Kısaca
Engelli adres listeleri, DNS filtreleme ve aile filtreleri aynı şey değildir. Misafir Wi-Fi'de bu üç kavramın farkı ve kutunun bu işte neyi yapıp neyi yapmadığı.
Önce beklentiyi doğru koyalım
5651 sayılı Kanun, toplu kullanım sağlayıcıdan iki ayrı şey bekler. Birincisi, kim-ne zaman-hangi adres sorusunu cevaplayan iç IP dağıtım kayıtları. İkincisi, konusu suç oluşturan içeriğe erişimi engellemeye yönelik tedbir almak. Bu iki beklenti farklı araçlarla karşılanır ve çoğu zaman birbirine karıştırılır.
Bu yazı ikinci beklentiyi kavram düzeyinde açıklıyor. Hangi tedbirin "yeterli" sayılacağı işletmenizin türüne, kullanıcı profilinize ve hukuki yorumlara bağlıdır. Bu konuda hukuki görüş alın; biz yalnızca araçları tanıtıyoruz.
Üç farklı kavram
Engelli adres listeleri
Yetkili kurumlar, erişimi engellenmiş alan adlarını ve adresleri listeler hâlinde yayımlar. Bir ağ cihazı bu listeyi düzenli olarak çekip ağdaki cihazların o adreslere ulaşmasını kesebilir. Liste "yasaklı" olanı tanımlar; dar ve kesin bir kümedir. Listede olmayan ama sakıncalı içeriğe dokunmaz.
DNS filtreleme
Her alan adı önce bir DNS sorgusuyla IP adresine çevrilir. Filtreleyen bir DNS sunucusu, belli kategorilerdeki alan adlarına cevap vermez ya da bir uyarı sayfasına yönlendirir. Kategoriler sağlayıcıya göre değişir: kötü amaçlı yazılım, kimlik avı, kumar, yetişkin içerik vb. DNS filtreleme geniş ama kaba bir araçtır; alan adı düzeyinde çalışır, sayfa düzeyinde çalışmaz. DNS-over-HTTPS kullanan cihazlar bu filtreyi aşabilir; bunu kapatmak için ağ politikası gerekir.
Aile filtreleri
Aile filtresi daha çok son kullanıcıya yönelik bir kavramdır. Operatörlerin ya da işletim sistemlerinin sunduğu, çocuklara uygun olmayan içeriği kategoriye göre kısıtlayan profillerdir. Genelde kişi ya da hesap bazında çalışır; bir işletmenin misafir ağı için tasarlanmamıştır.
| Yöntem | Ne yapar | Ne yapmaz |
|---|---|---|
| Engelli adres listesi | Resmî olarak engellenmiş adresleri keser | Listede olmayan içeriğe dokunmaz |
| DNS filtreleme | Kategoriye göre alan adlarını keser | Sayfa düzeyinde ayrım yapmaz; DoH ile aşılabilir |
| Aile filtresi | Kullanıcı profiline göre içerik kısıtlar | İşletme ağı için ölçeklenmez |
Bu işi hangi cihaz yapar?
Engelleme tedbiri bir ağ politikası işidir ve iki yerde uygulanır:
- DNS tarafı: misafir ağının DNS sunucusunu filtreleyen bir servise yönlendirmek ve misafirlerin başka DNS kullanmasını güvenlik duvarı kuralıyla kısıtlamak.
- Güvenlik duvarı tarafı: belirli IP adreslerini ya da adres bloklarını kesmek, engelli listeleri otomatik çeken bir kural seti çalıştırmak.
Bu iki iş, kurumsal güvenlik duvarınızın, UTM cihazınızın ya da filtreleyen DNS sağlayıcınızın alanıdır.
Kutu bu konuda ne yapar, ne yapmaz?
Açık söyleyelim: Hotspot-Box içerik filtresi değildir. Engelli adres listesi çekmez, kategori bazlı DNS filtrelemesi yapmaz, aile filtresi sunmaz. Bunu bir eksiklik gibi gizlemek yerine görev ayrımı olarak anlatıyoruz:
- Kutunun işi kimlik ve kayıttır: misafiri SMS koduyla doğrular, cihaza iç IP verir, oturumu zaman damgalı kaydeder, kayıtların bütünlüğünü SHA-256 zinciri ve RFC 3161 damgasıyla korur.
- Kutu misafir ağını ayıran bir güvenlik duvarıdır (pfSense tabanlı) ama kurumsal UTM'in yerini almaz.
- Misafir ağının DNS sunucusunu filtreleyen bir servise yönlendirmeniz mümkündür; bu, sizin ağ politikanızdır ve kutunun bir özelliği olarak sunulmaz.
- İsteğe bağlı DNS sorgu günlüğü, kutunun DNS'ini kullanan cihazların sorduğu alan adlarını tutar. Bu bir engelleme aracı değildir; açarsanız aydınlatma metninizi güncellemeniz gerekir.
Walled garden (giriş öncesi erişilebilir adres listesi) de bir engelleme aracı değildir. Giriş yapmamış cihazın yalnızca portal ve doğrulama için gereken adreslere ulaşmasını sağlar.
Örnek senaryo
Bir öğrenci yurdu düşünün. Yönetim, misafir ağının DNS'ini kategori filtresi sunan bir servise yönlendiriyor ve güvenlik duvarında misafirlerin başka DNS kullanmasını kesiyor. Kutu, aynı ağda her öğrencinin cihazını SMS koduyla doğruluyor, iç IP veriyor ve oturumu kaydediyor. Bir gün bir talep gelirse yönetim iki şeyi ayrı ayrı gösterebiliyor: "Şu saatte şu adresi kullanan cihaz buydu" (kutunun kaydı) ve "ağımızda şu kategoriler zaten filtreleniyordu" (DNS servisinin politikası).
İki belge birbirini tamamlar ama iki ayrı sistemden gelir. Birini diğerinin yerine koymak, ikisini de zayıflatır. Filtre tutarsa kimlik tespitini yapamazsınız; kayıt tutarsa filtrelemeyi kanıtlayamazsınız.
"Ne yeter?" sorusuna dürüst cevap
Tek bir cevap yok. Şu çerçeve işinize yarayabilir:
- Küçük bir kafe ile bir okul kampüsünün beklenen tedbir seviyesi aynı değildir.
- Reşit olmayan kullanıcıların yoğun olduğu yerlerde (yurt, dershane, oyun salonu) DNS filtreleme neredeyse standart hâle gelmiştir; bu konuda hukuki görüş alın.
- Engelleme ne kadar sıkıysa, misafir deneyimi o kadar bozulur ve destek yükünüz artar. Kategori seçimini bilinçli yapın.
- Hiçbir teknik tedbir yüzde yüz değildir. Belgeleyebildiğiniz, makul ve güncel tutulan bir politika, "hiç tedbir yok" durumundan her zaman iyidir.
Kutu, hangi politikayı seçerseniz seçin, kimlik ve kayıt tarafını aynı biçimde yapar. Böylece "kim, ne zaman" sorusunu her durumda cevaplayabilirsiniz; "neye erişebilir" kararı ise sizin ağ politikanızda kalır.
Sektörünüze göre örnek kurgular için sektörler sayfasına, ürün ayrıntıları için ürünler sayfasına bakabilirsiniz.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir; yükümlülüğünüzü hukuk danışmanınızla doğrulayın.