MikroTik RouterOS Cihazlarında Port Yansıtma (Port Mirroring / Sniffer) ile Ağ Trafiği Analiz Rehberi

Soru: Ağdaki Anormal Trafik ve Şüpheli Veri Akışı Switch Seviyesinde Wireshark ile Nasıl Dinlenir?

Cevap: Kurumsal yerel ağlarda sistem yöneticilerinin ve siber güvenlik uzmanlarının bir sunucuda aniden başlayan yüksek veri transferini, fidye yazılımı (Ransomware) yayılımını, şüpheli DNS sorgularını veya ağdaki gecikmeleri derinlemesine analiz edebilmesi için ağ paketlerini doğrudan incelemesi gerekir. Ancak modern yönetilebilir anahtarlar ve yönlendiriciler (Switch/Router) gelen paketleri sadece hedef MAC adresinin bulunduğu porta iletir; diğer portlardaki bilgisayarlar bu trafiği göremez. MikroTik RouterOS üzerinde çalışan Port Yansıtma (Port Mirroring / Switched Port Analyzer – SPAN) mimarisi, izlenmek istenen bir veya birden fazla fiziksel porttan geçen tüm gelen/giden (RX/TX) ham veri paketlerinin donanımsal anahtarlama çipi (Switch Chip) seviyesinde birebir kopyasını oluşturarak analiz bilgisayarının bağlı olduğu dinleme portuna aktarır.

Yazılımsal Paket Yakalama vs Donanımsal Port Yansıtma

MikroTik üzerinde ağ trafiğini incelemenin iki yolu vardır:

• Yazılımsal Araç (/tool sniffer): Paketleri routerın ana işlemcisi (CPU) üzerinden yakalayarak PCAP dosyası olarak kaydeder. 100 Mbps in üzerindeki yoğun trafiklerde router işlemcisini %100 e kilitleyerek ağın çökmesine yol açar; yüksek hızlı omurgalarda kullanılması tehlikelidir.
• Donanımsal Port Mirroring (Switch Chip): MikroTik in üzerinde bulunan yerleşik anahtarlama yongası (Atheros, Marvell vb.) paketleri CPU ya hiç uğratmadan, doğrudan donanım seviyesinde kopyalayarak hedef porta basar. Router işlemcisine %0 ilave yük bindirir ve 1 Gbps / 10 Gbps hatları sıfır paket kaybıyla dinlemeye olanak tanır.

1. Adım: Donanımsal Switch Port Mirroring Yapılandırması

Örneğin şirket muhasebe sunucusunun bağlı olduğu ether2 portundan geçen tüm trafiği, analiz uzmanının bilgisayarının bağlı olduğu ether5 portuna yansıtmak için:

Winbox Terminal Komutu:
# 1. Donanım Anahtarlama Çipini Belirleyin ve Hedef Dinleme Portunu Seçin:
/interface ethernet switch
set switch1 mirror-target=ether5

# 2. Hangi Portun Dinleneceğini (Kaynak Port) ve Trafik Yönünü Belirleyin:
/interface ethernet switch port
set ether2 mirror-source=yes comment="Muhasebe Sunucusu Trafik Aynalama"

Bu iki satırlık komut işletildiği anda, ether2 kablosundan giren ve çıkan her bir bayt veri, elektriksel olarak anında kopyalanarak ether5 portuna fırlatılır.

2. Adım: Analiz Bilgisayarında Wireshark ile Canlı Paket Dinleme

Uzmanın dizüstü bilgisayarı bir Ethernet kablosuyla routerın ether5 portuna bağlanır:

1. Bilgisayarda Wireshark yazılımı yönetici olarak başlatılır.
2. Ethernet ağ kartı seçilerek dinleme başlatılır.
3. Promiscuous Mode (Karma Mod): Wireshark ağ kartını karma moda sokarak kendi IP sine ait olmayan tüm yabancı sunucu paketlerini yakalamaya başlar.
4. Ekrana akan HTTP form verileri, SQL sorguları, TLS el sıkışmaları ve anormal UDP paketleri anlık olarak renkli satırlarla incelenir.

3. Adım: Uzak Ağ Dinleme: MikroTik Streaming (TZSP Protokolü)

Eğer dinleme yapacak uzman fiziksel olarak o lokasyonda değilse, MikroTik paketleri UDP üzerinden uzaktaki uzmanın IP sine kapsülleyerek (Ta-Z-S-P Protokolü) gönderebilir:

/tool sniffer
set streaming-enabled=yes streaming-server=192.168.10.150 filter-interface=ether2
/tool sniffer start

Uzman kendi masasındaki Wireshark ta udp.port == 37008 filtresi uygulayarak kilometrelerce ötedeki portun paketlerini canlı ekranda izleyebilir.

Kurumsal ağ güvenlik denetimi, siber olay müdahale (DFIR), ağ dinleme analizleri ve MikroTik altyapı projelerinde BaykalSoft Ağ Güvenlik Danışmanlığı uzmanlarımızdan destek alabilirsiniz.