Kapalı Ağ Mimarisi — Tasarım Notları

Savunma sanayii tedarik zincirinde yer alan firmalar için "internete çıkmayan ağ" bir tercih değil, sözleşme gereğidir. Ama kapalı ağ yalnızca kabloyu çekmemek demek değildir; işletilebilir bir kapalı ağ, kendi güncelleme, kimlik ve yedekleme düzenini de beraberinde ister. Kapalı ve açık ağ mimarisi projesinde iki firma için bu yapıyı uçtan uca kurarken şekillenen notlarım.

İki ağ, iki ayrı dünya

Temel ilke basit: üretim (kapalı) ağı ile ofis (açık) ağı birbirine güvenmez. Bunu sağlarken verdiğim kararlar:

• Yalıtım mümkünse fiziksel olmalı — ayrı switch, ayrı kablolama. VLAN yalnızca aynı güvenlik seviyesindeki alt bölümlemede kullanılır; iki dünya arasındaki sınır VLAN'a emanet edilmez.
• Açık ağın kendi içinde de segmentasyon gerekir: sunucu, istemci, misafir ve yönetim trafiği ayrı VLAN'larda, aralarındaki geçiş güvenlik duvarı politikalarıyla tanımlı.
• Güvenlik duvarında varsayılan tavır deny-all; her izin kuralı bir ihtiyaca ve sorumluya bağlanır.

Kapalı ağın kendi kimliği olmalı

Kapalı ağ, açık ağdaki Active Directory'ye uzanamayacağına göre kendi etki alanına ihtiyaç duyar. Bu, başta fazladan iş gibi görünse de doğru olan bu: iki ağın kimlik altyapısı birbirinden bağımsız yaşar, birindeki bir ihlal diğerine köprü kuramaz. Aynı bağımsızlık dosya sunucusu ve yedekleme için de geçerli — kapalı ağın verisi kapalı ağın içinde yedeklenir.

En zor soru: güncellemeler içeri nasıl girer?

İnternete çıkmayan ağın en büyük işletme maliyeti güncelleme yönetimidir. Pratikte işleyen düzen şu:

1. Güncellemeler açık tarafta, yalnızca bu iş için ayrılmış bir makinede indirilir (WSUS offline senaryosu, üretici imzalı paketler).
2. Aktarım tek yönlü ve prosedüre bağlı yapılır: belirlenmiş, taranmış ve kaydı tutulan bir taşıma ortamı; "bugünlük USB'yle atıveririm" yok.
3. İçeride paketler önce test makinesinde, sonra yaygında uygulanır.

Bu döngünün takvime bağlanması (örneğin aylık) hem uyumluluk denetiminde kanıt üretir hem de "kapalı ağ = güncellenmeyen ağ" tuzağını kapatır.

Uçtan uca teslim ne demek?

Bu tür projelerde "kurulum bitti" ile "teslim edildi" arasındaki fark dokümantasyondur. Teslim ettiğim yapıda şunlar yazılı olarak yer aldı:

• Ağ topolojisi ve adresleme planı
• Güvenlik duvarı kural setinin gerekçeleriyle dökümü
• Yedekleme ve geri dönüş prosedürü
• Kapalı ağa veri sokma/çıkarma prosedürü

Bunlar olmadan yapı, kuran kişinin hafızasında yaşar; o kişi gittiğinde de yapı fiilen yönetilemez hale gelir.

Sonuç

Kapalı ağ tasarımının özü, kısıtı işletilebilir bir düzene çevirmek: yalıtımı fiziksel kur, kimliği ve yedeği içeride tut, dış dünyayla teması prosedüre bağla ve hepsini yazılı teslim et. Standartların istediği de, sahada işleyen de bu.