UniFi Network Kurulumu ve Yönetimi Rehberi: Site-to-Site VPN ile Şubeleri Birleştirme

UniFi ekosistemi, erişim noktalarından anahtarlara ve gateway'lere kadar tüm ağ bileşenlerini tek bir yönetim panelinden kontrol etmeyi mümkün kılar. Bu yazıda bir UniFi ağının sıfırdan nasıl kurulacağını, VLAN ve IP planlamasının neden kritik olduğunu ve UniFi Security Gateway üzerinde site-to-site VPN ile iki lokasyonun nasıl güvenli biçimde birleştirileceğini adım adım ele alıyoruz.

Rehber, hem merkez ofisi olan hem de şube veya uzak saha noktası işleten ekipler için hazırlandı. Anlatımda marka ve ürün ailesi adları kullanılıyor; model seçimi yaparken kendi kapasite ve port ihtiyacınıza göre hareket etmeniz gerekir.

UniFi Network Mimarisine Kısa Bir Bakış

UniFi ağında roller net biçimde ayrılır ve bu ayrım, kurulum sırasında hangi bileşene hangi görevi vereceğinizi belirler.

Temel Bileşenler

• Yönetim katmanı (controller): Ağ politikalarını, kullanıcı hesaplarını ve cihaz provizyonunu tutar. Bulut tabanlı yönetim ya da yerel bir sunucu üzerinde çalışan yazılım biçiminde kullanılabilir.
• Gateway / güvenlik ağ geçidi: Yönlendirme, NAT, güvenlik duvarı ve VPN tünellerini üstlenir. Site-to-site VPN bu katmanda sonlanır.
• Anahtar (switch): Kablolu uçları, VLAN'ları ve PoE beslemeyi taşır.
• Erişim noktası (AP): Kablosuz istemcileri ağa bağlar; SSID'ler VLAN'lara eşlenir.

Yönetim Katmanı Neden Önemli?

Tüm politika tek noktadan tanımlandığı için, bir VLAN veya güvenlik duvarı kuralı değiştiğinde bunun erişim noktasına, anahtara ve gateway'e yansıması otomatik olur. Bu merkezi yapı, çok lokasyonlu kurulumlarda tutarlılık sağlar; ancak aynı tutarlılığı şube tarafında da görmek için IP planının baştan doğru kurulması gerekir.

Kurulum Öncesi Hazırlık: IP Planı ve VLAN Tasarımı

Site-to-site VPN projelerinde en sık görülen sorun, tünelin kurulmaması değil; tünel kurulup trafiğin yanlış yere gitmesidir. Bunun temel nedeni örtüşen alt ağlardır.

Altın kural: Her lokasyonun alt ağları birbiriyle çakışmamalıdır. Merkezde 192.168.10.0/24 kullanılıyorsa şubede 192.168.20.0/24 gibi farklı bir blok seçilmelidir.

Örnek bir VLAN planı:

Planı hazırlarken şu üç soruyu yanıtlayın: Hangi alt ağlar VPN üzerinden görünmeli? Konuk ağı tamamen izole mi kalmalı? Yazıcı, kamera gibi cihazlar hangi VLAN'da duracak? Bu yanıtlar, ileride yazacağınız güvenlik duvarı kurallarının iskeletini oluşturur.

UniFi Network Controller Kurulumu ve Cihaz Ekleme

1. Yönetim hesabını oluşturun. Kurumsal bir e-posta ve güçlü bir parola kullanın, iki faktörlü doğrulamayı açın.
2. Controller'ı kurun. Bulut yönetimini mi yoksa yerel kurulumu mu kullanacağınıza karar verin; yerel kurulumda yedekleme planını baştan yapılandırın.
3. Site tanımlayın. Merkez ve şube için ayrı site oluşturmak, politika karmaşasını azaltır.
4. Cihazları ekleyin. Cihazlar aynı katmanda keşfedildiğinde panelde listelenir; kablolamayı yapıp cihazı ilgili siteye dahil edin.
5. Ağları (VLAN) tanımlayın. Gateway üzerinde ağ profillerini oluşturun, anahtar portlarını doğru profile atayın.
6. Kablosuz ağları yayınlayın. SSID'leri ilgili VLAN'lara eşleyin; konuk ağı için istemci izolasyonunu açın.

Kurulum tamamlandıktan sonra ilk iş olarak yapılandırma yedeği alın. VPN gibi kritik değişikliklerden önce yedek almak, geri dönüş süresini dakikalara indirir.

Site-to-Site VPN: Doğru Yöntemi Seçmek

UniFi tarafında iki lokasyonu birleştirmenin iki yaygın yolu vardır: platformun otomatik VPN özelliği ve manuel IPsec tüneli.

Otomatik VPN (Auto VPN)

Her iki uçta da aynı üreticinin gateway'leri varsa, tüneller çoğunlukla birkaç tıklamayla kurulur. Alt ağlar, anahtarlar ve yönlendirme otomatik yönetilir; yeni bir şube eklendiğinde mevcut yapıya hızla entegre olur. Yönetim yükü düşüktür.

Manuel IPsec Tüneli

Bir uçta farklı bir marka firewall varsa ya da şifreleme parametreleri üzerinde tam kontrol isteniyorsa manuel IPsec tercih edilir. IKEv2, AES-256 ve SHA-256 gibi parametreler iki uçta birebir eşleşmelidir.

Adım Adım IPsec Site-to-Site Tünel Yapılandırması

1. WAN adreslerini netleştirin. Sabit IP yoksa dinamik DNS kullanın; iki uçta da aynı kayıt tipini tercih edin.
2. VPN profilini oluşturun. Gateway arayüzünde VPN bölümüne gidin ve yeni bir site-to-site tüneli başlatın.
3. Uzak ağları girin. Karşı tarafın alt ağlarını tek tek tanımlayın; tüm özel ağları tek kalemde vermek yerine yalnızca erişilmesi gereken blokları yazın.
4. Şifreleme parametrelerini eşleştirin. IKE sürümü, şifreleme algoritması, hash ve Diffie-Hellman grubu iki uçta aynı olmalı.
5. Ön paylaşımlı anahtarı güvenli saklayın. Uzun, rastgele bir dize kullanın ve parola yöneticisinde tutun.
6. Güvenlik duvarı kurallarını yazın. Tünel arayüzünden gelen trafiğe yalnızca gerekli servisler için izin verin.
7. Testi yapın. Karşı uçtaki bir sunucuya ping atın, ardından gerçek bir uygulama trafiği deneyin. Tünel "up" görünse de yönlendirme hatası olabileceğini unutmayın.

Tünel Çalışmıyorsa İlk Bakılacaklar

• Alt ağ çakışması var mı?
• Ön paylaşımlı anahtar iki uçta birebir aynı mı?
• IKE faz 1 tamamlanıyor mu, faz 2'de mi takılıyor?
• Güvenlik duvarı kuralı tünel arayüzünü mü yoksa WAN arayüzünü mü hedefliyor?

Yönlendirme ve Güvenlik Duvarı Politikası

VPN tüneli açıldığında iki lokasyon tek bir düz ağ gibi davranmamalıdır. En az yetki ilkesiyle ilerleyin: merkezdeki sunucu VLAN'ına şubeden erişim tanımlanırken, konuk ağından merkeze hiçbir erişim verilmemelidir.

Pratik yaklaşım şudur: önce tüm tüneller arası trafiği varsayılan olarak reddedin, sonra ihtiyaç duyulan servisleri (dosya paylaşımı, ERP, yazıcı yönetimi) tek tek izin listesine alın. Bu yöntem, ileride "hangi kural ne için açılmıştı" sorusunu da ortadan kaldırır.

Kablosuz Backhaul: VPN'in Tamamlayıcısı

Fiber veya kiralık hat çekilemeyen sahalarda site-to-site bağlantının fiziksel katmanı kablosuz olarak kurulabilir. Bu durumda IPsec tüneli, kablosuz köprünün üzerinden çalıştırılır; şifreleme yine gateway'de sonlanır.

Anten seçimi mesafeye ve topolojiye göre yapılır:

• RF Elements StarterDish 27 UM Parabolik Çanak Anten, 27 dBi — uzun mesafeli noktadan noktaya bağlantılarda yüksek kazanç sağlar.
• RF Elements AS-5-20 5 GHz Sektör Anteni, 20 dBi — tek noktadan birden fazla sahayı besleyen PTMP kurguları için uygundur.
• RF Elements SH-TP-5-60 Simetrik Horn Anten, 13.2 dBi, TwistPort — yoğun girişim olan ortamlarda daha temiz bir kapsama profili sunar.
• RF Elements TwistPort Adaptör V2 - Ubiquiti Rocket 5AC-PTP/PTMP — mevcut radyo cihazlarını TwistPort antenlerle buluşturur.

Kablosuz köprü kurarken dikkat edilmesi gereken nokta, tünelin her iki uçta da aynı alt ağ planına oturmasıdır. Bağlantı kalitesi düştüğünde IPsec yeniden anahtar üretmek isteyeceği için, link bütçesini ve görüş hattını (line of sight) önceden doğrulamak gerekir.

İzleme, Yedekleme ve Bakım

Trafik grafiklerini izlerken yalnızca toplam bant genişliğine değil, tünelin yeniden kurulma sayısına da bakın. Sık yeniden kurulan bir tünel, genellikle kararsız bir WAN bağlantısına veya uyuşmayan yaşam süresi (lifetime) ayarlarına işaret eder.

Sık Sorulan Sorular

Site-to-site VPN için iki uçta da aynı marka cihaz olması şart mı?

Hayır, şart değildir. IPsec standart bir protokol olduğu için farklı üreticilerin güvenlik duvarları arasında tünel kurulabilir. Bu durumda IKE sürümü, şifreleme algoritması, hash yöntemi ve anahtar değişim grubu gibi parametrelerin iki uçta birebir aynı olması gerekir. Aynı üreticinin otomatik VPN özellikleri ise kurulum kolaylığı sağlar ancak zorunlu değildir.

Tünel bağlantısı kuruluyor ama şubedeki cihazlar merkeze ulaşamıyor, sebebi ne olabilir?

En yaygın neden yönlendirme veya güvenlik duvarı kuralı eksikliğidir. Tünel arayüzü ayakta olsa bile, merkez tarafında şube alt ağını kapsayan bir kural tanımlanmamışsa dönüş trafiği engellenir. Ayrıca iki lokasyonun alt ağlarının çakışması da bu belirtiyi verir; her saha için farklı bir adres bloğu kullanılmalıdır.

Aynı alt ağ bloğu iki şubede kullanılırsa ne olur?

VPN tüneli üzerinden yönlendirme yapılamaz hale gelir; gateway hangi 192.168.x.0/24 ağının yerel, hangisinin uzak olduğunu ayırt edemez. Bu durumda ya bir lokasyonun adres planı yeniden numaralandırılmalı ya da çift yönlü NAT gibi geçici çözümler uygulanmalıdır. Kalıcı ve sağlıklı yaklaşım, adres planını baştan çakışmayacak şekilde tasarlamaktır.

Otomatik VPN mi yoksa manuel IPsec mi tercih edilmeli?

İki uç da aynı ekosistemdense ve özel şifreleme gereksinimleri yoksa otomatik VPN daha az bakım gerektirir. Buna karşılık üçüncü taraf bir firewall, katı uyumluluk kuralları veya özel parametre ihtiyacı varsa manuel IPsec yapılandırması gerekir. Karar verirken kurulum süresinden çok, uzun vadeli yönetim yükünü değerlendirmek gerekir.

VPN tüneli internet hızını ne kadar düşürür?

Düşüş miktarı gateway'in şifreleme kapasitesine, tünelden geçen trafiğin hacmine ve paket boyutlarına bağlıdır. Şifreleme işlemi işlemci üzerinde ek yük oluşturduğu için, tünel üzerinden yapılan büyük dosya transferleri düz bağlantıya göre daha düşük hız verebilir. Kritik ve yoğun trafik için tünelden geçecek servisleri sınırlamak performansı belirgin biçimde artırır.

Dincnet ile Ağınızı Doğru Temelden Kurun

UniFi Network kurulumu ve site-to-site VPN yapılandırması, doğru IP planı ve doğru donanım seçimiyle uzun yıllar sorunsuz çalışan bir altyapıya dönüşür. Dincnet.com üzerinde kablosuz backhaul ve anten çözümlerinden ağ ekipmanlarına kadar ihtiyacınıza uygun ürünleri inceleyebilir, saha yapınıza en uygun kombinasyonu kolayca oluşturabilirsiniz.