Kısaca
Tek bir ortak parola hem güvenlik hem kayıt açısından sorunludur. Personeli 802.1X/RADIUS ile, misafiri portal ile ayırmanın gerekçesi ve kurulum notları.
Çoğu işletmede personel Wi-Fi'ı tek parolayla çalışır. Parola işe girişte söylenir, bir kâğıda yazılır, ayrılan çalışanla birlikte dışarı çıkar. Bu yazı, ortak parolanın neden hem güvenlik hem kayıt açısından zayıf olduğunu ve personel ile misafir ağlarını nasıl ayırmanız gerektiğini anlatıyor.
Ortak parola ne yapar, ne yapmaz?
Ortak parola (WPA2/WPA3-Personal) hava trafiğini şifreler; bunu iyi yapar. Yapmadığı şey kimlik ayrımıdır. Parolayı bilen 40 kişi ağa aynı "kimlikle" girer. Bunun iki sonucu vardır:
Güvenlik tarafı. Ayrılan bir çalışan, dışarıdan gelen bir tedarikçi ya da parolayı duyan bir müşteri, parola değişmediği sürece bağlanır. Parolayı değiştirmek demek herkesin telefonunu, dizüstünü, yazıcısını yeniden bağlamak demektir. Bu yüzden parolalar yıllarca değişmez.
Kayıt tarafı. Personel ağından yapılan bir bağlantı sorun çıkarsa elinizde yalnızca "personel ağından biri" bilgisi olur. Erişim noktası ya da modemdeki DHCP günlüğü kısa ömürlüdür, imzalanmaz ve kişiye bağlanmaz.
5651 sayılı Kanun'un toplu kullanım sağlayıcıdan beklediği iç IP dağıtım kayıtları öncelikle misafirlere açtığınız erişimle ilgilidir. Personel ağında kayıt yükümlülüğünün kapsamı işletme türüne göre değişebilir; bu konuda hukuki görüş alın. Kayıt tutmaya karar verirseniz ortak parolayla tutulan kayıt kişiyi göstermez; bu teknik bir gerçek.
Personel için doğru yöntem: 802.1X ve RADIUS
802.1X, Wi-Fi'da her kullanıcının kendi kimlik bilgisiyle bağlandığı standarttır. Erişim noktası, kullanıcıyı doğrulamak için arkadaki RADIUS sunucusuna sorar. Bu kurulumda erişim noktasına NAS (Network Access Server) denir; RADIUS sunucusu kimlik bilgisini kontrol eder, oturumu kabul ya da reddeder.
Kazandığınız şeyler:
- Her çalışanın kendi kullanıcı adı ve parolası (ya da sertifikası) vardır.
- Ayrılan çalışanın hesabını kapatırsınız; kimse yeniden bağlanmaz, parola değişmez.
- RADIUS tarafında kim, hangi cihazla, ne zaman bağlandı kaydı oluşur.
- İsterseniz kullanıcıya göre VLAN atayabilirsiniz: muhasebe ayrı, depo ayrı.
Bedeli: bir RADIUS sunucusu ve kullanıcı dizini gerekir. Mevcut bir dizininiz varsa (örneğin ofis hesaplarınız) genellikle ona bağlanılır. Çoğu kurumsal sınıf erişim noktası 802.1X'i destekler; ev tipi modemlerde bu seçenek genelde yoktur.
Kutu bu resmin neresinde?
Hotspot-Box'ın asıl işi misafir ağıdır: captive portal, SMS kodu, kupon, e-posta ve kayıtlı kullanıcı girişi; iç IP dağıtım kayıtlarını SHA-256 zinciriyle bağlayıp zaman damgası almak; 2 yıl saklamak.
Bunun yanında kutu, RADIUS destekleyen erişim noktalarıyla NAS entegrasyonu kurabilir. Yani erişim noktanız RADIUS konuşuyorsa misafir oturumları erişim noktası tarafında da kutuyla uyumlu biçimde yönetilir. Bu, erişim noktası markasından bağımsız bir plan yönetimine (hız, oturum süresi, boşta kalma, cihaz sayısı, günlük kota) ek bir güçlendirmedir.
Personel ağı için ise mevcut RADIUS/dizin altyapınızı kullanırsınız. Kutu personel ağınızı yönetmeye talip değildir; kutunun yaptığı, personel ağı ile misafir ağını VLAN ile ayırmak ve misafir tarafını tamamen üstlenmektir.
Önerilen mimari
| Ağ | SSID | Doğrulama | VLAN | Kayıt |
|---|---|---|---|---|
| Personel | Gizli ya da açık ad | 802.1X / RADIUS | Personel VLAN | RADIUS oturum kayıtları, dizin günlüğü |
| Misafir | Açık, parolasız | Captive portal (SMS kodu, kupon, e-posta) | Misafir VLAN | Kutuda imzalı, 2 yıl |
| Cihazlar (yazıcı, POS, TV) | Misafir ya da ayrı cihaz VLAN'ı | MAC muafiyeti | Duruma göre | Kutuda görünür |
Bu tablonun kritik satırı VLAN ayrımıdır. Misafir ağının personel kaynaklarına (dosya sunucusu, kamera kayıt cihazı, kasa yazılımı) ulaşamaması gerekir. Kutu misafir ağını ayıran bir güvenlik duvarıdır (pfSense tabanlı); kurumsal UTM'in yerini almaz, ama misafirin iç ağınıza geçişini keser.
Geçiş planı
Ortak paroladan 802.1X'e geçiş bir günde olmaz. Önerdiğimiz sıra:
- Misafiri ayırın. Önce misafir SSID'sini açık ağ + portal olarak kurun, kutuya bağlayın. Personelin misafir ağına girmesini engellemeniz gerekmez; girerse kayıt oluşur, o kadar.
- Cihazları ayıklayın. Yazıcı, POS, TV gibi kimlik giremeyen cihazlar için MAC muafiyeti tanımlayın ya da ayrı bir cihaz VLAN'ı açın.
- Personelde pilot yapın. Bir departmanı 802.1X'e taşıyın. Telefon ve dizüstüne profil kurulumunu bir sayfalık yönergeyle anlatın.
- Ortak parolayı kapatın. Pilot başarılıysa eski SSID'yi kapatın. Hâlâ bağlanamayan cihaz varsa 3. adıma geri dönün.
Küçük bir işletmede 802.1X aşırı gelebilir. O durumda en azından şunu yapın: personel ağını ayrı VLAN'da tutun, parolayı yılda bir değiştirin, ayrılan çalışan sonrasında hemen değiştirin. Ancak bilin ki bu, kayıt sorununu çözmez; yalnızca sızıntı penceresini daraltır.
Sık yapılan hatalar
- Misafir ve personel aynı SSID'de, "misafir parolayı bilmiyor" güveniyle. Parola ilk hafta sızar.
- Personel VLAN'ında captive portal kullanmak. Personel günde beş kez kod istemekten yorulur, ortak parolaya geri dönülür. Personel için 802.1X; portal misafir içindir.
- Yazıcıyı misafir ağına koyup muafiyet tanımlamamak. Yazıcı portal göremez, bağlanamaz, "Wi-Fi çalışmıyor" şikâyeti gelir.
- İstemci izolasyonunu açmamak. Misafir VLAN'ında cihazlar birbirini görmemeli.
Kutunun mevcut erişim noktalarınızla nasıl çalıştığını kutu sayfasında, sanallaştırma ortamında kurmak için sanal cihaz sayfasında bulabilirsiniz. Ağ şemanızı bize gönderin, VLAN planını birlikte çıkaralım.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.