Tek düz LAN’ın bedeli sonradan çıkar
Homelab veya küçük kurumsal ortamlarda her şeyi aynı yayın alanına koymak ilk günde hızlıdır. Proxmox paneli, NAS, kamera, IoT ve kişisel bilgisayar aynı VLAN’da konuşmaya başlar. Servis sayısı arttıkça bu konfor, bir yanlış kural veya ele geçirilen bir uç noktanın tüm yüzeyi görmesine dönüşür. Segmentasyonun amacı karmaşıklık üretmek değil; bir kırılmanın yayılacağı alanı bilinçli biçimde küçültmektir.
İyi bir model, cihazları kolay diye değil güven ilişkisine göre ayırır. Yönetim düzlemi kullanıcı ve IoT trafiğinden uzak tutulur. Sunucu VLAN’ı yalnızca gerekli portlarda ve bilinen kaynaklardan erişilir. Dışarıya giden ters vekil ve edge servisler DMZ benzeri bir yayın katmanında kalır.
VLAN açmak tek başına güvenlik değildir. Asıl disiplin firewall’da varsayılan deny’dir. Her allow kuralının bir iş gerekçesi, hedef portu, sahibi ve gözden geçirme tarihi olmalıdır. Değişiklik sonrası test yalnızca erişimin çalıştığını değil; istenmeyen yolların kapalı kaldığını da doğrulamalıdır.
Pratik dört segment
- Yönetim: Altyapı panelleri; yalnızca bastion veya yönetim VLAN’ından.
- Sunucu: VM/LXC ve dahili servisler; outbound kontrollü, inbound sınırlı.
- Kullanıcı / IoT: İstemci ve akıllı cihazlar; sunucuya varsayılan erişim yok.
- DMZ / yayın: Ters vekil ve dışarıya bakan uçlar; içeriden ayrı tutulur.
Uygulamada en çok kazandıran alışkanlık, her yeni servisi “hangi segmentte doğmalı?” sorusuyla başlamaktır. Servis önce yayın katmanına konup sonra içeri taşınmaz; doğduğu yer doğru seçilir. DNS adları, sertifikalar ve reverse proxy kuralları da bu modele hizalanır.
Olay anında segmentasyonun değeri görünür hale gelir: Kamera VLAN’ındaki bir cihaz ele geçirilse bile yönetim paneline giden yol kapalıysa zarar alanı ölçülebilir kalır.
Küçük ama sürdürülebilir başlangıç
Hepsini bir gecede kurmak zorunda değilsiniz. Önce yönetim trafiğini ayırın, sonra IoT’yi izole edin, ardından sunucu kurallarını sıkılaştırın. İyi segmentasyon günlük işi yavaşlatmaz; olay anında “her şey her şeye açık” kaosunu engeller.