Veri merkezi ile bulut arasında özel bağlantı kurma

Hibrit ağ bağlantısı nedir, neden özel bağlantı gerekir?

Hibrit ağ bağlantısı, kurumun kendi veri merkezi ya da ofis ağı ile bulut sağlayıcısının sanal ağı arasında güvenilir bir yol kurmaktır. En kolay başlangıç, genel internet üzerinden şifreli bir VPN tüneli açmaktır. Bu yöntem hızlı kurulur ve ucuzdur; ancak internetin değişken gecikmesine, tıkanıklığına ve sağlayıcı arızalarına bağımlıdır.

Özel bağlantı, ExpressRoute (Microsoft Azure) ve Direct Connect (Amazon Web Services) gibi hizmetlerle, kurumun ağını bulut sağlayıcısının ağına kiralık bir hat üzerinden bağlar. Trafik genel internete çıkmaz. Bunun sonucunda öngörülebilir gecikme, kararlı bant genişliği ve sağlayıcıyla anlaşılmış hizmet koşulları elde edilir. Büyük veri aktarımı, kesintiye tahammülü olmayan iş uygulamaları, düzenleyici kurumların trafiğin internetten geçmemesini istediği sektörler ve veri merkezini kademeli olarak buluta taşıyan kuruluşlar bu bağlantıya yönelir.

Özel bağlantı otomatik olarak şifreli demek değildir. Hat kiralık ve izole olsa da, trafiğin gizliliği için ek şifreleme katmanı (IPsec VPN ya da hat düzeyinde şifreleme) gerekip gerekmediği kurumun güvenlik politikasına göre kararlaştırılır. Ayrıca özel bağlantı, internet bağlantısının yerini almaz; buluttaki genel hizmetlere ve son kullanıcılara erişim için internet çıkışı çoğu zaman ayrıca gerekir.

Bağlantı seçenekleri nasıl karşılaştırılır?

Karar vermeden önce seçenekler yan yana konur. Ölçütler: gecikme ve kararlılık beklentisi, bant genişliği ihtiyacı, kurulum süresi, işletme ve hat maliyeti, yedeklilik ve güvenlik gereksinimleri.

Genel olarak yaklaşımlar şöyle ayrışır: • İnternet üzerinden VPN: Hızlı kurulur, düşük maliyetlidir, küçük ölçekli ve kritik olmayan iş yükleri için uygundur. Başka bir bağlantı kurulana kadar geçici çözüm olarak da kullanılır. • Sağlayıcı aracılı özel bağlantı: Kurum, bir ağ hizmet sağlayıcısı üzerinden buluta bağlanır. Fiziksel erişim noktası sağlayıcıdadır; kurulum genellikle daha esnektir. • Doğrudan özel bağlantı: Kurum ya da bir altyapı ortağı, bulut sağlayıcısının bağlantı noktasındaki ekipmana doğrudan hat taşır. Daha yüksek hacimler için kullanılır, ancak fiziksel kurulum ve planlama daha fazla emek gerektirir.

Çoğu kurumda doğru cevap tek bir bağlantı değil, birbirini tamamlayan bir kombinasyondur. Ana yol özel bağlantı, yedek yol ise VPN olabilir. Bu tasarım maliyet ile dayanıklılık arasında dengeli bir noktaya oturur, ama VPN yedeğinin özel bağlantıdaki bant genişliğini karşılamayacağı bilinmeli ve kritik olmayan trafiğe öncelik indirimi uygulanacağı önceden planlanmalıdır.

Kurulum süreci nasıl işler?

Özel bağlantı kurulumu, yalnızca yazılım ayarı değil, fiziksel dünyayla da ilgilidir. Süreç ana hatlarıyla şöyle ilerler.

Önce ihtiyaç analizi yapılır: hangi bulut bölgesine, ne kadar veri hacmiyle ve hangi uygulamalar için bağlanılacağı belirlenir. Ardından bağlantı modeli seçilir ve sağlayıcıyla görüşülür. Azure tarafında bu aşamada bir devre (circuit) oluşturulur; devre, kurumun bağlantı sağlayıcısı ile Microsoft arasındaki mantıksal bağlantıdır ve sağlayıcı tarafında etkinleştirilmesi gerekir. AWS tarafında ise bir bağlantı talebi açılır; fiziksel hatta ilgili bağlantı noktasındaki ekipmana kurulur ve yetkilendirme belgesiyle işlem tamamlanır.

Fiziksel hat hazır olduğunda mantıksal katmanlar kurulur: sanal arayüzler ya da yönlendirme eşlemeleri (peering), bulut tarafındaki sanal ağ geçidi ve yönlendirme bilgisini paylaşan BGP oturumu. Sonrasında bağlantı uçtan uca doğrulanır: kurum ağından buluttaki bir sanal makineye erişim, yönlendirme tablolarında beklenen ağların görünmesi, güvenlik duvarı kurallarının uygunluğu ve gecikme ölçümü kontrol edilir.

Kurulumun en sık gecikme nedeni, sağlayıcı tarafındaki fiziksel hazırlık ve iç onay süreçleridir. Bu nedenle bağlantı talebini, ihtiyaç doğmadan önce planlamak gerekir.

Yönlendirme, sanal arayüzler ve ağ geçidi mimarisi

Özel bağlantının mantıksal kısmı, trafiğin hangi yoldan nereye gideceğine dair kurallardır. Dinamik yönlendirme için kullanılan protokol BGP'dir (Border Gateway Protocol). Kurum ağı ile bulut ağı BGP oturumu kurarak birbirlerine hangi ağlara ulaşabildiklerini duyurur. Böylece bir ağ eklendiğinde ya da bir hat devre dışı kaldığında yönlendirme bilgisi otomatik güncellenir.

Azure'da peering tipleri, bağlantının hangi hizmet kümesine eriştiğini belirler. Özel eşleme, kurumun sanal ağlarındaki kaynaklara erişir. Microsoft eşlemesi ise Microsoft'un genel hizmetlerine özel hat üzerinden ulaşmayı sağlar. Sanal ağ tarafında bir ExpressRoute ağ geçidi bulunur ve birden çok sanal ağın hat üzerinden yararlanmasını sağlayan bağlantılar kurulabilir.

AWS'de sanal arayüz (virtual interface) kavramı kullanılır. Özel sanal arayüz, kurumun bir sanal ağına erişir; genel sanal arayüz, genel hizmet uç noktalarına ulaşır; transit sanal arayüz ise birden çok sanal ağı merkezi bir geçit üzerinden birbirine bağlayan yapıyla çalışır. Direct Connect ağ geçidi, bir hattın farklı bölgelerdeki sanal ağlara bağlanmasını kolaylaştırır.

Yönlendirme tasarımında temel mesele, hangi yolun tercih edileceğidir. Aynı hedefe hem özel hat hem VPN ile gidilebiliyorsa BGP öznitelikleriyle tercih edilen yol belirlenir. Yanlış ayarlanmış öncelik, trafiğin beklenmedik yoldan geçmesine ya da asimetrik yönlendirmeye yol açabilir; bu da güvenlik duvarlarının bağlantıyı yanlış kesmesine neden olur.

Yedeklilik, güvenlik ve dayanıklılık nasıl sağlanır?

Tek bir fiziksel hat, bir sağlayıcı arızasında ya da kablo kesintisinde bağlantıyı tamamen kaybettirir. Dayanıklı tasarım, farklı fiziksel yolları ve mümkünse farklı bağlantı noktalarını kullanan çoklu hat kurar. Aynı binada, aynı kanaldan geçen hatlar gerçek yedeklilik sağlamaz; yedekliliğin ölçütü, hataların birbirinden bağımsız olmasıdır. Kritik uygulamalar için farklı bölge ya da farklı bağlantı noktası üzerinden ek hat planlanır.

Yedeklilik yalnızca hat sayısı değil, yönlendirmenin de buna göre yapılandırılmasıdır. Hatlardan biri çökünce BGP'nin diğer yola geçişi test edilmelidir. Geçiş süresi uygulamanın tolerans süresinden uzunsa iyileştirme gerekir. Düzenli arıza tatbikatları, tasarımın kâğıt üzerinde değil gerçekte çalıştığını doğrular.

Güvenlik tarafında şunlar değerlendirilir: • Hat üzerindeki trafiğin ek şifrelemeye ihtiyacı olup olmadığı. • Buluttaki sanal ağda hangi kurum ağlarının hangi kaynaklara erişebileceğini sınırlayan ağ güvenlik kuralları. • Yönlendirme duyurularının kontrolü: kurum ağından yalnızca gerekli ağlar duyurulmalı, bulut tarafından gelen yollar süzülmelidir. • Yönetim erişimlerinin ve hat yapılandırmasını değiştirebilecek yetkililerin sınırlandırılması.

Bu önlemler birlikte düşünüldüğünde özel bağlantı, kurum ağının güvenli bir uzantısına dönüşür.

İzleme, sorun giderme ve maliyet

Bağlantı çalıştıktan sonra işletmesi başlar. Bulut sağlayıcılarının her biri hat durumu, BGP oturumu durumu, bant genişliği kullanımı ve paket kaybı gibi ölçütleri sunar. Eşik değerler tanımlanıp uyarı kurulursa, hat doygunluğa yaklaştığında kapasite artırımı planlanır. Gecikme ve kayıp ölçümü ise uygulama ekibinin şikâyetlerini nesnel bir temele oturtur.

Sorun giderme genellikle şu sırayı izler: önce fiziksel ve mantıksal hat durumu, sonra BGP oturumu ve alınan ya da duyurulan yollar, ardından ağ güvenlik kuralları, en sonda uygulama düzeyi. Bağlantı görünüyor ama trafik geçmiyorsa çoğunlukla yönlendirme tablosunda eksik bir ağ, güvenlik kuralı ya da asimetrik yol sorunu vardır.

Maliyet analizi başlıca kalemlerden oluşur: hat ve bağlantı noktası ücreti ile veri aktarım ücreti. Veri aktarımı, bulut tarafında belirli yönde ücretlendirilir ve özel bağlantı üzerinden olan aktarım çoğunlukla internet çıkışına göre farklı tarifelenir. Güncel tarifeler ve birim bedeller sağlayıcının resmî fiyat sayfalarında yayımlanır. Maliyet kararı, yalnızca hat bedelini değil, veri hacmini, yedeklilik gereksinimini ve ağ ekibinin işletme emeğini de içermelidir.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Mindset'in Azure ExpressRoute ile Kurumsal Ağ Bağlantısı eğitimi, Azure tarafındaki bağlantı yolunu müfredat başlıklarıyla işler: kurumsal bağlantı modelleri ve ExpressRoute temelleri, devre kurulumu ve sağlama süreci, peering tipleri ve yönlendirme, yedeklilik ve yüksek erişilebilirlik, güvenlik, şifreleme ve hibrit entegrasyon, izleme, sorun giderme ve bağlantı planı.

AWS Direct Connect ile Hibrit Veri Merkezi Bağlantısı eğitimi ise Amazon tarafını kapsar: hibrit bağlantı seçenekleri ve karar kriterleri, kurulum süreci ve fiziksel bağlantı, sanal arayüzler ve ağ geçidi mimarisi, yönlendirme ve trafik kontrolü, yedeklilik, güvenlik ve dayanıklılık, işletim, izleme ve maliyet analizi. Bu eğitimlerin ayrıntıları kendi sayfalarında yayımlanır.