İş yerinde misafir Wi-Fi ağı nasıl güvenli kurulur?

Şifreyi müşteriyle paylaşmak neden risklidir?

Pek çok kafede, mağazada ve bekleme salonunda kablosuz ağ şifresi duvarda ya da kasanın yanında yazılıdır. Bu şifre çoğu zaman iş yerinin kendi ağının şifresidir. Yani müşterinin telefonu, kasadaki bilgisayarla, POS cihazıyla, yazıcıyla ve kamera kayıt cihazıyla aynı ağdadır.

Bu yapıda iki sorun vardır. Birincisi güvenlik: ağdaki herhangi bir cihaz, aynı ağdaki diğer cihazları tarayabilir. Varsayılan şifresi değiştirilmemiş bir kamera kaydedici ya da yazıcı, ağa bağlanan herkesin önündedir. Zararlı yazılım bulaşmış bir müşteri telefonu da farkında olmadan aynı taramayı yapabilir. İkincisi performans: kalabalık bir öğleden sonra müşterilerin video izlemesi, kasadaki ödeme işleminin yavaşlamasına yol açar.

Çözüm, misafirleri ayrı bir ağa almaktır. Bu ayrım düzgün yapıldığında müşteri internete çıkar ama iş yerinin hiçbir cihazını göremez.

Ağ ayrımı nasıl yapılır?

En basit yöntem, modemin ya da erişim noktasının misafir ağı özelliğini açmaktır. Ev tipi cihazlarda bile bulunan bu özellik, ayrı bir ağ adı oluşturur ve misafirlerin iç ağa erişimini kapatır. Küçük bir dükkân için başlangıç olarak yeterli olabilir.

Daha sağlam yöntem VLAN kullanmaktır. VLAN, aynı kablolar ve cihazlar üzerinde birbirini görmeyen sanal ağlar oluşturmaktır. Personel ağı, misafir ağı ve kamera ağı ayrı VLAN'larda çalışır. Aralarındaki geçişi router ya da güvenlik duvarı denetler. Bu yapı için VLAN destekleyen bir router, yönetilebilir bir switch ve birden fazla ağ adı yayınlayabilen erişim noktaları gerekir.

Misafir ağında istemci izolasyonu da açılmalıdır. Bu ayar, aynı misafir ağındaki telefonların birbirini görmesini engeller. Kafede yan masadaki birinin sizin telefonunuza erişmeye çalışması böylece önlenir.

Uzman notu: Kurulumdan sonra misafir ağına bir telefonla bağlanıp kasa bilgisayarının ya da kamera kaydedicinin IP adresine ulaşmayı deneyin. Ulaşabiliyorsanız ayrım çalışmıyor demektir.

Hız sınırı ve kullanım süresi

Misafir ağına toplam ve kişi başı hız sınırı koymak, internet hattının iş yeri için ayrılan kısmını korur. Kasa, ödeme sistemi ve kamera sisteminin uzaktan izlenmesi her koşulda çalışmalıdır. Misafir ağına hattın yalnızca bir kısmını ayırmak bu dengeyi kurar.

Kullanım süresi sınırı da işe yarar. Bir müşteri giriş yaptıktan sonra belirli bir süre bağlı kalabilir, sonra yeniden giriş yapması gerekir. Bu, kapının önünde park edip saatlerce ağı kullanan araçları ve komşu dükkânları da ayıklar.

Misafir şifresini de sabit bırakmayın. Aylarca aynı kalan bir şifre, sokaktaki herkesin telefonunda kayıtlıdır. Haftalık ya da aylık değişen bir şifreyi kasada küçük bir kartla vermek, ya da her müşteriye fişin altında tek kullanımlık bir kod basmak bu sorunu çözer.

Giriş sayfası (captive portal) gerekli mi?

Giriş sayfası, misafir ağa bağlanan kişinin internete çıkmadan önce gördüğü ekrandır. Otellerde ve alışveriş merkezlerinde sık görülür. Kullanıcıdan telefon numarası ve SMS ile gelen kod, oda numarası ya da kasada verilen bir kupon kodu istenebilir.

Giriş sayfası, kimin hangi saatte bağlandığını kayda almanın pratik bir yoludur. Kullanım koşullarının kabul ettirilmesini de sağlar. Ancak telefon numarası gibi kişisel veri topluyorsanız 6698 sayılı Kişisel Verilerin Korunması Kanunu devreye girer: kullanıcıya bir aydınlatma metni sunulmalı, verinin ne kadar süre ve hangi amaçla tutulacağı belirtilmelidir. Bu metnin hazırlanmasında bir hukuk danışmanından destek alın.

5651 sayılı Kanun ve kayıt tutma

5651 sayılı Kanun ve ona bağlı yönetmelik, internet erişimini toplu olarak sunan yerleri toplu kullanım sağlayıcısı olarak tanımlar. Kafe, restoran, otel, yurt ve benzeri işletmelerin bu kapsamda değerlendirilebileceği, erişim kayıtlarını belirli bir düzende tutmaları gerektiği kabul edilir. Hangi bilginin, hangi yöntemle ve ne kadar süre saklanacağı mevzuatta tarif edilir ve zaman içinde değişebilir.

Teknik tarafta bu kayıtlar çoğu zaman güvenlik duvarı ya da kayıt (log) cihazı tarafından otomatik tutulur. Kayıtların değiştirilemez şekilde saklanması ve gerektiğinde yetkili makamlara sunulabilmesi gerekir. Kendi işletmenizin kapsamda olup olmadığını ve güncel koşulları bir hukuk danışmanıyla netleştirmenizi öneririz.

Kurulum için kısa kontrol listesi

Misafir Wi-Fi kurarken ya da mevcut ağı gözden geçirirken aşağıdaki maddeleri tek tek kontrol edin.

• Misafir ağı personel ağından ayrı bir ağ adıyla yayınlanıyor.
• Misafir ağından iş yeri cihazlarına erişilemiyor.
• Misafir cihazları birbirini göremiyor.
• Kişi başı ve toplam hız sınırı var.
• Misafir şifresi düzenli aralıklarla değişiyor.
• Yönetici şifreleri varsayılan değerde değil.
• Erişim kayıtları tutuluyor ve saklanıyor.
• Kişisel veri toplanıyorsa aydınlatma metni gösteriliyor.

Hangi işletme için hangi yapı?

Bekleme salonu olan bir muayenehane ya da küçük bir mağaza için modemin misafir ağı özelliği ve düzenli şifre değişimi çoğu zaman yeterlidir. Kafe, restoran ve kalabalık mağazalarda VLAN, hız sınırı ve kayıt cihazı içeren bir yapı gerekir. Otel, yurt ve alışveriş alanlarında ise giriş sayfası, merkezi yönetilen erişim noktaları ve kayıt sistemi birlikte planlanır. Şanlıurfa'da Balıklıgöl çevresindeki turistik işletmeler gibi sezonda kalabalıklaşan yerlerde, yaz aylarındaki yük kış aylarına göre çok farklı olur; kapasite yoğun döneme göre hesaplanmalıdır.

Desa Bilişim iş yerlerinde misafir ağını personel ve kamera ağından ayıran yapıyı kurup ayarları belgeleyerek teslim eder. Mevcut ağınızın ne kadar açık olduğunu öğrenmek istiyorsanız yerinde bir kontrol ile başlayabiliriz.

Sık sorulanlar