Yeni bir VLAN açıldığında sunucunun ağ kartı bağlantıyı gösterebilir, switch portu da up durumunda olabilir. Buna rağmen ağ geçidine erişim gelmeyebilir. Fiziksel bağlantının açık olması, doğru VLAN'ın uçtan uca taşındığını göstermiyor. İncelemeyi tek bir portun konfigürasyonuyla sınırlamamak gerekiyor.
Portun karşısında ne var?
Access port, olağan kullanımda uç cihazın etiketsiz trafiğini belirlenen veri VLAN'ına alır. Trunk ise birden fazla VLAN'ı aynı bağlantı üzerinden taşır; VLAN ayrımı çoğunlukla 802.1Q etiketiyle yapılır. IP telefonunun voice VLAN kullanması gibi özel durumlar bulunduğu için “access portta hiçbir zaman etiket olmaz” şeklinde kesin bir kabul doğru değildir.
İlk soru portun karşı ucundaki cihaz olmalı. Dizüstü bilgisayar, sanallaştırma sunucusu, erişim noktası ve güvenlik duvarı aynı beklentiyle bağlanmaz. Etiketlemeyi hangi cihazın yaptığı açık değilse, iki taraf da etiketi eklemeye veya iki taraf da etiketsiz göndermeye çalışabilir. Önce bu sözleşmeyi netleştirin.
Üç ayarı birbirinden ayırın
Trunk modu, allowed VLAN listesi ve native VLAN farklı görevler üstlenir. Portun trunk olması bütün gerekli VLAN'ların gerçekten taşındığını garanti etmez. İzin listesinde bulunmayan, switch üzerinde aktif olmayan veya STP tarafından iletime açılmayan bir VLAN hâlâ kesintiye uğrayabilir.
Native VLAN, birçok platformun varsayılan 802.1Q davranışında etiketsiz trafiğin ilişkilendirildiği VLAN'dır. İki uçta aynı olması gerekir. Native VLAN'ın etiketlenmesine ilişkin seçenekler ise ürüne ve yapılandırmaya göre değişebilir; bu nedenle yalnızca VLAN numarasını karşılaştırmak yerine etiketsiz trafik davranışını da kontrol edin.
Pratik bir kayıt için her uplink'in iki tarafına ait şu bilgileri yan yana yazın:
- Fiziksel port ve bağlı cihaz
- Yönetimsel mod ve fiilen çalışan mod
- Native VLAN ve etiketleme davranışı
- İzin verilen, aktif ve iletimdeki VLAN'lar
- Varsa port-channel üyeliği
Bu liste, farklı ekiplerin yönettiği iki cihaz arasında özellikle işe yarar. “Bizim tarafta açık” cevabını ölçülebilir bir karşılaştırmaya dönüştürür.
Değişikliği dar tutun
Bir VLAN eksikse sorun giderme amacıyla bütün VLAN'ları trunk üzerinden açmak gereksiz kapsam oluşturur. Hangi VLAN'ın hangi bağlantılardan geçmesi gerektiğini belirleyin. Yeni VLAN eklerken kullanılan komutun mevcut listeye ekleme mi yaptığını, listeyi tamamen mi değiştirdiğini üreticinin ilgili sürüm dokümanından doğrulayın. Yanlış liste güncellemesi çalışan servisleri de kesebilir.
Üretim değişikliği öncesinde mevcut yapılandırmayı, yönetim erişiminin geçtiği VLAN'ı ve geri dönüş adımını kaydedin. Uzak bağlantıyla müdahale ediyorsanız erişiminizi taşıyan yolu değiştirdiğinizi fark etmek için kesintiyi beklemeyin.
Doğrulamayı uçtan uca yapın
Önce uç cihazın MAC adresinin beklenen VLAN ve portta öğrenildiğini kontrol edin. Ardından aynı VLAN içindeki yetkili test hedefini, sonra ağ geçidini ve gerekiyorsa başka ağa erişimi sınayın. Aynı VLAN içinde iletişim varken dış ağa çıkış yoksa yönlendirme ve güvenlik politikası tarafına geçin.
Örnek olarak tek bir sunucunun yeni VLAN'a taşındığı değişiklikte, önce eski durumun kaydı alınabilir. Sonra sadece gerekli port ve uplink zinciri güncellenir. Sunucu doğru adresi alıp beklenen ağ geçidine ulaştığında uygulama testi yapılır. Bu sıra, aynı anda adresleme, trunk ve firewall değiştirmenin yarattığı belirsizliği azaltır.
Son kayıt yalnızca “VLAN açıldı” olmasın. Hangi bağlantıda neyin değiştiği, hangi testlerin geçtiği ve geri dönüşün gerekip gerekmediği de yazılsın. Bir sonraki arızada en faydalı belge bu olur.
Yorumlar (0)
Henüz onaylanmış yorum yok.