İçeriğe atla
Bilgi Merkezi/Makale
Makale

VLAN Nedir? Sanal Yerel Ağ, Trunk ve Access Port

VLAN'ın switch altyapısını ayrı yayın alanlarına nasıl böldüğünü, 802.1Q etiketini, trunk ve access portu, VLAN hopping önlemlerini ve VXLAN'ı anlattık.

Oğuzhan Gerçek··7 dk okuma
VLAN Nedir? Sanal Yerel Ağ, Trunk ve Access Port

Kısa cevap: VLAN (virtual LAN, sanal yerel ağ), aynı fiziksel switch altyapısını ayrı mantıksal ağlara bölen yöntemdir; standardı IEEE 802.1Q. Her VLAN ayrı bir yayın alanıdır (broadcast domain) ve genellikle bir IP alt ağına karşılık gelir. Access port tek bir VLAN'a üyedir; trunk port ise birden çok VLAN'ı, çerçevelere 802.1Q etiketi ekleyerek tek bağlantıdan taşır. VLAN'lar arası trafik router ya da katman 3 switch üzerinden geçer. 12 bitlik VLAN ID'si en fazla 4.094 VLAN'a izin verir; çok kiracılı veri merkezlerinde bu sınırı VXLAN aşar.

VLAN nedir?

VLAN'ın standardı, köprüleri ve köprülü ağları (bridges and bridged networks) tanımlayan IEEE 802.1Q; yürürlükteki sürümü Aralık 2022'de yayımlandı. Cisco'nun tanımıyla VLAN, kullanıcıların fiziksel konumundan bağımsız olarak işleve, proje ekibine ya da uygulamaya göre mantıksal olarak bölünmüş bir switch ağıdır.

VLAN'ın LAN içindeki yerini ve örnek bir bölümleme tasarımını LAN yazımızda anlattık; switch'in işleyişi switch yazımızın konusu. Ağın kısa tanımı sözlüğümüzde var.

VLAN ne işe yarar? Yayın alanını bölmek

Cisco'ya göre bir VLAN'da unicast, broadcast ve multicast paketleri yalnızca o VLAN'daki cihazlara iletilir. RFC 7348 (Ağustos 2014) de VLAN'ın temel işlevini yayın yalıtımı olarak tarif ediyor: 12 bitlik VLAN ID'si, katman 2 ağını birden çok yayın alanına böler. VLAN'ın iki kullanımı daha var:

  • Ses ve veriyi ayırmak: Cisco switch'lerde IP telefona bağlı access port, ses trafiği için ayrı bir VLAN (voice VLAN) kullanacak biçimde yapılandırılabiliyor.
  • Erişimi kimliğe bağlamak: RFC 3580'e (Eylül 2003) göre 802.1X ile doğrulanan cihazın portu, RADIUS sunucusunun bildirdiği VLAN'a alınabilir.

802.1X'i, NAC'ı ve segmentasyonun güvenlik mantığını ağ güvenliği yazımızda anlattık; kısa tanım sözlüğümüzde var.

802.1Q etiketi ve VLAN ID aralığı

Cisco'nun teknik notuna göre 802.1Q, trunk üzerindeki çerçeveleri etiketlemenin IEEE standardıdır. 4 baytlık etiket, 0x8100 değerli TPID alanıyla çerçevenin etiketli olduğunu bildirir; IEEE 802.1p önceliği için 3 bitlik bir alan ve 0 ile 4095 arasında değer alan 12 bitlik VLAN ID (VID) taşır.

12 bit 4.096 değer verir, ama hepsi kullanılmaz. Cisco'nun Catalyst kılavuzunda VLAN'lar 1 ile 4094 arasındaki numaralarla tanımlanıyor; Juniper belgelerine göre VLAN ID 0, çerçevenin yalnızca önceliğini işaretlemek için ayrılmış. Cisco switch'lerde 1-1005 normal, 1006-4094 genişletilmiş aralık sayılıyor; VLAN 1 varsayılan VLAN.

Access port, trunk port ve native VLAN

  • Access port: Cisco'ya göre statik access port tek bir VLAN'a üyedir ve o VLAN'a elle atanır; uç cihazlar buraya bağlanır.
  • Trunk port: Cisco'ya göre Ethernet trunk'ları birden çok VLAN'ın trafiğini tek bağlantıdan taşır ve VLAN'ları bütün ağa yayar. Trunk, switch'i başka bir switch'e, router'a ya da sanallaştırma sunucusuna bağlar ve varsayılan olarak 1-4094 arasındaki bütün VLAN'lara izin verir.
  • Native VLAN: 802.1Q trunk'ında etiketsiz taşınan çerçeveler native VLAN'a sayılır. Cisco'da varsayılan native VLAN, VLAN 1'dir ve trunk'ın iki ucunda aynı olmalıdır.

Cisco'da portun trunk olup olmayacağını DTP (Dynamic Trunking Protocol) pazarlıkla belirleyebilir: varsayılan dynamic auto modunda port, karşı taraf trunk ya da desirable modundaysa trunk'a döner. VLAN hopping riskinin bir kaynağı bu.

VLAN'lar arası yönlendirme: router-on-a-stick ve katman 3 switch

VLAN'lar arası haberleşme bir yönlendirme cihazı gerektirir; Cisco iki yol anlatıyor:

  • Router-on-a-stick: Router switch'e tek bir trunk ile bağlanır ve her VLAN için bir alt arayüz (subinterface) açılır; cihazların varsayılan ağ geçidi bu alt arayüzlerin adresidir (Cisco). VLAN'lar arası bütün trafik bu tek bağlantıdan router'a gidip geri döner.
  • Katman 3 switch: Yönlendirmeyi switch'in her VLAN için tanımlanan sanal arayüzü (SVI) yapar; Cisco'nun örneğinde cihazların varsayılan ağ geçidi, VLAN arayüzünün IP adresidir.

Yönlendirme açılınca VLAN'lar birbirine IP üzerinden ulaşabilir; ayrımı korumak için aradaki trafik kurallarla süzülmelidir (firewall yazımız). Katman 3 switch'i switch yazımızda, router ile switch farkını router yazımızda ele aldık.

VLAN ve alt ağ (subnet), DHCP relay

VLAN katman 2'de, alt ağ katman 3'te tanımlanır. Cisco'ya göre VLAN'lar genellikle IP alt ağlarıyla ilişkilendirilir: belirli bir alt ağdaki bütün cihazlar aynı VLAN'dadır. Örneğin VLAN 10 kullanıcıların 10.10.10.0/24, VLAN 20 sunucuların 10.10.20.0/24 alt ağı olabilir.

RFC 2131'e göre istemci, adres isteğini (DHCPDISCOVER) kendi fiziksel alt ağına yayın olarak gönderir. Yayın VLAN'ın dışına çıkmadığından DHCP sunucusu başka bir VLAN'daysa araya, mesajı öteki alt ağdaki sunucuya ileten bir relay agent konur; ayrıntısını DHCP yazımızda anlattık.

VLAN hopping ve önlemleri

VLAN hopping, çerçevelerin router'a uğramadan bir VLAN'dan ötekine geçirilmesidir; Cisco'nun bir belgesi 802.1Q'da native VLAN'ın örtük etiketlenmesinin bunu mümkün kılabileceğini yazıyor. İki biçimi var:

  • Switch spoofing: Kullanıcı portu DTP pazarlığına açık kalırsa, karşıdaki cihaz portu trunk'a çevirebilir; trunk varsayılan olarak bütün VLAN'lara üye olduğundan bu cihaz hepsinin trafiğine ulaşır.
  • Double tagging: Cisco'nun Mayıs 2008 tarihli kampüs tasarım kılavuzuna göre native VLAN'ı bilen saldırgan, iki 802.1Q etiketli bir çerçeve hazırlayabilir: dış etiket native VLAN'da sökülür, sonraki switch iç etiketi okuyup çerçeveyi hedef VLAN'a koyar. Saldırı tek yönlüdür.

Kılavuzdaki ve Catalyst belgelerindeki önlemler şunlar:

  1. Kullanıcı portlarında trunk'ı ve DTP pazarlığını kapatın.
  2. Native VLAN'ı kullanılmayan bir VLAN ID'sine taşıyın ya da native VLAN'ı da etiketleyin.
  3. Kullanılmayan VLAN'ları trunk'lardan çıkarın.

Bu önlemleri ağ güvenliği hizmetimizde ele alıyoruz.

VLAN'ın ölçek sınırı ve veri merkezinde VXLAN

RFC 7348'e göre 4.094 VLAN birçok veri merkezine yetti, ama çok kiracılı bulut sistemlerinde çoğu zaman yetersiz kalıyor; bazı veri merkezleri spanning tree (STP) yüzünden VLAN sayısını ayrıca sınırlıyor.

RFC 7348'in tanımladığı VXLAN (Virtual eXtensible LAN), Ethernet çerçevesini UDP içine koyarak katman 2 ağını IP ağı üzerinden taşıyan bir overlay yöntemidir. Her VXLAN bölümü 24 bitlik bir kimlikle (VNI) tanımlanır; bu, yaklaşık 16 milyon bölüm demek. IANA'nın VXLAN'a atadığı port UDP 4789. RFC saldırılara karşı özel bir önlem içermiyor ve kimlik doğrulama ile şifreleme için IPsec'i gösteriyor.

NIST'in Mart 2016 tarihli SP 800-125B rehberi, yüzlerce sanallaştırma sunucusu ve binlerce sanal makine barındıran veri merkezlerine overlay ağ öneriyor; VXLAN trafiğinin de fiziksel ağda VLAN gibi bir yöntemle ayrılmasını istiyor. Veri merkezini veri merkezi yazımızda anlattık; ağ sanallaştırmanın kısa tanımı sözlüğümüzde var. Bu altyapı veri merkezi ve altyapı mühendisliği hizmetimizin kapsamında.

VLAN ile mikrosegmentasyon farkı

VLAN kaba bir bölmedir: aynı VLAN'daki cihazlar birbirine doğrudan ulaşır. Onları da ayırmanın bir yolu, cihazları aynı alt ağda tutup katman 2'de yalıtan private VLAN'dır (RFC 5517, Şubat 2010). CISA'nın 29 Temmuz 2025 tarihli mikrosegmentasyon rehberine göre kurumlar ağ denetimini geleneksel olarak IP adres aralıkları, VLAN'lar ve statik kurallarla bağlantıyı kabul ya da reddeden cihazlarla kurdu. Mikrosegmentasyon bölümleri küçültür ve erişim kuralını IP adresinin ötesindeki özniteliklere bağlar; amaç, ele geçirilen bir cihazdan yanal hareketi (lateral movement) sınırlamak. Kavramın NIST tarifini ağ güvenliği yazımızda verdik; VLAN tasarımı ise ağ ve trafik mühendisliği hizmetimizin konusu.

Sık sorulan sorular

VLAN ne demek? Virtual LAN, yani sanal yerel ağ demek: tek bir fiziksel switch altyapısını ayrı mantıksal ağlara bölen yöntem.

VLAN ne işe yarar? Yayın trafiğini bölümlere ayırır; kullanıcıları, sunucuları ve misafir ağını birbirinden ayırarak aralarındaki trafiğin kurallarla denetlenmesini sağlar.

Trunk port nedir? Birden çok VLAN'ın trafiğini, çerçevelere 802.1Q etiketi ekleyerek tek bağlantıdan taşıyan porttur; switch'leri birbirine ya da router'a bağlar.

Access port ile trunk port arasındaki fark nedir? Access port tek bir VLAN'a üyedir ve uç cihazı bağlar. Trunk port birden çok VLAN'ı taşır ve ağ cihazlarını birbirine bağlar.

Native VLAN nedir? 802.1Q trunk'ında etiketsiz taşınan çerçevelerin VLAN'ıdır. Cisco'da varsayılan olarak VLAN 1'dir; kullanılmayan bir VLAN'a taşınması önerilir.

VLAN ile VXLAN arasındaki fark nedir? VLAN, 12 bitlik kimlikle en fazla 4.094 ağ tanımlar. VXLAN çerçeveleri IP ağı üzerinden taşır ve 24 bitlik kimliğiyle yaklaşık 16 milyon bölüm tanımlayabilir.

Kaynaklar