Bölüm 51: Operatör ve Metro Ağları

İki kurumun sınırı arasında kalan yol bir operatörün ağından geçiyor ve orası evdekine benzemiyor.

Aynı Ethernet çalışıyor, ama bambaşka bir ölçekte ve bambaşka kurallarla. Peki bu ağ seninkinden nerede ayrılıyor?

Şehir ölçeğinde ne değişiyor?

28. bölümde ağları menzillerine göre sıralamıştık ve ortadaki basamağın adı metropol alan ağıydı (MAN). Operatörün metro halkası bu ölçekte duruyor. Bir şehri kapsar, binaları ve santralleri birbirine bağlar.

İnternetin merkezinde az sayıda, birbirine çok bağlı büyük ağ vardır. Bunlar ulusal ve uluslararası kapsama satan ticari taşıyıcılardır. 45. bölümde her operatör ayrı bir otonom sistem olarak kendi politikasını yürütüyordu. Buradaki konu o politikanın altındaki fiziksel ağdır.

Aynı operatör üç işi birden yapıyor: uzun mesafe yüksek hızlı hatları işletiyor, bir şehrin içinde işletmeler arası metro bağlantıları kuruyor, evlere giden erişim hatlarını da o çekiyor. Senin faturanda üçü tek satırda toplanıyor, oysa arkalarında üç ayrı mühendislik duruyor.

Ethernet bu üç işin ortasında yer değiştirdi ve artık yalnızca yerel bir ağ teknolojisi sayılmıyor. Kıtalar arası hatlarda bile taşınan şey çoğunlukla Ethernet frame’leri; altta ise ışığı dalga boylarına bölen, 54. bölümde göreceğin DWDM katmanı duruyor. Operatör ağını kurum ağından ayıran şey bu yüzden protokolün adı olamıyor. Ayıran şey switch’ten istenen yetenek listesi oluyor ve kampüs tasarımında o listenin çoğuna hiç ihtiyacın olmuyor. Operatörlerin ortak kuruluşu MEF, taşıyıcı sınıfı Ethernet’i beş özellikle tarif ediyor: standart servisler, ölçeklenebilirlik, güvenilirlik, hizmet kalitesi ve hizmet yönetimi. Kuruluş 2001’de Metro Ethernet Forum adıyla doğdu ve Haziran 2025’ten beri Mplify adını taşıyor.

Mesafe de aynı yönde büyür. Standart, 1000BASE-LX için tekli mod fiberde 5 kilometre öngörür; uzatılmış erişimli sürümler 70-100 kilometreye ve ötesine gider. On gigabitte 10GBASE-LR tekli mod fiberde 10 kilometreye, 10GBASE-ER 40 kilometreye ulaşır. Şehir ölçeğinde hizmet götüren bağlantıları kuran şey bu tekli mod interface’lerdir. Bugün aynı işi 400 Gbit/s’le yapan takılabilir modüller (400ZR) router’ın portuna doğrudan takılıyor ve iki veri merkezini, arada ayrı bir optik taşıma cihazı olmadan, 80 kilometreye kadar bağlıyor.

Sorumluluk nerede bitiyor?

Operatörün ağı müşterinin binasında bir yerde biter. O bitiş noktasının adı demarkasyon noktasıdır (demarc) ve sorumluluk sınırı oradan geçer. Sınırın müşteri tarafında duran kutu müşterinindir; adı müşteri ucu cihazıdır (customer premises equipment, CPE). Demarkasyon noktasından operatörün binasına uzanan parçaya yerel döngü (local loop) denir. O binanın İngilizcedeki adı merkez ofis (central office), Türkiye’deki yaygın adı santral: operatörün switch’li ağı orada başlar ve şehirdeki abone hatları orada toplanır. Rakip operatörlerin bu hattı kiralamasının Türkiye’deki adını, YAPA’yı, 60. bölümde göreceksin.

Geniş alan bağlantısı çoğu zaman operatörden kiralanır. Router’ın WAN interface’i o kiralık hatta bakar. Hattın iki ucu operatörün ağında bir sanal devreyle birbirine tanıtılır; paketin izleyeceği yol o tanımdan çıkar.

Kiralama fikri metro Ethernet’ten eskidir. Frame Relay tipik olarak 64 kbit/s ile 2 Mbit/s arasında satılıyordu: üst ucu ABD’de 24 kanallık T1 hattının 1,544 Mbit/s’i, Avrupa’da ve Türkiye’de 32 kanallık E1 hattının 2,048 Mbit/s’iydi. Kurumsal hız aralığı buradan başladı ve metro Ethernet o pazarı devraldı.

Servis tipini teknoloji belirlemez, sanal bağlantının şekli belirler. İki uçlu bir Ethernet sanal bağlantısı (Ethernet Virtual Connection, EVC) üstüne kurulan her servisin adı E-Line’dır. Çok noktadan çok noktaya olan servis E-LAN’dır: birden çok şube tek bir switch’in portlarındaymış gibi konuşur. E-Tree köklü çok noktalı bir bağlantı üstüne kurulur ve yapraklar yalnızca kökle konuşur. Bir bankanın şubeleri merkeze ulaşmalı ama birbirini görmemeli; E-Tree bu tarif için var.

Her şekil iki sürümde satılır. Port tabanlı sürümde interface o servise adanmıştır ve aynı interface’te başka servis sonlanamaz. VLAN tabanlı sürümde aynı interface’te birden çok bağlantı sonlanır ve hangi frame’in hangi bağlantıya ait olduğunu 29. bölümdeki 802.1Q etiketi söyler. Altı abone servisinin künyesi MEF 6.3 belgesinde durur.

Somut bir vakaya oturt. Şirketin şube ağı 198.51.100.0/24, merkez ağı 203.0.113.0/24 olsun. Şubeyle merkez arasına noktadan noktaya bir bağlantı alırsan servisin adı EPL (Ethernet Private Line) olur ve şubedeki interface o tek servise adanır. Aynı interface’ten veri merkezine, 192.0.2.0/24 ağına, ikinci bir bağlantı daha istersen port tabanlı sürüm yetmez. EVPL’ye (Ethernet Virtual Private Line) geçersin: iki bağlantı aynı fiziksel interface’te ayrı etiketlerle sonlanır.

Sözleşmenin sayısal çekirdeği tek bir hız rakamı değildir. Taahhüt edilen bilgi hızı (committed information rate, CIR), operatörün altına imza attığı taban hızdır. Onun üstünde bir de fazlalık hızı (excess information rate, EIR) tanımlanır: omurganın yükü uygunsa trafik sözün üstüne çıkabilir, ama o kısım garanti taşımaz. Operatör her frame’i girişte 40. bölümdeki jeton kovasına benzeyen, iki kovalı bir ölçerle renklendirir. Taahhüdün içinde kalanlar yeşil, fazlalığa düşenler sarı, ikisini de aşanlar kırmızıdır. Kırmızılar girişte atılır. Sarılar ise 802.1Q etiketindeki tek bitlik DEI bayrağıyla (drop eligible indicator) işaretlenir ve omurga tıkandığında ilk onlar atılır.

Hizmet seviyesi sözleşmesi başlıca dört ölçüyle yazılır: tek yön frame gecikmesi, 2. bölümdeki gecikme oynaması, frame kayıp oranı ve tek yön erişilebilirlik. Dördü de bir hizmet sınıfı adına bağlanır.

Bu ölçüleri sözleşmeye yazabilmek bir servis modeli tercihidir. 40. bölümde internetin servis modelinin best effort olduğunu, garanti veren Intserv ile Diffserv’in varsayılan hâline gelemediğini görmüştük. Operatörün sattığı şey, o garantinin tek bir müşteri ve tek bir omurga için sözleşmeye geçmiş hâlidir. Söz yalnızca operatörün kendi ağının sınırına kadar geçerli.

Bir şehir 4.094 VLAN’a sığmaz

On iki bitlik VLAN kimliği operatör ölçeğinde yalnızca 4.094 kullanılabilir numara ediyor. Üstelik her müşteri kendi numaralarını kendi seçiyor ve numaralar çakışıyor. Sözleşmedeki hizmet sınıfı adı da sahada aynı etiketin üç bitlik öncelik alanına iniyor.

Çıkış yolu, müşterinin etiketinin üstüne ikinci bir etiket koymaktır. Yönteme Q-in-Q deniyor ve IEEE onu 2005’te 802.1ad adıyla standartlaştırdı. 4 baytlık tek etiket azami frame’i 1.518 bayttan 1.522 bayta çıkarır. Operatör kendi dış etiketini eklerse frame 1.526 bayta gider. Zarf frame’i (envelope frame) bu işi resmileştirir: 1.500 baytlık veriye 482 bayta kadar etiket ve başlık alanı ekler ve azami frame 2.000 bayta çıkar. Tek etiketli frame’in asgari veri alanı ise 42 bayta düşer; etiketin 4 baytı eksik kalan yeri doldurduğu için 64 baytlık asgari frame boyu korunur.

Dış etiket operatöründür, iç etiket müşterinin. Müşteri kendi numaralarını serbestçe seçmeye devam eder ve omurgadaki switch’ler yalnızca dış etikete bakarak iletir.

Numara sorunu böyle çözülür, iki sorun ise yerinde durur. Birincisi tablo: omurgadaki switch’ler hâlâ müşterilerin MAC adreslerini öğrenmek zorunda ve bütün bir şehrin cihazları aynı tablolara doluyor. IEEE bu yüzden 2008’de 802.1ah standardını yayımladı: müşterinin frame’i bütünüyle operatörün kendi MAC başlığının içine konuyor (MAC-in-MAC). İkincisi çap: 27. bölümdeki spanning tree’nin standardı en fazla yedi switch’lik bir ağ çapı önermişti ve zamanlayıcılar bu çapa göre hesaplanmıştı. Data link layer’ı bir şehre yaymanın bedeli buradan görünüyor. Operatörler omurgada bu yüzden başka bir fikre döndü: etikete.

Etiket, adresin yerine geçmez

MPLS’in (Multiprotocol Label Switching) ilk vaadi hızdı. 39. bölümdeki en uzun önek eşlemesinin yerini sabit uzunlukta bir etiket alacak, router tek bir tablo satırına bakıp paketi geçirecekti. 1990’ların ortasında bu gerçek bir kazançtı. Birkaç yıl içinde en uzun önek eşlemesini de hat hızında yapan donanımlar çıkınca hız avantajı eridi. MPLS yine de kalıcı oldu, çünkü asıl değeri başka yerde çıktı: trafiği istenen yola sokmak ve aynı omurgada birbirinden yalıtılmış müşteri ağları taşımak. Etiket yığını girdisi 4 bayttır ve dört alan taşır.

MPLS etiket yığını girdisi - toplam 32 bit
+------------------------+--------+-----+-------------+
| Label           20 bit | Exp  3 | S 1 | TTL    8 bit|
+------------------------+--------+-----+-------------+
                                     RFC 3032, Ocak 2001

20 bitlik alan 1.048.576 değer taşır. Bu, 802.1Q’nun kullanılabilir numara uzayının yaklaşık 256 katıdır. Tek bitlik S bayrağı yığının dibini işaretler ve etiketlerin üst üste binebilmesini mümkün kılan şey odur. Etiketin ardındaki üç bit deneysel kullanım için ayrılmıştı; sahada hizmet sınıfı taşıdı ve RFC 5462 2009’da alanın adını buna uygun olarak Traffic Class yaptı. 802.1Q’nun öncelik alanının etiketli omurgadaki karşılığı bu üç bittir. TTL alanı 8 bittir; döngü korumasını orada o devralır.

Karar bir kez verilir. Bir paketin hangi iletim denklik sınıfına (forwarding equivalence class, FEC) düştüğüne yalnızca ağa girerken karar verilir. Aynı sınıfa düşen paketlerin izlediği yolun adı etiket anahtarlamalı yol, kısaca LSP (label switched path). Operatörün sattığı sanal devrenin altındaki gerçek nesne budur.

Sonraki her atlamada iş sadeleşir. Etiket anahtarlamalı router, kısaca LSR, IP adresine hiç bakmaz. Gelen etiketi kendi tablosunda arar, yerine bir sonraki router’ın beklediği etiketi yazar ve paketi o çıkış interface’ine verir. İşlemin adı etiket değiştirme (swap). Etiketin anlamı yereldir: yalnızca iki komşunun üstünde anlaştığı bir sayıdır, bu yüzden 20 bitlik uzay her bağlantıda baştan kullanılabilir. MPLS iletim tablosu IP iletim tablosundan ayrıdır ve verdiği karar IP’nin vereceği karardan farklı olabilir.

Etiketin her durakta nasıl değiştiğini takip edelim:

Şemadaki gibi etiketi çıkış router’ı da sökebilir. Çoğu ağda ise bu iş bir önceki router’a bırakılıyor (penultimate hop popping); çıkış router’ı böylece etikete hiç bakmadan doğrudan IP iletimi yapıyor ve her pakette bir tablo aramasından kurtuluyor.

IP ile MPLS’in farklı karar verebilmesi bir kusur sayılmaz, satılan özelliğin kendisidir. Aynı hedefe giden trafik, routing protokolünün seçtiği en kısa yol yerine kapasitesi boş olan başka yollara dağıtılabilir; bunun adı trafik mühendisliğidir. Hızlı yeniden yönlendirme (fast reroute) ise yedek yolları bağlantı kopmadan önce hesaplamaya dayanır. Kopuş anında hesap değil, seçim yapılır ve geçiş, SONET halkalarından miras kalan hedefle 50 milisaniyenin altında biter.

Bunun için routing protokolleri de genişletilir. 42. bölümdeki OSPF ve IS-IS’in link state ilanlarına her bağlantının toplam ve ayrılmış bant genişliği eklenir. Giriş router’ı bu bilgiyle kısıtları sağlayan bir yol hesaplar ve yolu RSVP-TE ile uçtan uca kurar; yol üstündeki her router hem etiketi hem ayrılan bant genişliğini kaydeder.

MPLS data link layer ile network layer’ın arasında çalıştığı için şaka yollu 2,5. katman protokolü diye anılır ve sanal devre fikrini paket ağına taşır. Taşıdığı şey yalnızca IP de değildir: ATM, SONET ve Ethernet frame’leri de etiketli omurgadan sanal bir kablo gibi geçebilir; bu tünellere pseudowire deniyor. Operatörlerin en çok sattığı kurumsal hizmet de buradan çıkıyor. MPLS L3VPN’de (RFC 4364) her müşterinin yol tablosu ayrı tutulur (VRF) ve iki müşteri aynı 10.0.0.0/8 bloğunu kullansa bile paketleri karışmaz. Paketin başında iki etiket vardır: dıştaki nereye gideceğini, içteki hangi müşteriye ait olduğunu söyler. S bayrağının neden var olduğunu en iyi bu yığın gösteriyor.

Bedeli yükten çıkar. 20. bölümde her zarf MTU’dan yer yiyordu; her MPLS etiketi de 4 bayt ekler. Operatör MTU’yu büyütmezse bu baytlar müşterinin yükünden çıkar ve iki etiketli bir VPN’de 1.500 bayt 1.492’ye iner. Operatörler bu yüzden omurgada MTU’yu çoğunlukla 9.000 baytın üstüne çıkarır ve müşteri 1.500’ünü korur.

Yolu ağa yazmak yerine pakete yazmak

MPLS’in bedeli kontrol düzleminde. RSVP-TE ile kurulan her yol için, yol üstündeki her router’ın bir satır tutması gerekiyor; etiketleri dağıtan LDP ve RSVP-TE de routing protokolünün yanında ayrıca kuruluyor, ayrıca işletiliyor. Bin tünelli bir omurgada yol üstündeki bir router bin ayrı durum tutabiliyor.

Bu yükü ortadan kaldıran fikrin adı segment routing. IETF’te 2013’te çalışılmaya başlandı ve 2018’de RFC 8402 ile standartlaştı. Tersine çeviriyor: yolu ağa dağıtmak yerine paketin başına yazıyor.

Gönderen kenar router, paketin izleyeceği yolu bir liste hâlinde başına ekliyor. Listenin her elemanına segment deniyor ve iki türü var. Düğüm segmenti “şu router’a, en kısa yoldan git” diyor. Komşuluk segmenti ise “şu bağlantıdan çık” diyor. İkisini karıştırarak istediğin yolu tarif edebiliyorsun: birkaç atlamayı en kısa yola bırak, kritik bir noktada belirli bir hattı zorla.

Ara router’ların işi sadeleşiyor. Hiçbir yol durumu tutmuyorlar; listenin en üstündeki segmente bakıyor, gereğini yapıyor, o segmenti listeden düşürüyorlar. Durum ağdan çıkıp pakete taşınmış oluyor.

Fikir yeni değil. IPv4 başlığı 1981’den beri aynı işi yapabilen bir seçenek taşıyor: kaynak yönlendirme (source routing), yani gönderenin yolu pakete yazması. Saldırganın paketleri süzgeçlerin etrafından dolaştırmasına izin verdiği için bugün ağların çoğu bu seçeneği taşıyan paketleri sınırda düşürüyor. IPv6’nın ilk kaynak yönlendirme başlığı da 2007’de kaldırıldı, çünkü bir paketi iki router arasında defalarca gidip geldirerek trafiği katlayan bir saldırıya imkân veriyordu. Segment routing’i güvenli kılan fark, listenin yalnızca tek bir operatörün kendi ağı içinde geçerli olması. Liste ağın sınırında eklenip siliniyor ve dışarıdan gelen bir liste içeride okunmuyor.

Aynı fikrin iki ayrı veri düzlemi karşılığı var. SR-MPLS listeyi az önce gördüğün etiket yığını olarak taşıyor: mevcut MPLS donanımı olduğu gibi çalışıyor, etiketleri ise artık LDP ya da RSVP-TE değil, IS-IS ya da OSPF’in kendisi ilan ediyor. SRv6 segmentleri IPv6 adresleri olarak taşıyor ve listeyi 38. bölümdeki uzatma başlıklarının yeni bir türüne koyuyor; böylece ayrı bir etiket kavramına hiç ihtiyaç kalmıyor. Bedeli boyda: her segment 16 bayt ve beş segmentlik bir liste tek başına 80 bayt tutuyor. Haziran 2025’te yayımlanan RFC 9800 bu yüzden tek bir adresin içine birden çok kısa segment sığdıran sıkıştırılmış bir biçim tanımladı.

Özet

• Metro Ethernet bir ölçek kararıdır: aynı frame biçimi metropol alan ağında, tekli mod fiber ve taşıyıcı sınıfı yetenek listesiyle birlikte çalışır.
• Demarkasyon noktası sorumluluğun sınırıdır: yerel döngü orayı santrale bağlar, müşteri ucu cihazı sınırın müşteri tarafında durur.
• Servisin adını sanal bağlantının şekli verir: noktadan noktaya E-Line, çok noktadan çok noktaya E-LAN, köklü çok noktalı E-Tree.
• Sözleşme tek bir hız rakamı değildir: taahhüt edilen bilgi hızı, gecikme, gecikme oynaması, kayıp oranı ve erişilebilirlik bir hizmet sınıfı adına bağlanır.
• Etiket adresin yerine geçmez, kararın yerine geçer: sınıflandırma girişte bir kez yapılır, sonraki her atlama yalnızca 20 bitlik değere bakar ve onu değiştirir.
• Segment routing durumu ağdan pakete taşır: yol, giriş router’ında paketin başına liste olarak yazılır; ara router’lar yol durumu tutmaz.

Etiket de adres de sonunda bitten ibaret ve o bitler kilometrelerce bakırdan ya da camdan geçiyor. Peki kablonun içinde bir bit neye benziyor?