Firewall, kurumsal ağın hem kapısı hem de en yoğun çalışan güvenlik bileşenidir. Yıllar içinde biriken kurallar, yeni eklenen şubeler, uzaktan çalışma ve artan şifreli trafik, birkaç yıl önce doğru seçilmiş bir cihazı bugün darboğaza dönüştürebilir. Bu rehber, firewall yenileme kararını ve geçiş sürecini yapılandırılmış bir şekilde ele alır.
Firewall’unuzu yenileme zamanı geldi mi?
Aşağıdaki belirtilerden ikisi veya daha fazlası varsa yenileme planlamanın zamanı gelmiştir:
- Üretici, cihaz için satış veya destek bitiş tarihi (End of Sale / End of Support) açıklamış.
- Saldırı önleme (IPS), antivirüs veya SSL denetimi açıldığında CPU ve bellek kullanımı kritik seviyeye çıkıyor; bu yüzden bazı korumalar kapalı tutuluyor.
- İnternet hattınız yükseltildi ama kullanıcılar hızı hissetmiyor; firewall’un gerçek güvenlik verimi hattın gerisinde kalıyor.
- Şube sayısı, VPN kullanıcısı veya eşzamanlı oturum sayısı ilk tasarımın çok üstüne çıktı.
- Kural tabanı yüzlerce kurala ulaştı ve kimse hangi kuralın neden var olduğunu bilmiyor.
Doğru boyutlandırma: veri sayfasındaki en büyük sayıya bakmayın
Firewall veri sayfalarındaki en yüksek değer genellikle “firewall verimi”dir ve hiçbir güvenlik özelliği açık değilken ölçülür. Gerçek hayatta belirleyici olan değerler şunlardır:
| Değer | Neden önemli? |
|---|---|
| Tehdit koruma verimi (Threat Protection) | IPS, uygulama kontrolü ve kötü amaçlı yazılım koruması açıkken ulaşılan gerçekçi verimdir. Boyutlandırmanın temel ölçüsü budur. |
| SSL denetim verimi | Trafiğin büyük kısmı şifrelidir. SSL denetimi açıldığında verim belirgin şekilde düşer; bu değer hattınızın gerisinde kalmamalıdır. |
| Eşzamanlı oturum ve yeni oturum/saniye | Kullanıcı ve cihaz sayısı arttıkça, özellikle misafir ağlarında belirleyici olur. |
| IPsec VPN ve SSL VPN kapasitesi | Şube tünelleri ve uzaktan çalışan kullanıcı sayısı için gereklidir. |
| Port yapısı | 10/25 Gbps bağlantılar, yedekli hatlar ve HA bağlantıları için yeterli port bulunmalıdır. |
Pratik kural: İnternet çıkış hızınızın ve iç segmentler arası (doğu-batı) trafiğinizin, SSL denetimi ve tehdit koruması açıkken bile rahatça karşılanması, üstüne 3–5 yıllık büyüme payı eklenmesi gerekir.
Lisanslar: donanım kadar önemli
Yeni nesil firewall’ların koruma gücü abonelik tabanlı güncellemelerden gelir. FortiGate tarafında bu hizmetler FortiGuard paketleriyle sunulur; IPS imzaları, antivirüs, web filtreleme, uygulama kontrolü ve gelişmiş tehdit koruması bu kapsamdadır. Yenileme projesinde şu sorular netleşmelidir:
- Hangi güvenlik hizmetleri gerçekten kullanılacak ve hangi paket bunları kapsıyor?
- Lisans süresi donanımın planlanan kullanım süresiyle uyumlu mu?
- Merkezi log ve raporlama (FortiAnalyzer) ile çoklu cihaz yönetimi (FortiManager) gerekiyor mu?
- Lisans bitiş tarihleri kimin takviminde? Biten bir lisans, korumanın sessizce durması demektir.
Kural temizliği: taşımadan önce sadeleştirin
Eski kural tabanını olduğu gibi yeni cihaza taşımak, yıllarca biriken riskleri de taşımak demektir. Geçiş öncesi kural temizliği şu adımlarla yapılır:
- Kullanılmayan kuralları bulun: Belirli bir süre boyunca hiç eşleşmeyen kurallar, kaldırılmaya adaydır.
- Geniş kuralları daraltın: “Her yerden her yere” izin veren kurallar, gerçek kaynak, hedef ve servislerle sınırlandırılır.
- Gölgelenen kuralları ayıklayın: Üstteki bir kural nedeniyle hiçbir zaman çalışmayan kurallar silinir.
- Nesneleri adlandırın: IP adresleri yerine anlamlı adres ve servis nesneleri kullanın; her kurala açıklama ve sorumlu ekleyin.
- Segmentasyonu yeniden düşünün: Sunucular, kullanıcılar, misafirler, IoT ve OT ağları arasındaki trafik kurallarla ayrılmalıdır.
Geçiş planı: kesintisiz yenileme nasıl yapılır?
Firewall geçişi, ağın en kritik değişikliklerinden biridir. Başarılı geçişin adımları:
- Envanter: Tüm arayüzler, VLAN’lar, NAT kuralları, VPN tünelleri, kimlik doğrulama entegrasyonları (Active Directory, RADIUS) ve yönlendirme tabloları çıkarılır.
- Dönüştürme: Farklı markadan geliniyorsa kural ve nesneler dönüştürme araçlarıyla (FortiGate için FortiConverter gibi) aktarılır, ardından mühendis tarafından tek tek incelenir.
- Laboratuvar testi: Yeni konfigürasyon devreye almadan önce test ortamında veya paralel kurulumda doğrulanır.
- Geçiş penceresi: Mesai dışında, tüm paydaşlara duyurulmuş bir zaman diliminde yapılır.
- Test listesi: İnternet erişimi, kritik uygulamalar, VPN’ler, e-posta, telefon sistemleri ve şube bağlantıları önceden hazırlanmış listeye göre test edilir.
- Geri dönüş planı: Sorun durumunda eski cihaza dakikalar içinde dönülebilmesi için kablolama ve konfigürasyon hazır tutulur.
Yüksek erişilebilirlik (HA) ve yedeklilik
Firewall tek nokta arızasıdır. Kritik kurumlarda iki cihazın aktif-pasif veya aktif-aktif kümelenmesi (HA) önerilir. HA ile bir cihaz arızalandığında oturumlar diğer cihaza devredilir. Bunun yanında iki farklı servis sağlayıcıdan internet hattı ve SD-WAN ile hat seçimi, kesintiye karşı ikinci koruma katmanını oluşturur. Şubeleri olan kurumlar için SD-WAN rehberimizi inceleyebilirsiniz.
Yenileme sonrası: görünürlük ve bakım
Yeni firewall’un değeri, ürettiği kayıtların izlenmesiyle ortaya çıkar. Merkezi log yönetimi, haftalık güvenlik raporları, firmware güncelleme takvimi ve yıllık kural gözden geçirmesi, cihazın ilk günkü kadar güvenli kalmasını sağlar. Misafir ağı sunan kurumlar için loglama aynı zamanda 5651 sayılı kanun yükümlülüklerinin parçasıdır.
F2 yaklaşımı: Fortinet Select Partner ve NSE 7 sertifikalı ekibimizle mevcut kural tabanını analiz ediyor, doğru modeli tehdit koruma ve SSL denetim verimine göre boyutlandırıyor, kural temizliğini yapıp geri dönüş planlı geçişle devreye alıyoruz. Teslimde kural dokümanı, yönetim erişimleri ve lisans takvimi sizde kalır.
