Varsayılan engelleme güvenlik duvarı kuralım LAN trafiğimi engelliyor mu? Güvenlik duvarları veya yönlendiricilerde WAN ve LAN bölgeleri doğru ayrılmamış

Bu makale, müşterilerimizin düzenli olarak bildirdiği yaygın bir sorunu açıklamalıdır. Bu durumun nedeni bir güvenlik duvarı yanlış yapılandırması veya bir hata değil, daha çok ağ topolojisindeki bir sorundur.

1. Sorunun belirtileri

LAN istemcilerinin internete erişemediğini fark edebilirsiniz. İzle > Günlük bölümünde, varsayılan engelleme güvenlik duvarı kuralının bu cihazlar için trafiği engellediğini görebilirsiniz.

2. Bu belirtinin temel nedeni

Bu durumlarda topolojinin aşağıdaki gibi olduğunu fark ettik. Amaç muhtemelen bir anahtarı (switch) kurtarmak ve VLAN’lar kullanarak anahtarı "iki farklı ayrı mantıksal anahtara" bölmekti.

Yukarıdaki topoloji oldukça basitleştirilmiş olsa da, gerçek hayatta bunu hemen görmek zor olabilir. Ancak temel fikir açıktır: WAN ve LAN bölgeleri doğru şekilde ayrılmamış!

3. Topolojinin sorunun nedeni olduğunu kanıtlamak için

Anahtardaki kablolamayı ve VLAN etiketlemeyi kontrol etmek zaman alabilir, ancak bunu hemen kontrol etmenin en kolay yolu güvenlik duvarınızın ARP tablosunu kontrol etmektir. SSH ile giriş yapmanız ve şu komutu kullanmanız gerekir:

 show arp-table

Yukarıdaki örnekte, LAN’a ait özel IP’lerin WAN portunda öğrenildiğini görüyorsunuz. Bu nedenle, kablolamanızda veya anahtarınızın VLAN etiketlemesinde bir sorun olduğunun kanıtıdır.

4. Bu sorunu nasıl çözebilirsiniz

Eğer donanım tasarrufu yapmak ve güvenlik duvarınızın LAN ve WAN tarafında aynı anahtarı kullanmak istiyorsanız, VLAN etiketlemenin doğru olduğundan emin olun. VLAN’lar kullanarak tek bir donanım anahtarından "iki ayrı anahtar" oluşturmak mümkündür.

Her portta sadece bir PVID ve etiketsiz VLAN olduğundan emin olun ve diğer gereksiz VLAN’ları her porttan hariç tutun! 

5. Sonucu kontrol etmek

Öncelikle ARP tablosunu temizlemeniz gerekebilir: Güvenlik duvarınızın ARP tablosunu temizleme
Sonra, aşağıdaki komutu tekrar çalıştırın

 show arp-table

ve LAN MAC adreslerinin ve IP’lerinin sadece LAN arayüzünde öğrenilip öğrenilmediğini WAN arayüzü yerine kontrol edin.