OT Ağ Cihazları için Yönetim Ağı ve Out-of-Band Erişim Tasarımı

Ring’de bir döngü oluştu, yayın fırtınası başladı ve switch’e SSH ile bağlanmak istiyorsunuz. Bağlanamazsınız, çünkü yönetim trafiğiniz arızanın ta kendisi olan ağdan geçiyor. OT ağındaki switch, firewall, router ve protokol ağ geçitleri iki tür trafik taşır: üretim trafiği ve cihazların kendilerini yönetmek için kullanılan trafik. Çoğu tesiste ikisi aynı ağda, hatta aynı VLAN’da akar. Aşağıda OT ağ cihazlarının yönetim düzlemini üretimden ayırmayı anlatıyoruz: yönetim VLAN’ı ve VRF, out-of-band ağ ve konsol sunucusu, yönetim protokollerinin sıkılaştırılması ve yönetim istasyonunun yeri. Üretim trafiğinin segmentasyonu ayrı yazılarda; burada konu yalnız yönetim erişimi.

Yönetim düzlemi neden ayrılmalıdır

Üç somut gerekçe var.

Saldırı yüzeyi: Bir switch’in SSH, web arayüzü veya SNMP servisine üretim VLAN’ındaki her cihaz ulaşabiliyorsa, ele geçirilmiş bir HMI veya mühendislik istasyonu ağ cihazlarını hedef alabilir. Ağ cihazını ele geçiren, trafiği yönlendirebilir, port yansıtmayla dinleyebilir ya da ring yapısını bozabilir. Tek cihaz, bütün hat.

Arıza anında erişim: Üretim ağında bir döngü, yayın fırtınası veya hatalı bir VLAN değişikliği olduğunda aynı ağ üzerinden cihaza ulaşmak mümkün olmayabilir. Arızayı giderecek erişim, arızadan etkilenmemelidir.

Değişiklik güvenliği: Segmentasyon projelerinde VLAN ve adres değişiklikleri yapılırken yönetim bağlantısı değiştirilen yapının dışında kalmalıdır. Kalmazsa yanlış bir komut cihaza erişimi keser ve iş sahaya gitmeye kalır. Sahada en sık yaşanan senaryo budur: trunk’tan yönetim VLAN’ı yanlışlıkla çıkarılır, oturum donar, cihaz uzakta bir panodadır. Bu yüzden düz OT ağını segmentlere ayırma planında yönetim ağı ilk dalgadır.

In-band yönetim VLAN’ı ve VRF yaklaşımı

En yaygın ilk adım, tüm ağ cihazlarının yönetim arayüzlerini ayrı bir yönetim VLAN’ına almaktır. Erişim switch’lerinde yönetim IP adresi yalnız bu VLAN’ın arayüzünde tanımlanır; üretim VLAN’larında switch’in IP adresi bulunmaz. Yönetim VLAN’ı trunk’lar üzerinden taşındığı için fiziksel olarak aynı bağlantıları kullanır; adı bu yüzden “in-band”dir.

Katman 3 switch veya router üzerinde ise yönetim VLAN’ının arayüzü, varsayılan olarak üretim VLAN’larıyla aynı yönlendirme tablosundadır. ACL yazılmadıkça üretim VLAN’larından yönetim ağına yönlendirme yoluyla ulaşılabilir. Ayrı VLAN, ayrı ağ demek değildir. VRF (Virtual Routing and Forwarding) yönetim için ayrı bir yönlendirme tablosu oluşturarak bunu çözer: yönetim VRF’i içindeki arayüzlerle üretim arayüzleri arasında, açıkça bir sızdırma (route leaking) tanımlanmadıkça yol yoktur.

VRF desteği her cihazda yoktur. Pek çok Katman 2 endüstriyel switch yalnız tek bir yönetim arayüzü ve varsayılan ağ geçidi sunar; bu cihazlarda ayrım, yönetim VLAN’ı ve onu yönlendiren Katman 3 cihazdaki VRF veya ACL ile sağlanır. Bazı cihazlarda fiziksel olarak ayrı bir yönetim portu bulunur; bu port genellikle kendi yönlendirme tablosuyla çalışır ve out-of-band ağa bağlanmak için uygundur.

Out-of-band ağ ve konsol sunucusu

Out-of-band (OOB) yönetimde yönetim trafiği üretim ağının hiçbir bağlantısını ve cihazını kullanmaz. İki bileşeni vardır:

• Ayrı yönetim ağı: Cihazların ayrı yönetim portları, yalnız bu iş için kurulmuş switch’ler üzerinden yönetim istasyonlarına bağlanır. Bu ağ üretim ağıyla hiçbir noktada köprülenmez.
• Konsol sunucusu: Kritik cihazların seri konsol portları bir konsol sunucusuna bağlanır. Cihazın IP yapılandırması tamamen bozulsa, yazılım güncellemesi yarıda kalsa ya da cihaz önyüklemede takılsa bile konsoldan erişilir. Firmware güncellemesi sırasında açık bir konsol oturumu, cihazın neden açılmadığını sahaya gitmeden görmenin tek yoludur.

OOB’nin bedeli var: ek kablo, ek switch, konsol sunucuları ve bunların bakımı. Bu yüzden kademeli uygulanır. Çekirdek switch’ler, IT/OT sınır firewall’ları, hücre firewall’ları ve ring yöneticisi rolündeki switch’ler OOB’ye alınır; hücre içindeki çok sayıdaki erişim switch’i in-band yönetim VLAN’ı ile yönetilir.

Uzak tesislerde konsol sunucusuna hücresel modemle yedek erişim eklemek yaygın bir tercihtir. Bu OT’ye yeni bir dış bağlantı noktası ekler; varsayılan olarak kapalı tutulur, yalnız kurumun yönetim noktasına VPN veya özel APN ile bağlanır ve kullanımı loglanır.

Yönetim protokollerinin sıkılaştırılması

Yönetim ağı ayrılsa bile cihaz üzerindeki yönetim servisleri ayrıca sıkılaştırılır. Ayrı ağ, açık Telnet’i kapatmaz.

• SSH: Yalnız SSH sürüm 2; Telnet kapalı. Erişim, yönetim alt ağıyla sınırlı bir ACL ile korunur.
• Web arayüzü: Kullanılmıyorsa kapatılır; kullanılıyorsa yalnız HTTPS ve yönetim alt ağı.
• SNMP: SNMPv1/v2c topluluk adları kaldırılır; SNMPv3 authPriv kullanılır. SNMPv3 kullanıcı tabanlı güvenlik modeli RFC 3414 ile tanımlıdır. Yazma yetkisi gerekmedikçe verilmez. Sahada hâlâ fabrika varsayılanı topluluk adlarıyla çalışan endüstriyel switch’lere rastlanır; envanter taramasında ilk bakılacak yerlerden biri budur.
• Kimlik doğrulama: TACACS+ veya RADIUS ile merkezi kimlik doğrulama; sunucuya erişilemediğinde kullanılacak tek bir yerel acil durum hesabı.
• Kullanılmayan servisler: CDP/LLDP’nin üretim portlarında gerekip gerekmediği değerlendirilir. PROFINET topoloji teşhisi LLDP’ye dayandığından, PROFINET ağlarında LLDP’yi kapatmak teşhis yeteneğini bozar.
• Zaman ve log: NTP ve syslog hedefleri yönetim ağında; log kayıtlarının zaman damgaları tutarlı.

SNMPv3 yapılandırmasının ayrıntıları için SNMPv3 yapılandırma rehberi kullanılabilir.

Yönetim istasyonunun ve araçlarının konumu

Yönetim ağı, ona erişen istasyon kadar güvenlidir. Ağ cihazlarını yöneten istasyonlar ve araçlar şu ilkelere göre yerleştirilir:

1. OT içinde, ayrı zonda: Yönetim istasyonu OT’de, yalnız yönetim ağına erişimi olan bir zonda durur. Kurumsal dizüstü bilgisayarlardan doğrudan yönetim yapılmaz.
2. Uzaktan erişim DMZ üzerinden: Uzaktan yönetim gerekiyorsa erişim, DMZ’deki jump host üzerinden yönetim istasyonuna oturum açılarak yapılır. Bu yerleşim OT DMZ tasarımı yazısındaki ilkelere dayanır.
3. İzleme ve yedekleme araçları: SNMP izleme sunucusu, syslog toplayıcı ve yapılandırma yedekleme aracı da yönetim ağında ya da ona yalnız gerekli portlarla erişebilen OT sunucu zonunda durur.
4. Taşınabilir bilgisayarlar: Sahada konsol kablosuyla bağlanan bakım bilgisayarları OT’ye özel, kurumsal ağa bağlanmayan cihazlar olmalıdır. Hafta içi ofiste e-posta okuyan, hafta sonu çekirdek switch’e konsoldan bağlanan dizüstü, iki ağ arasında taşınan bir köprüdür.

Endüstriyel switch seçiminde yönetim özellikleri (ayrı yönetim portu, VRF, SNMPv3, TACACS+/RADIUS desteği, konsol portu) önceden kontrol edilir; seçim kriterleri için endüstriyel switch seçimi yazısına bakabilirsiniz.

Karşılaştırma tablosu ve yapılandırma örneği

Ölçüt	Düz (ayrımsız)	In-band VLAN/VRF	Out-of-band
Üretimden erişim	Açık	ACL/VRF ile kapalı	Fiziksel olarak yok
Arıza anında erişim	Arızadan etkilenir	Kısmen etkilenir	Etkilenmez
Ek donanım	Yok	Yok veya az	Switch, konsol sunucusu
Uygun olduğu yer	Önerilmez	Erişim switch’leri	Çekirdek, firewall, ring yöneticisi

Aşağıdaki örnek, Cisco IOS XE tabanlı bir Katman 3 switch’te yönetim VRF’i, SSH kısıtlaması ve SNMPv3 yapılandırmasını gösterir. Adresler ve adlar örnektir; komutlar platforma ve yazılım sürümüne göre farklılık gösterebilir.

hostname OT-CORE-1
ip domain name otnet.ornek.com.tr
!
vrf definition MGMT
 address-family ipv4
 exit-address-family
!
interface Vlan900
 description OT-YONETIM
 vrf forwarding MGMT
 ip address 10.90.0.11 255.255.255.0
!
ip route vrf MGMT 0.0.0.0 0.0.0.0 10.90.0.1
!
crypto key generate rsa modulus 2048
ip ssh version 2
ip access-list standard YONETIM-ISTASYONLARI
 permit 10.90.10.0 0.0.0.255
!
line vty 0 15
 access-class YONETIM-ISTASYONLARI in vrf-also
 transport input ssh
 login local
!
no ip http server
ip http secure-server
!
snmp-server group OTMON v3 priv
snmp-server user nms01 OTMON v3 auth sha <auth-parolasi> priv aes 128 <priv-parolasi>
snmp-server host 10.90.10.20 vrf MGMT version 3 priv nms01
logging host 10.90.10.30 vrf MGMT
ntp server vrf MGMT 10.90.10.5

Yapılandırmadan sonra üç test yapılır: yönetim istasyonundan SSH erişimi çalışıyor mu, üretim VLAN’ındaki bir cihazdan SSH denemesi reddediliyor mu, SNMP izleme sunucusu cihazı SNMPv3 ile sorgulayabiliyor mu. Yalnız ilk testi yapıp çıkmak sık görülen bir eksikliktir; asıl kanıt reddedilen denemedir. show ip route vrf MGMT çıktısında yalnız yönetim ağlarının bulunduğu kontrol edilir. Örnekteki login local satırı yerine üretimde TACACS+ veya RADIUS tabanlı AAA yapılandırması kullanılmalıdır.

Yönetim ağının sürekli izlenmesi ve ağ cihazlarındaki sapmaların fark edilmesi için endüstriyel ağ izleme ve arıza analizi, yönetim düzlemini segmentasyon tasarımıyla birlikte ele almak için OT siber güvenlik ve segmentasyon sayfalarına bakabilirsiniz.

Sık sorulan sorular

Küçük bir OT ağında out-of-band yönetim gerekli mi?

Her cihaz için değil. Küçük ağlarda ayrı bir yönetim VLAN’ı ve yönetim erişimini yalnız belirli istasyonlarla sınırlayan kurallar çoğu ihtiyacı karşılar. Out-of-band erişim en azından çekirdek switch’ler, sınır firewall’ları ve ring yöneticisi gibi, erişim kaybedildiğinde sahaya gitmeden kurtarılamayacak cihazlar için değerlendirilir.

Yönetim VLAN’ı ile VRF arasındaki fark nedir?

Yönetim VLAN’ı yönetim arayüzlerini Katman 2’de ayrı bir yayın alanına alır; ancak Katman 3 switch üzerinde bu VLAN’ın arayüzü diğer VLAN’larla aynı yönlendirme tablosunu paylaşır. VRF yönetim için ayrı bir yönlendirme tablosu oluşturur; açıkça tanımlanmadıkça üretim VLAN’larından yönetim ağına yönlendirme yoluyla erişilemez. VRF desteği cihaz modeline ve yazılım lisansına bağlıdır.

Konsol sunucusuna hücresel modemle erişmek güvenli mi?

Doğru tasarlanırsa kabul edilebilir, ama OT’ye yeni bir dış bağlantı ekler. Modem genel internete açık bir yönetim arayüzü sunmamalı; özel APN veya VPN ile yalnız kurumun yönetim noktasına bağlanmalı, varsayılan olarak kapalı durmalı ve kullanımı loglanmalıdır. Bu bağlantı OT güvenlik risk değerlendirmesine ayrı bir kanal olarak eklenir.

SNMPv2c yerine neden SNMPv3 kullanılmalı?

SNMPv2c topluluk adını açık metin olarak gönderir ve kimlik doğrulama yalnız bu ada dayanır. Ağı dinleyen biri topluluk adını öğrenebilir; yazma yetkili bir topluluk adı ele geçirilirse cihaz yapılandırması değiştirilebilir. SNMPv3 authPriv modunda kullanıcı bazlı kimlik doğrulama ve şifreleme sağlar.