Narbulut ECS SSL VPN Yapılandırma Kılavuzu

1. Genel Bakış, Ön Koşullar ve Yapılandırma Akışı

SSL VPN, uzak kullanıcıların SSL/TLS şifreleme üzerinden kurumsal ağa güvenli erişim sağlamasına olanak tanır. Sangfor NGAF üzerinde SSL VPN yapılandırmak için aşağıdaki temel kavramları anlamanız gerekir:

Şekil 1 — SSL VPN genel mimarisi

Ön Koşullar

SSL VPN yapılandırmasına başlamadan önce aşağıdaki koşulların karşılandığından emin olun:

• Geçerli bir SSL VPN lisansı
• NGAF cihazının aktif ve erişilebilir olması
• WAN arayüzünde geçerli bir public IP adresi
• Port 4430 ve/veya 443’ün dışarıya açık olması
• Yeterli kullanıcı kotası
• VPN IP havuzu ile mevcut ağ aralıklarında çakışma olmaması

SSL VPN Yapılandırma Akışı

Tam bir SSL VPN yapılandırması 8 temel adımdan oluşur:

1. Deployment — Gateway/Single-Arm modu ve arayüz seçimi
2. Login Options — Portal portu ve TLS ayarları
3. Resources — Erişim kaynakları tanımlama
4. Local Users — Kullanıcı ve grup oluşturma
5. Roles — Kullanıcı-kaynak eşleme
6. Virtual IP Pool — IP havuzu yapılandırma
7. NAT — VPN trafiği için SNAT kuralı
8. Test — İstemci bağlantı testi

2. Deployment (Dağıtım Ayarları)

SSL VPN dağıtım modu, cihazın ağdaki konumuna göre belirlenir. İki temel mod bulunur:

• Gateway Mode: NGAF, ağ geçidi olarak konumlanır. Tüm trafik NGAF üzerinden akar. En yaygın kullanılan moddur.
• Single-Arm Mode: NGAF, mevcut ağ geçidinin yanına paralel olarak konumlanır. Sadece VPN trafiği NGAF üzerinden yönlendirilir.

Şekil 2 — Deployment ayarları: Gateway/Single-Arm modu

Yapılandırma adımları:

1. SSL VPN > Deployment menüsüne gidin
2. Dağıtım modunu seçin (Gateway veya Single-Arm)
3. LAN ve WAN arayüzlerini belirleyin
4. Ayarları kaydedin

3. Kullanıcı ve Grup Yönetimi (Local Users)

SSL VPN kullanıcıları, yerel kullanıcı veritabanında gruplar halinde yönetilir. Her kullanıcı bir gruba ait olmalıdır.

Şekil 3 — Local Users sayfası: kullanıcı ve grup yönetimi

3.1 Grup Oluşturma

1. SSL VPN > Local Users menüsüne gidin
2. Sol paneldeki ağaç yapısında “+” butonuna tıklayın
3. Grup adını girin (örn: “Mühendislik”, “Satış”)
4. Grup açıklamasını ekleyin (isteğe bağlı)
5. OK ile kaydedin

3.2 Kullanıcı Oluşturma

1. Oluşturduğunuz grubu seçin
2. “New” butonuna tıklayın
3. Kullanıcı bilgilerini doldurun: kullanıcı adı, parola, açıklama
4. Hesap süre sonu ayarlayın (isteğe bağlı)
5. OK ile kaydedin

4. Kaynak Tanımlama ve Rol Atama

VPN üzerinden erişilecek kaynakları tanımlayın ve kullanıcı gruplarıyla eşleştirin.

4.1 Kaynak Türleri

Şekil 4 — Resources sayfası: kaynak tanımlama

4.2 Resource Group Oluşturma

1. SSL VPN > Resources menüsüne gidin
2. Resource Group sekmesinde “New” tıklayın
3. Grup adı girin (örn: “Sunucu Erişimi”, “Web Uygulamaları”)
4. OK ile kaydedin

4.3 Resource Oluşturma

1. Resource sekmesinde “New” tıklayın
2. Kaynak türünü seçin (L3VPN App, TCP App veya Web App)
3. Kaynak detaylarını doldurun (IP, port, URL vb.)
4. Kaynağı bir Resource Group’a atayın
5. OK ile kaydedin

4.4 Rol Atama (Roles)

Roller, kullanıcı grupları ile kaynak grupları arasındaki eşlemeyi tanımlar. Her rol, hangi kullanıcıların hangi kaynaklara erişebileceğini belirler.

Şekil 5 — Roles yapılandırması: kullanıcı-kaynak eşleme

1. SSL VPN > Roles menüsüne gidin
2. “New” butonuna tıklayın
3. Rol adı girin
4. User Group alanında ilgili kullanıcı grubunu seçin
5. Resource Group alanında ilgili kaynak grubunu seçin
6. OK ile kaydedin

5. Login Options, Virtual IP Pool ve Authentication

5.1 Login Options

SSL VPN portalına erişim için portal portunun ve TLS ayarlarının yapılandırılması gerekir.

Şekil 6 — Login Options: portal port ve TLS ayarları

1. SSL VPN > Login Options menüsüne gidin
2. Portal Port ayarını belirleyin (varsayılan: 4430)
3. TLS versiyonunu seçin (TLS 1.2 veya üzeri önerilir)
4. Şifreleme algoritmasını yapılandırın
5. OK ile kaydedin

5.2 Virtual IP Pool

VPN ile bağlanan istemcilere atanacak IP adresi havuzunu tanımlayın. Bu IP aralığı, mevcut LAN ağınızla çakışmamalıdır.

Şekil 7 — Virtual IP Pool yapılandırması

1. SSL VPN > Virtual IP Pool menüsüne gidin
2. “New” butonuna tıklayın
3. IP havuzu adı girin
4. Başlangıç ve bitiş IP adreslerini belirleyin
5. Subnet mask’ı ayarlayın
6. OK ile kaydedin

5.3 Authentication (Kimlik Doğrulama)

Kullanıcı kimlik doğrulama yöntemini ve ayarlarını yapılandırın.

Şekil 8 — Authentication ayarları

• Local Authentication: NGAF yerel kullanıcı veritabanını kullanır
• LDAP/AD Authentication: Active Directory veya LDAP sunucusu ile entegrasyon
• RADIUS Authentication: RADIUS sunucusu üzerinden kimlik doğrulama
• Certificate Authentication: Dijital sertifika tabanlı doğrulama

6. Portal Özelleştirme ve Sertifika Yönetimi

6.1 Portal Özelleştirme

SSL VPN giriş portalının görünümünü özelleştirerek kurumsal kimliğinize uygun hale getirebilirsiniz:

• Logo: Şirket logonuzu yükleyin
• Başlık: Portal başlığını değiştirin
• Arka Plan: Giriş sayfası arka plan görselini ayarlayın
• Duyuru: Kullanıcılara gösterilecek bilgilendirme metni ekleyin

6.2 Sertifika Yönetimi

SSL VPN bağlantısının güvenliği için sertifika yapılandırmasını tamamlayın:

1. Varsayılan Sertifika: NGAF, otomatik olarak self-signed sertifika oluşturur. Test ortamı için uygundur.
2. Özel Sertifika: Üretim ortamı için güvenilir bir CA’dan alınmış sertifika yükleyin.
3. Let’s Encrypt: Ücretsiz sertifika otomasyonu için desteklenir.

7. NAT, İstemci Bağlantısı ve Kullanıcı İzleme

7.1 NAT Yapılandırması

VPN istemcilerinin iç ağ kaynaklarına erişebilmesi için SNAT kuralı oluşturulması gerekir:

Şekil 9 — NAT yapılandırması: VPN trafiği için SNAT kuralı

1. Network > NAT menüsüne gidin
2. “New” butonuna tıklayın
3. Source Zone: SSL VPN zone’u seçin
4. Destination Zone: LAN zone’u seçin
5. Source IP: Virtual IP Pool aralığını girin
6. Translation: Outgoing Interface Address seçin
7. OK ile kaydedin

7.2 İstemci Bağlantısı (EasyConnect)

Yapılandırma tamamlandıktan sonra istemci bağlantısını test edin:

Şekil 10 — EasyConnect istemci bağlantısı ve çevrimiçi kullanıcılar

1. İstemci bilgisayarda EasyConnect uygulamasını indirin ve kurun
2. Sunucu adresini girin: https://<WAN-IP>:4430
3. Kullanıcı adı ve parolayı girin
4. Connect butonuna tıklayın
5. Bağlantı durumunun “Connected” olduğunu doğrulayın
6. İç ağ kaynaklarına erişimi test edin (ping, RDP, web vb.)

7.3 Çevrimiçi Kullanıcı İzleme

Aktif VPN oturumlarını izlemek ve yönetmek için:

• SSL VPN > Online Users menüsüne gidin
• Bağlı kullanıcıları, atanan IP’leri, oturum süresini ve bant genişliği kullanımını görüntüleyin
• Gerektiğinde kullanıcı oturumunu sonlandırabilirsiniz (Kick)

8. En İyi Uygulamalar ve Sorun Giderme

En İyi Uygulamalar

• En az yetki ilkesi: Kullanıcılara yalnızca ihtiyaç duydukları kaynaklara erişim verin
• Güçlü parola politikası: Minimum 8 karakter, büyük/küçük harf, rakam ve özel karakter zorunluluğu
• MFA etkinleştirme: Çok faktörlü kimlik doğrulama ile güvenliği artırın
• Düzenli denetim: Çevrimiçi kullanıcıları ve erişim loglarını periyodik olarak inceleyin
• Sertifika yönetimi: Güvenilir CA sertifikası kullanın ve süre dolumunu takip edin
• IP havuzu planlama: Mevcut ağla çakışmayan ayrı bir subnet tahsis edin
• Firmware güncellemeleri: NGAF firmware’ini güncel tutarak güvenlik yamalarını uygulayın

Sorun Giderme