Eski Firewall'dan FortiGate'e Geçiş: Kesintisiz Taşıma Planı

Firewall değişimi kesintisiz yapılabilir mi?

Firewall değişimi, iyi planlandığında iş saatlerini etkilemeden, kısa ve önceden duyurulmuş bir bakım penceresi içinde tamamlanabilir. Güvenlik duvarı ağın tam ortasında durduğu için geçiş anında kısa bir kesinti çoğu zaman kaçınılmazdır; ancak hedef, bu kesintiyi planlı, ölçülü ve geri alınabilir hale getirmektir. Kesintiyi uzatan şey genellikle cihazın kendisi değil, unutulan bir kural, eksik bir VPN ayarı veya geri dönüş planının olmamasıdır.

Bu yazıda eski bir güvenlik duvarından FortiGate güvenlik duvarına geçişi yedi aşamada anlatıyoruz: envanter ve kural dışa aktarımı, temizlik, eşleştirme, test ortamında doğrulama, geçiş penceresi, geri dönüş planı ve geçiş sonrası kontroller.

Geçiş planı hangi aşamalardan oluşur?

Geçiş planı, her aşamanın somut bir çıktısı olduğunda yönetilebilir hale gelir. Aşağıdaki tablo aşamaları ve beklenen çıktıları özetler.

Envanter ve kural dışa aktarımında neler toplanmalı?

İlk adım, eski güvenlik duvarının yaptığı her işi eksiksiz listelemektir. Yalnızca kural tablosu yeterli değildir; cihaz çoğu zaman fark edilmeyen başka görevler de üstlenmiştir.

• Tam yapılandırma yedeği (dosya olarak, güvenli bir yerde)
• Güvenlik kuralları, adres ve servis nesneleri, gruplar
• NAT ve dışarı yayınlanan servisler (port yönlendirmeleri, statik eşlemeler)
• Şubeler arası VPN tünelleri ve karşı taraf bilgileri
• Uzaktan erişim VPN yapılandırması, kullanıcı grupları ve sertifikalar
• Arayüzler, VLAN'lar, statik ve dinamik yönlendirmeler
• Cihazın verdiği ek servisler: DHCP, DNS yönlendirme, zaman eşitleme (NTP)
• Kimlik dizini (Active Directory / LDAP) ve çok faktörlü doğrulama entegrasyonları
• Log hedefleri ve mevzuat gereği yapılan log saklama ayarları
• Kural kullanım istatistikleri (varsa, hangi kuralın ne zaman eşleştiği)

Kural temizliği neden geçişten önce yapılmalı?

Kural temizliği, geçişin en çok değer katan ve en çok atlanan adımıdır. Yıllar içinde eklenmiş, artık kullanılmayan veya "geçici" diye açılıp unutulmuş kurallar yeni cihaza birebir taşındığında, eski sorunlar da yeni cihaza taşınmış olur.

Temizlikte şunlara bakılır:

• Hiç eşleşmeyen kurallar: Kullanım istatistiği olmayan kurallar sahipleriyle teyit edilip kaldırılır.
• Aşırı geniş kurallar: "Her yerden her yere her servis" türündeki kurallar daraltılır.
• Çakışan ve gölgelenen kurallar: Üstteki bir kural nedeniyle hiç çalışmayan kurallar ayıklanır.
• Sahipsiz nesneler: Kullanılmayan adres ve servis nesneleri silinir.

Her kaldırma kararı yazılı olarak kayda geçirilmelidir; böylece geçiş sonrası bir erişim sorunu çıkarsa neden kaldırıldığı hızlıca görülebilir.

Eski yapılandırma FortiGate'e nasıl eşleştirilir?

Eşleştirme, eski cihazdaki her öğenin FortiGate üzerindeki karşılığının belirlenmesidir. Farklı üreticiler kavramları farklı adlandırır ve farklı mantıkla işler; bu nedenle birebir kopyalama yerine bilinçli bir çeviri yapılır.

Fortinet, bazı üreticilerin yapılandırmalarını dönüştürmeye yardımcı olan araçlar (ör. FortiConverter) sunar. Desteklenen kaynak cihazlar ve kullanım koşulları için güncel üretici dokümantasyonuna bakılmalıdır. Otomatik dönüşüm kullanılsa bile çıktının satır satır gözden geçirilmesi gerekir; özellikle NAT, VPN ve kimlik tabanlı kurallarda farklılıklar olabilir.

Bu aşamada yeni cihazın ihtiyaca uygun boyutta olduğunu da teyit etmek gerekir. Model seçimi henüz yapılmadıysa FortiGate model seçimi için toplanacak 12 bilgi yazımız ve FortiGate modelleri ve seçim rehberi sayfamız yardımcı olur.

Test ortamında neler doğrulanmalı?

Yeni yapılandırma, canlı ağa bağlanmadan önce izole bir test ortamında denenmelidir. Amaç, geçiş gecesinde ilk kez karşılaşılacak sorunları önceden görmektir.

• Kritik iş uygulamalarına erişim (ERP, muhasebe, dosya sunucusu)
• Dışarıya yayınlanan servislerin NAT ve kural davranışı
• Kimlik dizini entegrasyonu ve kullanıcı bazlı kurallar
• Uzaktan erişim VPN bağlantısı ve kullanıcı deneyimi
• Güvenlik profillerinin (IPS, web filtreleme) meşru trafiği engellemediği
• FortiOS sürümünün hedeflenen ve desteklenen bir sürüm olduğu

Uzaktan erişim yöntemi değişecekse (ör. SSL VPN yerine IPsec veya ZTNA), seçenekler için SSL VPN, IPsec VPN ve ZTNA karşılaştırması yazımıza bakabilirsiniz.

Geçiş penceresi nasıl planlanır?

Geçiş penceresi, iş etkisinin en düşük olduğu zamana, ilgili herkesin ulaşılabilir olduğu bir saate planlanır ve önceden duyurulur.

Pencere öncesi:

• Geçiş saati, beklenen kesinti ve iletişim kanalı kullanıcılara duyurulur.
• Şube ve iş ortağı VPN'lerinin karşı tarafındaki yöneticilere haber verilir; değişecek ayarlar önceden paylaşılır.
• İnternet servis sağlayıcısının destek hattı bilgileri hazır tutulur.
• Eski cihazın son yapılandırma yedeği alınır.

Pencere sırasında dikkat edilmesi gereken pratik bir nokta: dış IP adresleri aynı kalsa bile, servis sağlayıcının modem veya yönlendiricisi eski cihazın donanım (MAC) adresini bir süre önbellekte tutabilir. Bu durumda trafik yeni cihaza ulaşmayabilir; modemin yeniden başlatılması veya servis sağlayıcıdan önbelleğin temizlenmesi gerekebilir.

Geri dönüş planı nasıl hazırlanır?

Geri dönüş planı, geçiş başarısız olursa eski cihaza dönmek için önceden yazılmış adımlardır. Planın en önemli parçası, "ne zaman geri döneceğiz?" sorusunun cevabıdır.

• [ ] Eski cihaz, yapılandırması değiştirilmeden ve kabloları etiketlenmiş halde yerinde bekletiliyor
• [ ] Geri dönüş için son karar saati belirlendi (ör. pencerenin belirli bir noktası)
• [ ] Geri dönüş kriterleri yazılı: hangi servis çalışmazsa geri dönülecek
• [ ] Geri dönüş adımları sırasıyla yazıldı ve sorumlusu belli
• [ ] Geri dönüş kararı verecek kişi pencere boyunca ulaşılabilir

Eski cihaz, yeni yapı birkaç iş günü sorunsuz çalışana kadar sökülmemelidir.

Geçiş sonrası hangi kontroller yapılmalı?

Geçiş sonrası kontroller, yalnızca "internet var mı?" sorusuyla sınırlı kalmamalıdır. İlk iş gününde ve ilk hafta içinde şu kontroller yapılır:

• [ ] Tüm şube ve iş ortağı VPN tünelleri ayakta
• [ ] Uzaktan erişim kullanıcıları bağlanabiliyor
• [ ] Dışarı yayınlanan servisler erişilebilir
• [ ] Kritik iş uygulamaları sorunsuz çalışıyor
• [ ] Loglar beklenen hedefe akıyor ve saklama ayarları doğru
• [ ] Engellenen trafik logları incelendi, meşru trafik engellenmiyor
• [ ] Lisans ve güvenlik servisleri panelde aktif görünüyor
• [ ] Yönetim erişimi yalnızca izin verilen adreslerle sınırlı
• [ ] Güncel yapılandırma yedeği alındı, ağ şeması ve kural tablosu güncellendi

Geçiş ekibinde kimler yer almalı?

Geçişin başarısı, teknik yapılandırma kadar doğru kişilerin doğru zamanda ulaşılabilir olmasına da bağlıdır. Küçük bir ekip bile olsa rollerin önceden yazılması önerilir:

• Geçiş sorumlusu: Pencereyi yöneten, adımları sırayla yürüten kişi.
• Karar verici: Geri dönüş kararını verme yetkisi olan yönetici.
• Uygulama sahipleri: Kritik uygulamaları geçiş sonrası test edecek kullanıcılar.
• Dış iletişim: Servis sağlayıcı ve VPN karşı taraf yöneticileriyle iletişimi yürüten kişi.

Kimler için uygundur?

Bu plan; desteği sona eren bir güvenlik duvarını değiştiren, farklı bir üreticiden FortiGate'e geçen veya şubelerindeki cihazları standartlaştıran kurumlar için hazırlanmıştır. Cihazınızın destek takvimini değerlendirmek için FortiGate end of life takvimi nasıl okunur? yazımıza bakabilirsiniz.

Süreç nasıl işler?

Geçiş projelerinde önce mevcut yapılandırmayı ve kural kullanımını inceler, temizlik önerilerini sizinle birlikte onaylar, eşleştirme ve testten sonra geçişi planlı pencerede yaparız. Kapsamın ayrıntıları firewall kurulumu ve yapılandırma sayfamızda yer alır.

Sonuç

Firewall değişimi; envanter, temizlik, eşleştirme, test, planlı geçiş penceresi, yazılı geri dönüş planı ve geçiş sonrası kontrollerle yönetilebilir bir projeye dönüşür. Bu adımlar atlanmadığında kesinti kısa ve öngörülebilir kalır, yeni cihaz da eski sorunları devralmadan devreye girer.

Mevcut güvenlik duvarınızdan FortiGate'e geçişi planlamak için firewall teklif formunu doldurabilirsiniz; mevcut cihaz modeli ve yaklaşık kural sayısını paylaşmanız ilk değerlendirme için yeterlidir.