--- title: "HP/Aruba switch temel yapılandırma (ProCurve, ArubaOS-Switch)" author: "Abdulaziz Akyol" author_url: https://www.abdulazizakyol.com/hakkimda/ url: https://www.abdulazizakyol.com/blog/hp-switch-genel-ayarlar/ language: tr published: 2018-12-03 updated: 2026-09-25 categories: ["Routing ve Switching", "Sistem yönetimi"] tags: ["HPE Aruba", "ProCurve", "AOS-S", "VLAN", "SSH", "SNMPv3", "Spanning Tree"] description: "HP ProCurve ve HPE Aruba AOS-S switch'lerde ilk kurulum: hostname, parola, SNTP, VLAN, SSH, SNMPv3, spanning-tree, port güvenliği ve yedekleme adımları." --- # HP/Aruba switch temel yapılandırma (ProCurve, ArubaOS-Switch) Yazar: [Abdulaziz Akyol](https://www.abdulazizakyol.com/hakkimda/) · 2018-12-03 ## Öne çıkanlar - Bu rehberdeki komutlar ProCurve kökenli AOS-S (eski adıyla ArubaOS-Switch) içindir; HPE Aruba Networking CX serisinde çalışan AOS-CX'in komut satırı farklıdır. - Güvenli bir başlangıç yapılandırması en az adlandırılmış yönetici hesabı, SSH ile yönetim (Telnet kapalı), SNMPv3, ayrı bir yönetim VLAN'ı ve yetkili yönetim adresleri içerir. - Türkiye 2016'dan beri yıl boyu UTC+3 kullandığı için AOS-S switch'lerde saat dilimi time timezone 180 ve time daylight-time-rule none olarak ayarlanmalıdır. - Kullanıcı portlarında admin-edge-port, bpdu-protection ve loop-protect birlikte kullanıldığında masa altına takılan bir switch'in yarattığı döngü tüm ağı etkilemez. - Değişiklikler write memory ile başlangıç yapılandırmasına yazılmadıkça yeniden başlatmada kaybolur; yedek SCP/SFTP ile /cfg/startup-config dosyasından alınabilir. HP/Aruba switch temel yapılandırması, kutudan yeni çıkmış ya da sıfırlanmış bir ProCurve veya HPE Aruba Networking AOS-S switch'e ad, yönetim adresi, güvenli erişim, doğru saat, VLAN yapısı ve döngü koruması tanımlayıp yapılandırmayı kalıcı hâle getirmektir. Bu yazı, 2018'de HP ProCurve 2910al üzerinde tuttuğum notların güncellenmiş hâlidir. Eski notta Telnet ve SNMP "public" topluluğu açık kalıyor, Türkiye için artık geçersiz olan yaz saati kuralı kullanılıyor ve DHCP snooping güveni yanlış portlara veriliyordu. Aşağıda komutları HPE Aruba dokümantasyonuyla karşılaştırıp düzelttim. ## Bu rehber hangi switch'ler için geçerli? İsimler zaman içinde değişti. HP ProCurve switch'lerin işletim sistemi ProVision olarak anılıyordu. Aruba markası altında bu yazılımın adı ArubaOS-Switch oldu, bugün HPE Aruba Networking dokümantasyonunda **AOS-S** olarak geçiyor. CX serisi ise **AOS-CX** adlı, sıfırdan yazılmış ayrı bir işletim sistemi kullanıyor. | Aile | İşletim sistemi | Bu rehber | | ------------------------------------------------- | --------------- | ---------------------------------------------------------------- | | HP ProCurve (ör. 2910al) | ProVision | Büyük ölçüde geçerli; eski yazılımda bazı seçenekler olmayabilir | | HPE Aruba 2530, 2540, 2920, 2930F/M, 3810M, 5400R | AOS-S (16.x) | Geçerli | | HPE Aruba CX 6000, 6100, 6300, 8000 ailesi vb. | AOS-CX | Geçerli değil, komut satırı farklı | Başlamadan önce `show version` ile yazılım sürümünü görün. Aşağıdaki komutlar AOS-S 16.x kılavuzlarına göre yazıldı; eski bir sürümde bir seçenek reddedilirse `?` ile o sürümdeki sözdizimine bakın. ## Terimler: HP'nin "trunk"ı Cisco'nun trunk'ı değildir HP dünyasına Cisco'dan gelenlerin en çok takıldığı nokta terimlerdir: | HP/Aruba AOS-S | Cisco karşılığı | Anlamı | | -------------- | --------------------------- | -------------------------------------------- | | untagged | access port / native VLAN | Çerçeve etiketsiz gider | | tagged | trunk port (802.1Q) | Çerçeve VLAN etiketiyle gider | | trunk (trk1) | EtherChannel / port-channel | Birden çok fiziksel portu tek bağlantı yapar | ## Adım 1: Konsol, hostname ve hesaplar İlk yapılandırmayı konsol kablosuyla yapın; yönetim IP'si ve VLAN değişirken ağ bağlantınız kopabilir. ```text switch# configure terminal switch(config)# hostname SW-KAT1-01 SW-KAT1-01(config)# password manager user-name yonetici New password for manager: ******** Please retype new password for manager: ******** SW-KAT1-01(config)# password operator user-name izleme ``` Eski notumdaki `password all` iki parolayı birlikte sorar ama kullanıcı adı vermez. Adlandırılmış hesap, günlüklerde kimin bağlandığını görmeyi kolaylaştırır. Komuta parola yazmazsanız switch iki kez sorar; bu, parolanın komut geçmişinde kalmamasının en kolay yoludur. Varsayılan olarak parolalar yapılandırma dosyasında tutulmaz. `include-credentials` ile dosyaya eklerseniz HPE'nin sertleştirme kılavuzunun önerdiği gibi `encrypt-credentials` özelliğini de açın. ## Adım 2: Saat dilimi ve SNTP Günlük kayıtlarını, RADIUS oturumlarını ve olay incelemesini ilişkilendirebilmek için tüm ağ cihazları aynı saat kaynağını kullanmalıdır. Türkiye 2016'dan beri yıl boyu UTC+3 kullanıyor. Eski notumdaki `time timezone 120` ve `Western-Europe` yaz saati kuralı artık yanlış saat üretir. ```text SW-KAT1-01(config)# time timezone 180 SW-KAT1-01(config)# time daylight-time-rule none SW-KAT1-01(config)# timesync sntp SW-KAT1-01(config)# sntp unicast SW-KAT1-01(config)# sntp server priority 1 10.99.0.11 SW-KAT1-01(config)# sntp server priority 2 10.99.0.12 SW-KAT1-01(config)# sntp 300 SW-KAT1-01(config)# show sntp ``` `timesync sntp` zaman protokolü olarak SNTP'yi seçer, `sntp unicast` sunucu sorgulamayı açar. Kılavuza göre en fazla üç sunucu tanımlanabilir ve sorgu aralığı 30–720 saniye arasındadır (varsayılan 720). Kaynak olarak Active Directory etki alanı denetleyicilerini kullanıyorsanız onların saatinin doğru olduğundan emin olun; bunun için [Active Directory sağlık kontrolü](https://www.abdulazizakyol.com/blog/ad-kurulumunun-dogrulanmasi/) yazısındaki w32tm adımına bakabilirsiniz. ## Adım 3: VLAN'lar, uplink ve yönetim adresi Örnek senaryo: 24 portlu bir kat switch'i. 1–20 kullanıcı portu (VLAN 10), 21–22 IP kameralar (VLAN 30), 23–24 çekirdek switch'e giden LACP birleşik bağlantı. Yönetim adresi ayrı bir VLAN'da (VLAN 99). ```text SW-KAT1-01(config)# trunk 23-24 trk1 lacp SW-KAT1-01(config)# vlan 10 SW-KAT1-01(vlan-10)# name "KULLANICI" SW-KAT1-01(vlan-10)# untagged 1-20 SW-KAT1-01(vlan-10)# tagged trk1 SW-KAT1-01(vlan-10)# exit SW-KAT1-01(config)# vlan 30 SW-KAT1-01(vlan-30)# name "KAMERA" SW-KAT1-01(vlan-30)# untagged 21-22 SW-KAT1-01(vlan-30)# tagged trk1 SW-KAT1-01(vlan-30)# exit SW-KAT1-01(config)# vlan 99 SW-KAT1-01(vlan-99)# name "YONETIM" SW-KAT1-01(vlan-99)# tagged trk1 SW-KAT1-01(vlan-99)# ip address 10.99.0.21 255.255.255.0 SW-KAT1-01(vlan-99)# exit SW-KAT1-01(config)# vlan 1 SW-KAT1-01(vlan-1)# no ip address SW-KAT1-01(vlan-1)# exit SW-KAT1-01(config)# ip default-gateway 10.99.0.1 SW-KAT1-01(config)# show vlans ``` Birkaç önemli nokta: - Bir port yalnızca bir port tabanlı VLAN'a untagged üye olabilir; birden fazla VLAN taşıyacaksa diğerleri tagged olmalıdır. - `trunk ... lacp` ile birleştirilen portlara VLAN üyeliği tek tek değil, `trk1` üzerinden verilir. Karşı uçtaki çekirdek switch'te de aynı VLAN'lar tagged olmalıdır. - `ip default-gateway` yalnızca switch'te IP yönlendirme kapalıyken kullanılır. Kat switch'leri genellikle katman 2 çalışır; `ip routing` dağıtım ya da çekirdek katmanında açılır. Eski notumda erişim switch'inde `ip routing` açıktı; buna gerek yoktu. - Kameraları ayrı VLAN'a almak hem yayın trafiğini hem erişim kurallarını sadeleştirir. Kamera ağından analitik sunucusuna akışın nasıl tasarlandığını [mevcut kameralarla görüntü analitiği](https://www.abdulazizakyol.com/blog/mevcut-kameralarla-goruntu-analitigi-rtsp-den-olaya/) yazısında anlattım. AOS-S'de ayrıca `management-vlan` adlı "güvenli yönetim VLAN'ı" özelliği var. Bu özellik açıldığında o VLAN ile diğer VLAN'lar arasında yönlendirme yapılmaz, DHCP ile adres alınmaz ve switch başına yalnızca bir yönetim VLAN'ı olur. Kısıtları kabul edilebiliyorsa güçlü bir koruma; çoğu ortamda yukarıdaki gibi ayrı bir VLAN ve yetkili yönetici listesi yeterlidir. ## Adım 4: SSH, HTTPS ve yetkili yöneticiler ```text SW-KAT1-01(config)# crypto key generate ssh rsa bits 2048 SW-KAT1-01(config)# ip ssh SW-KAT1-01(config)# ip ssh filetransfer SW-KAT1-01(config)# no telnet-server SW-KAT1-01(config)# crypto pki enroll-self-signed certificate-name web-sertifika subject common-name SW-KAT1-01 key-type rsa key-size 2048 SW-KAT1-01(config)# web-management ssl SW-KAT1-01(config)# no web-management plaintext SW-KAT1-01(config)# ip authorized-managers 10.99.0.0 255.255.255.0 access manager access-method all ``` `no telnet-server` komutunu SSH ile bağlanabildiğinizi doğruladıktan sonra girin. `ip ssh filetransfer`, SCP/SFTP'yi açar ve kılavuza göre TFTP istemcisi ile sunucusunu otomatik kapatır. Eski notumdaki `crypto key generate cert 1024` eski yazılımlardaki sertifika yöntemiydi; 16.x'te `crypto pki` komutları kullanılıyor ve üretim ortamında kurumsal sertifika otoritesinden alınmış sertifika tercih edilmeli. `ip authorized-managers` tanımlandıktan sonra listede olmayan adresler yönetim erişimi alamaz. Bu yüzden bu komutu da konsoldan ya da listedeki bir adresten girin. Merkezî kimlik doğrulama için RADIUS kullanılıyorsa, sunucuya ulaşılamadığında yerel hesaba düşecek şekilde yapılandırın: ```text SW-KAT1-01(config)# radius-server host 10.99.0.10 key SW-KAT1-01(config)# aaa authentication ssh login radius local SW-KAT1-01(config)# aaa authentication ssh enable radius local SW-KAT1-01(config)# aaa authentication console login radius local SW-KAT1-01(config)# aaa authentication console enable radius local SW-KAT1-01(config)# aaa authentication login privilege-mode ``` Eski notta Telnet için de RADIUS satırları vardı; Telnet kapalı olduğu için bunlar artık gereksiz. ## Adım 5: SNMPv3 ve syslog SNMPv1/v2c'de topluluk adı ağda açık metin gider. Eski notumdaki `snmp-server community "public" manager restricted` satırı bu yüzden tehlikeliydi. SNMPv3 ile şifreli ve kimlik doğrulamalı izlemeye geçin: ```text SW-KAT1-01(config)# snmpv3 enable SW-KAT1-01(config)# snmpv3 user nms-izleme auth sha priv aes SW-KAT1-01(config)# snmpv3 group operatorauth user nms-izleme sec-model ver3 SW-KAT1-01(config)# snmpv3 only SW-KAT1-01(config)# no snmp-server community public SW-KAT1-01(config)# logging 10.99.0.50 SW-KAT1-01(config)# logging facility local0 SW-KAT1-01(config)# logging severity warning ``` `snmpv3 enable` etkileşimlidir ve "initial" adlı bir başlangıç kullanıcısı oluşturur. Kılavuza göre parola uzunluğu 6–32 karakterdir ve gizlilik (privacy) için AES-128 ya da DES desteklenir; AES seçin. `operatorauth` grubu salt okunur izleme içindir; izleme sisteminin yapılandırma değiştirmesi gerekiyorsa `managerpriv` grubunu kullanın. `snmpv3 only` açıldığında v1/v2c istekleri reddedilir. ## Adım 6: Spanning tree, BPDU koruması ve döngü koruması ```text SW-KAT1-01(config)# spanning-tree SW-KAT1-01(config)# spanning-tree 1-22 admin-edge-port SW-KAT1-01(config)# spanning-tree 1-22 bpdu-protection SW-KAT1-01(config)# spanning-tree trap errant-bpdu SW-KAT1-01(config)# loop-protect 1-22 SW-KAT1-01(config)# show spanning-tree ``` AOS-S'nin varsayılan spanning tree modu MSTP'dir ve RSTP ile uyumlu çalışır; eski notumdaki `spanning-tree force-version rstp-operation` yalnızca özel bir uyumluluk gerekiyorsa lazım. Kök köprü (root bridge) çekirdek switch olmalıdır; bunu çekirdekte `spanning-tree priority 0` ile, erişim switch'lerini varsayılanda bırakarak sağlarsınız. Öncelik değeri 0–15 arası bir çarpandır ve 4096 ile çarpılır. Eski notumda aynı portlara hem `bpdu-filter` hem `bpdu-protection` veriliyordu. Bu çelişkili: BPDU filtresi BPDU'ları yok sayıp portu STP dışında sürekli iletimde tutar, dolayısıyla koruma hiç tetiklenmez ve kılavuzun uyardığı gibi döngüde yayın fırtınası çıkabilir. Kullanıcı portlarında doğru ikili `admin-edge-port` ve `bpdu-protection`'dır: port hızlıca iletime geçer, bir BPDU gelirse kapanır. `loop-protect`, BPDU iletmeyen yönetilmeyen küçük switch'lerin yarattığı döngüleri de yakalar. Varsayılan eylem döngü paketini gönderen portu kapatmaktır. Kılavuzdaki önemli not: döngü koruma paketi yalnızca untagged VLAN üyeliği olan portlardan gönderilir. ## Adım 7: Port güvenliği, DHCP snooping ve ARP koruması ```text SW-KAT1-01(config)# port-security 1-20 learn-mode static address-limit 2 action send-alarm SW-KAT1-01(config)# dhcp-snooping SW-KAT1-01(config)# dhcp-snooping authorized-server 10.10.0.5 SW-KAT1-01(config)# dhcp-snooping vlan 10,30 SW-KAT1-01(config)# dhcp-snooping trust trk1 SW-KAT1-01(config)# arp-protect SW-KAT1-01(config)# arp-protect vlan 10 30 SW-KAT1-01(config)# arp-protect trust trk1 SW-KAT1-01(config)# interface 1-20 broadcast-limit 20 ``` `learn-mode static address-limit 2`, porta takılan ilk iki MAC adresini yetkili sayar; masa başında IP telefon ve bilgisayar varsa uygun bir başlangıçtır. İhlal olduğunda `send-alarm` yalnızca bildirir, `send-disable` portu kapatır. Önce alarmla başlayıp birkaç hafta gözlemlemenizi öneririm. Kılavuza göre port güvenliği ile LACP aynı portta birlikte çalışmaz; 802.1X kullanılıyorsa learn-mode `continuous` ya da `port-access` olmalıdır. Uzun vadede 802.1X daha güçlü bir çözümdür. Eski notumdaki en ciddi hata DHCP snooping'deydi: güven (trust) istemci portlarına verilmişti. Doğrusu tersidir. Güvenilen port, yetkili DHCP sunucusuna giden uplink'tir; istemci portları güvenilmez kalır ki sahte bir DHCP sunucusu adres dağıtamasın. ARP koruması DHCP snooping bağlama tablosuna dayanır. Sabit IP'li cihazlar (yazıcı, kamera) için statik bağlama tanımlamazsanız ARP paketleri düşürülür; önce tek bir VLAN'da deneyin. `broadcast-limit`, yayın trafiğini port bant genişliğinin yüzdesiyle sınırlar. Portların hız ve çift yönlülük ayarını ise varsayılan `auto` bırakın; yalnızca otomatik anlaşma yapmayan bir cihaz varsa iki uçta aynı sabit değeri verin. ## Adım 8: Kaydetme ve yedekleme AOS-S'de yapılan her değişiklik önce çalışan yapılandırmaya (running-config) yazılır. `write memory` girilmezse switch yeniden başladığında hepsi kaybolur. ```text SW-KAT1-01(config)# write memory SW-KAT1-01(config)# show running-config ``` `ip ssh filetransfer` açıkken yedeği yönetim bilgisayarından SCP ile alabilirsiniz. Kılavuza göre switch'in dosya sisteminde yapılandırmalar `/cfg` altında durur: ```bash scp yonetici@10.99.0.21:/cfg/startup-config ./SW-KAT1-01-startup.cfg ``` Switch tarafından gönderim için `copy startup-config tftp ` sözdizimi de var; ancak TFTP şifresizdir ve yukarıdaki ayarla kapanır. Yedekleri tarihli saklayın ve her değişiklikten sonra yenisini alın. Ağ yapılandırmasını elle yönetmekten merkezi politikaya geçiş fikri için [yazılım tanımlı ağ](https://www.abdulazizakyol.com/blog/yazilim-tanimli-ag-bir-standart-halini-alacak/) yazısına da bakabilirsiniz. ## Kontrol listesi | Kontrol | Komut | Beklenen | | --------------- | ----------------------------- | ---------------------------------- | | Yazılım sürümü | `show version` | Desteklenen güncel AOS-S | | Saat | `show time`, `show sntp` | UTC+3, SNTP sunucusu yanıt veriyor | | VLAN üyelikleri | `show vlans` | Kullanıcı, kamera, yönetim ayrı | | Uplink | `show lacp`, `show trunks` | trk1 iki portla etkin | | Uzaktan erişim | `show ip ssh` | SSH açık, Telnet kapalı | | SNMP | `show snmpv3 only` | Yalnızca v3 | | Spanning tree | `show spanning-tree` | Kök köprü çekirdek switch | | Port güvenliği | `show port-security` | Beklenen portlarda etkin | | Kayıt | `write memory` | Değişiklikler kalıcı | | Yedek | SCP ile `/cfg/startup-config` | Tarihli kopya mevcut | ## Sonuç İyi bir temel yapılandırma gösterişli özelliklerden değil, doğru sıradan gelir: konsoldan başla, hesabı ve saati kur, VLAN'ı ve yönetim adresini ver, SSH ile bağlanabildiğini doğrula, sonra güvensiz protokolleri kapat, en son kaydet ve yedekle. Bu sırayı atlayıp uzaktan çalışırken Telnet'i ya da yönetim VLAN'ını değiştirmek, sahada en sık gördüğüm "switch'e erişimi kaybettik" vakalarının kaynağıdır. ## Sık sorulan sorular ### ProCurve komutları Aruba CX switch'lerde çalışır mı? Hayır. 2530, 2540, 2920, 2930F/M, 3810M ve 5400R gibi seriler AOS-S çalıştırır ve ProCurve komutlarının devamını kullanır. CX 6000, 6100, 6300 ve 8000 ailesi gibi seriler ise sıfırdan yazılmış AOS-CX işletim sistemini kullanır; VLAN, SSH ve SNMP komutları farklıdır. ### HP switch'te Telnet nasıl kapatılır ve SSH nasıl açılır? Önce crypto key generate ssh rsa bits 2048 ile anahtar üretilir, ip ssh ile SSH sunucusu açılır, SSH ile bağlanabildiğiniz doğrulandıktan sonra no telnet-server ile Telnet kapatılır. Son olarak write memory ile yapılandırma kaydedilir. ### HP/Aruba switch'te tagged ve untagged port farkı nedir? Untagged üyelik, porttan çıkan çerçevelerin VLAN etiketi taşımadığı anlamına gelir ve bir port yalnızca bir port tabanlı VLAN'a untagged üye olabilir. Tagged üyelikte çerçeveler 802.1Q etiketiyle taşınır; switch'ler arası bağlantılar birden çok VLAN'ı bu şekilde taşır. HP terminolojisindeki trunk ise VLAN taşıma değil, port birleştirme (link aggregation) demektir. ### HP/Aruba switch yapılandırması nasıl yedeklenir? Önce write memory ile çalışan yapılandırma kaydedilir. ip ssh filetransfer açıkken bir yönetim bilgisayarından scp ile /cfg/startup-config dosyası indirilebilir; switch tarafından copy startup-config komutuyla TFTP ya da SFTP sunucusuna da gönderilebilir. TFTP şifresiz olduğu için yalnızca yalıtılmış yönetim ağında kullanılmalıdır. ## Kaynaklar 1. [HPE Aruba Networking — AOS-S dokümantasyon portalı](https://arubanetworking.hpe.com/techdocs/AOS-S/DocPortal/Content/home.htm) 2. [HPE Aruba Networking — 2930M/F Management and Configuration Guide for AOS-S 16.11](https://arubanetworking.hpe.com/techdocs/AOS-Switch/16.11/Aruba%202930%20M&F%20Management%20and%20Configuration%20Guide%20for%20AOS-S%2016.11.pdf) 3. [HPE Aruba Networking — 2930M/F Access Security Guide for AOS-S 16.10](https://arubanetworking.hpe.com/techdocs/AOS-Switch/16.10/Aruba%202930M&F%20Access%20Security%20Guide%20for%20AOS-S%20Switch%2016.10.pdf) 4. [HPE Aruba Networking — 2930F/M Advanced Traffic Management Guide for AOS-S 16.09](https://arubanetworking.hpe.com/techdocs/AOS-Switch/16.09/Aruba%202930F&M%20Advanced%20Traffic%20Management%20for%20AOS-S%20Switch%2016.09.pdf) 5. [HPE — ArubaOS-Switch Hardening Guide (16.04)](https://higherlogicdownload.s3.amazonaws.com/HPE/MigratedAssets/ArubaOS-Switch%20Hardening%20Guide%20for%2016.04.pdf) --- Abdulaziz Akyol, CX Teknoloji'nin (yapay zekâ, görüntü işleme ve IoT) kurucusudur. Asıl sürüm: https://www.abdulazizakyol.com/blog/hp-switch-genel-ayarlar/