Kısaca
Üç yaygın Wi-Fi yöntemi misafir için neden eksik kalır? Kimlik yok, kayıt yok ya da kurulum pratik değil. Portal ve SMS kodu bu boşluğu nasıl kapatır?
Misafir Wi-Fi'ı için elinizde üç hazır seçenek var gibi görünür: duvara parolayı yazmak, ağı tamamen açık bırakmak ya da kurumsal ağlardaki gibi kullanıcı adı ve parola istemek. Üçü de bir şeyi iyi yapar, bir şeyi hiç yapmaz. Bu yazıda her birinin misafir senaryosunda nerede eksik kaldığını, sonra da captive portal ile SMS kodunun bu boşluğu nasıl doldurduğunu anlatıyoruz.
Önce ölçüt: misafir ağından ne bekleniyor?
5651 sayılı Kanun, toplu kullanım sağlayıcıdan iç IP dağıtım kayıtlarını tutmasını ve bu kayıtların bütünlüğünü korumasını bekler. Pratikte bu, "hangi cihaz, hangi iç IP ile, ne zaman bağlandı ve bu bağlantı kime ait" sorusuna cevap verebilmek demektir. Buna üç ölçüt ekleyin:
- Kimlik: Oturum bir kişiye bağlanabiliyor mu?
- Kayıt: Oturumun başı, sonu, MAC ve iç IP güvenilir biçimde tutuluyor mu?
- Pratiklik: Kapıdan giren misafir 30 saniyede bağlanabiliyor mu?
Şimdi üç yöntemi bu ölçütlerden geçirelim.
Paylaşılan parola (WPA2/WPA3-Personal)
En yaygın yöntem. Parola duvarda, fişte ya da garsonun ağzında.
- Kimlik: yok. Parolayı bilen herkes aynı kimlikle bağlanır. Oturumun kime ait olduğunu söyleyemezsiniz.
- Kayıt: eksik. Modem ya da erişim noktası DHCP günlüğü tutabilir ama bu günlük genelde kısa ömürlüdür, imzalanmaz, kişiye bağlanmaz.
- Pratiklik: orta. Parolayı yazmak zahmetlidir, uzun parolalar hata çıkarır; kısa parolalar da komşu dükkâna sızar.
Ek sorun: parola bir kez dışarı çıkınca geri alamazsınız. Değiştirmek için tüm misafir cihazlarının yeniden bağlanması gerekir. Geçen yıl bağlanan telefon da parola değişmediyse hâlâ bağlanır.
Açık ağ
Parolasız, herkes bağlanır. Bazı ortamlarda "Enhanced Open" (OWE) ile hava trafiği şifrelenir ama bu şifreleme kimlikle ilgili değildir, yalnızca dinlemeyi zorlaştırır.
- Kimlik: yok.
- Kayıt: paylaşılan paroladaki gibi eksik.
- Pratiklik: en yüksek. Tek dokunuşla bağlanılır.
Açık ağ kötü bir fikir değildir; yalnızca tek başına eksiktir. Captive portal zaten açık ağ üzerinde çalışır: misafir ağa parolasız bağlanır, kimlik adımı portalda yapılır. Yani açık ağ, çözümün yarısıdır.
WPA3-Enterprise (802.1X)
Her kullanıcıya ayrı kullanıcı adı ve parola, arkada bir RADIUS sunucusu. Personel ağı için doğru yöntemdir; oturum kişiye bağlanır, parola sızması tek kişiyi etkiler.
- Kimlik: var, güçlü.
- Kayıt: RADIUS tarafında oturum kayıtları oluşur; ancak bunları saklamak, imzalamak ve 2 yıl tutmak ayrı bir iş olarak kalır.
- Pratiklik: misafir için düşük. Kapıdan giren kişiye kullanıcı hesabı açmanız, telefonuna sertifika ya da profil yüklemesini anlatmanız gerekir. Yabancı misafirde, yaşlı misafirde, kalabalık saatte bu akış durur.
Sonuç: WPA3-Enterprise personel için evet, misafir için hayır.
Karşılaştırma
| Yöntem | Kimlik | Güvenilir kayıt | Misafir için pratik |
|---|---|---|---|
| Paylaşılan parola | Yok | Yok | Orta |
| Açık ağ | Yok | Yok | Yüksek |
| WPA3-Enterprise | Var | Kısmen, ek iş gerekir | Düşük |
| Açık ağ + portal + SMS kodu | Var (telefon numarası) | Var | Yüksek |
Portal + SMS kodu yolu
Captive portal yaklaşımında misafir ağı açık kalır. Misafir bağlanır, tarayıcıda portal açılır, telefon numarasını yazar, SMS ile gelen kodu girer. Bu kadar. Arkada şunlar olur:
- Telefon numarası, bir operatörün bir aboneye tahsis ettiği numaradır. Kodun o numaraya ulaşması, oturumu o numaraya bağlar.
- Kutu numarayı şifreli saklar, panelde maskeli gösterir; yalnızca yetkili rol açar.
- Cihaz MAC'i, atanan iç IP, oturum başı ve sonu kaydedilir. Günlük kayıtlar SHA-256 özet zinciriyle bağlanır, RFC 3161 zaman damgası alır, 2 yıl kutuda saklanır.
- Ziyaret edilen siteler, mesajlar ya da konum kaydedilmez.
Misafir açısından akış, parola yazmaktan daha kısadır: numarayı yazmak ve 6 haneli kodu girmek, 20 karakterli bir parolayı doğru yazmaktan kolaydır. Düzenli misafirler için cihaz hatırlamayı açarsanız ikinci gelişte kod da istenmez.
SMS'in yanında kupon (toplu üretip yazdırabilirsiniz), e-posta ve kayıtlı kullanıcı girişi de vardır. Konaklama ya da etkinlik gibi senaryolarda kupon, telefon numarası istemeden kişiye bağlı bir oturum sağlar: kuponu kime verdiğinizi siz bilirsiniz.
Peki şifreleme ne olacak?
Haklı bir itiraz: açık ağda hava trafiği şifrelenmiyor. Pratikte bugün uygulamaların ve sitelerin büyük çoğunluğu HTTPS kullanır; içerik uçtan uca şifrelidir. Erişim noktanız destekliyorsa Enhanced Open'ı açabilirsiniz; portal bunu engellemez. Erişim noktasında istemci izolasyonunu açmak da misafirlerin birbirini görmesini engeller. Kutu misafir ağını personel ağından VLAN ile ayırır.
Kısa karar
- Personel: WPA3-Enterprise ya da en azından ayrı VLAN'da güçlü parola.
- Misafir: açık ağ + captive portal + SMS kodu, gerekirse kupon ve e-posta ile birlikte.
- Yazıcı, POS, TV gibi cihazlar: MAC muafiyeti ile portalı atlar, kayıtta yine görünür.
Kutunun misafir tarafını nasıl yönettiğini ürün sayfasında bulabilirsiniz. Mevcut modem ve erişim noktalarınızı değiştirmeden çalışır. Sorularınız için SSS ya da iletişim sayfası.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.