Ağ sınırı, segmentasyon ve güvenli erişim
Antalya Firewall Kurulumu ve Güvenlik Duvarı Desteği
Firewall kurulumu, bir cihazı internet hattına bağlayıp birkaç port açmaktan ibaret değildir. İnternet, kullanıcı, sunucu, misafir, yönetim, üretim, şube ve bulut trafiğinin hangi koşullarda geçeceği; NAT, VPN, loglama, yedeklilik ve değişiklik yönetimiyle birlikte tasarlanmalıdır. Antalya'da yerinde keşif ve kurulum, Türkiye genelinde uzaktan yapılandırma, geçiş ve bakım desteği sunuyoruz.
Firewall ihtiyacınızı modelden önce trafik ve risk üzerinden konuşalım
Hat hızları, kullanıcı ve lokasyon sayısı, VLAN'lar, yayınlanan servisler, VPN, log ve yedeklilik beklentisini paylaşın. İlk görüşmede kapasite, geçiş ve bakım kapsamını netleştirelim.
Doğrudan yanıt
Firewall, farklı güvenlik düzeyindeki ağlar ve kaynaklar arasındaki trafiği politika ile kontrol eder
İyi tasarlanmış bir güvenlik duvarı; yalnız internet girişini değil, kurum içindeki güvenlik bölgelerini, kullanıcı ve cihaz kimliğini, uygulama erişimini, şube ve uzak kullanıcı bağlantılarını da görünür ve yönetilebilir hâle getirir. Amaç bütün trafiği kapatmak değil, iş için gerekli iletişimi gerekçeli, sınırlı, loglanabilir ve denetlenebilir kurallarla sağlamaktır.
Güvenlik bölgeleri
İnternet, kullanıcı, sunucu, misafir, yönetim, IoT/OT, şube ve bulut ağları aynı güven düzeyinde kabul edilmez; aralarındaki geçiş açıkça tanımlanır.
En az ayrıcalıklı erişim
Kaynak, hedef, kullanıcı, cihaz, uygulama ve servis bağlamında yalnız iş için gerekli trafik açılır; geniş ve süresiz istisnalar azaltılır.
Trafik inceleme
IPS, uygulama kontrolü, web güvenliği, DNS, dosya veya TLS incelemesi kapasite, gizlilik ve uygulama uyumluluğu gözetilerek devreye alınır.
Log ve operasyon
İzin, engelleme, yönetici değişikliği, VPN ve güvenlik olayları doğru saat bilgisiyle merkezi log, SIEM veya destek akışına bağlanır.
Sınır: Firewall önemli bir kontrol noktasıdır; ancak endpoint koruması, kimlik güvenliği, e-posta ve DNS güvenliği, yedekleme, zafiyet yönetimi ve olay izleme süreçlerinin yerine geçmez.
Doğru boyutlandırma
Model ve lisans seçiminden önce gerçek trafik, oturum ve süreklilik ihtiyacı çıkarılır
Üretici kataloğundaki temel throughput değeri tek başına yeterli değildir. Güvenlik servisleri açıkken oluşacak yük, eşzamanlı bağlantılar, yeni oturum hızı, VPN ve büyüme payı birlikte değerlendirilir.
- İncelenen trafik kapasitesi
- IPS, uygulama kontrolü, web filtreleme ve gerekiyorsa TLS incelemesi açıkken beklenen gerçek trafik ölçülür; yalnız internet hattının nominal hızına bakılmaz.
- Oturum ve kullanıcı yükü
- Kullanıcı, cihaz, istemci oturumu, NAT tablosu, yeni bağlantı hızı, VoIP, kamera, IoT ve yoğun SaaS kullanımı birlikte hesaba katılır.
- VPN ve şube trafiği
- Site-to-site tüneller, uzaktan kullanıcı sayısı, şifreleme yükü, çift hat, yönlendirme ve uzak lokasyonların eşzamanlı kullanımı boyutlandırılır.
- Port, hat ve yedeklilik
- Bakır/fiber port, 1/10/25 GbE, WAN sayısı, LACP, HA bağlantısı, yedek güç ve büyüme gereksinimi fiziksel tasarımla eşleştirilir.
- Lisans ve destek
- Güvenlik abonelikleri, bulut yönetimi, log saklama, üretici desteği, imza güncellemesi, garanti ve yenileme tarihleri toplam sahip olma maliyetine eklenir.
- İş sürekliliği
- Bakım penceresi, kabul edilebilir kesinti, yedek internet, aktif/pasif veya aktif/aktif tasarım, geri dönüş ve yedek cihaz stratejisi belirlenir.
Kural, NAT ve rota
NAT, güvenlik kuralı ve yönlendirme aynı karar değildir
Bir paketin adresini dönüştürmek, o trafiğe güvenlik izni verildiği anlamına gelmez. Aynı şekilde doğru bir izin kuralı, rota veya yayın adresi yoksa trafiği hedefe ulaştırmaz. Sorun çözümünde bu katmanlar ayrı ayrı izlenmelidir.
- Kaynak NAT
- İç kullanıcı veya sistemlerin internete ya da başka bir ağa çıkarken hangi adres havuzuyla görüneceğini belirler; havuz kapasitesi ve izlenebilirlik önemlidir.
- Hedef NAT / yayın
- Genel IP ve portu iç servise yönlendirir. Güvenlik kuralı, uygulama sağlığı, sertifika, WAF veya ters proxy ihtiyacı ayrıca değerlendirilir.
- Güvenlik politikası
- Kaynak, hedef, kullanıcı, uygulama, servis, zaman, profil ve log koşullarına göre geçiş kararını verir; mümkün olduğunca açık ve dar kapsamlı yazılır.
- Yönlendirme
- Statik, dinamik veya policy-based route paketin bir sonraki yolunu belirler. Asimetrik trafik ve birden fazla WAN, oturum durumunu bozabilir.
Yayın güvenliği: İnternete açılan bir servisin firewall kuralı gerekli olabilir; tek başına uygulama açığını, zayıf kimliği veya hatalı sunucu yapılandırmasını gidermez.
Kural yaşam döngüsü
Firewall kural tabanı okunabilir, gerekçeli ve süreli olmalıdır
Yıllar içinde biriken kurallar görünürlüğü düşürür ve beklenmeyen erişim yolları oluşturabilir. Her kuralın iş sahibi, amacı, kapsamı, onayı, log kararı ve gerekiyorsa sona erme tarihi kayıtlı tutulur.
- Kaynak ve hedef nesneleri açık, güncel ve sahipli olmalı
- “Any” kullanımının gerekçesi ve azaltma planı bulunmalı
- Servis ve uygulama kapsamı iş ihtiyacından geniş olmamalı
- Geçici erişimlerde sona erme tarihi ve sorumlu belirtilmeli
- Log seviyesi olay yönetimi ve saklama kapasitesiyle uyumlu olmalı
- Hit count, gölgelenen ve kullanılmayan kurallar düzenli incelenmeli
Talep
İş gerekçesi, veri akışı, kaynak, hedef, servis, süre, sahip ve onay kayda alınır.
Uygulama
Değişiklik numarası, öncesi yedek, bakım penceresi, test ve geri dönüş adımı hazırlanır.
Gözden geçirme
Kural kullanımı, sahipliği, riski ve süresi periyodik kontrol edilir; gereksiz erişim kapatılır.
Kurulum ve geçiş
Canlı geçiş, yapılandırma yedeği ve geri dönüş planı olmadan başlatılmaz
Yeni kurulumda hedef mimari sıfırdan tasarlanabilir. Cihaz değişiminde ise eski kural, NAT, nesne, VPN, rota, sertifika ve log bağımlılıklarının iş akışlarıyla eşleştirilmesi gerekir.
- 01
Keşif ve envanter
Hatlar, ağ bölgeleri, IP planı, VLAN, sunucu yayınları, VPN, kritik uygulama, log hedefi, lisans ve mevcut cihaz sağlığı çıkarılır.
- 02
Mimari ve kapasite
Hedef güvenlik bölgeleri, trafik akışları, performans, portlar, yüksek erişilebilirlik, büyüme ve lisans gereksinimi belirlenir.
- 03
Kural ve NAT temizliği
Kullanılmayan, gölgelenen, çok geniş veya sahibi belirsiz kurallar ayrılır; servis sahipleriyle gerekli akışlar doğrulanır.
- 04
Ön yapılandırma
Arayüz, rota, nesne, politika, NAT, VPN, yönetim, log, zaman, yedek ve erişim hesapları kontrollü ortamda hazırlanır.
- 05
Değişiklik ve geri dönüş planı
Görev sırası, sorumlular, iletişim, kesinti penceresi, durdurma koşulu, eski cihaza dönüş ve yapılandırma yedeği yazılı hâle getirilir.
- 06
Kesim ve kabul testi
İnternet, DNS, iş uygulamaları, yayınlar, VPN, şube, ses, bulut, log ve HA senaryoları iş birimleriyle doğrulanır.
- 07
İzleme ve dokümantasyon
İlk günlerde performans, hata, bloklanan trafik ve kural ihtiyacı izlenir; topoloji, matris, yedek ve işletim kaydı teslim edilir.
Geçiş ve kabul kanıtı
Planlanan trafik ile çalışan trafik aynı test listesinde buluşturulur
Kuralın cihazda bulunması, iş akışının uçtan uca çalıştığını kanıtlamaz. İstemci, sunucu, DNS, rota, NAT, sertifika, uygulama ve log tarafı birlikte gözlenir; sonuç ve sorumlu kayda alınır.
Teknik test
Arayüz, rota, NAT, politika, VPN, DNS, zaman, log, yedek ve lisans durumu cihaz üzerinden doğrulanır.
İş akışı testi
ERP/PMS, e-posta, web, ses, uzak erişim, şube, bulut ve yayınlanan servisler gerçek kullanıcı senaryosuyla sınanır.
Geri dönüş kanıtı
Devretme, hat kesintisi, cihaz yeniden başlatma ve gerektiğinde eski yapıya dönüş adımlarının sonucu kayıt altına alınır.
Güvenli uzaktan bağlantı
Site-to-site ve uzaktan erişim VPN aynı risk modeline sahip değildir
Şubeler arası tünel iki ağı birbirine bağlar; uzaktan erişim VPN ise kullanıcı ve cihazı kurumsal kaynaklara taşır. Kimlik, yetki, ağ çakışması, DNS, yönlendirme, şifreleme, cihaz sağlığı ve log gereksinimleri ayrı ele alınır.
- Site-to-site VPN
- Yerel ve uzak alt ağlar, çakışan IP'ler, izin verilen akışlar, IKE/IPsec ayarları, anahtar yenileme, rota, tünel izleme ve yedek hat davranışı doğrulanır.
- Uzaktan erişim VPN
- Kullanıcı kimliği, MFA, sertifika, cihaz kaydı, rol, oturum süresi, split/full tunnel, istemci güncelliği, DNS ve loglama birlikte planlanır.
- Tedarikçi erişimi
- Paylaşılan genel hesap yerine kişiye bağlı, süreli, MFA korumalı ve yalnız gerekli sisteme ulaşan erişim tanımlanır; oturum ve değişiklik kaydı tutulur.
- Bulut ve veri merkezi
- IPsec veya özel bağlantının iki uçtaki rota, güvenlik grubu, NAT, MTU, failover ve izleme davranışı uçtan uca değerlendirilir.
Kimlik notu: Ağın içinde bulunmak veya VPN ile bağlanmak tek başına güven nedeni değildir. Kullanıcı, cihaz ve kaynak için kimlik doğrulama ve yetkilendirme ayrı kararlar olarak işletilmelidir.
Yüksek erişilebilirlik
İki firewall cihazı, diğer tek hata noktaları giderilmeden kesintisiz hizmet sağlamaz
HA tasarımı; cihazların yanı sıra güç, internet, switch, kablo, adresleme, durum eşitleme, lisans, yönetim, VPN ve log yollarını kapsar. Devretme yalnız arayüzde “hazır” görünerek değil, gerçek kesinti senaryosuyla doğrulanır.
Cihaz ve durum eşitleme
HA rolü, heartbeat bağlantısı, yapılandırma ve oturum senkronizasyonu, sürüm uyumu ve split-brain riski kontrol edilir.
Bağımsız bağlantı yolları
Her iki cihazın WAN, LAN, switch, güç ve gerekiyorsa veri merkezi tarafında aynı tek fiziksel noktaya bağımlı kalmaması sağlanır.
VPN ve yayın sürekliliği
Tünel, genel IP, NAT, ARP, dinamik rota ve yayınlanan servislerin devretme sırasında nasıl davranacağı önceden test edilir.
Planlı devretme testi
Cihaz, hat veya bağlantı kesintisi kontrollü olarak uygulanır; süre, paket kaybı, oturum etkisi, alarm ve geri dönüş sonucu kayda alınır.
Log ve olay yönetimi
Firewall logları merkezi izleme ve müdahale akışına bağlanır
Log üretmek tek başına görünürlük sağlamaz. Hangi olayların kaydedileceği, ne kadar saklanacağı, kimin izleyeceği, hangi alarmın ticket veya çağrı üreteceği ve olay anında hangi kanıtın korunacağı belirlenir.
- Trafik ve tehdit logları
- İzin verilen ve engellenen akışlar, IPS, web, uygulama, DNS ve dosya olayları hacim ve risk dengesine göre merkezi hedefe iletilir.
- Yönetim değişiklikleri
- Oturum açma, kural ve nesne değişikliği, yedek alma, sürüm güncelleme, lisans ve HA rol değişimi yönetici kimliğiyle kaydedilir.
- VPN ve kimlik olayları
- Başarılı/başarısız giriş, MFA, tünel kurulma-kopma, uzak IP, kullanıcı, cihaz ve rol bilgisi olağan dışı davranış için izlenir.
- Saat ve teslim doğrulaması
- NTP uyumu, log kaybı, disk doluluğu, iletim gecikmesi, SIEM alan eşleştirmesi ve alarm testleri periyodik olarak doğrulanır.
Teslimatlar
Kurulum sonunda çalışan cihazın yanında işletilebilir bir kayıt bırakılır
Dokümantasyon, yalnız ilk kurulum ekibine değil; bakım, değişiklik, denetim ve olay anında devreye girecek kişilere de anlaşılır olmalıdır.
Ağ ve güvenlik topolojisiBölgeler, hatlar, arayüzler, adresler ve bağımlılıklar
Kural ve NAT matrisiKaynak, hedef, servis, amaç, sahip ve log kararı
VPN envanteriTünel/uç kullanıcı kapsamı, rota, kimlik ve izleme bilgisi
Yapılandırma yedeğiSürüm, tarih, şifreli saklama ve geri dönüş yöntemi
Kabul ve devretme kaydıİş akışı, HA, WAN, VPN, yayın ve log test sonuçları
İşletim notlarıYönetim erişimi, lisans, yenileme, alarm ve destek akışı
İşletme profiline göre tasarım
Tek cihazlı ofis ile çok lokasyonlu veya üretim ağı aynı mimariyle yönetilmez
Kapasite ve kontrol derinliği çalışan sayısından fazlasına bağlıdır. İnternete açık servisler, misafir ağı, uzaktan erişim, kişisel veri, vardiya, üretim, bulut ve şube bağımlılığı tasarımı değiştirir.
- Mikro ve küçük işletme
- Güvenli internet çıkışı, ayrı misafir ağı, temel web/uygulama kontrolü, MFA'lı uzaktan erişim, yapılandırma yedeği ve yönetilebilir log önceliklidir.
- Şubeli ve orta ölçekli kurum
- Merkez-şube VPN/SD-WAN, birden fazla VLAN, merkezi kural ve log yönetimi, çift hat, kimlik entegrasyonu ve değişiklik disiplini gerekir.
- Otel, turizm ve kampüs
- Misafir, personel, yönetim, PMS/POS, kamera, IoT ve tedarikçi ağları ayrılır; yoğun sezon kapasitesi, çoklu WAN ve 7/24 operasyon dikkate alınır.
- Üretim ve OT
- IT/OT sınırı, DMZ, yalnız gerekli protokoller, üretici uzaktan erişimi, eski cihaz uyumluluğu, pasif görünürlük ve kontrollü bakım penceresi öne çıkar.
- Bulut ve veri merkezi
- Yüksek trafik, dinamik yönlendirme, sanal güvenlik alanları, özel bağlantı, doğu-batı segmentasyonu, otomasyon ve merkezi SIEM ihtiyacı değerlendirilir.
- Yüksek erişilebilir kurum
- Çift cihaz, bağımsız güç ve ağ yolları, yedek internet, oturum sürekliliği, planlı devretme testi, yedek parça ve üretici destek süresi birlikte yönetilir.
Bakım ve ölçüm
Firewall sağlığı yalnız cihazın çevrimiçi olmasıyla ölçülmez
Periyodik bakımda kapasite, kural kalitesi, lisans, yedek, VPN, HA, log ve güvenlik servislerinin gerçek çalışması izlenir. Değişikliklerin iş etkisi ve geri dönüşü kayıt altına alınır.
- Kaynak kullanımı
- CPU, bellek, disk, oturum ve yeni bağlantı hızı yoğun saatlerde kapasite sınırı ve anomali açısından izlenir.
- İncelenen throughput
- Güvenlik profilleri açıkken gerçek trafik, paket kaybı, gecikme ve arayüz kullanımı üretici sınırlarıyla karşılaştırılır.
- VPN kararlılığı
- Tünel kurulma/kopma, yeniden anahtarlama, rota, paket kaybı, uzak kullanıcı başarısı ve hata nedenleri takip edilir.
- HA ve WAN durumu
- Senkronizasyon, heartbeat, rol değişimi, hat sağlığı, SD-WAN ölçümleri ve son devretme testinin sonucu kontrol edilir.
- Kural kalitesi
- Kullanılmayan, gölgelenen, çok geniş, süresi dolmuş ve sahibi belirsiz kurallar ile NAT havuzu ve nesne tutarlılığı gözden geçirilir.
- Log ve yedek kanıtı
- Merkezi log teslimi, saat uyumu, alarm üretimi, yapılandırma yedeği, geri okuma ve lisans/sertifika tarihleri doğrulanır.
Sık sorulan sorular
Firewall kurulumu ve güvenlik duvarı hakkında sorular
Firewall kurulumu nedir ve hangi işleri kapsar?
Firewall kurulumu; cihazı internete bağlamaktan daha geniştir. Güvenlik bölgeleri, internet ve şube bağlantıları, yönlendirme, kaynak ve hedef NAT, erişim kuralları, uygulama ve web kontrolleri, site-to-site ve kullanıcı VPN bağlantıları, yönetici erişimi, loglama, yapılandırma yedeği, yüksek erişilebilirlik ve kabul testleri birlikte planlanır. Kesin kapsam, mevcut ağ akışları ve iş sürekliliği ihtiyacı çıkarıldıktan sonra belirlenir.
İşletme için doğru firewall modeli nasıl seçilir?
Model yalnızca internet hızına göre seçilmez. Güvenlik servisleri açıkken beklenen gerçek trafik, eşzamanlı ve yeni oturum sayısı, kullanıcı ve cihaz sayısı, site-to-site ve uzaktan erişim VPN yükü, port ve WAN ihtiyacı, yedeklilik, log hacmi, lisans süresi ve büyüme payı birlikte değerlendirilir. Üretici kataloğundaki temel firewall throughput değeri, IPS, uygulama kontrolü veya TLS incelemesi açıkken elde edilecek kapasiteyle aynı olmayabilir.
Firewall ile router arasındaki fark nedir?
Router ağlar arasında paket yönlendirir; firewall ise farklı güvenlik düzeyindeki ağlar ve kaynaklar arasındaki trafiği tanımlı politikalara göre izin, engelleme, inceleme ve loglama kararlarıyla kontrol eder. Güncel cihazlarda yönlendirme, SD-WAN, VPN ve güvenlik işlevleri aynı platformda bulunabilir. Buna rağmen ağ rotası ile güvenlik izninin ayrı kararlar olduğu unutulmamalıdır.
NAT kuralı ile güvenlik kuralı aynı şey midir?
Hayır. NAT, paketin kaynak veya hedef adresini ve gerektiğinde portunu dönüştürür; güvenlik kuralı ise dönüşümden önce veya sonra görülen kaynak, hedef, kullanıcı, uygulama ve servise göre trafiğe izin verilip verilmeyeceğini belirler. Bir sunucunun internete yayınlanması için hedef NAT yanında doğru yönlendirme, güvenlik kuralı, servis sağlığı ve mümkünse uygulama katmanı koruması da gerekir.
Mevcut firewall kuralları yeni cihaza taşınabilir mi?
Taşınabilir; ancak eski kuralların birebir kopyalanması önerilmez. Kullanılmayan, gölgelenen, çok geniş, sahibi belirsiz veya artık var olmayan sistemlere ait kurallar ayıklanır. NAT, nesne, servis, VPN, rota, sertifika, kimlik ve log bağımlılıkları eşleştirilir. Geçiş öncesinde yapılandırma yedeği, değişiklik penceresi, geri dönüş planı ve iş kabul testleri hazırlanır.
Site-to-site VPN ve uzaktan erişim VPN nasıl güvenli kurulur?
Site-to-site VPN’de ağ çakışmaları, izin verilen alt ağlar, yönlendirme, güçlü şifreleme, anahtar yenileme, çift hat ve tünel izleme planlanır. Uzaktan erişimde kullanıcı ve cihaz kimliği, MFA, rol bazlı erişim, istemci güncelliği, split veya full tunnel kararı, DNS, sertifika ve oturum logları değerlendirilir. VPN, bağlanan cihaz ve hesabın güvenliğinin yerine geçmez.
Yüksek erişilebilirlik için iki firewall yeterli midir?
Hayır. İki cihaz ve durum eşitleme bağlantısı temeli oluşturur; fakat bağımsız güç, yedek internet, uygun switch yolları, adresleme, lisans, oturum eşitleme, VPN davranışı, log sürekliliği ve yönetim erişimi de tek hata noktası bırakmayacak biçimde tasarlanmalıdır. Gerçek devretme ve geri dönüş senaryosu bakım penceresinde test edilmeden yüksek erişilebilirlik doğrulanmış sayılmaz.
TLS veya SSL incelemesi her trafikte açılmalı mıdır?
Hayır. TLS incelemesi görünürlüğü artırabilir; fakat kişisel veri, gizlilik, mevzuat, sertifika dağıtımı, uygulama uyumluluğu, cihaz kapasitesi ve istisna yönetimi değerlendirilmelidir. Bankacılık, sağlık, sertifika sabitleme kullanan uygulamalar ve yönetilemeyen cihazlar için ayrı politika gerekebilir. Önce sınırlı bir kullanıcı ve uygulama grubunda test edilmesi, hata ve performans etkisinin ölçülmesi uygundur.
Firewall kurulumu teklifi için hangi bilgiler gerekir?
İnternet hatları ve hızları, lokasyon ve kullanıcı sayısı, VLAN ve sunucu yapısı, yayınlanan servisler, şube ve uzaktan kullanıcı VPN ihtiyacı, mevcut cihaz ve lisanslar, kablosuz misafir ağı, bulut bağlantıları, log veya SIEM hedefi, yüksek erişilebilirlik beklentisi, bakım penceresi ve büyüme planı ilk boyutlandırma için yeterlidir. Kesin model ve çalışma planı keşif sonrasında belirlenir.
Teknik kaynaklar: NIST SP 800-41 Rev. 1 Firewall ve Firewall Politikası Rehberi, NIST SP 800-207 Zero Trust Architecture, RFC 4301 IPsec Güvenlik Mimarisi ve CISA Ağ Görünürlüğü ve Sertleştirme Rehberi.
Teknik içerik 21 Temmuz 2026 tarihinde resmî ve ürün bağımsız kaynaklar dikkate alınarak gözden geçirilmiştir. Model kapasitesi, lisans, destek süresi, şifreli trafik incelemesi, VPN, yedeklilik, log saklama ve değişiklik penceresi teklif öncesinde gerçek trafik ve iş gereksinimleriyle doğrulanır. Firewall tek başına endpoint, kimlik, e-posta, DNS, yedek ve olay izleme kontrollerinin yerini tutmaz; sıfır risk veya kesintisiz hizmet garantisi oluşturmaz.
Keşif ve teklif
Firewall mimarisini gerçek trafik ve süreklilik ihtiyacınıza göre planlayalım
Mevcut internet hatları, kullanıcı ve lokasyon sayısı, yayınlanan servisler, VPN, VLAN, log ve yedeklilik ihtiyacını birlikte çıkaralım; model, lisans, geçiş ve bakım kapsamını ölçülebilir hâle getirelim.