Çok lokasyonlu kurumlarda şube bağlantısı, işin kendisidir: Mağazada ödeme, depoda sevkiyat, poliklinikte hasta kaydı merkezdeki sistemlere ulaşamadığında durur. Uzun yıllar bu ihtiyaç MPLS hatlar ve klasik VPN tünelleriyle karşılandı. Bulut uygulamalarının yaygınlaşmasıyla birlikte SD-WAN, şube ağlarının yeni standardı haline geldi.
SD-WAN nedir?
SD-WAN (Software-Defined WAN), şubedeki birden fazla bağlantıyı (fiber, ADSL/VDSL, LTE/5G, MPLS) tek bir mantıksal ağ gibi yöneten ve trafiği uygulamaya göre en uygun yola yönlendiren mimaridir. Temel yetenekleri şunlardır:
- Hat sağlığı ölçümü: Her yolun gecikme, titreşim (jitter) ve paket kaybı sürekli ölçülür.
- Uygulama bazlı yönlendirme: Ses ve görüntü en düşük gecikmeli yola, yedekleme trafiği en ucuz yola, ödeme sistemi en güvenilir yola yönlendirilir.
- Otomatik yedekleme: Bir hat bozulduğunda veya kalitesi düştüğünde trafik saniyeler içinde diğer yola geçer.
- Merkezi yönetim: Yüzlerce şube tek panelden, şablonlarla yapılandırılır ve izlenir.
- Sıfır dokunuşla kurulum: Şubeye gönderilen cihaz takıldığında konfigürasyonunu merkezden alır; sahada uzman gerekmez.
MPLS, klasik VPN ve SD-WAN karşılaştırması
| MPLS | Klasik IPsec VPN | SD-WAN | |
|---|---|---|---|
| Maliyet | Yüksek, hat başına | Düşük | Düşük–orta (internet hatları + lisans) |
| Kesintiye dayanıklılık | Tek hatta sınırlı | Manuel veya basit yedekleme | Hat sağlığına göre otomatik geçiş |
| Bulut uygulamalarına erişim | Trafik merkezden dolaşır | Genellikle merkezden | Şubeden doğrudan ve güvenli |
| Uygulama farkındalığı | Sınırlı (QoS) | Yok denecek kadar az | Uygulama bazlı yönlendirme |
| Yönetim | Operatöre bağlı | Cihaz cihaz | Merkezi, şablon tabanlı |
| Yeni şube açma süresi | Hat teslimine bağlı, uzun | Orta | Kısa, sıfır dokunuşla kurulum |
Şubede internet kesilince iş durmasın: yedek hat tasarımı
Şube kesintilerinin büyük kısmı tek hattan kaynaklanır. Doğru yedekleme tasarımında şu ilkeler gözetilir:
- İki hat mümkünse farklı servis sağlayıcılardan ve farklı altyapılardan (örneğin fiber ve kablo/VDSL) alınır; aynı santrale bağlı iki hat birlikte kesilebilir.
- İkinci sabit hat yoksa LTE/5G yedek yol kullanılır; yalnızca kritik uygulamaların bu yoldan geçmesi için politika yazılır.
- Yedek hattın gerçekten çalıştığı, düzenli olarak otomatik test edilir; aylarca kullanılmayan yedek hat, ihtiyaç anında çalışmayabilir.
- Kritik şubelerde cihaz yedekliliği (iki cihaz) ve kesintisiz güç kaynağı da değerlendirilir.
Yaygın sorunlar ve nedenleri
IPsec tüneli sık düşüyor
En sık nedenler; iki uçta farklı şifreleme ve anahtar yenileme ayarları, NAT arkasındaki cihazlarda NAT-T yapılandırması, hatlardaki MTU/MSS uyumsuzluğu ve dinamik IP adresli hatlardır. SD-WAN çözümleri bu sorunların çoğunu hat izleme ve otomatik yeniden kurma ile ortadan kaldırır.
İnternet çıkışı yetersiz mi, bant yönetimi mi yok?
Şubede yavaşlık şikayeti çoğu zaman hattın küçüklüğünden değil, yedekleme, güncelleme veya video gibi trafiklerin kritik uygulamalarla aynı önceliği paylaşmasından kaynaklanır. Uygulama tanıma ve trafik şekillendirme, hat yükseltmeden önce denenmesi gereken çözümdür.
50+ lokasyonu yönetmek
Çok sayıda şubede cihaz cihaz yapılandırma hatalara ve tutarsızlığa yol açar. Merkezi yönetim aracı (FortiManager, Meraki panosu gibi) ile şablonlar, değişiklik onayı ve konfigürasyon yedekleri tutulmalıdır.
SD-WAN’a geçiş adımları
- Envanter: Şube sayısı, hat tipleri, uygulamalar ve kritik iş akışları çıkarılır.
- Mimari karar: Merkez-şube (hub-spoke), bölgesel merkezler veya tam örgü (full mesh) topolojisi belirlenir; buluta doğrudan çıkış politikası yazılır.
- Pilot: Farklı profillerden iki–üç şubede pilot yapılır, hat ve uygulama performansı ölçülür.
- Şablonlar: Pilot sonuçlarıyla şube şablonları kesinleşir.
- Kademeli yaygınlaştırma: Şubeler gruplar halinde, mesai dışında geçirilir; her grup sonrası doğrulama yapılır.
- MPLS kararı: Performans doğrulandıktan sonra MPLS hatlarının kapatılması veya küçültülmesi değerlendirilir.
Güvenlik: şube artık bir saldırı yüzeyi
Şubeden internete doğrudan çıkış, güvenliğin de şubede sağlanmasını gerektirir. Güvenlik ve SD-WAN’ın aynı platformda birleştiği çözümlerde her şube; saldırı önleme, web filtreleme ve uygulama kontrolüne sahip olur. Şube içinde misafir, personel, POS ve IoT ağlarının ayrılması da tasarımın parçasıdır.
F2 yaklaşımı: Şube envanterinizi ve hatlarınızı analiz ediyor, pilotla doğruladığımız şablonlarla FortiGate SD-WAN, Cisco Meraki veya Maipu tabanlı çözümleri kademeli olarak devreye alıyoruz. Perakende ve çok lokasyonlu yapılarda edindiğimiz deneyimle şube açılışlarını da standartlaştırıyoruz.
