İçeriğe atla
Bilgi Merkezi/Makale
Makale

Switch (Ağ Anahtarı) Nedir? Türleri ve Router'dan Farkı

Switch'in MAC adres tablosuyla nasıl çalıştığını, katman 2 ve 3 farkını, PoE'yi, STP ve LACP'yi, leaf-spine mimarisini ve güvenliğini anlattık.

Oğuzhan Gerçek··7 dk okuma
Switch (Ağ Anahtarı) Nedir? Türleri ve Router'dan Farkı

Kısa cevap: Switch (ağ anahtarı), aynı yerel ağdaki cihazları birbirine bağlayan ve her çerçeveyi yalnızca hedef cihazın bağlı olduğu porta ileten ağ cihazıdır. Hangi cihazın hangi portta olduğunu çerçevelerin kaynak MAC adresinden öğrenir. Katman 2 switch MAC adresine bakar; katman 3 switch IP adresine göre de iletir ve VLAN'lar arasında yönlendirme yapabilir. Yönetilen switch'ler VLAN, trafik önceliklendirme ve port güvenliği gibi ayarlar sunar; PoE'li modeller bağlı cihazı kablodan besler. Router'dan farkı, ağlar arasında değil bir ağın içinde çalışmasıdır.

Switch nedir?

Cloudflare'in tanımıyla switch, cihazlar arasında veri paketlerini iletir; Cisco'ya göre bağlı cihazların bilgi paylaşmasını ve birbiriyle konuşmasını sağlar. Router, access point ve kablolama gibi LAN'ın öteki bileşenlerini LAN yazımızda anlattık; switch'in kısa tanımı sözlüğümüzde, ağ kavramınınki network maddesinde var.

Switch nasıl çalışır? MAC adres tablosu

Cloudflare'e göre katman 2 switch, MAC adreslerini Ethernet portlarıyla eşleştiren bir tabloyu bellekte tutar:

  1. Öğrenme: Bir porttan çerçeve geldiğinde switch, çerçevenin kaynak MAC adresini ve geldiği portu tabloya yazar.
  2. İletme: Cisco'nun anlatımıyla hedef MAC adresi tabloda varsa çerçeve yalnızca o adresle eşleşen porttan çıkar.
  3. Taşırma (flooding): Hedef tabloda yoksa switch çerçeveyi aynı VLAN'daki öteki bütün portlara gönderir. Yayın (broadcast) çerçeveleri de bütün portlara taşırılır.
  4. Yaşlandırma (aging): Kayıtlar süresiz tutulmaz; Cisco'nun komut başvurusuna göre varsayılan yaşlanma süresi 300 saniyedir.

Hub ise öğrenmez: Cisco'nun tarifiyle OSI'nin 1. (fiziksel) katmanında çalışan hub, kablodaki sinyali öteki portlara aktarır ve bağlı cihazlar bant genişliğini paylaşır. Switch'te her cihaz kendine ait bir bant genişliği kullanır.

Katman 2 ve katman 3 switch

Cloudflare'e göre katman 2 switch hedef MAC adresine, katman 3 switch hedef IP adresine göre iletir; bazı switch'ler ikisini birden yapar. Fark VLAN'larda ortaya çıkar: Cisco'nun belgesine göre katman 2 switch'ler, VLAN'lar arası iletişim için bir katman 3 yönlendirme cihazına ihtiyaç duyar ve bu cihaz switch'in içinde de olabilir. VLAN'lar arası yönlendirmenin iki yolunu, router-on-a-stick'i ve sanal arayüzlü (SVI) katman 3 switch'i VLAN yazımızda anlattık.

Yönetilen ve yönetilmeyen switch

Cisco'ya göre yönetilmeyen (unmanaged) switch, yapılandırma gerektirmeden takılıp çalışır ve genellikle temel bağlantı içindir; Cloudflare'in ifadesiyle yerel ağa yeni Ethernet portları ekler. Yönetilen (managed) switch ise ağa göre yapılandırılır. Cisco'ya göre daha fazla güvenlik, özellik ve esneklik sunar; Cloudflare'e göre yöneticiye trafiğin önceliklendirilmesi üzerinde çok daha fazla denetim verir ve VLAN kurmaya imkân tanır.

PoE: switch üzerinden cihazlara elektrik

PoE'de (Power over Ethernet) switch portu, veri kablosu üzerinden bağlı cihaza elektrik de verir; LAN yazımızda değindiğimiz access point'ler ve IP telefonlar gücünü böyle alabilir. Haziran 2003'te onaylanan IEEE 802.3af, güç vermeden önce bir algılama adımı öngörür; böylece uyumsuz cihaza güç verilip zarar verilmez. Sonraki standartlar porttan verilebilen gücü artırdı:

  • IEEE 802.3at (PoE+, 2009): Cisco'ya göre bir cihazın çekebileceği en yüksek gücü port başına 15,4 W'tan 30 W'a çıkardı.
  • IEEE 802.3bt (2018): IEEE'ye göre kablodaki dört çiftin hepsini kullanarak cihaza ulaşan gücü artırdı. Cisco'ya göre Type 3 cihazlara 60 W'a, Type 4 cihazlara 90 W'a kadar güç verilebiliyor.

Switch'in PoE'ye ayırabileceği toplam güç ise sınırlı: Cisco'ya göre switch bu güç bütçesini izler ve bütçe aşılacaksa porta güç vermez.

Döngü önleme ve bağlantı birleştirme: STP ve LACP

Switch'ler arasına çekilen yedek bağlantı bir döngü (loop) kurar. Cisco'nun anlatımıyla döngüde yayın gibi taşırılan çerçeveler switch'ten switch'e sonsuza kadar dolaşır ve katlanarak çoğalabilir. Spanning Tree Protocol (STP) bunu önler: Cisco'ya göre iki cihaz arasında yalnızca tek bir etkin yol bırakır; fazla yollardaki portlar engellenir, bir bağlantı koparsa engelli port iletmeye geçebilir.

STP, IEEE 802.1D (MAC Bridges) standardında tanımlandı. Cisco'ya göre bu standart, kesintiden sonra bağlantının bir dakika kadar içinde geri gelmesinin yeterli sayıldığı bir dönemde tasarlandı; 2001'de yayımlanan 802.1w (Rapid STP) ise doğru yapılandırılmış bir ağda bazen birkaç yüz milisaniyede yakınsar. 802.1w önce 802.1D-2004'e katıldı, 802.1D-2004'ün yerini de 802.1Q aldı (güncel sürüm: 802.1Q-2022).

Bağlantı birleştirme (link aggregation) ise yedek bağlantıyı boşta bekletmez. IEEE 802.1AX-2020'ye göre paralel bağlantılar tek bir bağlantıymış gibi kullanılır; IEEE 802.1 çalışma grubuna göre bu, hem toplam bant genişliğini hem arızalara karşı dayanıklılığı artırır. Grup iki uçta elle tanımlanabilir ya da LACP ile kendiliğinden kurulur; Microsoft'a göre LACP, IEEE 802.1AX'te tanımlıdır ve eskiden IEEE 802.3ad adıyla bilinirdi. Cisco'ya göre bir bağlantı koparsa trafik kendiliğinden kalanlara geçer; STP de grubu tek bir port olarak görür.

Veri merkezinde leaf-spine mimarisi

RFC 7938'e (Ağustos 2016) göre geleneksel veri merkezi ağı, yedekli bağlantıları olan üç hiyerarşi katmanlı ters bir ağaca benzer. Yakın zamana kadar trafiğin çoğunun veri merkezine girip çıkması (kuzey-güney) yaygındı; bugün pek çok büyük veri merkezinde sunucular arasında önemli miktarda doğu-batı trafiği var.

RFC'de "Leaf and Spine" diye de anılan Clos topolojisinde sunucular raf üstündeki (top-of-rack) leaf switch'lere bağlanır; Cisco'nun ACI kurulum rehberine göre her leaf switch'in her spine switch'e bağlantısı olmalıdır. RFC 7938'e göre bu yapıda yük paylaşımının temeli ECMP'dir (equal-cost multipath) ve kapasite, aynı türden cihaz ve bağlantı eklenerek yatay büyütülebilir. STP'nin etkin/yedek yol seçimi ise yatay ölçeklenen yapılarda kurulumu zorlaştırıyor; RFC'nin ifadesiyle STP'li tasarımlar büyük işletmecilerin gereksinimlerini genellikle karşılamıyor.

Tesis tarafını veri merkezi yazımızda, kabin ve kablolama tasarımını veri merkezi ve altyapı mühendisliği hizmetimizde ele alıyoruz.

Switch güvenliği: port security, 802.1X ve DHCP snooping

Yönetilen switch'lerde ağa fiziksel girişi denetleyen üç temel özellik var:

  • Port security: Cisco'ya göre bir porttan girişi, izin verilen cihazların MAC adreslerini sınırlayıp tanımlayarak kısıtlar. Varsayılan ayarda port tek bir güvenli MAC adresine izin verir; sınır aşılırsa port kapanır.
  • 802.1X: IEEE 802.1X ile cihaz, porttan iletişim kurmadan önce kimliğini doğrulatır; NAC ile birlikte ağ güvenliği yazımızda anlattık.
  • DHCP snooping: Cisco'ya göre güvenilmeyen DHCP mesajlarını süzer ve varsayılan olarak kapalıdır. Sahte DHCP sunucusuna karşı nasıl çalıştığını DHCP yazımızda ele aldık.

Varsayılan parola ve güncelleme kuralları switch için de geçerlidir (router yazımız). Kampüs ve şube switch'lerinin tasarımını ağ ve trafik mühendisliği, günlük işletimini altyapı yönetimi hizmetimizde ele alıyoruz.

Switch ile router arasındaki fark

Aynı switch'e ve aynı VLAN'a bağlı cihazlar aynı yayın alanını (broadcast domain) paylaşır: switch yayın çerçevelerini bütün portlarına taşırır. Router bu alanın sınırıdır; RFC 919'a (Ekim 1984) göre 255.255.255.255 adresine gönderilen yayın yerel ağa aittir ve iletilmez. Yönlendirme tablosunu ve modemle farkı router yazımızda anlattık; aynı switch üzerinde birden fazla yayın alanı kurmanın yolu ise VLAN'dır.

Sık sorulan sorular

Switch ne işe yarar? Aynı yerel ağdaki bilgisayar, sunucu, yazıcı ve access point gibi cihazları birbirine bağlar; her çerçeveyi yalnızca hedefin portuna iletir.

Switch ile hub arasındaki fark nedir? Hub gelen sinyali bütün portlara aktarır ve cihazlar bant genişliğini paylaşır. Switch hangi cihazın hangi portta olduğunu öğrenir ve trafiği yalnızca ilgili porta gönderir.

Switch ile router arasındaki fark nedir? Switch tek bir yayın alanının içinde çalışır ve çerçeveleri MAC adresine göre iletir. Router yayın alanlarının sınırında durur ve paketleri IP adresine göre başka ağlara yönlendirir.

Yönetilen (managed) switch nedir? Ağa göre yapılandırılabilen switch'tir: VLAN, trafik önceliklendirme ve güvenlik ayarlarını destekler. Yönetilmeyen switch ise ayar gerektirmeden takılıp çalışır.

PoE switch nedir? Veri kablosu üzerinden bağlı cihaza elektrik de veren switch'tir; IP telefon ve access point gibi cihazlar ayrı adaptöre gerek duymadan çalışabilir.

Katman 3 switch nedir? MAC adresinin yanında IP adresine göre de iletim yapan, böylece VLAN'lar arasında yönlendirme üstlenebilen switch'tir.

Kaynaklar