Ağ Topolojisi Diyagramı: Ofis LAN'ı, Siteler Arası VPN ve Bulut VPC'si

Üç kişiden ağ diyagramını isteyin, üç farklı resim alırsınız: kabinin bir fotoğrafı, IP adreslerinden oluşan bir tablo ve bir bulut konsolu ekran görüntüsü. Hiçbiri bir incelemede ya da kesintide sorulan soruları yanıtlamaz: hangi segmentler var, ne neyle konuşabilir ve trafik ofis ile bulut arasında nasıl gider?

Bu rehber, tipik bir küçük şirket için mantıksal bir ağ topolojisi diyagramı kuruyor: Wi-Fi'lı bir ofis LAN'ı ve bir bulut VPC'sine siteler arası VPN. Böyle bir diyagramı okunaklı tutan kuralları da ele alıyor.

Fiziksel mi, mantıksal mı

Konuşmaların çoğu mantıksal görünüme ihtiyaç duyar. Fiziksel olanı kabinde çalışan kişilere bırakın ve ikisini aynı sayfada karıştırmayın: güvenlik duvarı politikasının yanındaki port numaraları ikisini de okumayı zorlaştırır.

Yaygın topolojiler, kısaca

• Yıldız. Her cihaz merkezi bir anahtara bağlanır. Neredeyse her ofis LAN'ı bir yıldız ya da yıldızlardan oluşan bir ağaçtır.
• Örgü (mesh). Düğümler birkaç başka düğüme bağlanır; böylece trafiğin birden fazla yolu olur. Çekirdek anahtarlar arasında, veri merkezi fabric'lerinde ve Wi-Fi mesh sistemlerinde yaygındır.
• Hibrit. Gerçek ağlar ikisini birleştirir: uçta yıldızlar, çekirdekte yedekli bağlantılar, siteler arasında tüneller.

Bus ve halka topolojileri modern LAN'larda büyük ölçüde tarihe karıştı.

Örnek: bir ofis ve bir bulut VPC'si

40 kişilik bir şirketin ofisinde çalışan dizüstü bilgisayarları, misafir Wi-Fi'ı, bir dosya sunucusu ve yazıcılar var. İç uygulaması bir bulut VPC'sinde çalışıyor ve çalışanlar ona açık internet yerine siteler arası bir VPN üzerinden erişiyor.

Önce adres planı gelir, çünkü diyagram onun üzerine kurulur. Tüm iç aralıklar RFC 1918 içindeki özel bloklardan gelir; açık adres ise RFC 5737 içindeki dokümantasyon aralıklarından birini kullanır:

Bu planı iki kural belirler. Birincisi, ofis (10.10.0.0/16) ile VPC (10.20.0.0/16) çakışmamalıdır; aksi hâlde VPN aralarında yönlendirme yapamaz. İkincisi, ofis için 192.168.0.0/24 ve 192.168.1.0/24 kullanmayın: birçok ev yönlendiricisi bunları kullanır ve evden çalışanlar bir istemci VPN'inde bunlarla çakışır.

VLAN'lar arasında yönlendirmeyi güvenlik duvarı yapar; bu yüzden politika da onda yaşar:

Tek paragrafta siteler arası VPN

Bir IPsec VPN, tarafları doğrulamak ve anahtarlar üzerinde anlaşmak için UDP port 500 üzerinde IKE'yi, şifreli trafiği taşımak için de IP protokol 50 olan ESP'yi kullanır; yolda bir NAT varsa UDP 4500 kullanılır. AWS'de her Site-to-Site VPN bağlantısının, farklı açık IP adreslerine sahip iki tüneli vardır ve bunlar bir virtual private gateway'de ya da transit gateway'de sonlanır; bir tüneldeki bakım ofisi bağlantısız bırakmasın diye ikisini de güvenlik duvarınızda yapılandırın. Ofis tarafında sabit bir açık IP gerekir. Yönlendirme statik ya da BGP ile dinamik olur ve VPC'nin rota tablolarında 10.10.0.0/16'ya dönüş rotaları bulunmalıdır; bunlar ya virtual private gateway'den yayılır ya da elle eklenir.

Diyagram

Nasıl okunur:

• Sol üstte, uç. Ofis güvenlik duvarı sabit açık adrese sahiptir ve IPsec karşı tarafıdır. Üç VLAN arasında yönlendirme yapar ve yukarıdaki politika tablosunu uygular.
• Ortada, ofis LAN'ı. Çekirdek anahtar 10, 20 ve 30 numaralı VLAN'ları trunk olarak taşır. Erişim noktası güç ve trunk bağlantısını anahtardan alır; çalışan SSID'sini VLAN 10'a, misafir SSID'sini VLAN 20'ye eşler.
• Sağda, bulut. Kesikli kenar, VPC'ye giden iki tünelli IPsec VPN'dir. Uygulama sunucusu ve yönetilen veritabanı, internetten rota bulunmayan özel bir alt ağda durur.
• Gösterge, çizgi stillerini açıklar: Ethernet, Wi-Fi, Ethernet üzerinden güç (PoE) ve WAN.

Neler etiketlenmeli

• Her segmentin aralığı ve VLAN kimliği. 10.10.10.0/24 yazmayan "Çalışan ağı" adlı bir kutu hiçbir şeyle karşılaştırılarak kontrol edilemez.
• Ağ geçitleri ve VPN karşı tarafları. Her segmenti hangi cihazın yönlendirdiği ve tüneli hangi açık adreslerin oluşturduğu.
• Bir sınırı neyin geçebileceği. Politikayı yalnızca güvenlik duvarının yapılandırmasında değil, kenarların üzerinde ya da diyagramın yanındaki bir tabloda gösterin.
• Her kablosuz ağ için SSID'den VLAN'a eşleme.
• Önemli olduğu yerde bağlantıyı kimin başlattığı; örneğin buluttaki alt ağın yalnızca yanıt verdiği.

Neler dışarıda bırakılmalı

• Her dizüstü bilgisayar ve telefon. Her segmentte cihaz türü başına bir düğüm yeterlidir.
• Mantıksal bir diyagramda kablo renkleri ve port numaraları. Bunlar fiziksel diyagrama aittir.
• Bulut sağlayıcısının iç ayrıntıları. VPN uç noktaları virtual private gateway'e aittir; tünelin AWS tarafını çizmeniz gerekmez.

Bir gösterge kullanın

Ağ diyagramında çizgi stilleri anlam taşır, bu yüzden onları açıklayın. Ethernet, Wi-Fi, Ethernet üzerinden güç, WAN ve VPN'i gösteren küçük bir gösterge eklemek bir dakika sürer ve her yeni okuyucuyu tahmin etmekten kurtarır. Segmentleri renklendiriyorsanız renklerin ne anlama geldiğini de yazın.

Güncel tutun

Ağ diyagramları duyurulmayan ilk değişiklikte eskir. Diyagramı değişikliğin bir parçası yapın: biri bir VLAN eklediğinde, bir güvenlik duvarı kuralını değiştirdiğinde ya da bir tünel eklediğinde değişiklik kaydı güncellenmiş diyagrama link versin ve bir inceleyici ikisini de kontrol etsin. Eskimeyen mimari diyagramlar yazısı tam bunun için bir iş akışı anlatıyor. Bulut tarafının ayrıntıları için AWS VPC diyagramı rehberine, düz ofis ağını kimlik tabanlı erişimle değiştirmek için de sıfır güven mimarisi diyagramı yazısına bakın.

Archboard'da oluşturun

1. Google ya da GitHub ile giriş yapın ve bir diyagram oluşturun.
2. Ofisin ucu ve LAN'ı için Ağ paketinden İnternet, Güvenlik duvarı, Ağ anahtarı ve Kablosuz düğümleri ekleyin.
3. VLAN 10, 20 ve 30 için Ağ paketinden üç Alt ağ çerçevesi ekleyin; her birinin aralığını çerçevenin CIDR alanına yazın ve her birinin içine bir Cihaz ya da Sunucu düğümü koyun: çalışan dizüstü bilgisayarları, misafir cihazları, dosya sunucusu.
4. İçinde bir Alt ağ çerçevesi olan, Ağ paketinden bir VPC çerçevesi ekleyin ve alt ağa Bulut paketinden bir Hesaplama düğümü ile bir Yönetilen veritabanı düğümü koyun.
5. Düğümleri bağlayın ve her kenarın Bağlantı türünü (Ethernet, Wi-Fi, PoE ya da WAN) ayarlayın. VPN'i güvenlik duvarından VPC'ye giden kesikli bir kenar olarak çizin.
6. Bağlantı türleri için Ağ paketinden bir Ağ göstergesi ekleyin.

Örnek 15 diyagram düğümü kullanıyor ve Free planın sınırları içinde kalıyor. Ağ kullanım senaryosu sayfası, Ağ paketinin kapsadığı diğer şeyleri gösteriyor.

SSS

Ağ diyagramı ile ağ topolojisi diyagramı arasındaki fark nedir? Terimler çoğu zaman birbirinin yerine kullanılır. Topoloji diyagramı segmentlerin ve cihazların nasıl bağlandığını öne çıkarır; mantıksal topoloji diyagramı buna adres aralıklarını, yönlendirmeyi ve politikayı ekler.

Diyagram IP adreslerini göstermeli mi? Her segmentin aralığını, ağ geçitlerinin ve VPN karşı taraflarının adreslerini gösterin. Tek tek ana bilgisayar adresleri bir IP adres yönetim aracına aittir.

Misafirler neden ayrı bir VLAN'a konmalı? Güvenlik duvarı onlara interneti verip başka hiçbir şey vermesin diye. Ortak bir segmentte bir misafir cihazı yazıcılara, dosya paylaşımlarına ve yerel ağa güvenen her şeye ulaşabilir.

İki VPN tüneline ihtiyacım var mı? AWS'de her bağlantı iki tünelle gelir ve ikisi de cihazınızda yapılandırılmalıdır; böylece biri bakımdayken diğeri trafiği taşıyabilir.

Bir ağ diyagramı ne sıklıkla güncellenmeli? Adreslemeye, yönlendirmeye ya da güvenlik duvarı kurallarına dokunan her değişiklikte. Diyagramı bir takvime değil, değişiklik sürecine bağlayın.

Ücretsiz başlayın — tek kullanıcı, kredi kartı gerekmez.