Kısaca
Cisco switch kurulumu, Catalyst veya Cisco Business serisi bir switch’in VLAN, trunk, spanning tree, port güvenliği, SSH ile yönetim, SNMP izleme ve konfigürasyon yedeği ayarlarıyla ağa alınmasıdır. Kendi ağını yöneten şirketler içindir. CybUP olarak yeni switch kuruyor, mevcut Cisco switch’lerin ayarlarını denetliyor, IOS güncellemesi ve parola kurtarma işlerini yapıyoruz.
Cisco switch kurulumu nasıl yapılır?
Cisco switch kurulumu konsol kablosuyla ilk erişimle başlar, yönetim ayarları, VLAN’lar, port rolleri ve güvenlik ayarlarıyla devam eder, yedek ve belgeyle biter. Sıra önemlidir: önce cihaza güvenli yönetim erişimi verilir, sonra kullanıcı portları açılır.
İlk aşamada hostname, alan adı, yönetim VLAN’ı ve IP adresi, NTP ve log sunucusu tanımlanır. Ardından VLAN’lar oluşturulur, uplink portları trunk, kullanıcı portları access olarak ayarlanır. IP telefon kullanılıyorsa aynı porta ses VLAN’ı (voice VLAN) eklenir; telefon ve arkasındaki bilgisayar ayrı ağlarda çalışır.
Diyelim ki 40 kişilik bir muhasebe ofisinde iki adet 48 portluk Catalyst switch kuruluyor. Kullanıcılar, IP telefonlar, yazıcılar ve kameralar ayrı VLAN’lara alınır; iki switch arasındaki bağlantı iki kablolu bir port-channel olarak yapılır; boşta kalan portlar kapatılıp kullanılmayan bir VLAN’a atanır. Bu iş masada hazırlanır, ofiste ise sadece kablolar takılır.
Catalyst mi, Cisco Business mı?
Catalyst serisi IOS ya da IOS XE ile komut satırından ayrıntılı yönetilen kurumsal switch ailesidir; Cisco Business serisi ise daha çok web arayüzüyle yönetilen, küçük işletmelere yönelik bir ailedir. İkisinde de VLAN, trunk, port güvenliği ve SSH gibi temel ayarlar yapılabilir; fark, ölçek, yönetim yöntemi ve gelişmiş özelliklerdedir.
Sahada hâlâ çok sayıda eski Catalyst 2960 ailesi switch çalışıyor. Bu cihazların yazılım desteği ve parça bulunabilirliği yeni nesle göre sınırlıdır. Mevcut switch’inizin desteklenip desteklenmediğini, inceleme sırasında model ve sürüm bilgisine bakarak raporluyoruz; değişim gerekiyorsa omurga switch planıyla birlikte ele alıyoruz.
VLAN, trunk ve spanning tree ayarlarında nelere dikkat edilir?
Trunk portlarda yalnızca gereken VLAN’lara izin verilmeli ve native VLAN kullanılmayan bir VLAN’a çekilmelidir. "Tüm VLAN’lar her yerde" ayarı ilk gün işi kolaylaştırır, ama bir yayın fırtınası tüm binaya yayılır ve VLAN atlama saldırılarına kapı açar.
Spanning tree tarafında kök köprü (root bridge) bilinçli olarak omurga switch’e verilir; aksi halde en düşük MAC adresli eski bir switch kök olabilir ve trafik tuhaf yollardan akar. Kullanıcı portlarında PortFast ile birlikte BPDU Guard açılır: biri masasına küçük bir switch getirip ağa bağlarsa port kendini kapatır ve döngü oluşmaz.
Cisco switch güvenliği için hangi ayarlar yapılmalı?
Yönetim erişimi yalnızca SSH ile olmalı, Telnet kapatılmalıdır. Cisco’nun SSH yapılandırma belgesi SSH sürüm 2’yi, platformun desteklediği güçlü bir RSA anahtarını ve VTY hatlarında yalnızca SSH’ye izin verilmesini önerir. Yönetim erişimini ayrıca bir erişim listesiyle BT ağından gelen adreslere sınırlıyoruz.
Kullanıcı portlarında port güvenliği (port security), DHCP snooping ve dinamik ARP denetimi, sahte DHCP sunucusu ya da ARP sahteciliği gibi yerel ağ saldırılarına karşı koruma sağlar. Yerel kullanıcı parolaları güçlü bir hash algoritmasıyla saklanır; mümkünse kimlik doğrulama merkezi bir RADIUS/TACACS+ sunucusuna bağlanır ve her komut loglanır.
- SSH v2, Telnet kapalı, yönetim erişimi ACL ile sınırlı
- Kullanılmayan portlar kapalı ve ayrı bir VLAN’da
- Kullanıcı portlarında PortFast, BPDU Guard ve port security
- DHCP snooping ve dinamik ARP denetimi
- SNMPv3, merkezi log ve NTP
“If you want to prevent Non-SSH connections, add the transport input ssh command under the lines to limit the router to SSH connections only. Straight (non-ssh) Telnets are refused.”
SSH dışındaki bağlantıları engellemek istiyorsanız, cihazı yalnızca SSH bağlantılarıyla sınırlamak için hatların altına transport input ssh komutunu ekleyin. Doğrudan (SSH olmayan) Telnet bağlantıları reddedilir.
SNMP izleme, konfigürasyon yedeği ve IOS güncellemesi
Switch’i izlemeden çalıştırmak, bir portun hata saydığını ya da fanın durduğunu ancak kullanıcı şikâyet edince öğrenmek demektir. SNMPv3 ile switch’i Zabbix gibi bir izleme sistemine bağlıyor; port durumları, hata sayaçları, sıcaklık ve güç kaynağı uyarılarını görünür hale getiriyoruz.
Konfigürasyon yedeği her değişiklikten sonra otomatik alınmalıdır. Bunun için switch’in kendi arşiv özelliği ya da düzenli olarak yedek çeken bir sunucu kullanılabilir. Bir switch arızalandığında yerine konan yeni cihaza son yedek yüklenir ve dakikalar içinde aynı ayarlarla çalışır.
IOS güncellemesinde önce sürüm notları ve donanım uyumu kontrol edilir, mevcut imaj ve konfigürasyon yedeklenir, güncelleme bakım penceresinde yapılır. Stack yapılarında tüm üyelerin aynı sürümde olması gerekir; bu yüzden plan stack’in tamamı için yazılır.
Cisco switch şifresini unuttuysanız ne olur?
Çoğu Catalyst switch’te parola, yapılandırma silinmeden kurtarılabilir; ama bunun için cihaza fiziksel erişim gerekir. Cisco’nun parola kurtarma prosedüründe switch’in konsol portuna bağlanılır, güç verilirken Mode düğmesine basılı tutulur, yapılandırma dosyasının adı geçici olarak değiştirilerek cihaz açılır ve ardından mevcut yapılandırma geri yüklenerek parola değiştirilir.
Bu işlem sırasında switch yeniden başlar; yani kısa bir kesinti olur. Parola kurtarma özelliği önceden kapatılmışsa yapılandırma korunamayabilir ve cihaz fabrika ayarlarına dönebilir. Bu yüzden işe başlamadan önce elinizde güncel bir yedek olup olmadığını kontrol ediyoruz. Eski BT sorumlusu ayrıldığında parolası bilinmeyen birkaç switch ile kalan şirketlerde bu işi tek ziyarette, sırayla ve kesinti planıyla yapıyoruz.
“Hold down the mode button located on the left side of the front panel, while you reconnect the power cable to the switch.”
Güç kablosunu switch’e yeniden takarken ön panelin sol tarafındaki Mode düğmesini basılı tutun.
Teslim ettiklerimiz
- Hazırlanmış ve test edilmiş Cisco switch konfigürasyonları
- VLAN listesi, port eşleşme tablosu ve topoloji şeması
- Güvenlik sıkılaştırması: SSH, ACL, port security, DHCP snooping, BPDU Guard
- SNMPv3 izleme ve merkezi log ayarları
- Otomatik konfigürasyon yedeği ve geri yükleme notu
- Gerekiyorsa IOS / IOS XE güncellemesi ve sürüm raporu
Nasıl çalışıyoruz
- 1
İnceleme
Mevcut switch modellerini, yazılım sürümlerini ve konfigürasyonları inceliyor, eksikleri raporluyoruz.
- 2
Plan
VLAN, port rolleri, güvenlik ayarları ve gerekiyorsa güncelleme planını sizinle onaylıyoruz.
- 3
Yapılandırma
Yeni cihazları masada hazırlıyor, mevcut cihazlarda değişiklikleri bakım penceresinde uyguluyoruz.
- 4
Test
Kullanıcı, telefon, yazıcı ve uplink bağlantılarını tek tek doğruluyor, döngü ve yedeklilik testlerini yapıyoruz.
- 5
Teslim
Konfigürasyon yedeklerini, port tablosunu ve yönetim bilgilerini güvenli biçimde teslim ediyoruz.
Sıkça sorulan sorular
Tek bir Cisco switch’in kurulumu ne kadar sürer?
Standart bir ofis switch’i, plan hazırsa birkaç saatte yapılandırılır ve test edilir. Süreyi asıl belirleyen, VLAN planı ve mevcut ağdaki diğer cihazlarla uyumdur. Çok sayıda switch’te işleri şablonla hazırlayıp sahada süreyi kısaltıyoruz.
Mevcut Cisco switch’lerimizin ayarlarını denetleyebilir misiniz?
Evet. Konfigürasyonları okuyup güvenlik, spanning tree, VLAN ve yönetim ayarlarını kontrol ediyor, bulguları öncelik sırasıyla raporluyoruz. Düzeltmeleri isterseniz bakım penceresinde biz uyguluyoruz.
Cisco switch şifresi sıfırlama uzaktan yapılabilir mi?
Hayır, parola bilinmiyorsa konsol erişimi ve Mode düğmesi için cihazın başında olmak gerekir. İstanbul’da yerinde geliyoruz. Bir yönetici hesabı hâlâ çalışıyorsa parola değişikliği uzaktan da yapılabilir.
IOS güncellemesi için lisans veya destek sözleşmesi gerekir mi?
Yazılım indirme hakkı genellikle cihazın Cisco destek sözleşmesine bağlıdır. Sözleşme durumunu sizinle birlikte kontrol ediyoruz; yazılımı resmi kanaldan sağlamadan güncelleme yapmıyoruz.
Cisco switch kurulumu fiyatı nedir?
Kapsamı inceledikten sonra yazılı teklif veriyoruz; inceleme ücretsiz. Switch sayısı, yerinde mi uzaktan mı çalışılacağı ve güncelleme ihtiyacı teklifi belirler.
Farklı marka switch’lerle karışık bir ağda çalışıyor musunuz?
Evet. VLAN etiketleme, LACP ve spanning tree standart protokoller olduğu için farklı markalar birlikte çalışabilir. Üreticiye özel protokollerin karışık ağda yol açabileceği sorunları tasarım aşamasında belirleyip standart karşılıklarını kullanıyoruz.
Switch’leri kim izleyecek, arıza olursa ne olacak?
SNMP ve log ayarlarıyla switch’leri kendi izleme sisteminize ya da kuracağımız bir izleme sistemine bağlıyoruz. Kurulum sonrası destek ve müdahale kapsamını teklifte ayrıca yazıyoruz.