FortiSwitch

FortiSwitch, FortiGate güvenlik duvarına FortiLink protokolüyle bağlanan ve firewall’un mantıksal bir uzantısı gibi davranan yönetilen kurumsal switch ailesidir. VLAN tanımı, port yapılandırması, PoE beslemesi ve erişim politikaları ayrı bir switch konsoluna girilmeden FortiGate arayüzünden yönetilir. Tek bir FortiGate, modeline göre 8 ile 300 arasında FortiSwitch’i tek noktadan yönetebilir (Fortinet FortiSwitch Secure Access veri sayfası, 2026).

Erişim katmanı, kurumsal güvenlik mimarisinin en çok ihmal edilen halkasıdır. Verizon’un 2025 Veri İhlali Soruşturmaları Raporu’na göre fidye yazılımı incelenen ihlallerin %44’ünde mevcuttu; küçük ve orta ölçekli kurumlarda bu oran %88’e çıktı (Verizon DBIR, 2025). Bir uç noktaya bulaşan zararlının tüm yerel ağa yayılmasını sınırlayan şey çevredeki güvenlik duvarı değil, kullanıcı portunun bağlı olduğu switch üzerinde uygulanan segmentasyon ve erişim kontrolüdür. FortiSwitch bu kontrolü, ayrı bir NAC ürünü satın almaya gerek kalmadan FortiGate politikalarının doğal devamı olarak sunar.

FortiLink nedir ve FortiSwitch’i FortiGate üzerinden yönetmek ne kazandırır?

FortiLink, FortiSwitch’i FortiGate’in yönetim düzlemine bağlayan protokoldür. Bu modda switch bağımsız bir ağ cihazı olmaktan çıkar ve güvenlik duvarının uzak bir port grubu gibi davranır: VLAN tanımı, port ataması, PoE portunun açılıp kapatılması, trunk yapılandırması ve yazılım güncellemesi FortiGate arayüzünden yapılır. Ayrı bir yönetim IP’si, ayrı bir CLI oturumu ve ayrı bir yapılandırma yedekleme rutini tutmaya gerek kalmaz. Fortinet, FortiLink’in switch’i FortiGate’in mantıksal bir uzantısı hâline getirdiğini ve FortiGate modeline göre 8 ila 300 switch’in bu şekilde yönetilebildiğini belirtiyor (Fortinet, 2026).

Kazanç yalnızca konsol sayısını azaltmak değildir. Güvenlik politikası ile ağ yapılandırması aynı yerde tanımlandığı için bir kullanıcı grubunu izole etmek ya da bir cihaz sınıfını ayrı bir segmente taşımak iki farklı ekibin koordinasyonunu gerektirmez. FortiGate güvenlik duvarı ailesi zaten kimlik, uygulama ve tehdit bağlamını taşıdığı için switch portu bu bağlamı doğrudan devralır. Pratikte bu, “erişim katmanında kim, hangi cihazla, hangi kaynağa erişiyor” sorusunun tek bir yerden cevaplanabilmesi anlamına gelir. Klasik kurulumlarda bu bilgi switch’in MAC tablosu, RADIUS günlükleri ve firewall oturum tablosu arasında dağınık durur.

FortiLink entegrasyonu, ek ücret gerektirmeyen temel bir ağ erişim kontrolü (NAC) katmanı da getirir. Fortinet’in FortiSwitch Secure Access veri sayfasında bu katman dört başlıkta tanımlanıyor (Fortinet, 2026):

• Cihaz profilleme: ağa bağlanan her cihazın türü ve davranışı otomatik olarak sınıflandırılır; envanter dışı bir cihaz porta takıldığında görünür olur.
• IoT için otomatik segmentasyon: yazıcı, kamera, kartlı geçiş paneli, IP telefon gibi cihazlar tanımlı segmentlere kendiliğinden yerleştirilir; kullanıcı ağıyla aynı yayın alanında kalmazlar.
• İhlal hâlinde karantina: politika dışı davranan bir cihaz bağlı olduğu portta izole edilir, olay incelenene kadar yanal hareket önlenir.
• Sanal yamalama: güncellenemeyen eski cihazlar için koruma ağ katmanında uygulanır; üretim hattındaki bir HMI veya ömrünü doldurmuş bir tıbbi cihaz bu yaklaşımın tipik hedefidir.

Bu bileşenlerin tümü Fortinet Security Fabric mimarisi içinde çalışır. Fortinet, Security Fabric’in kendi ürünlerinin yanı sıra 500’den fazla üçüncü taraf çözümü kapsayan bir ekosistemde birleşik görünürlük sağladığını ve dünya genelinde 1.000.000’dan fazla müşterinin Fortinet çözümlerini kullandığını açıklıyor (Fortinet Kurumsal Bilgiler, 2026). Switch katmanının bu mimarinin dışında bırakılması, en çok cihazın bağlandığı katmanı görünürlük dışında bırakmak demektir.

Bir FortiGate kaç FortiSwitch yönetebilir?

FortiGate modeline göre 8 ile 300 arasında FortiSwitch tek bir FortiGate üzerinden yönetilebilir (Fortinet FortiSwitch Secure Access veri sayfası, 2026). Alt sınır küçük sanal örneklerde, üst sınır ise yüksek kapasiteli sanal FortiGate’lerde geçerlidir. Kapasite planlamasında gözden kaçan nokta, aynı FortiGate’in eşzamanlı olarak FortiAP erişim noktalarını da yönetiyor olmasıdır; iki sayı birlikte değerlendirilmelidir. Aşağıdaki tablo, ilgili modellerin resmî Fortinet veri sayfalarından doğrulanmış üst sınırlarını gösterir.

Tablodaki değerler resmî veri sayfalarındaki maksimum sayılardır; tasarım hedefi değildir. Uygulamada FortiGate aynı anda güvenlik denetimi, VPN sonlandırma ve SD-WAN yönlendirmesi de yaptığı için, yönetilen switch sayısını üst sınıra dayamak yerine büyüme payı bırakmak gerekir. Tek katlı bir şube ofisinde FortiGate 100F tipik olarak yeterliyken, çok binalı bir kampüs LAN’ında FortiGate 200F ve üzeri modeller tercih edilir. FortiOS sürümü de ayrı bir kısıttır, ancak bu koşul her modelde geçerli değildir: 120G (48), 400F (96), 600F (128) ve 900G (196) veri sayfalarında tablodaki üst sınırlar FortiOS 7.6.1 ve sonrası için verilir — örneğin 120G daha eski sürümlerde 48 değil 32 switch yönetir. 60F, 70G, 80F, 90G, 100F, 200F ve FortiGate-VM veri sayfalarında böyle bir sürüm koşulu belirtilmez.

Bir başka planlama girdisi FortiLink arayüzünün hızıdır. Giriş seviyesi FortiGate modellerinde FortiLink portları 1 Gbit’lik RJ45 arayüzlerdir; 100F, 120G ve 200F gibi modellerde 10GE SFP+ FortiLink portları bulunur. Erişim katmanındaki toplam trafiğin firewall üzerinden geçtiği tasarımlarda bu fark, kampüs ölçeğinde doğrudan darboğaz anlamına gelebilir.

PoE bütçesi nasıl planlanır ve Wi-Fi 7 erişim noktaları için PoE++ şart mı?

PoE+ desteği FortiSwitch ailesinin geneline yayılmıştır; seçili modeller 802.3bt (PoE++) ile port başına 90 W verir. Fortinet hem Secure Access hem Secure Campus veri sayfasında “tüm modellerde PoE+ desteği” ifadesini kullanır (Fortinet FortiSwitch Secure Access veri sayfası, 2026); pratikte her seride PoE’siz, yarı PoE’li ve tam PoE’li ayrı SKU’lar bulunduğu için besleme kapasitesi model adıyla değil SKU seçimiyle belirlenir. 802.3bt tarafında somut bir örnek FS-124G-FPOE’dir: 8 adet 802.3bt (90 W) ve 16 adet 802.3af/at (30 W) portu birlikte sunar. Wi-Fi 7 sınıfı amiral erişim noktalarında 30 W’lık bir port çoğu senaryoda yeterli olmaz.

Fortinet’in Wi-Fi 7 amiral modelleri FAP-441K ve FAP-443K dört radyo ve dört uzamsal akış sunar, 6 GHz bandını destekler, 10 Gigabit Ethernet portlarına ve 802.3bt PoE’ye sahiptir (Fortinet FortiAP Series veri sayfası, 2026). Bu iki gereksinim switch tarafında birlikte ortaya çıkar: 802.3bt besleme ve 1 Gbit’in üzerinde erişim portu. Yalnızca PoE bütçesine bakıp port hızını göz ardı eden bir tasarım, kablosuz tarafta ödenen yatırımın karşılığını alamaz. FortiAP kablosuz ağ çözümleri ile FortiSwitch birlikte projelendirildiğinde bu iki kalem aynı hesapta değerlendirilir.

Toplam PoE bütçesi model ve SKU’ya göre belirgin biçimde değişir; bu nedenle “FortiSwitch’in PoE bütçesi şudur” diye tek bir rakam vermek mümkün değildir. Fortinet’in veri sayfalarında her SKU için ayrı bir PoE Power Budget satırı bulunur ve aynı serinin PoE’siz varyantında bu değer sıfırdır. Aşağıdaki tablo, Secure Access (Fortinet, 2026) ve Secure Campus (Fortinet, 2026) veri sayfalarındaki PoE Power Budget satırlarından doğrulanmış örnekleri gösterir.

Tablodaki değerler ilgili SKU’nun veri sayfasındaki maksimum PoE çıkışıdır; portların tamamına aynı anda azami güç verileceği anlamına gelmez. Projelendirmede bütçe şu üç kalem toplanarak çıkarılmalıdır: erişim noktalarının anlık tüketimi, IP telefon ve kamera yükü, ileride eklenecek IoT cihazları için ayrılan pay. Seçilen SKU’nun güncel resmî veri sayfası her projede yeniden teyit edilmelidir; Fortinet portföyü SKU seviyesinde güncellenmektedir.

Pratik bir kural, PoE bütçesini portların tamamı dolu varsayımıyla değil, gerçekleşen cihaz listesi üzerinden hesaplamaktır. 24 portluk bir kat dolabında yalnızca birkaç erişim noktası ve bir grup IP telefon besleniyorsa, 802.3bt portlarını erişim noktalarına ayırıp kalan portları 30 W sınıfında bırakan karma bir SKU — FS-124G-FPOE gibi — hem maliyet hem güç açısından dengeli bir tercihtir. Portlarının tamamı 802.3bt olan FS-348G-FPOE sınıfı bir cihaz ise ancak yoğun PTZ kamera veya Wi-Fi 7 dağılımı varsa gerçekten karşılığını bulur; aksi hâlde kullanılmayan bir bütçe için ödeme yapılmış olur.

Ağ segmentasyonu neden switch katmanında kurulmalı?

Çünkü saldırının yayıldığı yer çevre değil, iç ağdır. ENISA’nın 2025 Tehdit Görünümü raporu, 1 Temmuz 2024 – 30 Haziran 2025 döneminde 4.875 olayı inceledi; kimlik avı %60 ile baskın sızma vektörü olurken zafiyet sömürüsü ilk erişimlerin %21,3’ünü oluşturdu (ENISA Threat Landscape, 2025). Her iki vektörde de saldırgan ilk adımda bir kullanıcı cihazına veya bir uç cihaza iner. O andan sonra hasarın büyüklüğünü belirleyen, o cihazın bağlı olduğu segmentin ne kadar geniş olduğudur.

Verizon DBIR 2025, üçüncü taraf karışımı olan ihlallerin oranının bir yılda %15’ten %30’a çıktığını raporluyor (Verizon DBIR, 2025). Bakım firmasının dizüstü bilgisayarı, tedarikçinin kurduğu bir otomasyon paneli ya da geçici bir danışman hesabı; hepsi kurumsal LAN’a bir switch portundan giriyor. Bu portun hangi VLAN’a düştüğü, hangi kaynaklara erişebildiği ve davranışı bozulduğunda otomatik olarak izole edilip edilmediği, ihlalin bir cihazda mı kalacağını yoksa tüm ağa mı yayılacağını belirler.

FortiSwitch bu kontrolü nasıl uyguluyor?

FortiLink modunda erişim kontrolü, FortiGate’in politika motorunun bir uzantısı olarak çalışır. Cihaz profilleme ile takılan her cihaz sınıflandırılır, IoT sınıfındaki cihazlar tanımlı segmentlere otomatik yerleştirilir, politika ihlali durumunda ilgili port karantinaya alınır ve yamalanamayan cihazlar için sanal yamalama devreye girer (Fortinet, 2026). Bu dört yetenek, veri sayfasında ek maliyet gerektirmeyen temel NAC işlevi olarak tanımlanıyor — yani ayrı bir NAC sunucusu, ayrı bir konsol ve ayrı bir işletim yükü doğurmuyor.

Kimlik doğrulama tarafında FortiSwitch, veri sayfasında listelendiği şekliyle 802.1X’in port tabanlı ve MAC tabanlı biçimlerini ve MAC Access Bypass (MAB) yöntemini destekler; RADIUS özniteliklerine dayalı dinamik VLAN ataması (RFC 4675), guest/fallback VLAN ve RADIUS CoA da desteklenen yetenekler arasındadır (Fortinet, 2026). Buradaki önemli ayrım şudur: FortiLink NAC’in port güvenliği otomasyonu 802.1X’i zorunlu tutmaz. 802.1X altyapısı kuramayan ya da kademeli geçiş yapan kurumlar profil tabanlı otomatik segmentasyonla başlayıp 802.1X’i sonradan devreye alabilir; iki mekanizma birbirinin alternatifi değil, tamamlayıcısıdır.

Uç nokta tarafındaki tespit ve müdahale yetenekleriyle birlikte kullanıldığında zincir tamamlanır: FortiEDR bir uç noktada şüpheli davranış tespit ettiğinde, Security Fabric üzerinden switch portunun izole edilmesi tetiklenebilir. Böylece müdahale, bir mühendisin kat dolabına gidip kabloyu çekmesini beklemek yerine saniyeler içinde ağ katmanında gerçekleşir.

Segmentasyon tasarımında sık yapılan hata, VLAN sayısını artırmayı segmentasyon sanmaktır. Segmentleri birbirinden ayıran şey VLAN etiketi değil, aralarındaki trafiğin denetlenmesidir. FortiSwitch’in FortiGate ile birlikte konumlandırılmasının değeri tam olarak buradadır: segmentler arası trafik, çevre trafiğiyle aynı politika ve aynı denetim setinden geçer.

FortiSwitch hangi yönetim modlarında çalışır ve hangi model seçilmeli?

FortiSwitch üç yönetim modunda konumlandırılabilir: FortiLink (FortiGate üzerinden), bağımsız (standalone) ve FortiEdge Cloud. Secure Access serisi 1 RU gövdede 48 erişim portuna kadar ölçeklenir ve 10GE’ye kadar uplink sunar (Fortinet FortiSwitch Secure Access veri sayfası, 2026). Mod seçimi büyük ölçüde ortamda bir FortiGate bulunup bulunmadığına ve yönetimin nerede toplanmak istendiğine bağlıdır.

Hangi mod hangi senaryoya uygun?

FortiLink modu, ortamda zaten bir FortiGate varsa varsayılan tercihtir; politika ve ağ yapılandırması tek yerde toplanır, ücretsiz NAC yetenekleri bu modda devreye girer. Bağımsız mod, FortiGate’in bulunmadığı veya switch’in başka bir güvenlik duvarının arkasında konumlandığı ortamlarda klasik switch yönetimi sunar. FortiEdge Cloud ise cihaz başına yerinde yönetim yapılamayan, çok sayıda küçük lokasyonun bulut üzerinden tek panelden yönetilmek istendiği senaryolar içindir; şube sayısının fazla olduğu perakende ve bayi ağlarında bu model işletme yükünü belirgin biçimde azaltır.

Çok sayıda FortiGate’in bulunduğu dağıtık kurumlarda yönetim bir üst katmana taşınabilir. Fortinet, FortiManager’ın FortiGate, FortiSwitch, FortiAP, SD-WAN ve FortiSASE dahil 100.000 Fortinet cihazını desteklediğini belirtiyor (Fortinet FortiManager ürün sayfası, 2026). Şube güvenliğinin buluta taşındığı tasarımlarda ise FortiSASE ile birlikte kurgulanan bir yerel LAN katmanı, uzak kullanıcılar ile ofis içi kullanıcıları aynı politika setinde buluşturur.

Port yoğunluğu ve uplink nasıl belirlenir?

Erişim katmanı boyutlandırmasında üç girdi vardır: kullanıcı başına port sayısı, PoE ile beslenecek cihazların listesi ve uplink kapasitesi. 1 RU gövdede 48 erişim portu, tipik bir kat dolabı için yeterli yoğunluğu sağlar; daha küçük kat veya oda dağıtımlarında daha düşük port sayılı modeller kablolama maliyetini düşürür. Uplink tarafında Secure Access serisinin sunduğu 10GE seçeneği, kat dolabından dağıtım katmanına giden bağlantının erişim portlarının toplam kapasitesini karşılamasını sağlar; tek 1GE uplink ile 48 portluk bir switch beslemek yoğun ofis ortamlarında darboğaz üretir. Kampüs ölçeğinde tavan daha yüksektir: FortiSwitch Secure Campus serisi 100GE’ye kadar uplink ve FortiGate başına 300 switch’e kadar stacking sunar (Fortinet FortiSwitch Secure Campus veri sayfası, 2026). Örneğin FS-T1024F-FPOE 24 adet 10GBASE-T erişim portunu 2x 40GE/100GE QSFP28 uplink ile birleştirir; FS-648F-FPOE 8x 25GE SFP28 uplink sunar. Bu nedenle “FortiSwitch uplink’i 10GE’dir” genellemesi yanlıştır — 10GE sınırı erişim odaklı Secure Access serisine aittir.

Yedeklilik ihtiyacı olan kat dolaplarında iki uplink’in bağımsız yollardan dağıtım katmanına çıkarılması, tek kablo veya tek transceiver arızasının kat genelinde kesinti yaratmasını önler. Bu tasarım kararı, ilk yatırımda birkaç ek optik modül maliyeti getirse de operasyonel kesinti maliyetiyle karşılaştırıldığında hızla geri döner. Güç tarafında da benzer bir denge vardır ve yedekliliğin kapasiteyle doğrudan ilişkisi çoğu zaman gözden kaçar: FS-548D-FPOE’nin toplam PoE bütçesi tek güç kaynağıyla 750 W, çift güç kaynağıyla 1.440 W’tır (Fortinet, 2026). Yani ikinci PSU yalnızca arıza toleransı değil, kullanılabilir PoE bütçesi de satın alır; PoE yoğun katlarda tek PSU ile hesaplanan bir tasarım devreye alma sırasında bütçe sınırına çarpabilir.

KVKK ve PCI DSS uyumunda switch katmanı hangi yükümlülükleri karşılar?

Ağ segmentasyonu ve erişim kaydı, hem KVKK teknik tedbirlerinde hem PCI DSS v4.0 maddelerinde doğrudan adı geçen kontrollerdir. KVKK’nın Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) başlıklı Ocak 2018 tarihli yayını, kişisel veri içeren sistemlerin korunmasında güvenlik duvarı ve ağ geçidini öncelikli tedbir ve ilk savunma hattı olarak tanımlar; rehberin teknik tedbirler özet tablosunda ağ güvenliği, erişim logları, log kayıtları ve saldırı tespit/önleme sistemleri ayrı kalemler olarak sayılır (KVKK Kişisel Veri Güvenliği Rehberi, 2018).

PCI DSS v4.0 tarafında terminoloji değişmiştir: standart artık “firewall” yerine Network Security Control (NSC) ifadesini kullanır. Kart verisi işleyen kurumlar için switch katmanını doğrudan ilgilendiren maddeler şunlardır (PCI DSS v4.0 SAQ D for Merchants):

• 1.4.1 — Güvenilen ve güvenilmeyen ağlar arasında NSC uygulanır.
• 1.3.3 — Kablosuz ağ ile kart verisi ortamı (CDE) arasına NSC kurulur; kablosuz ağdan CDE’ye tüm trafik varsayılan olarak reddedilir.
• 1.2.7 — NSC yapılandırmaları en az altı ayda bir gözden geçirilir.
• 11.4.5 — CDE’yi diğer ağlardan ayırmak için segmentasyon kullanılıyorsa, segmentasyon kontrollerine en az yılda bir kez ve her segmentasyon değişikliğinden sonra sızma testi yapılır (PCI SSC Scoping and Segmentation Guidance).

Bu maddeler pratikte iki şey ister: segmentin gerçekten ayrılmış olması ve bunun kanıtlanabilir olması. Kanıt tarafı log ve raporlama katmanına bakar. FortiAnalyzer donanım ailesi günlük 100 GB ile 8.300 GB arasında log kapasitesine ölçeklenir ve 180 ile 10.000 arasında cihaz/VDOM destekler; PCI-DSS ve HIPAA gibi hazır uyumluluk raporları sunar (Fortinet FortiAnalyzer veri sayfası, 2026). Denetim döneminde “segmentasyon vardı” demek yeterli değildir; hangi cihazın hangi segmentte olduğu ve segmentler arası trafiğin nasıl denetlendiği kayıt üzerinden gösterilebilmelidir.

BDDK denetimine tabi finans kurumlarında ve kamu kurumlarında ek olarak yerel destek, Türkçe dokümantasyon ve yedek parça erişimi de değerlendirme kriterine girer. Sora Yazılım, Fortinet yetkili kanal partneri olarak bu kalemleri sözleşme kapsamında tanımlıyor; RMA süreçleri ve yerinde müdahale şartları teklif aşamasında netleştiriliyor.

Mevcut switch altyapısından FortiSwitch’e geçiş nasıl planlanır?

Geçiş, tüm switch’lerin bir hafta sonunda değiştirildiği bir operasyon değil, kat kat ilerleyen aşamalı bir projedir. Uyguladığımız sıra genellikle şudur: mevcut topolojinin ve VLAN planının çıkarılması, PoE cihaz envanterinin toplanması, hedef segmentasyon modelinin FortiGate üzerinde tanımlanması, pilot bir katın FortiLink ile devreye alınması ve doğrulamanın ardından kalan katların sırayla taşınması.

Envanter aşaması çoğu projede en çok sürprizin çıktığı adımdır. Kat dolaplarında kayıt dışı switch’ler, belgelenmemiş VLAN’lar, hâlâ üretimde olan eski IP telefon santral bağlantıları ve sahibi bilinmeyen IoT cihazları tipik olarak bu aşamada ortaya çıkar. Bu nedenle envanteri geçiş öncesinde değil, geçişin ilk teslimatı olarak ele alıyoruz; segmentasyon modeli ancak doğru envanter üzerine kurulabilir.

Pilot katın seçiminde iki kriteri öne alıyoruz: kullanıcı yoğunluğunun temsili olması ve kritik iş sürecinin o katta bulunmaması. Pilot sonrası doğrulama listesinde 802.1X kimlik doğrulamasının çalışması, ses trafiğinin önceliklendirilmesi, PoE cihazlarının yeniden başlatma sonrası sorunsuz gelmesi ve yedek uplink üzerinden yük devretmenin test edilmesi yer alır.

Bütün ortamlarda tek marka LAN hedefi doğru bir tercih olmayabilir. Bütçe kısıtının belirleyici olduğu ya da güvenlik entegrasyonundan çok ham port yoğunluğunun arandığı projelerde Ruijie ağ çözümleri alternatif olarak değerlendirilir. Karar kriterimiz nettir: FortiGate merkezli bir güvenlik mimarisi kuruluyorsa ve erişim katmanında politika bütünlüğü isteniyorsa FortiSwitch’in getirisi yüksektir; aksi hâlde daha uygun maliyetli bir switch ailesi yeterli olabilir.

Ağ tasarımının sanallaştırma, konteyner ve otomasyon katmanıyla birlikte ele alınması gereken projelerde DevOps ve altyapı hizmetlerimiz devreye girer; VLAN ve segment tasarımı, uygulama yerleşimi ve erişim politikaları tek bir mimari çalışmasında birleştirilir.

FortiSwitch tarafında kaç portluk kaç switch’e ihtiyacınız olduğunu, PoE bütçenizin gerçek cihaz listesiyle nasıl çıkacağını ve mevcut FortiGate’inizin kaç switch’i yönetebileceğini birlikte çıkaralım. Mevcut topolojinizi ve cihaz envanterinizi paylaşın; segmentasyon modeli, model önerisi ve geçiş planını içeren bir tasarım dokümanı ve teklif hazırlayalım. İletişim sayfamızdan bize ulaşabilir, Fortinet yetkili kanal partneri olarak lisanslama, kurulum, migrasyon ve yönetilen hizmet seçeneklerini değerlendirebilirsiniz.