Kurumsal ağlarda routing, genellikle “zaten içerideyiz” rahatlığıyla kurulur. Oysa routing domain; yanlış komşuluk, sahte LSA/LSP veya hatalı redistrib ile çok hızlı şekilde büyük kesintiye dönüşebilen bir kontrol düzlemidir. Bu yüzden OSPF/IS-IS tarafında iki hedefi birlikte düşünürüm:
- Kim konuşuyor? (authentication)
- Nereden konuşabiliyor? (control-plane hardening)
Tehdit modeli: sahada hangi riskler gerçek?
OSPF/IS-IS için gerçekçi risk sınıfları:
- Yanlış komşu: Aynı L2 segmentte yanlış cihaz OSPF/IS-IS açar, komşu olur.
- Route injection: Yanlış/zararlı prefix’ler routing domain’e girer.
- Control-plane overload: Routing CPU, gereksiz control traffic ile zorlanır; adjacency flap başlar.
- Operasyon hatası: authentication key değişimi kötü planlanır; geniş çaplı adjacency down olur.
Authentication tek başına her şeyi çözmez, ama “yanlış komşu” ve “kazaen konuşma” sınıfını ciddi ölçüde azaltır.
OSPF/IS-IS authentication: neyi seçmeli?
Vendor ve sürüme göre seçenekler değişir; ama pratik seçim mantığı değişmez:
- Zayıf/eskimiş seçeneklerden kaçın (özellikle çok eski cleartext/legacy mekanizmalar).
- HMAC tabanlı modern yöntemleri tercih et (cihazınız destekliyorsa).
- Key chain + zaman penceresi ile rotasyon planlayın (tek anahtar ile “big bang” değişim yapmayın).
Anahtar yönetimi: key chain + geçiş penceresi
Sahada en az sorun çıkaran yaklaşım:
- Key chain’e yeni key ekle (accept + send penceresi kontrollü)
- Komşuların tamamında yeni key “accept” edilir hale gelince send’i yeniye çevir
- Eski key’i bir süre daha accept tut (geri dönüş penceresi)
- Sonrasında eskiyi kaldır
Bu model, “tek gece” büyük kesinti riskini azaltır.
Control-plane hardening: komşuluğu “yüzey alanı” olmaktan çıkar
Authentication’ı şu guardrail’lerle tamamlamak gerekir:
1) Komşuluk yüzeyini daralt
- Routing’i sadece gerekli arayüzlerde aç.
- “Default passive” yaklaşımıyla, yanlış portlarda adjacency oluşmasını engelle.
- Access port’larda routing protokolü çalışmasın (özellikle edge/access katmanda).
2) L2/L3 sınırlarını netleştir
OSPF/IS-IS’in konuştuğu segmentler; mümkünse ayrı bir transit VLAN/VRF olsun. “Her yerde L2 var” modelinde, yanlış cihazın konuşma ihtimali artar.
3) Control traffic için ACL/CPP/CoPP yaklaşımı
Routing protokol paketleri, yönetim erişimleri (SSH/SNMP), NTP ve log trafiği; control-plane tarafında sınıflandırılıp korunmalı. Bu yazının devamında CoPP/CPP tarafını ayrıca ele alacağım; burada kritik olan mesaj:
Authentication doğru olsa bile control-plane kapasitesi çökerse adjacency yine düşer.
İzleme: authentication’ı “sessiz” bırakma
İşletilebilir bir model için en az şu sinyalleri izleyin:
- Adjacency sayısı (beklenen komşu sayısı)
- Adjacency flap oranı
- Authentication fail logları / sayaçları
- LSDB/LSP boyutu ve değişim hızı (ani patlamalar)
- Control-plane CPU ve punt edilen paket sayıları
Değişiklik planı: routing auth bir “maintenance” işidir
En güvenli değişiklik modeli:
- Canlı ağda önce pilot area / küçük POP seç
- Key chain’i hazırlayıp accept penceresini aç
- Komşuların hepsi hazır olunca send’i değiştir
- 30–60 dk gözlem: adjacency, SPF, CPU, log
- Sonra dalga dalga yay
Geri dönüş için:
- “Send” eskiye alınabilecek şekilde planlayın
- Eski key’i hemen silmeyin (geri dönüş penceresi)
Kapanış: routing güvenliği, “ürün” değil “disiplin”
OSPF/IS-IS authentication ve control-plane hardening; routing’i “görünmez” bir iç servis olmaktan çıkarır, yönetilebilir bir kontrol düzlemine dönüştürür. Buradaki başarı ölçütü; bir komutun çalışması değil, rotasyonun ve değişikliğin kesintisiz işletilebilmesidir.