FortiGate Firewall ve IPsec VPN ile Sunucu Güvenliği

FortiGate firewall ve IPsec VPN, şirketin kiraladığı sunuculara şubelerden ve yetkili çalışanlardan erişimi sınırlandırmak, kritik uygulamaları farklı ağlara ayırmak ve internetten gelen trafiği kontrol etmek için birlikte değerlendirilebilir. Ancak tek bir güvenlik duvarı cihazı kurmak, ERP ve dosya sunucularının otomatik olarak korunacağı anlamına gelmez. Güvenlik; doğru ağ mimarisi, kullanıcı kimliği, erişim kuralları, güncelleme ve yedekleme süreçlerinin birleşimidir.

Kısa cevap: Önce hangi kullanıcıların hangi uygulamalara erişeceğini belirleyin. İnternet, şube, VPN, yönetim, uygulama, veritabanı ve yedekleme trafiğini ayırın. FortiGate modeli veya sanal lisansını; eşzamanlı VPN kullanıcısı, denetlenen trafik, port ihtiyacı ve yönetim kapsamına göre seçin. FortiOS 7.6.3 ve sonraki sürümlerde SSL VPN tünel modu kaldırıldığından, mevcut uzaktan erişim planınızı IPsec VPN ve varsa uygun agentless erişim senaryolarına göre gözden geçirin. Ağ güvenliği ve VPN hizmetleri için hazırlanan teklifin yazılı kapsamını karşılaştırın.

Bu rehber; Logo, Mikro, SAP veya başka bir iş uygulamasını merkezde çalıştıran işletmelerin BT müdürleri, sistem yöneticileri ve satın alma ekipleri için hazırlandı. Amaç yalnız cihaz fiyatı istemek değil; güvenli, test edilebilir ve yönetilebilir sunucu erişimini doğru projelendirmektir. İhtiyaçlarınız için kurumsal güvenlik ve sunucu teklifi alın.

1. FortiGate firewall hangi kurumsal sunucu sorununu çözer?

Bir firma uygulama sunucusunu veri merkezine taşıdığında, ofisteki kullanıcıların erişimi, uzak çalışanların bağlantısı, dışarıya açık hizmetler ve sunucu yönetimi farklı riskler oluşturur. FortiGate, uygun tasarım ve lisans kapsamında güvenlik duvarı politikaları, VPN, ağ segmentasyonu ve çeşitli güvenlik kontrollerinin merkezi uygulanmasına yardımcı olabilir.

Örneğin bir şubenin muhasebe uygulamasına bağlanması için bütün veri merkezinin kullanıcı ağına açılması gerekmez. Kullanıcıların belirli uygulama IP ve portlarına erişmesi, veritabanı yönetim portlarının ise yalnız yetkili yönetim ağında bulunması daha kontrollü bir modeldir.

ERP ve muhasebe uygulaması barındırma tarafında SQL veya uygulama servislerinin korunması, yalnız firewall markasına değil, yazılımın erişim gereksinimleri ve desteklenen mimariye bağlıdır. Uygulama üreticisinin tavsiye ettiği ağ bağlantılarını önce belgeleyin; gereksiz geniş port izinleri vermeyin.

2. Örnek mimari: Şubeler, IPsec VPN ve veri merkezi

Merkezi bir altyapıda internet trafiği önce uygun güvenlik katmanından geçer. İnternete açık web servisleri varsa ayrı bir DMZ veya uygun izolasyon kullanılabilir. İş uygulaması ve veritabanı sunucuları farklı ağ segmentlerinde yer alabilir. Şubelerin IPsec tünelleri, yalnız ihtiyaç duydukları servisleri erişilebilir kılan kurallara bağlanmalıdır.

Bu tablo örnek mimaridir; müşteriye uygulanmış bir vaka veya erişilebilirlik garantisi değildir. Fiziksel sunucu ihtiyacı olan projelerde dedicated sunucu kiralama ile sanallaştırılmış kaynak modelini aynı güvenlik ve operasyon kapsamıyla değerlendirin.

3. FortiOS 7.6.3 sonrasında SSL VPN ne oldu?

Fortinet'in resmî sürüm notlarına göre FortiOS 7.6.3 ile SSL VPN tunnel mode kaldırıldı ve IPsec VPN ile değiştirildi. Eski SSL VPN tünel ayarları ve ilişkili politikalar yeni sürüme otomatik taşınmadığından, bu özelliği kullanan kurumların yükseltme öncesinde geçiş planı yapması gerekir.

Burada önemli bir teknik ayrım bulunur: SSL VPN web mode, FortiOS 7.6.3 sonrasında Agentless VPN adıyla devam eden farklı bir erişim modelidir. Dolayısıyla “FortiOS 7.6'da tüm SSL tabanlı erişim kaldırıldı” ifadesi doğru değildir. Kaldırılan özellik, istemci tüneli sağlayan eski SSL VPN tunnel mode'dur. Fortinet 7.6.6 sürüm notları ve Fortinet Agentless VPN açıklaması bu farkı açıklar.

Satın alma açısından sonuç: Teklif veren firmadan cihaz modeli, planlanan FortiOS sürümü, mevcut VPN kullanıcıları ve uzaktan erişim yöntemi için yazılı bir uyumluluk planı isteyin. Mevcut FortiClient yapılandırmasının otomatik olarak değişeceğini varsaymayın.

4. IPsec VPN ile kullanıcı erişimi ve şube bağlantısı nasıl ayrılır?

Site-to-site IPsec VPN, iki ofis veya ofis ile veri merkezi arasında ağ seviyesinde bağlantı kurmak için kullanılabilir. Remote access IPsec VPN ise yetkili çalışanların kurumsal uygulamalara istemci üzerinden bağlanması ihtiyacına yanıt verebilir. Kimlik doğrulama, adres havuzu, yönlendirme, tünel politikası ve ağ izinleri bu iki senaryoda farklı planlanmalıdır.

Kullanıcı VPN'i açtığında bütün veri merkezine erişmesi gerekmeyebilir. Departman, görev ve cihaz güvenilirliğine göre yalnız ihtiyaç duyulan alt ağlara erişim verilebilir. Çok faktörlü kimlik doğrulama, uç nokta güvenliği ve gerektiğinde sertifika tabanlı erişim ayrıca değerlendirilmelidir.

Fortinet'in SSL VPN'den IPsec VPN'e geçiş rehberi bu planlamada kullanıcı grupları, tünel yöntemi ve politika değişikliklerini ele alır. Bu rehber bir cihazda doğrudan kopyalanacak genel ayar dosyası değildir; gerçek ortama göre teknik doğrulama gerekir.

5. IPsec VPN TCP 443 üzerinden çalışabilir mi?

Desteklenen FortiOS ve FortiClient sürümlerinde IPsec trafiğinin TCP üzerinden taşınması mümkündür. Bu seçenek, standart IPsec UDP trafiğinin ağ tarafından engellendiği ortamlarda değerlendirilebilir. Fortinet'in yayınladığı örneklerde TCP/443 üzerinden çalışma, uygun IKEv2 yapılandırması ve uyumlu FortiClient sürümü gerektirir. Her cihaz ve istemci kombinasyonunda varsayılan olarak çalıştığı kabul edilmemelidir.

Kritik operasyon ayrıntısı: TCP/443 portu aynı zamanda firewall yönetimi veya farklı bir servis için kullanılıyorsa çakışma ortaya çıkabilir. Fortinet, IPsec IKE-TCP ile HTTPS yönetim erişimi çakışmasına ilişkin özel uyarılar yayımlar. Bu nedenle yönetim portunu ve erişim arabirimini geçiş öncesinde belgeleyin. Bkz. IPsec tünelleme ve encapsulation ve IKE-TCP port çakışmaları.

Bir çözümün “443 üzerinden VPN” sunması güvenlik testine gerek kalmadığı anlamına gelmez. Politika eşleşmesi, kimlik doğrulama, bağlantı kopması sonrası yeniden bağlanma ve ağ performansı pilot kullanıcılarla test edilmelidir.

6. ERP, Active Directory ve dosya sunucularında erişim sınırları

ERP uygulamalarında istemci erişimi, uygulama servisi ve veritabanı bağlantıları aynı güvenlik kuralıyla açılmamalıdır. Kullanıcılar çoğu zaman doğrudan SQL yönetim portuna ihtiyaç duymaz. Gerçek erişim akışını dokümante edip kural setini asgari yetki ilkesine göre tasarlayın.

Active Directory ve dosya hizmetleri kullanılan ortamlarda DNS, etki alanı oturum açma, grup ilkeleri ve SMB gibi bağımlılıklar VPN üzerinden belirli protokoller gerektirebilir. Buna karşılık internete açık bir SMB veya RDP portu, normal uzaktan erişimin yerini almamalıdır. İzinlerin yalnız IP bazında değil, kullanıcı ve cihaz yönetimiyle birlikte ele alınması gerekir.

Ayrıca firewall kuralının verilmesi Windows NTFS iznini, uygulama kullanıcı rolünü veya veritabanı yetkisini değiştirmez. Bu üç katman birbirinin yerine geçmez. Özellikle departmanlar arası dosya paylaşımında erişim testlerini farklı kullanıcı gruplarıyla gerçekleştirin.

7. Firewall modeli seçerken hangi performans ölçülmeli?

Kurumsal firewall teklifinde yalnız gigabit port sayısına veya ürün ailesine bakmak yeterli değildir. Kullanıcı sayısı, eşzamanlı oturum, IPsec VPN tünel sayısı, şifreli trafik hacmi, güvenlik profilleri ve trafik analizi açıldığında gereken işlem gücü birlikte değerlendirilmelidir.

Ürün veri sayfalarında farklı koşullarda ölçülmüş firewall, IPsec VPN ve güvenlik servisleri performans değerleri bulunabilir. Bunlar gerçek uygulama trafiğinde aynı hızın garanti edildiği anlamına gelmez. Test trafiği, paket boyu, açık profil ve raporlama kapsamı teklif varsayımlarına yazılmalıdır.

Sanal firewall ile fiziksel FortiGate arasında seçim yapılırken hipervizör entegrasyonu, ağ konumu, lisans modeli, donanım arızası yönetimi ve büyüme stratejisi karşılaştırılmalıdır. Uygun seçenek ancak keşif sonucunda belirlenebilir.

8. Yüksek erişilebilirlik, ağ kesintisi ve yedekleme

Yedekli firewall kullanılması, bütün hizmetin uçtan uca kesintisiz çalışacağı anlamına gelmez. Tek internet operatörü, tek fiziksel uplink, tek uygulama sanal makinesi veya tek depolama sistemi yine kesinti noktası olabilir. Firewall HA tasarımı, internet çeşitliliği, sanallaştırma ve depolama mimarisi birlikte incelenmelidir.

Ayrıca firewall yapılandırma yedeği ile uygulama verisinin yedeği farklı işlemlerdir. Kural seti, VPN ayarları, sertifikalar ve yönetim konfigürasyonunun güvenli yedeklenmesi gerekir; veritabanı ve dosya sunucularının ise ayrı geri yüklenebilir kopyaları tutulmalıdır. Yedekleme ve felaket kurtarma hizmetleri kapsamında bu sorumluluklar yazılı hale getirilmelidir.

RPO, kabul edilebilir veri kaybı aralığı; RTO, hedef geri dönüş süresidir. Bu hedefler yalnız firewall donanımıyla sağlanamaz. Kritik uygulamanın bağımlılıkları ve geri yükleme senaryoları gerçek testlerle değerlendirilmelidir.

9. FortiGate firewall kiralama mı satın alma mı?

“FortiGate firewall kiralama” arayışında olan şirketlerin ilk sorusu yalnız aylık bedel olmamalıdır. Fiziksel cihazın mülkiyeti, FortiOS ve güvenlik servisleri lisanslarının kapsamı, yazılım güncellemesi, VPN kullanıcı yönetimi, 7/24 izleme beklentisi, uzaktan müdahale ve arızalı donanım değişimi teklif satırlarında tanımlanmalıdır.

Her hizmet sağlayıcının cihaz kiralama, sanal firewall veya yönetilen güvenlik hizmeti sunma kapsamı farklı olabilir. Netsun Bilişim için gerçek ürün, lisans, fiyat veya SLA ancak yazılı teklif aşamasında doğrulanır. Kurumsal satın alma ekibi aynı teknik şartnameyi bütün sağlayıcılara göndermelidir.

10. SSL VPN'den IPsec VPN'e geçişte kontrol listesi

Geçiş planını işletmenin çalışma saatlerini ve uzaktan erişim bağımlılıklarını dikkate alarak hazırlayın. Önce mevcut cihaz ve FortiOS sürümünü, aktif VPN tünellerini, kullanıcı gruplarını, firewall politikalarını, uygulama ağlarını ve varsa istemci yazılımı sürümlerini envantere alın.

Ardından yeni IPsec yönteminin kimlik doğrulama, sertifika, kullanıcı adresleme, DNS, split/full tunnel tercihi ve erişim kuralı gereksinimlerini belgeleyin. Temsili pilot kullanıcılarla bağlantı, ERP, dosya paylaşımı, kopma sonrası yeniden bağlanma ve yedek internet senaryolarını test edin.

Geçiş öncesinde cihaz konfigürasyonunun güvenli yedeği alınmalı ve mümkün olan durumlarda geri dönüş yöntemi tanımlanmalıdır. Yeni sürüme geçildikten sonra kaldırılmış SSL VPN tünel ayarlarının kendiliğinden geri geleceği varsayılmamalıdır. Üretim değişikliği onayı, bakım penceresi ve kullanıcı bilgilendirmesi unutulmamalıdır.

11. İşletmeniz için doğru teklif nasıl hazırlanır?

Karar öncesinde şu bilgileri netleştirin: veri merkezi ve şube lokasyonları; internete açık uygulamalar; kullanıcı ve eşzamanlı VPN sayısı; kullanılan ERP, dosya veya kimlik servisleri; mevcut FortiGate veya başka marka firewall; FortiOS sürümü; mevcut SSL VPN bağımlılığı; kritik bağlantılar ve yönetim beklentisi.

Teklifte ayrıca hedef başlangıç tarihi, cihaz mı sanal servis mi istediğiniz, güvenlik servislerinin kapsamı, uzaktan müdahale beklentisi, yedekleme ve kurtarma sorumlulukları, lisans bütçesi ve sözleşme sonu veri teslimi açıklanmalıdır. Kullanıcı bilgileri, parolalar veya gizli konfigürasyon dosyaları genel teklif formuna eklenmemelidir.

Netsun Bilişim ile teknik keşif: Kurumsal sunucularınıza erişimi FortiGate firewall ve IPsec VPN ile yeniden tasarlamak veya mevcut SSL VPN altyapınızı uygun bir yönteme geçirmek için sunucu ve ağ güvenliği teklif formunu doldurun. İhtiyaca göre güvenlik mimarisi, kaynak seçimi ve operasyon kapsamı ayrı ayrı değerlendirilebilir.

Teknik kaynaklar

Üretici dokümantasyonu, mimari kararlarda başlangıç noktasıdır: FortiOS 7.6.6 SSL VPN değişikliği, Fortinet SSL VPN–IPsec geçiş açıklaması, Agentless VPN adlandırması, Fortinet uzaktan erişim iyi uygulamaları. Kurulumda kullanılan ürün modeli, firmware ve istemci sürümü için güncel belgeler ayrıca incelenmelidir.

Sık sorulan sorular

1. FortiGate firewall sunucu kiralama hizmetine dahil mi?

Her sunucu kiralama paketine otomatik olarak dahil olduğunu varsaymayın. Fiziksel veya sanal firewall, lisans, VPN kurulumu ve yönetim kapsamı teklifte ayrı belirtilmelidir.

2. FortiOS 7.6'da SSL VPN tamamen kaldırıldı mı?

FortiOS 7.6.3 ve sonrasında SSL VPN tünel modu kaldırıldı. Daha önce SSL VPN web mode olarak bilinen tarayıcı tabanlı erişim ise Agentless VPN adıyla ayrı bir özellik olarak devam eder.

3. FortiGate IPsec VPN TCP 443 portundan çalışır mı?

Uygun FortiOS ve FortiClient sürümleri, IKEv2 ve doğru ayarlarla çalışabilir. TCP/443'ün yönetim portu veya başka servisle çakışmadığı kontrol edilmelidir.

4. Şubeler ile veri merkezi arasında FortiGate IPsec VPN kurulabilir mi?

Evet, desteklenen cihaz ve ağ mimarisinde site-to-site IPsec kullanılabilir. Adres planı, yönlendirme, kimlik doğrulama ve firewall kuralları iki uçta birlikte planlanmalıdır.

5. Firewall kullanmak RDP veya SMB'yi internete açmayı güvenli yapar mı?

Hayır. Gereksiz doğrudan erişimler yerine sınırlandırılmış VPN veya uygun güvenli erişim yöntemi tercih edilmeli; sunucu ve uygulama yetkileri ayrıca yönetilmelidir.

6. FortiGate lisansı ve güvenlik servisleri kiralama fiyatına dahil midir?

Bu, sağlayıcının sözleşmesine bağlıdır. Cihaz veya sanal lisans, güvenlik abonelikleri, destek süresi ve yenileme bedelleri ayrı gösterilmelidir.

7. Tek FortiGate cihazı kesintisiz sunucu erişimi garanti eder mi?

Hayır. Ağ bağlantısı, enerji, uygulama sunucusu, depolama ve gerekiyorsa HA tasarımı birlikte değerlendirilmelidir. Her erişilebilirlik hedefi sözleşmede açık tanımlanmalıdır.

8. FortiGate firewall ve IPsec VPN için nasıl teklif alabilirim?

Şube sayısı, kullanıcı adedi, mevcut cihaz ve sürüm, sunucu uygulamaları, güvenlik gereksinimleri ve yönetim beklentilerinizi paylaşın. Kurumsal sunucu ve VPN teklif formundan ihtiyaçlarınızı iletin.