Aruba Dynamic Segmentation: SSID Tabanlı VLAN Yapısının Sonu mu?

Geleneksel SSID-VLAN eşlemesinin sınırı

Geleneksel kurumsal Wi-Fi tasarımında her kullanıcı grubu veya cihaz tipi için ayrı bir SSID açılması ve her SSID'nin sabit bir VLAN'a eşlenmesi yaygın bir uygulamadır: misafir SSID'si misafir VLAN'ına, personel SSID'si personel VLAN'ına, IoT SSID'si IoT VLAN'ına gider. Bu yöntem basit ve anlaşılırdır, ancak ölçek büyüdükçe ve politika ihtiyacı çeşitlendikçe sınırları ortaya çıkar: istemci sayısı sabit kalsa bile her yeni politika ihtiyacı genellikle yeni bir SSID anlamına gelir, bu da havada daha fazla yönetim trafiği (beacon, probe) ve istemci tarafında daha karmaşık bir ağ seçim deneyimi yaratır.

Ayrıca SSID-VLAN sabit eşlemesi, aynı SSID'ye bağlanan farklı rollerdeki kullanıcıları (örneğin aynı personel SSID'sine bağlanan muhasebe ve İK çalışanlarını) birbirinden ayrıştırmakta yetersiz kalır; VLAN ayrımı yapmak isteniyorsa yine ayrı SSID açmak gerekir. Bu durum SSID sayısının zamanla artmasına ve RF ortamının gereksiz yönetim yüküyle dolmasına yol açabilir.

Dynamic Segmentation yaklaşımı

Aruba'nın Dynamic Segmentation yaklaşımı, kullanıcı veya cihazın VLAN'ını SSID'den değil, kimlik doğrulama sırasında elde edilen rol bilgisinden (802.1X, ClearPass politikası gibi mekanizmalarla belirlenen role) türetir. Bu sayede tek bir SSID üzerinden bağlanan farklı kullanıcı grupları, kimliklerine göre farklı VLAN'lara veya farklı trafik politikalarına yönlendirilebilir; SSID sayısını artırmadan politika çeşitliliği sağlanmış olur. Rol bilgisi genellikle ClearPass gibi bir NAC/politika motorundan gelir ve AP veya denetleyici bu role göre trafiği ilgili segmente yönlendirir.

Bu yaklaşımın teknik alt yapısında genellikle tünelleme mekanizmaları (örneğin kullanıcı trafiğinin merkezi bir noktaya taşınması) rol alır; böylece dağıtık AP'lerden gelen trafik, rol bazlı politika uygulanacak merkezi bir noktada ayrıştırılabilir. Bu, özellikle çok şubeli yapılarda merkezi güvenlik politikasının korunmasına yardımcı olur, ancak tünelleme mimarisinin kendisi ek bir tasarım kararı gerektirir ve ağ gecikmesi/bant genişliği planlamasına dahil edilmelidir.

SSID yapısının tamamen ortadan kalkması mı?

Dynamic Segmentation'ın getirdiği değişim, SSID kavramını tamamen ortadan kaldırmaz; amaç SSID sayısını azaltmak ve politika karmaşıklığını SSID katmanından kimlik/rol katmanına taşımaktır. Pratikte kurumlar genellikle yine birkaç SSID (örneğin kurumsal, misafir, IoT) tutmaya devam eder, ancak her SSID içinde rol bazlı ayrıştırma ile daha önce ayrı SSID gerektirecek senaryoları tek SSID altında yönetebilir. Bu nedenle başlıktaki soruya net cevap, 'SSID yapısının sonu' değil, 'SSID'nin tek politika belirleyici olmaktan çıkması' şeklindedir.

Bu geçişin ön koşulu, güçlü bir kimlik doğrulama ve politika altyapısının (802.1X, ClearPass veya benzeri bir NAC çözümü) zaten kurulu olmasıdır; rol bilgisi doğru ve güvenilir şekilde üretilemiyorsa dinamik segmentasyonun temel varsayımı çöker. Bu yüzden bu mimariye geçiş, yalnız Wi-Fi tasarım kararı değil, kimlik yönetimi stratejisiyle birlikte ele alınması gereken bir karardır.

Karar ve geçiş önerisi

Dynamic Segmentation'a geçiş değerlendirilirken önce mevcut SSID sayısının gerçekten politika çeşitliliğinden mi yoksa tarihsel/alışkanlık nedenlerinden mi kaynaklandığı netleştirilmelidir; çoğu kurumda yıllar içinde biriken SSID'lerin bir kısmı artık gerekçesi kalmamış tasarım kalıntılarıdır. İkinci adım, kimlik doğrulama ve rol tanımlama altyapısının (ClearPass politika kuralları) bu geçişi destekleyecek olgunlukta olup olmadığının değerlendirilmesidir; rol tanımları eksikse önce bu altyapı güçlendirilmelidir.

F2'nin saha deneyimi, SSID azaltma ve rol bazlı segmentasyon projelerinde önce mevcut SSID'lerin gerçek amacını envanterleyip gereksiz olanları birleştirmeyi, ardından kimlik altyapısını buna göre tasarlamayı önceliklendirir. Bu sıralama izlenmeden doğrudan Dynamic Segmentation'a geçmek, rol tanımları eksik kaldığında beklenen güvenlik ayrışmasının sağlanamaması riskini taşır.

• SSID azaltmadan önce mevcut SSID'lerin gerçek politika gerekçesini envanterleyin.
• Rol bazlı segmentasyon için güçlü bir 802.1X/ClearPass altyapısı ön koşuldur.
• Tünelleme mimarisini gecikme ve bant genişliği planlamasına dahil edin.
• SSID kavramının tamamen kalkmadığını, sadece tek politika kaynağı olmaktan çıktığını unutmayın.
• Geçişi kimlik yönetimi stratejisiyle birlikte, yalnız Wi-Fi tasarımı olarak değil ele alın.