Kapsamda neler var?
- Mevcut uzaktan erişim yapısı ve risk ön değerlendirmesi
- FortiOS sürümü ve SSL VPN geçiş ihtiyacının kontrolü
- Uygulama ve kullanıcı grubu erişim envanteri
- IPsec VPN, ZTNA veya SASE için hedef mimari önerisi
- Tüm uzaktan erişim hesaplarında MFA devreye alma
- Pilot grup ile başlangıç ve kademeli geçiş
- Kullanıcı rehberi, yönetici dokümanı ve devir
ZTNA nedir?
ZTNA (Zero Trust Network Access, sıfır güven ağ erişimi), uzaktaki kullanıcıya ağın tamamına değil, yalnızca yetkilendirildiği uygulamalara erişim veren güvenli uzaktan erişim yaklaşımıdır. Her bağlantıda kullanıcının kimliği, cihazın güvenlik durumu ve bağlam (konum, saat gibi) kontrol edilir. Klasik VPN'de bağlanan kullanıcı çoğu zaman ağın geniş bir bölümünü görebilirken, ZTNA'da yalnızca izin verilen uygulamayı görür.
Bu fark, çalınan bir kullanıcı hesabının veya ele geçirilmiş bir dizüstü bilgisayarın kurum ağında ne kadar ilerleyebileceğini doğrudan belirler.
SSL VPN ve IPsec VPN arasındaki fark nedir?
VPN (Virtual Private Network, sanal özel ağ), internet üzerinden kurum ağına şifreli bir tünel açar. Uzaktan erişimde iki yaygın türü vardır:
- IPsec VPN: Ağ katmanında çalışır; şubeler arası bağlantılarda standarttır ve uzaktan erişim istemcileriyle de kullanılır. Bazı ağlarda gerekli portların kısıtlı olması bağlantı sorunlarına yol açabilir.
- SSL VPN: HTTPS üzerinden çalıştığı için kısıtlı ağlardan kolay bağlanır. Web (portal) modu ve tünel modu bulunur.
Fortinet, yeni FortiOS sürümlerinde SSL VPN tünel modunu kademeli olarak kaldırıyor ve kullanıcıları IPsec VPN veya ZTNA alternatiflerine yönlendiriyor; cihazınızdaki sürüm için resmi sürüm notları kontrol edilmeli. FortiGate üzerinde SSL VPN kullanan kurumların, güncelleme planlamadan önce geçiş yolunu belirlemesi gerekir. Ayrıca internete açık VPN arayüzleri saldırganların sık hedeflediği noktalardır; FortiOS ve FortiClient güncellemelerinin takibi bu nedenle önemlidir.
VPN, ZTNA ve SASE arasındaki fark nedir?
SASE (Secure Access Service Edge), güvenli uzaktan erişimi, web güvenliğini, bulut uygulama güvenliğini ve SD-WAN'ı bulut üzerinden sunulan tek bir hizmette birleştiren mimaridir. ZTNA genellikle SASE'nin bileşenlerinden biridir. Üç yaklaşımın karşılaştırması:
| Kriter | VPN (SSL / IPsec) | ZTNA | SASE |
|---|---|---|---|
| Erişim kapsamı | Ağ seviyesinde, kurala göre geniş olabilir | Yalnızca izin verilen uygulamalar | Uygulamalar + internet + bulut servisleri |
| Kontrol noktası | Kurumdaki güvenlik duvarı | Güvenlik duvarı veya bulut proxy | Bulut tabanlı güvenlik noktaları |
| Cihaz durumu kontrolü | Sınırlı veya ek yapılandırmayla | Her bağlantıda temel işlev | Temel işlev |
| Kullanıcının internet trafiği | Genellikle doğrudan çıkar veya merkeze taşınır | Uygulama erişimine odaklıdır | Bulutta denetlenir |
| Tipik kullanım | Az sayıda uzaktan kullanıcı, şube bağlantısı | Hibrit çalışma, dış firma erişimi | Çok lokasyonlu, bulut ağırlıklı kurumlar |
| Geçiş eforu | Düşük, mevcut cihazla mümkün | Orta, uygulama envanteri gerekir | Daha yüksek, mimari değişiklik gerekir |
Fortinet ekosisteminde ZTNA, FortiGate ve FortiClient ile; SASE ise FortiSASE ile kurgulanabilir. Hangi özelliklerin hangi lisansla geldiği için üreticinin güncel paket tablosu esas alınır.
VPN'de MFA neden zorunlu olmalı?
İnternete açık bir VPN girişi yalnızca kullanıcı adı ve parolayla korunuyorsa, sızdırılmış veya tahmin edilen tek bir parola kurum ağına erişim için yeterli olabilir. Bu yüzden VPN ve tüm uzaktan erişim yöntemlerinde MFA (çok faktörlü kimlik doğrulama) bir tercih değil, temel gerekliliktir. Yönetici hesapları için oltalamaya dayanıklı yöntemler tercih edilmelidir; seçenekleri kimlik ve erişim yönetimi sayfamızda karşılaştırıyoruz.
MFA'ya ek olarak şu önlemler uzaktan erişimi güçlendirir:
- VPN kullanıcılarına ağın tamamı yerine yalnızca gereken sunuculara erişim verilmesi
- Kurum dışı cihazlardan bağlantının kısıtlanması veya cihaz durumu kontrolü
- Başarısız giriş denemelerinin izlenmesi ve gerekirse coğrafi kısıtlama
- Kullanılmayan VPN hesaplarının kapatılması
- VPN cihazının yazılımının güncel tutulması
Hangi yaklaşım size uygun?
Az sayıda uzaktan çalışanı olan ve uygulamaları kurum içinde barındıran bir KOBİ için MFA ile korunan, iyi yapılandırılmış bir IPsec VPN çoğu zaman yeterli başlangıçtır. Hibrit çalışma yaygınsa, dış firmalar sistemlere erişiyorsa veya cihaz durumuna göre erişim isteniyorsa ZTNA değerlendirilmelidir. Uygulamaların büyük kısmı bulutta, kullanıcılar dağınık ve şube sayısı fazlaysa SASE mimarisi gündeme gelir. Geçiş tek seferde olmak zorunda değildir; kritik uygulamalardan başlayarak kademeli ilerlenebilir.
FortiGate VPN için FortiClient nedir?
FortiClient, kullanıcı bilgisayarlarına kurulan ve FortiGate ile IPsec VPN veya ZTNA bağlantısı kurmayı sağlayan istemci yazılımıdır. Ücretsiz VPN istemcisi temel bağlantı işlevlerini sunar; ZTNA, cihaz durumu kontrolü ve merkezi yönetim gibi özellikler ise lisanslı sürümlerde ve FortiClient EMS yönetim sunucusuyla gelir. Hangi özelliğin hangi lisansla sunulduğu zamanla değişebileceği için üreticinin güncel dokümanları esas alınır. İstemci sürümünün FortiOS sürümüyle uyumlu olması da kontrol edilmelidir.
Dış firmalara uzaktan erişim nasıl verilmeli?
Yazılım, bakım veya muhasebe firmalarına verilen uzaktan erişim, kurum ağına açılan ve çoğu zaman en az denetlenen kapılardan biridir. Dış firmaya ait bir hesabın ele geçirilmesi, doğrudan sizin sistemlerinize erişim anlamına gelebilir. Bu erişimler için şu ilkeler uygulanır:
- Her dış firma çalışanına kişisel hesap verilmesi; ortak hesap kullanılmaması
- Erişimin yalnızca ilgili sunucu veya uygulamayla sınırlandırılması
- Erişimin süreli olması ya da iş bitiminde kapatılması
- MFA'nın dış kullanıcılar için de zorunlu tutulması
- Oturumların kayıt altına alınması ve düzenli gözden geçirilmesi
ZTNA, uygulama bazlı ve koşullu erişim sağladığı için dış firma senaryolarında VPN'e göre daha kontrollü bir yapı sunar.
Uzaktan erişimde kayıt ve izleme neden önemli?
Uzaktan erişim kayıtları, bir güvenlik olayında "kim, ne zaman, nereden bağlandı" sorusunun cevabıdır. Başarısız giriş denemelerindeki artış, olağan dışı saatlerde veya beklenmedik ülkelerden yapılan bağlantılar, aynı hesabın aynı anda farklı yerlerden kullanılması gibi işaretler erken uyarı niteliği taşır. Bu kayıtların güvenlik duvarında kısa süre tutulması yerine merkezi bir kayıt sisteminde saklanması ve düzenli incelenmesi önerilir.
Kimler için uygun?
- FortiGate üzerinde SSL VPN kullanan ve geçiş planı yapması gereken kurumlar
- Uzaktan erişimde hâlâ yalnızca parola kullanan şirketler
- Hibrit çalışan ve kurum dışı cihazlardan bağlanan personeli olan işletmeler
- Yazılım, bakım veya muhasebe firmalarına sistem erişimi veren kurumlar
- Çok şubeli ve bulut uygulamalarına geçen perakende, lojistik ve hizmet şirketleri
Süreç nasıl işler?
- Mevcut durum analizi: VPN türü, kullanıcı sayısı, erişilen uygulamalar, MFA durumu ve cihaz yazılım sürümü incelenir.
- Uygulama ve kullanıcı envanteri: Hangi kullanıcı grubunun hangi uygulamaya erişmesi gerektiği çıkarılır.
- Hedef mimari: IPsec VPN, ZTNA veya SASE seçeneklerinden ihtiyaca uygun olan, gerekçeleriyle önerilir.
- MFA ve erişim politikaları: Tüm uzaktan erişim hesaplarında MFA devreye alınır, erişim kuralları daraltılır.
- Pilot: Sınırlı bir kullanıcı grubunda yeni yapı test edilir; istemci kurulumu ve bağlantı deneyimi doğrulanır.
- Geçiş: Kullanıcılar gruplar halinde yeni yapıya taşınır; eski erişim yöntemi kontrollü şekilde kapatılır.
- Dokümantasyon ve devir: Kullanıcı rehberi, yönetici dokümanı ve erişim matrisi teslim edilir.
Uzaktan erişim yapılandırması genellikle güvenlik duvarı kurulumunun bir parçasıdır; ayrıntılar için FortiGate firewall ve firewall kurulumu ve yapılandırma sayfalarına bakabilirsiniz. Mevcut cihazınızın lisans durumu için FortiGate lisans yenileme sayfamız yol gösterir.
Uzaktan erişim yapınızı ve geçiş seçeneklerinizi birlikte değerlendirelim: güvenli uzaktan erişim için teklif isteyin.
Güvenli Uzaktan Erişim (VPN, ZTNA ve SASE): sık sorulanlar
ZTNA nedir?
ZTNA (Zero Trust Network Access), kullanıcıya ağın tamamı yerine yalnızca izin verilen uygulamalara erişim veren uzaktan erişim yaklaşımıdır. Her bağlantıda kullanıcı kimliği ve cihazın güvenlik durumu kontrol edilir. Böylece ele geçirilmiş bir hesabın ağda ilerleme alanı daralır.
SSL VPN ile IPsec VPN arasındaki fark nedir?
IPsec VPN ağ katmanında çalışır ve şubeler arası bağlantılarda standarttır. SSL VPN HTTPS üzerinden çalıştığı için kısıtlı ağlardan kolay bağlanır. FortiGate kullanıcıları, yeni FortiOS sürümlerinde SSL VPN tünel modunun kademeli olarak kaldırıldığını dikkate alarak resmi sürüm notlarını kontrol etmelidir.
FortiGate SSL VPN kullanıyorum, ne yapmalıyım?
Önce cihazınızın modelini ve FortiOS sürümünü, ardından planladığınız güncellemenin sürüm notlarını kontrol edin. Fortinet SSL VPN tünel modu yerine IPsec VPN veya ZTNA alternatiflerini önermektedir. Güncellemeden önce kullanıcı gruplarını kapsayan bir geçiş planı hazırlanması kesinti riskini azaltır.
SASE nedir?
SASE (Secure Access Service Edge), güvenli uzaktan erişim, web güvenliği, bulut uygulama güvenliği ve SD-WAN işlevlerini bulut üzerinden sunulan tek bir hizmette birleştiren mimaridir. Kullanıcı nerede olursa olsun trafiği bulut tabanlı güvenlik noktalarında denetlenir. Çok lokasyonlu ve bulut ağırlıklı kurumlar için değerlendirilir.
VPN için MFA şart mı?
Evet, internete açık bir VPN girişinin yalnızca parolayla korunması ciddi bir risktir; tek bir sızdırılmış parola ağa erişim için yeterli olabilir. MFA bu riski önemli ölçüde azaltır. Yönetici hesapları için oltalamaya dayanıklı yöntemler tercih edilmelidir.
VPN'den ZTNA'ya geçiş tek seferde mi yapılmalı?
Hayır, geçiş kademeli yapılabilir. Genellikle kritik uygulamalar ve dış firma erişimleri ile başlanır, VPN bir süre paralel olarak çalışmaya devam eder. Uygulama ve kullanıcı envanteri çıkarıldıktan sonra gruplar halinde ilerlenir.
Fortinet, FortiGate, FortiClient, FortiSASE, FortiOS adları ilgili sahiplerinin ticari markalarıdır ve bu sayfada yalnızca ürünleri tanımlamak amacıyla kullanılmıştır. Teknik özellikler ve lisans içerikleri üretici tarafından değiştirilebilir; kesin bilgi için güncel üretici dokümantasyonu esas alınır.
