Kısaca
Misafir Wi-Fi ile kasa, yazıcı ve dosya sunucusu aynı ağda olmamalı. AP'de istemci yalıtımı, kutuda VLAN ayrımı ve on dakikalık üç adımlı kendi kendine test.
Misafir Wi-Fi'ı açtığınızda aynı kabloya kasa, yazıcı, kamera kayıt cihazı ve muhasebe bilgisayarı da bağlıysa, misafire yalnızca internet değil, işletmenizin iç ağını da vermiş olursunuz. Çoğu küçük işletmede bu fark edilmez, çünkü hiçbir şey "bozulmaz". Bu yazı iki ağı nasıl ayıracağınızı ve ayrımın gerçekten çalıştığını on dakikada nasıl test edeceğinizi anlatır.
İki katman: yalıtım ve ayrım
Ayrımı iki ayrı yerde kurarsınız; ikisi birbirinin yerini tutmaz.
Erişim noktasında istemci yalıtımı (client isolation)
AP'deki bu ayar aynı misafir ağındaki cihazların birbirini görmesini engeller. Bir misafirin telefonu diğerinin dizüstüsüne ulaşamaz. Bu, misafirleri birbirinden korur. İşletmenin iç ağını korumaz; o iş bir sonraki katmanındır.
Kutuda VLAN ile ağ ayrımı
VLAN, aynı switch ve aynı kablo üzerinde birbirinden habersiz sanal ağlar kurmanın yoludur. Misafir trafiği bir VLAN'da, personel trafiği başka bir VLAN'da taşınır. Hotspot-Box misafir VLAN'ının çıkış kapısıdır: misafir trafiği internete kutudan geçerek çıkar, personel ağına ise hiç ulaşmaz. Kutu pfSense tabanlı bir güvenlik duvarı olduğundan iki ağ arasındaki kural açıktır: misafirden personele yol yok.
Kutu kurumsal bir UTM cihazının yerini almaz. Personel ağının kendi güvenliği (antivirüs, güncellemeler, parola düzeni) ayrı bir konudur. Kutunun işi misafiri dışarıda tutmaktır.
Kutu nereye oturur?
Sade bir yerleşim şöyledir:
- Modem/router internete çıkar ve kutuya bir kablo verir.
- Kutu misafir VLAN'ının yöneticisidir: IP dağıtır, portalı gösterir, kayıt tutar, trafiği süzer.
- Switch, misafir VLAN'ını AP'lerdeki misafir SSID'sine, personel VLAN'ını kablolu bilgisayarlara ve personel SSID'sine taşır.
- AP'ler iki SSID yayınlar: misafir (misafir VLAN etiketi) ve personel (personel VLAN etiketi).
Mevcut modem ve AP'ler yerinde kalır; kutu araya girer. Ek lisans gerekmez.
Üç adımlı kendi kendine test
Ayrımı kurduktan sonra bir misafir gibi davranın. Telefonunuzla misafir SSID'sine bağlanın, portaldan geçin ve şu üç adımı uygulayın.
Adım 1: Personel ağının ağ geçidine ping
Personel ağının ağ geçidi adresini (örneğin router'ın personel tarafındaki IP'si) bir ağ aracı uygulamasıyla pingleyin.
- Yanıt yok: Beklenen sonuç. Misafir VLAN'ı personel ağına yol bulamıyor.
- Yanıt var: Ayrım yok ya da kutuda misafirden personele giden bir kural açık kalmış. Misafir SSID'sinin VLAN etiketini ve kutudaki güvenlik duvarı kurallarını kontrol edin.
Adım 2: Ağ taraması
Aynı uygulamayla misafir ağını tarayın. Hangi cihazlar görünüyor?
- Yalnızca kendi telefonunuz ve ağ geçidi (kutu): Beklenen sonuç. İstemci yalıtımı açık.
- Diğer misafirlerin telefonları görünüyor: AP'de istemci yalıtımı kapalı. Açın; birden fazla AP varsa her birinde ayrı ayrı.
- Yazıcı, kasa ya da kamera görünüyor: Bu cihazlar misafir VLAN'ına takılmış. Switch portlarını kontrol edin; muhtemelen bir port yanlış VLAN'da.
Adım 3: Yazıcıyı deneyin
Personel yazıcısının IP'sini tarayıcıya yazın ya da telefondan yazdırmayı deneyin.
- Ulaşılamıyor: Beklenen sonuç.
- Yazıcının web arayüzü açılıyor: Yazıcı misafir tarafında ya da iki VLAN arasında bir yol var. Yazıcı misafirler için bilerek açılmışsa (örneğin otel lobisinde belge yazdırma) bunun yeri misafir VLAN'ında MAC muafiyetiyle tanımlanmış bir yazıcıdır; personel yazıcısı değil.
Sonuçları yorumlama
| Adım | Beklenen | Sapma | Nereye bakılır |
|---|---|---|---|
| Ping | Yanıt yok | Yanıt var | Misafir SSID VLAN etiketi, kutu kuralları |
| Tarama | Yalnız kendiniz ve kutu | Başka misafirler | AP istemci yalıtımı |
| Tarama | Yalnız kendiniz ve kutu | İç cihazlar | Switch port VLAN atamaları |
| Yazıcı | Erişim yok | Arayüz açılıyor | Yazıcının bağlı olduğu port, kutu kuralları |
Üç adım da beklenen sonucu verdiyse ayrım çalışıyor. Testi her altı ayda bir ve her ağ değişikliğinden sonra yineleyin; bir elektrikçinin "boşta port" bulup kamerayı takması yeterince sık yaşanan bir hikâyedir.
Sık yapılan üç hata
- Yalnız parolayla ayrım. Aynı düz ağda bir misafir SSID'si, bir personel SSID'si. Parolalar farklı, kablo aynı. Portalı geçen herkes personel ağındadır. Ayrım ikinci bir parolayla değil, VLAN ile olur.
- Yalıtım açık, kablolu cihazlar unutulmuş. AP'de istemci yalıtımı açılmış; ama kayıt cihazı ve kasa, misafir AP'siyle aynı yönetilemeyen switch'e takılı. Kablosuz misafirler birbirini görmez, ama her kablolu cihazı görür.
- MAC muafiyeti personel için kullanılmış. Bir personel dizüstüsü portalı atlasın diye muaf tutulmuş. Artık doğrulamasız internete çıkıyor ama hâlâ misafir VLAN'ında; yazıcıya ve dosya sunucusuna ulaşamıyor. Muafiyet portalı geçemeyen cihazlar içindir, geçmek istemeyen insanlar için değil.
Misafir tarafında bilerek açılanlar
Bazı cihazların misafir tarafında olması gerekir: lobideki akıllı TV, misafir yazıcısı, menü tableti. Bunlar portalı geçemez. Kutuda MAC muafiyeti tanımlarsınız; cihaz doğrulama görmeden internete çıkar ama yine misafir VLAN'ında kalır, personel ağına ulaşamaz. Muafiyet "portalı atla" demektir, "ayrımı atla" değil.
Dört VLAN'lı daha ayrıntılı bir yerleşim için kutu sayfasına ve sektör rehberlerine göz atabilirsiniz. Mevcut ağınız için yerleşim önerisi isterseniz bize yazın.
Bu yazı teknik bir rehberdir; hukuki danışmanlık niteliği taşımaz.