Bilgisayar Ağları: Protokoller, Yönlendirme ve Güvenlik

Bu notların ilk sürümünü 2013 yılında Kırıkkale Üniversitesi Bilgisayar Mühendisliği lisans eğitimimde Bilgisayar Ağları dersi için hazırladım. İlk metnin odağı OSI ve TCP/IP modelleri, Ethernet, IPv4, alt ağlara bölme, anahtarlama, yönlendirme ve temel ağ servisleriydi. Sonraki teknik gözden geçirmede özgün ders sırasını korudum; IPv6, QUIC ve HTTP/3, güncel Ethernet ve Wi-Fi standartları, ağ güvenliği, VPN, SD-WAN, Segment Routing, EVPN/VXLAN, bulut ağı ve model tabanlı otomasyon gibi daha sonra olgunlaşan konuları güncel kaynaklarla ekledim. Bu nedenle 2024-2026 tarihli standart ve RFC bilgileri 2013'teki özgün notun değil, sonraki güncellemenin parçalarıdır.

Ünite 1: Ağın Temel Modeli

Ağ nedir?

Bilgisayar ağı, uç sistemlerin ortak kurallarla veri alışverişi yaptığı iletişim sistemidir. Bir ağı yalnız kablo veya kablosuz bağlantı oluşturmaz; adresleme, protokol, iletim ortamı ve ara cihazların birlikte çalışması gerekir.

Bileşenler üç grupta düşünülebilir:

• Uç sistemler: bilgisayar, sunucu, telefon, kamera, sensör, sanal makine ve konteyner iş yükü.
• Ara cihazlar: switch, router, erişim noktası, güvenlik duvarı, yük dengeleyici.
• İletim ortamı: bakır, fiber ve radyo.

Modern ağlarda fiziksel cihaz ile ağ işlevi aynı şey değildir. Router, güvenlik duvarı veya yük dengeleyici fiziksel cihazda, sanal makinede, konteyner altyapısında ya da bulut hizmeti olarak çalışabilir.

Ağ performansı

Tek başına hat hızı ağ kalitesini açıklamaz. Temel ölçüler:

• Bant genişliği: bağlantının kuramsal taşıma kapasitesi.
• Throughput: uygulamanın gerçekte elde ettiği aktarım hızı.
• Goodput: protokol başlıkları ve yeniden iletimler çıkarıldıktan sonra yararlı veri hızı.
• Gecikme: verinin uçtan uca ulaşma süresi.
• Jitter: gecikmenin zaman içindeki değişimi.
• Kayıp: teslim edilemeyen paket oranı.
• Erişilebilirlik: hizmetin kullanılabilir kalma oranı.

Toplam gecikme kabaca:

toplam gecikme =
iletim + yayılım + işleme + kuyruklama

şeklinde ayrılır.

Bant genişliğini artırmak iletim süresini azaltabilir, ancak yayılım gecikmesini ortadan kaldırmaz. Uzak kıtalar arasındaki bağlantıda fiziksel mesafe belirleyici olmaya devam eder.

Trafik türü ölçütlerin önem sırasını değiştirir. Yedeklemede toplam aktarım süresi; etkileşimli uygulamada gecikme; ses ve canlı görüntüde gecikme, jitter ve kayıp birlikte önemlidir.

Topoloji

Fiziksel topoloji cihazların ve bağlantıların gerçek yerleşimidir. Mantıksal topoloji trafiğin hangi sanal veya yönlendirilmiş yolları kullandığını gösterir.

Klasik fiziksel düzenler:

• Bus: ortak ortam. Tarihsel Ethernet için önemlidir.
• Ring: düğümler halka oluşturur.
• Star: uçlar merkezi switche bağlanır. Güncel erişim ağlarının temelidir.
• Mesh: düğümler arasında alternatif yollar bulunur.

Tam mesh bağlantı sayısı:

n(n - 1) / 2

olduğundan düğüm sayısı büyüdükçe maliyet hızla artar.

Kurumsal kampüslerde erişim, dağıtım ve çekirdek katmanları; veri merkezlerinde ise çoğunlukla leaf-spine düzeni kullanılır. Leaf-spine yapısında her leaf her spine'a bağlanır. Böylece sunucular arası doğu-batı trafiğinde yol uzunluğu daha öngörülebilir olur.

Katmanlı iletişim

Katmanlı model karmaşık iletişimi küçük sorumluluklara böler. Bir katmanın iç gerçekleştirimini değiştirmek, arabirim korunuyorsa diğer katmanların yeniden tasarlanmasını gerektirmez.

OSI modeli yedi katmanlı bir referanstır:

| Katman | Görev | | --- | --- | | 7 Uygulama | Uygulamaya ağ hizmeti | | 6 Sunum | Kodlama, biçim, şifreleme | | 5 Oturum | Oturum yaşam döngüsü | | 4 Taşıma | Uçtan uca iletişim, portlar | | 3 Ağ | IP adresleme ve yönlendirme | | 2 Veri bağlantısı | Yerel teslim ve çerçeveleme | | 1 Fiziksel | Bitlerin ortamda taşınması |

İnternet uygulamaları pratikte TCP/IP modeliyle açıklanır:

Uygulama    HTTP, DNS, DHCP, SSH, SMTP
Taşıma      TCP, UDP, QUIC'in kullandığı UDP
İnternet    IPv4, IPv6, ICMP, ICMPv6
Erişim      Ethernet, Wi-Fi, PPP

QUIC katman sınırlarının mutlak olmadığını gösterir. UDP üzerinde çalışır, ancak güvenilir aktarım, akış denetimi ve tıkanıklık denetimi gibi taşıma işlevlerini kendi içinde gerçekleştirir.

Kapsülleme

Göndericide veri aşağı katmanlara inerken her katman kendi kontrol bilgisini ekler:

uygulama verisi
      |
TCP segmenti / UDP datagramı
      |
IP paketi
      |
Ethernet veya Wi-Fi çerçevesi
      |
bitler / semboller

Alıcıda işlem ters yönde yürür.

Normal bir yönlendirme yolunda IP hedefi nihai ucu gösterir; Ethernet hedef MAC adresi ise yalnız bir sonraki Layer 2 teslim noktasına aittir. Her router yeni bir bağlantı katmanı çerçevesi üretir. NAT, tünelleme ve bazı ağ geçitleri bu basit uçtan uca görünümün açık istisnalarıdır.

LAN ve WAN

LAN sınırlı bir alanda ve genellikle tek yönetim etki alanında çalışır. WAN ayrı coğrafi ağları taşıyıcı altyapısı üzerinden birleştirir.

PAN, kampüs ağı ve metropol ağı gibi ara sınıflar tanımlanabilir. Bulut ve veri merkezinde fiziksel alan sınıflandırmasından çok, yönetim sınırı ve gecikme bütçesi önem kazanmıştır.

Ünite 2: Fiziksel İletim ve Ethernet

Bakır

Bükümlü çift kabloda tellerin birlikte bükülmesi elektromanyetik girişimi ve çiftler arası karışmayı azaltır. UTP ekranlama kullanmaz; ekranlı türler elektriksel gürültünün yüksek olduğu ortamlarda yararlıdır. Ekranlama ancak doğru topraklama ile anlamlıdır.

Yaygın sınıflar:

Cat5e    1 Gbit/s     100 m
Cat6     1 Gbit/s     100 m
Cat6A    10 Gbit/s    100 m
Cat8     25/40 Gbit/s kısa veri merkezi bağlantıları

Cat6 ile 10GBASE-T daha kısa mesafede kullanılabilir. Kablolamada toplam kanal uzunluğu, ek noktaları ve patch kabloları birlikte değerlendirilir.

T568A ve T568B aynı elektriksel amacı farklı renk sırasıyla gerçekleştirir. Bir tesiste tutarlı sonlandırma kullanmak bakım açısından daha önemlidir.

Eski Ethernet'te benzer cihazlar için çapraz kablo ayrımı gerekliydi. Auto MDI/MDIX bu gereksinimi büyük ölçüde ortadan kaldırmıştır.

Fiber

Fiber elektrik yerine ışık taşır; elektromanyetik girişimden etkilenmez.

Tek mod fiber uzun mesafe ve omurga bağlantılarında kullanılır. Çok mod fiber daha kısa bina ve veri merkezi bağlantılarında yaygındır.

Yaygın bağlayıcı ve modül aileleri:

LC, SC, MPO/MTP
SFP, SFP+, SFP28
QSFP+, QSFP28
QSFP-DD, OSFP

Optik modül seçimi yalnız hıza göre yapılmaz. Dalga boyu, fiber türü, erişim mesafesi, bağlayıcı, FEC gereksinimi ve karşı uç uyumluluğu birlikte kontrol edilir.

Ethernet hızları

Ethernet aynı MAC çerçeve modelini farklı fiziksel katmanlarla sürdürür:

100BASE-TX    100 Mbit/s
1000BASE-T    1 Gbit/s
10GBASE-T     10 Gbit/s
25G / 40G     veri merkezi
100G / 400G   fabric ve omurga
800G          yüksek hızlı fabric

IEEE 802.3df-2024, 400 ve 800 Gbit/s Ethernet için yeni fiziksel katman ve yönetim parametreleri tanımlar. 1.6 Tbit/s Ethernet ise Ağustos 2026 itibarıyla IEEE P802.3dj kapsamında hâlâ taslak çalışmadır. Bu nedenle 1.6T, tamamlanmış bir Ethernet standardı gibi değerlendirilmemelidir.

Yüksek hızlarda tek başına nominal bant genişliği yeterli değildir. SerDes hızı, FEC gecikmesi, optik güç bütçesi, kablo erişimi, switch radix'i ve toplam fabric kapasitesi tasarımın parçasıdır.

2026'da onaylanan IEEE 802.3dg, farklı bir yönde ilerler: tek dengeli bakır çift üzerinden 100 Mbit/s Ethernet ve isteğe bağlı güç iletimini tanımlar. Single Pair Ethernet yaklaşımı özellikle endüstriyel otomasyon, bina sistemleri ve uzun erişimli sensör/aktüatör bağlantılarında çok çiftli ofis Ethernet'ine alternatif oluşturur. Buradaki yenilik tepe hız değil, daha az iletkenle Ethernet ekosistemini saha cihazlarına kadar taşımaktır.

PoE

Power over Ethernet veri kablosu üzerinden enerji taşır. Erişim noktası, IP telefon, kamera ve IoT cihazları için ayrı güç hattı ihtiyacını azaltır.

Yaklaşık güç sınıfları:

802.3af       kaynak 15.4 W
802.3at       kaynak 30 W
802.3bt T3    kaynak 60 W
802.3bt T4    kaynak 90 W

Cihaza ulaşan güç kablo kayıpları nedeniyle daha düşüktür. Switch seçerken yalnız port başına değer değil, toplam PoE bütçesi hesaplanır.

Ethernet çerçevesi

Temel Ethernet çerçevesi:

Preamble + SFD   8 bayt
Hedef MAC        6 bayt
Kaynak MAC       6 bayt
Type/Length      2 bayt
Payload          46-1500 bayt
FCS              4 bayt

FCS, CRC ile iletim hatasını sezer; düzeltmez. Bozuk çerçeve atılır.

Standart Ethernet IP MTU değeri çoğu ağda 1500 bayttır. "Jumbo frame" için tek bir IEEE boyutu yoktur; yaklaşık 9000 bayt yaygın bir uygulama değeridir.

IPv4 paketinin çıkış MTU'sunu aşması durumunda parçalama yalnız protokol ve DF koşulları izin veriyorsa yapılır. IPv6 routerları paketi yolda parçalamaz; kaynak Path MTU Discovery bilgisine göre uygun büyüklük kullanır.

Tüneller ek başlık eklediği için etkin MTU'yu küçültür. GRE, IPsec, VXLAN veya başka kapsüllemelerde yalnız küçük ping paketlerinin çalışması bağlantının sağlıklı olduğunu kanıtlamaz.

MAC adresi

Klasik Ethernet MAC adresi 48 bittir:

00:1A:2B:3C:4D:5E

Adresin ilk bitleri unicast/multicast ve evrensel/yerel yönetim bilgisini taşır. Üretici tarafından atanmış adreslerde OUI alanı üretici kimliğine bağlanır.

Bir LAN içindeki hedef için çerçeve hedef hostun MAC adresine gider. Uzak ağdaki hedef için çerçeve varsayılan ağ geçidinin MAC adresine gider.

Özet:

IP hedefi  = nihai Layer 3 hedef
MAC hedefi = mevcut Layer 2 atlamadaki hedef

Unicast, multicast ve broadcast

Unicast tek hedefe, multicast gruba, broadcast aynı Layer 2 yayın alanındaki tüm istasyonlara yöneliktir.

Ethernet broadcast adresi:

FF:FF:FF:FF:FF:FF

IPv6 broadcast kullanmaz. Aynı ihtiyaçlar tanımlı multicast gruplarıyla karşılanır.

Ünite 3: Anahtarlama ve Yerel Ağ

Switch nasıl öğrenir?

Switch gelen çerçevenin kaynak MAC adresini giriş portuyla eşleştirerek MAC tablosunu öğrenir.

Hedef MAC:

• tabloda varsa yalnız ilgili porta iletilir,
• bilinmiyorsa aynı VLAN içindeki diğer uygun portlara flood edilir,
• broadcast ise VLAN içindeki yayın alanına dağıtılır.

MAC tablosu dinamik bir önbellektir. Girişler yaşlanır; bir host taşındığında yeni kaynak çerçevesi tabloyu günceller.

Store-and-forward ve cut-through

Store-and-forward çerçevenin tamamını alır ve FCS kontrolünden sonra iletir. Kurumsal Ethernet'te yaygındır.

Cut-through hedef MAC görüldükten sonra iletime başlayabilir. Gecikmeyi azaltır, ancak çerçevenin sonundaki FCS henüz bilinmediği için hatalı çerçevenin taşınması mümkündür. Çok düşük gecikmeli belirli fabriclerde kullanılır.

Duplex

Full duplex Ethernet'te iki uç aynı anda gönderip alabilir; çarpışma alanı ve CSMA/CD yoktur. Hub ve half duplex güncel kurumsal Ethernet'in normal çalışma biçimi değildir.

Otomatik görüşme iki uçta da açık bırakılmalıdır. Elle hız/duplex ayarlanacaksa iki uç birlikte değiştirilir. Duplex uyuşmazlığı bağlantının tamamen kopmasından çok düşük throughput, FCS ve late-collision benzeri belirtilerle kendini gösterebilir.

VLAN

VLAN, aynı fiziksel switch altyapısında ayrı Layer 2 broadcast alanları oluşturur.

VLAN 10 -> kullanıcılar
VLAN 20 -> ses
VLAN 30 -> sunucular

VLAN ile IP alt ağı aynı kavram değildir; biri Layer 2, diğeri Layer 3'tür. Kurumsal tasarımda çoğu zaman bir VLAN bir IP alt ağına eşlenir.

Access port genellikle tek VLAN taşır. Trunk port birden çok VLAN'ı taşır.

802.1Q

802.1Q etiketi Ethernet çerçevesine VLAN bilgisini ekler. VLAN kimliği için 12 bit ayrıldığından normal VLAN kimliği alanı yaklaşık 4094 kullanılabilir değere sahiptir.

Etiket ayrıca öncelik ve drop uygunluğu için alanlar içerir. 802.1p olarak bilinen PCP bitleri Layer 2 QoS işaretlemesinde kullanılır.

Native VLAN yaklaşımında belirli trafik trunk üzerinde etiketsiz taşınabilir. İki uçta native VLAN uyuşmazlığı yanlış VLAN teslimine ve güvenlik sorunlarına yol açabilir. Üretimde trunkların elle tanımlanması, izin verilen VLAN listesinin dar tutulması ve otomatik trunk görüşmesinin gereksizse kapatılması daha güvenlidir.

VLAN'lar arası yönlendirme

Farklı VLAN'lar arasında Layer 3 yönlendirme gerekir.

Klasik yöntemler:

• router üzerinde ayrı fiziksel arayüz,
• router-on-a-stick,
• Layer 3 switch üzerindeki SVI.

Router-on-a-stick tek trunk üzerinden birden çok alt arayüz kullanır:

interface g0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

Büyük LAN'da Layer 3 switch ve SVI daha ölçeklenebilir olur; yönlendirme ASIC üzerinde hat hızına yakın yapılabilir.

Layer 2 döngüleri

Ethernet çerçevesinde IP'deki TTL benzeri genel bir yaşam süresi yoktur. Yedekli Layer 2 yollar kontrol edilmezse broadcast fırtınası, MAC tablosu kararsızlığı ve çerçeve çoğalması ortaya çıkar.

Spanning Tree bu nedenle döngü oluşturan fazla yolları bloklar.

STP ve RSTP

Temel süreç:

1. root bridge seçilir,
2. her switch root'a en iyi yolunu hesaplar,
3. port rolleri belirlenir,
4. döngü oluşturacak yollar forwarding dışına alınır.

Klasik STP yavaştır. Rapid Spanning Tree hızlı yakınsama sağlar ve güncel tasarım için daha anlamlıdır. PVST+, Rapid PVST+ ve MST gibi satıcı veya çoklu ağaç yaklaşımları farklı VLAN ölçeklerine göre kullanılır.

802.1D, 802.1w ve 802.1s numaraları tarihsel olarak öğrenilir; güncel bridge ve VLAN özelliklerinin önemli bölümü IEEE 802.1Q ailesinde birleştirilmiştir.

Kritik korumalar:

• PortFast/edge: host portunu hızlıca forwarding'e geçirir.
• BPDU Guard: edge portunda beklenmeyen BPDU görülürse portu koruma amacıyla kapatır.
• Root Guard: istenmeyen üstün BPDU'nun root seçimini değiştirmesini önler.
• Loop Guard: tek yönlü arıza gibi durumlarda bloklu portun yanlış açılmasını önler.

Link aggregation

Birden çok fiziksel bağlantı tek mantıksal bağlantı gibi kullanılabilir. Güncel standart IEEE 802.1AX'tir; eski belgelerde 802.3ad adı görülür.

LACP dinamik üye seçimi ve bağlantı toplama sağlar. Cisco PAgP satıcıya özgüdür.

Üye bağlantılar şu özelliklerde uyumlu olmalıdır:

• hız ve duplex,
• access/trunk modu,
• native VLAN,
• izin verilen VLAN'lar.

Yük dağıtımı çoğu uygulamada akış hash'iyle yapılır. Dört adet 10G bağlantının tek bir TCP akışına zorunlu olarak 40 Gbit/s vermemesi bundan kaynaklanır. Toplam kapasite çok sayıda akış arasında ortaya çıkar.

İlk atlama yedekliliği

Hostun tek varsayılan ağ geçidine bağımlı olması erişilebilirlik sorunudur. FHRP protokolleri birden çok routerı tek sanal ağ geçidi arkasında toplar.

• HSRP: Cisco'ya özgü.
• VRRP: açık standart; güncel tanım RFC 9568'dir.
• GLBP: Cisco'ya özgü, yük paylaşımı yeteneği de sunar.

Yedeklilik yalnız iç arayüzün ayakta olmasına göre yapılmamalıdır. Uplink veya rota durumu izlenmezse gateway aktif görünürken dış ağ erişimi kaybolabilir.

802.1X ve MACsec

Port güvenliğini yalnız MAC adresi sayısına bağlamak yeterli değildir. IEEE 802.1X, ağa erişmeden önce uç veya kullanıcı kimliğini EAP/EAPOL üzerinden doğrular. Tipik kurumsal model:

Supplicant -> Switch/AP -> RADIUS

Switch veya AP authenticator, kimlik doğrulama hizmeti ise AAA sunucusu rolündedir.

IEEE 802.1AE MACsec, Ethernet bağlantısında veri gizliliği, bütünlük ve kaynak doğrulaması sağlar. Özellikle veri merkezi, kampüs omurgası ve taşıyıcı Ethernet bağlantılarında Layer 2 şifreleme için kullanılır.

Ünite 4: IPv4 ve Alt Ağ Tasarımı

IPv4

IPv4 adresi 32 bittir:

192.168.10.25/24

Prefix uzunluğu ağ ve host bölümünü ayırır. /24:

255.255.255.0

maskesine eşittir.

Sınıf tabanlı A/B/C adresleme CIDR ile terk edilmiştir. Sınıflar tarihsel ve sınav bağlamında bilinebilir, ancak güncel yönlendirme ve adres planı prefix uzunluğuyla yapılır.

Ağ adresi

IP ile maske bit düzeyinde AND işlemine alınır:

IP       192.168.10.25
Mask     255.255.255.0
Network  192.168.10.0

Host hedefin kendi prefixinde olduğunu görürse doğrudan Layer 2 çözümleme yapar. Değilse paketi varsayılan ağ geçidine gönderir.

Özel ve ayrılmış bloklar

10.0.0.0/8         RFC 1918 özel
172.16.0.0/12      RFC 1918 özel
192.168.0.0/16     RFC 1918 özel
127.0.0.0/8        loopback
169.254.0.0/16     link-local
100.64.0.0/10      shared address space / CGNAT
224.0.0.0/4        multicast

100.64.0.0/10, RFC 1918 özel adres alanı değildir; servis sağlayıcı düzeyi NAT için ayrılmış ortak adres alanıdır.

Subnetting

Host biti sayısı h ise toplam adres:

2^h

olur. Geleneksel unicast alt ağında ağ ve broadcast adresleri hosta verilmediğinden:

kullanılabilir host = 2^h - 2

hesabı yapılır.

İstisnalar önemlidir:

• /31: noktadan noktaya IPv4 bağlantısı için iki adres de kullanılabilir.
• /32: tek host rotası veya loopback adresidir.

Örnek:

192.168.1.0/26
Maske: 255.255.255.192
Blok: 64

Ağ          192.168.1.0
İlk host    192.168.1.1
Son host    192.168.1.62
Broadcast   192.168.1.63

Pratik hesapta ilgili octette:

blok = 256 - maske_değeri

kullanılabilir.

VLSM ve özetleme

VLSM, farklı alt ağlara farklı prefix uzunlukları vererek adres israfını azaltır. Planlama büyük host gereksiniminden küçüğe doğru yapılır.

Rota özetleme ters yönde çalışır: bitişik prefixler tek daha kısa prefix altında toplanır. Özetleme yönlendirme tablosunu küçültür, ancak gereğinden geniş özet kara delik oluşturabilir.

ARP

ARP bilinen IPv4 adresinin aynı Layer 2 alandaki MAC adresini bulur.

ARP Request  -> broadcast
ARP Reply    -> çoğunlukla unicast

Uzak bir IP için host hedefin MAC adresini aramaz; varsayılan ağ geçidinin MAC adresini arar.

Gratuitous ARP adres çakışması bildirimi ve failover sonrası komşu tablolarını güncelleme gibi işlerde kullanılır. Aynı güven varsayımı ARP spoofing saldırılarına da zemin hazırlar.

IPv6 ARP kullanmaz; bu işlev Neighbor Discovery içindedir.

NAT ve PAT

NAT adresleri, PAT ise çok sayıda iç akışı adres ve port eşlemesiyle daha az sayıda genel IPv4 adresine taşır.

Tipik PAT:

192.168.1.10:53124
       |
203.0.113.10:41001

NAT güvenlik duvarı değildir. İçe doğru bağlantıyı zorlaştırması yan etkidir; politika denetimi ayrı güvenlik mekanizmasıdır.

NAT uçtan uca adres şeffaflığını bozar ve bazı protokollerde ek ağ geçidi mantığı gerektirir. IPv4 kıtlığında önemli olmaya devam eder.

Ünite 5: IPv6

Adres yapısı

IPv6 128 bit adres kullanır. Sekiz adet 16 bitlik hextet onaltılı gösterilir:

2001:0db8:0000:0000:0211:22ff:fe33:4455

Öndeki sıfırlar atılabilir:

2001:db8:0:0:211:22ff:fe33:4455

Ardışık sıfır hextetleri bir adreste yalnız bir kez :: ile sıkıştırılabilir:

2001:db8::211:22ff:fe33:4455

Adres türleri

2000::/3    global unicast
fc00::/7    unique local
fe80::/10   link-local
ff00::/8    multicast
::1/128     loopback
::/128      unspecified

IPv6 broadcast kullanmaz.

Anycast ayrı bir adres biçimi değildir. Aynı unicast adres birden çok düğümde duyurulur; yönlendirme en uygun örneğe götürür.

LAN'larda /64 yaygın ve protokol tasarımı açısından temel prefix uzunluğudur. IPv4'teki gibi her birkaç host için daha dar prefix üretme yaklaşımı IPv6 adres planının amacı değildir.

Link-local

IPv6 etkin bir arayüz kendi bağlantısındaki iletişim için link-local adres kullanır. Neighbor Discovery, Router Advertisement ve birçok yönlendirme protokolü bu adreslerden yararlanır.

Link-local adres yönlendirilmez. Aynı değer farklı arayüzlerde bulunabileceği için next-hop olarak kullanıldığında çıkış arayüzü de gerekebilir.

Arayüz kimliği ve gizlilik

EUI-64, MAC adresinden arayüz tanımlayıcısı türeten tarihsel bir yöntemdir. Kalıcı donanım bilgisinin adrese yansıması izlenebilirlik sorunu oluşturur.

Modern istemciler çoğunlukla kararlı fakat donanımdan doğrudan türemeyen tanımlayıcılar ve geçici gizlilik adresleri kullanır. RFC 7217 ve RFC 8981 bu yaklaşımın önemli referanslarıdır.

SLAAC ve DHCPv6

SLAAC süreci:

Router Solicitation
        |
Router Advertisement
        |
prefix + ağ bilgileri
        |
host adres üretimi
        |
Duplicate Address Detection

DHCPv6 durumsuz veya durumlu çalışabilir. Router Advertisement içindeki M ve O bayrakları hosta hangi ek yapılandırma yöntemlerinin beklendiğine ilişkin bilgi verir; gerçek istemci davranışı işletim sistemi ve ağ politikasıyla birlikte değerlendirilmelidir.

Neighbor Discovery

ICMPv6, IPv6'nın yardımcı bir protokolü değil temel çalışma mekanizmasıdır.

Neighbor Discovery ileti türleri:

RS  Router Solicitation
RA  Router Advertisement
NS  Neighbor Solicitation
NA  Neighbor Advertisement
Redirect

Görevleri:

• router keşfi,
• prefix öğrenme,
• adres çözümleme,
• Duplicate Address Detection,
• komşu erişilebilirlik denetimi.

Bu nedenle ICMPv6'yı güvenlik duvarında tümüyle engellemek IPv6 çalışmasını bozabilir. Filtreleme ileti türü ve amaca göre yapılmalıdır.

IPv6 başlığı ve parçalama

IPv6 temel başlığı IPv4'e göre sadeleştirilmiştir. Seçenekler uzantı başlıklarına taşınır.

Ara routerlar IPv6 paketini parçalamaz. Paket yol MTU'sundan büyükse ICMPv6 Packet Too Big ile kaynak bilgilendirilir. Kaynağın uygun büyüklüğü seçmesi Path MTU Discovery'nin temelidir.

Geçiş yöntemleri

IPv4 ve IPv6 uzun süre birlikte çalışacaktır.

Yaygın modeller:

• Dual stack: iki protokolü aynı anda kullanır.
• NAT64/DNS64: IPv6 istemciyi IPv4 hizmete ulaştırır.
• 464XLAT: özellikle mobil IPv6-only ağlarda IPv4-only uygulamalara uyumluluk sağlar.
• Tüneller: geçiş ve özel bağlantı senaryolarında IPv6'yı başka bir ağ üzerinde taşır.

IPv6'nın amacı NAT'ı zorunlu kılmak değildir. Adres bolluğu uçtan uca adreslemeyi geri getirir; güvenlik yine stateful firewall ve erişim politikasıyla sağlanır.

Ünite 6: Taşıma ve Uygulama Protokolleri

Port ve soket

Taşıma katmanı aynı host üzerindeki uygulamaları port numaralarıyla ayırır.

Bir soket uç noktası:

IP adresi + port

olarak düşünülebilir.

TCP bağlantısı ise kaynak ve hedefteki IP ve port çiftleriyle ayırt edilir:

kaynak IP
kaynak port
hedef IP
hedef port

IANA port aralıkları:

0-1023        well-known
1024-49151    registered
49152-65535   dynamic/private

Sık görülen portlar:

22    SSH
25    SMTP
53    DNS
67/68 DHCPv4
80    HTTP
123   NTP
143   IMAP
161   SNMP
443   HTTPS
445   SMB

Port numarası protokolün güvenli olduğunu göstermez. Örneğin 443 çoğunlukla HTTPS'tir, ancak ağ cihazı yalnız port numarasına bakarak uygulamayı kesin tanımlayamaz.

TCP

TCP bağlantı yönelimli, sıralı bir bayt akışı sunar. Başlıca özellikleri:

• sıra numarası,
• acknowledgment,
• yeniden iletim,
• akış kontrolü,
• tıkanıklık denetimi,
• hata sezimi.

Bağlantı kurulumu:

İstemci -> SYN
Sunucu  -> SYN, ACK
İstemci -> ACK

Bu işlem iki tarafın başlangıç sıra numaralarını ve bağlantı durumunu eşler.

Bağlantı normal olarak her yön için ayrı FIN/ACK süreciyle kapatılır. RST bağlantıyı ani biçimde sonlandırır.

Akış ve tıkanıklık denetimi

İki mekanizma farklı sorunu çözer.

Akış kontrolü, hızlı göndericinin yavaş alıcının tamponunu taşırmasını önler. Alıcının advertised window değeri belirleyicidir.

Tıkanıklık denetimi, yol üzerindeki ağı korur. Gönderici, kayıp, ECN işaretleri ve ölçülen teslim davranışına göre uçuşta tutacağı veri miktarını ayarlar.

TCP algoritmaları zaman içinde değişmiştir. Reno ve benzeri klasik kayıp tabanlı yöntemlerin yanında CUBIC yaygın olarak kullanılır. BBR ise bant genişliği ve round-trip time modeline dayanan farklı bir yaklaşım sunar. Bir ağ yöneticisi için asıl ders algoritma adlarını ezberlemek değil, aynı paket kaybının hem uygulama performansını hem de göndericinin tıkanıklık penceresini etkileyebileceğini bilmektir.

UDP

UDP bağlantısız ve küçüktür. Başlığı yalnız sekiz bayttır:

kaynak port
hedef port
uzunluk
checksum

UDP:

• teslim garantisi vermez,
• yeniden iletim yapmaz,
• sıralama sağlamaz,
• bağlantı durumu tutmaz.

Bu sadelik gecikmenin kritik veya uygulamanın kendi aktarım mantığını kurduğu sistemlerde yararlıdır.

Kullanım örnekleri:

• DNS,
• DHCP,
• bazı SNMP işlemleri,
• gerçek zamanlı medya,
• QUIC.

UDP'nin kendisi güvenilmez olsa da UDP üzerinde kurulan uygulama protokolü güvenilirlik sağlayabilir. QUIC bunun en önemli örneğidir.

QUIC ve HTTP/3

QUIC, UDP üzerinde çalışan güvenli bir taşıma protokolüdür. TLS 1.3 el sıkışmasını taşıma kurulumu içine alır ve bir bağlantı içinde bağımsız akışlar sunar.

HTTP/3, HTTP semantiğini QUIC üzerinde taşır.

Temel kazanımlar:

• TCP ve TLS için ayrı el sıkışma gereksinimini azaltma,
• akışları birbirinden ayırma,
• bağlantıyı yalnız IP/port dörtlüsüne bağlamama,
• kullanıcı alanında protokol geliştirmeyi kolaylaştırma.

HTTP/2, tek TCP bağlantısı üzerinde çok sayıda uygulama akışı taşır. TCP'de bir segment kaybolduğunda daha sonra gelen baytlar bağlantı sırası nedeniyle bekler; bu, HTTP/2 akışlarının tamamını etkileyebilir. QUIC'te farklı akışlar ayrı sıralandığından kayıp genellikle yalnız ilgili akışı bekletir. Aynı QUIC akışının kendi içindeki sıralama gereksinimi devam eder.

QUIC Connection ID kullanabildiği için cihazın Wi-Fi'dan hücresel ağa geçmesi gibi IP değişikliklerinde bağlantı göçünü TCP'ye göre daha doğal destekler.

DNS

DNS, isimleri kaynak kayıtlarına eşleyen dağıtık ve hiyerarşik sistemdir.

Çözümleme zinciri:

istemci
   |
recursive resolver
   |
root
   |
TLD
   |
authoritative server

Sık kayıtlar:

A       IPv4
AAAA    IPv6
CNAME   takma ad
MX      posta sunucusu
NS      yetkili DNS sunucusu
PTR     ters çözümleme
TXT     metin / politika bilgileri
SRV     hizmet konumu
CAA     sertifika otoritesi politikası

TTL, kaydın önbellekte ne kadar tutulacağını belirler. Planlı DNS değişikliğinde TTL önceden düşürülmezse eski bilgi beklenenden uzun süre kalabilir.

DNSSEC ve şifreli DNS

DNSSEC, DNS verisine imza ekleyerek kaydın kaynağını ve bütünlüğünü doğrulamaya yardımcı olur. Trafiği şifrelemez.

Gizlilik için:

• DoT: DNS over TLS.
• DoH: DNS over HTTPS.
• DoQ: DNS over QUIC.

kullanılabilir.

Şifreli DNS, istemci ile resolver arasındaki sorguyu korur. Yetkili DNS zincirinin tamamını tek başına şifrelemez ve DNSSEC'in yerini almaz.

Kurumsal ağda DoH ve DoQ ayrıca yönetim sorunu yaratır: istemci harici resolver seçerse merkezi DNS filtresi atlanabilir. Çözüm şifrelemeyi kapatmak değil, kurumsal resolver ve istemci politikasını birlikte yönetmektir.

HTTP ve TLS

HTTP sürümleri taşıma biçimi bakımından ayrılır:

• HTTP/1.1: metin tabanlı mesaj biçimi, TCP.
• HTTP/2: ikili framing ve multiplexing, çoğunlukla TLS/TCP.
• HTTP/3: QUIC.

TLS 1.3 eski şifre paketlerinin önemli bölümünü kaldırmış, el sıkışmayı sadeleştirmiş ve geçici Diffie-Hellman tabanlı modern kurulumları varsayılan hale getirmiştir. Forward secrecy kesin olarak kullanılan anahtar anlaşma kipine bağlıdır; bu nedenle "TLS 1.3 olan her oturum koşulsuz ileri gizlidir" şeklinde genelleme yapılmamalıdır.

Kuantum sonrası TLS

NIST, 2024'te ML-KEM, ML-DSA ve SLH-DSA standartlarını yayımladı. Ağ tarafındaki en somut geçiş anahtar anlaşmasında görülmektedir.

Temmuz 2026'da yayımlanan RFC 10024, TLS 1.3 için şu melez grupları standartlaştırdı:

X25519MLKEM768
SecP256r1MLKEM768
SecP384r1MLKEM1024

Melez yapı klasik ECDHE ile ML-KEM'i birlikte kullanır. Amaç, tek bir kriptografik aileye geçiş sırasında hem klasik hem de kuantum sonrası güvenlik varsayımını korumaktır.

Bu geçiş "kuantum bilgisayar bugün TLS'i kırıyor" anlamına gelmez. Uzun süre gizli kalması gereken veride şimdi topla, sonra çöz riski nedeniyle anahtar değişiminin yıllar önceden dönüştürülmesi gerekir.

Diğer uygulama protokolleri

SSH, uzak yönetim için temel güvenli protokoldür. Telnet kimlik bilgilerini ve oturumu şifrelemediği için üretim yönetiminde kullanılmamalıdır.

FTP'nin kendisi şifreli değildir. Güvenli dosya aktarımında SFTP veya TLS kullanan uygun çözümler tercih edilir.

NTP zaman eşlemesini sağlar. Saat hatası:

• log korelasyonunu,
• sertifika geçerliliğini,
• Kerberos ve benzeri kimlik doğrulamalarını,
• dağıtık sistem analizini

bozabilir.

Syslog olayları merkezi sisteme taşır. Klasik UDP/514 kolaydır fakat teslim garantisi vermez; kritik ortamlarda güvenilir ve şifreli taşıma tercih edilir.

Ünite 7: Yönlendirme

Routerın veri düzlemi

Router paketi alır, hedef IP için yönlendirme tablosunda en uygun prefixi bulur ve paketi next-hop'a yollar.

IPv4'te tipik işlem:

1. Layer 2 başlığını çıkar.
2. Hedef IPv4 adresiyle FIB araması yap.
3. TTL'yi azalt.
4. Gerekli başlık güncellemesini yap.
5. Yeni Layer 2 çerçevesi oluştur.
6. Çıkış arayüzünden gönder.

Yönetim düzlemindeki RIB ile donanımın kullandığı FIB aynı kavram değildir. RIB protokollerden öğrenilen yolları, FIB ise iletim için seçilmiş sonuçları temsil eder.

En uzun prefix

Yönlendirmede ilk kural longest prefix match'tir.

10.0.0.0/8
10.1.0.0/16
10.1.20.0/24

hedef 10.1.20.5 ise /24 rota seçilir.

Kaynağın güvenilirliği veya metrik ancak aynı prefix için birden fazla aday varsa devreye girer.

Cisco bağlamında seçim sırası:

1. en uzun prefix,
2. aynı prefix farklı kaynaklardan geldiyse administrative distance,
3. aynı protokol içindeki adaylar arasında metrik.

Statik rota

Statik rota açık ve öngörülebilirdir:

ip route 10.20.0.0 255.255.0.0 192.168.1.2

Küçük stub ağlarda uygundur. Büyük topolojide elle yönetim yükü artar.

Varsayılan rota:

IPv4  0.0.0.0/0
IPv6  ::/0

daha özel eşleşme bulunmadığında kullanılır.

Yüksek administrative distance ile tanımlanan floating static route, dinamik veya birincil yol kaybolduğunda yedek olarak kullanılabilir.

Dinamik yönlendirme aileleri

Distance-vector: komşudan rota ve metrik bilgisi alır. RIP klasik örnektir. EIGRP gelişmiş distance-vector yaklaşımı kullanır.

Link-state: topoloji bilgisini paylaşır, her router aynı bağlantı durumu veritabanından kendi en kısa yol ağacını hesaplar. OSPF ve IS-IS bu sınıftadır.

Path-vector: yolun geçtiği otonom sistemleri ve politika niteliklerini taşır. BGP bu sınıftadır.

RIP

RIPv2 metrik olarak hop sayısını kullanır. 15 en büyük geçerli hop, 16 erişilemezdir. Periyodik tam tablo güncellemeleri ve yavaş yakınsama nedeniyle güncel büyük ağlarda tercih edilmez.

Split horizon, route poisoning ve hold-down gibi mekanizmalar distance-vector döngülerini azaltmak için geliştirilmiştir.

RIP'in güncel değeri üretim çözümünden çok yönlendirme döngüsü ve yakınsama kavramlarını öğretmesidir.

EIGRP

EIGRP Cisco kökenli gelişmiş distance-vector protokolüdür. Tasarımı RFC 7868'de bilgi amaçlı yayımlanmıştır; bu RFC Standards Track bir "açık standart" değildir.

DUAL algoritması:

• en iyi yol olan successor,
• koşulu sağlayan döngüsüz yedek feasible successor

kavramlarını kullanır.

Yedek yol önceden bulunmuşsa birincil yol kaybında tam yeniden hesap yapmadan hızlı geçiş sağlanabilir.

Varsayılan bileşik metrik bant genişliği ve gecikmeye dayanır. Yük ve güvenilirliği metriğe katmak kararsızlık yaratabildiği için normal tasarımda kullanılmaz.

OSPF

OSPF link-state IGP'dir.

Temel akış:

Hello
  |
komşuluk
  |
LSDB eşleme
  |
SPF / Dijkstra
  |
en kısa yol ağacı
  |
routing table

OSPFv2 IPv4, OSPFv3 IPv6 için geliştirilmiştir; güncel OSPFv3 genişletmeleri IPv4 adres ailelerini de taşıyabilir. Ders düzeyinde v2/IPv4 ve v3/IPv6 eşlemesi temel modeli anlamak için yeterlidir.

Komşuluğun kurulabilmesi için ilgili ağ tipinde alan, zamanlayıcı, kimlik doğrulama ve benzeri parametrelerin uyumlu olması gerekir. MTU uyuşmazlığı bazı platformlarda adjacency'nin EXSTART/EXCHANGE aşamasında takılmasına yol açabilir.

Router ID

Router ID mantıksal 32 bit kimliktir. Cisco'nun klasik seçiminde elle verilen değer önce gelir; aksi halde uygun loopback veya arayüz adreslerinden seçilir.

Üretimde elle sabitlemek daha güvenlidir. Fiziksel port değişince protokol kimliğinin değişmesini önler.

DR ve BDR

Broadcast çok erişimli ağda tüm routerların birbirleriyle tam adjacency kurması gereksiz ölçek oluşturur. OSPF bu nedenle Designated Router ve Backup Designated Router seçer.

Seçim:

1. OSPF interface priority,
2. Router ID

üzerinden yapılır.

Priority 0 olan router aday değildir.

DR seçimi normalde preemptive değildir. Daha yüksek öncelikli cihaz sonradan gelirse mevcut DR'ı yalnız bu nedenle devralmaz.

Noktadan noktaya ağda DR/BDR gerekmez.

OSPF alanları

Büyük OSPF alanında LSDB büyür ve topoloji değişikliği daha geniş etki yaratır. Çok alanlı tasarım bunu sınırlar.

Area 0 omurgadır. ABR alanlar arasında, ASBR başka yönlendirme alanlarından OSPF'ye rota taşımada rol oynar.

Cisco OSPF maliyeti geleneksel olarak:

cost = reference_bandwidth / interface_bandwidth

şeklinde hesaplanır.

Eski varsayılan referans 100 Mbit/s olduğundan güncel 1G, 10G ve 100G bağlantıları doğal biçimde ayırt edemez. Referans bant genişliği modern ağda yükseltilmeli ve OSPF alanındaki cihazlarda tutarlı olmalıdır.

BGP

BGP, İnternet ölçeğinde otonom sistemler arasında politika tabanlı yönlendirme yapar.

• eBGP farklı AS'ler arasında,
• iBGP aynı AS içinde

kullanılır.

BGP TCP 179 üzerinden oturum kurar.

BGP "en kısa fiziksel yol" protokolü değildir. Yol seçimi local preference, AS_PATH, origin, MED ve platforma özgü diğer politika nitelikleri gibi kurallarla şekillenir.

BGP'nin ölçeği, rotayı yalnız hedef prefix olarak değil politika ve erişilebilirlik bilgisi olarak ele almasından gelir.

BGP güvenliği

Yanlış prefix duyurusu trafik kaçırabilir. RPKI Route Origin Validation, bir prefixi hangi AS'nin köken olarak duyurabileceğini kriptografik yetkilendirmeyle denetlemeye yardım eder.

RPKI/ROV tam yol doğrulaması değildir. Köken AS yetkisini doğrular; AS_PATH içindeki bütün ara ilişkilerin gerçek olduğunu kanıtlamaz.

Route leak farklı bir sorundur: meşru öğrenilmiş rota yanlış komşuya yeniden duyurulur. RFC 9234, BGP Roles ve Only-to-Customer (OTC) niteliğiyle bu sınıf hataları azaltacak mekanizmalar tanımlar.

Güvenli BGP işlemi tek teknolojiye dayanmaz. Prefix filtreleme, max-prefix, RPKI/ROV, oturum koruması ve doğru komşuluk politikası birlikte gerekir.

Segment Routing

Segment Routing, kaynağa veya ingress düğümüne paketin izleyeceği mantıksal segmentler dizisini seçme imkanı verir.

İki ana veri düzlemi:

• SR-MPLS: segmentler MPLS label olarak kodlanır.
• SRv6: segmentler IPv6 SID olarak temsil edilir.

Temel fikir, core'da her ayrı akış için karmaşık durum tutmak yerine politika bilgisinin ingress'te tanımlanabilmesidir.

Kullanım alanları:

• traffic engineering,
• hızlı yeniden yönlendirme,
• servis zinciri,
• ağ dilimleme için altyapı,
• merkezi veya hibrit kontrol.

SRv6 klasik IPv6 yönlendirmesinin yerine geçen tek bir protokol değildir; IPv6 veri düzlemi üzerinde programlanabilir segment davranışları ekler.

Ünite 8: IP Hizmetleri ve QoS

DHCP

DHCPv4 istemcinin temel ağ yapılandırmasını otomatik almasını sağlar.

DORA:

Discover
Offer
Request
Ack

Sunucu şu bilgileri dağıtabilir:

• IPv4 adresi,
• maske,
• varsayılan ağ geçidi,
• DNS sunucusu,
• lease süresi,
• ek seçenekler.

İstemci ve sunucu farklı broadcast alanındaysa router veya Layer 3 switch üzerindeki DHCP relay isteği sunucuya unicast taşır.

DHCP güvene dayalıdır. Sahte DHCP sunucusu yanlış gateway veya DNS dağıtabilir. Switch üzerinde DHCP snooping güvenilen uplink ile istemci portlarını ayırarak bu riski azaltır.

DNS, DHCP ve ARP ayrımı

Bu üç hizmet sık karıştırılır:

DNS   isim -> IP
ARP   IPv4 -> MAC
DHCP  istemciye ağ yapılandırması

Bir bağlantı arızasında doğru katmanı seçmek sorun gidermeyi hızlandırır.

NTP

Dağıtık sistemde saat yalnız kullanıcıya gösterilen bilgi değildir. Logların sıralanması, sertifika kontrolü, olay korelasyonu ve bazı kimlik doğrulama sistemleri zamana bağlıdır.

Saat kaynakları katmanlı bir stratum yapısı içinde dağıtılır. Kurumsal ortamda cihazların rastgele İnternet NTP sunucularına bağlanması yerine denetimli iç zaman kaynakları kullanılması tercih edilir.

SNMP

SNMP cihaz durumunu okumak, sayaçları izlemek ve bildirim almak için uzun süredir kullanılan yönetim protokolüdür.

Temel bileşenler:

• manager/NMS,
• agent,
• MIB,
• OID.

SNMPv1 ve v2c community string'e dayanır ve güvenli yönetim için zayıftır. SNMPv3 kimlik doğrulama ve gizlilik özellikleri sunduğu için tercih edilir.

SNMP ölçeklenebilir izleme için hâlâ değerlidir, ancak model tabanlı streaming telemetry ile aynı yaklaşım değildir. Polling periyodik sorgu yapar; streaming modelinde cihaz değişen veya periyodik veriyi abonelere iter.

Syslog ve olay yönetimi

Merkezi log toplama:

• arıza zaman çizelgesi,
• güvenlik olayı korelasyonu,
• kapasite analizi

için gereklidir.

Tek bir cihazın saatinin yanlış olması bile çok cihazlı olay analizini yanıltır. NTP ve syslog bu nedenle birlikte düşünülmelidir.

QoS

QoS bant genişliği yaratmaz; kıt kaynak oluştuğunda trafiğe farklı işlem uygular.

Temel süreç:

sınıflandır
   |
işaretle
   |
kuyrukla
   |
zamanla
   |
gerekirse şekillendir veya denetle

Layer 3'te DSCP, Layer 2'de PCP/CoS işaretleri kullanılabilir.

Classification paketin hangi sınıfa ait olduğunu belirler.

Marking bu sınıfı paket veya çerçevede işaretler.

Queuing/scheduling çıkış kapasitesi yetmediğinde hangi sınıfın önce gönderileceğini belirler.

Shaping fazla trafiği tamponlayıp daha düzgün hızda gönderir.

Policing belirlenen oranı aşan trafiği düşürebilir veya yeniden işaretleyebilir.

Güven sınırı

Uç cihaz kendi paketini yüksek öncelikli işaretleyebiliyorsa herkes ses trafiği olduğunu iddia edebilir. Bu nedenle QoS işaretine nerede güvenileceği tanımlanır.

İşaretleme mümkün olduğunca kaynağa yakın yapılır, ancak yalnız güvenilen cihazın işareti korunur. Güvenilmeyen erişim portunda sınıflandırma switch tarafından yeniden yapılabilir.

ECN

Explicit Congestion Notification, uygun uçlar ve ağ cihazları destekliyorsa tıkanıklığı paket düşürmeden işaretlemeye imkan verir.

Bu yaklaşım özellikle düşük gecikmeli veri merkezi ağlarında önemlidir. Ancak ECN tek başına kuyruk tasarımını çözmez; AQM, uç algoritması ve switch eşikleri birlikte ayarlanmalıdır.

DetNet ve TSN

Klasik QoS en iyi çaba trafiği içinde öncelik sağlar; gecikme üst sınırı garanti etmek daha zordur.

IETF Deterministic Networking (DetNet), kontrollü alanlarda:

• ayrılmış kaynak,
• açık yol,
• paket çoğaltma ve eleme

gibi tekniklerle çok düşük kayıp ve sınırlı gecikme hedefler.

IEEE Time-Sensitive Networking (TSN) benzer deterministik gereksinimleri Layer 2 Ethernet tarafında ele alan standartlar ailesidir.

Kullanım alanları:

• endüstriyel kontrol,
• profesyonel medya,
• araç içi ağ,
• kritik gerçek zamanlı sistemler.

DetNet genel İnternet'e deterministik gecikme garantisi verme yöntemi değildir; yönetilen bir etki alanı gerektirir.

2026'da yayımlanan RFC 9912, Reliable and Available Wireless (RAW) mimarisiyle güvenilirlik ve kullanılabilirlik düşüncelerini değişken kablosuz bağlantılara genişletir. Amaç kablosuz ortamı "kayıpsız" varsaymak değil, yol çeşitliliği ve yerel onarım ile öngörülebilirliği artırmaktır.

Ünite 9: Kablosuz Ağlar

Ortamın farkı

Ethernet switch portu çoğunlukla iki uç arasında ayrılmış full-duplex bağlantıdır. Wi-Fi ise ortak radyo ortamını paylaşır.

Bu nedenle:

yüksek PHY hızı != aynı miktarda uygulama throughput'u

Erişim süresi, yeniden iletim, kanal genişliği, istemci sayısı, modülasyon, girişim ve airtime paylaşımı sonucu belirler.

Wi-Fi collision detection yerine CSMA/CA yaklaşımını kullanır.

Bantlar

Kurumsal WLAN'da üç temel bant vardır:

• 2.4 GHz: iyi erişim, az kanal, yüksek girişim.
• 5 GHz: daha çok kanal ve yaygın kurumsal kullanım.
• 6 GHz: Wi-Fi 6E ve Wi-Fi 7 için geniş temiz spektrum, ancak erişim mesafesi ve mevzuat bölgeye bağlıdır.

Kanal genişliği arttıkça tek istemcinin tepe hızı yükselir, fakat aynı alandaki bağımsız kanal sayısı azalır. Yoğun istemci ortamında en geniş kanal her zaman en iyi tasarım değildir.

802.11 kuşakları

Önemli gelişim:

Wi-Fi 4   802.11n    MIMO
Wi-Fi 5   802.11ac   daha geniş 5 GHz kanalları, MU-MIMO
Wi-Fi 6   802.11ax   OFDMA, yoğun istemci verimliliği
Wi-Fi 6E             802.11ax'ın 6 GHz kullanımı
Wi-Fi 7   802.11be   EHT, 320 MHz, MLO, daha yüksek kapasite

IEEE 802.11be-2024 aktif standarttır ve Extremely High Throughput özelliklerini tanımlar. Wi-Fi 7'nin öne çıkan tekniklerinden biri Multi-Link Operation (MLO)'dur. Uygun istemci ve AP birden çok linki daha esnek kullanabilir; amaç yalnız tepe hız değil gecikme ve bağlantı dayanıklılığıdır.

Wi-Fi 8

IEEE P802.11bn, Ultra High Reliability çalışmasıdır ve Ağustos 2026 itibarıyla hâlâ taslaktır.

Hedef yalnız daha yüksek tepe hızı değildir. Görev grubunun performans hedefleri EHT'ye göre belirli senaryolarda:

• throughput artışı,
• 95. yüzdelik gecikmede azalma,
• özellikle BSS geçişlerinde MPDU kaybında azalma,
• AP güç tüketiminde iyileşme

üzerindedir.

Bu nedenle Wi-Fi 8'i "bir sonraki hız sınıfı" olarak düşünmek eksiktir. Ana tema kararlılık ve zor radyo koşullarında öngörülebilir performanstır.

IEEE çalışma grubunda ayrıca enhanced privacy, ambient power communications, integrated mmWave, light communications ve Wi-Fi için post-quantum cryptography gibi projeler ilerlemektedir. Bunlar aynı olgunlukta değildir; tamamlanmış özellik gibi planlanmamalıdır.

Buna karşılık IEEE 802.11bf-2025 WLAN Sensing yayımlanmış bir standarttır. Wi-Fi kanalındaki ölçümler yalnız veri taşımak için değil, ortamdaki hareket ve fiziksel değişimleri algılayan sensing uygulamaları için de kullanılabilir. Böylece WLAN, iletişim altyapısının yanında belirli algılama işlevlerinin de taşıyıcısı haline gelir. Mahremiyet ve yanlış kullanım riski bu yeni yeteneğin teknik tasarımı kadar önemlidir.

WLAN bileşenleri

Temel kavramlar:

• STA: istemci.
• AP: erişim noktası.
• BSS: tek AP'nin temel servis alanı.
• ESS: aynı hizmeti sunan birden çok BSS.
• SSID: mantıksal WLAN adı.
• BSSID: belirli radyo/BSS kimliği.

Bir istemcinin bağlanması kabaca:

keşif
  |
kimlik doğrulama
  |
association
  |
anahtar kurulumu
  |
IP yapılandırması

şeklinde ilerler.

SSID gizlemek güvenlik sağlamaz. MAC filtreleme de güçlü kimlik doğrulama değildir; MAC adresi gözlenebilir ve taklit edilebilir.

AP mimarileri

Autonomous AP: yapılandırma her AP'dedir.

Controller tabanlı AP: merkezi WLC radyo politikası ve WLAN yapılandırmasını yönetir.

Bulut yönetimli AP: yönetim düzlemi servis sağlayıcının bulutundadır; kullanıcı verisi topolojiye göre yerel veya merkezi yollar izleyebilir.

CAPWAP, controller tabanlı Cisco ve benzeri mimarilerde AP ile denetleyici arasındaki kontrol tünelinin temel standartlarından biridir.

Merkezi yönetimin asıl kazancı "tek ekrandan ayar" değildir. Kanal, güç, dolaşım, güvenlik ve firmware politikasını bütün AP'lerde tutarlı uygulamaktır.

Dolaşım

İstemci bir AP'den diğerine geçtiğinde uygulama oturumu mümkün olduğunca kesintisiz sürmelidir.

802.11k, 802.11v ve 802.11r farklı yönlerden roaming'i iyileştirir:

• komşu bilgisi,
• ağın istemciyi yönlendirmesi,
• hızlı BSS geçişi.

Roaming kararının önemli bölümü istemciye aittir. AP'nin daha güçlü olması istemcinin hemen geçeceği anlamına gelmez.

WPA2 ve WPA3

WEP ve orijinal WPA artık güvenli kabul edilmez.

WPA2'de AES-CCMP temel güvenli seçenektir. WPA3:

• SAE ile parola tabanlı kimlik doğrulamayı güçlendirir,
• Protected Management Frames kullanımını güçlendirir,
• kurumsal seçeneklerde daha güçlü kriptografik profiller sunar.

Kurumsal WLAN'da 802.1X/EAP ve RADIUS, ortak PSK'ya göre kullanıcı ve cihaz kimliğini daha iyi yönetir.

Bir kablosuz ağın güvenliği yalnız WPA sürümünden ibaret değildir. Rogue AP, evil twin, zayıf onboarding, sertifika doğrulamasının kapatılması ve yanlış VLAN politikası pratikte daha ciddi açık oluşturabilir.

Ünite 10: Ağ Güvenliği

Güvenlik hedefi

Ağ güvenliği yalnız trafiği şifrelemek değildir. Temel hedefler:

• gizlilik,
• bütünlük,
• erişilebilirlik,
• kimlik doğrulama,
• yetkilendirme,
• izlenebilirlik.

Bir ağın "içeride" olması güvenilir olduğu anlamına gelmez. Kimlik bilgisi ele geçirilmesi, yanlış yapılandırma ve yanal hareket nedeniyle güven kararları ağ konumundan bağımsız kurulmalıdır.

Saldırı yüzeyi

Başlıca risk alanları:

• yönetim arayüzleri,
• zayıf kimlik doğrulama,
• eski protokoller,
• açık servisler,
• Layer 2 güven varsayımları,
• DNS ve yönlendirme yanlış yönlendirmeleri,
• yazılım açıkları,
• yanlış bulut politikaları,
• kullanıcı uçları.

Güvenlikte ilk iş gereksiz yüzeyi kaldırmaktır. Kullanılmayan servis, port ve yönetim protokolü kapalı tutulmalıdır.

Layer 2 saldırıları

MAC flooding, switch MAC tablosunu doldurarak bilinmeyen unicast trafiğin flood edilmesini hedefleyebilir.

ARP spoofing, saldırganın kendi MAC adresini başka IPv4 adresiyle ilişkilendirmesidir.

DHCP spoofing, sahte sunucunun yanlış gateway veya DNS dağıtmasıdır.

VLAN hopping, trunk görüşmesi veya etiketleme hatalarından yararlanabilir.

Koruma araçları:

• port security,
• DHCP snooping,
• Dynamic ARP Inspection,
• IP Source Guard,
• BPDU Guard,
• elle access/trunk tanımı,
• kullanılmayan portların kapatılması.

Bu özellikler birbirini tamamlar. Örneğin Dynamic ARP Inspection çoğu tasarımda güvenilir IP-MAC bağlarını DHCP snooping veritabanından alır.

ACL

ACL trafiği Layer 3/4 ölçütlerle eşleyip izin veya engelleme kararı verir.

Basit ilke:

en dar gerekli izin
+
varsayılan engelleme

ACL yönü ve yerleşimi önemlidir. Aynı kural yanlış arayüz veya yönde uygulandığında etkisiz olabilir ya da meşru trafiği kesebilir.

Standart Cisco yaklaşımında extended ACL kaynağa yakın, standard ACL hedefe yakın yerleştirilir düşüncesi öğretici bir başlangıçtır; gerçek tasarımda topoloji, asimetrik yol ve işlem maliyeti de değerlendirilir.

Güvenlik duvarı

Stateful firewall yalnız paketin tek tek alanlarına bakmaz; bağlantı durumunu da izler.

Yeni bağlantının:

• kim tarafından başlatıldığı,
• hangi politikaya uyduğu,
• dönüş trafiğinin gerçekten mevcut oturuma ait olup olmadığı

denetlenebilir.

Next-generation firewall kavramı uygulama farkındalığı, kullanıcı kimliği, TLS inceleme, IPS ve tehdit istihbaratı gibi işlevleri birleştirebilir. Ancak çok özellik tek cihazda toplandığında performans ve arıza etkisi de birlikte büyür.

IDS ve IPS

IDS şüpheli davranışı saptar ve bildirir. IPS trafiğin üzerinden geçtiği için müdahale edebilir.

Tespit yöntemleri:

• imza,
• protokol anomali analizi,
• davranış analizi.

Yanlış pozitif ile kaçırılan saldırı arasında denge vardır. Kuralsız "her şeyi engelle" yaklaşımı üretim sisteminde sürdürülebilir değildir.

AAA

AAA:

Authentication   kimsin?
Authorization    ne yapabilirsin?
Accounting       ne yaptın?

RADIUS ağ erişimi, VPN ve 802.1X için yaygındır. TACACS+ özellikle ağ cihazı yönetiminde ayrıntılı komut yetkilendirmesiyle tercih edilebilir.

Yönetim hesabının yerel cihazlarda ayrı ayrı tutulması ölçeklenmez. Merkezi AAA hem yetki yaşam döngüsünü hem denetim kaydını iyileştirir. Acil durum için kontrollü yerel "break-glass" hesabı ayrıca korunabilir.

Şifreleme

Simetrik şifreleme yüksek hızda veri korur. AES bunun temel örneğidir.

Açık anahtarlı yöntemler kimlik doğrulama, imza ve anahtar anlaşmasında kullanılır. RSA ve eliptik eğri tabanlı yöntemler klasik kriptografinin temelidir.

Özet fonksiyonu verinin sabit uzunluklu temsilini üretir. Çakışma direnci gereken yeni tasarımlarda SHA-256 veya daha güçlü modern aileler kullanılmalıdır. MD5 ve SHA-1 imza/çakışma güvenliği için uygun değildir.

PKI ve sertifika

PKI bir açık anahtarın hangi kimliğe ait olduğuna dair güven zinciri kurar.

Sertifika doğrulamasında:

• imza zinciri,
• hostname/SAN,
• geçerlilik zamanı,
• iptal durumu,
• algoritma politikası

birlikte değerlendirilir.

TLS'te sık rastlanan hata "şifreleme açık olduğu için güvenlidir" varsayımıdır. İstemci sertifikayı doğrulamıyorsa saldırganla şifreli oturum kurulabilir.

Zero Trust

NIST SP 800-207 yaklaşımında ağ konumu tek başına güven gerekçesi değildir. Kaynak ve hedef arasındaki her erişim isteği kimlik, cihaz durumu, bağlam ve politika üzerinden değerlendirilir.

Pratik sonuçlar:

• en az ayrıcalık,
• güçlü kimlik,
• sürekli doğrulama,
• mikrobölümleme,
• ayrıntılı telemetri.

Zero Trust tek ürün veya tek protokol değildir. VLAN sayısını artırmak da tek başına Zero Trust değildir.

ZTNA ve SASE

ZTNA, kullanıcıyı bütün uzak ağa bağlamak yerine belirli uygulamaya yetkili erişim vermeyi hedefler. Bu, geniş kapsamlı VPN erişimini azaltabilir; VPN'in tüm kullanım alanlarını otomatik olarak ortadan kaldırmaz.

SASE, WAN bağlantısı ile güvenlik hizmetlerini bulut üzerinden yakınlaştıran mimari yaklaşımdır. SD-WAN, güvenli web ağ geçidi, firewall hizmeti, CASB ve ZTNA gibi işlevler aynı politika düzleminde birleştirilebilir.

Asıl amaç ürün adlarını toplamak değil, kullanıcı ve iş yükünün konumdan bağımsız olarak aynı erişim politikasını almasıdır.

MACsec, IPsec ve TLS

Şifreleme katmanı tehdide göre seçilir:

MACsec   Layer 2 bağlantı
IPsec    Layer 3 ağ / tünel
TLS      uygulama-taşıma üstü oturum

MACsec aynı Ethernet alanındaki bağlantıyı korur. IPsec site-to-site veya host-to-network güvenli tünel kurabilir. TLS uygulama uçları arasında güvenlik sağlar.

Bunlar birbirinin mutlak alternatifi değildir. Aynı sistemde farklı tehdit sınırları için birlikte kullanılabilir.

Ünite 11: WAN, VPN ve Programlanabilir Yollar

WAN seçenekleri

WAN tasarımı bağlantı sağlayıcısından daha geniş bir konudur. Değerlendirilen özellikler:

• gecikme,
• bant genişliği,
• SLA,
• yedeklilik,
• maliyet,
• buluta çıkış modeli,
• güvenlik.

Yaygın taşıma türleri:

kiralık hat
Metro Ethernet
MPLS hizmeti
genel Internet
fiber erişim
4G/5G
LEO uydu

MPLS bir VPN protokolü değildir. Sağlayıcı omurgasında label switching yapar; L2VPN veya L3VPN gibi hizmetler bunun üzerinde sunulabilir.

WAN topolojisi

Hub-and-spoke yönetimi basittir, ancak merkez darboğaz ve tek hata alanı olabilir.

Partial mesh kritik noktalar arasında doğrudan yol ekler.

Full mesh dayanıklıdır fakat bağlantı ve politika sayısı hızla büyür.

Bulut hizmetlerinin artmasıyla şube trafiğini her durumda veri merkezine geri taşımak gereksiz gecikme doğurabilir. Yerel Internet çıkışı ve güvenlik politikası bu nedenle SD-WAN/SASE tasarımında birlikte ele alınır.

IPsec

IPsec IP katmanında güvenlik sağlar.

Temel bileşenler:

• IKE ile kimlik doğrulama ve anahtar anlaşması,
• ESP ile veri gizliliği/bütünlüğü,
• Security Association.

İki temel çalışma biçimi:

• Transport: esas olarak yükü korur.
• Tunnel: özgün IP paketini yeni IP paketi içinde kapsüller.

Site-to-site VPN'de tunnel modu yaygındır.

IPsec MTU'yu etkiler. Şifreleme ve kapsülleme ek yükü nedeniyle Path MTU ve MSS ayarları özellikle TCP sorunlarında kontrol edilmelidir.

GRE ve WireGuard

GRE farklı Layer 3 protokollerini tünelleyebilir ve multicast taşıyabilir, ancak kendi başına gizlilik sağlamaz. Güvenli tünel gerektiğinde IPsec ile birlikte kullanılabilir.

WireGuard küçük protokol yüzeyi ve modern sabit kriptografik tasarımıyla hafif VPN seçeneğidir. Anahtar dağıtımı, kimlik yönetimi ve erişim politikası yine ayrı operasyonel konulardır.

SD-WAN

SD-WAN birden çok WAN taşımasını ortak politika düzleminde yönetir.

Kavramsal yapı:

yönetim / orkestrasyon
          |
kontrol politikası
          |
şube edge cihazları
          |
MPLS + Internet + mobil gibi taşıyıcılar

Uygulama sınıfına göre yol seçimi yapılabilir:

ses       -> düşük gecikmeli yol
yedekleme -> ucuz yüksek kapasiteli yol
kritik    -> iki yol / hızlı failover

SD-WAN'ın temel getirisi tek bir "daha hızlı bağlantı" değil, heterojen erişimlerin merkezi ve ölçülebilir politikayla işletilmesidir.

Segment Routing ile trafik mühendisliği

Klasik IGP en kısa yol hesabı yapar. Trafik mühendisliğinde ise belirli iş yükünün:

• düşük gecikmeli,
• belirli bağlantılardan kaçınan,
• yedekli,
• hizmet zincirinden geçen

bir yolu izlemesi istenebilir.

Segment Routing bu politikayı segment listesi olarak ifade eder. SR-MPLS mevcut MPLS veri düzlemini, SRv6 ise IPv6 Segment Routing Header ve SID davranışlarını kullanır.

Bu yaklaşım, RSVP-TE benzeri her yol için core'da ayrı sinyalizasyon durumunu azaltabilir. Bunun karşılığında denetleyici, SID planı ve gözlemlenebilirlik yeni işletim sorumlulukları getirir.

Ünite 12: Veri Merkezi, Overlay ve Bulut

Trafik yönü

Klasik kampüs ağı ağırlıklı olarak istemciden sunucuya kuzey-güney trafik taşır. Modern veri merkezinde mikroservisler, dağıtık depolama ve yapay zeka kümeleri nedeniyle doğu-batı trafiği büyüktür.

Leaf-spine fabric:

       Spine1  Spine2
       /  |    |  \
      /   |    |   \
   Leaf1 Leaf2 Leaf3 Leaf4

her leaf için eşit maliyetli çok sayıda yol sağlar. Layer 3 underlay ile ECMP kullanımı STP'nin büyük Layer 2 alanlardaki sınırlamalarını azaltır.

Underlay ve overlay

Underlay, VTEP veya edge düğümleri arasında IP erişilebilirliğini sağlayan gerçek taşıma ağıdır.

Overlay, bunun üzerinde kurulan mantıksal tenant ağıdır.

Bu ayrım arızayı ikiye böler:

overlay çalışmıyor
   |
önce underlay erişilebilir mi?
   |
sonra control plane / VNI / policy doğru mu?

Sorun giderirken bu sıra büyük zaman kazandırır.

VXLAN

VXLAN Ethernet çerçevesini UDP içinde Layer 3 ağ üzerinden taşır.

VLAN ID 12 bittir. VXLAN VNI alanı 24 bittir ve yaklaşık 16 milyon ayrı segment tanımlayabilir.

Kavramsal kapsülleme:

inner Ethernet
     |
VXLAN header
     |
UDP
     |
outer IP
     |
underlay Ethernet

VXLAN tünel uç noktası VTEP olarak adlandırılır.

Ek başlıklar MTU gereksinimini büyütür. Underlay MTU, iç paketi ve kapsülleme yükünü taşıyacak biçimde planlanmalıdır.

EVPN

Salt VXLAN, MAC/IP erişilebilirlik bilgisinin nasıl dağıtılacağını çözmez. İlk tasarımlar flood-and-learn kullanabilir.

BGP EVPN MAC ve IP erişilebilirliğini kontrol düzleminde taşır. Böylece:

• bilinmeyen trafiğin seli azaltılabilir,
• host hareketi kontrol düzleminden duyurulabilir,
• aynı fabric içinde L2 ve L3 hizmetler birleştirilebilir,
• çok kiracılı ağ daha ölçeklenebilir olur.

EVPN-VXLAN güncel veri merkezi fabriclerinin temel tasarımlarından biridir. VXLAN veri düzlemi, EVPN ise burada kullanılan kontrol düzlemi rolündedir.

Anycast gateway

EVPN fabricte aynı varsayılan gateway MAC/IP bilgisi birden çok leaf üzerinde sunulabilir. Host hangi leaf'e bağlıysa ilk Layer 3 yönlendirme yerel yapılır.

Bu, trafiği merkezi routera taşıma ihtiyacını azaltır ve host hareketinde gateway değişikliğini önler.

Sanallaştırma

Sanal makine ve konteyner altyapısı ağın fiziksel portla birebir eşleşmesini ortadan kaldırır.

Bir sunucudaki iki sanal makine arasındaki trafik fiziksel switche çıkmadan sanal switch içinde tamamlanabilir. İzleme ve güvenlik aracının yalnız fiziksel ağdan veri toplaması bu trafiği kaçırabilir.

Konteyner ağı

Kubernetes ağ modeli podların adreslenmesi ve hizmet keşfi için ayrı soyutlamalar kullanır. CNI eklentisi gerçek veri yolunu sağlar.

eBPF tabanlı ağ çözümleri çekirdek içinde programlanabilir paket işleme, gözlemlenebilirlik ve kimlik tabanlı politika sunabilir. Bu yaklaşım klasik iptables kural zincirlerinin büyük dinamik kümelerdeki bazı ölçek ve görünürlük sorunlarını azaltır.

"eBPF ağı hızlandırır" tek başına doğru bir genelleme değildir. Kazanç iş yüküne, program tasarımına, NIC offload'a ve çekirdek sürümüne bağlıdır.

Bulut ağı

Bulut sağlayıcılarının isimleri değişse de temel kavramlar benzerdir:

• sanal özel ağ/VPC,
• alt ağ,
• route table,
• security group,
• network ACL,
• Internet gateway,
• NAT gateway,
• peering,
• transit ağ geçidi,
• özel servis endpointi,
• direct-connect benzeri özel hat.

Fiziksel switch konfigürasyonu yerine API ile tanımlanan mantıksal ağ kaynakları öne çıkar.

Bulutta "private subnet" otomatik olarak güvenli demek değildir. Route, security group, IAM ve hizmet endpoint politikaları birlikte değerlendirilir.

Yük dengeleme ve anycast

Modern hizmet erişimi tek sunucunun IP'siyle sınırlı değildir.

L4 load balancer IP/port akışlarını dağıtır.

L7 load balancer/reverse proxy HTTP gibi uygulama bilgisini kullanarak karar verebilir.

Anycast aynı IP prefixini birden çok noktadan yönlendirme ile duyurur ve istemciyi yönlendirme bakımından yakın hizmet noktasına götürür.

CDN, DNS ve küresel edge hizmetlerinde bu teknikler birlikte görülebilir.

AI ve HPC fabricleri

Dağıtık hızlandırıcı kümelerinde çok sayıda düğüm aynı anda yüksek hacimli doğu-batı trafik üretir. Ağ tasarımında:

• yüksek radix,
• çoklu ECMP yol,
• düşük oversubscription,
• hızlı telemetri,
• kuyruk ve tıkanıklık kontrolü,
• yüksek hızlı Ethernet

önem kazanır.

800G Ethernet artık standartlaşmış durumdadır; 1.6T çalışması sürmektedir. Bu hızlar yalnız port kapasitesi artışı değildir. 200G sınıfı lane teknolojileri, FEC, optik erişim ve termal/güç tasarımı fabric mühendisliğinin bir parçası olur.

Lossless davranış isteyen Ethernet tabanlı fabriclerde Priority Flow Control gibi mekanizmalar kullanılabilir. PFC yanlış tasarlanırsa head-of-line blocking ve tıkanıklığın yayılması gibi yeni riskler üretir. Yüksek performanslı fabricte "kayıpsız" hedefi, akış kontrolü ve kuyruk yönetiminin dikkatli tasarımını gerektirir.

Ünite 13: Yönetim, Otomasyon ve Gözlemlenebilirlik

Yönetim düzlemi

Ağ cihazında üç mantıksal düzlem ayrılır:

• Data plane: paket iletir.
• Control plane: rota, komşuluk ve protokol durumu üretir.
• Management plane: yapılandırma, izleme ve idari erişim sağlar.

Bu ayrım güvenlik ve otomasyonda önemlidir. Yönetim trafiği mümkünse ayrı VRF, yönetim ağı veya out-of-band bağlantı üzerinden taşınır.

SDN

Software-Defined Networking, kontrol kararını paket iletiminden mantıksal olarak ayırır. Bu, bütün switchlerin "akılsız" olduğu anlamına gelmez; veri düzlemi yine yüksek hızlı forwarding yapar, ancak politika ve topoloji kararları merkezi veya dağıtık denetleyicilerle programlanabilir.

uygulama / intent
       |
control plane
       |
programlanabilir arayüz
       |
data plane

OpenFlow SDN'in erken döneminde önemli bir güney yönlü arayüzdü. Güncel ağlarda NETCONF, gNMI, BGP, PCEP ve üretici API'leri gibi birden çok mekanizma birlikte kullanılabilir. Asıl değişim tek bir protokol değil, ağ durumunun yazılım tarafından okunabilir ve değiştirilebilir hale gelmesidir.

Cisco IOS/IOS XE temel akışı

Klasik CLI modları:

Switch>              user EXEC
Switch#              privileged EXEC
Switch(config)#      global configuration
Switch(config-if)#   interface configuration

Temel örnek:

enable
configure terminal
hostname SW1
interface gigabitEthernet 1/0/1
 description USER
 switchport mode access
 switchport access vlan 10
 no shutdown
end
copy running-config startup-config

CLI sözdizimi platform ve sürüme göre değişebilir. Dersin amacı komut dizisini ezberlemekten çok çalışma yapılandırması, kalıcı yapılandırma ve hiyerarşik bağlamı anlamaktır.

Modern IOS XE platformlarında depolama ve boot yapısı eski Catalyst/IOS örneklerinden farklı olabilir. "RAM'de running-config, NVRAM'de startup-config" modeli kavramsal olarak öğreticidir, ancak gerçek dosya sistemi platform belgeleriyle doğrulanmalıdır.

Güvenli uzak yönetim

SSH kullanılmalı, Telnet devre dışı bırakılmalıdır.

Temel ilkeler:

• ayrı yönetim ağı,
• AAA,
• yalnız gerekli kaynak IP'lere ACL,
• güçlü anahtar ve algoritmalar,
• merkezi log,
• zaman eşleme,
• varsayılan veya ortak hesaplardan kaçınma.

Web arayüzü gerekiyorsa HTTPS kullanılmalı ve sertifika yönetimi yapılmalıdır.

Komşu keşfi

CDP Cisco'ya özgüdür. LLDP IEEE 802.1AB tabanlı açık standart yaklaşımıdır.

Komşu keşfi:

• fiziksel bağlantı doğrulama,
• port eşleştirme,
• cihaz kimliği,
• PoE ve bazı yetenek bilgileri

için yararlıdır.

Ancak keşif protokolleri topoloji bilgisini açığa çıkarabilir. Güvenilmeyen erişim portlarında gereksiz duyurular kapatılabilir.

Sorun giderme sırası

Rastgele komut çalıştırmak yerine katmanlı ilerlemek gerekir.

Pratik sıra:

1. Fiziksel: link, optik güç, kablo, hata sayaçları.
2. Layer 2: VLAN, trunk, STP, MAC tablosu, LACP.
3. Layer 3: adres, prefix, ARP/ND, gateway, route.
4. Transport: port erişimi, TCP durumu, firewall.
5. Application: DNS, TLS, servis durumu.

Bir önceki katman doğrulanmadan üst katmana atlamak tanı süresini uzatır.

Temel araçlar

Host tarafında:

ping
traceroute / tracert
ip addr
ip route
ip neigh
ss
dig
nslookup
arp -a
tcpdump / Wireshark

Linux'ta ifconfig ve netstat tarihsel araçlardır; modern iproute2 karşılıkları ip ve ss komutlarıdır.

Ağ cihazında:

show interfaces
show interfaces counters
show mac address-table
show vlan
show interfaces trunk
show spanning-tree
show etherchannel summary
show ip interface brief
show ip route
show arp
show ipv6 neighbors
show logging

çıktıları sorunu katmanlara ayırmak için kullanılır.

Ping neyi kanıtlar?

Ping ICMP echo çalıştığını gösterir. Şunları tek başına kanıtlamaz:

• TCP portunun açık olduğunu,
• DNS'in çalıştığını,
• uygulamanın sağlıklı olduğunu,
• büyük paketlerin geçtiğini,
• iki yönlü yolun aynı olduğunu.

Bu nedenle "ping var, ağ sağlam" sonucu hatalıdır.

Traceroute

Traceroute TTL/Hop Limit değerini kademeli artırarak ara routerlardan gelen ICMP Time Exceeded yanıtlarını kullanır.

Görülen yol:

• asimetrik olabilir,
• bazı routerlar yanıt vermeyebilir,
• load balancing nedeniyle denemeler farklı yollara gidebilir.

Traceroute, yönlendirme tablosunun kendisi değil, ölçüm anında gözlenen bir yol örneğidir.

Paket yakalama

Paket analizi katmanlar arasındaki varsayımları doğrular.

İncelenecek sıra:

Ethernet
  |
IP
  |
TCP/UDP/ICMP
  |
uygulama protokolü

Örneğin DNS sorunu düşünülen durumda önce sorgunun gerçekten gönderildiği, sonra yanıtın gelip gelmediği kontrol edilmelidir. Paket yakalama "uygulama yavaş" gibi belirsiz şikayeti ölçülebilir olaya dönüştürür.

YANG

YANG ağ yapılandırması ve durum verisi için veri modeli dilidir. Amaç cihazın metin CLI çıktısını kazımak yerine anlamı tanımlı bir veri ağacı kullanmaktır.

Model:

interfaces
  interface[name]
    config
    state

gibi hiyerarşi tanımlar.

Satıcıya özgü modeller yanında OpenConfig gibi ortak modeller çok üreticili otomasyonda önemlidir.

NETCONF ve RESTCONF

NETCONF, yapılandırılmış RPC yaklaşımı kullanır ve YANG modellenmiş datastore'larla çalışabilir.

RESTCONF, YANG verisini HTTP tabanlı REST arabirimi üzerinden sunar.

İkisi aynı protokol değildir:

NETCONF   RPC / datastore odaklı
RESTCONF  HTTP kaynak modeli
YANG      veri modeli

gNMI ve OpenConfig

gNMI, gRPC ve Protocol Buffers tabanlı ağ yönetimi arabirimidir. Temel işlemler:

• Get,
• Set,
• Subscribe.

OpenConfig, üreticiden bağımsız veri modelleri ve gNMI ekosistemiyle model tabanlı yönetimi destekler.

OpenConfig gNMI belirtiminin Mart 2026 sürümü 0.11.0'dır. Protokol sürüm numarasını ezberlemekten çok, Subscribe modelinin sürekli telemetri için neden uygun olduğunu anlamak önemlidir.

Streaming telemetry

SNMP polling:

NMS -> cihaz: değer nedir?

modelini kullanır.

Streaming telemetry:

abone ol
   |
cihaz -> güncellemeleri akıt

yaklaşımına geçer.

YANG-Push, YANG datastore güncellemelerini periyodik veya değişiklik tabanlı olarak abonelere iletmek için standart mekanizma tanımlar.

Kazançlar:

• daha yüksek örnekleme sıklığı,
• daha az gereksiz polling,
• yapılandırılmış veri,
• olay ile ölçüm arasındaki gecikmenin azalması.

Telemetri veri üretimini artırdığı için collector kapasitesi, saklama maliyeti ve cardinality ayrıca tasarlanmalıdır.

Otomasyon

Ağ otomasyonunun temel amacı komutları daha hızlı yazmak değil, aynı niyeti tekrar edilebilir biçimde uygulamaktır.

İki yaklaşım:

Imperative:

porta gir
VLAN komutunu çalıştır
description değiştir

Declarative:

bu portun istenen son durumu VLAN 10 olsun

Bildirimsel yaklaşım idempotency ve configuration drift denetimini kolaylaştırır.

Git ve doğrulama

Ağ yapılandırması kod gibi yönetilebilir:

değişiklik
   |
version control
   |
lint / şema doğrulama
   |
lab / dijital ikiz / test
   |
onay
   |
dağıtım
   |
telemetri ile doğrulama

Bu model değişikliği kimin, neden ve ne zaman yaptığını görünür hale getirir.

Otomasyon hatayı da otomatikleştirebilir. Bu nedenle hızdan önce kapsam kontrolü, dry-run, diff, canary dağıtım ve geri alma planı gerekir.

Intent-based networking

Intent-based yaklaşım cihaz komutundan iş sonucuna doğru soyutlama yapar.

niyet
  |
politika
  |
cihaz yapılandırması
  |
telemetri
  |
uygunluk denetimi
  ^

Gerçek değer son adımdadır. Sistem yalnız yapılandırma üretirse klasik otomasyondur; istenen sonucun gerçekten oluştuğunu ölçerse kapalı çevrim yönetimine yaklaşır.

API güvenliği

Ağ API'si yönetim yüzeyidir ve CLI kadar korunmalıdır.

Gerekli kontroller:

• güçlü kimlik doğrulama,
• en az ayrıcalıklı token,
• TLS,
• gizli bilgi kasası,
• audit log,
• rate limit,
• sertifika doğrulama,
• secret'ların kaynak koddan ayrılması.

Otomasyon hesabına bütün ağa sınırsız yönetici yetkisi vermek, otomasyonun sağladığı merkezi kontrolü tek saldırı noktasına dönüştürür.

Konular Arasındaki İlişki

Bir ağ problemi çoğunlukla tek protokolün hatası değildir. Katmanlar arasındaki varsayımlardan biri bozulur.

Bir web isteğinin yolu:

uygulama URL'yi oluşturur
        |
DNS adı çözer
        |
host hedefin yerel/uzak olduğunu belirler
        |
ARP veya Neighbor Discovery next-hop'ı çözer
        |
switch çerçeveyi taşır
        |
router longest-prefix-match yapar
        |
gerekirse NAT / güvenlik politikası uygulanır
        |
TCP veya QUIC oturumu kurulur
        |
TLS kimliği ve anahtarı doğrular
        |
HTTP isteği taşınır

Sorun giderme bu zinciri tersine veya ileriye doğru doğrulamaktır.

Modern ağların temel dönüşümü de aynı zincirde görülür:

fiziksel cihaz
    |
IP fabric
    |
overlay
    |
kimlik ve politika
    |
API ile yönetim
    |
sürekli telemetri

VLAN, STP ve klasik router komutları hâlâ önemlidir. Ancak veri merkezi, bulut ve büyük kampüs ağlarında operatörün yönettiği birim artık tek cihaz değil, ağın istenen durumu haline gelmektedir.

Kavramsal Ayrımlar

Bant genişliği throughput değildir. Throughput gerçek aktarım, goodput yararlı uygulama verisidir.

Gecikme ve jitter farklıdır. Jitter gecikmenin değişimidir.

OSI referans modelidir; TCP/IP çalışan protokol ailesidir.

MAC yerel teslimi, IP uçtan uca yönlendirmeyi temsil eder. Normal router geçişinde MAC değişir.

NAT, IP adresinin uçtan uca değişmediği basit modeli bozan açık istisnadır.

Ethernet FCS hata sezer, düzeltmez.

Jumbo frame için tek evrensel 9000 bayt standardı yoktur.

IPv6 routerları yolda parçalama yapmaz.

Switch kaynak MAC'ten öğrenir, hedef MAC'e göre iletir.

Bilinmeyen unicast aynı VLAN içinde flood edilir.

Full duplex Ethernet'te CSMA/CD kullanılmaz.

VLAN Layer 2, subnet Layer 3 kavramıdır.

Access port tek VLAN, trunk birden çok VLAN taşır.

STP'nin amacı Layer 2 döngüyü kırmaktır.

RSTP klasik STP'den daha hızlı yakınsar.

LACP'nin güncel standardı IEEE 802.1AX'tir. 802.3ad tarihsel addır.

Tek akış link aggregation üyelerinin toplam hızını zorunlu olarak kullanmaz.

VRRP'nin güncel temel RFC'si RFC 9568'dir.

802.1X erişim kontrolü, MACsec Layer 2 şifreleme sağlar.

CIDR sınıf tabanlı IPv4 adreslemeyi değiştirmiştir.

/31 noktadan noktaya, /32 tek IPv4 host rotası için kullanılabilir.

VLSM adres alanını gereksinime göre böler; summarization prefixleri birleştirir.

ARP IPv4'ten MAC'e çözer. DNS isimden IP'ye çözer. DHCP yapılandırma dağıtır.

NAT güvenlik duvarı değildir.

IPv6 128 bittir ve broadcast kullanmaz.

IPv6'da ARP yoktur; Neighbor Discovery vardır.

ICMPv6'yı tümüyle engellemek IPv6 işlevlerini bozabilir.

SLAAC ile DHCPv6 aynı mekanizma değildir.

EUI-64 tek modern IPv6 adres üretme yöntemi değildir; gizlilik adresleri yaygındır.

TCP güvenilir sıralı bayt akışıdır. UDP bu garantileri vermez.

TCP akış kontrolü alıcıyı, tıkanıklık denetimi ağı korur.

QUIC UDP kullanır ama kendi güvenilirlik ve tıkanıklık mekanizmalarını kurar.

HTTP/3 QUIC üzerinde çalışır.

DNSSEC bütünlük ve kaynak doğrulamasına yardım eder; sorguyu şifrelemez.

DoT, DoH ve DoQ DNS taşımasını şifreler.

TLS 1.3 için melez ML-KEM grupları Temmuz 2026'da RFC 10024 ile standartlaştırılmıştır.

Router önce en uzun prefixi seçer. AD ve metrik daha sonra değerlendirilir.

RIP hop, OSPF cost, EIGRP bileşik metrik kullanır. BGP politika tabanlıdır.

EIGRP RFC 7868'de bilgi amaçlı tanımlanmıştır; Standards Track değildir.

OSPF link-state veritabanından SPF çalıştırır.

DR/BDR broadcast çok erişimli OSPF ağlarında anlamlıdır; point-to-point'ta gerekmez.

BGP köken ve yol politikasını taşır; en kısa fiziksel yolu seçmek zorunda değildir.

RPKI/ROV köken yetkisini doğrular, tam AS yolunu doğrulamaz.

RFC 9234 BGP Roles ve OTC ile route leak önleme mekanizması tanımlar.

QoS bant genişliği üretmez; kıt kaynakta farklı trafik sınıflarını yönetir.

Shaping tamponlar, policing aşan trafiği sınırlar.

DetNet yönetilen alanlarda sınırlı gecikme ve düşük kayıp hedefler; genel Internet garantisi değildir.

SSID gizleme ve MAC filtreleme güçlü WLAN güvenliği değildir.

Wi-Fi 7 IEEE 802.11be temellidir. MLO önemli yeniliklerinden biridir.

Wi-Fi 8 / IEEE 802.11bn Ağustos 2026 itibarıyla taslaktır. Ana hedef güvenilirlik ve gecikmedir.

Zero Trust ağ içini otomatik güvenilir saymaz. Tek ürün değildir.

MACsec, IPsec ve TLS farklı katmanlarda güvenlik sağlar.

GRE tüneller, kendi başına şifrelemez.

SD-WAN çoklu WAN bağlantılarını merkezi politika altında yönetir.

Segment Routing bir yolu segment/SID dizisi olarak ifade eder. SR-MPLS ve SRv6 iki ana veri düzlemidir.

Underlay gerçek IP erişilebilirliği, overlay bunun üzerindeki mantıksal ağdır.

VXLAN 24 bit VNI kullanır. VLAN sınırını genişletir ancak VLAN'ın kendisi değildir.

EVPN VXLAN için kontrol düzlemi olarak MAC/IP erişilebilirliğini BGP ile dağıtabilir.

800G Ethernet standartlaşmıştır; 1.6T P802.3dj Ağustos 2026'da hâlâ taslaktır.

SNMP polling ile streaming telemetry aynı yaklaşım değildir.

YANG veri modeli, NETCONF/RESTCONF yönetim protokolleridir.

gNMI Get/Set/Subscribe modeli sunar; OpenConfig üreticiden bağımsız veri modelleri sağlar.

Otomasyonun asıl kazancı hız değil tutarlılık ve tekrarlanabilirliktir.

Ping bir uygulamanın sağlıklı olduğunu kanıtlamaz.

Sorun giderme fiziksel katmandan uygulamaya kadar ölçümle ilerlemelidir.

Kaynakça

• James F. Kurose, Keith W. Ross. Computer Networking: A Top-Down Approach, 8th Edition. Pearson, 2021.
• Andrew S. Tanenbaum, Nick Feamster, David J. Wetherall. Computer Networks, 6th Edition. Pearson, 2021.
• Cisco Systems. Cisco CCNA Eğitim Materyalleri ve Networking Academy kaynakları. https://www.netacad.com/
• Cisco Systems. CCNA Certification and Training. https://learningnetwork.cisco.com/
• Wendell Odom. CCNA 200-301 Official Cert Guide, Volume 1-2. Cisco Press.
• Cemal Taner. Ağ Yöneticiliğinin Temelleri.
• IEEE. IEEE Std 802.3df-2024: 800 Gb/s Ethernet. https://standards.ieee.org/standard/802_3df-2024.html
• IEEE 802.3 Working Group. IEEE Std 802.3dg-2026: 100 Mb/s Long-Reach Single Pair Ethernet. https://grouper.ieee.org/groups/802/3/dg/index.html
• IEEE. IEEE P802.3dj: 1.6 Tb/s Ethernet Amendment, Active PAR. https://standards.ieee.org/ieee/802.3dj/11115/
• IEEE. IEEE Std 802.11-2024: Wireless LAN MAC and PHY Specifications. https://standards.ieee.org/ieee/802.11/10548/
• IEEE. IEEE Std 802.11be-2024: Extremely High Throughput. https://standards.ieee.org/ieee/802.11be/7516
• IEEE. IEEE Std 802.11bf-2025: Enhancements for Wireless LAN Sensing. https://standards.ieee.org/ieee/802.11bf/11574/
• IEEE 802.11 Working Group. P802.11bn Ultra High Reliability Task Group. https://www.ieee802.org/11/Reports/tgbn_update.htm
• IEEE 802.11 Working Group. Active Task Groups and Project Status. https://www.ieee802.org/11/overview.html
• IEEE. IEEE Std 802.1AX-2020: Link Aggregation. https://standards.ieee.org/ieee/802.1AX/6768/
• IEEE 802.1 Working Group. IEEE 802.1X Port-Based Network Access Control. https://1.ieee802.org/security/802-1x/
• IEEE. IEEE Std 802.1AE-2018: MAC Security. https://standards.ieee.org/ieee/802.1AE/7154/
• IETF. RFC 8200: Internet Protocol, Version 6 (IPv6) Specification. https://www.rfc-editor.org/rfc/rfc8200.html
• IETF. RFC 4861: Neighbor Discovery for IP version 6. https://www.rfc-editor.org/rfc/rfc4861.html
• IETF. RFC 7217: Semantically Opaque Interface Identifiers. https://www.rfc-editor.org/rfc/rfc7217.html
• IETF. RFC 8981: Temporary Address Extensions for Stateless Address Autoconfiguration in IPv6. https://www.rfc-editor.org/rfc/rfc8981.html
• IETF. RFC 9000: QUIC: A UDP-Based Multiplexed and Secure Transport. https://www.rfc-editor.org/rfc/rfc9000.html
• IETF. RFC 9114: HTTP/3. https://www.rfc-editor.org/rfc/rfc9114.html
• IETF. RFC 7858: DNS over TLS. https://www.rfc-editor.org/rfc/rfc7858.html
• IETF. RFC 8484: DNS Queries over HTTPS. https://www.rfc-editor.org/rfc/rfc8484.html
• IETF. RFC 9250: DNS over Dedicated QUIC Connections. https://www.rfc-editor.org/rfc/rfc9250.html
• IETF. RFC 7868: Cisco's Enhanced Interior Gateway Routing Protocol (EIGRP). https://www.rfc-editor.org/rfc/rfc7868.html
• IETF. RFC 9234: Route Leak Prevention and Detection Using Roles in UPDATE and OPEN Messages. https://www.rfc-editor.org/rfc/rfc9234.html
• IETF. RFC 9568: Virtual Router Redundancy Protocol Version 3. https://www.rfc-editor.org/rfc/rfc9568.html
• IETF. RFC 8402: Segment Routing Architecture. https://www.rfc-editor.org/rfc/rfc8402.html
• IETF. RFC 8986: Segment Routing over IPv6 Network Programming. https://www.rfc-editor.org/rfc/rfc8986.html
• IETF. RFC 7348: Virtual eXtensible Local Area Network (VXLAN). https://www.rfc-editor.org/rfc/rfc7348.html
• IETF. RFC 8365: Network Virtualization Overlay Solution Using EVPN. https://www.rfc-editor.org/rfc/rfc8365.html
• IETF. RFC 9135: Integrated Routing and Bridging in Ethernet VPN. https://www.rfc-editor.org/rfc/rfc9135.html
• IETF. RFC 6241: Network Configuration Protocol (NETCONF). https://www.rfc-editor.org/rfc/rfc6241.html
• IETF. RFC 7950: The YANG 1.1 Data Modeling Language. https://www.rfc-editor.org/rfc/rfc7950.html
• IETF. RFC 8040: RESTCONF Protocol. https://www.rfc-editor.org/rfc/rfc8040.html
• IETF. RFC 8641: Subscription to YANG Notifications for Datastore Updates. https://www.rfc-editor.org/rfc/rfc8641.html
• OpenConfig. gRPC Network Management Interface (gNMI) Specification. https://openconfig.net/docs/gnmi/gnmi-specification/
• IETF. RFC 5415: Control And Provisioning of Wireless Access Points (CAPWAP) Protocol Specification. https://www.rfc-editor.org/rfc/rfc5415.html
• Cilium Project. Cilium Documentation. https://docs.cilium.io/
• WireGuard. WireGuard Documentation. https://www.wireguard.com/
• Wi-Fi Alliance. Wi-Fi Security and Certification Resources. https://www.wi-fi.org/
• IETF. RFC 8655: Deterministic Networking Architecture. https://www.rfc-editor.org/rfc/rfc8655.html
• IETF. RFC 9912: Reliable and Available Wireless Architecture. https://www.rfc-editor.org/rfc/rfc9912.html
• NIST. SP 800-207: Zero Trust Architecture. https://csrc.nist.gov/pubs/sp/800/207/final
• NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. https://csrc.nist.gov/pubs/fips/203/final
• NIST. FIPS 204: Module-Lattice-Based Digital Signature Standard. https://csrc.nist.gov/pubs/fips/204/final
• NIST. FIPS 205: Stateless Hash-Based Digital Signature Standard. https://csrc.nist.gov/pubs/fips/205/final
• IETF. RFC 10024: Post-Quantum Traditional Hybrid Key Agreement Mechanisms for TLS 1.3. https://www.rfc-editor.org/rfc/rfc10024.html