Misafir Wi-Fi Ağı Mimarisi: İzolasyon, Captive Portal ve Bant Sınırı

Misafir Wi-Fi genellikle tek cümleyle kurulur: “Ayrı bir SSID açalım.” Birkaç hafta sonra misafir telefonları muhasebenin yazıcısını görür, ana hat birinin video akışıyla dolar, bir olay incelemesinde de hangi cihaza hangi IP’nin verildiğine dair tek satır kayıt bulunmaz. Ayrı SSID, ayrı ağ demek değildir. Aşağıda kurumsal ağdan gerçekten izole bir misafir erişiminin mimarisini; SSID ve VLAN ayrımından internet çıkışına, captive portal seçeneklerinden DHCP kapsamı ve kayıt gereksinimlerine kadar uygulama sırasıyla anlatıyoruz.

Misafir ağı tasarım hedefleri

Doğru kurulmuş bir misafir ağı dört hedefi aynı anda karşılar:

1. İzolasyon: misafir cihazları kurumsal sunuculara, yazıcılara, yönetim arayüzlerine ve birbirlerine erişemez.
2. Kontrollü erişim: kimin, ne zaman, hangi cihazla bağlandığı bilinir; erişim süreli verilir.
3. Kaynak sınırı: misafir trafiği kurumsal uygulamaların bant genişliğini ve kablosuz kanal süresini tüketmez.
4. Kayıt: yasal yükümlülükler ve olay incelemesi için gereken kayıtlar tutulur, kişisel veriler ölçülü toplanır.

Burada ağ mimarisi ve yapılandırma tarafına odaklanıyoruz. Misafir erişim politikası, NAC entegrasyonu ve cihaz duruş kontrolü gibi güvenlik politikası konuları 802.1X ve NAC geçiş planı yazısında ele alınıyor.

Katman 2 izolasyonu: SSID, VLAN ve istemci izolasyonu

İzolasyon katman katman kurulur; her katman bir öncekinin açığını kapatır. Tek katmana güvenen tasarım, ilk yanlış yapılandırmada açılır.

Sahada en sık gördüğümüz hata şudur: misafir VLAN’ı ayrıdır ama ağ geçidi çekirdek switch’te bir SVI olarak durur. Çekirdekte bütün iç VLAN’lar zaten birbirine yönlendirilir; misafir VLAN’ı da bu tablonun içine düşer. VLAN ayrı, yönlendirme ortak. Tercih edilen yaklaşım, misafir VLAN’ının ağ geçidini güvenlik duvarında veya ayrı bir yönlendiricide sonlandırmak ve çekirdek switch’te bu VLAN için SVI oluşturmamaktır. Misafir VLAN’ı yalnızca AP portlarına ve güvenlik duvarına giden trunk’larda taşınmalıdır.

Ağ geçidi bir L3 switch üzerinde kalmak zorundaysa, giriş yönünde iç adres bloklarını engelleyen bir ACL uygulayın. Cisco IOS/IOS XE örneği (misafir alt ağı 10.90.0.0/22, ağ geçidi ve DNS yönlendiricisi 10.90.0.1):

ip access-list extended MISAFIR-GIRIS
 permit udp any eq bootpc any eq bootps
 permit udp 10.90.0.0 0.0.3.255 host 10.90.0.1 eq domain
 permit tcp 10.90.0.0 0.0.3.255 host 10.90.0.1 eq domain
 deny   ip any 10.0.0.0 0.255.255.255
 deny   ip any 172.16.0.0 0.15.255.255
 deny   ip any 192.168.0.0 0.0.255.255
 permit ip 10.90.0.0 0.0.3.255 any
!
interface Vlan90
 description MISAFIR-WIFI
 ip address 10.90.0.1 255.255.252.0
 ip access-group MISAFIR-GIRIS in

Bu ACL, DHCP ve ağ geçidindeki DNS hizmetine izin verir, özel adres bloklarına (RFC 1918) giden her şeyi reddeder, kalan trafiğin internete çıkmasına izin verir. Kurum RFC 1918 dışında adres kullanıyorsa (ör. kuruma ait genel IP bloğu) bu bloklar da ret satırlarına eklenmelidir; unutulan blok, açık kalan kapıdır. ACL’yi uyguladıktan sonra bir misafir cihazdan iç sunuculara, switch yönetim IP’lerine ve iç DNS’e erişimi tek tek deneyin. Test edilmeyen ACL’ye güvenmeyin. VLAN numaralandırma ve alt ağ planı için kurumsal ağda VLAN tasarımı yazısından yararlanabilirsiniz.

İnternet çıkışı: ayrı hat, DMZ veya tünel

Misafir trafiğinin internete nereden çıktığı, izolasyonun gücünü ve operasyon yükünü belirler:

• Ayrı internet hattı: misafir VLAN’ı kurumsal ağa hiç dokunmadan ayrı bir modem/güvenlik duvarı üzerinden çıkar. İzolasyon en nettir; misafirlerin ürettiği şüpheli trafik kurumun genel IP adresiyle ilişkilendirilmez. Ek hat maliyeti ve ikinci bir cihazın yönetimi gerekir.
• Güvenlik duvarında ayrı bölge (DMZ benzeri): tek hat kullanılır, misafir VLAN’ı güvenlik duvarında ayrı bir arayüz veya bölge olarak tanımlanır. Bölgeden iç ağlara her şey reddedilir, internete yalnızca belirlenen hizmetler açılır. En yaygın ve dengeli seçenektir.
• Merkeze tünel (anchor): çok şubeli yapılarda şubelerdeki misafir trafiği bir tünelle merkezdeki veya DMZ’deki bir kontrolcüye/ağ geçidine taşınır ve oradan çıkar. Politika ve kayıt tek noktada toplanır; bedeli şube WAN bant genişliğidir.

Hangisi seçilirse seçilsin, misafir DNS sorgularını iç DNS sunucularına değil, ağ geçidindeki bir yönlendiriciye veya dış çözümleyicilere gönderin. İç ad alanı dışarı sızmaz.

Captive portal kimlik doğrulama seçenekleri

Captive portal, misafirin internete çıkmadan önce bir web sayfasında kimlik doğrulaması veya koşul onayı yapmasını sağlar. Yöntemi misafir profiline göre seçin:

Portal şikâyetlerinin çoğu şu üç teknik noktadan gelir:

• İşletim sistemi portal algılaması: telefon ve dizüstü bilgisayarlar bağlantı sonrası belirli bir adresi sorgulayarak portalı algılar. Portal öncesi izin listesinde (walled garden) bu algılamayı ve SMS/kimlik sağlayıcı adreslerini engellemeyin; engellerseniz portal sayfası hiç açılmaz.
• HTTPS yönlendirmesi: HTTPS isteklerinin portal sayfasına yönlendirilmesi sertifika uyarısı üretir. Portalın geçerli, genel CA tarafından imzalanmış bir sertifikası olmalı; yönlendirme mümkünse HTTP algılama istekleri üzerinden yapılmalıdır. Süresi dolmuş portal sertifikası da aynı uyarıyı verir; yenileme tarihini takvime koyun.
• Rastgele MAC adresi: güncel iOS, Android ve Windows sürümleri SSID başına rastgele MAC adresi kullanabilir; bazı sürümlerde bu adres zamanla değişir. MAC tabanlı “bir kez onayla, hep hatırla” kurguları beklendiği gibi çalışmayabilir; oturum süresini buna göre belirleyin.

Bant genişliği sınırı ve DHCP kapsamı boyutlandırma

Bant genişliğini iki düzeyde sınırlayın: istemci başına (indirme ve yükleme için ayrı hız sınırı) ve misafir ağının toplamı için (güvenlik duvarında veya ağ geçidinde trafik şekillendirme). Yalnızca istemci başına sınır koymak, çok sayıda misafir aynı anda bağlandığında kurumsal hattın dolmasını engellemez. Kablosuz tarafta misafir SSID’sinin QoS sınıfını en düşük önceliğe (background veya best effort) ayarlayın; ses ve video trafiği kanal erişiminde öncelikli kalır.

DHCP kapsamı misafir sayısına değil, eşzamanlı cihaz sayısına ve kira süresine göre hesaplanır. Örnek hesap: bir tesiste gün içinde 400 farklı misafir cihazı bağlanıyor, aynı anda en fazla 250 cihaz bulunuyor. Kira süresi 8 saat seçilirse, ayrılan cihazların adresleri kira dolana kadar ayrılmış kalır ve 400 adresin tamamı gerekebilir; /24 (254 kullanılabilir adres) yetmez. Havuz dolunca yeni misafir bağlanır, IP alamaz, “Wi-Fi çalışmıyor” diye arar. Kira süresi 1 saate indirildiğinde ihtiyaç eşzamanlı cihaz sayısına yaklaşır. Uyguladığımız kurallar:

• Misafir ağında kısa kira süresi (30 dakika–2 saat) kullanın.
• Alt ağı, beklenen eşzamanlı cihaz sayısının en az iki katı adres içerecek şekilde seçin (ör. /23 veya /22).
• DHCP havuz doluluğunu izleyin ve eşik aşımında alarm üretin.
• Rastgele MAC kullanan cihazların aynı gün içinde birden fazla adres alabileceğini hesaba katın.

Kayıt ve log tutma gereksinimleri

Türkiye’de toplu internet erişimi sağlayan kuruluşların yükümlülükleri 5651 sayılı Kanun ve ilgili yönetmeliklerle düzenlenir; uygulamada iç IP dağıtım kayıtlarının (hangi cihaza, hangi zaman aralığında hangi IP adresinin verildiği) güvenli biçimde saklanması bu kapsamda değerlendirilir. Saklama süresi, kayıt biçimi ve bütünlüğün nasıl sağlanacağı gibi ayrıntılar değişebileceği için mevzuat.gov.tr üzerindeki güncel metinlerden ve hukuk danışmanından doğrulanmalıdır.

Teknik olarak tutulması önerilen kayıtlar:

• DHCP kira kayıtları: MAC adresi, verilen IP, başlangıç ve bitiş zamanı.
• Captive portal kimlik doğrulama kayıtları: kullanıcı tanımlayıcısı (telefon, voucher kodu, sponsor), MAC ve zaman.
• NAT kayıtları: misafir iç IP’sinin hangi genel IP ve port ile dışarı çıktığı.
• Tüm cihazlarda doğru zaman damgası için NTP senkronizasyonu.

Son madde en çok atlanandır. Saatleri tutmayan DHCP, portal ve NAT kayıtları birbirine bağlanamaz; kayıt vardır ama kullanılamaz. Bu kayıtların merkezi toplanması ve değiştirilemez biçimde saklanması için merkezi syslog sunucusu yazısındaki yaklaşım uygulanabilir. Telefon numarası gibi kişisel veriler toplanıyorsa KVKK kapsamında aydınlatma metni, saklama süresi ve erişim yetkisi ayrıca tanımlanmalıdır.

Misafir ağı kurulum kontrol listesi

• Misafir SSID’si ayrı, misafir VLAN’ı ayrı ve yalnızca gerekli trunk’larda taşınıyor.
• Misafir ağ geçidi güvenlik duvarında veya ayrı yönlendiricide; çekirdek switch’te misafir SVI’si yok ya da giriş ACL’si uygulanmış.
• AP istemci izolasyonu açık; AP’ler arası izolasyon switch veya ağ geçidi tarafında sağlanmış.
• Misafir bölgesinden iç alt ağlara, yönetim arayüzlerine ve iç DNS’e erişim testle doğrulanmış.
• İstemci başına ve toplam bant genişliği sınırı tanımlı; misafir SSID’si düşük QoS sınıfında.
• DHCP kira süresi kısa, alt ağ boyutu eşzamanlı cihaz sayısının en az iki katı, havuz doluluğu izleniyor.
• Captive portal sertifikası geçerli; walled garden listesinde algılama ve kimlik sağlayıcı adresleri var.
• DHCP, portal ve NAT kayıtları merkezi olarak ve doğru zaman damgasıyla saklanıyor; saklama koşulları mevzuattan doğrulanmış.
• Misafir SSID’si yalnızca gerekli bantlarda yayın yapıyor; mesai dışı kapatma veya zaman planı değerlendirilmiş.

Misafir ağının VLAN ve yönlendirme tasarımı VLAN, routing ve ağ segmentasyonu, SSID, portal ve RF yapılandırması ise kablosuz ağ kurulumu ve optimizasyonu hizmetleri kapsamında birlikte ele alınabilir.

Sık sorulan sorular

Misafir Wi-Fi için ayrı internet hattı şart mı?

Şart değil, ancak en net izolasyonu sağlar ve misafir trafiğinin kurumsal hattın kapasitesini ve genel IP adresinin itibarını etkilemesini önler. Tek hat kullanılıyorsa misafir VLAN’ı güvenlik duvarında ayrı bir bölgeye alınmalı, iç ağlara erişim açıkça engellenmeli ve misafir trafiği bant genişliği politikasıyla sınırlandırılmalıdır.

İstemci izolasyonu yalnızca AP’de açmak yeterli mi?

Hayır. AP üzerindeki istemci izolasyonu genellikle yalnızca aynı AP’ye bağlı istemciler arasındaki trafiği engeller. Farklı AP’lere bağlı misafirlerin birbirine ulaşmasını engellemek için switch tarafında private VLAN, port izolasyonu, ağ geçidinde ACL veya trafiği merkezi bir noktaya tünelleyen mimari gerekir.

Misafir ağında hangi kayıtların ne kadar süre tutulması gerekir?

Türkiye’de toplu internet erişimi sağlayan kuruluşların yükümlülükleri 5651 sayılı Kanun ve ilgili yönetmeliklerle belirlenir. Hangi kaydın, hangi biçimde ve ne kadar süre saklanacağını mevzuattaki güncel hükümlere göre ve hukuk danışmanıyla birlikte netleştirin; toplanan telefon numarası gibi veriler için KVKK yükümlülüklerini ayrıca değerlendirin.

Misafir SSID’sinde şifreleme kullanılmalı mı?

Açık misafir ağlarında havadaki trafik şifrelenmez. Destekleyen istemcilerde OWE (Wi-Fi Enhanced Open), parola sormadan bağlantıya özel şifreleme sağlar. OWE desteklemeyen cihazlar için transition mode veya paylaşılan bir parola (WPA2/WPA3-Personal) kullanılabilir; captive portal kimlik doğrulama içindir, şifreleme sağlamaz.