Hücre Seviyesinde Firewall: Transparan Mod mu, Routed Mod mu?

Hücre firewall’u kararı verildiği anda ilk soru şudur: cihaz mevcut IP planına dokunmadan iki switch arasına köprü olarak mı girecek (transparan mod), yoksa hücreye ayrı bir alt ağ verip ağ geçidi mi olacak (routed mod)? Yanlış seçim ya hattı durdurur ya da firewall’u kâğıt üzerinde bırakır. Aşağıda iki modun çalışma mantığını, PROFINET ve EtherNet/IP ile etkileşimini, yedeklilik ve fail-open kararlarını ve devreye alma sırasını OT ağ mühendisi gözüyle anlatıyoruz.

Hücre firewall’u hangi riski azaltır

Zon sınırındaki firewall (örneğin IT ile OT arasındaki DMZ firewall’u) dışarıdan gelen tehdidi keser; OT ağının içinde yayılan bir sorunu ise durdurmaz. Hücre firewall’u bu boşluğu kapatır: bir hücredeki ele geçirilmiş HMI, yanlış yapılandırılmış bir mühendislik dizüstüsü veya yayın fırtınası üreten bir cihaz, diğer hücrelere ve hat seviyesindeki sunuculara ulaşamaz. Sahada üç iş görür:

• Erişim daraltma: Hücreye yalnız SCADA, historian toplayıcısı ve yetkili mühendislik istasyonu, belirli portlardan erişir.
• İşlev kısıtlama: Destekleyen ürünlerde Modbus ve S7 gibi protokollerde okuma ile yazma ayrılır; kural mantığı endüstriyel firewall’da Modbus ve S7 DPI kuralları yazısında.
• Arıza izolasyonu: Hücre içindeki Layer 2 sorunlarının (döngü, yayın fırtınası, hatalı multicast) dışarı taşmasını sınırlar. Ne kadar sınırladığı tamamen moda bağlıdır.

Hücrenin sınırları IEC 62443 zon ve kanal yaklaşımı ile önceden belirlenmiş olmalı; firewall, o zonun kanalı üzerindeki uygulama noktasıdır. Tasarımın değişmez kuralı: gerçek zamanlı kontrol trafiği hücre firewall’undan geçmez, controller ile I/O cihazları aynı hücrede kalır. Firewall’dan yalnız denetim (SCADA/HMI), veri toplama ve mühendislik trafiği geçer. Bunu ihlal eden tasarım, firewall’un her yeniden başlatılmasında I/O hatası üretir.

Transparan modun çalışma mantığı ve sınırları

Transparan modda firewall iki arayüzü arasında bir köprü (bridge) gibi çalışır. Üretim tarafındaki arayüzlerin IP adresi yoktur; hücre ile üst ağ aynı alt ağda kalır. Firewall çerçeveleri iletirken IP katmanında durum tabanlı (stateful) denetim ve ürün destekliyorsa endüstriyel protokol incelemesi yapar. Yönetim ayrı bir yönetim arayüzünden ya da yönetim VLAN’ından yapılır.

En büyük artısı devreye almanın kolaylığıdır: PLC, HMI ve sürücülerde IP adresi, alt ağ maskesi veya ağ geçidi değişmez, PLC projesine dokunulmaz. Düz bir ağa sonradan güvenlik eklenen projelerde karar çoğu zaman bu yüzden transparandan yana çıkar. OEM’i sahaya çağırmadan iş biter.

Bedeli ise mimari düzeydedir:

• Yayın alanı bölünmez. Hücre ile üst ağ aynı yayın alanında kalır. Firewall ARP’yi geçirmek zorundadır; IP dışı EtherType’ları ve yayın/multicast trafiğini ne kadar filtrelediği ürüne bağlıdır. Filtrelenmeyen her Layer 2 trafiği hücre dışına taşabilir.
• IP dışı protokol kararı açıkça verilir. PROFINET RT ve DCP (EtherType 0x8892), MRP (0x88E3), LLDP (0x88CC) gibi çerçeveler IP denetiminden geçmez; firewall’un bunları varsayılan olarak geçirip geçirmediğini doğrulayın, varsaymayın.
• STP etkileşimi. Köprü, BPDU’ları ileten ya da düşüren bir eleman olarak topolojinin parçasıdır. Yedekli yollar varsa döngü riskini firewall’un BPDU davranışı belirler.
• Adres planı iyileşmez. Düz ağın IP karmaşası olduğu gibi kalır. Transparan mod bir geçiş aracıdır, hedef mimari değil.

Routed modun avantajları ve gereksinimleri

Routed modda hücrenin kendi alt ağı vardır ve firewall hücrenin varsayılan ağ geçididir. Layer 2 hücre sınırında fiziksel olarak kesilir: yayın fırtınası, DCP keşif çerçeveleri veya hatalı multicast dışarı çıkamaz. Kurallar alt ağ bazında okunaklı yazılır, loglar anlam taşır ve hücre sayısı arttıkça yapı ölçeklenir. Uzun vadede doğru olan budur.

Gereksinimleri ise sahada en çok atlanan kısımdır:

• Yeniden adresleme: Hücredeki tüm cihazlar yeni alt ağa taşınır; PLC projesindeki IP tanımları, HMI bağlantıları ve SCADA sürücü yapılandırmaları güncellenir. Bu, duruş penceresi ve çoğu zaman makine üreticisinin katılımı demektir.
• Ağ geçidi tanımı: Saha cihazlarında ağ geçidi alanı ya boş bırakılmış ya da yanlış girilmiştir; routed geçişte ilk çıkan arıza neredeyse her zaman budur. Ağ geçidi olmayan cihaz kendi alt ağı dışındaki SCADA’ya yanıt veremez. Ya tüm cihazlarda ağ geçidi düzeltilir ya da firewall üzerinde hücreye giden trafik için kaynak NAT uygulanır; ikinci yol çalışır, ama logda gerçek kaynak adresi kaybolur.
• Mühendislik araçlarının keşfi: TIA Portal’ın erişilebilir cihaz taraması gibi DCP tabanlı keşifler Layer 2’de çalıştığı için yönlendirilmiş sınırı geçmez. Bağlantı IP adresi girilerek kurulur; mühendislik ekibine bunu önceden söyleyin, yoksa ilk gün “firewall PLC’yi kesti” şikâyeti gelir.

Endüstriyel protokollerle uyumluluk: DCP, LLDP ve multicast

Mod seçimini en çok etkileyen şey, hücre sınırından hangi protokolün geçmesi gerektiğidir. Tipik davranışlar:

Trafik	Transparan mod	Routed mod
PROFINET RT (0x8892)	Teknik olarak geçebilir; geçmemeli	Geçmez (Layer 2)
PROFINET DCP keşfi	Ürüne bağlı; açık filtrelenmeli	Geçmez
LLDP (01:80:C2:00:00:0E)	802.1D köprüleri genellikle iletmez	Geçmez
EtherNet/IP implicit I/O (UDP 2222, multicast)	Geçebilir; yayılma riski	Multicast yönlendirme gerekir; unicast tercih edilir
Modbus TCP, S7comm, OPC UA (TCP)	Stateful denetimle geçer	Stateful denetimle geçer

LLDP’nin köprülerce iletilmemesi, PROFINET topoloji teşhisinde firewall’un “kayıp komşu” gibi görünmesine yol açabilir; hücre içindeki topoloji tanımını firewall portunda bitecek şekilde güncelleyin. EtherNet/IP tarafında hücreler arası producer–consumer bağlantısı varsa önce bunun gerçekten gerekip gerekmediğini sorgulayın; gerekiyorsa ve cihazlar destekliyorsa unicast implicit bağlantıya geçin. Multicast’in hücre içinde nasıl sınırlandığı EtherNet/IP multicast ve IGMP snooping yazısında.

Transparan modda IP dışı trafik açıkça ele alınmalıdır. Aşağıdaki örnek, üreticiden bağımsız mantığı göstermek için Linux nftables bridge ailesiyle yazıldı; düz 192.168.10.0/24 ağında hücre PLC’leri .50–.59 aralığında, SCADA .5’te:

table bridge hucre_fw {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    ether type arp accept
    ether type 0x8892 drop    # PROFINET RT/DCP hücre dışına çıkmaz
    ether type 0x88e3 drop    # MRP çerçeveleri hücrede kalır
    ip saddr 192.168.10.5 ip daddr 192.168.10.50-192.168.10.59 tcp dport 102 ct state new accept
    ip saddr 192.168.10.5 ip daddr 192.168.10.50-192.168.10.59 tcp dport 502 ct state new accept
  }
}

Ticari endüstriyel firewall’larda aynı karar “non-IP protocol” veya “Layer 2 filter” ayarlarıyla verilir. Varsayılan davranışı belgeden değil, sahada paket yakalamayla doğrulayın. Kâğıt ile kablo her zaman aynı şeyi söylemez. Sözdiziminin ayrıntıları için nftables wiki birincil kaynaktır.

Yedeklilik, fail-open ve bypass kararları

Hücre firewall’u tasarıma tek arıza noktası olarak girer. Önce şu soruyu cevaplayın: firewall durursa hücrede ne kaybedilir? Kontrol trafiği hücre içinde kalıyorsa makine çalışmaya devam eder; kaybedilen SCADA görünürlüğü, veri toplama ve uzaktan müdahaledir. HMI hücrenin dışındaysa operatör makineyi yönetemez. Bu durumda HMI’yi hücre içine almak, firewall yedekliliğinden daha basit ve daha sağlam bir çözümdür.

• Fail-closed: Firewall arızasında trafik kesilir. Güvenlik açısından doğru varsayılan budur; yukarıdaki tasarım kuralına uyulduysa üretimi durdurmaz.
• Fail-open / donanım bypass: Bazı endüstriyel firewall’larda enerji kesildiğinde portları fiziksel olarak birbirine bağlayan bypass röleleri vardır. Yalnız transparan modda anlamlıdır (routed modda bypass iki farklı alt ağı birleştirir ama yönlendirme sağlamaz). Bypass devreye girdiği anda güvenlik kontrolü tamamen kalkar; bu durum alarm olarak izlenmelidir.
• Aktif/pasif çift: Routed modda ağ geçidi olarak sanal IP kullanılır (VRRP veya üreticinin HA mekanizması). Transparan çiftlerde iki cihazın aynı anda iletmesi Layer 2 döngüsü yaratır; üreticinin HA tasarım kılavuzundan sapmayın.

Hücre bir MRP ringiyse firewall ringin içine değil, ringin üst ağa çıktığı uplink noktasına konur. Ring yapısı için PROFINET MRP ile ring topoloji yazısına bakabilirsiniz.

Karşılaştırma tablosu ve karar kriterleri

Kriter	Transparan	Routed
IP değişikliği	Yok	Gerekir
Layer 2 izolasyonu	Kısmi, ürüne bağlı	Tam
Devreye alma duruşu	Kısa (kablo araya girme)	Yeniden adresleme kadar
Kural okunabilirliği	Host bazlı listeler	Alt ağ bazlı, sade
Bypass seçeneği	Anlamlı	Anlamlı değil
Uzun vadeli hedef mimari	Geçiş çözümü	Uygun

Sahadaki karar kuralı: üretimdeki ve IP değişikliği OEM onayı gerektiren mevcut bir hücrede transparan modla başlayın; hücre bir sonraki büyük revizyonda veya yeniden adreslemeye uygun bir duruşta routed moda taşınsın. Yeni hat ve yeni makine projelerinde baştan routed tasarlayın ve bunu satın alma şartnamesine yazın. Düz ağın hücre hücre bölünmesinde bu kararın hangi sırayla uygulanacağı da aynı geçiş planının parçasıdır.

Devreye alma adımları

Trafik temel çizgisi ve iletişim matrisinin çıkarılması düz OT ağı segmentasyon geçişi yazısında ayrıntılı anlatıldı; burada yalnız hücre firewall’una özgü adımlar var:

1. Temel çizgi ve matris: Hücre uplink’inde SPAN/TAP kaydından IP akışlarına ek olarak hücre sınırını geçen IP dışı EtherType’ları (0x8892, 0x88E3, 0x88CC) ve BPDU’ları ayrıca listeleyin. Mod kararını bu liste verir.
2. Yerleşim ve kablolama: Firewall’u hücre switch’i ile dağıtım switch’i arasına, mümkünse aynı panoya monte edin. Yönetim arayüzünü yönetim ağına bağlayın.
3. İzleme modu: Tüm trafiğe izin veren ama loglayan bir politikayla çalıştırın. Beklenmeyen IP dışı trafiği ve STP davranışını bu aşamada yakalayın.
4. Kural tabanı: İletişim matrisinden en az yetki ilkesine göre kuralları yazın; son kural “deny + log”.
5. Zorlama ve test: Planlı duruşta zorlama moduna geçin; SCADA ekranları, alarm akışı, historian toplama, mühendislik istasyonundan online erişim ve uzaktan destek senaryosunu sırayla test edin. İzleme moduna dönüş adımını önceden yazın.
6. Belgeleme: Kural gerekçelerini, iletişim matrisini ve firewall yapılandırma yedeğini PLC projesiyle birlikte sürümlü saklayın.

Hücre sınırlarının ve iletişim matrisinin çıkarılması için OT siber güvenlik ve segmentasyon, hücre ağının fiziksel tasarımı için endüstriyel Ethernet ve fabrika ağları sayfalarımıza bakabilirsiniz.

Sık sorulan sorular

Transparan modda firewall’a IP adresi hiç verilmez mi?

Üretim tarafındaki köprü arayüzlerine IP verilmez. Yönetim, log gönderimi ve zaman senkronizasyonu için ayrı bir yönetim arayüzünde veya yönetim VLAN’ında bir IP adresi kullanılır; bu adres üretim alt ağında olmamalıdır.

PROFINET hücresinde controller firewall’un dışında kalırsa ne olur?

PROFINET RT Layer 2 trafiğidir ve routed modda firewall’dan geçemez; transparan modda geçse bile çevrim zamanı ve kararlılık firewall’a bağımlı hale gelir. Controller ile I/O cihazları aynı hücrede kalır, firewall’dan yalnız denetim ve veri toplama trafiği geçer.

Her makinenin önüne ayrı firewall mı, hücre başına bir firewall mı koymalı?

Karar zon tanımına bağlı. Aynı risk profiline sahip ve birbiriyle yoğun haberleşen makineler tek hücrede toplanıp tek firewall’la korunabilir. Farklı üreticiden gelen, uzaktan erişimi olan veya farklı güvenlik seviyesi hedefi taşıyan makineler için ayrı firewall daha doğrudur.

Routed moda geçerken PLC’lerin ağ geçidini değiştiremezsem ne yapabilirim?

Firewall üzerinde hücreye giden trafik için kaynak NAT uygulanabilir; PLC, SCADA isteğini kendi alt ağındaki firewall adresinden geliyormuş gibi görür ve ağ geçidine ihtiyaç duymaz. Çalışır, ama PLC tarafındaki loglarda gerçek kaynak görünmez ve kural yönetimi karmaşıklaşır. Kalıcı çözüm ağ geçidini düzeltmektir.