Güvenli Şubeler Arası Haberleşmenin Temelleri ve Teknik Yapılandırması

Dijital dönüşümün hız kazandığı günümüzde şirketlerin yalnızca tek bir lokasyonda faaliyet göstermesi artık oldukça nadir görülen bir durumdur. Birçok kurumun farklı şehirlerde bulunan şubeleri, üretim tesisleri, veri merkezleri ve bulut ortamları arasında sürekli veri alışverişi gerçekleşmektedir. Bu iletişimin internet üzerinden yapılması ise beraberinde önemli güvenlik risklerini getirir. İnternet herkese açık bir ağ olduğundan, gönderilen verilerin üçüncü kişiler tarafından dinlenmesi, değiştirilmesi veya ele geçirilmesi ihtimali bulunmaktadır.

Bu noktada IPSec (Internet Protocol Security) teknolojisi devreye girer. IPSec, internet gibi güvenilmeyen ağlar üzerinden geçen trafiği şifreleyerek iki nokta arasında güvenli bir sanal tünel oluşturur. Böylece kullanıcılar fiziksel olarak farklı lokasyonlarda olsalar bile aynı yerel ağdaymış gibi güvenli bir şekilde haberleşebilirler.

Bu makalede, iki Fortinet FortiGate Firewall arasında oluşturulan IPSec Site-to-Site VPN mimarisini ayrıntılı olarak inceleyeceğiz.

Senaryo

Örnekte iki farklı lokasyonda bulunan FortiGate güvenlik duvarı yer almaktadır.

Merkez Ofis (FortiGate-1)

• Public IP : 203.0.113.1
• Yerel Ağ : 10.10.1.0/24

Şube Ofis (FortiGate-2)

• Public IP : 203.0.113.2
• Yerel Ağ : 10.20.1.0/24

Her iki lokasyon internet üzerinden birbirine bağlıdır. Amaç, bu iki özel ağı güvenli bir IPSec tüneli ile birbirine bağlayarak kullanıcıların karşı taraftaki sunucu, dosya paylaşımı, ERP sistemi veya diğer kurumsal uygulamalara güvenli şekilde erişmesini sağlamaktır.

IPSec VPN Nasıl Çalışır?

IPSec VPN’i, internet içerisinde oluşturulan özel ve şifreli bir otoyol olarak düşünebiliriz.

Normal şartlarda bir bilgisayardan gönderilen veri paketleri internet üzerinde birçok farklı yönlendiriciden geçer ve teorik olarak izlenebilir. IPSec ise bu paketleri göndermeden önce güçlü algoritmalar ile şifreler.

Şifrelenmiş paketler internet üzerinde taşınırken dışarıdan bakan biri yalnızca anlamsız veri blokları görür. Paketler yalnızca karşı taraftaki FortiGate tarafından çözülebilir.

Bu sayede;

• Veri gizliliği korunur.
• Verinin değiştirilmediği doğrulanır.
• Gönderen cihazın kimliği doğrulanır.
• Şirket ağı internetten izole edilmiş gibi güvenli çalışır.

IPSec Tüneli Oluşturulurken Hangi Güvenlik Parametreleri Kullanılıyor?

Görselde dikkat çeken ilk nokta, kullanılan güvenlik algoritmalarıdır.

IKEv2

IPSec tüneli kurulmadan önce iki firewall birbirini tanımak zorundadır. Bu işlemi IKE (Internet Key Exchange) gerçekleştirir.

Görselde kullanılan IKEv2, günümüzde en çok tercih edilen sürümdür.

IKEv2;

• Daha hızlıdır.
• Daha güvenlidir.
• NAT arkasında daha başarılı çalışır.
• Ağ kesintilerinde bağlantıyı daha kolay yeniden kurabilir.

AES-256 Şifreleme

Tünel kurulduktan sonra gönderilen tüm veri paketleri AES-256 algoritması ile şifrelenmektedir.

AES-256 günümüzde;

• Bankalar,
• Devlet kurumları,
• Askeri sistemler,
• Finans kuruluşları

tarafından kullanılan en güçlü simetrik şifreleme algoritmalarından biridir.

Şifrelenmiş veri internet üzerinden güvenle taşınır.

SHA-256

Şifreleme tek başına yeterli değildir.

Karşı taraftaki firewall’ın gelen paketin değiştirilmediğinden de emin olması gerekir.

Bunun için SHA-256 kullanılır.

SHA-256 sayesinde;

• Veri bütünlüğü korunur.
• Paket üzerinde herhangi bir değişiklik yapılıp yapılmadığı anlaşılır.

Diffie-Hellman Group 14

İki cihazın ortak şifreleme anahtarını güvenli şekilde oluşturmasını sağlayan mekanizma Diffie-Hellman algoritmasıdır.

Görselde kullanılan DH Group 14, 2048 bit güvenlik seviyesine sahiptir ve kurumsal sistemlerde yaygın olarak tercih edilmektedir.

Perfect Forward Secrecy (PFS)

Görselde dikkat çeken bir diğer önemli güvenlik ayarı ise PFS (Perfect Forward Secrecy) özelliğinin aktif olmasıdır.

PFS sayesinde her yeni VPN oturumu için yeni anahtarlar oluşturulur.

Bu sayede gelecekte herhangi bir anahtar ele geçirilse bile geçmişteki VPN trafiği çözülemez.

IPSec Kurulumunun Aşamaları

FortiGate üzerinde IPSec VPN kurulumu temel olarak üç bölümden oluşur.

1. Phase-1 (IKE)

İlk aşama, iki firewall’ın birbirini tanıdığı ve güven ilişkisi oluşturduğu bölümdür.

Bu aşamada aşağıdaki bilgiler belirlenir.

• Karşı cihazın Public IP adresi
• IKE sürümü
• Şifreleme algoritması
• Hash algoritması
• Diffie-Hellman grubu
• Pre-Shared Key (Ortak Şifre)

Her iki cihazdaki ayarlar birebir aynı olmak zorundadır.

Örneğin;

FortiGate-1 cihazı karşı tarafta 203.0.113.2 adresindeki firewall ile bağlantı kuracağını bilir.

FortiGate-2 ise 203.0.113.1 adresine bağlanacaktır.

Ayrıca her iki cihazda tanımlanan Pre-Shared Key aynı değilse tünel hiçbir zaman kurulamaz.

2. Phase-2 (IPSec)

Phase-1 tamamlandıktan sonra artık hangi ağların VPN içerisine alınacağı belirlenir.

Bu aşama “Traffic Selector” olarak da adlandırılır.

Örnekte;

Kaynak ağ; 10.10.1.0/24
Hedef ağ; 10.20.1.0/24

olarak belirlenmiştir.

Bu tanım sayesinde FortiGate yalnızca bu iki ağ arasındaki trafiği IPSec tüneline yönlendirir.

İnternet trafiği ise normal şekilde devam eder.

3. Firewall Policy

IPSec tüneli başarıyla kurulmuş olsa bile Firewall Policy tanımlanmamışsa cihazlar birbirleriyle haberleşemez.

Bu nedenle VPN kurulumunun en önemli adımlarından biri de güvenlik politikalarının oluşturulmasıdır.

Firewall Policy;

• Hangi ağın
• Hangi ağa
• Hangi servislerle
• Hangi kurallar çerçevesinde

erişebileceğini belirler.

Görselde örnek olması amacıyla ALL servisi kullanılmıştır.

Ancak gerçek kurumsal ortamlarda güvenlik açısından yalnızca ihtiyaç duyulan servislerin açılması önerilir.

Örneğin;

• HTTPS
• SQL Server
• RDP
• SMB
• ICMP

gibi servisler ayrı ayrı tanımlanmalıdır.

VPN Politikalarında NAT Neden Kapatılır?

Görselde dikkat çeken bir diğer ayar NAT Disable seçeneğidir.

Normal internet çıkışlarında istemcilerin IP adresleri Firewall tarafından değiştirilir.

Fakat Site-to-Site VPN bağlantılarında karşı taraftaki cihazların gerçek IP adreslerini görmesi gerekir.

Örneğin;

10.10.1.25 adresindeki bilgisayar karşı taraftaki sunucuya bağlandığında aynı IP adresiyle görünmelidir.

Eğer NAT açık olursa kaynak IP değişeceği için birçok uygulama düzgün çalışmayacaktır.

Bu nedenle Site-to-Site IPSec VPN kurulumlarında NAT genellikle kapalı tutulur.

Veri Paketi VPN İçerisinde Nasıl Yol Alır?

Merkez ofiste bulunan 10.10.1.50 IP adresine sahip bir bilgisayarın şubedeki 10.20.1.20 adresindeki ERP sunucusuna bağlandığını düşünelim.

İşlem sırası şu şekildedir:

Bilgisayar isteği FortiGate-1’e gönderir.
FortiGate hedef IP’nin VPN ağı içerisinde olduğunu tespit eder.
Veri AES-256 ile şifrelenir.
Şifrelenmiş paket internet üzerinden gönderilir.
FortiGate-2 paketi alır.
Şifre çözülür.
Paket şube ağına iletilir.

Tüm bu işlemler milisaniyeler içerisinde gerçekleşir ve kullanıcı herhangi bir gecikme hissetmez.

VPN Bağlantısının Kontrolü

FortiGate üzerinde VPN’in çalışıp çalışmadığını doğrulamak için çeşitli CLI komutları kullanılabilir.

En sık kullanılan komutlardan biri;

get vpn ipsec tunnel summary

komutudur.

Bu komut;

• Tünelin açık olup olmadığını,
• Phase-1 ve Phase-2 durumunu,
• Trafik sayaçlarını

göstermektedir.

Bunun yanında;

• get vpn ipsec sa
• diagnose vpn ike gateway list
• diagnose sniffer packet any “esp” 4

komutları da bağlantının analiz edilmesinde önemli rol oynar.

IPSec VPN Kurulumunda En Sık Yapılan Hatalar

Kurulum sırasında karşılaşılan problemlerin büyük bölümü aslında oldukça basit yapılandırma hatalarından kaynaklanmaktadır.

En yaygın sorunlar şunlardır:

• Public IP adresinin yanlış girilmesi
• Pre-Shared Key’in iki tarafta farklı olması
• IKE veya IPSec algoritmalarının uyuşmaması
• Kaynak ve hedef subnet bilgilerinin yanlış tanımlanması
• Firewall Policy’nin eksik oluşturulması
• VPN politikalarında NAT’ın açık bırakılması
• Routing tablolarının eksik olması

Bu kontroller yapıldığında problemlerin büyük bölümü kısa sürede çözülebilmektedir.

Fortinet FortiGate cihazları üzerinde IPSec Site-to-Site VPN kurulumu, farklı lokasyonlardaki ağları güvenli bir şekilde birbirine bağlamak için en güvenilir ve en yaygın kullanılan yöntemlerden biridir. Görselde örneklenen yapılandırmada kullanılan IKEv2, AES-256, SHA-256, DH Group 14 ve Perfect Forward Secrecy (PFS) gibi güncel güvenlik standartları, veri gizliliği ve bütünlüğünü yüksek seviyede korurken kurumsal ağlar arasında güvenilir bir iletişim altyapısı oluşturur.

Başarılı bir IPSec VPN yapısı yalnızca Phase-1 ve Phase-2 ayarlarının doğru yapılmasına bağlı değildir. Bunun yanında doğru yönlendirme (routing), uygun firewall politikaları, NAT yapılandırması ve düzenli izleme süreçleri de kritik öneme sahiptir. Özellikle çok şubeli şirketler, üretim tesisleri, veri merkezleri ve bulut ortamları arasında çalışan kurumlar için IPSec VPN, düşük maliyetli, yüksek güvenlikli ve sürdürülebilir bir bağlantı çözümü sunmaktadır.

Doğru planlanmış ve güvenlik en iyi uygulamalarına uygun şekilde yapılandırılmış bir FortiGate IPSec VPN altyapısı, hem bilgi güvenliğini artırır hem de kurumların iş sürekliliğini destekleyen sağlam bir ağ omurgası oluşturur. Bu nedenle IPSec VPN, günümüzde kurumsal ağ mimarilerinin vazgeçilmez bileşenlerinden biri olmaya devam etmektedir.