OSI Modeli ve TCP/IP: 7 Katman Sıfırdan Anlatım

OSI modeli, iki cihaz arasındaki iletişimi yedi katmana bölen bir başvuru modelidir. Her katman tek bir işi üstlenir ve yalnız komşu katmanlarla konuşur. İnternet ise daha sade olan dört katmanlı TCP/IP modeliyle çalışır. Bu yazıda iki modeli yan yana göreceksin, her katmandaki saldırıları tanıyacaksın ve bir bağlantı sorununu katman katman nasıl daraltacağını öğreneceksin.

OSI modeli nedir, yedi katman ne iş yapar?

OSI (Open Systems Interconnection) başvuru modeli ISO/IEC 7498-1 ve ITU-T X.200 olarak yayımlanmıştır. Model bir protokol değildir. İletişimi parçalara ayırıp her parçanın sorumluluğunu tanımlayan bir haritadır. Veri gönderilirken üstten alta iner, alınırken alttan üste çıkar.

Katman numaraları meslekte kısaltma gibi kullanılır. Biri "katman 3 sorunu" diyorsa IP ve yönlendirmeden söz ediyordur. "Katman 7 saldırısı" denince uygulamanın kendisini hedef alan bir saldırı anlaşılır.

Bazı protokoller tek bir katmana tam oturmaz. ARP, IP adresini MAC adresine çevirir ve katman 2 ile 3 arasında durur. TLS ise kaynaklara göre sunum katmanına ya da taşıma ile uygulama arasına yerleştirilir. Model bir öğretim aracıdır, her protokolü kutuya sokmak zorunda değilsin.

TCP/IP modeli OSI ile nasıl eşleşir?

İnternetin dayandığı protokol ailesinin katmanlarını RFC 1122 tanımlar. Dört katman vardır: bağlantı, internet, taşıma ve uygulama.

RFC 1122'ye göre TCP/IP'nin uygulama katmanı, OSI'nin üstteki sunum ve uygulama katmanlarının işini birleştirir. Oturum yönetimi ayrı bir katmanda değil, uygulamaların ve taşıma protokollerinin içinde dağınık durur. Bu yüzden çoğu kaynak uygulama katmanını OSI'nin 5, 6 ve 7. katmanlarıyla eşleştirir.

Bir web sayfası açtığında olanlar sırayla şöyledir:

1. Tarayıcı alan adını IP adresine çevirmek için bir DNS sorgusu gönderir.
2. Tarayıcı sunucunun 443 numaralı portuna bir TCP bağlantısı açar.
3. TLS el sıkışması yapılır ve bağlantı şifrelenir.
4. Tarayıcı HTTP isteğini gönderir.
5. IP, paketleri yönlendiriciler üzerinden hedefe taşır.
6. Ethernet ya da Wi-Fi her adımda paketi bir sonraki cihaza iletir.

Taşıma katmanındaki port kavramını port nedir yazısı ayrıntılı anlatıyor.

Kapsülleme nedir, paketin içinde ne görürsün?

Veri aşağı inerken her katman kendi başlığını ekler. Buna kapsülleme denir. Alıcı tarafta başlıklar ters sırayla çıkarılır.

Bir HTTP isteği önce TCP başlığıyla segmente, sonra IP başlığıyla pakete, en son Ethernet başlığıyla çerçeveye dönüşür. Wireshark'ta bir paketi açtığında bu sırayı iç içe görürsün: Ethernet II, Internet Protocol, Transmission Control Protocol ve en altta uygulama verisi. Her satırı açıp alanları okumayı Wireshark filtreleri yazısındaki örneklerle deneyebilirsin.

Kapsüllemenin güvenlikteki sonucu önemlidir. Her cihaz yalnız kendi katmanının başlığını okur. Bir yönlendirici IP başlığına bakarak paketi iletir, uygulama verisiyle ilgilenmez. Klasik bir güvenlik duvarı da IP ve TCP başlıklarına bakar. HTTP isteğinin içindeki saldırıyı görmesi için uygulama katmanına inen bir araç gerekir.

Her katmanda hangi saldırılar görülür?

Her katmanın kendine özgü saldırıları ve savunmaları vardır. Saldırının hangi katmanda olduğunu bilirsen doğru önlemi seçersin.

Katman 2'deki ARP sahteciliği, saldırganı iki cihazın arasına yerleştiren klasik yöntemdir. Nasıl çalıştığını ve nasıl fark edildiğini ortadaki adam saldırısı yazısında bulabilirsin. Katman 4 ve katman 7'deki hizmet engelleme saldırılarının farkını DDoS saldırısı nedir yazısı anlatıyor.

Tek bir önlem her katmanı korumaz. Güvenlik duvarı ağ ve taşıma katmanını, TLS iletimi, girdi doğrulama uygulamayı korur. Buna katmanlı savunma denir.

OSI modeli sorun gidermede nasıl kullanılır?

"İnternet yok" şikâyetinde en hızlı yol alttan üste ilerlemektir. Her adım bir katmanı eler.

1. Fiziksel: Kablo takılı mı, Wi-Fi bağlı mı, ağ kartının ışığı yanıyor mu?
2. Veri bağı: Cihaz ağa katılmış mı? arp -a ile ağ geçidinin MAC adresini görüyor musun?
3. Ağ: Cihazın IP adresi var mı? Linux'ta ip addr, Windows'ta ipconfig. Sonra ping 192.168.1.1 ile ağ geçidine ulaş.
4. Ad çözümleme: nslookup example.com bir adres döndürüyor mu?
5. Taşıma: Hedef port açık mı? PowerShell'de Test-NetConnection example.com -Port 443.
6. Uygulama: Hizmet yanıt veriyor mu? curl -I https://example.com ile başlıkları oku.

Ağ geçidine ping gidiyor ama alan adı çözülmüyorsa sorun büyük olasılıkla DNS'tedir. Port açık ama sayfa hata veriyorsa sorun uygulamadadır. Bu sıra her seferinde rastgele denemekten daha hızlı sonuç verir. Yaygın portları, protokolleri ve alt ağ hesabını tek sayfada görmek için ağ temelleri kopya kâğıdına bak.

Güvenlik olaylarında da aynı soru sorulur: olay hangi katmanda başladı? Ağ geçidinin MAC adresi birden değiştiyse katman 2'ye, bir sunucuya binlerce yarım kalmış bağlantı geliyorsa katman 4'e, sitede garip istekler varsa katman 7'ye bakarsın.

Katmanları kalıcı olarak nasıl öğrenirsin?

Ezberden çok bağlantı kur. Her katmana bir protokol, bir cihaz ve bir saldırı eşle: katman 2 için Ethernet, anahtar ve ARP sahteciliği. Katman 3 için IP, yönlendirici ve IP sahteciliği. Katman 7 için HTTP, web sunucusu ve SQL enjeksiyonu.

Sonra kendi evindeki yolu çiz: telefon, Wi-Fi, modem, servis sağlayıcı, web sunucusu. Her durakta hangi katmanın çalıştığını yaz. Ardından Wireshark'ta kısa bir kayıt al ve bir paketin başlıklarını bu çizimle eşleştir. Tabloyu okumaktan daha kalıcı öğretir.

Kendini sınamak için şu soruları yanıtla. Bir yönlendirici bir paketi iletirken hangi başlığı okur? Aynı ağdaki iki bilgisayar konuşurken hangi adres kullanılır? Bir web uygulaması güvenlik duvarı neden IP sahteciliğini durdurmaz? Üçünü de katman numarasıyla açıklayabiliyorsan modeli öğrenmişsin demektir.

Kaynaklar

• RFC 1122: İnternet sunucuları için gereksinimler, iletişim katmanları
• ITU-T X.200: OSI temel başvuru modeli
• RFC 2827 (BCP 38): Ağ girişinde kaynak adres filtrelemesi
• RFC 4987: TCP SYN seli saldırıları ve önlemleri