Bilgisayar Ağları: Protokoller, Yönlendirme ve Güvenlik

İçeriğin çekirdeği 2013 Kırıkkale Üniversitesi Bilgisayar Mühendisliği Bilgisayar Ağları ders kapsamındaki OSI ve TCP/IP modelleri, Ethernet, IPv4, alt ağlara bölme, anahtarlama, yönlendirme ve temel ağ servisleridir. IPv6, QUIC, HTTP/3, güncel Ethernet ve Wi-Fi standartları, VPN, SD-WAN, Segment Routing, EVPN/VXLAN, bulut ağı ve model tabanlı otomasyon gibi daha yeni konular kendi standartlaşma dönemleriyle birlikte ele alınır; 2024-2026 tarihli RFC ve standart bilgileri tarihsel ders içeriği olarak sunulmaz.

Ünite 1: Ağın Temel Modeli

Ağ nedir?

Bilgisayar ağı, uç sistemlerin ortak kurallarla veri alışverişi yaptığı iletişim sistemidir. Bir ağı yalnız kablo veya kablosuz bağlantı oluşturmaz; adresleme, protokol, iletim ortamı ve ara cihazların birlikte çalışması gerekir.

Bileşenler üç grupta düşünülebilir:

• Uç sistemler: bilgisayar, sunucu, telefon, kamera, sensör, sanal makine ve konteyner iş yükü.
• Ara cihazlar: switch, router, erişim noktası, güvenlik duvarı, yük dengeleyici.
• İletim ortamı: bakır, fiber ve radyo.

Modern ağlarda fiziksel cihaz ile ağ işlevi aynı şey değildir. Router, güvenlik duvarı veya yük dengeleyici fiziksel cihazda, sanal makinede, konteyner altyapısında ya da bulut hizmeti olarak çalışabilir.

Ağ performansı

Tek başına hat hızı ağ kalitesini açıklamaz. Temel ölçüler:

• Bant genişliği: bağlantının kuramsal taşıma kapasitesi.
• **Işlem hacmi:** uygulamanın gerçekte elde ettiği aktarım hızı; başka bir deyişle işlem hacmi (işlem hacmi (throughput)).
• Goodput: protokol başlıkları ve yeniden iletimler çıkarıldıktan sonra yararlı veri hızı.
• **Gecikme:** verinin uçtan uca ulaşma süresi.
• Zamanlama sapması (jitter): gecikmenin zaman içindeki değişimi.
• Kayıp: teslim edilemeyen paket oranı.
• Erişilebilirlik: hizmetin kullanılabilir kalma oranı.

Toplam gecikme kabaca:

toplam gecikme =
iletim + yayılım + işleme + kuyruklama

şeklinde ayrılır.

Bant genişliğini artırmak iletim süresini azaltabilir, ancak yayılım gecikmesini ortadan kaldırmaz. Uzak kıtalar arasındaki bağlantıda fiziksel mesafe belirleyici olmaya devam eder.

Trafik türü ölçütlerin önem sırasını değiştirir. Yedeklemede toplam aktarım süresi; etkileşimli uygulamada gecikme; ses ve canlı görüntüde gecikme, jitter ve kayıp birlikte önemlidir.

Topoloji

Fiziksel topoloji cihazların ve bağlantıların gerçek yerleşimidir. Mantıksal topoloji trafiğin hangi sanal veya yönlendirilmiş yolları kullandığını gösterir.

Klasik fiziksel düzenler:

• Bus: ortak ortam. Tarihsel Ethernet için önemlidir.
• Ring: düğümler halka oluşturur.
• Star: uçlar merkezi switche bağlanır. Güncel erişim ağlarının temelidir.
• Mesh: düğümler arasında alternatif yollar bulunur.

Tam mesh bağlantı sayısı:

n(n - 1) / 2

olduğundan düğüm sayısı büyüdükçe maliyet hızla artar.

Kurumsal kampüslerde erişim, dağıtım ve çekirdek katmanları; veri merkezlerinde ise çoğunlukla leaf-spine düzeni kullanılır. Leaf-spine yapısında her leaf her spine'a bağlanır. Böylece sunucular arası doğu-batı trafiğinde yol uzunluğu daha öngörülebilir olur.

Katmanlı iletişim

Katmanlı model karmaşık iletişimi küçük sorumluluklara böler. Bir katmanın iç gerçekleştirimini değiştirmek, arabirim korunuyorsa diğer katmanların yeniden tasarlanmasını gerektirmez.

OSI modeli yedi katmanlı bir referanstır:

• Katman: 7 Uygulama; Görev: Uygulamaya ağ hizmeti
• Katman: 6 Sunum; Görev: Kodlama, biçim, şifreleme
• Katman: 5 Oturum; Görev: Oturum yaşam döngüsü
• Katman: 4 Taşıma; Görev: Uçtan uca iletişim, portlar
• Katman: 3 Ağ; Görev: IP adresleme ve yönlendirme
• Katman: 2 Veri bağlantısı; Görev: Yerel teslim ve çerçeveleme
• Katman: 1 Fiziksel; Görev: Bitlerin ortamda taşınması

İnternet uygulamaları pratikte TCP/IP modeliyle açıklanır:

Uygulama    HTTP, DNS, DHCP, SSH, SMTP
Taşıma      TCP, UDP, QUIC'in kullandığı UDP
İnternet    IPv4, IPv6, ICMP, ICMPv6
Erişim      Ethernet, Wi-Fi, PPP

QUIC katman sınırlarının mutlak olmadığını gösterir. UDP üzerinde çalışır, ancak güvenilir aktarım, akış denetimi ve tıkanıklık denetimi gibi taşıma işlevlerini kendi içinde gerçekleştirir.

Kapsülleme

Göndericide veri aşağı katmanlara inerken her katman kendi kontrol bilgisini ekler:

uygulama verisi
      |
TCP segmenti / UDP datagramı
      |
IP paketi
      |
Ethernet veya Wi-Fi çerçevesi
      |
bitler / semboller

Alıcıda işlem ters yönde yürür.

Normal bir yönlendirme yolunda IP hedefi nihai ucu gösterir; Ethernet hedef MAC adresi ise yalnız bir sonraki Layer 2 teslim noktasına aittir. Her router yeni bir bağlantı katmanı çerçevesi üretir. NAT, tünelleme ve bazı ağ geçitleri bu basit uçtan uca görünümün açık istisnalarıdır.

LAN ve WAN

LAN sınırlı bir alanda ve genellikle tek yönetim etki alanında çalışır. WAN ayrı coğrafi ağları taşıyıcı altyapısı üzerinden birleştirir.

PAN, kampüs ağı ve metropol ağı gibi ara sınıflar tanımlanabilir. Bulut ve veri merkezinde fiziksel alan sınıflandırmasından çok, yönetim sınırı ve gecikme bütçesi önem kazanmıştır.

Ünite 2: Fiziksel İletim ve Ethernet

Bakır

Bükümlü çift kabloda tellerin birlikte bükülmesi elektromanyetik girişimi ve çiftler arası karışmayı azaltır. UTP ekranlama kullanmaz; ekranlı türler elektriksel gürültünün yüksek olduğu ortamlarda yararlıdır. Ekranlama ancak doğru topraklama ile anlamlıdır.

Yaygın sınıflar:

Cat5e    1 Gbit/s     100 m
Cat6     1 Gbit/s     100 m
Cat6A    10 Gbit/s    100 m
Cat8     25/40 Gbit/s kısa veri merkezi bağlantıları

Cat6 ile 10GBASE-T daha kısa mesafede kullanılabilir. Kablolamada toplam kanal uzunluğu, ek noktaları ve patch kabloları birlikte değerlendirilir.

T568A ve T568B aynı elektriksel amacı farklı renk sırasıyla gerçekleştirir. Bir tesiste tutarlı sonlandırma kullanmak bakım açısından daha önemlidir.

Eski Ethernet'te benzer cihazlar için çapraz kablo ayrımı gerekliydi. Auto MDI/MDIX bu gereksinimi büyük ölçüde ortadan kaldırmıştır.

Yapısal kablolama ve test

Yapısal kablolama yalnız kablo kategorisi değildir. Kalıcı link, patch panel, priz, patch kabloları ve toplam kanal birlikte değerlendirilir.

Bakır bağlantıda temel ölçümler:

• süreklilik ve pin eşlemesi,
• insertion loss,
• return loss,
• NEXT ve diğer crosstalk ölçümleri,
• propagation delay ve delay skew.

Link ışığının yanması elektriksel bağlantıyı gösterir. Kanalın hedef kategori veya veri hızını sağladığını kanıtlamaz. Sertifikasyon testi bunu ölçer.

Fiber

Fiber elektrik yerine ışık taşır; elektromanyetik girişimden etkilenmez.

Tek mod fiber uzun mesafe ve omurga bağlantılarında kullanılır. Çok mod fiber daha kısa bina ve veri merkezi bağlantılarında yaygındır.

Yaygın bağlayıcı ve modül aileleri:

LC, SC, MPO/MTP
SFP, SFP+, SFP28
QSFP+, QSFP28
QSFP-DD, OSFP

Optik modül seçimi yalnız hıza göre yapılmaz. Dalga boyu, fiber türü, erişim mesafesi, bağlayıcı, FEC gereksinimi ve karşı uç uyumluluğu birlikte kontrol edilir.

Fiber kaybı, dispersiyon ve link bütçesi

İki temel sınır vardır:

• Attenuation: mesafe, bağlayıcı ve ek noktaları arttıkça optik güç azalır.
• Dispersion: ışık darbesi zaman içinde yayılır; komşu bitleri ayırmak zorlaşır.

Modal dispersiyon çok mod fiberde belirgindir. Tek mod fiber daha uzun erişim sağlar; buna rağmen kromatik dispersiyon ve optik güç bütçesi önemini korur.

Basit bütçe:

alıcı gücü =
verici gücü
- fiber kaybı
- bağlayıcı kaybı
- ek kaybı
- mühendislik payı

Sonuç alıcı duyarlılığının üzerinde, overload sınırının altında kalmalıdır.

OTDR yansıma ve kayıp olaylarını mesafeye göre gösterir. Optik güç ölçer uçtan uca gücü ölçer. Aynı soruyu yanıtlamazlar.

Ethernet hızları

Ethernet aynı MAC çerçeve modelini farklı fiziksel katmanlarla sürdürür:

100BASE-TX    100 Mbit/s
1000BASE-T    1 Gbit/s
10GBASE-T     10 Gbit/s
25G / 40G     veri merkezi
100G / 400G   fabric ve omurga
800G          yüksek hızlı fabric

IEEE 802.3df-2024, 400 ve 800 Gbit/s Ethernet için yeni fiziksel katman ve yönetim parametreleri tanımlar. 1.6 Tbit/s Ethernet ise Ağustos 2026 itibarıyla IEEE P802.3dj kapsamında hâlâ taslak çalışmadır. Bu nedenle 1.6T, tamamlanmış bir Ethernet standardı gibi değerlendirilmemelidir.

Yüksek hızlarda tek başına nominal bant genişliği yeterli değildir. SerDes hızı, FEC gecikmesi, optik güç bütçesi, kablo erişimi, switch radix'i ve toplam fabric kapasitesi tasarımın parçasıdır.

2026'da onaylanan IEEE 802.3dg, farklı bir yönde ilerler: tek dengeli bakır çift üzerinden 100 Mbit/s Ethernet ve isteğe bağlı güç iletimini tanımlar. Single Pair Ethernet yaklaşımı özellikle endüstriyel otomasyon, bina sistemleri ve uzun erişimli sensör/aktüatör bağlantılarında çok çiftli ofis Ethernet'ine alternatif oluşturur. Buradaki yenilik tepe hız değil, daha az iletkenle Ethernet ekosistemini saha cihazlarına kadar taşımaktır.

PoE

Power over Ethernet veri kablosu üzerinden enerji taşır. Erişim noktası, IP telefon, kamera ve IoT cihazları için ayrı güç hattı ihtiyacını azaltır.

Yaklaşık güç sınıfları:

802.3af       kaynak 15.4 W
802.3at       kaynak 30 W
802.3bt T3    kaynak 60 W
802.3bt T4    kaynak 90 W

Cihaza ulaşan güç kablo kayıpları nedeniyle daha düşüktür. Switch seçerken yalnız port başına değer değil, toplam PoE bütçesi hesaplanır.

Ethernet çerçevesi

Temel Ethernet çerçevesi:

Preamble + SFD   8 bayt
Hedef MAC        6 bayt
Kaynak MAC       6 bayt
Type/Length      2 bayt
Payload          46-1500 bayt
FCS              4 bayt

FCS, CRC ile iletim hatasını sezer; düzeltmez. Bozuk çerçeve atılır.

Standart Ethernet IP MTU değeri çoğu ağda 1500 bayttır. "Jumbo frame" için tek bir IEEE boyutu yoktur; yaklaşık 9000 bayt yaygın bir uygulama değeridir.

IPv4 paketinin çıkış MTU'sunu aşması durumunda parçalama yalnız protokol ve DF koşulları izin veriyorsa yapılır. IPv6 routerları paketi yolda parçalamaz; kaynak Path MTU Discovery bilgisine göre uygun büyüklük kullanır.

Tüneller ek başlık eklediği için etkin MTU'yu küçültür. GRE, IPsec, VXLAN veya başka kapsüllemelerde yalnız küçük ping paketlerinin çalışması bağlantının sağlıklı olduğunu kanıtlamaz.

MAC adresi

Klasik Ethernet MAC adresi 48 bittir:

00:1A:2B:3C:4D:5E

Adresin ilk bitleri unicast/multicast ve evrensel/yerel yönetim bilgisini taşır. Üretici tarafından atanmış adreslerde OUI alanı üretici kimliğine bağlanır.

Bir LAN içindeki hedef için çerçeve hedef hostun MAC adresine gider. Uzak ağdaki hedef için çerçeve varsayılan ağ geçidinin MAC adresine gider.

Özet:

IP hedefi  = nihai Layer 3 hedef
MAC hedefi = mevcut Layer 2 atlamadaki hedef

Unicast, multicast ve broadcast

Unicast tek hedefe, multicast gruba, broadcast aynı Layer 2 yayın alanındaki tüm istasyonlara yöneliktir.

Ethernet broadcast adresi:

FF:FF:FF:FF:FF:FF

IPv6 broadcast kullanmaz. Aynı ihtiyaçlar tanımlı multicast gruplarıyla karşılanır.

Ünite 3: Anahtarlama ve Yerel Ağ

Switch nasıl öğrenir?

Switch gelen çerçevenin kaynak MAC adresini giriş portuyla eşleştirerek MAC tablosunu öğrenir.

Hedef MAC:

• tabloda varsa yalnız ilgili porta iletilir,
• bilinmiyorsa aynı VLAN içindeki diğer uygun portlara flood edilir,
• broadcast ise VLAN içindeki yayın alanına dağıtılır.

MAC tablosu dinamik bir önbellektir. Girişler yaşlanır; bir host taşındığında yeni kaynak çerçevesi tabloyu günceller.

CAM, TCAM ve BUM

MAC tabloları genellikle CAM benzeri donanımda tutulur. TCAM, maskeli prefix, ACL ve politika eşleşmelerinde kullanılır.

BUM şu trafiği birlikte ifade eder:

Broadcast
Unknown unicast
Multicast

Kontrolsüz BUM bant genişliği ve forwarding kaynağı tüketir. Küçük Layer 2 hata alanları, multicast snooping ve overlay kontrol düzlemleri gereksiz flooding'i azaltır.

Store-and-forward ve cut-through

Store-and-forward çerçevenin tamamını alır ve FCS kontrolünden sonra iletir. Kurumsal Ethernet'te yaygındır.

Cut-through hedef MAC görüldükten sonra iletime başlayabilir. Gecikmeyi azaltır, ancak çerçevenin sonundaki FCS henüz bilinmediği için hatalı çerçevenin taşınması mümkündür. Çok düşük gecikmeli belirli fabriclerde kullanılır.

Duplex

Full duplex Ethernet'te iki uç aynı anda gönderip alabilir; çarpışma alanı ve CSMA/CD yoktur. Hub ve half duplex güncel kurumsal Ethernet'in normal çalışma biçimi değildir.

Otomatik görüşme iki uçta da açık bırakılmalıdır. Elle hız/duplex ayarlanacaksa iki uç birlikte değiştirilir. Duplex uyuşmazlığı bağlantının tamamen kopmasından çok düşük işlem hacmi, FCS ve late-çakışma benzeri belirtilerle kendini gösterebilir.

VLAN

VLAN, aynı fiziksel switch altyapısında ayrı Layer 2 broadcast alanları oluşturur.

VLAN 10 -> kullanıcılar
VLAN 20 -> ses
VLAN 30 -> sunucular

VLAN ile IP alt ağı aynı kavram değildir; biri Layer 2, diğeri Layer 3'tür. Kurumsal tasarımda çoğu zaman bir VLAN bir IP alt ağına eşlenir.

Access port genellikle tek VLAN taşır. Trunk port birden çok VLAN'ı taşır.

802.1Q

1. 1Q etiketi Ethernet çerçevesine VLAN bilgisini ekler. VLAN kimliği için 12 bit ayrıldığından normal VLAN kimliği alanı yaklaşık 4094 kullanılabilir değere sahiptir.

Etiket ayrıca öncelik ve drop uygunluğu için alanlar içerir. 802.1p olarak bilinen PCP bitleri Layer 2 QoS işaretlemesinde kullanılır.

Native VLAN yaklaşımında belirli trafik trunk üzerinde etiketsiz taşınabilir. İki uçta native VLAN uyuşmazlığı yanlış VLAN teslimine ve güvenlik sorunlarına yol açabilir. Üretimde trunkların elle tanımlanması, izin verilen VLAN listesinin dar tutulması ve otomatik trunk görüşmesinin gereksizse kapatılması daha güvenlidir.

VLAN'lar arası yönlendirme

Farklı VLAN'lar arasında Layer 3 yönlendirme gerekir.

Klasik yöntemler:

• router üzerinde ayrı fiziksel arayüz,
• router-on-a-stick,
• Layer 3 switch üzerindeki SVI.

Router-on-a-stick tek trunk üzerinden birden çok alt arayüz kullanır:

interface g0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0

Büyük LAN'da Layer 3 switch ve SVI daha ölçeklenebilir olur; yönlendirme ASIC üzerinde hat hızına yakın yapılabilir.

Layer 2 döngüleri

Ethernet çerçevesinde IP'deki TTL benzeri genel bir yaşam süresi yoktur. Yedekli Layer 2 yollar kontrol edilmezse broadcast fırtınası, MAC tablosu kararsızlığı ve çerçeve çoğalması ortaya çıkar.

Spanning Tree bu nedenle döngü oluşturan fazla yolları bloklar.

STP, RSTP ve MSTP

Temel süreç:

1. root bridge seçilir,
2. her switch root'a en iyi yolunu hesaplar,
3. port rolleri atanır,
4. döngü oluşturacak yolların forwarding yapması engellenir.

Klasik STP yavaş yakınsar. RSTP daha hızlıdır. PVST+, Rapid PVST+ ve MST farklı VLAN ve ölçek gereksinimlerine göre kullanılan yaklaşımlardır.

1. 1D, 802.1w ve 802.1s tarihsel tanımlardır; güncel bridge davranışlarının önemli bölümü IEEE 802.1Q ailesinde birleştirilmiştir.

MSTP, çok sayıda VLAN'ı daha az sayıda spanning-tree örnek'ına eşler. Aynı MST region içindeki cihazların region adı, revision değeri ve VLAN-örnek eşlemesi aynı olmalıdır.

RSTP'de sık kullanılan roller root, designated ve alternate'tır. Rol topolojideki görevi; discarding, learning ve forwarding ise veri durumunu belirtir.

Kritik korumalar:

• PortFast/edge: host portunu hızlıca forwarding'e geçirir.
• BPDU Guard: edge portunda beklenmeyen BPDU görülürse portu korur.
• Root Guard: istenmeyen superior BPDU'nun root seçimini değiştirmesini önler.
• Loop Guard: belirli tek yönlü arızalarda bloklu portun yanlış açılmasını önler.

Link aggregation

Birden çok fiziksel bağlantı tek mantıksal bağlantı gibi kullanılabilir. Güncel standart IEEE 802.1AX'tir; eski belgelerde 802.3ad adı görülür.

LACP dinamik üye seçimi ve bağlantı toplama sağlar. Cisco PAgP satıcıya özgüdür.

Üye bağlantılar şu özelliklerde uyumlu olmalıdır:

• hız ve duplex,
• access/trunk modu,
• native VLAN,
• izin verilen VLAN'lar.

Yük dağıtımı çoğu uygulamada akış hash'iyle yapılır. Dört adet 10G bağlantının tek bir TCP akışına zorunlu olarak 40 Gbit/s vermemesi bundan kaynaklanır. Toplam kapasite çok sayıda akış arasında ortaya çıkar.

İlk atlama yedekliliği

Hostun tek varsayılan ağ geçidine bağımlı olması erişilebilirlik sorunudur. FHRP protokolleri birden çok routerı tek sanal ağ geçidi arkasında toplar.

• HSRP: Cisco'ya özgü.
• VRRP: açık standart; güncel tanım RFC 9568'dir.
• GLBP: Cisco'ya özgü, yük paylaşımı yeteneği de sunar.

Yedeklilik yalnız iç arayüzün ayakta olmasına göre yapılmamalıdır. Uplink veya rota durumu izlenmezse gateway aktif görünürken dış ağ erişimi kaybolabilir.

802.1X ve MACsec

Port güvenliğini yalnız MAC adresi sayısına bağlamak yeterli değildir. IEEE 802.1X, ağa erişmeden önce uç veya kullanıcı kimliğini EAP/EAPOL üzerinden doğrular. Tipik kurumsal model:

Supplicant -> Switch/AP -> RADIUS

Switch veya AP authenticator, kimlik doğrulama hizmeti ise AAA sunucusu rolündedir.

IEEE 802.1AE MACsec, Ethernet bağlantısında veri gizliliği, bütünlük ve kaynak doğrulaması sağlar. Özellikle veri merkezi, kampüs omurgası ve taşıyıcı Ethernet bağlantılarında Layer 2 şifreleme için kullanılır.

Ünite 4: IPv4 ve Alt Ağ Tasarımı

IPv4

IPv4 adresi 32 bittir:

192.168.10.25/24

Prefix uzunluğu ağ ve host bölümünü ayırır. /24:

255.255.255.0

maskesine eşittir.

Sınıf tabanlı A/B/C adresleme CIDR ile terk edilmiştir. Sınıflar tarihsel ve sınav bağlamında bilinebilir, ancak güncel yönlendirme ve adres planı prefix uzunluğuyla yapılır.

Ağ adresi

IP ile maske bit düzeyinde AND işlemine alınır:

IP       192.168.10.25
Mask     255.255.255.0
Network  192.168.10.0

Host hedefin kendi prefixinde olduğunu görürse doğrudan Layer 2 çözümleme yapar. Değilse paketi varsayılan ağ geçidine gönderir.

Özel ve ayrılmış bloklar

10.0.0.0/8         RFC 1918 özel
172.16.0.0/12      RFC 1918 özel
192.168.0.0/16     RFC 1918 özel
127.0.0.0/8        loopback
169.254.0.0/16     link-local
100.64.0.0/10      shared address space / CGNAT
224.0.0.0/4        multicast

100.64.0.0/10, RFC 1918 özel adres alanı değildir; servis sağlayıcı düzeyi NAT için ayrılmış ortak adres alanıdır.

Subnetting

Host biti sayısı h ise toplam adres:

2^h

olur. Geleneksel unicast alt ağında ağ ve broadcast adresleri hosta verilmediğinden:

kullanılabilir host = 2^h - 2

hesabı yapılır.

İstisnalar önemlidir:

• /31: noktadan noktaya IPv4 bağlantısı için iki adres de kullanılabilir.
• /32: tek host rotası veya loopback adresidir.

Örnek:

192.168.1.0/26
Maske: 255.255.255.192
Blok: 64

Ağ          192.168.1.0
İlk host    192.168.1.1
Son host    192.168.1.62
Broadcast   192.168.1.63

Pratik hesapta ilgili octette:

blok = 256 - maske_değeri

kullanılabilir.

VLSM ve özetleme

VLSM, farklı alt ağlara farklı prefix uzunlukları vererek adres israfını azaltır. Planlama büyük host gereksiniminden küçüğe doğru yapılır.

Rota özetleme ters yönde çalışır: bitişik prefixler tek daha kısa prefix altında toplanır. Özetleme yönlendirme tablosunu küçültür, ancak gereğinden geniş özet kara delik oluşturabilir.

ARP

ARP bilinen IPv4 adresinin aynı Layer 2 alandaki MAC adresini bulur.

ARP Request  -> broadcast
ARP Reply    -> çoğunlukla unicast

Uzak bir IP için host hedefin MAC adresini aramaz; varsayılan ağ geçidinin MAC adresini arar.

Gratuitous ARP adres çakışması bildirimi ve failover sonrası komşu tablolarını güncelleme gibi işlerde kullanılır. Aynı güven varsayımı ARP spoofing saldırılarına da zemin hazırlar.

IPv6 ARP kullanmaz; bu işlev Neighbor Discovery içindedir.

NAT ve PAT

NAT adresleri, PAT ise çok sayıda iç akışı adres ve port eşlemesiyle daha az sayıda genel IPv4 adresine taşır.

Tipik PAT:

192.168.1.10:53124
       |
203.0.113.10:41001

NAT güvenlik duvarı değildir. İçe doğru bağlantıyı zorlaştırması yan etkidir; politika denetimi ayrı güvenlik mekanizmasıdır.

NAT uçtan uca adres şeffaflığını bozar ve bazı protokollerde ek ağ geçidi mantığı gerektirir. IPv4 kıtlığında önemli olmaya devam eder.

Ünite 5: IPv6

Adres yapısı

IPv6 128 bit adres kullanır. Sekiz adet 16 bitlik hextet onaltılı gösterilir:

2001:0db8:0000:0000:0211:22ff:fe33:4455

Öndeki sıfırlar atılabilir:

2001:db8:0:0:211:22ff:fe33:4455

Ardışık sıfır hextetleri bir adreste yalnız bir kez :: ile sıkıştırılabilir:

2001:db8::211:22ff:fe33:4455

Adres türleri

2000::/3    global unicast
fc00::/7    unique local
fe80::/10   link-local
ff00::/8    multicast
::1/128     loopback
::/128      unspecified

IPv6 broadcast kullanmaz.

Anycast ayrı bir adres biçimi değildir. Aynı unicast adres birden çok düğümde duyurulur; yönlendirme en uygun örneğe götürür.

LAN'larda /64 yaygın ve protokol tasarımı açısından temel prefix uzunluğudur. IPv4'teki gibi her birkaç host için daha dar prefix üretme yaklaşımı IPv6 adres planının amacı değildir.

Link-local

IPv6 etkin bir arayüz kendi bağlantısındaki iletişim için link-local adres kullanır. Neighbor Discovery, Router Advertisement ve birçok yönlendirme protokolü bu adreslerden yararlanır.

Link-local adres yönlendirilmez. Aynı değer farklı arayüzlerde bulunabileceği için next-hop olarak kullanıldığında çıkış arayüzü de gerekebilir.

Arayüz kimliği ve gizlilik

EUI-64, MAC adresinden arayüz tanımlayıcısı türeten tarihsel bir yöntemdir. Kalıcı donanım bilgisinin adrese yansıması izlenebilirlik sorunu oluşturur.

Modern istemciler çoğunlukla kararlı fakat donanımdan doğrudan türemeyen tanımlayıcılar ve geçici gizlilik adresleri kullanır. RFC 7217 ve RFC 8981 bu yaklaşımın önemli referanslarıdır.

SLAAC ve DHCPv6

SLAAC süreci:

Router Solicitation
        |
Router Advertisement
        |
prefix + ağ bilgileri
        |
host adres üretimi
        |
Duplicate Address Detection

DHCPv6 durumsuz veya durumlu çalışabilir. Router Advertisement içindeki M ve O bayrakları hosta hangi ek yapılandırma yöntemlerinin beklendiğine ilişkin bilgi verir; gerçek istemci davranışı işletim sistemi ve ağ politikasıyla birlikte değerlendirilmelidir.

Neighbor Discovery

ICMPv6, IPv6'nın yardımcı bir protokolü değil temel çalışma mekanizmasıdır.

Neighbor Discovery ileti türleri:

RS  Router Solicitation
RA  Router Advertisement
NS  Neighbor Solicitation
NA  Neighbor Advertisement
Redirect

Görevleri:

• router keşfi,
• prefix öğrenme,
• adres çözümleme,
• Duplicate Address Detection,
• komşu erişilebilirlik denetimi.

Bu nedenle ICMPv6'yı güvenlik duvarında tümüyle engellemek IPv6 çalışmasını bozabilir. Filtreleme ileti türü ve amaca göre yapılmalıdır.

IPv6 başlığı ve parçalama

IPv6 temel başlığı IPv4'e göre sadeleştirilmiştir. Seçenekler uzantı başlıklarına taşınır.

Ara routerlar IPv6 paketini parçalamaz. Paket yol MTU'sundan büyükse ICMPv6 Packet Too Big ile kaynak bilgilendirilir. Kaynağın uygun büyüklüğü seçmesi Path MTU Discovery'nin temelidir.

Geçiş yöntemleri

IPv4 ve IPv6 uzun süre birlikte çalışacaktır.

Yaygın modeller:

• Dual stack: iki protokolü aynı anda kullanır.
• NAT64/DNS64: IPv6 istemciyi IPv4 hizmete ulaştırır.
• 464XLAT: özellikle mobil IPv6-only ağlarda IPv4-only uygulamalara uyumluluk sağlar.
• Tüneller: geçiş ve özel bağlantı senaryolarında IPv6'yı başka bir ağ üzerinde taşır.

IPv6'nın amacı NAT'ı zorunlu kılmak değildir. Adres bolluğu uçtan uca adreslemeyi geri getirir; güvenlik yine stateful güvenlik duvarı ve erişim politikasıyla sağlanır.

Ünite 6: Taşıma ve Uygulama Protokolleri

Port ve soket

Taşıma katmanı aynı host üzerindeki uygulamaları port numaralarıyla ayırır.

Bir soket uç noktası:

IP adresi + port

olarak düşünülebilir.

TCP bağlantısı ise kaynak ve hedefteki IP ve port çiftleriyle ayırt edilir:

kaynak IP
kaynak port
hedef IP
hedef port

IANA port aralıkları:

0-1023        well-known
1024-49151    registered
49152-65535   dynamic/private

Sık görülen portlar:

22    SSH
25    SMTP
53    DNS
67/68 DHCPv4
80    HTTP
123   NTP
143   IMAP
161   SNMP
443   HTTPS
445   SMB

Port numarası protokolün güvenli olduğunu göstermez. Örneğin 443 çoğunlukla HTTPS'tir, ancak ağ cihazı yalnız port numarasına bakarak uygulamayı kesin tanımlayamaz.

TCP

TCP bağlantı yönelimli, sıralı bir bayt akışı sunar. Başlıca özellikleri:

• sıra numarası,
• acknowledgment,
• yeniden iletim,
• akış kontrolü,
• tıkanıklık denetimi,
• hata sezimi.

Bağlantı kurulumu:

İstemci -> SYN
Sunucu  -> SYN, ACK
İstemci -> ACK

Bu işlem iki tarafın başlangıç sıra numaralarını ve bağlantı durumunu eşler.

Bağlantı normal olarak her yön için ayrı FIN/ACK süreciyle kapatılır. RST bağlantıyı ani biçimde sonlandırır.

Akış ve tıkanıklık denetimi

İki mekanizma farklı sorunu çözer.

Akış kontrolü, hızlı göndericinin yavaş alıcının tamponunu taşırmasını önler. Alıcının advertised window değeri belirleyicidir.

Tıkanıklık denetimi, yol üzerindeki ağı korur. Gönderici, kayıp, ECN işaretleri ve ölçülen teslim davranışına göre uçuşta tutacağı veri miktarını ayarlar.

TCP algoritmaları zaman içinde değişmiştir. Reno ve benzeri klasik kayıp tabanlı yöntemlerin yanında CUBIC yaygın olarak kullanılır. BBR ise bant genişliği ve round-trip time modeline dayanan farklı bir yaklaşım sunar. Bir ağ yöneticisi için asıl ders algoritma adlarını ezberlemek değil, aynı paket kaybının hem uygulama performansını hem de göndericinin tıkanıklık penceresini etkileyebileceğini bilmektir.

UDP

UDP bağlantısız ve küçüktür. Başlığı yalnız sekiz bayttır:

kaynak port
hedef port
uzunluk
checksum

UDP:

• teslim garantisi vermez,
• yeniden iletim yapmaz,
• sıralama sağlamaz,
• bağlantı durumu tutmaz.

Bu sadelik gecikmenin kritik veya uygulamanın kendi aktarım mantığını kurduğu sistemlerde yararlıdır.

Kullanım örnekleri:

• DNS,
• DHCP,
• bazı SNMP işlemleri,
• gerçek zamanlı medya,
• QUIC.

UDP'nin kendisi güvenilmez olsa da UDP üzerinde kurulan uygulama protokolü güvenilirlik sağlayabilir. QUIC bunun en önemli örneğidir.

QUIC ve HTTP/3

QUIC, UDP üzerinde çalışan güvenli bir taşıma protokolüdür. TLS 1.3 el sıkışmasını taşıma kurulumu içine alır ve bir bağlantı içinde bağımsız akışlar sunar.

HTTP/3, HTTP semantiğini QUIC üzerinde taşır.

Temel kazanımlar:

• TCP ve TLS için ayrı el sıkışma gereksinimini azaltma,
• akışları birbirinden ayırma,
• bağlantıyı yalnız IP/port dörtlüsüne bağlamama,
• kullanıcı alanında protokol geliştirmeyi kolaylaştırma.

HTTP/2, tek TCP bağlantısı üzerinde çok sayıda uygulama akışı taşır. TCP'de bir segment kaybolduğunda daha sonra gelen baytlar bağlantı sırası nedeniyle bekler; bu, HTTP/2 akışlarının tamamını etkileyebilir. QUIC'te farklı akışlar ayrı sıralandığından kayıp genellikle yalnız ilgili akışı bekletir. Aynı QUIC akışının kendi içindeki sıralama gereksinimi devam eder.

QUIC Connection ID kullanabildiği için cihazın Wi-Fi'dan hücresel ağa geçmesi gibi IP değişikliklerinde bağlantı göçünü TCP'ye göre daha doğal destekler.

DNS

DNS, isimleri kaynak kayıtlarına eşleyen dağıtık ve hiyerarşik sistemdir.

Çözümleme zinciri:

istemci
   |
recursive resolver
   |
root
   |
TLD
   |
authoritative server

Sık kayıtlar:

A       IPv4
AAAA    IPv6
CNAME   takma ad
MX      posta sunucusu
NS      yetkili DNS sunucusu
PTR     ters çözümleme
TXT     metin / politika bilgileri
SRV     hizmet konumu
CAA     sertifika otoritesi politikası

TTL, kaydın önbellekte ne kadar tutulacağını belirler. Planlı DNS değişikliğinde TTL önceden düşürülmezse eski bilgi beklenenden uzun süre kalabilir.

DNSSEC ve şifreli DNS

DNSSEC, DNS verisine imza ekleyerek kaydın kaynağını ve bütünlüğünü doğrulamaya yardımcı olur. Trafiği şifrelemez.

Gizlilik için:

• DoT: DNS over TLS.
• DoH: DNS over HTTPS.
• DoQ: DNS over QUIC.

kullanılabilir.

Şifreli DNS, istemci ile resolver arasındaki sorguyu korur. Yetkili DNS zincirinin tamamını tek başına şifrelemez ve DNSSEC'in yerini almaz.

Kurumsal ağda DoH ve DoQ ayrıca yönetim sorunu yaratır: istemci harici resolver seçerse merkezi DNS filtresi atlanabilir. Çözüm şifrelemeyi kapatmak değil, kurumsal resolver ve istemci politikasını birlikte yönetmektir.

HTTP ve TLS

HTTP sürümleri taşıma biçimi bakımından ayrılır:

• HTTP/1.1: metin tabanlı mesaj biçimi, TCP.
• HTTP/2: ikili framing ve multiplexing, çoğunlukla TLS/TCP.
• HTTP/3: QUIC.

TLS 1.3 eski şifre paketlerinin önemli bölümünü kaldırmış, el sıkışmayı sadeleştirmiş ve geçici Diffie-Hellman tabanlı modern kurulumları varsayılan hale getirmiştir. Forward secrecy kesin olarak kullanılan anahtar anlaşma kipine bağlıdır; bu nedenle "TLS 1.3 olan her oturum koşulsuz ileri gizlidir" şeklinde genelleme yapılmamalıdır.

Kuantum sonrası TLS

NIST, 2024'te ML-KEM, ML-DSA ve SLH-DSA standartlarını yayımladı. Ağ tarafındaki en somut geçiş anahtar anlaşmasında görülmektedir.

Temmuz 2026'da yayımlanan RFC 10024, TLS 1.3 için şu melez grupları standartlaştırdı:

X25519MLKEM768
SecP256r1MLKEM768
SecP384r1MLKEM1024

Melez yapı klasik ECDHE ile ML-KEM'i birlikte kullanır. Amaç, tek bir kriptografik aileye geçiş sırasında hem klasik hem de kuantum sonrası güvenlik varsayımını korumaktır.

Bu geçiş "kuantum bilgisayar bugün TLS'i kırıyor" anlamına gelmez. Uzun süre gizli kalması gereken veride şimdi topla, sonra çöz riski nedeniyle anahtar değişiminin yıllar önceden dönüştürülmesi gerekir.

Diğer uygulama protokolleri

SSH, uzak yönetim için temel güvenli protokoldür. Telnet kimlik bilgilerini ve oturumu şifrelemediği için üretim yönetiminde kullanılmamalıdır.

FTP'nin kendisi şifreli değildir. Güvenli dosya aktarımında SFTP veya TLS kullanan uygun çözümler tercih edilir.

NTP zaman eşlemesini sağlar. Saat hatası:

• log korelasyonunu,
• sertifika geçerliliğini,
• Kerberos ve benzeri kimlik doğrulamalarını,
• dağıtık sistem analizini

bozabilir.

Syslog olayları merkezi sisteme taşır. Klasik UDP/514 kolaydır fakat teslim garantisi vermez; kritik ortamlarda güvenilir ve şifreli taşıma tercih edilir.

Ünite 7: Yönlendirme

Routerın veri düzlemi

Router paketi alır, hedef IP için yönlendirme tablosunda en uygun prefixi bulur ve paketi next-hop'a yollar.

IPv4'te tipik işlem:

1. Layer 2 başlığını çıkar.
2. Hedef IPv4 adresiyle FIB araması yap.
3. TTL'yi azalt.
4. Gerekli başlık güncellemesini yap.
5. Yeni Layer 2 çerçevesi oluştur.
6. Çıkış arayüzünden gönder.

Yönetim düzlemindeki RIB ile donanımın kullandığı FIB aynı kavram değildir. RIB protokollerden öğrenilen yolları, FIB ise iletim için seçilmiş sonuçları temsil eder.

En uzun prefix

Yönlendirmede ilk kural longest prefix match'tir.

10.0.0.0/8
10.1.0.0/16
10.1.20.0/24

hedef 10.1.20.5 ise /24 rota seçilir.

Kaynağın güvenilirliği veya metrik ancak aynı prefix için birden fazla aday varsa devreye girer.

Cisco bağlamında seçim sırası:

1. en uzun prefix,
2. aynı prefix farklı kaynaklardan geldiyse administrative distance,
3. aynı protokol içindeki adaylar arasında metrik.

Statik rota

Statik rota açık ve öngörülebilirdir:

ip route 10.20.0.0 255.255.0.0 192.168.1.2

Küçük stub ağlarda uygundur. Büyük topolojide elle yönetim yükü artar.

Varsayılan rota:

IPv4  0.0.0.0/0
IPv6  ::/0

daha özel eşleşme bulunmadığında kullanılır.

Yüksek administrative distance ile tanımlanan floating static route, dinamik veya birincil yol kaybolduğunda yedek olarak kullanılabilir.

ECMP, PBR ve VRF

ECMP, eşit maliyetli birden çok yolu FIB'e yerleştirir ve akışları bu yollar arasında dağıtır. Paket başına dağıtım sıralamayı bozabileceğinden akış hash'i yaygındır.

Policy-Based Routing (PBR) yalnız hedef prefixine bakmak yerine kaynak veya politika ölçütüyle next-hop seçebilir. Normal routing'in yerine değil, kontrollü istisna olarak kullanılmalıdır.

VRF, aynı cihaz üzerinde bağımsız Layer 3 routing tabloları oluşturur. Aynı IP prefixi farklı VRF'lerde bulunabilir. Tenant ayrımı, yönetim ağı, MPLS VPN ve EVPN fabriclerinde temel araçtır.

BFD

Bidirectional Forwarding Detection, iki uç arasında forwarding yolunun canlılığını hızlı saptar. OSPF, BGP ve statik rota takibi kendi daha yavaş timer'larını beklemek yerine BFD sonucuna tepki verebilir.

BFD rota hesaplamaz; yalnız erişilebilirlik bildirir.

Dinamik yönlendirme aileleri

Distance-vector: komşudan rota ve metrik bilgisi alır. RIP klasik örnektir. EIGRP gelişmiş distance-vector yaklaşımı kullanır.

Link-state: topoloji bilgisini paylaşır, her router aynı bağlantı durumu veritabanından kendi en kısa yol ağacını hesaplar. OSPF ve IS-IS bu sınıftadır.

Path-vector: yolun geçtiği otonom sistemleri ve politika niteliklerini taşır. BGP bu sınıftadır.

RIP

RIPv2 metrik olarak hop sayısını kullanır. 15 en büyük geçerli hop, 16 erişilemezdir. Periyodik tam tablo güncellemeleri ve yavaş yakınsama nedeniyle güncel büyük ağlarda tercih edilmez.

Split horizon, route poisoning ve hold-down gibi mekanizmalar distance-vector döngülerini azaltmak için geliştirilmiştir.

RIP'in güncel değeri üretim çözümünden çok yönlendirme döngüsü ve yakınsama kavramlarını öğretmesidir.

EIGRP

EIGRP Cisco kökenli gelişmiş distance-vector protokolüdür. Tasarımı RFC 7868'de bilgi amaçlı yayımlanmıştır; bu RFC Standards Track bir "açık standart" değildir.

DUAL algoritması:

• en iyi yol olan successor,
• koşulu sağlayan döngüsüz yedek feasible successor

kavramlarını kullanır.

Yedek yol önceden bulunmuşsa birincil yol kaybında tam yeniden hesap yapmadan hızlı geçiş sağlanabilir.

Varsayılan bileşik metrik bant genişliği ve gecikmeye dayanır. Yük ve güvenilirliği metriğe katmak kararsızlık yaratabildiği için normal tasarımda kullanılmaz.

OSPF

OSPF link-state IGP'dir.

Temel akış:

Hello
  |
komşuluk
  |
LSDB eşleme
  |
SPF / Dijkstra
  |
en kısa yol ağacı
  |
routing table

OSPFv2 IPv4, OSPFv3 IPv6 için geliştirilmiştir; güncel OSPFv3 genişletmeleri IPv4 adres ailelerini de taşıyabilir. Ders düzeyinde v2/IPv4 ve v3/IPv6 eşlemesi temel modeli anlamak için yeterlidir.

Komşuluğun kurulabilmesi için ilgili ağ tipinde alan, zamanlayıcı, kimlik doğrulama ve benzeri parametrelerin uyumlu olması gerekir. MTU uyuşmazlığı bazı platformlarda adjacency'nin EXSTART/EXCHANGE aşamasında takılmasına yol açabilir.

Router ID

Router ID mantıksal 32 bit kimliktir. Cisco'nun klasik seçiminde elle verilen değer önce gelir; aksi halde uygun loopback veya arayüz adreslerinden seçilir.

Üretimde elle sabitlemek daha güvenlidir. Fiziksel port değişince protokol kimliğinin değişmesini önler.

DR ve BDR

Broadcast çok erişimli ağda tüm routerların birbirleriyle tam adjacency kurması gereksiz ölçek oluşturur. OSPF bu nedenle Designated Router ve Backup Designated Router seçer.

Seçim:

1. OSPF interface priority,
2. Router ID

üzerinden yapılır.

Priority 0 olan router aday değildir.

DR seçimi normalde preemptive değildir. Daha yüksek öncelikli cihaz sonradan gelirse mevcut DR'ı yalnız bu nedenle devralmaz.

Noktadan noktaya ağda DR/BDR gerekmez.

OSPF alanları ve cost

Büyük LSDB hesaplama yükünü ve arıza yayılımını artırır. OSPF alanları bu kapsamı sınırlar.

Area 0 backbone'dur. ABR alanları bağlar. ASBR başka routing alanlarından rota içeri alır.

Klasik Cisco cost yaklaşımı:

cost = reference_bandwidth / interface_bandwidth

Tarihsel 100 Mbit/s reference bant genişliği, 1G/10G/100G bağlantıları ayırt etmekte yetersizdir. Modern değer bütün routerlarda tutarlı seçilmelidir.

OSPF LSA ve rota sınıfları

Akılda kalacak temel LSA haritası:

Type 1  Router LSA        alan içinde
Type 2  Network LSA       DR üretir
Type 3  Summary LSA       ABR üzerinden alanlar arası
Type 4  ASBR Summary      ASBR erişilebilirliği
Type 5  AS External       dış rota
Type 7  NSSA External     NSSA içindeki dış rota

LSA flooding topoloji durumunu dağıtır. SPF bu durumdan yolu hesaplar. Flooding ile forwarding aynı işlem değildir.

Özetleme LSDB ve rota sayısını azaltabilir. Fazla geniş özet gerçekte olmayan erişilebilirliği ilan edebilir; summary sınırında discard/null rota bu nedenle önemlidir.

Redistribution

Farklı routing alanları arasında rota redistribution kontrollü yapılmalıdır.

Çift yönlü redistribution:

• route feedback,
• suboptimal yol,
• metric dönüşüm hatası,
• routing loop

oluşturabilir.

Route tag ve açık filtreler rotanın kökenini korur ve geri beslemeyi engeller.

BGP

BGP, otonom sistemler arasında ve büyük routing alanlarının içinde politika tabanlı yönlendirme yapar.

• eBGP: farklı AS'ler arasında.
• iBGP: aynı AS içinde.

Oturum normal olarak TCP 179 kullanır.

Komşuluk durumları:

Idle
Connect
Active
OpenSent
OpenConfirm
Established

Kalıcı rota değişimi Yerleşik durumunda başlar.

Klasik iBGP tam mesh ister; bir iBGP komşusundan öğrenilen rota normal olarak başka iBGP komşusuna yeniden ilan edilmez. Route reflector bu ölçek yükünü azaltır. Confederation büyük bir AS'yi içeride alt-AS'lere böler.

Temel nitelikler:

• LOCAL_PREF: AS içindeki tercih; yüksek değer genellikle üstündür.
• AS_PATH: geçilen AS dizisi ve döngü önleme bilgisi.
• ORIGIN: prefixin BGP'ye nasıl girdiği.
• MED: komşu AS'ye tercih edilen giriş hakkında ipucu.
• NEXT_HOP: Layer 3 next-hop.
• COMMUNITY: politika etiketi.

Exact best-path sırası uygulamaya göre değişebilir. Güvenli zihinsel model şudur: önce politika, sonra nitelikler. “BGP her zaman en kısa AS_PATH'i seçer” yanlıştır.

Prefix list, AS-path filter ve route-map/policy ifadeleri hangi rotanın kabul, değiştirme ve ilan edileceğini belirler.

MP-BGP, aynı BGP mekanizmasını IPv6, VPN ve EVPN gibi farklı address family'lere taşır. AFI/SAFI hangi adres ailesi ve alt-aile için NLRI taşındığını ayırır.

BGP güvenliği

Yanlış prefix duyurusu trafik kaçırabilir. RPKI Route Origin Validation, bir prefixi hangi AS'nin köken olarak duyurabileceğini kriptografik yetkilendirmeyle denetlemeye yardım eder.

RPKI/ROV tam yol doğrulaması değildir. Köken AS yetkisini doğrular; AS_PATH içindeki bütün ara ilişkilerin gerçek olduğunu kanıtlamaz.

Route leak farklı bir sorundur: meşru öğrenilmiş rota yanlış komşuya yeniden duyurulur. RFC 9234, BGP Roles ve Only-to-Customer (OTC) niteliğiyle bu sınıf hataları azaltacak mekanizmalar tanımlar.

Güvenli BGP işlemi tek teknolojiye dayanmaz. Prefix filtreleme, max-prefix, RPKI/ROV, oturum koruması ve doğru komşuluk politikası birlikte gerekir.

Segment Routing

Segment Routing, kaynağa veya ingress düğümüne paketin izleyeceği mantıksal segmentler dizisini seçme imkanı verir.

İki ana veri düzlemi:

• SR-MPLS: segmentler MPLS label olarak kodlanır.
• SRv6: segmentler IPv6 SID olarak temsil edilir.

Temel fikir, çekirdek'da her ayrı akış için karmaşık durum tutmak yerine politika bilgisinin ingress'te tanımlanabilmesidir.

Kullanım alanları:

• traffic engineering,
• hızlı yeniden yönlendirme,
• servis zinciri,
• ağ dilimleme için altyapı,
• merkezi veya hibrit kontrol.

SRv6 klasik IPv6 yönlendirmesinin yerine geçen tek bir protokol değildir; IPv6 veri düzlemi üzerinde programlanabilir segment davranışları ekler.

Ünite 8: Multicast, IP Hizmetleri ve QoS

Multicast

Multicast bir kaynak akışını alıcı grubuna taşır; her alıcı için ayrı unicast kopyası oluşturmak zorunda değildir.

IPv4 multicast alanı 224.0.0.0/4'tür. Ethernet multicast gruplarını multicast MAC adreslerine eşler.

Her multicast çerçevesini bütün switch portlarına flood etmek ölçeklenmez.

IGMP ve IGMP snooping

IGMP, IPv4 hostunun grup üyeliğini routerlara bildirir. IGMPv2 temel join/leave davranışını, IGMPv3 ise kaynak seçimine dayalı üyeliği destekler.

IGMP snooping, switchin IGMP kontrol mesajlarını gözleyerek hangi portlarda alıcı bulunduğunu öğrenmesini sağlar.

IGMP Layer 3 üyelik protokolüdür. Snooping Layer 2 optimizasyonudur.

IPv6 tarafında benzer üyelik işlevini MLD sağlar.

PIM, RPF ve dağıtım ağaçları

PIM, routerlar arasında multicast forwarding durumunu kurar.

• PIM Dense Mode: alıcıların yaygın olduğunu varsayar; flood-and-prune kullanır.
• PIM Sparse Mode: alıcıların seyrek olduğunu varsayar; açık join kullanır.

PIM-SM önce Rendezvous Point (RP) çevresinde shared tree kullanabilir, sonra kaynağa dayalı shortest-path tree'ye geçebilir.

Reverse Path Forwarding (RPF), multicast paketin kaynağa doğru en iyi unicast yolun beklediği arayüzden gelip gelmediğini sınar. RPF başarısızsa paket düşürülür.

Akılda kalacak ayrım:

IGMP/MLD        alıcı üyeliği
IGMP snooping   Layer 2 alıcı portları
PIM             routerlar arası multicast ağacı
RPF             ters yol denetimi
RP              PIM-SM buluşma noktası

DHCP

DHCPv4 istemcinin temel ağ yapılandırmasını otomatik almasını sağlar.

DORA:

Discover
Offer
Request
Ack

Sunucu şu bilgileri dağıtabilir:

• IPv4 adresi,
• maske,
• varsayılan ağ geçidi,
• DNS sunucusu,
• lease süresi,
• ek seçenekler.

İstemci ve sunucu farklı broadcast alanındaysa router veya Layer 3 switch üzerindeki DHCP relay isteği sunucuya unicast taşır.

DHCP güvene dayalıdır. Sahte DHCP sunucusu yanlış gateway veya DNS dağıtabilir. Switch üzerinde DHCP snooping güvenilen uplink ile istemci portlarını ayırarak bu riski azaltır.

DNS, DHCP ve ARP ayrımı

Bu üç hizmet sık karıştırılır:

DNS   isim -> IP
ARP   IPv4 -> MAC
DHCP  istemciye ağ yapılandırması

Bir bağlantı arızasında doğru katmanı seçmek sorun gidermeyi hızlandırır.

NTP

Dağıtık sistemde saat yalnız kullanıcıya gösterilen bilgi değildir. Logların sıralanması, sertifika kontrolü, olay korelasyonu ve bazı kimlik doğrulama sistemleri zamana bağlıdır.

Saat kaynakları katmanlı bir stratum yapısı içinde dağıtılır. Kurumsal ortamda cihazların rastgele İnternet NTP sunucularına bağlanması yerine denetimli iç zaman kaynakları kullanılması tercih edilir.

PTP

NTP genel sistem zamanı için uygundur. Precision Time Protocol (PTP / IEEE 1588), endüstri, telekom, finans ve benzeri ortamlarda çok daha sıkı faz/zaman doğruluğu hedefler.

Grandmaster, boundary clock ve transparent clock rolleri ağ boyunca biriken zamanlama hatasını azaltır.

PTP ile NTP aynı hassasiyet sınıfını hedeflemez.

SNMP

SNMP cihaz durumunu okumak, sayaçları izlemek ve bildirim almak için uzun süredir kullanılan yönetim protokolüdür.

Temel bileşenler:

• manager/NMS,
• agent,
• MIB,
• OID.

SNMPv1 ve v2c community string'e dayanır ve güvenli yönetim için zayıftır. SNMPv3 kimlik doğrulama ve gizlilik özellikleri sunduğu için tercih edilir.

SNMP ölçeklenebilir izleme için hâlâ değerlidir, ancak model tabanlı akış tabanlı telemetry ile aynı yaklaşım değildir. Polling periyodik sorgu yapar; akış tabanlı modelinde cihaz değişen veya periyodik veriyi abonelere iter.

Syslog ve olay yönetimi

Merkezi log toplama:

• arıza zaman çizelgesi,
• güvenlik olayı korelasyonu,
• kapasite analizi

için gereklidir.

Tek bir cihazın saatinin yanlış olması bile çok cihazlı olay analizini yanıltır. NTP ve syslog bu nedenle birlikte düşünülmelidir.

QoS

QoS bant genişliği yaratmaz; kıt kaynak oluştuğunda trafiğe farklı işlem uygular.

Temel süreç:

sınıflandır
   |
işaretle
   |
kuyrukla
   |
zamanla
   |
gerekirse şekillendir veya denetle

Layer 3'te DSCP, Layer 2'de PCP/CoS işaretleri kullanılabilir.

Classification paketin hangi sınıfa ait olduğunu belirler.

Marking bu sınıfı paket veya çerçevede işaretler.

Queuing/scheduling çıkış kapasitesi yetmediğinde hangi sınıfın önce gönderileceğini belirler.

Shaping fazla trafiği tamponlayıp daha düzgün hızda gönderir.

Policing belirlenen oranı aşan trafiği düşürebilir veya yeniden işaretleyebilir.

QoS modelleri ve kuyruk yönetimi

Üç temel yaklaşım bilinmelidir:

• Best Effort: bütün trafik aynı temel hizmet sınıfındadır.
• IntServ: akış başına kaynak ayırmayı hedefler; büyük ağlarda durum ölçeği maliyetlidir.
• DiffServ: trafiği sınıflara ayırır ve DSCP/PHB ile sınıf başına davranış uygular.

Kuyruklama yalnız “yüksek öncelik önce” değildir. Strict priority gecikmeye duyarlı trafiği korur, ancak sınır konmazsa diğer sınıfları aç bırakabilir. Weighted yöntemler kapasiteyi sınıflar arasında paylaştırır.

AQM, kuyruk tamamen dolmadan tıkanıklık işareti veya drop üreterek uçların daha erken tepki vermesini sağlar. RED/WRED klasik örneklerdir. ECN ile birlikte kullanıldığında paket düşürmeden de sinyal verilebilir.

Güven sınırı

Uç cihaz kendi paketini yüksek öncelikli işaretleyebiliyorsa herkes ses trafiği olduğunu iddia edebilir. Bu nedenle QoS işaretine nerede güvenileceği tanımlanır.

İşaretleme mümkün olduğunca kaynağa yakın yapılır, ancak yalnız güvenilen cihazın işareti korunur. Güvenilmeyen erişim portunda sınıflandırma switch tarafından yeniden yapılabilir.

ECN

Explicit Congestion Notification, uygun uçlar ve ağ cihazları destekliyorsa tıkanıklığı paket düşürmeden işaretlemeye imkan verir.

Bu yaklaşım özellikle düşük gecikmeli veri merkezi ağlarında önemlidir. Ancak ECN tek başına kuyruk tasarımını çözmez; AQM, uç algoritması ve switch eşikleri birlikte ayarlanmalıdır.

DetNet ve TSN

Klasik QoS en iyi çaba trafiği içinde öncelik sağlar; gecikme üst sınırı garanti etmek daha zordur.

IETF Deterministic Networking (DetNet), kontrollü alanlarda:

• ayrılmış kaynak,
• açık yol,
• paket çoğaltma ve eleme

gibi tekniklerle çok düşük kayıp ve sınırlı gecikme hedefler.

IEEE Time-Sensitive Networking (TSN) benzer deterministik gereksinimleri Layer 2 Ethernet tarafında ele alan standartlar ailesidir.

Kullanım alanları:

• endüstriyel kontrol,
• profesyonel medya,
• araç içi ağ,
• kritik gerçek zamanlı sistemler.

DetNet genel İnternet'e deterministik gecikme garantisi verme yöntemi değildir; yönetilen bir etki alanı gerektirir.

2026'da yayımlanan RFC 9912, Reliable and Available Wireless (RAW) mimarisiyle güvenilirlik ve kullanılabilirlik düşüncelerini değişken kablosuz bağlantılara genişletir. Amaç kablosuz ortamı "kayıpsız" varsaymak değil, yol çeşitliliği ve yerel onarım ile öngörülebilirliği artırmaktır.

Ünite 9: Kablosuz Ağlar

Ortamın farkı

Ethernet switch portu çoğunlukla iki uç arasında ayrılmış full-duplex bağlantıdır. Wi-Fi ise ortak radyo ortamını paylaşır.

Bu nedenle:

yüksek PHY hızı != aynı miktarda uygulama throughput'u

Erişim süresi, yeniden iletim, kanal genişliği, istemci sayısı, modülasyon, girişim ve airtime paylaşımı sonucu belirler.

Wi-Fi çakışma detection yerine CSMA/CA yaklaşımını kullanır.

RF ölçümleri

dB oranı, dBm 1 mW referanslı mutlak gücü ifade eder.

Yaklaşık ilişkiler:

+3 dB   yaklaşık 2x güç
-3 dB   yaklaşık yarı güç
+10 dB  10x güç

RSSI alınan sinyal gücünü, noise floor arka plan gürültüsünü gösterir. **SNR** sinyalin gürültü üzerindeki payıdır:

SNR(dB) = signal(dBm) - noise(dBm)

Yüksek modulation/coding oranları daha yüksek SNR ister. Güçlü RSSI, gürültü de yüksekse iyi bağlantı anlamına gelmez.

Serbest uzay kaybı mesafe ve frekansla büyür. Verici gücü, antenna gain, kablo kaybı ve receiver sensitivity tek RF link budget içinde değerlendirilmelidir.

Bantlar ve kanal planlama

Kurumsal WLAN'da üç temel bant vardır:

• 2.4 GHz: daha uzun pratik erişim, az bağımsız kanal, yüksek girişim.
• 5 GHz: daha çok kanal ve yaygın kurumsal kullanım.
• 6 GHz: Wi-Fi 6E ve Wi-Fi 7 için geniş spektrum; erişim ve mevzuat bölgeye bağlıdır.

Kanal genişliği arttıkça tek istemcinin tepe hızı yükselir, ancak aynı alandaki bağımsız kanal sayısı azalır. Yoğun ortamlarda daha dar kanallar daha yüksek toplam kapasite verebilir.

Co-channel interference, hücrelerin aynı kanalda airtime paylaşmasıdır. Adjacent-channel interference, kısmen çakışan kanalların temiz koordinasyon olmadan birbirini bozmasıdır.

Antenna gain, beamwidth ve polarization kapsama alanını şekillendirir. Omnidirectional anten ideal küre üretmez; gerçek radiation pattern antene ve montaja bağlıdır.

802.11 kuşakları

Önemli gelişim:

Wi-Fi 4   802.11n    MIMO
Wi-Fi 5   802.11ac   daha geniş 5 GHz kanalları, MU-MIMO
Wi-Fi 6   802.11ax   OFDMA, yoğun istemci verimliliği
Wi-Fi 6E             802.11ax'ın 6 GHz kullanımı
Wi-Fi 7   802.11be   EHT, 320 MHz, MLO, daha yüksek kapasite

IEEE 802.11be-2024 aktif standarttır ve Extremely High Işlem hacmi özelliklerini tanımlar. Wi-Fi 7'nin öne çıkan tekniklerinden biri Multi-Link Operation (MLO)'dur. Uygun istemci ve AP birden çok linki daha esnek kullanabilir; amaç yalnız tepe hız değil gecikme ve bağlantı dayanıklılığıdır.

Wi-Fi 8

IEEE P802.11bn, Ultra High Reliability çalışmasıdır ve Ağustos 2026 itibarıyla hâlâ taslaktır.

Hedef yalnız daha yüksek tepe hızı değildir. Görev grubunun performans hedefleri EHT'ye göre belirli senaryolarda:

• işlem hacmi artışı,
• 95. yüzdelik gecikmede azalma,
• özellikle BSS geçişlerinde MPDU kaybında azalma,
• AP güç tüketiminde iyileşme

üzerindedir.

Bu nedenle Wi-Fi 8'i "bir sonraki hız sınıfı" olarak düşünmek eksiktir. Ana tema kararlılık ve zor radyo koşullarında öngörülebilir performanstır.

IEEE çalışma grubunda ayrıca enhanced privacy, ambient power communications, integrated mmWave, light communications ve Wi-Fi için post-quantum cryptography gibi projeler ilerlemektedir. Bunlar aynı olgunlukta değildir; tamamlanmış özellik gibi planlanmamalıdır.

Buna karşılık IEEE 802.11bf-2025 WLAN Sensing yayımlanmış bir standarttır. Wi-Fi kanalındaki ölçümler yalnız veri taşımak için değil, ortamdaki hareket ve fiziksel değişimleri algılayan sensing uygulamaları için de kullanılabilir. Böylece WLAN, iletişim altyapısının yanında belirli algılama işlevlerinin de taşıyıcısı haline gelir. Mahremiyet ve yanlış kullanım riski bu yeni yeteneğin teknik tasarımı kadar önemlidir.

WLAN bileşenleri

Temel kavramlar:

• STA: istemci.
• AP: erişim noktası.
• BSS: tek AP'nin temel servis alanı.
• ESS: aynı hizmeti sunan birden çok BSS.
• SSID: mantıksal WLAN adı.
• BSSID: belirli radyo/BSS kimliği.

Bir istemcinin bağlanması kabaca:

keşif
  |
kimlik doğrulama
  |
association
  |
anahtar kurulumu
  |
IP yapılandırması

şeklinde ilerler.

SSID gizlemek güvenlik sağlamaz. MAC filtreleme de güçlü kimlik doğrulama değildir; MAC adresi gözlenebilir ve taklit edilebilir.

AP mimarileri

Autonomous AP: yapılandırma her AP'dedir.

Denetleyici tabanlı AP: merkezi WLC radyo politikası ve WLAN yapılandırmasını yönetir.

Bulut yönetimli AP: yönetim düzlemi servis sağlayıcının bulutundadır; kullanıcı verisi topolojiye göre yerel veya merkezi yollar izleyebilir.

CAPWAP, denetleyici tabanlı Cisco ve benzeri mimarilerde AP ile denetleyici arasındaki kontrol tünelinin temel standartlarından biridir.

Merkezi yönetimin asıl kazancı "tek ekrandan ayar" değildir. Kanal, güç, dolaşım, güvenlik ve firmware politikasını bütün AP'lerde tutarlı uygulamaktır.

Dolaşım

İstemci bir AP'den diğerine geçtiğinde uygulama oturumu mümkün olduğunca kesintisiz sürmelidir.

1. 11k, 802.11v ve 802.11r farklı yönlerden roaming'i iyileştirir:

• komşu bilgisi,
• ağın istemciyi yönlendirmesi,
• hızlı BSS geçişi.

Roaming kararının önemli bölümü istemciye aittir. AP'nin daha güçlü olması istemcinin hemen geçeceği anlamına gelmez.

WPA2 ve WPA3

WEP ve orijinal WPA artık güvenli kabul edilmez.

WPA2'de AES-CCMP temel güvenli seçenektir. WPA3:

• SAE ile parola tabanlı kimlik doğrulamayı güçlendirir,
• Protected Management Frames kullanımını güçlendirir,
• kurumsal seçeneklerde daha güçlü kriptografik profiller sunar.

Kurumsal WLAN'da 802.1X/EAP ve RADIUS, ortak PSK'ya göre kullanıcı ve cihaz kimliğini daha iyi yönetir.

Bir kablosuz ağın güvenliği yalnız WPA sürümünden ibaret değildir. Rogue AP, evil twin, zayıf onboarding, sertifika doğrulamasının kapatılması ve yanlış VLAN politikası pratikte daha ciddi açık oluşturabilir.

Ünite 10: Ağ Güvenliği

Güvenlik hedefi

Ağ güvenliği yalnız trafiği şifrelemek değildir. Temel hedefler:

• gizlilik,
• bütünlük,
• erişilebilirlik,
• kimlik doğrulama,
• yetkilendirme,
• izlenebilirlik.

Bir ağın "içeride" olması güvenilir olduğu anlamına gelmez. Kimlik bilgisi ele geçirilmesi, yanlış yapılandırma ve yanal hareket nedeniyle güven kararları ağ konumundan bağımsız kurulmalıdır.

Saldırı yüzeyi

Başlıca risk alanları:

• yönetim arayüzleri,
• zayıf kimlik doğrulama,
• eski protokoller,
• açık servisler,
• Layer 2 güven varsayımları,
• DNS ve yönlendirme yanlış yönlendirmeleri,
• yazılım açıkları,
• yanlış bulut politikaları,
• kullanıcı uçları.

Güvenlikte ilk iş gereksiz yüzeyi kaldırmaktır. Kullanılmayan servis, port ve yönetim protokolü kapalı tutulmalıdır.

Layer 2 saldırıları

MAC flooding, switch MAC tablosunu doldurarak bilinmeyen unicast trafiğin flood edilmesini hedefleyebilir.

ARP spoofing, saldırganın kendi MAC adresini başka IPv4 adresiyle ilişkilendirmesidir.

DHCP spoofing, sahte sunucunun yanlış gateway veya DNS dağıtmasıdır.

VLAN hopping, trunk görüşmesi veya etiketleme hatalarından yararlanabilir.

Koruma araçları:

• port security,
• DHCP snooping,
• Dynamic ARP Inspection,
• IP Source Guard,
• BPDU Guard,
• elle access/trunk tanımı,
• kullanılmayan portların kapatılması.

Bu özellikler birbirini tamamlar. Örneğin Dynamic ARP Inspection çoğu tasarımda güvenilir IP-MAC bağlarını DHCP snooping veritabanından alır.

Control plane ve management plane güvenliği

Data plane kullanıcı paketlerini taşır. Control plane routing ve komşuluk protokollerini, management plane ise yapılandırma ve izlemeyi yürütür.

Router CPU'suna ulaşan trafik kontrol edilmezse forwarding ASIC'leri sağlıklı olsa bile routing ve yönetim etkilenebilir.

Control Plane Policing (CoPP) kontrol düzlemi CPU'suna giden trafiği sınıflandırıp oran sınırı uygular.

Management plane için temel önlemler:

• SSH/HTTPS,
• AAA,
• management ACL,
• yönetim VRF'i veya out-of-band ağ,
• merkezi log,
• kontrollü zaman kaynakları.

ACL

ACL trafiği Layer 3/4 ölçütlerle eşleyip izin veya engelleme kararı verir.

Basit ilke:

en dar gerekli izin
+
varsayılan engelleme

ACL yönü ve yerleşimi önemlidir. Aynı kural yanlış arayüz veya yönde uygulandığında etkisiz olabilir ya da meşru trafiği kesebilir.

Standart Cisco yaklaşımında extended ACL kaynağa yakın, standard ACL hedefe yakın yerleştirilir düşüncesi öğretici bir başlangıçtır; gerçek tasarımda topoloji, asimetrik yol ve işlem maliyeti de değerlendirilir.

Güvenlik duvarı

Stateful güvenlik duvarı yalnız paketin tek tek alanlarına bakmaz; bağlantı durumunu da izler.

Yeni bağlantının:

• kim tarafından başlatıldığı,
• hangi politikaya uyduğu,
• dönüş trafiğinin gerçekten mevcut oturuma ait olup olmadığı

denetlenebilir.

Next-generation güvenlik duvarı kavramı uygulama farkındalığı, kullanıcı kimliği, TLS inceleme, IPS ve tehdit istihbaratı gibi işlevleri birleştirebilir. Ancak çok özellik tek cihazda toplandığında performans ve arıza etkisi de birlikte büyür.

IDS ve IPS

IDS şüpheli davranışı saptar ve bildirir. IPS trafiğin üzerinden geçtiği için müdahale edebilir.

Tespit yöntemleri:

• imza,
• protokol anomali analizi,
• davranış analizi.

Yanlış pozitif ile kaçırılan saldırı arasında denge vardır. Kuralsız "her şeyi engelle" yaklaşımı üretim sisteminde sürdürülebilir değildir.

DoS, DDoS ve kaynak doğrulama

DoS hizmet kapasitesini veya state tablolarını tüketir. DDoS bunu çok sayıda kaynaktan dağıtır.

Yansıma/amplification saldırısında saldırgan kurbanın kaynak adresini taklit ederek küçük isteklerle daha büyük yanıtların kurbana gitmesini sağlar. DNS ve NTP tarihsel örneklerdir.

BCP 38 ingress filtering ve uygun yerde uRPF, spoof edilmiş kaynak trafiğini azaltır. Büyük DDoS olaylarında ana kaynak filtering, rate limit, anycast, scrubbing ve ek kapasite birlikte gerekebilir.

AAA

AAA:

Authentication   kimsin?
Authorization    ne yapabilirsin?
Accounting       ne yaptın?

RADIUS ağ erişimi, VPN ve 802.1X için yaygındır. TACACS+ özellikle ağ cihazı yönetiminde ayrıntılı komut yetkilendirmesiyle tercih edilebilir.

Yönetim hesabının yerel cihazlarda ayrı ayrı tutulması ölçeklenmez. Merkezi AAA hem yetki yaşam döngüsünü hem denetim kaydını iyileştirir. Acil durum için kontrollü yerel "break-glass" hesabı ayrıca korunabilir.

Şifreleme

Simetrik şifreleme yüksek hızda veri korur. AES bunun temel örneğidir.

Açık anahtarlı yöntemler kimlik doğrulama, imza ve anahtar anlaşmasında kullanılır. RSA ve eliptik eğri tabanlı yöntemler klasik kriptografinin temelidir.

Özet fonksiyonu verinin sabit uzunluklu temsilini üretir. Çakışma direnci gereken yeni tasarımlarda SHA-256 veya daha güçlü modern aileler kullanılmalıdır. MD5 ve SHA-1 imza/çakışma güvenliği için uygun değildir.

PKI ve sertifika

PKI bir açık anahtarın hangi kimliğe ait olduğuna dair güven zinciri kurar.

Sertifika doğrulamasında:

• imza zinciri,
• hostname/SAN,
• geçerlilik zamanı,
• iptal durumu,
• algoritma politikası

birlikte değerlendirilir.

TLS'te sık rastlanan hata "şifreleme açık olduğu için güvenlidir" varsayımıdır. İstemci sertifikayı doğrulamıyorsa saldırganla şifreli oturum kurulabilir.

Zero Trust

NIST SP 800-207 yaklaşımında ağ konumu tek başına güven gerekçesi değildir. Kaynak ve hedef arasındaki her erişim isteği kimlik, cihaz durumu, bağlam ve politika üzerinden değerlendirilir.

Pratik sonuçlar:

• en az ayrıcalık,
• güçlü kimlik,
• sürekli doğrulama,
• mikrobölümleme,
• ayrıntılı telemetri.

Zero Trust, bir ürün adı veya VLAN sayısını artırma tekniği değil; erişim kararını ağ konumundan bağımsız olarak kimlik, cihaz durumu, bağlam ve politika üzerinden kuran mimari yaklaşımdır.

ZTNA ve SASE

ZTNA, kullanıcıyı bütün uzak ağa bağlamak yerine belirli uygulamaya yetkili erişim vermeyi hedefler. Bu, geniş kapsamlı VPN erişimini azaltabilir; VPN'in tüm kullanım alanlarını otomatik olarak ortadan kaldırmaz.

SASE, WAN bağlantısı ile güvenlik hizmetlerini bulut üzerinden yakınlaştıran mimari yaklaşımdır. SD-WAN, güvenli web ağ geçidi, güvenlik duvarı hizmeti, CASB ve ZTNA gibi işlevler aynı politika düzleminde birleştirilebilir.

Asıl amaç ürün adlarını toplamak değil, kullanıcı ve iş yükünün konumdan bağımsız olarak aynı erişim politikasını almasıdır.

MACsec, IPsec ve TLS

Şifreleme katmanı tehdide göre seçilir:

MACsec   Layer 2 bağlantı
IPsec    Layer 3 ağ / tünel
TLS      uygulama-taşıma üstü oturum

MACsec aynı Ethernet alanındaki bağlantıyı korur. IPsec site-to-site veya host-to-network güvenli tünel kurabilir. TLS uygulama uçları arasında güvenlik sağlar.

Bunlar birbirinin mutlak alternatifi değildir. Aynı sistemde farklı tehdit sınırları için birlikte kullanılabilir.

Ünite 11: WAN, VPN ve Programlanabilir Yollar

WAN seçenekleri

WAN tasarımı bağlantı sağlayıcısından daha geniş bir konudur. Değerlendirilen özellikler:

• gecikme,
• bant genişliği,
• SLA,
• yedeklilik,
• maliyet,
• buluta çıkış modeli,
• güvenlik.

Yaygın taşıma türleri:

kiralık hat
Metro Ethernet
MPLS hizmeti
genel Internet
fiber erişim
4G/5G
LEO uydu

MPLS bir VPN protokolü değildir. Sağlayıcı omurgasında label switching yapar; L2VPN veya L3VPN gibi hizmetler bunun üzerinde sunulabilir.

WAN topolojisi

Hub-and-spoke yönetimi basittir, ancak merkez darboğaz ve tek hata alanı olabilir.

Partial mesh kritik noktalar arasında doğrudan yol ekler.

Full mesh dayanıklıdır fakat bağlantı ve politika sayısı hızla büyür.

Bulut hizmetlerinin artmasıyla şube trafiğini her durumda veri merkezine geri taşımak gereksiz gecikme doğurabilir. Yerel Internet çıkışı ve güvenlik politikası bu nedenle SD-WAN/SASE tasarımında birlikte ele alınır.

IPsec

IPsec IP katmanında güvenlik sağlar.

Temel bileşenler:

• IKE ile kimlik doğrulama ve anahtar anlaşması,
• ESP ile veri gizliliği/bütünlüğü,
• Security Association.

İki temel çalışma biçimi:

• Transport: esas olarak yükü korur.
• Tunnel: özgün IP paketini yeni IP paketi içinde kapsüller.

Site-to-site VPN'de tunnel modu yaygındır.

IPsec MTU'yu etkiler. Şifreleme ve kapsülleme ek yükü nedeniyle Path MTU ve MSS ayarları özellikle TCP sorunlarında kontrol edilmelidir.

GRE ve WireGuard

GRE farklı Layer 3 protokollerini tünelleyebilir ve multicast taşıyabilir, ancak kendi başına gizlilik sağlamaz. Güvenli tünel gerektiğinde IPsec ile birlikte kullanılabilir.

WireGuard küçük protokol yüzeyi ve modern sabit kriptografik tasarımıyla hafif VPN seçeneğidir. Anahtar dağıtımı, kimlik yönetimi ve erişim politikası yine ayrı operasyonel konulardır.

SD-WAN

SD-WAN birden çok WAN taşımasını ortak politika düzleminde yönetir.

Kavramsal yapı:

yönetim / orkestrasyon
          |
kontrol politikası
          |
şube edge cihazları
          |
MPLS + Internet + mobil gibi taşıyıcılar

Uygulama sınıfına göre yol seçimi yapılabilir:

ses       -> düşük gecikmeli yol
yedekleme -> ucuz yüksek kapasiteli yol
kritik    -> iki yol / hızlı failover

SD-WAN'ın temel getirisi tek bir "daha hızlı bağlantı" değil, heterojen erişimlerin merkezi ve ölçülebilir politikayla işletilmesidir.

Segment Routing ile trafik mühendisliği

Klasik IGP en kısa yol hesabı yapar. Trafik mühendisliğinde ise belirli iş yükünün:

• düşük gecikmeli,
• belirli bağlantılardan kaçınan,
• yedekli,
• hizmet zincirinden geçen

bir yolu izlemesi istenebilir.

Segment Routing bu politikayı segment listesi olarak ifade eder. SR-MPLS mevcut MPLS veri düzlemini, SRv6 ise IPv6 Segment Routing Başlık ve SID davranışlarını kullanır.

Bu yaklaşım, RSVP-TE benzeri her yol için çekirdek'da ayrı sinyalizasyon durumunu azaltabilir. Bunun karşılığında denetleyici, SID planı ve gözlemlenebilirlik yeni işletim sorumlulukları getirir.

Ünite 12: Veri Merkezi, Overlay, Bulut ve Yüksek Performanslı Fabricler

Trafik yönü

Klasik kampüs ağı ağırlıklı olarak istemciden sunucuya kuzey-güney trafik taşır. Modern veri merkezinde mikroservisler, dağıtık depolama ve yapay zeka kümeleri nedeniyle doğu-batı trafiği büyüktür.

Leaf-spine fabric:

       Spine1  Spine2
       /  |    |  \
      /   |    |   \
   Leaf1 Leaf2 Leaf3 Leaf4

her leaf için eşit maliyetli çok sayıda yol sağlar. Layer 3 underlay ile ECMP kullanımı STP'nin büyük Layer 2 alanlardaki sınırlamalarını azaltır.

Underlay ve overlay

Underlay, VTEP veya edge düğümleri arasında IP erişilebilirliğini sağlayan gerçek taşıma ağıdır.

Overlay, bunun üzerinde kurulan mantıksal tenant ağıdır.

Bu ayrım arızayı ikiye böler:

overlay çalışmıyor
   |
önce underlay erişilebilir mi?
   |
sonra control plane / VNI / policy doğru mu?

Sorun giderirken bu sıra büyük zaman kazandırır.

VXLAN

VXLAN Ethernet çerçevesini UDP içinde Layer 3 ağ üzerinden taşır.

VLAN ID 12 bittir. VXLAN VNI alanı 24 bittir ve yaklaşık 16 milyon ayrı segment tanımlayabilir.

Kavramsal kapsülleme:

inner Ethernet
     |
VXLAN header
     |
UDP
     |
outer IP
     |
underlay Ethernet

VXLAN tünel uç noktası VTEP olarak adlandırılır.

Ek başlıklar MTU gereksinimini büyütür. Underlay MTU, iç paketi ve kapsülleme yükünü taşıyacak biçimde planlanmalıdır.

EVPN

Salt VXLAN, MAC/IP erişilebilirlik bilgisinin nasıl dağıtılacağını çözmez. İlk tasarımlar flood-and-learn kullanabilir.

BGP EVPN MAC ve IP erişilebilirliğini kontrol düzleminde taşır. Böylece:

• bilinmeyen trafiğin seli azaltılabilir,
• host hareketi kontrol düzleminden duyurulabilir,
• aynı fabric içinde L2 ve L3 hizmetler birleştirilebilir,
• çok kiracılı ağ daha ölçeklenebilir olur.

EVPN-VXLAN güncel veri merkezi fabriclerinin temel tasarımlarından biridir. VXLAN veri düzlemi, EVPN ise burada kullanılan kontrol düzlemi rolündedir.

Anycast gateway

EVPN fabricte aynı varsayılan gateway MAC/IP bilgisi birden çok leaf üzerinde sunulabilir. Host hangi leaf'e bağlıysa ilk Layer 3 yönlendirme yerel yapılır.

Bu, trafiği merkezi routera taşıma ihtiyacını azaltır ve host hareketinde gateway değişikliğini önler.

Sanallaştırma

Sanal makine ve konteyner altyapısı ağın fiziksel portla birebir eşleşmesini ortadan kaldırır.

Bir sunucudaki iki sanal makine arasındaki trafik fiziksel switche çıkmadan sanal switch içinde tamamlanabilir. İzleme ve güvenlik aracının yalnız fiziksel ağdan veri toplaması bu trafiği kaçırabilir.

NFV ve hızlı veri yolları

Network Functions Virtualization (NFV), router, güvenlik duvarı veya load balancer işlevlerini genel amaçlı compute üzerinde sanal/yazılımsal işlevlere dönüştürür.

Yüksek packet rate'te darboğaz yalnız CPU frekansı değildir:

• interrupt,
• context switch,
• memory copy,
• önbellek kaçırması.

Yaygın hızlandırma yöntemleri:

• OVS-DPDK: önemli packet processing işini user space'e taşır ve polling kullanabilir.
• SR-IOV: NIC virtual function'larını VM'lere doğrudan sunar.
• PCI passthrough: fiziksel cihazı tek guest'e doğrudan atar.
• NIC offload: sağlama toplamı, bölümleme, tunnel veya flow işini donanıma taşır.

Daha az soyutlama işlem hacmi ve gecikme kazandırabilir; migration esnekliği, gözlemlenebilirlik ve taşınabilirlik azalabilir. Başarım ölçümü ile işletim gereksinimi birlikte değerlendirilmelidir.

Konteyner ağı

Kubernetes ağ modeli podların adreslenmesi ve hizmet keşfi için ayrı soyutlamalar kullanır. CNI eklentisi gerçek veri yolunu sağlar.

eBPF tabanlı ağ çözümleri çekirdek içinde programlanabilir paket işleme, gözlemlenebilirlik ve kimlik tabanlı politika sunabilir. Bu yaklaşım klasik iptables kural zincirlerinin büyük dinamik kümelerdeki bazı ölçek ve görünürlük sorunlarını azaltır.

"eBPF ağı hızlandırır" tek başına doğru bir genelleme değildir. Kazanç iş yüküne, program tasarımına, NIC offload'a ve çekirdek sürümüne bağlıdır.

Bulut ağı

Bulut sağlayıcılarının isimleri değişse de temel kavramlar benzerdir:

• sanal özel ağ/VPC,
• alt ağ,
• route table,
• security group,
• network ACL,
• Internet gateway,
• NAT gateway,
• peering,
• transit ağ geçidi,
• özel servis endpointi,
• direct-connect benzeri özel hat.

Fiziksel switch konfigürasyonu yerine API ile tanımlanan mantıksal ağ kaynakları öne çıkar.

Bulutta "private subnet" otomatik olarak güvenli demek değildir. Route, security group, IAM ve hizmet uç nokta (endpoint) politikaları birlikte değerlendirilir.

Yük dengeleme ve anycast

Modern hizmet erişimi tek sunucunun IP'siyle sınırlı değildir.

L4 load balancer IP/port akışlarını dağıtır.

L7 load balancer/reverse proxy HTTP gibi uygulama bilgisini kullanarak karar verebilir.

Anycast aynı IP prefixini birden çok noktadan yönlendirme ile duyurur ve istemciyi yönlendirme bakımından yakın hizmet noktasına götürür.

CDN, DNS ve küresel edge hizmetlerinde bu teknikler birlikte görülebilir.

AI ve HPC fabricleri

Dağıtık hızlandırıcı kümelerinde çok sayıda düğüm aynı anda yüksek hacimli doğu-batı trafik üretir. Ağ tasarımında:

• yüksek radix,
• çoklu ECMP yol,
• düşük oversubscription,
• hızlı telemetri,
• kuyruk ve tıkanıklık kontrolü,
• yüksek hızlı Ethernet

önem kazanır.

800G Ethernet artık standartlaşmış durumdadır; 1.6T çalışması sürmektedir. Bu hızlar yalnız port kapasitesi artışı değildir. 200G sınıfı lane teknolojileri, FEC, optik erişim ve termal/güç tasarımı fabric mühendisliğinin bir parçası olur.

Lossless davranış isteyen Ethernet tabanlı fabriclerde Priority Flow Control gibi mekanizmalar kullanılabilir. PFC yanlış tasarlanırsa head-of-line blocking ve tıkanıklığın yayılması gibi yeni riskler üretir. Yüksek performanslı fabricte "kayıpsız" hedefi, akış kontrolü ve kuyruk yönetiminin dikkatli tasarımını gerektirir.

RDMA ve RoCE

RDMA, uzak belleğe CPU ve kernel veri yolu müdahalesini azaltarak düşük gecikmeli, yüksek yüksek işlem hacimli veri aktarımı hedefler.

RoCEv2, RDMA trafiğini UDP/IP üzerinde taşıyarak Layer 3 fabriclerde çalışabilir.

Bu trafik kayıp ve kuyruk davranışına duyarlıdır. PFC, ECN ve uygun congestion-control algoritmaları birlikte tasarlanır. PFC'yi her yerde açmak çözüm değildir; pause yayılımı ve head-of-line blocking yeni arızalar üretebilir.

AI/HPC fabricinde amaç yalnız “lossless Ethernet” değildir; düşük yüksek yüzdelik gecikme, hızlı congestion feedback ve dengeli ECMP kullanımıdır.

Ünite 13: Ağ Programlama ve İşletim Sistemi

Ağ cihazı protokolleri taşır. Uygulama bu protokolleri socket API'leri üzerinden kullanır. Ağ mühendisliği ile sistem programlama arasındaki sınır buradadır.

Socket'ler

Unix-benzeri sistemlerde temel model Berkeley sockets'tır. Windows Winsock aynı çekirdek kavramları platforma özgü ayrıntılarla sunar.

TCP sunucu yaşam döngüsü:

socket
  |
bind
  |
listen
  |
accept
  |
recv / send
  |
shutdown / close

TCP istemci:

socket -> connect -> send/recv -> close

UDP'de listen/accept bağlantı kurulumu yoktur. sendto ve recvfrom datagram sınırlarını korur.

TCP mesaj protokolü değildir

TCP sıralı bir byte akış sunar. Bir send() çağrısının tek bir recv() çağrısı olarak gelmesi garanti edilmez.

Uygulama framing tanımlamalıdır:

uzunluk öneki
ayraç
sabit boyutlu kayıt
kendini tanımlayan biçim

Yanlış varsayım:

send(100 bayt) -> recv(100 bayt)

Geçerli davranış:

100 bayt stream'e girer
alıcı 20 + 50 + 30 görebilir

Kısmi G/Ç

send() istenenden az bayt yazabilir. recv() uygulama mesajının yalnız bir bölümünü döndürebilir.

Üretim kodu:

• kalan baytı izlemeli,
• kesinti/geçici hata ile kalıcı hatayı ayırmalı,
• EOF ile “henüz veri yok” durumunu ayırmalı,
• açık deadline kullanmalıdır.

Bu bir hata değil, akış semantiğidir.

Blocking ve non-blocking G/Ç

Blocking çağrı ilerleme mümkün olana kadar iş parçacığını bekletebilir.

Non-blocking socket hemen döner; hazır olduğunda tekrar işlenir.

Yaygın mekanizmalar:

select / poll
epoll       Linux
kqueue      BSD/macOS
IOCP        Windows completion modeli

select() taşınabilir ve öğreticidir; büyük descriptor kümelerini tekrar taramak pahalıdır. epoll ve kqueue readiness tabanlı ölçeği artırır. IOCP completion tabanlı modele daha yakındır.

Eşzamanlılık modelleri

Yaygın sunucu düzenleri:

• bağlantı başına process,
• bağlantı başına iş parçacığı,
• iş parçacığı havuzları,
• event loop,
• event loop + çalışan pool.

Iş parçacığı-per-connection basittir. Çok yüksek eşzamanlılıkta stack belleği, scheduling ve context switch pahalı hale gelir.

Event loop çok sayıda boş bağlantıyı ucuz tutar. Aynı loop üzerinde CPU-ağır iş yapmak yüksek yüzdelik gecikmeyi bozar.

Amaç en az iş parçacığı değil; sınırlı kuyruk ve öngörülebilir servis süresidir.

Geri basınç

Üretici tüketiciden hızlıysa kuyruk bir yerde büyür:

uygulama kuyruğu
socket buffer
kernel kuyruğu
NIC kuyruğu
switch kuyruğu

Sonsuz buffering işlem hacmi üretmez; bellek ve gecikme üretir.

Geri basınç üreticiyi tüketici kapasitesine göre yavaşlatır. TCP receive window bunu taşıma katmanında yapar. Uygulama da sınırlı kuyruk, istek limiti veya açık flow credit kullanmalıdır.

Nagle ve delayed ACK

Nagle küçük TCP segmentlerini birleştirir. Delayed ACK ACK trafiğini azaltır.

İkisi küçük etkileşimli isteklerde birlikte gecikme ekleyebilir. TCP_NODELAY evrensel hız anahtarı değil, ölçülerek kullanılacak tercihtir.

Uygulama düzeyindeki batching çoğu zaman socket seçeneğinden daha belirleyicidir.

Zaman aşımı ve yaşam döngüsü

Üretimde sonsuz ağ beklemesi güvenli değildir.

Ayrı bütçeler gerekebilir:

• connect,
• read,
• write,
• idle,
• toplam request deadline.

Deadline bütün işlemi sınırlar. Her adıma büyük zaman aşımı vermek uçtan uca süreyi katlayabilir.

Aktif TCP close sonrası uç TIME_WAIT durumunda kalabilir. Amaç gecikmiş eski segmentlerin yeni bağlantıyla karışmasını önlemektir.

TIME_WAIT tek başına leak değildir. SO_REUSEADDR adres yeniden kullanım kurallarını değiştirir; “TIME_WAIT'i kapat” anahtarı değildir.

Bağlantı başarısızlığının anlamı

Başarılı connect() yalnız TCP kurulmasının başarılı olduğunu kanıtlar.

Daha sonra şu aşamalar yine başarısız olabilir:

• TLS handshake,
• sertifika doğrulama,
• kimlik doğrulama,
• uygulama işlemi,
• proxy/gateway davranışı.

Benzer şekilde başarılı yerel send(), uzak uygulamanın veriyi işlediğini kanıtlamaz. Çoğu durumda yalnız yerel stack'in baytları kabul ettiğini gösterir.

Dağıtık protokol “başarı” kavramını açık tanımlamalıdır.

UDP programlama

UDP datagram sınırlarını korur.

Gerekirse uygulama kendi:

• sequence number,
• acknowledgment,
• retransmission,
• yinelenen kayıtları tekilleştirme,
• congestion control

mekanizmalarını kurar.

Küçük UDP başlığı kötü tasarlanmış uygulama protokolünü hızlı yapmaz. Kayıp, reorder ve MTU sınırı yine uygulamanın problemidir.

DNS ve byte order

Çok baytlı protokol alanları network byte order, yani big-endian kullanır.

Klasik C yardımcıları:

htons / htonl
ntohs / ntohl

Normal uygulama isim çözümünde getaddrinfo() kullanmalıdır. Ham DNS paketi üretmek resolver, analyzer veya protokol egzersizi yazarken anlamlıdır.

Raw socket ve paket yakalama

Raw socket daha düşük katman paket kontrolü verir ve çoğunlukla yüksek yetki ister.

Yakalama için libpcap/Npcap ile tcpdump/Wireshark daha uygun soyutlamalardır.

Yakalama noktası sonucu değiştirir:

host capture
SPAN
RSPAN
ERSPAN
network TAP

NIC offload nedeniyle host tarafındaki capture, wire üzerindeki gerçek bölümleme/sağlama toplamı davranışından farklı görünebilir.

TLS ve SSH programlama

Şifreli socket yalnız “encrypt çağırmak” değildir.

TLS istemcisi:

1. transport kurar,
2. handshake yapar,
3. certificate chain ve hostname doğrular,
4. anahtarları türetir,
5. uygulama verisini taşır.

Sertifika doğrulamasını kapatmak, şifreli taşımayı aktif saldırgana karşı anlamsızlaştırabilir.

SSH'de de server host key doğrulanmalıdır. Bilinmeyen host key'i körlemesine kabul etmek man-in-the-middle kararını kullanıcıya devreder.

Kopyalar ve kernel geçişleri

Yüksek packet rate'te paket başına maliyet belirleyicidir:

• system call,
• memory copy,
• bellek ayırma,
• context switch,
• önbellek kaçırması,
• interrupt.

sendfile benzeri API'ler dosya aktarımında gereksiz user-space kopyasını azaltabilir. DPDK veya AF_XDP daha ileri yüksek hızlı veri yollarıdır.

Kernel bypass bir takastır. Olgun kernel TCP, güvenlik, scheduling ve observability işlevlerinin bir bölümü yeniden kurulmak veya entegre edilmek zorunda kalabilir.

Gecikme ve işlem hacmi

Yüksek işlem hacmi ile düşük gecikme farklı hedeflerdir.

Büyük batch syscall maliyetini düşürür ve işlem hacmini artırabilir; tek isteği daha uzun bekletebilir. Büyük buffer burst'ü emer; queueing delay'i büyütebilir.

Birlikte izlenecek ölçüler:

throughput
median latency
p95 / p99 latency
queue depth
retransmission
drop
CPU
allocation

Kritik sistem davranışını yalnız ortalama gecikme açıklamaz.

Ünite 14: Yönetim, Otomasyon ve Gözlemlenebilirlik

Yönetim düzlemi

Ağ cihazında üç mantıksal düzlem ayrılır:

• Data plane: paket iletir.
• Control plane: rota, komşuluk ve protokol durumu üretir.
• Management plane: yapılandırma, izleme ve idari erişim sağlar.

Bu ayrım güvenlik ve otomasyonda önemlidir. Yönetim trafiği mümkünse ayrı VRF, yönetim ağı veya out-of-band bağlantı üzerinden taşınır.

SDN

Software-Defined Networking, kontrol kararını paket iletiminden mantıksal olarak ayırır. Bu, bütün switchlerin "akılsız" olduğu anlamına gelmez; veri düzlemi yine yüksek hızlı forwarding yapar, ancak politika ve topoloji kararları merkezi veya dağıtık denetleyicilerle programlanabilir.

uygulama / intent
       |
control plane
       |
programlanabilir arayüz
       |
data plane

OpenFlow SDN'in erken döneminde önemli bir güney yönlü arayüzdü. Güncel ağlarda NETCONF, gNMI, BGP, PCEP ve üretici API'leri gibi birden çok mekanizma birlikte kullanılabilir. Asıl değişim tek bir protokol değil, ağ durumunun yazılım tarafından okunabilir ve değiştirilebilir hale gelmesidir.

Cisco IOS/IOS XE temel akışı

Klasik CLI modları:

Switch>              user EXEC
Switch#              privileged EXEC
Switch(config)#      global configuration
Switch(config-if)#   interface configuration

Temel örnek:

enable
configure terminal
hostname SW1
interface gigabitEthernet 1/0/1
 description USER
 switchport mode access
 switchport access vlan 10
 no shutdown
end
copy running-config startup-config

CLI sözdizimi platform ve sürüme göre değişebilir. Dersin amacı komut dizisini ezberlemekten çok çalışma yapılandırması, kalıcı yapılandırma ve hiyerarşik bağlamı anlamaktır.

Modern IOS XE platformlarında depolama ve boot yapısı eski Catalyst/IOS örneklerinden farklı olabilir. "RAM'de running-config, NVRAM'de startup-config" modeli kavramsal olarak öğreticidir, ancak gerçek dosya sistemi platform belgeleriyle doğrulanmalıdır.

Güvenli uzak yönetim

SSH kullanılmalı, Telnet devre dışı bırakılmalıdır.

Temel ilkeler:

• ayrı yönetim ağı,
• AAA,
• yalnız gerekli kaynak IP'lere ACL,
• güçlü anahtar ve algoritmalar,
• merkezi log,
• zaman eşleme,
• varsayılan veya ortak hesaplardan kaçınma.

Web arayüzü gerekiyorsa HTTPS kullanılmalı ve sertifika yönetimi yapılmalıdır.

Komşu keşfi

CDP Cisco'ya özgüdür. LLDP IEEE 802.1AB tabanlı açık standart yaklaşımıdır.

Komşu keşfi:

• fiziksel bağlantı doğrulama,
• port eşleştirme,
• cihaz kimliği,
• PoE ve bazı yetenek bilgileri

için yararlıdır.

Ancak keşif protokolleri topoloji bilgisini açığa çıkarabilir. Güvenilmeyen erişim portlarında gereksiz duyurular kapatılabilir.

Sorun giderme sırası

Rastgele komut çalıştırmak yerine katmanlı ilerlemek gerekir.

Pratik sıra:

1. Fiziksel: link, optik güç, kablo, hata sayaçları.
2. Layer 2: VLAN, trunk, STP, MAC tablosu, LACP.
3. Layer 3: adres, prefix, ARP/ND, gateway, route.
4. Transport: port erişimi, TCP durumu, güvenlik duvarı.
5. Application: DNS, TLS, servis durumu.

Bir önceki katman doğrulanmadan üst katmana atlamak tanı süresini uzatır.

Temel araçlar

Host tarafında:

ping
traceroute / tracert
ip addr
ip route
ip neigh
ss
dig
nslookup
arp -a
tcpdump / Wireshark

Linux'ta ifconfig ve netstat tarihsel araçlardır; modern iproute2 karşılıkları ip ve ss komutlarıdır.

Ağ cihazında:

show interfaces
show interfaces counters
show mac address-table
show vlan
show interfaces trunk
show spanning-tree
show etherchannel summary
show ip interface brief
show ip route
show arp
show ipv6 neighbors
show logging

çıktıları sorunu katmanlara ayırmak için kullanılır.

NetFlow, IPFIX ve akış görünürlüğü

Packet capture tek tek paketleri gösterir. Flow telemetry daha ucuz bir soruyu yanıtlar: kim kiminle, ne zaman ve ne kadar iletişim kurdu?

NetFlow/Flexible NetFlow ve standart IPFIX şu bilgileri dışa aktarabilir:

• kaynak/hedef,
• portlar,
• protokol,
• byte/paket sayısı,
• başlangıç/bitiş zamanı.

Flow kaydı tam veri yükü içermez. Kapasite analizi, anomali tespiti ve trafik matrisi için uygundur.

SPAN, RSPAN ve ERSPAN

• SPAN: yerel switch portu/VLAN mirror eder.
• RSPAN: mirrored trafiği Layer 2 üzerinden uzak switche taşır.
• ERSPAN: mirrored trafiği Layer 3 ağ üzerinden kapsüller.

Mirroring kayıpsız değildir. Analyzer yolu oversubscribe olursa üretim trafiği başarılıyken kopyalar düşebilir.

IP SLA ve aktif ölçüm

Pasif sayaçlar var olan trafiği gözler. Aktif ölçüm gecikme, jitter, loss veya hizmet erişilebilirliğini ölçmek için sentetik probe gönderir.

IP SLA benzeri mekanizmalar:

• sürekli yol kalitesi ölçümü,
• object tracking,
• failover kararı,
• SLA doğrulaması

için kullanılabilir.

Sentetik probe uygulama trafiğini birebir temsil etmez; pasif telemetriyle birlikte yorumlanmalıdır.

Ping neyi kanıtlar?

Ping ICMP echo çalıştığını gösterir. Şunları tek başına kanıtlamaz:

• TCP portunun açık olduğunu,
• DNS'in çalıştığını,
• uygulamanın sağlıklı olduğunu,
• büyük paketlerin geçtiğini,
• iki yönlü yolun aynı olduğunu.

Bu nedenle "ping var, ağ sağlam" sonucu hatalıdır.

Traceroute

Traceroute TTL/Hop Limit değerini kademeli artırarak ara routerlardan gelen ICMP Time Exceeded yanıtlarını kullanır.

Görülen yol:

• asimetrik olabilir,
• bazı routerlar yanıt vermeyebilir,
• load balancing nedeniyle denemeler farklı yollara gidebilir.

Traceroute, yönlendirme tablosunun kendisi değil, ölçüm anında gözlenen bir yol örneğidir.

Paket yakalama

Paket analizi katmanlar arasındaki varsayımları doğrular.

İncelenecek sıra:

Ethernet
  |
IP
  |
TCP/UDP/ICMP
  |
uygulama protokolü

Örneğin DNS sorunu düşünülen durumda önce sorgunun gerçekten gönderildiği, sonra yanıtın gelip gelmediği kontrol edilmelidir. Paket yakalama "uygulama yavaş" gibi belirsiz şikayeti ölçülebilir olaya dönüştürür.

YANG

YANG ağ yapılandırması ve durum verisi için veri modeli dilidir. Amaç cihazın metin CLI çıktısını kazımak yerine anlamı tanımlı bir veri ağacı kullanmaktır.

Model:

interfaces
  interface[name]
    config
    state

gibi hiyerarşi tanımlar.

Satıcıya özgü modeller yanında OpenConfig gibi ortak modeller çok üreticili otomasyonda önemlidir.

NETCONF ve RESTCONF

NETCONF, yapılandırılmış RPC yaklaşımı kullanır ve YANG modellenmiş datastore'larla çalışabilir.

RESTCONF, YANG verisini HTTP tabanlı REST arabirimi üzerinden sunar.

İkisi aynı protokol değildir:

NETCONF   RPC / datastore odaklı
RESTCONF  HTTP kaynak modeli
YANG      veri modeli

gNMI ve OpenConfig

gNMI, gRPC ve Protocol Buffers tabanlı ağ yönetimi arabirimidir. Temel işlemler:

• Get,
• Set,
• Subscribe.

OpenConfig, üreticiden bağımsız veri modelleri ve gNMI ekosistemiyle model tabanlı yönetimi destekler.

OpenConfig gNMI belirtiminin Mart 2026 sürümü 0.11.0'dır. Protokol sürüm numarasını ezberlemekten çok, Subscribe modelinin sürekli telemetri için neden uygun olduğunu anlamak önemlidir.

Akış tabanlı telemetry

SNMP polling:

NMS -> cihaz: değer nedir?

modelini kullanır.

Akış tabanlı telemetry:

abone ol
   |
cihaz -> güncellemeleri akıt

yaklaşımına geçer.

YANG-Push, YANG datastore güncellemelerini periyodik veya değişiklik tabanlı olarak abonelere iletmek için standart mekanizma tanımlar.

Kazançlar:

• daha yüksek örnekleme sıklığı,
• daha az gereksiz polling,
• yapılandırılmış veri,
• olay ile ölçüm arasındaki gecikmenin azalması.

Telemetri veri üretimini artırdığı için collector kapasitesi, saklama maliyeti ve cardinality ayrıca tasarlanmalıdır.

Otomasyon

Ağ otomasyonunun temel amacı komutları daha hızlı yazmak değil, aynı niyeti tekrar edilebilir biçimde uygulamaktır.

İki yaklaşım:

Imperative:

porta gir
VLAN komutunu çalıştır
description değiştir

Declarative:

bu portun istenen son durumu VLAN 10 olsun

Bildirimsel yaklaşım idempotency ve configuration drift denetimini kolaylaştırır.

Git ve doğrulama

Ağ yapılandırması kod gibi yönetilebilir:

değişiklik
   |
version control
   |
lint / şema doğrulama
   |
lab / dijital ikiz / test
   |
onay
   |
dağıtım
   |
telemetri ile doğrulama

Bu model değişikliği kimin, neden ve ne zaman yaptığını görünür hale getirir.

Otomasyon hatayı da otomatikleştirebilir. Bu nedenle hızdan önce kapsam kontrolü, dry-run, diff, canary dağıtım ve geri alma planı gerekir.

Intent-based networking

Intent-based yaklaşım cihaz komutundan iş sonucuna doğru soyutlama yapar.

niyet
  |
politika
  |
cihaz yapılandırması
  |
telemetri
  |
uygunluk denetimi
  ^

Gerçek değer son adımdadır. Sistem yalnız yapılandırma üretirse klasik otomasyondur; istenen sonucun gerçekten oluştuğunu ölçerse kapalı çevrim yönetimine yaklaşır.

API güvenliği

Ağ API'si yönetim yüzeyidir ve CLI kadar korunmalıdır.

Gerekli kontroller:

• güçlü kimlik doğrulama,
• en az ayrıcalıklı token,
• TLS,
• gizli bilgi kasası,
• audit log,
• rate limit,
• sertifika doğrulama,
• secret'ların kaynak koddan ayrılması.

Otomasyon hesabına bütün ağa sınırsız yönetici yetkisi vermek, otomasyonun sağladığı merkezi kontrolü tek saldırı noktasına dönüştürür.

Konular Arasındaki İlişki

Bir ağ problemi çoğunlukla tek protokolün hatası değildir. Katmanlar arasındaki varsayımlardan biri bozulur.

Bir web isteğinin yolu:

uygulama URL'yi oluşturur
        |
DNS adı çözer
        |
host hedefin yerel/uzak olduğunu belirler
        |
ARP veya Neighbor Discovery next-hop'ı çözer
        |
switch çerçeveyi taşır
        |
router longest-prefix-match yapar
        |
gerekirse NAT / güvenlik politikası uygulanır
        |
TCP veya QUIC oturumu kurulur
        |
TLS kimliği ve anahtarı doğrular
        |
HTTP isteği taşınır

Sorun giderme bu zinciri tersine veya ileriye doğru doğrulamaktır.

Modern ağların temel dönüşümü de aynı zincirde görülür:

fiziksel cihaz
    |
IP fabric
    |
overlay
    |
kimlik ve politika
    |
API ile yönetim
    |
sürekli telemetri

VLAN, STP ve klasik router komutları hâlâ önemlidir. Ancak veri merkezi, bulut ve büyük kampüs ağlarında operatörün yönettiği birim artık tek cihaz değil, ağın istenen durumu haline gelmektedir.

Kavramsal Ayrımlar

Bant genişliği işlem hacmi değildir. Işlem hacmi gerçek aktarım, goodput yararlı uygulama verisidir.

Gecikme ve jitter farklıdır. Jitter gecikmenin değişimidir.

OSI referans modelidir; TCP/IP çalışan protokol ailesidir.

MAC yerel teslimi, IP uçtan uca yönlendirmeyi temsil eder. Normal router geçişinde MAC değişir.

NAT, IP adresinin uçtan uca değişmediği basit modeli bozan açık istisnadır.

Ethernet FCS hata sezer, düzeltmez.

Jumbo frame için tek evrensel 9000 bayt standardı yoktur.

IPv6 routerları yolda parçalama yapmaz.

Switch kaynak MAC'ten öğrenir, hedef MAC'e göre iletir.

Bilinmeyen unicast aynı VLAN içinde flood edilir.

Full duplex Ethernet'te CSMA/CD kullanılmaz.

VLAN Layer 2, subnet Layer 3 kavramıdır.

Access port tek VLAN, trunk birden çok VLAN taşır.

STP'nin amacı Layer 2 döngüyü kırmaktır.

RSTP klasik STP'den daha hızlı yakınsar.

LACP'nin güncel standardı IEEE 802.1AX'tir. 802.3ad tarihsel addır.

Tek akış link aggregation üyelerinin toplam hızını zorunlu olarak kullanmaz.

VRRP'nin güncel temel RFC'si RFC 9568'dir.

802.1X erişim kontrolü, MACsec Layer 2 şifreleme sağlar.

CIDR sınıf tabanlı IPv4 adreslemeyi değiştirmiştir.

/31 noktadan noktaya, /32 tek IPv4 host rotası için kullanılabilir.

VLSM adres alanını gereksinime göre böler; summarization prefixleri birleştirir.

ARP IPv4'ten MAC'e çözer. DNS isimden IP'ye çözer. DHCP yapılandırma dağıtır.

NAT güvenlik duvarı değildir.

IPv6 128 bittir ve broadcast kullanmaz.

IPv6'da ARP yoktur; Neighbor Discovery vardır.

ICMPv6'yı tümüyle engellemek IPv6 işlevlerini bozabilir.

SLAAC ile DHCPv6 aynı mekanizma değildir.

EUI-64 tek modern IPv6 adres üretme yöntemi değildir; gizlilik adresleri yaygındır.

TCP güvenilir sıralı bayt akışıdır. UDP bu garantileri vermez.

TCP akış kontrolü alıcıyı, tıkanıklık denetimi ağı korur.

QUIC UDP kullanır ama kendi güvenilirlik ve tıkanıklık mekanizmalarını kurar.

HTTP/3 QUIC üzerinde çalışır.

DNSSEC bütünlük ve kaynak doğrulamasına yardım eder; sorguyu şifrelemez.

DoT, DoH ve DoQ DNS taşımasını şifreler.

TLS 1.3 için melez ML-KEM grupları Temmuz 2026'da RFC 10024 ile standartlaştırılmıştır.

Router önce en uzun prefixi seçer. AD ve metrik daha sonra değerlendirilir.

RIP hop, OSPF cost, EIGRP bileşik metrik kullanır. BGP politika tabanlıdır.

EIGRP RFC 7868'de bilgi amaçlı tanımlanmıştır; Standards Track değildir.

OSPF link-state veritabanından SPF çalıştırır.

DR/BDR broadcast çok erişimli OSPF ağlarında anlamlıdır; point-to-point'ta gerekmez.

BGP köken ve yol politikasını taşır; en kısa fiziksel yolu seçmek zorunda değildir.

RPKI/ROV köken yetkisini doğrular, tam AS yolunu doğrulamaz.

RFC 9234 BGP Roles ve OTC ile route leak önleme mekanizması tanımlar.

QoS bant genişliği üretmez; kıt kaynakta farklı trafik sınıflarını yönetir.

Shaping tamponlar, policing aşan trafiği sınırlar.

DetNet yönetilen alanlarda sınırlı gecikme ve düşük kayıp hedefler; genel Internet garantisi değildir.

SSID gizleme ve MAC filtreleme güçlü WLAN güvenliği değildir.

Wi-Fi 7 IEEE 802.11be temellidir. MLO önemli yeniliklerinden biridir.

Wi-Fi 8 / IEEE 802.11bn Ağustos 2026 itibarıyla taslaktır. Ana hedef güvenilirlik ve gecikmedir.

Zero Trust ağ içini otomatik güvenilir saymaz. Tek ürün değildir.

MACsec, IPsec ve TLS farklı katmanlarda güvenlik sağlar.

GRE tüneller, kendi başına şifrelemez.

SD-WAN çoklu WAN bağlantılarını merkezi politika altında yönetir.

Segment Routing bir yolu segment/SID dizisi olarak ifade eder. SR-MPLS ve SRv6 iki ana veri düzlemidir.

Underlay gerçek IP erişilebilirliği, overlay bunun üzerindeki mantıksal ağdır.

VXLAN 24 bit VNI kullanır. VLAN sınırını genişletir ancak VLAN'ın kendisi değildir.

EVPN VXLAN için kontrol düzlemi olarak MAC/IP erişilebilirliğini BGP ile dağıtabilir.

800G Ethernet standartlaşmıştır; 1.6T P802.3dj Ağustos 2026'da hâlâ taslaktır.

SNMP polling ile akış tabanlı telemetry aynı yaklaşım değildir.

YANG veri modeli, NETCONF/RESTCONF yönetim protokolleridir.

gNMI Get/Set/Subscribe modeli sunar; OpenConfig üreticiden bağımsız veri modelleri sağlar.

Otomasyonun asıl kazancı hız değil tutarlılık ve tekrarlanabilirliktir.

Ping bir uygulamanın sağlıklı olduğunu kanıtlamaz.

Sorun giderme fiziksel katmandan uygulamaya kadar ölçümle ilerlemelidir.

RIB rota bilgisini toplar; FIB paket iletiminde kullanılacak sonucu taşır. TCAM donanımda maskeli eşleşmeyi hızlandırır.

BFD rota hesaplamaz; forwarding yolunun canlılığını hızlı bildirir.

IGMP/MLD alıcı üyeliğini, PIM routerlar arası multicast ağacını yönetir. RPF multicast paketin ters yolunu denetler.

**TCP mesaj değil byte akıştır. send() ile recv() sınırları eşleşmek zorunda değildir.**

TIME_WAIT normal TCP yaşam döngüsüdür; tek başına bağlantı sızıntısı değildir.

NFV ağ işlevini yazılıma taşır; DPDK, SR-IOV ve PCI passthrough veri yolu maliyetini farklı noktalardan azaltır.

NetFlow/IPFIX akış özeti, packet capture paket içeriği verir; aynı gözlem aracı değildir.

Ağ Kimliği, Yetkilendirme ve Güven Sınırları

Ağ güvenliğinde kanal şifreleme, kimlik doğrulama ve yetkilendirme aynı mekanizma değildir. Servisler arası güven, kullanıcı kimliği ve kaynak erişimi farklı protokol ve politika katmanlarında kurulmalıdır.

Bu ayrımı kurarken kimlik, yetki ve kanal güvenliği şu kavramlarla birlikte ele alınır.

Temel çalışma zamanı kavramları arasında Karşılıklı TLS, Geçiş anahtarı, WebAuthn ve Sıfır güven mimarisi birlikte değerlendirilir.

İşletim ve teşhis tarafında OAuth 2.0 yetkilendirme çatısı, OpenID Connect, rol tabanlı erişim kontrolü ve öznitelik tabanlı erişim kontrolü birlikte değerlendirilir.

MTU, kuyruk gecikmesi ve uçtan uca performans

Bir ağ bağlantısının bant genişliği yüksek olsa da gecikme kötü olabilir. Tamponların gereğinden fazla büyümesi bufferbloat oluşturarak kayıp az olsa bile kuyruk gecikmesini yüzlerce milisaniyeye çıkarabilir. Etkileşimli uygulamalarda kuyruk yönetimi bu nedenle yalnız throughput problemi değildir.

Paket boyutu da önemlidir. Yol üzerindeki MTU'dan büyük paketler parçalanabilir veya düşebilir; Path MTU Discovery'nin engellenmesi "bazı siteler açılıyor, bazı büyük aktarımlar takılıyor" gibi zor tanılanan sorunlar yaratabilir.

Uçtan uca performans ölçümünde DNS, TCP/QUIC bağlantı kurulumu, TLS, ilk byte süresi, aktarım hızı ve uygulama kuyruğu ayrı gözlenmelidir. Tek bir ping değeri uygulama gecikmesini açıklamaz.

Ağ davranışını katmanlara ayırarak ölçmek

Bir bağlantının “yavaş” olması tek bir ağ metriğiyle açıklanmaz. DNS çözümleme, bağlantı kurulumu, TLS/QUIC el sıkışması, sunucuya ilk byte, aktarım ve uygulama kuyruğu ayrı ölçülebilir. Ping süresi bu zincirin yalnız bir bölümünü temsil eder.

Paket yakalama yorumunda gözlem noktası önemlidir. NAT, offload, şifreleme ve sanal ağ katmanları yakalanan trafiğin biçimini değiştirebilir. Aynı paketin istemci ve sunucu tarafındaki görünümü birebir aynı olmayabilir.

Protokol davranışı için RFC/standart, işletim sistemi uygulaması ve cihaz konfigürasyonu ayrı kanıt kaynaklarıdır. Güvenlik önerisi de tehdit modeliyle birlikte okunmalıdır; her ağda aynı ACL, timeout veya yeniden deneme politikası doğru değildir.

Dağıtık Yapay Zekâ Sistemlerinde Ağ

Büyük yapay zekâ iş yüklerinde ağ yalnız istemci ile servis arasındaki taşıma katmanı değildir. Veri hazırlama, dağıtık eğitim, çoklu hızlandırıcı iletişimi ve uzak inference servisleri ağ gecikmesi ile bant genişliğini doğrudan hesaplama süresinin parçası haline getirebilir.

Dağıtık eğitimde her çalışan süreç (worker) farklı mini-batch üzerinde gradyan hesaplayabilir. Parametrelerin tutarlı güncellenebilmesi için bu gradyanların paylaşılması gerekir. Basitleştirilmiş senkron akış:

yerel ileri/geri yayılım
↓
gradyan paylaşımı / all-reduce
↓
parametre güncellemesi
↓
yeni adım

Hesap ne kadar hızlı olursa olsun toplu iletişim tamamlanmadan sonraki adım başlayamıyorsa ağ kritik yol üzerindedir. Bu nedenle yüksek bant genişliği kadar gecikme, topoloji ve paket/mesaj boyutu da önemlidir.

Model paralelliği ve işlem hattı paralelliği ağ bağımlılığını daha görünür yapar. Bir katmanın çıktısı başka cihazdaki katmana gidiyorsa ara aktivasyonlar her adımda taşınır. Veri bölme biçimi ile fiziksel ağ topolojisi uyuşmadığında pahalı düğümler arası trafik oluşabilir. “Daha fazla GPU” bu durumda doğrusal hızlanma sağlamaz.

Çıkarım tarafında farklı bir denge vardır. Model uzak servis olarak çağrılıyorsa uçtan uca gecikme:

L_total = L_queue + L_network + L_pre + L_infer + L_post

olarak düşünülebilir. Model süresi düşükken ağ ve kuyruk baskın olabilir. Ortalama RTT tek başına yeterli değildir; yüksek yüzdelik gecikme, yeniden iletim, bağlantı kurulumu ve yük dengeleme davranışı kullanıcı deneyimini belirler.

Toplu işleme (batching) iş hacmini artırabilir; ancak istekleri grup dolana kadar bekletirse gecikme ekler. Ağ tarafındaki ani trafik davranışı da kuyruk oluşturabilir. Bu nedenle AI servisinde iş hacmi ve gecikme aynı anda en büyüklenemez; hedef iş yüküne göre denge kurulmalıdır.

RDMA ve yüksek hızlı bağlantı ağları, büyük tensörlerin CPU kopyalarını azaltarak cihazlar arası iletişim maliyetini düşürebilir. Ancak teknoloji adı tek başına performans garantisi değildir. ağ kartı/hızlandırıcı topolojisi, NUMA yerleşimi, tıkanıklık denetimi ve toplu iletişim kitaplığı davranışı birlikte ölçülmelidir.

Güvenlik sınırı da değişmez. Model servisine giden trafik kimlik doğrulama, yetkilendirme ve veri sınıflandırması gerektirir. Gömme (embedding) veya model girdisi “ara temsil” olduğu için otomatik olarak hassasiyetsiz sayılmaz. Şifreleme maliyeti varsa bu da kapasite planına dahil edilir; güvenlik performans gerekçesiyle örtük biçimde kaldırılmamalıdır.

Ağ dersi yapay zekânın öğrenme kuramını açıklamaz. Dağıtık hesabın ve model servislemenin fiziksel iletişim maliyetini açıklar. Büyük AI sistemlerinde hesaplama ölçeklemesi ancak iletişim modeliyle birlikte değerlendirildiğinde gerçek iş hacmine dönüşür.

Bir paketin yolunu katman katman okumak

Ağ problemlerinde ilk olarak adresleme, iletim ve uygulama semantiğini ayırmak gerekir. MAC adresi yerel bağlantı katmanındaki teslimi, IP adresi ağlar arası yönlendirmeyi, port numarası ise uç sistemdeki taşıma uç noktasını tanımlar. Bu üç kimlik aynı işlevi görmez ve farklı kapsamda anlam taşır.

TCP güvenilir bir bayt akışı sunar; mesaj sınırlarını korumaz. Uygulama send ile iki ayrı parça yazsa bile alıcı bunları tek recv içinde veya daha fazla parçaya bölünmüş biçimde görebilir. Bu nedenle uygulama protokolünün kendi uzunluk, ayraç veya çerçeveleme kuralı olmalıdır. UDP ise teslim, sıra ve tekrar etmeme garantisi vermez; bunun karşılığında bağlantı kurulumu ve akış denetimi gibi TCP mekanizmalarını taşımaz.

Alt ağ hesabında önek uzunluğu adres uzayını belirler. Örneğin IPv4'te /24 öneki son 8 biti konak bölümü olarak bırakır. Klasik bir alt ağda ağ ve yayın adresleri nedeniyle kullanılabilir konak sayısı 2^8 - 2 = 254 olur. Bu kuralın özel bağlantı türleri ve IPv6 için aynı biçimde genellenmemesi gerekir.

Gecikme tek bir sayı değildir. Yayılma, iletim, işleme ve kuyruk gecikmeleri toplam uçtan uca süreyi oluşturur. Bant genişliği yüksek bir bağlantının gecikmesi düşük olmak zorunda değildir. Benzer biçimde paket kaybı yalnız fiziksel hatadan değil, kuyruk taşmasından veya politika nedeniyle düşürmeden de kaynaklanabilir.

Sorun giderirken paketin nerede kaybolduğunu varsaymak yerine katmanlar boyunca kanıt toplanmalıdır: isim çözümleme doğru mu, yönlendirme tablosu uygun mu, ARP/ND sonucu var mı, taşıma bağlantısı kuruluyor mu, uygulama protokolü beklenen cevabı üretiyor mu? Aynı belirti farklı katmanlarda farklı nedenlerden doğabilir.

Kaynakça

• Andrew S. Tanenbaum, Nick Feamster, David J. Wetherall. Computer Networks, 6th Edition. Pearson, 2021.

• Brad Edgeworth, Ramiro Garza Rios, David Hucaby, Jason Gooley. CCNP and CCIE Enterprise Core ENCOR 350-401 Official Cert Guide, 2nd Edition. Cisco Press, 2024.

• Cemal Taner. Ağ Yöneticiliğinin Temelleri, 7. Baskı. 2025. ISBN 9786059129794. https://www.cemaltaner.com.tr/urun/ag-yoneticiliginin-temelleri-adiniza-imzali/

• Cilium Project. Cilium Documentation. https://docs.cilium.io/

• IEEE 802.1 Working Group. IEEE 802.1X Port-Based Network Access Control. https://1.ieee802.org/security/802-1x/

• IEEE 802.11 Working Group. P802.11bn Ultra High Reliability Task Group. https://www.ieee802.org/11/Reports/tgbn_update.htm

• IEEE 802.3 Working Group. IEEE P802.3dj: 200/400/800 Gb/s and 1.6 Tb/s Ethernet. https://www.ieee802.org/3/dj/

• IEEE 802.3 Working Group. IEEE Std 802.3dg-2026: 100 Mb/s Long-Reach Single Pair Ethernet. https://www.ieee802.org/3/dg/

• IEEE. IEEE Std 802.11-2024: Wireless LAN MAC and PHY Specifications. https://standards.ieee.org/ieee/802.11/10548/

• IEEE. IEEE Std 802.11be-2024: Extremely High Throughput. https://standards.ieee.org/ieee/802.11be/7516/

• IEEE. IEEE Std 802.11bf-2025: Enhancements for WLAN Sensing. https://standards.ieee.org/ieee/802.11bf/11574/

• IEEE. IEEE Std 802.1AE-2018: MAC Security. https://standards.ieee.org/ieee/802.1AE/7154/

• IEEE. IEEE Std 802.1AX-2020: Link Aggregation. https://standards.ieee.org/ieee/802.1AX/6768/

• IEEE. IEEE Std 802.3df-2024: 400 Gb/s and 800 Gb/s Ethernet. https://standards.ieee.org/ieee/802.3df/11107/

• IETF. RFC 10024: Post-Quantum Traditional Hybrid Key Agreement Mechanisms for TLS 1.3. https://www.rfc-editor.org/rfc/rfc10024.html

• IETF. RFC 1034 / RFC 1035: Domain Names. https://www.rfc-editor.org/

• IETF. RFC 2131: Dynamic Host Configuration Protocol. https://www.rfc-editor.org/rfc/rfc2131.html

• IETF. RFC 2328: OSPF Version 2. https://www.rfc-editor.org/rfc/rfc2328.html

• IETF. RFC 2474 / RFC 2475: Differentiated Services. https://www.rfc-editor.org/

• IETF. RFC 2827 / BCP 38: Network Ingress Filtering. https://www.rfc-editor.org/rfc/rfc2827.html

• IETF. RFC 3376: Internet Group Management Protocol, Version 3. https://www.rfc-editor.org/rfc/rfc3376.html

• IETF. RFC 4271: Border Gateway Protocol 4. https://www.rfc-editor.org/rfc/rfc4271.html

• IETF. RFC 4861: Neighbor Discovery for IP version 6. https://www.rfc-editor.org/rfc/rfc4861.html

• IETF. RFC 6241: Network Configuration Protocol (NETCONF). https://www.rfc-editor.org/rfc/rfc6241.html

• IETF. RFC 7217: Semantically Opaque Interface Identifiers. https://www.rfc-editor.org/rfc/rfc7217.html

• IETF. RFC 7348: Virtual eXtensible Local Area Network (VXLAN). https://www.rfc-editor.org/rfc/rfc7348.html

• IETF. RFC 768: User Datagram Protocol. https://www.rfc-editor.org/rfc/rfc768.html

• IETF. RFC 7761: Protocol Independent Multicast - Sparse Mode. https://www.rfc-editor.org/rfc/rfc7761.html

• IETF. RFC 7858: DNS over TLS. https://www.rfc-editor.org/rfc/rfc7858.html

• IETF. RFC 7868: Cisco's Enhanced Interior Gateway Routing Protocol (EIGRP). https://www.rfc-editor.org/rfc/rfc7868.html

• IETF. RFC 7950: The YANG 1.1 Data Modeling Language. https://www.rfc-editor.org/rfc/rfc7950.html

• IETF. RFC 8040: RESTCONF Protocol. https://www.rfc-editor.org/rfc/rfc8040.html

• IETF. RFC 8200: Internet Protocol, Version 6 (IPv6) Specification. https://www.rfc-editor.org/rfc/rfc8200.html

• IETF. RFC 8365: Network Virtualization Overlay Solution Using EVPN. https://www.rfc-editor.org/rfc/rfc8365.html

• IETF. RFC 8402: Segment Routing Architecture. https://www.rfc-editor.org/rfc/rfc8402.html

• IETF. RFC 8484: DNS Queries over HTTPS. https://www.rfc-editor.org/rfc/rfc8484.html

• IETF. RFC 8655: Deterministic Networking Architecture. https://www.rfc-editor.org/rfc/rfc8655.html

• IETF. RFC 8981: Temporary Address Extensions for Stateless Address Autoconfiguration in IPv6. https://www.rfc-editor.org/rfc/rfc8981.html

• IETF. RFC 8986: Segment Routing over IPv6 Network Programming. https://www.rfc-editor.org/rfc/rfc8986.html

• IETF. RFC 9000: QUIC: A UDP-Based Multiplexed and Secure Transport. https://www.rfc-editor.org/rfc/rfc9000.html

• IETF. RFC 9114: HTTP/3. https://www.rfc-editor.org/rfc/rfc9114.html

• IETF. RFC 9234: Route Leak Prevention and Detection Using Roles in UPDATE and OPEN Messages. https://www.rfc-editor.org/rfc/rfc9234.html

• IETF. RFC 9250: DNS over Dedicated QUIC Connections. https://www.rfc-editor.org/rfc/rfc9250.html

• IETF. RFC 9293: Transmission Control Protocol (TCP). https://www.rfc-editor.org/rfc/rfc9293.html

• IETF. RFC 9568: Virtual Router Redundancy Protocol Version 3. https://www.rfc-editor.org/rfc/rfc9568.html

• James F. Kurose, Keith W. Ross. Computer Networking: A Top-Down Approach, 8th Edition. Pearson, 2021.

• Jeffrey Dean et al. “Large Scale Distributed Deep Networks.” Advances in Neural Information Processing Systems, 25, 2012.

• Lewis Van Winkle. Hands-On Network Programming with C. Packt, 2019.

• NIST. FIPS 203, FIPS 204 and FIPS 205: Post-Quantum Cryptography Standards. https://csrc.nist.gov/

• NIST. SP 800-207: Zero Trust Architecture. https://csrc.nist.gov/pubs/sp/800/207/final

• OpenConfig. gRPC Network Management Interface (gNMI) Specification. https://openconfig.net/docs/gnmi/gnmi-specification/

• Wendell Odom. CCNA 200-301 Official Cert Guide, Volumes 1-2. Cisco Press.

• WireGuard. WireGuard Documentation. https://www.wireguard.com/