VPS üzerinde kurumsal ağ: ofise uzaktan erişim

Çalışanlar evden çalıştığında, iş seyahatinde olduğunda ya da birkaç farklı ofise dağıldığında, şirketin iç sistemlerine onlar erişebilmeli ama tüm internet erişememelidir. Bir ERP sistemini, dosya sunucusunu veya CRM'i doğrudan internete açmak risklidir: botlar açık bir portu birkaç dakika içinde taramaya başlar. Standart çözüm özel ve şifreli bir ağdır: çalışan önce şirketin ağ geçidine bağlanır, iç hizmetlere ancak bundan sonra ulaşır. Ağ geçidi ofisteki router üzerinde çalışabilir, ancak giderek daha fazla şirket onu kiralık bir VPS üzerinde tutuyor. Aşağıda bunun nedenlerini, tipik ağ yapılarının nasıl çalıştığını, hangi protokolün ve sunucunun seçilmesi gerektiğini ve güvenlik konusunda nelere dikkat edilmesi gerektiğini anlatıyoruz.

Ağ geçidini neden bir VPS'e taşımalı

Ofisteki internet hattı nadiren iyi bir giriş noktasıdır. Servis sağlayıcı her zaman sabit bir genel IP adresi vermez, ofis hatları çoğunlukla asimetriktir (indirme hızlı, yükleme yavaş) ve binadaki bir elektrik kesintisi uzaktaki tüm çalışanların bağlantısını aynı anda koparır. Veri merkezindeki bir VPS ise farklı koşullar sunar:

• yeniden başlatmada değişmeyen, sabit ve size ayrılmış bir IPv4 adresi;
• 100 Mbps ile 1 Gbps arasında simetrik bir port ve veri merkezinde yedek güç kaynağı;
• ofis ağ geçidine sıradan bir istemci olarak bağlandığı için ofiste gelen bağlantılara port açmak gerekmez;
• birden fazla ofis ve yüzlerce çalışan tek bir noktaya bağlanır, her ofis çifti arasında ayrı tünel kurmaya gerek kalmaz.

İç sistemler zaten bulutta veya kiralık sunucularda çalışıyorsa, aynı lokasyondaki bir ağ geçidi VPS'i bu sistemlere neredeyse hiç ek gecikme eklemez ve ofis, ağın yalnızca bir üyesi daha olur.

Tipik kurumsal ağ yapıları

Çalışanlar için uzaktan erişim. VPS üzerinde bir VPN sunucusu çalışır ve her çalışanın kişisel bir bağlantı profili olur. Bağlantı kurulduğunda dizüstü bilgisayar iç ağdan bir adres alır ve yalnızca yöneticinin izin verdiği kaynakları görür.

Ofisten ağ geçidine (site-to-site). Ofisteki router, VPS ile sürekli açık bir tünel tutar. Uzaktaki bir çalışan VPS'e bağlanır ve onun üzerinden ofisin alt ağına ulaşır: muhasebe sunucusuna, dosya deposuna, yazıcılara. Bunun için ofisin sabit bir IP adresine ihtiyacı yoktur.

Birden fazla şube için hub-and-spoke yapısı. Her şube merkezi ağ geçidine bir tünel kurar ve diğer şubelerle veri alışverişini bu geçit üzerinden yapar. Bu yapı tam örgü (mesh) ağdan daha basittir, ancak ağ geçidi tek arıza noktası haline gelir ve yedek bir sunucu gerektirir.

Üç yapıda da genellikle bölünmüş tünel (split tunneling) kullanılır: tünele yalnızca iç alt ağların trafiği girer, dizüstü bilgisayarın geri kalan trafiği doğrudan internete çıkar. Böylece ağ geçidi sistem güncellemeleri ve videolarla yüklenmez, çalışanlar da günlük işlerinde bağlantıyı neredeyse fark etmez.

Hangi hizmetler özel ağın arkasına konmalı

• ERP ve muhasebe sistemleri. Masaüstü istemciler, web istemcileri ve muhasebe sunucusuna yapılan uzak masaüstü oturumları ağın içinde kalır. Bu sistemler gecikmeye karşı hassastır, bu yüzden ağ geçidini veritabanı sunucusuna yakın bir yere koyun.
• Dosya sunucusu. SMB veya NFS paylaşımları asla internete açık olmamalıdır; özel ağ üzerinden ofisteki gibi çalışırlar.
• CRM, wiki, destek talebi sistemi, izleme. İç sistemlerin web arayüzleri genel bir adres olmadan çalışabilir ve arama motoru botlarından ve port tarayıcılarından gizli kalır.
• Git ve CI. Depolar, Docker imaj kayıt defteri ve derleme sunucuları geliştiricilere yalnızca ağın içinden açıktır; yöneticiler de canlı sunuculara açık bir port yerine içeriden SSH ile bağlanır.

WireGuard, OpenVPN mi, IPsec mi

Üç protokol de trafiği şifreler ve kurumsal ağ için uygundur; aralarındaki fark hız, kullanım kolaylığı ve uyumluluktadır.

Yaygın bir kombinasyon, ofislerle ağ geçidi arasında IPsec veya WireGuard, çalışanların dizüstü bilgisayarları ve telefonları için ise WireGuard kullanmaktır. Her protokolün sunucu gereksinimlerini WireGuard için VPS ve OpenVPN için VPS sayfalarında bulabilirsiniz.

Nasıl bir sunucu kiralanmalı

Kurumsal bir ağ geçidi güçlü donanım gerektirmez, ancak birkaç parametre önemlidir.

• Kullanıcı sayısına göre CPU ve bellek. Aynı anda 15 bağlantıya kadar 1 vCPU ve 1 GB RAM rahatça yeterlidir. 15–50 çalışan için 2 vCPU ve 2 GB seçin; özellikle OpenVPN kullanıyorsanız bu önemlidir, çünkü OpenVPN şifrelemeyi tek iş parçacığında yapar ve çekirdek başına performansla sınırlıdır. 50'den fazla kişi veya birden fazla şube varsa 2–4 vCPU ve yedekte ikinci bir sunucu gerekir. Aynı sunucuda kullanıcı yönetim paneli ve izleme de çalışacaksa 1 GB RAM daha ekleyin.
• KVM sanallaştırma. WireGuard ve IPsec çekirdek (kernel) düzeyinde çalışır; OpenVZ ve LXC gibi konteyner platformları çekirdek modülü yüklemenize izin vermez. KVM paketlerine bakın.
• Port ve trafik. Ağ geçidinden rapor dışa aktarımları, dosya senkronizasyonu, yedekler ve görüntülü görüşmeler geçer. On çalışan ayda kolayca birkaç yüz gigabayt kullanır, ofisler arasındaki gece yedeklemeleri ise daha fazlasını. En az 100 Mbps bir port, tüm ofis için 1 Gbps ve trafik aşımı için açık koşullar gerekir.
• Lokasyon. Ağ geçidini ofise, çalışanların çoğuna ve iç sistemlere yakın bir yere koyun. Türkiye'deki bir ekip için İstanbul'daki bir veri merkezi gecikmeyi birkaç milisaniye düzeyinde tutar; Frankfurt'taki bir sunucuya İstanbul'dan gecikme genellikle 40–50 ms civarındadır. Ödeme yapmadan önce sağlayıcının test IP adresine ofisten ve birkaç çalışanın ev bağlantısından ping atın.
• Sabit IP. Size ayrılmış bir IPv4 adresi şarttır: istemciler ve ofis router'ı bu adrese bağlanır. NAT veya paylaşımlı adres sunan paketler ağ geçidi için uygun değildir.
• Disk. 10–20 GB yeterlidir: sistem, yapılandırma dosyaları ve bağlantı kayıtları az yer kaplar.

Bu gereksinimleri karşılayan paketler kurumsal VPN için VPS sayfasında bir araya getirilmiştir.

Ağ geçidinin temel güvenliği

Ağ geçidi, iç ağa dışarıdan ulaşılabilen tek noktadır; bu nedenle şirketin diğer tüm sunucularından daha iyi korunması gerekir.

• Kişisel anahtarlar ve sertifikalar. Her çalışan, departmanın ortak şifresi yerine kendine ait bir anahtar alır. Şirketten ayrılan biri tek bir komutla, başkalarını etkilemeden erişimden çıkarılır; anahtarlar mesajlaşma uygulamalarıyla gönderilmek yerine cihazda kalır.
• İki faktörlü kimlik doğrulama. OpenVPN ve IPsec bir kullanıcı dizinine ve tek kullanımlık kodlara bağlanabilir; WireGuard'da ikinci faktör, profilleri dağıtan portal üzerinden eklenir. Yöneticiler sunucunun kendisine yalnızca SSH anahtarlarıyla giriş yapar, şifreyle giriş kapatılır.
• Güvenlik duvarı. Dışarıdan yalnızca VPN portu açıktır, gerekirse kaynak adrese göre kısıtlanmış SSH de eklenir. Tünelin içinde erişim rollere göre ayrılır: finans ekibi muhasebe sistemine, geliştiriciler Git ve test sunucularına, diğer herkes dosya sunucusuna ve CRM'e erişir.
• Kayıtlar. Kimin, ne zaman ve hangi adresten bağlandığını kaydedin ve kayıtları ağ geçidinden ayrı bir yerde saklayın. Bunlar güvenlik olaylarının incelenmesi ve iç denetimler için gereklidir.
• Güncellemeler ve yedeklilik. İşletim sistemini ve VPN sunucusunu düzenli olarak güncelleyin. Başka bir veri merkezinde ikinci bir ağ geçidi ve her cihazda yedek bir profil, ana sunucu çöktüğünde şirketin çalışmaya devam etmesini sağlar.

Çalışanlara nasıl yaygınlaştırılır

Teknik kısım bir günde tamamlanır; sorunların çoğu erişimler dağıtılırken ortaya çıkar. Personel için kısa bir kılavuz hazırlayın: hangi uygulamanın kurulacağı, profilin nasıl içe aktarılacağı ve bağlantı çalışmazsa kime başvurulacağı. Profilleri e-posta ekleriyle değil, bir portal veya cihaz yönetim sistemi üzerinden dağıtın. Finans ya da geliştirme ekibi gibi küçük bir grupla başlayın, muhasebe sisteminin ve dosya sunucusunun tünel üzerinden nasıl çalıştığını kontrol edin, ardından diğer herkesi geçirin. İç hizmetlere iç DNS bölgesinde okunabilir adlar verin ki çalışanlar bir rakam dizisi yerine crm.office adresini açsın.

Hukuki taraf

Bir şirketin kendi çalışanları için kurduğu özel ağ, olağan bir bilgi güvenliği uygulamasıdır: birisi otelde veya havalimanında halka açık Wi-Fi üzerinden çalışırken bile iş verilerini ve hesapları korur. Kuralları iç politikalarda yazılı hale getirin: kimin erişim alacağı, hangi sistemlere erişeceği, anahtarların nasıl verilip iptal edileceği. Ağ üzerinden müşterilerin veya çalışanların kişisel verileri geçiyorsa, Türkiye'de KVKK, AB'deki işlemler için ise GDPR geçerlidir: veri işleme sözleşmesi imzalayan bir sağlayıcı seçin, bu tür verileri barındıran sunucuları uygun bir yargı bölgesinde tutun ve bu sunuculara erişimi kayıt altına alın.

Başlatmadan önce kontrol listesi

• Ağ yapısı seçildi: uzaktan erişim, ofis bağlantısı veya hub-and-spoke.
• Protokol ve profillerin çalışanlara nasıl dağıtılacağı belirlendi.
• Sunucu KVM üzerinde çalışıyor ve eş zamanlı bağlantılar için kapasite payı var.
• Size ayrılmış IPv4; port ve trafik yedeklere ve görüntülü görüşmelere göre boyutlandırıldı.
• Ağ geçidine gecikme ofisten ve çalışanların evlerinden ölçüldü.
• Kişisel anahtarlar, ikinci faktör, güvenlik duvarı ve bağlantı kayıtları hazır.
• Yedek bir ağ geçidi ve bir güncelleme planı mevcut.

Sunucuları sanallaştırma türüne, lokasyona, porta ve fiyata göre VPS aramasında filtreleyebilirsiniz.