Site-to-Site VPN
Ofisinizi buluta şifreli bir yolla bağlayın, iki taraf aynı ağdaymış gibi çalışsın
Ofisinizdeki ya da başka bir veri merkezindeki ağ, Nesnet bulutundaki ağınıza kalıcı bir IPsec tüneliyle bağlanır. Bulut tarafına cihaz kurulmaz; ofis cihazınıza girilecek değerleri Nesnet hazır liste olarak verir.
Neden şimdi
- Uygulama sunucuları buluta taşındı, ERP veritabanı ise bir yıl daha fabrikadaki sunucuda kalacak. Uygulamanın veritabanına internete açılmış bir port üzerinden bağlanması güvenlik ekibini rahatsız ediyor.
- Muhasebe ekibi buluttaki sunucuya her sabah uzak masaüstüyle bağlanıyor ve o port internete açık duruyor. Bağlantının yalnız ofisten, şifreli bir yoldan gelmesi gerekiyor.
- Ofis güvenlik duvarı yenilendi ve eski VPN ayarlarının yeni cihazda karşılığı bulunamıyor. Yeni cihaza girilecek değerlerin kimseye sorulmadan hazır olması gerekiyor.
- Raporlama araçlarınız başka bir bulut sağlayıcısında, müşteri veriniz Nesnet'te duruyor. İki ortamın her gece büyük veri aktarımını şifreli ve kalıcı bir yoldan yapması gerekiyor.
- Sunucuları buluta taşıyacaksınız, ama içlerindeki uygulamaların onlarca yerinde sabit IP adresi yazılı. Taşıma süresince ofis ağının buluta uzanması gerekiyor.
Neler değişir
| Bugün | Nesnet ile |
|---|---|
| Ofis ile bulut arasındaki trafik internete açılmış portlardan geçer. | İki ağ kalıcı bir IPsec tüneliyle bağlanır; trafik iki uç arasında şifrelenir ve dışarıya port açılmaz. |
| Bulut tarafında bir VPN sanal makinesi kurulur, yamalanır ve ayakta tutulur. | Tünel bulut ortamınızın ağ geçidinde açılır; bakımını yapacağınız ayrı bir cihaz yoktur. |
| Karşı cihazın ayarları deneme yanılmayla, iki ekip arasında e-postayla bulunur. | Nesnet ofis cihazınıza girilecek değerleri hazır liste olarak verir; güvenlik duvarlarının çoğu bu değerlerle doğrudan anlaşır. |
| Tünel kopunca sorunun hangi tarafta olduğu saatlerce aranır. | Panel tünelin durumunu ve kurulamama nedenini gösterir; sorunun ofiste mi bulutta mı olduğu hemen görülür. |
| Taşıma için sunucuların IP adreslerini değiştirmek gerekir. | Katman 2 VPN ofis ağını buluta uzatır; sunucular taşınırken adreslerini korur. |
Bugünden canlıya: nasıl işler
- 1
Keşif görüşmesi
Kaç konumun bağlanacağını, ofis cihazınızı ve iki taraftaki ağları Nesnet ekibiyle konuşursunuz. Görüşmenin sonunda tünel düzeni ve fiyatı belirleyen kalemler bellidir.
- 2
Bilgileri hazırlayın
Ofis cihazının genel IP adresi, iki taraftaki alt ağlar ve ön paylaşımlı anahtar ya da sertifika belirlenir. Bulut tarafında yerel uç olarak ağ geçidinizin genel IP'si kullanılır.
- 3
Tüneli tanımlayın
Tünel bulut panelinde ya da API ile ağ geçidinizde tanımlanır. Ofis tarafında Nesnet'in verdiği değerler karşı cihaza girilir.
- 4
Trafiğe izin verin
Tünelin taşıyacağı ağlar için ağ geçidinin güvenlik duvarına izin kuralı yazılır. Tünel açık duruma geçtiğinde iki taraftaki sunucular birbirine ulaşır.
- 5
İzleyin ve büyütün
Tünelin durumu ve istatistikleri panelden izlenir. Yeni bir ofis ya da bulut eklendiğinde aynı ağ geçidinde yeni bir tünel açılır.
Neler alırsınız
Bulut tarafında kurulacak cihaz yok
Tünel, bulut ortamınızla birlikte gelen ağ geçidinde açılır; VPN için ayrı bir sanal makine kurmanız, lisanslamanız ya da yamalamanız gerekmez. Bakım gecesi düşünmeniz gereken tek cihaz ofisinizdeki güvenlik duvarıdır.
Ofis cihazınız için hazır değer listesi
Nesnet, ofis cihazınıza girilecek değerleri hazır liste olarak verir: IKE sürümü, Diffie-Hellman grubu, özet ve şifreleme algoritmaları, PFS ve ölü uç tespiti süresi. Güvenlik duvarlarının çoğu bu değerlerle ilk denemede anlaşır, iki ekip arasında deneme yanılma e-postası dolaşmaz.
Güçlü şifreleme baştan açık
Yeni tünel IKEv2, Diffie-Hellman grup 14 ve SHA2-256 ile kurulur; IKE için AES-128, tünel trafiği için AES-GCM-128 kullanılır ve PFS açıktır. Zayıf ve eski bir ayarla başlamazsınız, güvenlik ekibinize her değerin gerekçesini gösterirsiniz.
Eski ya da farklı cihazlarla da anlaşın
Karşı cihaz farklı bir set istiyorsa IKE, tünel ve ölü uç tespiti değerleri özel bir profille seçilir. IKEv1, IKEv2 ve iki sürümü kendiliğinden seçen IKE-Flex desteklenir; Diffie-Hellman grupları geniş bir listeden, tünel şifrelemesi AES-GCM-256'ya varan seçeneklerden belirlenir.
Sertifika ya da ön paylaşımlı anahtar
Tünel ön paylaşımlı anahtarla (PSK) ya da bir sertifika otoritesinin doğruladığı uç sertifikasıyla kurulur. Kurumsal politikanız anahtar paylaşımını yasaklıyorsa sertifikalı kimlik doğrulamayla aynı tüneli kurarsınız.
Anahtar bir kez yazılır, geri okunmaz
Ön paylaşımlı anahtar API'ye yalnız yazılır ve geri okunamaz; anahtarı girdikten sonra API üzerinden kimse onu tekrar göremez. Anahtarın kopyası yalnız onu belirleyen ekipte kalır, panel yetkisi olan herkesin önüne düşmez.
Yalnız seçtiğiniz ağlar tünele girsin
Standart tünel politika tabanlıdır: iki taraftaki alt ağlar listelenir ve tünel yalnız bu ağlar arasındaki trafiği taşır. Her tünelde birden fazla yerel ve uzak alt ağ tanımlanır; ofisin misafir ağı buluta hiç ulaşmaz.
Rota tabanlı tünel
Rota tabanlı tünelde (VTI) sanal bir tünel arayüzü kurulur ve trafik bu arayüze statik rotayla yönlendirilir. Ofise yeni bir alt ağ eklendiğinde tünel tanımını değil yalnız rotayı güncellersiniz; Nesnet aynı yapıyı kendi SD-WAN bağlantısında kullanır.
Her ofise ayrı tünel
Bir ağ geçidi üzerinde her ofis, fabrika ya da uzak bulut için ayrı tünel açılır. Tüneller panelden tek tek açılıp kapatılır, anahtarı değiştirilir ya da silinir; bir şubedeki değişiklik diğerlerinin bağlantısına dokunmaz.
Adres çevirisi arkasındaki ofis
Ofis cihazı internet sağlayıcısının modemi gibi bir adres çevirisinin (NAT) arkasındaysa uzak uç kimliği IP yerine alan adı (FQDN) ya da e-posta biçiminde tanımlanır. Sabit genel IP'si olmayan küçük bir ofis de tünele katılabilir.
Bağlantıyı kimin başlatacağını seçin
Tüneli bulut tarafı başlatabilir (Initiator), yalnız ofisten gelen isteğe yanıt verebilir (Respond-only) ya da trafik geldiği anda kurabilir (On-demand). Ofis tarafının güvenlik politikası hangi yönü istiyorsa tünel ona göre ayarlanır.
Kopan tünel kendiliğinden geri gelsin
Ölü uç tespiti (DPD) karşı ucu düzenli aralıkla yoklar ve bağlantının koptuğunu algılar; aralık ihtiyaca göre ayarlanır. Bulut tarafı başlatıcı moddaysa ofisin interneti geri geldiğinde tünel kimse dokunmadan yeniden kurulur.
Sorun hangi tarafta, panel söylesin
Her tünelin durumu açık, kapalı, kısmen çalışan ya da bilinmeyen olarak görünür; tünel kurulamıyorsa IKE hata nedeni panelde okunur. Sorunun ofis cihazında mı bulut tarafında mı olduğu ilk dakikada belli olur, iki ekip saatlerce kayıt karşılaştırmaz.
Kayıt ve istatistikle izleyin
Tünel istatistikleri panelden ve API'den okunur, sorun ayıklarken tünel başına ayrıntılı kayıt açılır. Bağlantı denemelerinin hangi adımda takıldığını, trafiğin gerçekten tünelden geçip geçmediğini tahmin etmeden görürsünüz.
Büyük paketler yolda takılmasın
Paket parçalanma (DF bit) politikası, biti koruyacak (COPY) ya da kaldıracak (CLEAR) şekilde ayarlanır. Dosya aktarımı ya da uzak masaüstü oturumu bazı hatlarda büyük paketler yüzünden donuyorsa, bu ayar sorunu ofis tarafında cihaz değiştirmeden çözmenin ilk adımıdır.
Tünele internetten ayrı güvenlik kuralı
Tünelden geçen trafik için ağ geçidinin güvenlik duvarında ayrı bir izin kuralı yazılır. Ofisten gelen bağlantıya muhasebe sunucusunu, internetten gelene yalnız web sitesini açmak aynı tabloda, birbirine karışmadan yapılır.
Yedekli ağ geçidi
IPsec servisi etkin/yedek çalışan ağ geçidinde sonlanır; etkin taraf düşerse servis yedek tarafa geçer. Bu yedekli yapı ağ geçidiniz oluşturulduğunda kendiliğinden kurulur; tüneller için ayrıca bir yedeklilik ayarı yapmanız gerekmez.
Ağınızı katman 2'de buluta uzatın
Aynı ağ geçidi katman 2 VPN'i sunucu ya da istemci modunda çalıştırır ve ofisteki bir ağ segmentini olduğu gibi buluta uzatır. Taşıma süresince sunucular IP adreslerini korur, uygulamaların içindeki sabit adresler değiştirilmeden geçiş tamamlanır.
Neden Nesnet
Bulut tarafında cihaz yok
Tünel bulut ortamınızdaki ağ geçidinde açılır ve trafik doğrudan bulut ağınızın yönlendiricisine ulaşır. VPN için sanal makine kurmanız, lisanslamanız ve ayakta tutmanız gerekmez.
Ölçülmüş, güçlü varsayılanlar
Yeni tünel Nesnet platformunda ölçülen varsayılanlarla gelir: IKEv2, Diffie-Hellman grup 14, SHA2-256, IKE için AES-128, tünel için AES-GCM-128, PFS açık. Bu set ofis cihazınız için hazır liste olarak verilir.
Aynı yapıyı Nesnet kendi ağında işletir
Nesnet, rota tabanlı ve çok tünelli IPsec'i kendi SD-WAN hizmetinin bulut bağlantısında işletir. Müşteri tünelini kuran ekip, bu yapıyı her gün çalıştıran ekibin kendisidir.
Tünel, kural ve adres aynı ekranda
Tünel, onun trafiğine izin veren güvenlik duvarı kuralı ve yerel uç olarak kullanılan genel IP aynı bulut panelinde durur. Ağda bir değişiklik yaparken üç ayrı sistem arasında gidip gelmezsiniz.
Bulut ucu Türkiye'de
Tünelin bulut ucu ve sunucularınız Equinix İstanbul (Dudullu) ve Türk Telekom Ankara veri merkezlerindeki Nesnet altyapısında çalışır. Ofisinizden çıkan trafik yurt dışındaki bir bölgeye uğramadan bulut ağınıza ulaşır.
Örnek senaryolar
Fabrikadaki veritabanı, buluttaki uygulama
Durum
Bir üretim şirketi uygulama sunucularını Nesnet bulutuna taşıdı; ERP veritabanı ise bir yıl daha fabrikadaki sunucuda kalacak. Uygulamanın veritabanına internete açılmadan erişmesi gerekiyor.
Sonuç
Fabrikadaki güvenlik duvarı ile bulut ağ geçidi arasında tünel kuruluyor ve Nesnet'in verdiği değerler fabrika cihazına giriliyor. Ağ geçidinde tünel trafiği için izin kuralı açılıyor; iki taraf yalnız tanımlı alt ağlar üzerinden konuşuyor, internete hiçbir veritabanı portu açılmıyor.
Uzak masaüstü portunu internete kapatan muhasebe ekibi
Durum
Bir şirketin muhasebe ekibi buluttaki Windows sunucusuna uzak masaüstüyle bağlanıyor ve port internete açık. Sunucu kayıtlarında her gece yurt dışından parola denemeleri görülüyor.
Sonuç
Ofis ile bulut arasında tünel kuruluyor ve uzak masaüstü kuralı yalnız tünelden gelen ofis ağına izin verecek şekilde değiştiriliyor. İnternete açık port kapanıyor, ekip aynı kısayolla çalışmaya devam ediyor.
İki bulut arasında gece veri aktarımı
Durum
Bir yazılım ekibinin müşteri verisi Nesnet bulutunda, raporlama araçları başka bir bulut sağlayıcısında çalışıyor. İki ortamın her gece büyük bir veri aktarımını şifreli ve kalıcı bir yoldan yapması gerekiyor.
Sonuç
İki bulut arasında IKEv2 ile tünel kuruluyor ve sertifikalı kimlik doğrulama seçiliyor. Bir gece tünel kurulamadığında ekip, sorunun karşı taraftaki sertifika süresinde olduğunu bulut panelindeki hata nedeninden okuyor.
IP adresini değiştirmeden buluta taşınan sunucular
Durum
Bir kurum ofisteki sunucularını buluta taşıyacak, ama iç uygulamaların yapılandırmalarında onlarca sabit IP adresi yazılı.
Sonuç
Katman 2 VPN ofisteki ağ segmentini buluta uzatıyor; sunucular birer birer taşınıyor ve adreslerini koruyor. Taşıma bittiğinde uzatma kaldırılıyor, sunucular buluttaki ağda aynı adreslerle çalışmaya devam ediyor.
Güvenlik duvarını yenileyen ofis
Durum
Bir şirket ofis güvenlik duvarını başka bir markayla değiştiriyor. Eski cihazdaki VPN ayarlarını bilen kişi şirketten ayrılmış.
Sonuç
Nesnet'in hazır değer listesi yeni cihaza giriliyor ve tünel ilk denemede kuruluyor. Ayar bilgisi bir kişinin hafızasında değil, panelde ve listede duruyor.
Kim neyi yapar
| Nesnet | Siz |
|---|---|
| Ağ geçitlerini etkin/yedek yapıda çalıştırır ve IPsec servisinin bağlı olduğu altyapıyı işletir. | Ofis tarafındaki güvenlik duvarını ya da yönlendiriciyi yönetir, değerleri o cihaza girersiniz. |
| Ofis tarafındaki cihaz için tünel değer listesini verir. | Tünelin iki ucundaki alt ağları ve ön paylaşımlı anahtarı ya da sertifikayı belirlersiniz. |
| Ağ geçidinize genel IP ön atamasını yapar ve internet bağlantısını işletir. | Tünelden geçecek trafik için ağ geçidinin güvenlik duvarındaki izin kurallarını yönetirsiniz. |
| Ofis tarafındaki internet hattının sürekliliğini sağlarsınız. |
Kimler için
Buluta kısmen taşınmış şirketler
Uygulama sunucularını buluta taşımış, ama veritabanı, dosya sunucusu ya da üretim hattı yazılımı hâlâ ofiste ya da fabrikada duran şirketler. İki taraf internete port açmadan, şifreli bir yoldan konuşur.
Merkez ofisi ve birkaç şubesi olan kuruluşlar
Merkez ofisi ve sayısı az olan şubeleri buluttaki sunuculara kalıcı olarak bağlamak isteyen kuruluşlar. Her konum için ayrı tünel açılır ve tek panelden izlenir.
Hibrit yapı kuran ekipler
Başka bir bulut sağlayıcısı ya da kendi veri merkezi ile Nesnet arasında kalıcı bağlantı kuran ekipler. Karşı tarafta IPsec destekleyen bir cihaz ya da hizmet olması yeterlidir.
Güvenlik duvarını kendi yöneten BT ekipleri
Ofis güvenlik duvarını kendisi yöneten ve tünel parametrelerini bilerek seçmek isteyen ekipler. Varsayılan set hazırdır, gerektiğinde her değer tek tek ayarlanır.
Taşıma sırasında IP adresini korumak isteyenler
Sunucularını buluta taşırken IP adreslerini değiştirmek istemeyen ekipler. Aynı ağ geçidindeki katman 2 VPN, ofis ağını taşıma süresince buluta uzatır.
Uygun olmayabilir
Çok sayıda şubeyi birbirine ve buluta bağlamak, hat yedekliliği ve uygulamaya göre yol seçimi istiyorsanız SD-WAN daha uygundur; şubeler tek tek tünel yerine merkezden yönetilen bir ağa katılır.
Tek tek kullanıcıların evden ya da sahadan bağlanması için bu hizmet uygun değildir; Site-to-Site VPN ağları bağlar, kişileri değil.
Ofis ile bulut arasında dinamik yönlendirme (BGP) şartınız varsa bu tüneller o şartı karşılamaz; bulut ağ geçidindeki IPsec'te yönlendirme statik rotayla yapılır.
Altyapının içi
Site-to-Site VPN için ayrı bir Nesnet eklentisi yoktur; IPsec, bulut panelindeki edge ağ geçidinizin yerleşik ve self servis özelliğidir ve tüneli yazılım tanımlı ağ katmanı işletir. Müşteri ağ geçitleri Active/Standby çalışır; IPsec servisi bu yedekli yapıyı gerektirir. Tüneller bulut panelinden ve platformun API'sinden yönetilir; Nesnet'in kendi otomasyon araçları da aynı resmi API'yi kullanır. Nesnet'in katkısı burada yazılımdan çok işletimdedir: karşı uç için hazır parametre listesi, rota tabanlı tünelleri kendi SD-WAN hizmetinde çalıştıran bir ekip, tünelin bağlı olduğu güvenlik duvarı ve genel IP'nin aynı yerde yönetilmesi.
Yapı taşları
- Bulut portalı ve API
- tünel tanımı, self servis panel ve otomasyon
- Kuruma özel ağ geçidi
- IPsec tünelini sonlandıran edge ağ geçidi
- Yedekli ağ geçidi katmanı (Active/Standby)
- IPsec servisinin arıza anında yedeğe geçmesi
Diğer seçeneklerle karşılaştırma
| Seçenek | Ne zaman doğru seçim |
|---|---|
| SD-WAN | Birden çok şubeniz varsa ve her biri için ayrı tünel yönetmek yerine hat yedekliliği, uygulamaya göre yol seçimi ve merkezden kural istiyorsanız. |
| Aynı ağ geçidinde L2 VPN | Bir ağ segmentini katman 2'de buluta uzatmanız gerekiyorsa, örneğin taşıma sırasında sunucuların IP adreslerini değiştirmek istemiyorsanız, ağ geçidi sunucu ya da istemci modunda L2 VPN de çalıştırır. |
Teknik özellikler
| IKE sürümü | IKEv1, IKEv2, IKE-Flex; varsayılan IKEv2 |
|---|---|
| Diffie-Hellman grupları | 2, 5, 14, 15, 16, 19, 20, 21; varsayılan 14 |
| IKE özet | SHA-1, SHA2-256, SHA2-384, SHA2-512; varsayılan SHA2-256 |
| IKE şifreleme | AES-128, AES-256, AES-GCM-128/192/256; varsayılan AES-128 |
| Tünel modu | ESP (IP protokolü 50), tünel modu |
|---|---|
| ESP şifreleme | AES-GCM-128/192/256, AES-128, AES-256; varsayılan AES-GCM-128 |
| PFS ve SA ömrü | PFS açık; tünel SA 3600 sn, IKE SA 86400 sn |
| Ölü uç tespiti (DPD) | Varsayılan 60 sn; 3–60 sn arası ayarlanır |
| Kimlik doğrulama | Ön paylaşımlı anahtar (varsayılan) ya da CA doğrulamalı sertifika |
| Başlatma modu | Initiator (varsayılan), Respond-only, On-demand |
| DF bit | COPY (varsayılan) ya da CLEAR |
| Tünel türü | Politika tabanlı; rota tabanlı (VTI) |
|---|---|
| Yönlendirme | Statik rota; bu tünellerde dinamik yönlendirme (BGP) yok |
| Yerel uç | Ağ geçidine ayrılmış genel IP |
| Uzak uç kimliği | IP, FQDN ya da e-posta |
| Yedeklilik | Active/Standby ağ geçidi |
| Fiyat birimi | Tünel başına; L2 VPN ayrı birim |
Bir şey bozulursa
Ağ geçidinin aktif tarafı düşerse
IPsec servisi Active/Standby çalışır; aktif taraf düşerse servis yedeğe geçer. Bu yedekli yapı, ağ geçidiniz oluşturulduğunda kurulur, ayrıca istemeniz gerekmez.
Ofis tarafı cevap vermezse
Ölü uç tespiti (DPD) karşı ucu varsayılan olarak 60 saniyelik aralıkla yoklar ve kaybı algılar. Bağlantı Initiator modundaysa ofis tarafı geri geldiğinde tünel kendiliğinden yeniden kurulur.
Tünel kurulamazsa
Tünel DOWN göründüğünde IKE hata nedeni panelde okunur. Sorunun ofis tarafında mı bulut tarafında mı olduğu hemen görülür; iki ekip ayrı ayrı kayıt karşılaştırmaya başlamadan önce nereye bakılacağı bellidir.
Sık sorulan sorular
Fiyatlandırma ve ilk adım
Fiyatlandırma
Site-to-Site VPN tünel başına bir birimle, aylık faturalanır; katman 2 VPN ayrı bir birimdir. Tünelin önkoşulu olan ağ geçidi ve genel IP, bulut ortamınızın kaynakları arasındadır. Faturalar e-Fatura ya da e-Arşiv olarak kesilir.
Fiyatı belirleyenler
- Açılan IPsec tünel sayısı
- Ağ segmentini buluta uzatan katman iki VPN kullanılıyorsa onun birimi
- Tünelin bağlandığı ağ geçidi ve bulut organizasyonu (önkoşul)
- Ağ geçidine ayrılan genel IP adresi
Nasıl başlarsınız
- 1.Bağlanacak ofisleri ve ağları formla ya da 0800 606 1071'i arayarak anlatın.
- 2.Tünel düzeni ve fiyat bir görüşmede netleşir.
- 3.Ofis cihazınız için değer listesi gelir, tünel ağ geçidinizde açılır.
Ofisinizle bulut arasındaki yolu şifreleyin
Kaç konumu bağlamak istediğinizi ve ofisinizde hangi cihazın çalıştığını Nesnet ekibine anlatın; aynı iş günü içinde dönüş yapılır. Bulut tarafına cihaz kurulmaz, ofis cihazınızın değerleri hazır gelir.