Kamera Ağını VLAN ile Ayırma Nasıl Yapılır? Access, Trunk, Native VLAN ve NVR Yerleşimi

VLAN nedir ve kamera sisteminde ne işe yarar?

VLAN (Virtual LAN, sanal yerel ağ), aynı fiziksel switch'e bağlı cihazları mantıksal olarak ayrı yayın (broadcast) alanlarına bölen bir ağ tekniğidir. Standardı IEEE 802.1Q (Bridges and Bridged Networks) belgesinde tanımlanmıştır. Aynı kablo ve aynı switch kullanılsa bile farklı VLAN'daki cihazlar, aralarına bir yönlendirici (router) girmedikçe birbirleriyle konuşamaz.

Kamera sistemlerinde VLAN'ın amacı, IP kameraları ve kayıt cihazını kullanıcı bilgisayarlarından, yazıcılardan, misafir Wi-Fi'dan ve telefonlardan ayırmaktır. Kameralar çoğu zaman sınırlı güvenlik güncellemesi alan gömülü cihazlardır; bu yüzden onları ofis ağıyla aynı düz (flat) ağda tutmak, tek bir ele geçirilmiş bilgisayarın tüm kameraları taramasına izin verir.

VLAN bir firewall'un yerini tutmaz; yalnızca ayrımı mümkün kılar. Ayrımın etkili olması için VLAN'lar arası geçişi denetleyen bir router ya da güvenlik duvarı kuralı da gerekir.

Kamera trafiğini neden ayrı VLAN'a almak gerekir?

Kamera ağını ayırmanın üç somut nedeni vardır: saldırı yüzeyini küçültmek, gereksiz yayın trafiğini azaltmak ve video trafiğinin kullanıcı trafiğiyle çekişmesini önlemek.

• Saldırı yüzeyi: Ayrı VLAN'daki kameralara kullanıcı bilgisayarlarından doğrudan erişim varsayılan olarak kapalıdır. Ofiste kötü amaçlı yazılım bulaşan bir bilgisayar kameraların yönetim arayüzlerini bulamaz ve zayıf parolaları deneyemez.
• İnternete kapalı kamera: Kamera VLAN'ının internet çıkışı güvenlik duvarında kapatılırsa kameralar dışarıdan erişilemez olur ve dışarıya kendiliğinden bağlantı kurmaz. Uzaktan izleme gerekiyorsa bunun için VPN ile güvenli uzaktan erişim kullanılır; port yönlendirme önerilmez.
• Broadcast azaltma: Her VLAN ayrı bir yayın alanıdır. Kamera, NVR ve switch'lerin ürettiği keşif ve ARP gibi yayın paketleri ofis cihazlarına ulaşmaz, ofis yayınları da kameralara ulaşmaz.
• Trafik yalıtımı: Yoğun video akışı ayrı VLAN'da kalır; QoS ve bant genişliği sınırlaması VLAN bazında uygulanabilir. Kamera sayısı arttıkça switch seçimi ve uplink kapasitesi bu yüzden önem kazanır.
• Kayıt gizliliği: Kamera görüntüsü kişisel veri olduğundan erişimin sınırlandırılması KVKK kapsamındaki teknik tedbirlerin de parçasıdır.

Access port ve trunk port arasındaki fark nedir?

Access port, tek bir VLAN'a ait etiketsiz (untagged) trafik taşıyan porttur; kamera, NVR ya da bilgisayar gibi uç cihazlar bu tür portlara bağlanır. Cihaz VLAN'dan haberdar olmaz, switch gelen her çerçeveyi o portun VLAN'ına atar.

Trunk port ise birden çok VLAN'ın trafiğini aynı kablo üzerinden, etiketli (tagged) olarak taşır. Switch'ten switch'e bağlantılarda, switch'ten router'a ya da güvenlik duvarına giden bağlantılarda ve VLAN destekli erişim noktalarında kullanılır. Üreticiye göre aynı kavram "tagged / untagged", "general" ya da "hybrid" port adlarıyla da görünür.

• Access port: bir VLAN, etiketsiz, uç cihaz için.
• Trunk port: birçok VLAN, etiketli, ağ cihazları arası bağlantı için.
• Kamera ve NVR portlarını trunk yapmayın; yalnızca ilgili kamera VLAN'ına access olarak atayın.
• Trunk'ta yalnızca gereken VLAN'lara izin verin (allowed VLAN listesi); kullanılmayan VLAN'ları trunk'a eklemeyin.

802.1Q etiketleme nasıl çalışır?

802.1Q, Ethernet çerçevesine kaynak MAC adresinden sonra 4 baytlık bir etiket ekler. Etiketin ilk 16 biti TPID alanıdır ve değeri 0x8100'dür; sonraki 16 bit (TCI) 3 bitlik öncelik (PCP), 1 bitlik DEI ve 12 bitlik VLAN kimliğinden (VID) oluşur.

12 bit nedeniyle kullanılabilir VLAN kimliği sayısı 4094'tür; 0 ve 4095 ayrılmıştır. Etiket çerçeveyi 4 bayt büyüttüğü için azami çerçeve boyutu 1518'den 1522 bayta çıkar; bu yüzden trunk hattındaki tüm cihazların 802.1Q'yu desteklemesi gerekir.

Pratikte etiketi sizin yerinize switch ekler ve çıkarır. Kamera etiketsiz çerçeve gönderir, switch bunu access portun VLAN'ına göre etiketleyip trunk'a verir, karşı switch de hedef access porttan çıkarırken etiketi kaldırır.

Native VLAN tuzağı nedir?

Native VLAN, trunk portta etiketsiz gelen çerçevelerin ait sayıldığı VLAN'dır. 802.1Q'ya göre VLAN farkındalıklı ağda etiketi olmayan çerçeve native VLAN'a aittir; üreticilerde bu çoğunlukla varsayılan VLAN 1 ya da 'PVID' ayarıyla karşımıza çıkar.

Tuzak, trunk'ın iki ucunda native VLAN ayarının farklı olmasıdır. Bir uçta etiketsiz trafik VLAN 1'e, diğer uçta VLAN 20'ye atanırsa trafik yanlış ağa sızar, bazı cihazlar uyarı verir ya da bağlantı kesintili çalışır.

İkinci risk VLAN hopping (çift etiketleme) saldırısıdır: saldırganın portu trunk'ın native VLAN'ındaysa iç içe iki etiket taşıyan çerçeve, dış etiket çıkarıldıktan sonra hedef VLAN'a geçebilir.

• Kamera ve kullanıcı portlarını varsayılan VLAN 1'de bırakmayın.
• Trunk'larda native VLAN'ı iki uçta aynı ve kullanılmayan bir kimliğe (ör. 999) ayarlayın.
• Mümkünse native VLAN'a hiçbir uç cihaz bağlamayın; trunk'ta tüm gerçek VLAN'ları etiketli taşıyın.
• Kullanılmayan portları kapatın ya da kullanılmayan bir VLAN'a atayın.

Hangi donanım gerekir ve NVR hangi VLAN'da durmalı?

VLAN için en az bir yönetilebilir (managed) switch gerekir. Yönetilemeyen (unmanaged) switch 802.1Q etiketlerini anlamaz; port bazında VLAN atayamaz. 'Akıllı' (smart/web managed) switch'ler küçük kurulumlar için çoğu zaman yeterlidir, ancak 802.1Q VLAN, port bazlı VLAN ve trunk desteği olduğundan emin olun.

VLAN'lar arası yönlendirme için bir Layer 3 switch, VLAN destekli bir router ya da güvenlik duvarı gerekir. Küçük işletmelerde en yaygın yapı, router'ın tek fiziksel arayüzünde alt arayüzler (router-on-a-stick) açmak ya da güvenlik duvarının ayrı bir portunu kamera VLAN'ına ayırmaktır.

NVR veya VMS sunucusu kamera VLAN'ında durmalıdır. Kameralar akışlarını ve olaylarını NVR'a gönderir; ikisi aynı VLAN'da olunca keşif, kayıt ve ONVIF olay trafiği yönlendirme gerektirmeden çalışır. Kullanıcı bilgisayarları izleme için NVR'a kontrollü şekilde erişir, kameralara doğrudan değil. Kameraların NVR'ın dahili PoE portlarına bağlandığı yapılarda kameralar zaten NVR'ın kendi izole ağındadır; yine de NVR'ın ağ portu kamera VLAN'ında olmalıdır.

Kullanıcılar kamera VLAN'ına nasıl kontrollü erişir?

Kullanıcıların kamerayı izleyebilmesi için VLAN'lar arası trafik izin kuralıyla açılır; bu işleme inter-VLAN routing denir. Kural varsayılan olarak her şeyi engeller, yalnızca gereken kaynak, hedef ve port izinlerini tanımlar.

Mantık TP-Link, Ubiquiti, Cisco ve benzeri arayüzlerde aynıdır; yalnızca menü adları değişir: önce VLAN oluşturulur, sonra her VLAN'a bir alt ağ ve bir ağ geçidi adresi verilir, en sonda güvenlik duvarı kuralı yazılır.

• Kullanıcı VLAN'ından NVR/VMS adresine yalnızca gerekli portlara (web arayüzü, VMS istemci, RTSP) izin verin.
• Kullanıcıdan tek tek kameralara erişimi varsayılan olarak kapatın; yalnızca teknik personelin yönetim bilgisayarına izin verin.
• Kamera VLAN'ından kullanıcı VLAN'ına yeni bağlantı başlatmayı engelleyin; yalnızca kullanıcı tarafından açılmış oturumların dönüşüne izin verin (stateful kural).
• Kamera VLAN'ının internet çıkışını kapatın; NTP gibi zorunlu hizmet için yalnızca belirli sunucuya izin verin.
• Kullanıcı VLAN'ında olan mobil izleme için NVR'a uzaktan erişimi VPN'e bağlayın.

Tipik küçük işletme örneği: VLAN 10 kullanıcı, VLAN 20 kamera

Aşağıdaki örnek, 12 kameralı küçük bir ofis için marka-bağımsız bir plandır. Adresler yalnızca örnektir; kendi ağınızdaki mevcut alt ağlarla çakışmayacak şekilde seçin. Adres planlaması için kamera sistemi IP planı ve subnet maskesi rehberi yardımcı olur.

• VLAN 10 (Kullanıcı): 192.168.10.0/24, ağ geçidi 192.168.10.1; bilgisayarlar, yazıcılar, Wi-Fi.
• VLAN 20 (Kamera): 192.168.20.0/24, ağ geçidi 192.168.20.1; kameralar 192.168.20.101-199, NVR 192.168.20.10. Kameralara DHCP rezervasyonu ya da statik adres verin.
• Switch portları: 1-12 kamera portları VLAN 20 access (PoE açık); 13 NVR portu VLAN 20 access; 14-20 kullanıcı portları VLAN 10 access; 24 router/firewall bağlantısı trunk (VLAN 10 ve 20 etiketli, native VLAN kullanılmayan bir kimlikte).
• Router/firewall: VLAN 10'dan 192.168.20.10 adresine izinli portlar; VLAN 20'den internete ret; VLAN 20'den VLAN 10'a yeni bağlantı ret.
• Test: Kullanıcı bilgisayarından NVR arayüzü açılmalı; aynı bilgisayardan doğrudan kamera adresine ulaşım kapalıysa ayrım çalışıyordur.

Sık yapılan hatalar: ONVIF keşfi, PoE port ve çoklu yayın

Kamera ve NVR farklı VLAN'da kalırsa otomatik bulma çalışmaz. ONVIF cihaz keşfi WS-Discovery protokolünü kullanır; bu protokol 239.255.255.250 çoklu yayın adresi ve 3702 numaralı UDP portu üzerinden çalışır. Keşif paketleri router'dan geçmediği için başka VLAN'daki kamera 'bulunamadı' görünür. Çözüm, NVR'ı kamera VLAN'ına almak ya da kameraları IP adresiyle elle eklemektir. ONVIF'in genel mantığı için ONVIF nedir rehberine bakın.

PoE portta yanlış VLAN ataması en sık görülen ikinci hatadır. Kamera güç alır ve ışığı yanar ama yanlış VLAN'da IP alamaz ya da yanlış alt ağdan adres alır. Toplu atama sonrası her kamera portunun VLAN 20 access olduğunu kontrol edin; trunk bırakılmış bir port kamerayı etiketli trafiğe sokar ve kamera iletişim kuramaz.

Üçüncü hata, kamera VLAN'ında DHCP sunucusunun bulunmamasıdır. Router'da her VLAN için ayrı DHCP havuzu tanımlanmalı ya da kameralara elle adres verilmelidir.

Bayifi'de bu konunun yeri

VLAN ve güvenlik duvarı yapılandırması ağ bilgisi gerektiren bir işçiliktir; kurulumu yapacak firmayı il il kurulumcu dizininden bulabilir, switch, NVR ve kamera gibi ürünleri toptancıların stoklu listelerinden karşılaştırabilirsiniz. Kurulumcu ve toptancı firmanızı eklemek için kaydol sayfası kullanılır.