Kastamonu’da bir işletmede WiFi sunmak artık küçük bir jest olmaktan çıktı, çoğu müşteri bunu doğrudan bekliyor. Telefonunu ağa bağlayınca rahat ediyor. İşletme açısından da içeride kalma süresi uzayabiliyor.

Ancak aynı ağın içinde kasa, yazıcı ve misafir cihazları birlikte duruyorsa, fark edilmeyen riskler birikmeye başlar. Ağ ağırlaşır, cihazlar birbirini görür hale gelir, bazen de küçük bir açıklık büyüyüp ciddi bir soruna dönüşebilir.

Güvenli bir misafir interneti kurmak için her zaman pahalı çözümler gerekmez. Doğru ayrım, doğru şifreleme ve birkaç temel ayar, çoğu işletmede hissedilir bir fark yaratır.

Müşteri WiFi’si Sunarken Görünmeyen Riskler

Misafir cihaz sayısı arttıkça saldırı ihtimali de yükselir. Elbette her cihaz kötü niyetli olmaz. Yine de virüslü bir telefon ağa bağlanınca etrafı taramaya başlayabilir.

Bir başka risk de aynı isimle açılan sahte erişim noktalarıdır. Müşteri doğru ağa bağlandığını zannedebilir. Şifre herkesin görebileceği bir yerde duruyorsa, bu tür bir karışıklık daha kolay yaşanır.

Risk sadece veri sızmasıyla sınırlı değil. İnternetin yavaşlaması da doğrudan iş kaybına neden olabilir. Örneğin bir kişi yüksek çözünürlüklü yayın açtığında, POS cihazı bile etkilenebilir.

Misafir Ağı Kurulumu: Ayrı SSID, Ayrı Ağ, Ayrı Kurallar

En sağlıklı yöntem, misafir WiFi’yi iş ağından net şekilde ayırmaktır. İlk adım, misafirler için ayrı bir ağ adı oluşturmaktır. Bu isim, iş ağının adıyla karışmayacak kadar farklı olmalıdır.

İkinci adım, misafirleri ayrı bir IP aralığına almaktır. Örneğin iş ağı 192.168.10.x olabilir. Misafir ağı da 192.168.50.x olabilir. Bu ayrım sayesinde kuralları uygulamak çok daha kolaylaşır.

Müşteri tarafında beklenti basittir: internete çıksın ve işini görsün. İnsanlar çoğu zaman bir Kastamonu haber sitesi açar, haritaya bakar, mesajlaşır. Bu kullanım için yerel cihazlara erişim genellikle hiç gerekmez.

1. Misafir WiFi için ayrı SSID aç, iş ağının şifresini paylaşma.
2. Mümkünse VLAN kullan, misafir trafiğini ayrı bir kanala taşı.
3. Güvenlik duvarında misafirden iç ağa geçişi kapat.
4. Misafir ağında yerel keşfi kapat, cihazlar birbirini görmesin.

Kablosuz Güvenlik Ayarları: WPA3, Şifre, WPS, İzolasyon

Şifreleme tarafında en iyi seçenek, destek varsa WPA3’tür. WPA3, parola denemelerine karşı daha dayanıklı bir el sıkışma yöntemi kullanır. Cihazlar eskiyse WPA2 AES de çoğu işletme için makul bir seviyedir.

WPS özelliği pratik görünebilir ama saldırıya açık bir kapıya dönüşme ihtimali vardır. Bu yüzden kapalı tutmak daha güvenli olur.

Bir de istemci izolasyonu ayarı bulunur. Bu özellik açıldığında misafir cihazlar birbirine erişemez. Kalabalık mekânlarda bu ayar gerçekten işe yarar.

1. WPA3 varsa aç, yoksa WPA2 AES seç.
2. Şifreyi uzun tut, en az 12 karakter hedefle.
3. WPS kapalı kalsın.
4. Router ve erişim noktası yazılımını güncel tut.

Misafir İnternette Kontrol: Hız Sınırı, Oturum Süresi, Captive Portal

Misafir ağında hız sınırı koymak, işletme için adeta nefes borusu gibidir. Cihaz başına mantıklı bir üst sınır belirlemek, tek bir kişinin tüm hattı tüketmesini engeller. Böylece kasadaki sistem de daha rahat çalışır.

Oturum süresi ayarı da işini kolaylaştırır. Gün boyu açık kalan bağlantılar cihaz sayısını gereksiz yere şişirir. Belirli aralıklarla yeniden doğrulama, ağı daha düzenli tutar.

Captive portal denilen karşılama ekranı ise kullanıcı bağlanırken kısa bir bilgilendirme yapar. Basit bir kullanım metni ve ağ adını doğrulatan bir ifade çoğu zaman yeterlidir. Metin kısa olursa okunma ihtimali de artar.

Erişim Noktası Yerleşimi ve Şifre Yönetimi

Güvenlik kadar kapsama alanı da önemlidir. Erişim noktası köşede kalırsa bazı yerlerde çekim zayıflar, müşteri de farklı ağlara yönelmeye başlar. Bu durum sahte ağ riskini büyütebilir. Daha merkezi bir konum genelde daha dengeli sinyal verir.

Şifre yönetimi ise günlük bir alışkanlık gibi düşünülmelidir. Şifreyi duvara yazmak yerine kasada küçük bir kart kullanabilirsin. Bazı işletmeler QR kodla paylaşmayı tercih eder. Şifreyi belirli aralıklarla yenilemek, eski müşterilerin kalıcı erişimini azaltır.

Yönetim paneli şifresi mutlaka ayrı olmalıdır. Varsayılan admin parolası, en sık suistimal edilen noktalardan biridir. Cihaz destekliyorsa iki adımlı doğrulamayı açmak da iyi bir adım olur.

IP Adresleri Nasıl Çalışır: IPv4, NAT ve IPv6’nın Etkisi

IP adresi, ağ üzerindeki cihazın “adresi” gibidir. İç ağda genelde özel IP’ler kullanılır. İnternete çıkışta ise dışarıdan bakınca tek bir genel IP görünür. Bu yapı çoğu yerde NAT olarak geçer.

Bu yüzden olay incelemesinde saat ve cihaz bilgisi daha da önemli hale gelir. Dışarıdan bakıldığında herkes aynı IP’den çıkıyormuş gibi görünebilir. Oysa içeride hangi cihazın hangi anda hangi adresi aldığı kritik bir detaydır.

IPv6 tarafında tablo biraz değişir. Bir cihazın birden fazla IPv6 adresi olabilir. Ayrıca bazı cihazlar gizlilik için geçici adres de üretebilir. Altyapında IPv6 aktifse, bunu görmek için basit bir IPv6 testi yapmak faydalı olur.

Kayıt ve Takip: Teknik Günlükler, Zaman Senkronu, Basit Disiplin

İşletmeler log tutmayı çoğu zaman ancak sorun çıkınca hatırlar. Oysa temel günlükler, arıza tespiti ve kötüye kullanım ihtimallerini görmek için işe yarar. DHCP kiraları, erişim noktası bağlantı listesi ve güvenlik duvarı özetleri buna örnek verilebilir.

Genel farkındalık için BTK tarafından yayımlanan güvenli internet bilgilendirmeleri iş görebilir. İhtiyaç olursa e Devlet üzerinden sunulan destek kanalları da incelenebilir. Bu tür kaynaklar ayarları daha sade bir dille anlatır.

Bu kayıtların gerçekten işe yaraması için saat ayarının doğru olması gerekir. Router saati kayıyorsa olay sırası karışır. Basit bir NTP ayarı bile log kalitesini belirgin şekilde yükseltir.

Veri tarafında ölçülü olmak da önemlidir. Müşteriden gereksiz bilgi istemek güveni zedeler. İhtiyaç kadar veri, ihtiyaç kadar erişim yaklaşımı hem operasyonu hem itibarı korur.

Küçük Bir İşletme İçin Uygulanabilir Kurulum Örneği

Bir kafe düşün: bir modem router ve iki erişim noktası var. İş ağına kasa, yazıcı ve personel cihazları bağlı. Misafir ağı ise sadece internet çıkışı için kullanılacak.

Kurulum şu sırayla ilerleyebilir: Önce misafir SSID açılır. Ardından misafir trafiği ayrı VLAN’a alınır. Güvenlik duvarında iç ağa geçiş kapatılır. Son olarak hız sınırı ve istemci izolasyonu etkinleştirilir.

Bu kurgu, pahalı sistemlere girmeden güçlü bir temel sunar. Müşteri internete girer, işletmenin cihazları görünmez kalır. Ağ da daha stabil çalışır.