ESXi Ağ Ayarları: vSwitch, Port Group ve Ek IP Atama

ESXi kurulumundan sonra sunucunuzun tek bir yönetim IP'si vardır ve tüm sanal makineler varsayılan VM Network'e bağlanır. Sanal makinelere ayrı genel IP vermek, VLAN kullanmak ya da ağ güvenliğini sıkılaştırmak istediğinizde ESXi'nin ağ yapısını anlamanız gerekir. Bu rehberde ESXi ağ ayarlarını sırasıyla anlatıyoruz: vmnic, vSwitch, port group ve VMkernel kavramları, yeni port group oluşturma, ek IP'yi sanal makineye atama, MAC adresi ayarı, güvenlik politikaları (Promiscuous mode, MAC address changes, Forged transmits) ve en sık yapılan hatalar.

Görsellerdeki ekranlar ESXi Host Client arayüzünü temsil eden çizimlerdir; IP ve MAC adresleri örnek değerlerdir.

---

ESXi Ağ Yapısı: Dört Temel Kavram

• vmnic (fiziksel ağ kartı): Sunucudaki gerçek ağ portlarıdır: vmnic0, vmnic1... vSwitch'in dış dünyaya açılan kapısıdır (uplink).
• vSwitch (standart sanal anahtar): ESXi'nin içindeki yazılım anahtarıdır. Kurulumda vSwitch0 oluşur ve vmnic0'a bağlanır. Güvenlik politikası, MTU ve kart yedekliliği (NIC teaming) burada ayarlanır.
• Port group: vSwitch üzerindeki adlandırılmış bağlantı noktası grubudur. Sanal makinenin ağ kartı bir port group'a bağlanır. Her port group'un kendi VLAN numarası ve isterseniz vSwitch'ten farklı güvenlik ayarı olabilir.
• VMkernel portu (vmk): ESXi'nin kendi trafiği içindir. vmk0, Management Network port group'unda durur ve ESXi'nin yönetim IP'sini taşır. Sanal makineler VMkernel portuna bağlanmaz.

En önemli nokta: ESXi'nin yönetim IP'si ile sanal makinelerin IP'leri ayrı adreslerdir. Sağlayıcınızdan aldığınız ek IP'yi ESXi'ye değil, onu kullanacak sanal makinenin işletim sistemine yazarsınız.

Mevcut yapıyı Host Client'ta Networking sayfasındaki sekmelerden ya da SSH'tan görebilirsiniz:

esxcli network nic list                          # fiziksel kartlar, bağlantı durumu, MAC
esxcli network vswitch standard list             # vSwitch'ler ve uplink'leri
esxcli network vswitch standard portgroup list   # port group'lar ve VLAN'lar
esxcli network ip interface ipv4 get             # vmk0 yönetim IP'si

---

Yeni Port Group Oluşturma

Ek IP'li sanal makineleri ayrı bir port group'ta toplamak, hem düzen hem güvenlik ayarı açısından işinizi kolaylaştırır.

1. Host Client'ta Networking → Port groups sekmesini açın.
2. Add port group düğmesine tıklayın.
3. Name: Ek-IP gibi bir ad verin.
4. VLAN ID: Sağlayıcınız ek IP'ler için ayrı VLAN vermediyse 0 bırakın. VLAN verildiyse o numarayı yazın.
5. Virtual switch: vSwitch0.
6. Security: Şimdilik vSwitch'ten devralsın (inherit).
7. Add ile kaydedin.

Aynı işin SSH karşılığı:

esxcli network vswitch standard portgroup add --portgroup-name="Ek-IP" --vswitch-name=vSwitch0
esxcli network vswitch standard portgroup set --portgroup-name="Ek-IP" --vlan-id=0

---

Ek IP'yi Sanal Makineye Atama

Önce sağlayıcınızın IP'yi nasıl verdiğini öğrenin

Ek IP'ler farklı şekillerde teslim edilir ve ayar buna göre değişir. Sağlayıcınıza şu üç soruyu sorun ya da teslim bilgilerinde arayın:

1. Ek IP ana IP ile aynı alt ağda mı? (ör. ana IP 203.0.113.10/24, ek IP 203.0.113.26/24 ve ağ geçidi aynı) Bu en kolay senaryodur.
2. Ek IP tekil /32 olarak, başka bir ağ geçidiyle mi verildi? Bu durumda sanal makinede ağ geçidini "on-link" olarak tanımlamanız gerekir.
3. Ek IP belirli bir MAC adresine bağlı mı? Bazı veri merkezleri her IP'yi bir MAC adresine kilitler; sanal makinenin kartına o MAC'i yazmanız gerekir.

Ek IP bloğu sunucunuzun ana IP'sine yönlendirilmişse (routed), trafik ESXi'nin yönetim adresine gelir ve ESXi bu trafiği sanal makinelere iletmez. Bu yapıda araya bir yönlendirici/güvenlik duvarı sanal makinesi koymanız ya da sağlayıcınızdan bloğu doğrudan (aynı VLAN'da, ARP ile çözülecek şekilde) vermesini istemeniz gerekir.

Adım adım

1. Sanal makineyi seçin, Edit ile ayarlarını açın.
2. Network Adapter 1'i Ek-IP port group'una bağlayın; Connect ve Connect at power on işaretli olsun.
3. Ek IP bir MAC adresine bağlıysa MAC Address satırını Manual yapıp size verilen MAC'i yazın (aşağıya bakın).
4. Save ile kaydedin ve sanal makinenin içine (konsol ya da SSH) geçin.
5. IP'yi işletim sisteminde tanımlayın (Linux ve Windows örnekleri aşağıda).
6. Başka bir bilgisayardan ping 203.0.113.26 ile erişimi doğrulayın.

Linux (Ubuntu, netplan)

/etc/netplan/ altındaki dosyayı düzenleyin. Aynı alt ağ senaryosu:

network:
  version: 2
  ethernets:
    ens160:
      addresses: [203.0.113.26/24]
      routes:
        - to: default
          via: 203.0.113.1
      nameservers:
        addresses: [1.1.1.1, 9.9.9.9]

/32 senaryosunda adres 198.51.100.77/32 olur ve route satırına on-link: true eklenir (görseldeki sağ örnek). Aynı sanal makineye birden fazla IP vermek için addresses listesine yeni adresleri ekleyin: [203.0.113.26/24, 203.0.113.27/24].

Değişikliği güvenli uygulamak için:

sudo netplan try

Bu komut ayarı uygular ve onay ister. 120 saniye içinde Enter'a basmazsanız eski ayara döner; yanlış bir ayarla bağlantınızı kaybetmezsiniz.

Windows Server

Denetim Masası → Ağ Bağlantıları → Ethernet → Özellikler → IPv4 yolundan IP, maske, ağ geçidi ve DNS'i girin ya da PowerShell'i yönetici olarak açın:

New-NetIPAddress -InterfaceAlias "Ethernet0" -IPAddress 203.0.113.26 -PrefixLength 24 -DefaultGateway 203.0.113.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet0" -ServerAddresses 1.1.1.1,9.9.9.9

Arayüz adını Get-NetAdapter ile öğrenin. Windows'ta ağ kartı hiç görünmüyorsa VMware Tools kurulu değildir; ESXi sanal makine oluşturma rehberimizdeki VMware Tools adımına bakın.

---

MAC Adresi: Otomatik mi, Elle mi?

ESXi her sanal ağ kartına 00:50:56 ya da 00:0c:29 ile başlayan otomatik bir MAC verir. Çoğu durumda buna dokunmazsınız. Elle MAC'e iki durumda ihtiyaç duyarsınız:

• Sağlayıcı IP'yi MAC'e bağladıysa: Size verilen MAC'i sanal makinenin kartına yazarsınız. MAC uyuşmazsa IP doğru olsa bile trafik geçmez.
• Sanal makineyi silip yeniden oluşturduğunuzda aynı MAC'i korumak istiyorsanız: Örneğin lisansı MAC'e bağlı yazılımlarda.

Kendiniz elle MAC seçecekseniz VMware'in elle atama için ayırdığı aralığı kullanın: 00:50:56:00:00:00 – 00:50:56:3F:FF:FF. Aynı MAC'i iki sanal makineye vermeyin.

---

Güvenlik Politikaları: Promiscuous, MAC Changes, Forged Transmits

vSwitch ve port group ayarlarındaki Security bölümünde üç seçenek vardır. Host Client'ta Networking → Virtual switches → vSwitch0 → Edit settings → Security yolundan açılır:

Üçünün de Reject olması; bir sanal makinenin başka bir IP'yi ya da MAC'i taklit etmesini, komşu trafiği dinlemesini ve veri merkezinin ağında IP çakışmasına yol açmasını engeller. Değişiklik öncesi mevcut değerleri görüp ardından kapatmak için:

esxcli network vswitch standard policy security get -v vSwitch0
esxcli network vswitch standard policy security set -v vSwitch0 --allow-promiscuous=false --allow-mac-change=false --allow-forged-transmits=false

İstisnalar: Sanal makine içinde başka bir hipervizör (iç içe sanallaştırma), köprü (bridge) modunda çalışan konteyner ağları ya da bazı yazılım tabanlı yük dengeleyiciler bu ayarların açık olmasını ister. Bu durumda tüm vSwitch'i açmayın; yalnız o iş için ayrı bir port group oluşturup ayarı orada değiştirin:

esxcli network vswitch standard portgroup policy security set -p "Lab" --allow-promiscuous=true --allow-forged-transmits=true --allow-mac-change=true

---

İki Ağ Kartı, VLAN ve MTU

• İkinci ağ kartı (yedeklilik): Virtual switches → vSwitch0 → Edit settings → Add uplink ile vmnic1'i ekleyin. NIC teaming altında yük dengeleme varsayılan olarak Route based on originating port ID kalsın; bu ayar fiziksel anahtarda ek yapılandırma istemez. Route based on IP hash seçeneği, karşı taraftaki anahtarda port birleştirme (port-channel) yapılmadan seçilirse bağlantı kopar; sağlayıcınızla konuşmadan seçmeyin.
• VLAN: Port group'a yazdığınız VLAN numarası, sağlayıcının portunuza tanımladığı VLAN'la aynı olmalıdır. Port "erişim" (access) modundaysa VLAN ID 0 kalır.
• MTU: Varsayılan 1500'dür. Sağlayıcınız açıkça "jumbo frame" desteklediğini söylemediyse değiştirmeyin; uyumsuz MTU büyük paketlerin sessizce kaybolmasına yol açar.

Port group'u silmek ya da sanal makineleri taşımak

Kullanılmayan bir port group'u silmeden önce ona bağlı sanal makine kalmadığından emin olun; Port groups listesindeki Active ports sütunu 0 olmalıdır. Bir port group'taki sanal makineleri başka bir port group'a geçirmek için her sanal makinenin Edit → Network Adapter satırında yeni port group'u seçmeniz yeterlidir; bu işlem sanal makine açıkken yapılabilir ve bağlantı yalnız bir-iki saniye kesilir. Management Network port group'unu ve vmk0'ı silmeyin ya da düzenlemeyin; ESXi'ye erişimi kaybedersiniz ve geri dönmek için IP KVM konsolu gerekir.

Yönetim IP'sini sonradan değiştirmek

Yönetim IP'sini değiştirdiğiniz anda Host Client bağlantınız kopar. Bu yüzden işlemi IP KVM konsolundan DCUI ile yapın: F2 → Configure Management Network → IPv4 Configuration. DCUI'ye nasıl girileceğini VMware ESXi kurulumu rehberimizde anlattık.

---

Ek IP Çalışmıyor: Adım Adım Teşhis

IP'yi yazdınız ama dışarıdan ping gelmiyor. Sorunu tahminle değil, sırayla daraltın:

1. Sanal makine içinde adres doğru mu? Linux'ta ip a ve ip route çıktısında IP'nin ve varsayılan ağ geçidinin göründüğünü kontrol edin. Windows'ta ipconfig /all.
2. Ağ geçidine ulaşılıyor mu? Sanal makineden ping 203.0.113.1. Yanıt yoksa sorun yerel ağdadır (port group, VLAN, MAC). Yanıt varsa ama internete çıkılamıyorsa DNS ya da yönlendirme ayarına bakın.
3. Ağ kartı doğru port group'ta ve bağlı mı? Host Client'ta sanal makinenin özetinde ağ kartının Connected olduğunu ve doğru port group'u gösterdiğini doğrulayın.
4. ESXi ağ geçidini görüyor mu? ESXi tarafında ARP tablosuna bakın; ağ geçidinin MAC adresi listede olmalı:

esxcli network ip neighbor list
vmkping 203.0.113.1

5. Paket fiziksel karttan çıkıyor mu? ESXi'nin yerleşik paket yakalama aracıyla, sanal makinenin IP'sine ait trafiği uplink üzerinde izleyin. Sanal makineden ping atarken çalıştırın, 20 paket sonra kendiliğinden durur:

pktcap-uw --uplink vmnic0 --ip 203.0.113.26 -c 20

Paketler çıkıyor ama yanıt gelmiyorsa sorun sunucunun dışındadır: IP henüz portunuza yönlendirilmemiş, MAC kaydı farklı ya da VLAN uyuşmuyor olabilir. Bu noktada sağlayıcınıza sanal makinenin IP'sini, MAC adresini ve yaptığınız testlerin çıktısını iletin; sorunun çözümü hızlanır.

IPv6 notu

Sağlayıcınız IPv6 bloğu verdiyse ayar mantığı aynıdır: adres ve ağ geçidi sanal makinenin işletim sistemine yazılır. ESXi'nin yönetim arayüzünde IPv6'yı kullanmayacaksanız DCUI'deki IPv6 Configuration menüsünden kapatabilirsiniz; bu değişiklik ESXi'nin yeniden başlatılmasını gerektirir ve sanal makinelerin IPv6 kullanmasını etkilemez.

---

En Sık Yapılan Hatalar

1. Ek IP'yi ESXi'ye (vmk) eklemek. Ek IP, sanal makinenin işletim sistemine yazılır. ESXi'ye yeni VMkernel portu açmak sanal makineye IP vermez.
2. Yönetim IP'sini bir sanal makineye de vermek. Aynı IP iki yerde kullanılınca ESXi'ye erişim gidip gelir. Her adres tek yerde olmalı.
3. MAC uyuşmazlığı. Sağlayıcı IP'yi bir MAC'e bağladıysa ve sanal makine otomatik MAC kullanıyorsa trafik geçmez.
4. /32 IP'de ağ geçidini on-link tanımlamamak. Ağ geçidi aynı alt ağda olmadığında sistem ona ulaşamaz; on-link: true ekleyin.
5. Yanlış VLAN ID. VLAN gerekmiyorken numara yazmak ya da gerekiyorken boş bırakmak bağlantıyı keser.
6. Tüm vSwitch'te güvenlik ayarlarını açmak. Yalnız ihtiyaç duyan iş için ayrı port group kullanın.
7. Anahtar tarafı hazır değilken IP hash teaming seçmek. Sunucu ağdan tamamen kopabilir; geri dönmek için IP KVM gerekir.
8. DNS'i unutmak. IP ve ağ geçidi doğru olduğu hâlde alan adı çözülmüyorsa DNS sunucusu tanımlanmamıştır.

---

Özet

1. Yapı: vmnic → vSwitch → port group → sanal makine; ESXi'nin yönetim IP'si vmk0'da.
2. Ek IP'ler için Ek-IP gibi ayrı bir port group oluşturun (gerekirse VLAN ID ile).
3. Sağlayıcınıza IP'nin aynı alt ağda mı, /32 mi, MAC'e bağlı mı olduğunu sorun.
4. Sanal makinenin kartını port group'a bağlayın, gerekiyorsa MAC'i elle yazın.
5. IP'yi işletim sisteminde tanımlayın (Linux'ta netplan try, Windows'ta IPv4 ayarları).
6. Güvenlik politikalarında üç ayarı da Reject tutun; istisnaları ayrı port group'ta açın.

Sanal makinelerinize ayrı IP'ler vereceğiniz fiziksel sunucu için İstanbul ve Düsseldorf lokasyonlu dedicated server seçeneklerimizi inceleyin; ek IP ihtiyacınızı sipariş öncesinde destek talebiyle bize iletebilirsiniz. Kendi donanımınızı veri merkezine koymak için sunucu barındırma sayfamıza göz atın.

---

Kaynaklar

• Broadcom KB 326175: Configuring Standard vSwitch (vSS) or virtual Distributed Switch (vDS) from the command line in ESXi: esxcli ile vSwitch ve port group
• Broadcom KB 311057: Configuring VLAN on a vSwitch standard portgroup