MikroTik RouterOS Cihazlarında Port Güvenliği (Bridge Port Isolation) ile İstemcileri Birbirinden Yalıtma Rehberi

Soru: Aynı Switch/Router Üzerindeki İki Farklı Şirket Bilgisayarının Yerel Ağda Birbirini Görmesi Nasıl Engellenir?

Cevap: Plazalarda, ortak paylaşımlı ofislerde (Coworking), öğrenci yurtlarında veya otellerde tek bir MikroTik yönlendirici (RouterBoard) üzerindeki farklı Ethernet portlarına (Örn: ether2 Muhasebe, ether3 Misafir Odası, ether4 Kiralık Ofis) takılan bilgisayarların aynı yerel ağ bloğunda (192.168.1.0/24) olmalarına rağmen birbirlerine ping atabilmesi, paylaşılan dosyaları görebilmesi veya ağ taramasıyla birbirlerinin açık portlarını keşfetmesi devasa bir iç siber güvenlik zafiyetidir. Yöneticiler karmaşık VLAN yapılandırmalarıyla uğraşmadan, doğrudan Katman 2 (Layer 2) anahtarlama seviyesinde istemcilerin birbiriyle konuşmasını engelleyip yalnızca internet ağ geçidine (Gateway) çıkmalarını sağlayan donanımsal teknoloji MikroTik Bridge Port Isolation (Bağlantı Noktası İzolasyonu) mimarisidir.

Port İzolasyonu (Private VLAN / Port Isolation) Mantığı

Normal bir ağ anahtarında (Switch/Bridge) 2 numaralı porttan çıkan paket doğrudan 3 numaralı porta iletilir:

• Topluluk Portu (Promiscuous Port): Yönlendiricinin kendi CPU su veya internete çıkan ana omurga portudur; herkesle konuşabilir.
• İzole Port (Isolated Port): Port İzolasyonu açılmış bir porta bağlı olan bilgisayar, yerel ağdaki diğer izole portlara kesinlikle tek bir veri paketi bile gönderemez. Paketler donanımsal anahtarlama çipinde (Switch Chip) anında çöpe atılır.
• Trafik Akışı: İzole porttaki bir bilgisayar YALNIZCA modeme/ağ geçidine gidebilir; yan odadaki komşu bilgisayara gidemez. Virüs bulaşan bir bilgisayar yerel ağdaki diğer makineleri tarayamaz (Lateral Movement sıfırlanır).

1. Adım: Winbox Üzerinden Bridge Portlarına İzolasyon Profili Tanımlama

VLAN oluşturmadan saniyeler içinde izolasyon kurmak için:

1. Winbox açılarak Bridge > Ports sekmesine girilir.
2. Birbirini görmesi istenmeyen kullanıcı portları (Örn: ether2, ether3, ether4) tek tek açılır.
3. Her bir portun General sekmesindeki ‘Horizon’ parametresi bulunur.
4. Kritik Kural: İzole edilecek tüm portların Horizon değerine aynı sayı yazılır: Horizon = 1.
5. İnternet çıkış portunun (Ağ Geçidi / Uplink) Horizon değeri ise varsayılan olarak ‘none’ (boş) bırakılır.

2. Adım: Horizon Mantığının Matematiksel Çalışma Prensibi

MikroTik köprüleme motoru şu matematiksel algoritmayı işletir:

Horizon Kuralı:
- Aynı Horizon değerine (Örn: Horizon 1) sahip iki port ASLA birbiriyle paket alışverişi yapamaz!
- ether2 (Horizon 1) paketini ether3 e (Horizon 1) göndermek isterse -> Bridge paketi anında DROP eder.
- ether2 (Horizon 1) paketini Gateway e (Horizon none) göndermek isterse -> Paket sorunsuz geçer.

Bu tek bir parametre ile şirket ağındaki 20 farklı ofis odası aynı IP bloğunda kalarak internete girerken, birbirlerinin ağ trafiğinden tamamen yalıtılmış olur.

3. Adım: İzolasyonun Ping Testi ile Doğrulanması

ether2 ye bağlı bilgisayardan, ether3 e bağlı bilgisayarın IP sine (Örn: ping 192.168.1.45) ping atılır: ‘İstek Zaman Aşımına Uğradı’ (Request Timed Out) yanıtı alınır. Hemen ardından modem IP sine (ping 192.168.1.1) ping atılır; 1 ms sürede kusursuz yanıt gelir. İzolasyon sıfır CPU yüküyle donanımsal hızda tamamlanmıştır.

MikroTik Layer 2/Layer 3 ağ güvenliği, Private VLAN mimarileri, kurumsal ağ izolasyonu ve siber savunma denetimlerinde BaykalSoft Ağ Altyapı Güvenliği uzman kadromuzla iletişime geçebilirsiniz.