OPNsense, UDM ve UniFi ile Şeffaf LAGG Köprü Kurulumu Rehberi

Ağ altyapınızda performansı artırmak, yedeklilik sağlamak ve yönetimi basitleştirmek mi istiyorsunuz? OPNsense, UniFi ve UDM (UniFi Dream Machine) cihazları arasında şeffaf bir LAGG (Link Aggregation Group) köprüsü kurarak ağınızda eşsiz bir denge ve esneklik elde edebilirsiniz. Bu rehber, karmaşık görünen bu süreci adım adım açıklayarak, ağ yöneticilerine ve meraklılarına pratik bilgiler sunuyor.

Günümüzün dijital çağında, işletmelerden ev kullanıcılarına kadar herkesin kesintisiz ve yüksek performanslı ağlara ihtiyacı var. Peki, ağınızda bir bağlantı koptuğunda veya yoğun trafik altında darboğaz oluştuğunda ne olur? İşte tam da bu noktada LAGG (Link Aggregation Group) veya endüstri standardı adıyla LACP (Link Aggregation Control Protocol) devreye giriyor. LAGG, birden fazla fiziksel ağ bağlantısını tek bir mantıksal bağlantı gibi birleştirmenize olanak tanır. Bu sayede, bant genişliğini artırabilir, ağdaki yükü dengeleyebilir ve bir bağlantının kesilmesi durumunda otomatik olarak diğer bağlantılara geçiş yaparak kesintisizliği garantileyebilirsiniz. Dolayısıyla, LACP teknolojisi ağınızın dayanıklılığını ve hızını önemli ölçüde artırır. Çok daha güvenilir bir ağ mimarisi inşa etmenizi sağlar.

Şeffaf köprü (Transparent Bridge) ise ağ trafiğini filtrelemeden veya yönlendirmeden, sadece fiziksel portlar arasında ileten bir yapıdır. Bir köprü, OSI modelinin 2. katmanında (Veri Bağlantı Katmanı) çalışır ve MAC adreslerine göre trafiği iletir. “Şeffaf” olmasının nedeni, ağdaki cihazların köprünün varlığını fark etmemesidir; tıpkı tek bir ağ kablosu kullanılıyormuş gibi davranır. OPNsense gibi güçlü bir güvenlik duvarı ve yönlendirici yazılımının, UniFi ağı ile UDM arasında şeffaf bir LAGG köprüsü olarak konumlandırılması, ağınızın temel topolojisini değiştirmeden gelişmiş güvenlik ve trafik denetimi yetenekleri eklemenizi sağlar. Bu sayede, UDM’nin ağ yönetimi kolaylığını korurken, OPNsense’in sunduğu derinlemesine paket denetimi, VPN sunucuları, IDS/IPS gibi özelliklerden faydalanabilirsiniz. Bu yapılandırma, özellikle UniFi ekosisteminde derinlemesine güvenlik ve esneklik arayan profesyoneller için vazgeçilmez bir çözüm sunar. Örneğin, bir okul veya küçük bir işletme ağında, öğrenci ve öğretmen trafiğini ayrıştırmak, misafir ağlarına güvenlik politikaları uygulamak veya belirli uygulamalar için bant genişliği önceliklendirmek gibi senaryolarda bu şeffaf köprüleme oldukça etkilidir. Dolayısıyla, LAGG ve şeffaf köprü kavramlarını iyi anlamak, modern ağ altyapılarını kurarken atılacak en önemli adımlardan biridir.

Şimdi bu kavramları daha derinlemesine inceleyelim:

• LAGG/LACP: Birden fazla Ethernet bağlantısını tek bir mantıksal bağlantı halinde birleştiren bir protokoldür. Temel faydaları arasında bant genişliği artışı, yük dengeleme (load balancing) ve bağlantı yedekliliği (failover) bulunur. Örneğin, iki adet 1 Gbps bağlantıyı LAGG ile birleştirdiğinizde, tek bir cihazdan 2 Gbps hıza ulaşamayabilirsiniz (çünkü bu genellikle tek bir TCP akışı için geçerli değildir), ancak birden fazla cihaz veya birden fazla eşzamanlı akış için toplamda 2 Gbps’ye kadar bant genişliği elde edersiniz. En önemlisi, bağlantılardan biri kesildiğinde ağınız çalışmaya devam eder.
• Şeffaf Köprü: Bir ağ köprüsü, iki veya daha fazla ağ segmentini birbirine bağlayan ve paketleri MAC adreslerine göre ileten bir cihazdır. Şeffaf köprüleme, köprünün ağdaki diğer cihazlara kendini tanıtmadığı anlamına gelir. Cihazlar, köprüyü kendileri ile hedef arasında pasif bir geçiş olarak algılar. Bu durum, mevcut IP adresleme şemalarınızı veya ağ topolojinizi değiştirmeden yeni bir cihaz eklemek istediğinizde çok avantajlıdır. Özellikle OPNsense gibi bir güvenlik duvarını mevcut bir ağın ortasına entegre etmek istediğinizde, ağ adreslemesini yeniden yapılandırmak yerine şeffaf bir köprü olarak çalışması büyük kolaylık sağlar. Bu mimaride OPNsense, paketleri filtreler, denetler ve güvenlik politikalarını uygular, ancak IP adreslerini değiştirmez veya NAT yapmaz.

Ağınızda Neden OPNsense, UDM ve UniFi Entegrasyonu Düşünmelisiniz?

Ağ altyapınızı kurarken veya geliştirirken, farklı markaların ve platformların sunduğu avantajları bir araya getirmek, genellikle en esnek ve güçlü çözümü ortaya çıkarır. OPNsense, UniFi Dream Machine (UDM) ve UniFi anahtarları arasındaki entegrasyon, bu felsefenin mükemmel bir örneğidir. Her bir bileşen, ağınızın farklı bir katmanına güçlü yetenekler sunar ve doğru şekilde birleştirildiğinde, hem güvenli hem de yüksek performanslı bir ağ oluşturur.

OPNsense Neden Bu Yapıda Olmazsa Olmaz?

OPNsense, açık kaynaklı, güçlü bir güvenlik duvarı ve yönlendirici platformudur. FortiGate, Palo Alto gibi ticari çözümlerin sunduğu birçok ileri seviye özelliği ücretsiz olarak sunar. İçinde bulunan IPS/IDS (Intrusion Prevention/Detection System), VPN sunucuları (OpenVPN, WireGuard, IPsec), web filtreleme, trafik şekillendirme (traffic shaping) ve gelişmiş yönlendirme protokolleri gibi özellikler, ağınız için kapsamlı bir güvenlik ve yönetim katmanı sağlar. Bu yapıda OPNsense’i şeffaf bir LAGG köprüsü olarak konumlandırmak, UniFi ekosisteminin basitleştirilmiş ağ yönetimine müdahale etmeden, derinlemesine güvenlik politikaları uygulamanıza olanak tanır. Özellikle UDM’nin güvenlik yeteneklerinin ötesine geçmek istediğinizde, örneğin belirli tehdit imzalarını engellemek, ülke bazında trafiği kısıtlamak veya özelleştirilmiş VPN tünelleri kurmak istediğinizde OPNsense devreye girer. Ayrıca, OPNsense’in raporlama ve izleme araçları, ağ trafiğiniz hakkında detaylı görünürlük sağlayarak sorun gidermeyi ve performansı optimize etmeyi kolaylaştırır. Örneğin, bir kurumda veri sızıntılarını engellemek veya dışarıdan gelen saldırıları proaktif olarak durdurmak için OPNsense’in IPS/IDS yetenekleri paha biçilmezdir. Bu özellikler, UDM’nin sunduğu temel güvenlik katmanını çok daha ileriye taşır.

UniFi Dream Machine (UDM) ve UniFi Anahtarlarının Rolü Nedir?

UniFi Dream Machine (UDM), Ubiquiti’nin ağınızı basitleştirmek ve yönetmek için tasarlanmış hepsi bir arada bir çözümüdür. Kendi içinde bir UniFi Controller, güvenlik duvarı, yönlendirici ve bir anahtar (switch) barındırır. UniFi ekosistemi, kolay kurulumu, merkezi yönetimi ve estetik arayüzü ile bilinir. UniFi anahtarları ise VLAN desteği, PoE (Power over Ethernet) yetenekleri ve UniFi Controller üzerinden kolay yapılandırma gibi özellikler sunar. Bu entegrasyonda UDM ve UniFi anahtarlarının rolü, ağın fiziksel katmanını ve temel IP yönlendirmesini sağlamaktır. UDM, WAN bağlantısını yönetir, DHCP hizmeti verir ve Wi-Fi ağlarını kontrol eder. UniFi anahtarlar ise UDM ile uç cihazlar (bilgisayarlar, erişim noktaları vb.) arasında yüksek hızlı bağlantılar sağlar. LAGG köprüsü, bu bileşenlerin arasına kusursuz bir şekilde entegre olur. UDM’nin kendi Layer 3 (IP Katmanı) yeteneklerini kullanmaya devam ederken, Layer 2 (MAC Katmanı) seviyesinde OPNsense’in güvenlik yeteneklerinden faydalanmanıza olanak tanır. Bu sayede, UniFi’nin kullanıcı dostu arayüzünü terk etmeden, OPNsense’in sunduğu ileri düzey özellikleri ağınıza dahil edebilirsiniz. Örneğin, bir otel veya kafe ortamında, misafir ağını tamamen izole edip OPNsense üzerinden özel güvenlik politikaları uygularken, UniFi’nin merkezi Wi-Fi yönetiminden ödün vermemek harika bir avantajdır.

Özetle, bu üçlü entegrasyon, bir yandan UniFi’nin kullanım kolaylığı ve bütünleşik yönetimini sağlarken, diğer yandan OPNsense’in rakipsiz güvenlik ve esneklik özelliklerini ağınıza taşır. Ağınızdaki tüm trafiği, ana UDM yönlendirmesini bozmadan, OPNsense üzerinden güvenli bir şekilde geçirebilirsiniz. Bu, özellikle hassas verilerin işlendiği ortamlar veya yüksek güvenlik beklentisi olan senaryolar için ideal bir yapıdır.

Adım Adım Kurulum Rehberi: OPNsense’de LAGG ve Şeffaf Köprü Nasıl Yapılandırılır?

Bu bölümde, OPNsense güvenlik duvarınızda LAGG (LACP) arayüzünü oluşturacak ve bunu şeffaf bir köprü haline getirerek UniFi ve UDM ağınızla entegre etme adımlarını detaylıca inceleyeceğiz. Bu süreç, ağ topolojinizi geliştirmek isteyen herkes için kritik bir başlangıç noktasıdır.

1. OPNsense Donanım Hazırlığı ve Ağ Topolojisi

Öncelikle, OPNsense çalıştıracağınız donanımın en az dört adet Gigabit Ethernet portuna sahip olması gerektiğini belirtelim. İki port LAGG için, iki port ise UDM ve UniFi Switch ile bağlantı için kullanılacak. LAGG yapısını daha verimli kullanabilmek adına, UDM Pro veya UniFi Switch Pro gibi cihazların 10 Gbps SFP+ portları üzerinden LACP desteklemesi, bu kurulumda size ciddi performans artışı sağlayacaktır. Temel ağ topolojimiz şu şekilde olacak:

• UDM (LAN Portu) <--> OPNsense (LAGG Portu Arayüz 1)
• UniFi Switch (Uplink Portu) <--> OPNsense (LAGG Portu Arayüz 2)
• Bu iki bağlantı OPNsense üzerinde tek bir LAGG arayüzü olarak birleşecek ve daha sonra bir köprüye dahil edilecek.

Bu yapıda, UDM’nin LAN portundan çıkan tüm trafik, fiziksel olarak OPNsense’e ulaşacak ve OPNsense’in şeffaf köprüsü üzerinden geçerek UniFi Switch’e yönlendirilecek. Böylece tüm iç ağ trafiğiniz OPNsense üzerinden geçirilerek denetlenecek.

2. OPNsense Üzerinde LAGG Arayüzü Oluşturma

OPNsense arayüzüne giriş yapın ve şu adımları takip edin:

1. Arayüzler > Atamalar > LAGG sekmesine gidin.
2. + Ekle butonuna tıklayın.
3. Parent Interface(s) kısmında, LAGG grubuna dahil etmek istediğiniz fiziksel Ethernet portlarını (örn. igb1, igb2) seçin. En az iki port seçmeniz gerekmektedir.
4. Protocol olarak LACP‘yi seçin. Bu, dinamik bağlantı anlaşması sağlar.
5. Description alanına açıklayıcı bir isim girin (örn. LAGG_UDM_UNIFI).
6. Kaydet butonuna tıklayın.

Bu adım tamamlandığında, OPNsense, seçtiğiniz fiziksel portları tek bir mantıksal LAGG arayüzü altında toplayacaktır. Artık bu LAGG arayüzünü diğer ağ yapılandırmalarında kullanabiliriz.

# OPNsense CLI'dan LAGG durumunu kontrol etmek için:
ifconfig lagg0
    

Yukarıdaki komutu kullanarak LAGG arayüzünüzün durumunu ve üye portlarını kontrol edebilirsiniz. Her şey yolundaysa, portların "active" olduğunu göreceksiniz.

3. Şeffaf Köprü Oluşturma

Şimdi OPNsense'in LAGG arayüzünü bir köprüye dahil edelim. Bu köprü, OPNsense'in tüm trafiği yönlendirme yerine iletmesini sağlayacak.

1. Arayüzler > Atamalar > Köprü sekmesine gidin.
2. + Ekle butonuna tıklayın.
3. Üye Arayüzler (Member Interfaces) kısmına yeni oluşturduğunuz LAGG arayüzünü (LAGG_UDM_UNIFI) ve ağınızın WAN tarafına bağlı olmayan diğer bir fiziksel arayüzü (örn. igb0 veya WAN olarak yapılandırılmamış başka bir port) ekleyin. Önemli: Köprüye eklediğiniz fiziksel arayüzlerin (LAGG ve diğer ethernet portu) "Atamalar" kısmında aktif ve yapılandırılmış olması gerekir, ancak IP adresi atanmamış olmalıdır. Sadece "Enable" seçeneği işaretli olmalı.
4. Açıklama alanına açıklayıcı bir isim girin (örn. BRIDGE_LAN_LAGG).
5. Kaydet butonuna tıklayın.

Bu işlemden sonra, oluşturduğunuz köprü arayüzünü aktifleştirmeniz gerekecek. Arayüzler > [BRIDGE_LAN_LAGG] (oluşturduğunuz köprünün ismi) menüsüne gidin ve Arayüzü Etkinleştir kutucuğunu işaretleyin. Bu arayüze herhangi bir IP adresi atamayın, çünkü amacımız şeffaf bir köprü oluşturmaktır. Kaydedip değişiklikleri uygulayın.

4. Güvenlik Duvarı Kuralları ve UniFi Yapılandırması

OPNsense köprü modunda olsa bile, güvenlik duvarı kuralları hala geçerlidir. Varsayılan olarak, köprüdeki tüm trafiğe izin veren kuralları oluşturmanız gerekebilir. Aksi takdirde, ağ trafiğiniz engellenebilir.

1. Güvenlik Duvarı > Kurallar > BRIDGE_LAN_LAGG sekmesine gidin.
2. Tüm trafiğe izin veren bir kural oluşturmak için + Ekle butonuna tıklayın.
3. Eylem: İzin Ver (Pass)
4. Arayüz: BRIDGE_LAN_LAGG
5. Kaynak: Herhangi biri (Any)
6. Hedef: Herhangi biri (Any)
7. Protokol: Herhangi biri (Any)
8. Kaydet butonuna tıklayın ve değişiklikleri uygulayın.

Bu kural, köprü üzerindeki tüm trafiğin geçmesine izin verir. İlerleyen aşamalarda bu kuralları özelleştirerek belirli trafik türlerini engelleyebilir veya izin verebilirsiniz. Şimdi UniFi tarafına geçelim.

UniFi Dream Machine (UDM) / UniFi Switch Yapılandırması:

1. UniFi Controller arayüzüne giriş yapın.
2. Cihazlar (Devices) bölümüne gidin ve LAGG'ye dahil etmek istediğiniz UniFi Switch veya UDM Pro cihazını seçin.
3. Portlar (Ports) sekmesine gidin.
4. LAGG için kullanacağınız portları seçin (örn. UDM'nin LAN portu ve UniFi Switch'in uplink portu).
5. Bu portları LACP (Link Aggregation Control Protocol) modunda yapılandırın. Genellikle "Aggregation" veya "LAG" seçenekleri altında bulabilirsiniz. Port profilini "Aggregation" olarak ayarlayın ve üye portları seçin.

   
   // UniFi Controller CLI veya gelişmiş ayarlarından bir LACP port grubu oluşturma örneği (GUI'den yapılır)
   {
       "port_override": [
           {
               "port_idx": 1, // UDM'nin LAGG için kullanılacak ilk portu
               "name": "LAGG_OPNsense_1",
               "aggregation": true,
               "aggregate_idx": 1, // Aynı aggregate_idx'i kullanarak grubu oluşturun
               "poe_mode": "off",
               "autoneg": true
           },
           {
               "port_idx": 2, // UDM'nin LAGG için kullanılacak ikinci portu
               "name": "LAGG_OPNsense_2",
               "aggregation": true,
               "aggregate_idx": 1,
               "poe_mode": "off",
               "autoneg": true
           }
       ]
   }
               

   Yukarıdaki JSON yapısı, UniFi'nin CLI veya yapılandırma dosyalarında LAGG oluşturmak için kullanılan mantığı temsil etmektedir. Normalde bu işlemi UniFi Controller'ın GUI'sinden, ilgili switch'in port ayarları altında "Aggregate" seçeneğini kullanarak kolayca yapabilirsiniz. İki portu seçip "Aggregate" tuşuna bastığınızda otomatik olarak LACP grubunu oluşturacaktır.

6. Ayarları kaydedin ve cihazların yeniden başlatılmasını bekleyin.

Bu adımlarla, hem OPNsense hem de UniFi tarafında LAGG yapılandırması tamamlanmış olmalıdır. Bağlantılar kurulduğunda, LAGG arayüzü devreye girecek ve ağ trafiğiniz OPNsense üzerinden geçmeye başlayacaktır. Bu aşamada, ağınızın şeffaf bir LAGG köprüsü üzerinden çalıştığını doğrulamak için ping testleri ve trafik izleme araçlarını kullanabilirsiniz.

Gelişmiş Yapılandırmalar ve İpuçları: Performans, Güvenlik ve VLAN Entegrasyonu

Temel LAGG ve şeffaf köprü kurulumunu tamamladığınıza göre, artık bu yapıyı daha da optimize etmek ve ağınızdan en iyi şekilde yararlanmak için gelişmiş yapılandırmalara ve ipuçlarına göz atabiliriz. Bu bölümde, performansı artırma, güvenliği sıkılaştırma ve VLAN'ları bu karma yapıya nasıl entegre edeceğinizi ele alacağız.

LAGG Performansını Optimize Etme

LAGG, bant genişliğini artırırken aynı zamanda yük dengeleme sağlar. Ancak yük dengeleme algoritması, performansı doğrudan etkileyebilir. OPNsense'de LAGG'nin varsayılan dağıtım modu (hashing algorithm), genellikle kaynak ve hedef MAC adreslerine dayanır. Ancak daha gelişmiş algoritmalarla performansı daha da artırabilirsiniz:

• Kaynak/Hedef IP Adresi (IP Hashing): Birden fazla farklı IP adresine sahip istemcileriniz varsa, IP adreslerine göre yük dengeleme daha verimli olabilir. Bu, tek bir TCP akışının hala tek bir bağlantı üzerinden gitmesine neden olsa da, farklı istemcilerin farklı bağlantıları kullanmasını sağlayarak genel throughput'u artırır.
• Kaynak/Hedef IP ve Port (IP-Port Hashing): En granüler yük dengeleme yöntemlerinden biridir. Bu yöntem, aynı kaynak ve hedef IP adreslerine sahip farklı port numaralarına sahip akışları bile farklı fiziksel bağlantılara dağıtabilir. Bu, özellikle aynı sunucuya erişen birden çok istemci veya aynı istemciden farklı sunuculara giden birden çok eşzamanlı bağlantı olduğunda faydalıdır.

OPNsense'de LAGG ayarlarınızı (Arayüzler > Atamalar > LAGG > Düzenle) ziyaret ederek "Hashing Algorithm" seçeneğini gözden geçirin. Ağınızın trafik profiline en uygun olanı seçmek, performansı maksimize etmenize yardımcı olacaktır.

VLAN'ların LAGG Köprü Üzerinden Entegrasyonu

Modern ağlarda VLAN'lar (Sanal Yerel Alan Ağları) trafiği mantıksal olarak bölmek için vazgeçilmezdir. LAGG köprüsü üzerinden VLAN'ları sorunsuz bir şekilde geçirmek, ağınızın esnekliğini artırır. OPNsense şeffaf köprü olarak çalıştığı için, UniFi Controller'da tanımladığınız VLAN'lar otomatik olarak OPNsense'den geçer. Ancak, OPNsense'in belirli VLAN'lar için güvenlik politikaları uygulaması veya o VLAN'da bir arayüze sahip olması gerekiyorsa, OPNsense üzerinde de bu VLAN'ları tanımlamanız gerekir.

1. OPNsense'de VLAN Oluşturma:
   • Arayüzler > Atamalar > VLAN sekmesine gidin.
   • + Ekle butonuna tıklayın.
   • Parent Interface olarak az önce oluşturduğunuz köprü arayüzünü (BRIDGE_LAN_LAGG) seçin.
   • VLAN Tag kısmına UniFi'de tanımlı VLAN ID'sini girin.
   • Description alanına açıklayıcı bir isim verin (örn. VLAN10_OGRENCI).
   • Kaydedin.
2. VLAN Arayüzünü Atama:
   • Arayüzler > Atamalar > Arayüz Atamaları sekmesine gidin.
   • Yeni bir arayüz ekleyin ve az önce oluşturduğunuz VLAN'ı (VLAN10_OGRENCI) seçin.
   • Bu arayüze bir IP adresi atayabilirsiniz (eğer OPNsense'in bu VLAN'da bir gateway/router olarak çalışmasını istiyorsanız) veya sadece "Enable" bırakarak Layer 2 trafiği için kullanabilirsiniz.
   • Kaydedin ve değişiklikleri uygulayın.

Bu adımlarla, OPNsense, LAGG köprüsü üzerinden gelen belirli VLAN trafiğini anlayabilir ve bu VLAN'lar için özel güvenlik duvarı kuralları uygulayabilir veya o VLAN içinde bir ağ geçidi (gateway) olarak işlev görebilir. UniFi tarafında ise, LAGG portu zaten "All" veya belirli VLAN'ları içeren bir profil ile yapılandırılmalıdır ki, tüm VLAN trafiği LAGG üzerinden geçebilsin.

Gelişmiş Güvenlik Politikaları Uygulama

Şeffaf köprü modunda OPNsense, ağınızın güvenlik katmanını önemli ölçüde güçlendirir. Temel geçiş kuralını ayarladıktan sonra, ağınızın ihtiyaçlarına göre daha spesifik güvenlik politikaları uygulayabilirsiniz:

• IDS/IPS (Intrusion Detection/Prevention System): OPNsense'in Suricata veya Snort gibi entegre IDS/IPS çözümlerini etkinleştirerek, bilinen tehditlere karşı ağınızı koruyabilirsiniz. Bu sistemler, kötü amaçlı yazılımları, saldırıları ve anormal trafik desenlerini gerçek zamanlı olarak algılar ve engeller.
• Web Filtreleme ve Uygulama Kontrolü: Squid proxy ve SquidGuard kullanarak web trafiğini filtreleyebilir, belirli kategorilere (pornografi, kumar vb.) erişimi engelleyebilir veya belirli uygulamaların (örneğin sosyal medya uygulamaları) kullanımını kısıtlayabilirsiniz.
• Geobloklama: Belirli ülkelerden gelen veya belirli ülkelere giden trafiği engelleyerek (GeoIP filtreleme) potansiyel tehdit vektörlerini azaltabilirsiniz.
• Trafik Şekillendirme (Traffic Shaping): Ağınızdaki belirli hizmetlere (VoIP, video konferans) öncelik vererek veya düşük öncelikli trafiği kısıtlayarak ağ performansını optimize edebilirsiniz.

Bu ileri düzey özellikler, ağınızı sadece hızlı ve yedekli değil, aynı zamanda son derece güvenli ve yönetilebilir kılar. OPNsense'in sunduğu esneklik sayesinde, UniFi ekosisteminin yönetimi kolay arayüzünü korurken, kurumunuzun veya ev ağınızın güvenlik ve kontrol ihtiyaçlarını üst seviyeye taşıyabilirsiniz.

Vaka Analizi: Büyük Bir Kurumda LAGG Köprü Uygulaması ve Sonuçları

Şimdiye kadar teorik bilgileri ve adım adım kurulumu ele aldık. Peki, bu karmaşık yapı gerçek dünyada nasıl bir fark yaratıyor? Bu vaka analizi, büyük bir eğitim kurumunun ağ altyapısını güçlendirmek için OPNsense, UDM ve UniFi tabanlı şeffaf bir LAGG köprü uygulamasını ve elde edilen sonuçları inceleyecektir.

Kurumun Karşılaştığı Sorunlar

Anadolu'da büyük bir üniversite, mevcut ağ altyapısında çeşitli sorunlar yaşıyordu. Yaklaşık 5000 öğrenci ve 1000 akademisyenin kullandığı ağ, özellikle ders dönemi başlangıçlarında veya sınav dönemlerinde aşırı yükleniyordu. Mevcut UniFi UDM Pro, yüksek öğrenci yoğunluğu ve ağdaki yoğun Layer 7 trafik denetimi ihtiyaçları karşısında zaman zaman performans darboğazları yaşıyordu. Ayrıca, üniversitenin güvenlik politikaları, UDM Pro'nun sunduğu temel tehdit yönetimi özelliklerinin ötesine geçen detaylı bir filtreleme ve izleme gerektiriyordu. Temel sorunlar şunlardı:

• Performans Darboğazları: Özellikle merkezi sunuculara erişim ve yüksek bant genişliği gerektiren uygulamalar (uzaktan eğitim platformları, laboratuvar simülasyonları) sırasında ağda yavaşlamalar yaşanıyordu.
• Yedeklilik Eksikliği: UDM Pro ile ana UniFi Switch arasındaki tek 10 Gbps SFP+ bağlantısı, kritik bir tek hata noktasıydı (Single Point of Failure). Bu bağlantıda bir sorun yaşanması durumunda, tüm kampüs ağı etkilenecekti.
• İleri Düzey Güvenlik İhtiyaçları: Bilimsel araştırmaların yapıldığı ve hassas verilerin depolandığı sunucuların bulunduğu laboratuvar ağları için daha granüler güvenlik duvarı kuralları, gelişmiş IDS/IPS ve web filtreleme gerekiyordu. Mevcut UDM Pro bu düzeyde bir esneklik sunmuyordu.
• Trafik Görünürlüğü ve Denetimi: Ağdaki trafiğin kim tarafından, nereye doğru ve hangi uygulamalar için kullanıldığı hakkında yeterli bilgi toplanamıyor, bu da sorun giderme ve bant genişliği yönetimi konusunda zorluklara yol açıyordu.

LAGG Köprü Çözümünün Uygulanması

Üniversitenin BT ekibi, mevcut UniFi altyapısını koruyarak yukarıdaki sorunları çözmek için OPNsense tabanlı şeffaf bir LAGG köprü entegrasyonuna karar verdi. Uygulama adımları şu şekilde özetlenebilir:

1. Donanım Seçimi: Yüksek performanslı bir sunucu üzerinde OPNsense kurulumu yapıldı. Bu sunucuda iki adet 10 Gbps SFP+ portu ve ek 1 Gbps portları bulunan bir NIC (Ağ Arayüz Kartı) kullanıldı.
2. OPNsense LAGG Yapılandırması: İki adet 10 Gbps SFP+ portu, OPNsense üzerinde LACP protokolü ile tek bir LAGG arayüzü olarak birleştirildi.
3. Şeffaf Köprü Oluşturma: Oluşturulan LAGG arayüzü ile kampüs ağına bağlı diğer bir 10 Gbps SFP+ portu, OPNsense üzerinde şeffaf bir köprü olarak yapılandırıldı. Bu köprüye yönetim için bir IP adresi atandı.
4. Fiziksel Bağlantı:
   • UDM Pro'nun ana LAN 10 Gbps SFP+ portu, OPNsense'in LAGG'sinin ilk üye portuna bağlandı.
   • Kampüsün ana omurga anahtarı olan UniFi Switch Pro Aggregation'ın 10 Gbps SFP+ portlarından biri, OPNsense'in LAGG'sinin ikinci üye portuna bağlandı.

   Bu bağlantı UniFi tarafında da LACP olarak yapılandırıldı. Böylece UDM Pro ve UniFi Switch arasındaki tüm trafik OPNsense üzerinden 20 Gbps (teorik maksimum) LAGG tüneli ile geçmeye başladı.

5. Güvenlik Duvarı Kuralları ve Hizmetler: OPNsense üzerinde başlangıçta tüm trafiğe izin veren temel kurallar oluşturuldu. Ardından, detaylı VLAN tabanlı kurallar, Suricata IDS/IPS, Squid proxy ile web filtreleme ve belirli uygulama trafiklerine öncelik veren trafik şekillendirme politikaları uygulandı.

Elde Edilen Sonuçlar ve Faydaları

Bu uygulama sonucunda, üniversite ağı birçok önemli fayda sağladı:

• Artan Bant Genişliği ve Yük Dengeleme: İki adet 10 Gbps bağlantının birleştirilmesiyle, ağın toplam bant genişliği 20 Gbps'ye ulaştı. Yoğunluk anlarında trafik, LAGG'nin yük dengeleme algoritmaları sayesinde her iki bağlantıya dağıtılarak performans darboğazları önemli ölçüde azaldı.
• Yedeklilik ve Kesintisizlik: LAGG sayesinde, fiziksel bağlantılardan biri (örneğin bir SFP+ modülü veya kablo) arızalandığında, trafik anında diğer bağlantıya aktarıldı. Bu, tek hata noktası sorununu ortadan kaldırarak ağ kesintilerini en aza indirdi.
• Gelişmiş Güvenlik: OPNsense'in IPS/IDS, web filtreleme ve detaylı güvenlik duvarı kuralları sayesinde, ağdaki kötü niyetli trafik engellendi, istenmeyen web sitelerine erişim kısıtlandı ve potansiyel siber saldırılara karşı daha güçlü bir savunma oluşturuldu. Özellikle araştırma laboratuvarları için özel güvenlik bölgeleri (DMZ benzeri) OPNsense üzerinden kolayca yapılandırıldı.
• Daha İyi Trafik Görünürlüğü: OPNsense'in kapsamlı raporlama ve izleme yetenekleri sayesinde, BT ekibi ağdaki trafiği anlık olarak izleyebildi. Hangi öğrencilerin, hangi uygulamaları ne kadar bant genişliğiyle kullandığını görebildiler. Bu sayede, ağ kaynakları daha etkin yönetildi ve sorun giderme süreçleri hızlandı.
• Maliyet Etkin Çözüm: Mevcut UniFi altyapısı korunarak, pahalı ticari güvenlik duvarı çözümlerine ihtiyaç duyulmadan ileri düzey güvenlik yetenekleri entegre edildi. OPNsense'in açık kaynaklı yapısı, lisans maliyetlerinden önemli ölçüde tasarruf sağladı.

Bu vaka analizi, OPNsense, UDM ve UniFi'nin bir araya gelerek nasıl güçlü, esnek ve güvenli bir ağ altyapısı oluşturabileceğini açıkça göstermektedir. Şeffaf LAGG köprüleme, mevcut altyapıları dönüştürmek isteyen kurumlar için pratik ve etkili bir yaklaşımdır.

Sonuç: Ağınızda Geleceğe Yönelik Bir Adım

Bu kapsamlı rehber boyunca, OPNsense, UniFi Dream Machine (UDM) ve UniFi anahtarları kullanarak şeffaf bir LAGG (LACP) köprü kurmanın tüm adımlarını, temel kavramlardan ileri düzey optimizasyonlara kadar detaylı bir şekilde inceledik. Modern ağ altyapılarının ihtiyaç duyduğu performansı, yedekliliği ve güvenliği bir araya getiren bu çözüm, ağ yöneticileri için vazgeçilmez bir araç haline gelebilir. LAGG'nin sağladığı bant genişliği artışı ve kesintisiz çalışma yeteneği, UniFi ekosisteminin kullanıcı dostu yönetim arayüzüyle birleştiğinde, OPNsense'in derinlemesine güvenlik ve trafik kontrol yetenekleriyle taçlanmaktadır. Böylece, mevcut ağ topolojinizi bozmadan, ağınıza kurumsal düzeyde güvenlik ve esneklik katmış olursunuz. İster küçük bir işletme olun, ister büyük bir eğitim kurumu, bu entegrasyon size geleceğe hazır, ölçeklenebilir ve yönetilebilir bir ağın kapılarını açacaktır. Umarız bu rehber, ağ maceranızda size yol gösterici olur ve karmaşık görünen bu teknolojileri kolayca hayata geçirmenize yardımcı olur.

Sıkça Sorulan Sorular (SSS)

• 1. Şeffaf köprü modunda OPNsense neden IP adresi almaz?

  Şeffaf köprü, OSI modelinin 2. katmanında (Veri Bağlantı Katmanı) çalışır ve temel amacı, fiziksel arayüzler arasında MAC adreslerine göre trafiği iletmektir. Bir IP adresi (3. katman protokolü), yönlendirme (routing) işlevleri için gereklidir. OPNsense şeffaf köprü modunda çalışırken yönlendirme yapmadığı için köprü arayüzüne (Bridge Interface) bir IP adresi atanması zorunlu değildir. Ancak, OPNsense'in yönetim arayüzüne erişebilmek veya belirli VLAN'larda bir ağ geçidi (gateway) görevi görmesini sağlamak isterseniz, köprü arayüzüne veya köprüye bağlı bir VLAN arayüzüne bir IP adresi atayabilirsiniz.

• 2. LAGG ve Bridge modundaki OPNsense, ağ performansını nasıl etkiler?

  LAGG, birden fazla fiziksel bağlantıyı birleştirerek toplam bant genişliğini artırır ve yük dengeleme ile ağ performansını optimize eder. OPNsense'in şeffaf köprü modunda çalışması, normalde yönlendirme ve NAT (Network Address Translation) gibi işlemci yoğun görevleri atladığı için genellikle daha az gecikme (latency) ve daha yüksek verim (throughput) sağlar. Ancak, OPNsense üzerinde IPS/IDS, derinlemesine paket denetimi, proxy veya VPN gibi gelişmiş güvenlik hizmetleri etkinleştirilirse, bu hizmetler işlemci gücü gerektireceği için bir miktar performans düşüşü yaşanabilir. Doğru donanım seçimi ve optimize edilmiş kurallar bu etkiyi minimize eder.

• 3. UniFi Controller'da LAGG (LACP) ayarları nasıl yapılır?

  UniFi Controller arayüzüne giriş yapın. "Devices" (Cihazlar) bölümüne gidin ve LAGG oluşturmak istediğiniz UniFi Switch veya UDM Pro cihazını seçin. "Ports" (Portlar) sekmesine tıklayın. LAGG'ye dahil etmek istediğiniz iki veya daha fazla portu seçin (genellikle shift tuşuna basılı tutarak). Seçim yaptıktan sonra, sağ üstte veya ilgili port ayarlarında "Aggregate" veya "Link Aggregation" seçeneğini göreceksiniz. Bu seçeneğe tıklayarak yeni bir LACP port grubu oluşturabilirsiniz. UniFi, bu portları otomatik olarak LACP modunda yapılandıracaktır. Daha sonra OPNsense tarafında da aynı portları LACP modunda yapılandırmanız gerekir.

• 4. LAGG köprüsü üzerinden VLAN trafiğini nasıl yönetirim?

  LAGG köprüsü üzerinden VLAN trafiğini yönetmek için hem UniFi Controller'da hem de OPNsense'de uygun yapılandırmalar yapmalısınız. UniFi Controller'da, LAGG grubuna dahil olan portların "Switch Port Profile" ayarlarının, tüm geçmesini istediğiniz VLAN'ları (genellikle "All" veya özel bir Trunk port profili) içerecek şekilde ayarlandığından emin olun. OPNsense tarafında ise, yönetmek istediğiniz her bir VLAN için (örneğin, o VLAN için bir ağ geçidi oluşturmak veya özel güvenlik kuralları uygulamak istiyorsanız) köprü arayüzü üzerinde bir VLAN arayüzü oluşturmanız ve bu VLAN arayüzüne bir IP adresi atamanız gerekebilir. Güvenlik duvarı kurallarını da ilgili VLAN arayüzüne göre yapılandırmalısınız.

• 5. Bu kurulumda bir sorun yaşarsam, nereden başlamalıyım?

  Sorun giderme sürecine başlarken ilk olarak fiziksel bağlantıları kontrol edin. Kabloların doğru takılı olduğundan ve LED göstergelerinin aktif olduğundan emin olun. Daha sonra OPNsense ve UniFi Controller arayüzlerinde LAGG durumunu kontrol edin. LAGG üyelerinin aktif olup olmadığını ve herhangi bir hata göstergesi olup olmadığını inceleyin. OPNsense'in güvenlik duvarı günlüklerini (Firewall Logs) kontrol ederek trafiğin neden engellendiğini anlayabilirsiniz. Ayrıca, ağdaki cihazların IP alıp almadığını kontrol etmek için basit ping testleri yapın. Unutmayın, güvenlik duvarı kuralları köprü modunda bile trafiği engelleyebilir, bu yüzden başlangıçta tüm trafiğe izin veren bir kuralın olduğundan emin olun ve sorun giderdikten sonra bu kuralları sıkılaştırın.