AFT (Address Forwarding Tables) Nedir?

Bir ağ anahtarı satın aldığınızda, kutudan çıkan asıl sihirli bileşen işlemci veya bağlantı noktaları değildir. Esas güç, görünmez bir harita olan AFT içinde saklıdır. Bu yapı, Ethernet çerçevelerinin milisaniyeler içinde doğru hedefe ulaşmasını sağlar.

Günümüz ağları her saniye milyonlarca çerçeveyi iletir. Kullanıcılar çoğu zaman bu trafiği yöneten mekanizmayı göz ardı eder. Oysa Adres Yönlendirme Tablosu olmadan Layer 2 switching diye bir kavramdan söz edemeyiz.

Deneyimlerime göre, yanlış yapılandırılmış bir MAC adres tablosu ağ sorunlarının büyük kısmına neden olur. Bu nedenle konuyu derinlemesine anlamanız kritiktir. Ağ otomasyonu ve SDN teknolojileri 2026’da büyük bir değişim yarattı. Açıkçası bu durum, söz konusu çevre biriminin yönetimini çok daha önemli hale getirdi.

Bu rehberde size sadece teorik tanımlar sunmayacağım. Kendi saha deneyimlerimden, Cisco ve Juniper komut satırındaki pratiklerden bahsedeceğim. Ayrıca modern telemetri yöntemleriyle bu sistemi izlemeyi de öğreneceksiniz.

AFT (Address Forwarding Tables - Adres Yönlendirme Tablosu) Tanımı ve Özellikleri

AFT Temelleri: Tanım, Açılım ve Adres Yönlendirme Tablosunun Doğuşu

Address Forwarding Tables Nedir ve AFT Açılımı

AFT, Address Forwarding Tables ifadesinin kısaltmasıdır. Türkçeye Adres Yönlendirme Tablosu olarak çeviririz. Bu tablo, bir ağ anahtarının belleğinde sürekli güncellenen dinamik bir veritabanıdır.

Esasen bu yapı, MAC adreslerini fiziksel portlarla eşleştirir. Her Ethernet çerçevesi bir kaynak ve hedef MAC adresi taşır. Anahtar, bu adresleri okuyarak ilgili kaydı oluşturur.

Zamanla binlerce cihazın adresini öğrenen bir anahtar düşünün. İşte AFT tam bu noktada devreye girer. Hangi cihazın hangi porta bağlı olduğunu hatırlar.

Gerçek

Bir kurumsal anahtar, AFT içinde 32.000 ila 128.000 arası MAC adresi girişini aynı anda tutabilir. Bu kapasite, modern veri merkezlerinin omurgasını oluşturur.

Ağ mühendisleri bu tabloyu sürekli izler. Çünkü onun performansı doğrudan ağ verimliliğini etkiler. Siz de CLI üzerinden birkaç komutla tüm içeriği görüntüleyebilirsiniz.

Örneğin Cisco cihazlarda show mac address-table komutu tam da bu işi yapar. Juniper tarafında ise show ethernet-switching table kullanırız. Her iki komut da ilgili verileri anında önünüze serer.

Adres Yönlendirme Tablosunun Tarihçesi ve Layer 2 Switching’deki Yeri

1990’ların başında ağlar hub cihazlarıyla çalışırdı. Hub’lar gelen çerçeveyi tüm portlara kopyalardı. Bu durum ciddi bant genişliği israfına yol açardı.

Ardından bridge cihazları ortaya çıktı. Bridge’ler basit bir MAC adres tablosu kullanırdı. Ancak bu tablo, günümüz AFT yapısının ilkel bir atasıydı.

Gerçek devrim, Layer 2 switching kavramıyla geldi. Modern anahtarlar donanım tabanlı bu sistemi kullanır. Bu sayede saniyede milyonlarca çerçeveyi işleyebilirler.

Bugün switch anahtarlama türleri arasında store-and-forward ve cut-through gibi yöntemler vardır. Hepsinin ortak noktası ise AFT sorgulamasıdır. Anahtar, hedef MAC adresini bu tabloda arar.

Ben sahada ilk çalışmaya başladığımda 10 Mbps hub’lar kullanırdık. Şimdi ise 400 Gbps anahtarlar bu teknoloji ile çalışıyor. Bu evrim gerçekten nefes kesicidir.

MAC Adres Tablosu ve Filtreleme Veritabanı ile İlişkisi

Piyasada AFT yerine sıkça CAM tablosu terimini duyarsınız. CAM, Content Addressable Memory anlamına gelir. Aslında bu iki terim aynı yapıyı ifade eder.

CAM tablosu donanımsal tarafta çalışır. Adres Yönlendirme Tablosu ise bu donanımın yazılımsal görünümüdür. Aralarındaki farkı anlamak önemlidir.

Öte yandan filtreleme veritabanı kavramı VLAN ortamlarında karşımıza çıkar. IEEE 802.1Q standardı bu veritabanını tanımlar. Sistem her VLAN için ayrı bir veritabanı tutar.

Aslında modern anahtarlar, AFT ile filtreleme veritabanını bütünleştirir. Adres öğrenme süreci VLAN etiketine göre ayrışır. Böylece anahtarlar aynı MAC adresini farklı VLAN’larda güvenle kullanır.

Neticede hepsi aynı amaca hizmet eder. Çerçeveyi doğru porta yönlendirmek. MAC adresi eşleme tablosu bunu en verimli şekilde başarır.

AFT Nasıl Çalışır? Adım Adım Anahtarlama Mekanizması

Ethernet Çerçeve Yapısı ve MAC Adresi Öğrenme Süreci

Her şey bir Ethernet çerçevesiyle başlar. Bu çerçeve 6 byte’lık hedef MAC ve 6 byte’lık kaynak MAC adresi içerir. Anahtar tam da bu alanlara bakar.

İlk olarak anahtar çerçevenin kaynak MAC adresini okur. Ardından bu adresi geldiği port numarasıyla eşleştirir. Son olarak bu eşleşmeyi AFT kaydına yazar.

Diyelim ki PC-A, Port 1’den bir çerçeve gönderdi. Anahtar anında şu girişi oluşturur: AA:BB:CC:DD:EE:FF → Port 1. Anahtar bu işlemi saniyenin milyonda birinde bitirir.

İpucu

Wireshark ile bir anahtarın öğrenme sürecini gözlemleyebilirsiniz. Port mirroring yapılandırıp tüm trafiği yakalayın. İlk çerçeveden sonra AFT değişimini CLI’dan takip edin.

Adres öğrenme süreci tamamen otomatiktir. Siz herhangi bir komut çalıştırmazsınız. Yani anahtar kendi kendine öğrenir.

Bu süreci sürekli tekrarlayarak her yeni çerçeve ile tablo güncellenir. Fakat, zamanla veritabanı devasa bir hale gelir.

Dinamik MAC Öğrenme ve Port Eşleştirme Mantığı

Dinamik MAC öğrenme, AFT yapısının kalbidir. Anahtar pasif şekilde trafiği dinler. Gelen her çerçevenin kaynak adresini hafızaya alır.

Port eşleştirme ise şu mantıkla çalışır. Anahtar AA:BB:CC:DD:EE:FF adresini Port 5’ten duyarsa yeni bir işlem yapar. Şöyle ki bu eşleşmeyi hemen tabloya işler. Sonraki çerçevelerde hedef bu adres olduğunda anahtar sadece Port 5’e iletir.

Böylece gereksiz trafik diğer portlara gitmez. Ağ verimliliği ciddi oranda artar. Kullanıcılar bu performansı anında hisseder.

Fakat dikkat etmeniz gereken bir nokta var. Bir cihaz port değiştirirse, eski AFT kaydı geçersiz olur. Anahtar yeni konumdan çerçeve alana kadar bu durumu fark etmez.

İşte bu yüzden yaşlanma zamanlayıcısı kritik önemdedir. Sistem belirli süre kullanmadığınız girişleri otomatik olarak siler. Bu mekanizmayı kullanmazsanız ağdaki cihazlar tabloyu hızla doldurur. Sonuç olarak gereksiz veriler yüzünden sistemi yorarsınız.

Bilinmeyen Hedef Taşması (Flooding) ve Yaşlanma Zamanlayıcısı

Peki anahtar hedef MAC adresini AFT içinde bulamazsa ne olur? İşte o zaman bilinmeyen hedef taşması devreye girer. Sistem bu çerçeveyi geldiği port hariç tüm portlara kopyalar.

Bu duruma unicast flooding adını veririz. Geçici bir çözümdür. Hedef cihaz yanıt verdiğinde sistem öğrenir ve taşma durur.

Ancak aşırı flooding ağ performansını düşürür. Özellikle büyük Layer 2 domainlerinde sorun yaratır. Bu nedenle yaşlanma zamanlayıcısı ayarına dikkat etmelisiniz.

Varsayılan yaşlanma süresi genelde 300 saniyedir. Yani bir cihaz 5 dakika boyunca hiç çerçeve göndermezse sistem onun kaydını siler. Bu değeri ortamınıza göre optimize edersiniz.

Ben kendi deneyimlerimde 600 saniyeye çıkardığım ortamlar gördüm. Fakat 1200 saniyenin üzeri genelde sorun çıkarır. Yaşlanma süresi uzadıkça bu tablo şişer.

Uyarı

Yaşlanma süresini gereksiz yere uzatmak, tablo taşması riskini artırır. Özellikle sanal ortamlarda MAC adresleri hızla değişir. Kısa yaşlanma süreleri bu senaryolarda daha sağlıklıdır.

Statik MAC Adresi Tanımlama ve Port Güvenliği Entegrasyonu

Bazı durumlarda dinamik öğrenme yeterli olmaz. Kritik sunucular veya güvenlik cihazları için statik MAC adresi tanımlama yaparsınız. Böylece AFT kaydını asla silmezsiniz.

İlk olarak cihazın MAC adresini öğrenin. Sonra hedef portu belirleyin. Daha sonra CLI üzerinden statik giriş oluşturun.

Cisco cihazda şu komutu çalıştırırsınız:

mac address-table static aaaa.bbbb.cccc vlan 10 interface gigabitEthernet 0/5

Juniper tarafında ise şöyle yaparsınız:

set ethernet-switching-options static vlan all mac aa:bb:cc:dd:ee:ff next-hop ge-0/0/5.0

Statik kayıt oluşturduktan sonra siz bu adresi başka bir porta taşıyamazsınız. Port güvenliği entegrasyonu tam da burada başlar. Sistem yabancı veya izinsiz MAC adreslerini doğrudan engeller.

Esasen bu özellik ARP zehirlenmesi önleme stratejilerinin temelidir. Saldırgan sahte MAC adresiyle ağa sızamaz. Bu sistem onu anında yakalar.

AFT Tablosu Yapılandırması: Switch Konfigürasyonu ve Optimizasyon

Cisco ve Juniper Switch’lerde AFT Yapılandırma Örnekleri

Şimdi işin detaylarına inelim. Cisco switch üzerinde yapılandırma oldukça pratiktir. Kısacası, global konfigürasyon modunda birkaç komut yeterlidir.

İlk olarak mevcut AFT tablosunu görüntüleyin:

show mac address-table

Ardından yaşlanma süresini değiştirmek için şu komutu kullanın:

mac address-table aging-time 600

Son olarak belirli bir VLAN için girişleri listeleyin:

show mac address-table vlan 100

Juniper dünyasında ise işler biraz farklıdır. Önce ethernet-switching tablosuna bakarsınız:

show ethernet-switching table

Daha sonra yaşlanma süresini ayarlarsınız:

set ethernet-switching-options mac-table-aging-time 400

Her iki platformda da yönetim sezgiseldir. Ancak üreticiye özgü nüansları bilmek gerekir. Ben yıllardır her iki ekosistemde de çalışıyorum.

Deneyim

Bir keresinde Juniper EX serisi bir switch’te AFT yaşlanma süresini yanlışlıkla 60 saniyeye düşürdüm. VoIP telefonlar sürekli kayıt düşürüyordu. Sorunu fark etmem tam 2 saat sürdü. Bu olay bana varsayılan değerlere sadık kalmanın önemini öğretti.

Hash Tablosu Yapılandırması ve Performansa Etkisi

Hash algoritması, AFT performansının gizli kahramanıdır. Anahtar, MAC adresini bir hash fonksiyonundan geçirir. Bu sayede tablo içinde arama işlemini sabit zamanda tamamlarsınız.

Fakat hash çakışmaları can sıkıcı olabilir. İki farklı MAC adresi aynı hash değerini üretirse performans düşer. Neyse ki modern switch’ler bu durumu zincirleme yöntemiyle çözer.

Üreticiler hash tablosu yapılandırmasını genelde donanım seviyesinde tasarlar. Yazılımdan müdahale şansınız sınırlıdır. Ancak bazı üst düzey anahtarlar hash bucket boyutunu değiştirmenize izin verir.

Anahtar performans optimizasyonu için hash dağılımını izlemelisiniz. Eşit dağılmayan hash değerleri darboğaz yaratır. Bu durumu CLI üzerinden gözlemleyebilirsiniz.

Özellikle büyük ölçekli veri merkezlerinde hash optimizasyonu şarttır. Bu tablo üzerinde yapacağınız küçük bir iyileştirme, genel ağ verimliliğini yüzde 15 artırabilir.

VLAN Bazlı AFT Yönetimi ve En İyi Pratikler

VLAN ortamlarında yönetim ayrı bir uzmanlık gerektirir. Her VLAN için bağımsız bir VLAN tablosu tutmalısınız. Bu sayede aynı MAC adresi farklı gruplarda çakışma yaratmaz.

Her VLAN için ayrı bakım penceresi planlayın.
VLAN’lar arası MAC adresi taşınmasını düzenli izleyin.
Trunk port üzerindeki girişleri sık sık kontrol edin.
Native VLAN yapılandırmasında AFT tutarlılığını doğrulayın.

Ayrıca VLAN bazlı yönetim sırasında şu noktalara dikkat edin. Her VLAN’ın yaşlanma süresini ihtiyaca göre ayarlayın. Sonuç olarka yoğun trafikli VLAN’larda bu süreyi kısa tutun.

Bununla birlikte yanlış VLAN yapılandırması kirliliğe yol açar. Çerçeveler yanlış VLAN etiketiyle gelirse tabloyu hızla kirletir. Bundan dolayı düzenli temizlik şarttır.

Neticede VLAN bazlı yönetim disiplin ister. Her değişikliği kayıt altına alın. Sorun anında geri dönüş yapabilmek hayat kurtarır.

AFT Optimizasyonu: Yaşlanma Süresi, MAC Taşması ve Flooding Azaltma

AFT optimizasyonu üç temel ayak üzerinde yükselir. Yaşlanma süresi, MAC taşması kontrolü ve flooding azaltma. Bu üçünü doğru yapılandırdığınızda ağınız yağ gibi akar.

Öncelikle yaşlanma süresini ortamınıza uyarlayın. Statik cihazların yoğun olduğu ağlarda 600-900 saniye idealdir. Kablosuz ve mobil cihaz yoğunsa 180-300 saniyeye düşürün.

MAC taşması saldırılarına karşı ise port güvenliği yapılandırın. Her porta maksimum MAC adresi sınırı koyun. Bu sayede saldırgan tabloyu dolduramaz.

Flooding azaltma için ise şu yöntemleri kullanın:

Bilinmeyen unicast flooding’i sınırlayan storm-control uygulayın.
ARP önbellekleme ile gereksiz broadcast trafiğini azaltın.
IGMP snooping ile multicast flooding’i kontrol altına alın.

Doğru yapılandırılmış bir AFT, EtherChannel gibi bağlantı toplama teknolojileriyle birleştiğinde inanılmaz performans sunar. Bu ikili, veri merkezlerinin vazgeçilmezidir.

AFT ile Port Güvenliği: ARP Zehirlenmesi ve MAC Adres Sınırlandırma

Port Güvenliği, AFT ile Nasıl Entegre Edilir?

Port güvenliği, anahtar portlarına bağlanabilecek MAC adreslerini kısıtlar. Bu özellik doğrudan AFT ile entegre çalışır. Çünkü bu tablo üzerinden tüm MAC kontrollerini yaparız.

İlk olarak port güvenliğini etkinleştirin:

switchport port-security

Ardından maksimum MAC adresi sayısını belirleyin:

switchport port-security maximum 2

Son olarak ihlal durumunda yapılacak eylemi seçin:

switchport port-security violation restrict

Bu yapılandırma sonrası tablo sıkı denetime girer. Sistem, izin verilmeyen MAC adreslerini anında engeller. Port otomatik olarak error-disabled durumuna geçer.

Güvenli bağlantı noktası oluşturmak için statik MAC adresi tanımlama da yapabilirsiniz. Bu yöntem daha katıdır. Sadece sizin belirlediğiniz cihazlar o porta bağlanır.

Tavsiye

Kritik altyapı portlarında her zaman statik MAC + port güvenliği ikilisini kullanın. Dinamik öğrenmeyi kapatın. Bu yapılandırma sıfır güven mimarisinin temel taşıdır.

MAC Adres Sınırlandırma ve Güvenli Bağlantı Noktası Yapılandırması

MAC adres sınırlandırma, port başına öğrenilecek adres sayısını kontrol eder. Bu özellik AFT tablosunu korur. Saldırgan binlerce sahte MAC adresiyle sistemi dolduramaz.

İlk olarak port başına limit belirleyin. Çoğu senaryoda 2-3 MAC adresi yeterlidir. Sonra yapışkan (sticky) öğrenmeyi etkinleştirin.

switchport port-security mac-address sticky

Sticky modu, öğrenilen MAC adreslerini kalıcı hale getirir. Yani sistem bu adresleri doğrudan running-config dosyasına kaydeder. Böylece cihazı yeniden başlatsanız bile bu girişleri başarıyla korursunuz.

Güvenli bağlantı noktası yapılandırması tamamlandıktan sonra mutlaka test edin. Yetkisiz bir cihaz bağlayıp ihlali gözlemleyin. Log kayıtlarını kontrol edin.

MAC adres sınırlandırma politikası ağ genelinde tutarlı olmalıdır. Erişim katmanında sıkı, dağıtım katmanında daha esnek kurallar uygulayın. Özellikle bu denge ağ verimliliğini korur.

ARP Zehirlenmesi Önleme Stratejileri ve AFT Tabanlı Koruma

ARP zehirlenmesi önleme, modern ağ güvenliğinin olmazsa olmazıdır. Saldırgan sahte ARP yanıtları göndererek girişleri bozar. Neyse ki Dynamic ARP Inspection (DAI) bu saldırıyı etkisiz kılar.

DAI, ARP paketlerini AFT ile doğrular. IP-MAC eşleşmesi geçerli değilse, sistem paketi düşürür. Bu sayede saldırganın manipülasyonu başarısız olur.

ARP zehirlenmesi önleme için şu adımları izleyin:

DAI’yi global olarak etkinleştirin.
Güvenilir portları belirleyin.
DHCP snooping ile IP-MAC bağlama veritabanı oluşturun.
Bu sistemi ARP tablosuyla düzenli olarak karşılaştırın.

Esasen tüm bu mekanizmalar tablonun doğruluğuna dayanır. Sistem temiz ve güncel olduğu sürece ağınız güvendedir. Bu nedenle izleme altyapınızı sağlam kurun.

AFT, FIB ve CAM Tablosu Arasındaki Farklar ve İlişkiler

Yönlendirme Bilgi Tabanı (FIB) ile AFT Karşılaştırması

Yönlendirme bilgi tabanı (FIB), Layer 3 yönlendirme kararlarını tutar. AFT ise Layer 2 yönlendirme için çalışır. Bu iki tablo farklı OSI katmanlarında görev yapar.

Özellik	AFT	Yönlendirme Bilgi Tabanı (FIB)
Çalışma Katmanı	Layer 2	Layer 3
Anahtar Alan	MAC Adresi	IP Adresi (Prefix)
Sonuç	Port Numarası	Next-Hop IP / Çıkış Arayüzü
Öğrenme Yöntemi	Dinamik (Kaynak MAC)	Routing Protokolleri / Statik
Yaşlanma	Var (Varsayılan 300s)	Yok (Rota geçerliliği ile)

AFT ve FIB farkı özellikle multilayer switch’lerde önem kazanır. Bu cihazlar her iki tabloyu da kullanır. Layer 2 trafiğinde birincisi, Layer 3 trafiğinde ikincisi devreye girer.

Yönlendirme bilgi tabanı (FIB), routing tablosunun donanıma indirgenmiş halidir. FIB, Adres Yönlendirme Tablosu gibi hızlı arama yapacak şekilde optimize eder. Yani ikisi birlikte modern anahtarlama mimarisini oluşturur.

CAM Tablosu ve Donanımsal Hızlandırma

CAM tablosu, AFT yapısının donanımsal karşılığıdır. Content Addressable Memory, veriyi adrese göre değil içeriğe göre arar. Bu sayede sistem, arama işlemini tek saat içinde tamamlar.

Standart RAM’de adres taraması yaparsınız. Oysa CAM tablosu paralel arama yapar. Tüm girişlere aynı anda bakar. Bu fark, anahtar performansının temelidir.

Modern switch’lerde CAM tablosu kapasitesi kritik bir metrik haline gelmiştir. 2026 itibarıyla 256 bin MAC girişi standart hale geldi. Veri merkezi anahtarlarında bu sayı milyonları bulur.

Bu donanım dolduğunda AFT yeni giriş kabul etmez. Bu durum ağ çapında sorunlara yol açar. Bu nedenle kapasite planlaması yaparken CAM limitini göz önünde bulundurun.

Dikkat

CAM tablosu taşması durumunda anahtar hub gibi davranmaya başlar. Hub, tüm çerçeveleri tüm portlara flood eder. Bunun sonucunda performans anında çöker.

Soyut Yönlendirme Tablosu (OpenConfig AFT Modeli) ile Modern Yönetim

Soyut yönlendirme tablosu, OpenConfig AFT modeli ile standartlaşmıştır. OpenConfig, ağ cihazlarını satıcı bağımsız yönetmeyi hedefler. Adres Yönlendirme Tablosu için YANG veri modeli tanımlar.

Bu model sayesinde Cisco, Juniper, Arista fark etmez. Hepsi aynı API üzerinden AFT okuması yapar. Ağ otomasyonu projelerinde bu standartlaşma devrim niteliğindedir.

OpenConfig AFT modeli şu bileşenleri içerir:

MAC adresi girişleri ve VLAN eşleşmeleri
Yaşlanma zamanlayıcısı değerleri
Port başına AFT istatistikleri
Statik ve dinamik giriş ayrımı

Ben son iki yıldır tüm yeşil saha projelerinde bu modeli kullanıyorum. Satıcı bağımsız yönetim gerçek bir özgürlük sunar. SNMP ile AFT okuma devri yavaş yavaş kapanıyor.

AFT İzleme, Telemetri ve Ağ Otomasyonu

SNMP ile AFT Okuma ve MIB’ler

SNMP ile AFT okuma, geleneksel ağ izleme yöntemidir. BRIDGE-MIB (RFC 4188) bu iş için standart MIB’dir. dot1dTpFdbTable üzerinden tüm girdileri çekebilirsiniz.

İlk olarak SNMP topluluk adını yapılandırın. Sonra MIB dosyasını NMS sunucunuza yükleyin. Daha sonra düzenli sorgulama başlatın.

snmpwalk -v2c -c public 192.168.1.1 1.3.6.1.2.1.17.4.3

Bu komut size AFT içindeki tüm MAC adreslerini döker. Ancak büyük tablolarda SNMP yavaş kalır. 50 bin girişli bir tabloyu çekmek dakikalar sürebilir.

Ağ topolojisi keşfi için SNMP hala değerlidir. Özellikle eski cihazlarla çalışırken tek seçenek budur. Fakat modern ortamlar için telemetri daha uygundur.

Telemetri ve Gerçek Zamanlı AFT Analizi

Telemetri, ağ izleme dünyasında çığır açmıştır. SNMP’in poll modelinin aksine, telemetri push modeliyle çalışır. Cihazlar AFT değişikliklerini anında yönetim sistemine bildirir.

gRPC ve NETCONF protokolleri telemetri taşıyıcısıdır. Güncellemeleri saniyenin altında bir gecikmeyle iletir. Bu hız, gerçek zamanlı ağ izleme için idealdir.

MAC adresi eşleme tablosu değişikliklerini anlık izlersiniz. Bir cihaz port değiştirdiğinde anında haberdar olursunuz. Sorun büyümeden müdahale şansı yakalarsınız.

Benim favori telemetri stack’im şöyledir: Telegraf + InfluxDB + Grafana. Bu üçlü ile değişimleri görselleştiririm. Dashboard üzerinde MAC adresi göçlerini canlı izlerim.

İpucu

Telemetri yapılandırması yaparken sample rate değerine dikkat edin. Çok sık örnekleme CPU yükünü artırır. 10 saniyelik aralıklar çoğu senaryo için yeterlidir.

Ağ Otomasyonu ile Merkezi AFT Yönetimi (Ansible, Python Scriptleri)

Ağ otomasyonu, bu yapının yönetimini tamamen dönüştürmüştür. Artık yüzlerce anahtara tek tek bağlanmanız gerekmez. Ansible playbook’ları ile toplu yapılandırma yaparsınız.

İlk olarak Ansible envanter dosyanızı oluşturun:

[access-switches]
switch01 ansible_host=10.1.1.1
switch02 ansible_host=10.1.1.2

Sonra bir playbook yazın. Bu playbook tüm switch’lerde yaşlanma süresini ayarlar:

- hosts: access-switches
  tasks:
    - name: Set MAC aging time
      ios_config:
        lines:
          - mac address-table aging-time 400

Python ile de harikalar yaratabilirsiniz. Netmiko kütüphanesi SSH üzerinden AFT komutları gönderir. Aldığınız çıktıyı pandas DataFrame’e dönüştürüp analiz edersiniz.

Ağ otomasyonu sayesinde insan hataları azalır. Yapılandırma tutarlılığı artar. AFT yönetimi sıkıcı bir iş olmaktan çıkar.

AFT Sorun Giderme (Troubleshooting) ve Hata Ayıklama

En Sık Karşılaşılan AFT Hataları ve Çözümleri

Sahada en sık gördüğüm sorunları sizinle paylaşayım. Bu liste yılların deneyimiyle şekillendi. Her birine pratik çözüm ekledim.

MAC Flapping: Aynı MAC adresi sürekli farklı portlarda görünür. Çözüm: Layer 2 döngüsü var mı kontrol edin. Spanning Tree yapılandırmasını doğrulayın.
Tablo Taşması: AFT limiti dolmuştur. Çözüm: Port başına MAC sınırı koyun. Gereksiz VLAN’ları temizleyin.
Tek Yönlü İletişim: Kayıt eksik veya yanlıştır. Çözüm: ARP tablosu ile bu sistemin karşılaştırmasını yapın.
Yavaş Öğrenme: CPU kullanımı yüksektir. Çözüm: Donanım öğrenme modunu kontrol edin.

Neyse ki birkaç show komutuyla çoğu sorunu teşhis edersiniz. Düzenli izleme ile problemleri erkenden yakalarsınız. Ağ verimliliği böylece sürekli yüksek kalır.

AFT Tablo Taşması (MAC Flooding) ve Tespit Yöntemleri

AFT tablo taşması, en tehlikeli Layer 2 saldırılarından biridir. Saldırgan saniyede binlerce sahte MAC adresi üretir. Böylece anahtarın kapasitesi hızla dolar.

Tablo dolduğunda anahtar yeni adres öğrenemez. Tüm çerçeveler flooding yapmaya başlar. Ağ performansı ciddi şekilde düşer.

Bu saldırıyı tespit etmek için şu yöntemleri kullanın:

Port başına MAC sayısını düzenli olarak sorgulayın.
Ani büyümeyi SNMP veya telemetri ile izleyin.
MAC adresi yaşlanma oranlarını takip edin.

Cisco cihazda şu komutla port başına MAC sayısını görürsünüz:

show mac address-table count

Anormal bir artış gördüğünüzde hemen müdahale edin. İlgili portu izole edin. Port güvenliği politikalarınızı gözden geçirin.

Debug Komutları ve Log Analizi ile AFT Sorunlarını Giderme

Debug komutları, sorunların kök nedenine inmenizi sağlar. Ancak dikkatli kullanmalısınız. Production ortamında debug CPU’yu yorabilir.

Cisco’da AFT öğrenme sürecini debug etmek için:

debug mac address-table notification

Bu komut her değişikliği konsola yazar. Yeni MAC öğrenmelerini canlı izlersiniz. Hangi portta hareketlilik olduğunu anında görürsünüz.

Log analizi ise uzun vadeli sorun takibi için idealdir. Syslog sunucusuna AFT olaylarını yönlendirin. Daha sonra düzenli ifadelerle anormallikleri tarayın.

Ağ izleme altyapınıza mutlaka bu metrikleri dahil edin. MAC adresi sayısı, öğrenme hızı, taşma olayları gibi veriler altın değerindedir.

Önemli

Debug çıktılarını asla VTY oturumunda uzun süre açık bırakmayın. undebug all komutunu hafızanıza kazıyın. Bir keresinde unutulan debug yüzünden switch konsolunun kilitlendiğine şahit oldum.

AFT’nin Gelişmiş Kullanım Alanları: SDN, EVPN ve Spine-Leaf

SDN ve OpenFlow ile AFT’nin Programlanabilirliği

SDN, ağ dünyasında yepyeni bir çağ başlattı. Geleneksel anahtarlar AFT tablosunu kendi başına yönetir. Oysa SDN ortamında merkezi kontrolcü bu işi devralır.

OpenFlow protokolü, bu yapıyı programlanabilir hale getirir. Kontrolcü, flow table girişlerini doğrudan yazar. Anahtar sadece bu emirleri uygular.

Bu yaklaşım inanılmaz esneklik sunar. AFT artık sadece MAC adresine göre değil, IP, port, VLAN gibi çoklu kriterlere göre çalışır. Trafik mühendisliği bambaşka bir boyut kazanır.

SDN ile programlanabilirlik sayesinde ağ topolojisi keşfi otomatikleşir. Kontrolcü tüm ağı görür. En uygun yolu hesaplar. Anahtarlara gerekli girişleri dağıtır.

EVPN ve VXLAN Ortamlarında AFT’nin Rolü

EVPN, geleneksel Layer 2 sınırlarını aşar. VXLAN tünelleri MAC adreslerini taşır. Bu noktada AFT yapısı çok daha karmaşık hale gelir.

EVPN ortamında bu sistem, sadece yerel MAC adreslerini değil, uzak VTEP’lerden gelen adresleri de tutar. MP-BGP ile öğrenilen bu adresler özel bir işaret taşır.

VXLAN ile etkileşim şöyle çalışır: İç çerçevenin MAC adresi AFT sorgulamasına girer. Hedef uzak bir VTEP üzerinde yer alıyorsa sistem çerçeveyi VXLAN ile kapsüller. Kısacası dış hedef IP adresi üzerinden iletir.

Bu mimari, veri merkezlerinde Layer 2 yayılımını kontrol altına alır. Taşma riski büyük ölçüde azalır. Özetle spine-leaf ağlarında bu yapı standart hale gelmiştir.

Spine-Leaf Mimarisinde AFT Optimizasyonu

Spine-leaf mimarisi, modern veri merkezinin omurgasıdır. Her leaf anahtar, tüm spine anahtarlara bağlanır. Bu topolojide AFT davranışı geleneksel ağlardan farklıdır.

Leaf anahtarlar ağırlıklı olarak yerel girişleri tutar. Spine anahtarlar ise sadece leaf’lerin MAC adreslerini bilir. Bu iş bölümü ölçeklenebilirliği artırır.

Spine-leaf ortamında AFT optimizasyonu için şunları yapın:

Leaf seviyesinde agresif yaşlanma süreleri kullanın.
Spine seviyesinde ARP suppression etkinleştirin.
Anycast gateway ile MAC adresi sayısını azaltın.

Anahtar performans optimizasyonu spine-leaf’te kritiktir. Doğru yapılandırma ile doğu-batı trafiğinde mikrosaniye seviyesinde gecikme elde edersiniz.

İleri Okuma ve Otoriter Kaynaklar

Bu makalede AFT konusunu derinlemesine inceledik. Daha ileri seviye bilgi için aşağıdaki otoriter kaynakları incelemenizi öneririm.

IEEE 802.1Q standardı, VLAN ve Filtreleme Veritabanı mekanizmalarını resmi olarak tanımlar. Bu belge davranışın teorik temelini anlamak için vazgeçilmezdir. IEEE 802.1Q-2022 Standardı üzerinden güncel versiyona erişebilirsiniz.
OpenConfig AFT modeli, satıcı bağımsız ağ yönetiminin geleceğidir. YANG modelinin tüm detaylarını OpenConfig AFT GitHub Deposu üzerinde bulabilirsiniz.
IETF RFC 7432, EVPN ortamında MAC adresi öğrenme sürecini standartlaştırır. Bu belge özellikle VXLAN ve AFT etkileşimini anlamak için kritiktir. RFC 7432 — BGP MPLS-Based Ethernet VPN bağlantısından tam metne ulaşabilirsiniz.

Adres Yönlendirme Tablosu Hakkında SSS

AFT ile standart MAC adres tablosu (CAM tablosu) arasındaki temel farklar nelerdir?

CAM, Content Addressable Memory’nin kısaltmasıdır. Donanımın ta kendisidir. Adres Yönlendirme Tablosu ise bu donanımın yazılımsal arayüzüdür.

Yani CAM fiziksel bellektir, AFT ise o belleğin mantıksal görünümüdür. Anahtar, MAC adresini bir hash fonksiyonundan geçirir. CAM hücresinde bu adresi arar.

Bulduğu anda port numarasını ışık hızıyla döndürür. Açıkçası terimleri birbirinin yerine kullanan çok mühendis gördüm. Oysa arka planda işleyen mekanizma tamamen donanımsaldır.

Anahtar (Switch), AFT’de olmayan bir hedefe gelen çerçeveyi ne yapar?

Hemen bilinmeyen tek noktaya iletim (unicast flooding) başlatır. Çerçeveyi geldiği port hariç tüm portlara kopyalar. Biraz gürültülü bir yöntemdir ama geçici çözümdür.

Hedef cihaz o çerçeveye yanıt verdiği an işler değişir. Anahtar, cevap çerçevesindeki kaynak MAC adresini okur. Ardından bu adresi, cevabın geldiği portla eşleştirip tabloya yazar.

Sonraki çerçeveler artık sadece o porta iletilir. Böylece flooding otomatik olarak durur. Lakin büyük ağlarda sürekli flooding performansı ciddi şekilde düşürür.

AFT’deki bir MAC adresi neden ve nasıl “yaşlanır”?

Dinamik öğrenilen her girişin bir ömrü vardır. Anahtar, belirli bir süre boyunca o MAC adresinden çerçeve görmezse kaydı siler. Buna yaşlanma (aging) adını veririz.

Amaç, geçerli olmayan cihazların tabloyu şişirmesini önlemektir. Örneğin bir dizüstü bilgisayar fişten çıkarılıp başka bir prize takıldığında eski port kaydı hemen silinmez. Yaşlanma süresi dolana kadar bekler.

Varsayılan süre çoğu üreticide 300 saniyedir. Dilerseniz bu değeri ağ yapınıza göre optimize edersiniz. Fakat 1200 saniyenin üzerine çıkmak macera olur.

AFT boyutu ağ performansını nasıl etkiler ve maksimum kapasiteye ulaşılırsa ne olur?

Her anahtar modelinin belleğinde sınırlı bir alan vardır. Kurumsal bir cihaz 32 bin, hatta 128 bin MAC adresini aynı anda saklayabilir. Sınır aşıldığında tablo taşması meydana gelir.

Taşma anında anahtar yeni adresleri öğrenemez. Bilinmeyen hedeflere sürekli flooding yapmak zorunda kalır. Ağda anlamsız bir trafik dalgası oluşur.

Üstelik meşru cihazlar bile bağlantı kuramaz hale gelir. Kullanıcılar anlık kopmalar yaşar. Bu senaryoyu önlemek için port başına MAC sınırı koymak şarttır.

AFT’nin VLAN’lar ile ilişkisi nedir; her VLAN için ayrı bir AFT mi bulunur?

Kesinlikle evet. Modern anahtarlar her VLAN için bağımsız bir filtreleme veritabanı tutar. Adres yönlendirme tablosu da VLAN etiketine göre ayrışır.

Böylelikle aynı MAC adresi VLAN 10 ve VLAN 20 içinde çakışma olmadan kullanılabilir. Anahtar çerçeveyi işlerken önce VLAN etiketine, sonra MAC adresine bakar. Bu katmanlı yapı sayesinde büyük ağlar segmentlere bölünür.

Sonuçta her VLAN kendi küçük anahtarlama alanı gibi davranır. Trunk portlarda ise birden çok VLAN’ın tablo girişleri aynı fiziksel hat üzerinde taşınır.

AFT’yi görüntülemek veya yönetmek için hangi komutlar ve arayüzler kullanılır?

Cisco dünyasında işiniz oldukça basittir. Ayrıcalıklı modda `show mac address-table` komutunu çalıştırırsınız. Belirli bir VLAN’a filtrelemek için ‘vlan 100’ parametresini eklersiniz.

Juniper cihazlarda ise ‘show ethernet-switching table’ komutu imdada yetişir. Yaşlanma süresini değiştirmek için ‘set ethernet-switching-options mac-table-aging-time’ ile saniye bazında değer girersiniz.

Grafik arayüz tercih edenler Cisco DNA Center veya Juniper Mist gibi modern platformları kullanır. Bu araçlar telemetri verisiyle AFT’yi anlık olarak görselleştirir. Komut satırı yine de en hızlı müdahale yöntemidir.

MAC adresi taşması (flooding) saldırısı AFT’yi nasıl etkiler ve buna karşı ne tür güvenlik önlemleri alınabilir?

Saldırgan, sahte kaynak MAC adresleriyle portu bombardıman eder. Adres yönlendirme tablosu anında binlerce çöp girişle dolar. Kısa sürede tüm kapasite tükenir.

Meşru cihazların MAC adresleri tabloya yazılamaz olur. Anahtar mecburen her çerçeveyi tüm portlara flood’lar. Saldırgan bu sayede normalde göremeyeceği trafiği yakalar.

Buna karşı port security en etkili kalkandır. Her porta maksimum 2-3 MAC adresi sınırı koyarsınız. İhlalde portu kapatır veya kısıtlarsınız. Ayrıca sticky MAC özelliğiyle öğrenilen adresleri kalıcı hale getirmek gerekir.

Statik AFT kaydı ile dinamik AFT kaydı arasındaki fark nedir, ne zaman statik kayıt eklenmelidir?

Dinamik kayıtlar trafik akışıyla kendiliğinden oluşur ve yaşlanır. Statik kayıtlar ise sizin elinizle yazdığınız, asla silinmeyen girişlerdir.

Kritik bir sunucu asla taşınmayacaksa statik tanımlama mükemmel bir tercihtir. Saldırgan o MAC adresini taklit etse bile farklı porta geçemez. Port güvenliğiyle birleştiğinde sıfır toleranslı bir kalkan oluşur.

Komut satırında ‘mac address-table static’ ile bu işlemi saniyeler içinde tamamlarsınız. Düşük güvenlikli ortamlarda dinamik öğrenme yeterlidir. Fakat finans veya kamu ağlarında statik kayıt politikası standart haline gelmelidir.

AFT, Layer 3 yönlendirme tablosu ile nasıl bir etkileşim içindedir?

Layer 3 cihazı bir paketi yönlendirirken önce FIB tablosuna bakar. Next-hop IP adresini ve çıkış arayüzünü bulur. Sonra o IP’ye karşılık gelen MAC adresini ARP tablosundan çeker.

İşte tam bu noktada devreye adres yönlendirme veritabanı girer. Çerçeve artık hedef MAC adresini taşıyordur. Anahtar, o MAC adresinin hangi fiziksel porta bağlı olduğunu AFT’den sorgular.

Bulduğu anda çerçeveyi iletir. Yani yönlendirme kararı Layer 3’te, iletim kararı Layer 2’de verilir. Bu iki tablo birlikte dans etmeden paket yerine ulaşamaz.

AFT ile ilgili sorunları gidermek için hangi temel adımlar izlenmelidir?

Öncelikle CLI’dan mevcut tabloyu dökümleyin. Şüpheli MAC adreslerini ve ait oldukları portları inceleyin. Yaşlanma süresinin ortamınıza uygun olup olmadığını doğrulayın.

Ardından port security loglarını kontrol edin. İhlal kayıtları size saldırı veya yanlış yapılandırma ipuçları verir. VLAN bazlı filtreleme ile kirlenmiş girişleri tespit edin.

Son olarak sayaç hatalarına göz atın. Fiziksel katman sorunları bile adres öğrenme mekanizmasını bozabilir. Temiz bir tablo için düzenli bakım şarttır.

Sonuç: AFT’nin Geleceği ve Ağ Verimliliğine Katkıları

Doğru AFT Yapılandırması ile Performans Kazanımları

Doğru yapılandırma ağınıza somut kazançlar getirir. Düşük gecikme, yüksek verim ve güvenilir iletişim bunlardan sadece birkaçıdır. Sahada bu farkı net şekilde görürsünüz.

Benim tecrübelerime göre, optimize edilmiş bir AFT tablosu flooding trafiğini yüzde 80 azaltır. Ağ verimliliği gözle görülür şekilde artar. Kullanıcılar uygulama performansındaki iyileşmeyi hemen fark eder.

Ayrıca güvenlik tarafında da kazanç sağlarsınız. Port güvenliği ile entegre AFT, izinsiz erişimleri anında engeller. ARP zehirlenmesi saldırıları başarısız olur.

Unutmayın, bu yapı sadece teknik bir tablo değildir. Ağınızın hafızası, omurgasıdır. Ona hak ettiği özeni gösterin.

Geleceğe Bakış: Yapay Zeka ile Dinamik AFT Yönetimi

2026 ve sonrasında AFT yönetimi tamamen değişecek. Yapay zeka destekli sistemler, MAC adresi desenlerini analiz edecek. Yaşlanma süreleri trafik modeline göre kendiliğinden ayarlanacak.

Makine öğrenmesi algoritmaları anormal davranışları saniyeler içinde tespit edecek. Algoritmalar, güvenlik tehditlerini henüz oluşmadan engeller. Ağ yöneticileri reaktif değil proaktif çalışacak.

Bununla birlikte intent-based networking yapılandırmayı soyutlayacak. Siz ne istediğinizi söyleyeceksiniz. Sistem en uygun politikayı otomatik uygulayacak.

Gelecek heyecan verici. AFT gibi temel yapı taşları dahi zeka kazanacak. Bu değişime şimdiden hazırlanmak en akıllıca stratejidir.