler, daha esnek bir segmentasyon yöntemi sunar ve firewall kuralları ile daha ayrıntılı güvenlik politikaları uygulanabilir.

VLAN: VLAN'lar, veri bağlantı katmanında (Katman 2) çalışır ve fiziksel portlar veya MAC adresleri kullanarak ağı segmentlere ayırır. Aynı VLAN içindeki cihazlar doğrudan iletişim kurabilirken, farklı VLAN'lar arasındaki iletişim için bir router veya Katman 3 switch gereklidir. VLAN'lar, temel bir izolasyon sağlar, ancak daha ayrıntılı güvenlik politikaları için bir firewall gerekebilir.

Ne Zaman Hangisi Kullanılmalı?

• IP Subnet: Karmaşık ağlarda, farklı güvenlik gereksinimleri olan cihazları segmentlere ayırmak ve ayrıntılı güvenlik politikaları uygulamak için idealdir.
• VLAN: Basit ağlarda, ağ trafiğini segmentlere ayırmak ve yayın trafiğini azaltmak için kullanılabilir. Ayrıca, fiziksel olarak farklı konumlarda bulunan cihazları aynı ağda birleştirmek için de kullanılabilir.

IP Subnet Hesaplama Araçları ve Kullanımı

IP subnet hesaplama, bir IP adresinin hangi subnet'e ait olduğunu, subnet maskesini ve kullanılabilir host adreslerini belirlemek için kullanılan bir işlemdir. Bu işlem, elle yapılabileceği gibi, online subnet hesaplama araçları da kullanılabilir.

Online Subnet Hesaplama Araçları:

• Subnet Calculator: Çeşitli online platformlarda bulunabilen bu araçlar, bir IP adresi ve subnet maskesi girdiğinizde, ağ adresini, yayın adresini, kullanılabilir host adreslerini ve diğer ilgili bilgileri hesaplar.
• IP Calculator: Daha kapsamlı IP hesaplama işlemleri için kullanılan bu araçlar, subnet hesaplamanın yanı sıra, IP adresi dönüştürme, CIDR hesaplama gibi işlemleri de yapabilir.

Subnet Hesaplama Adımları (Elle):

1. IP Adresini ve Subnet Maskesini İkili (Binary) Sayıya Çevirin: Örneğin, 192.168.1.10 IP adresini ve 255.255.255.0 subnet maskesini ikili sayıya çevirin.
2. IP Adresi ve Subnet Maskesini "AND" İşlemine Tabi Tutun: İkili sayıya çevrilmiş IP adresi ve subnet maskesini "AND" işlemine tabi tutarak, ağ adresini bulun.
3. Yayın Adresini Hesaplayın: Subnet maskesindeki "0" olan bitleri, IP adresindeki ilgili bitlerle "OR" işlemine tabi tutarak yayın adresini bulun.
4. Kullanılabilir Host Adreslerini Belirleyin: Ağ adresinden sonraki ilk IP adresi ve yayın adresinden önceki son IP adresi, kullanılabilir host adresleridir.

Örnek: 192.168.1.10/24 IP adresi için subnet hesaplama:

• IP Adresi (İkili): 11000000.10101000.00000001.00001010
• Subnet Maskesi (İkili): 11111111.11111111.11111111.00000000
• Ağ Adresi (İkili): 11000000.10101000.00000001.00000000 (192.168.1.0)
• Yayın Adresi (İkili): 11000000.10101000.00000001.11111111 (192.168.1.255)
• Kullanılabilir Host Adresleri: 192.168.1.1 - 192.168.1.254

IP Subnet ile İlgili Yaygın Hatalar ve Çözümleri

IP subnet yapılandırması sırasında yapılan yaygın hatalar, ağ sorunlarına ve güvenlik açıklarına yol açabilir. İşte bazı yaygın hatalar ve çözümleri:

• Yanlış Subnet Maskesi Kullanımı: Yanlış subnet maskesi kullanmak, ağ adresinin ve yayın adresinin yanlış hesaplanmasına neden olabilir. Bu da, cihazların birbirleriyle iletişim kuramamasına veya yanlış subnet'lere trafik göndermesine yol açabilir. Çözüm: Doğru subnet maskesini kullandığınızdan emin olun. Ağınızın ihtiyaçlarına uygun bir subnet maskesi seçin ve tüm cihazlarda aynı subnet maskesini kullanın.
• Çakışan IP Adresleri: Aynı subnet'te birden fazla cihaza aynı IP adresini atamak, IP adresi çakışmasına neden olur. Bu da, cihazların ağa bağlanamamasına veya bağlantı sorunları yaşamasına yol açabilir. Çözüm: DHCP sunucusu kullanarak IP adreslerini otomatik olarak atayın. Eğer statik IP adresleri kullanıyorsanız, her cihaza benzersiz bir IP adresi atadığınızdan emin olun.
• Yanlış Varsayılan Ağ Geçidi (Default Gateway) Yapılandırması: Yanlış varsayılan ağ geçidi yapılandırması, cihazların farklı subnet'lere trafik gönderememesine neden olabilir. Çözüm: Her cihazın varsayılan ağ geçidinin doğru yapılandırıldığından emin olun. Varsayılan ağ geçidi, genellikle router veya Katman 3 switch'in IP adresidir.
• Firewall Kurallarının Yanlış Yapılandırılması: Firewall kurallarının yanlış yapılandırılması, ağ trafiğinin engellenmesine veya yetkisiz erişime yol açabilir. Çözüm: Firewall kurallarını dikkatlice yapılandırın ve düzenli olarak gözden geçirin. En az yetki ilkesini uygulayın ve sadece gerekli olan trafiğe izin verin.
• DHCP Sunucusu Sorunları: DHCP sunucusu sorunları, IP adresi atama sorunlarına ve ağ bağlantı sorunlarına yol açabilir. Çözüm: DHCP sunucusunun doğru yapılandırıldığından ve çalıştığından emin olun. DHCP sunucusu loglarını düzenli olarak kontrol edin ve sorunları giderin.

Vaka Çalışması: Bir ofis ağında, yeni bir yazıcı eklendikten sonra bazı kullanıcılar internete erişememeye başladı. Yapılan incelemede, yazıcının statik IP adresinin, mevcut bir cihazla çakıştığı tespit edildi. Yazıcının IP adresi değiştirilerek sorun çözüldü.