MikroTik RouterOS ile Güvenli Misafir Wi-Fi (VLAN ve Hotspot İzolasyonu) Kurulum Rehberi

Müşterilere Açılan Wi-Fi Ağının Şirket Sunucularına Ulaşmasını Engelleme

Kafelerde, restoranlarda, otellerde, sağlık kliniklerinde ve kurumsal şirket plazalarında gelen misafirlere kablosuz internet hizmeti sunulması bir standarttır. Ancak yapılan en büyük siber güvenlik hatası, misafirlerin bağlandığı Wi-Fi erişim noktasının (Access Point) doğrudan şirketin muhasebe bilgisayarları, dosya sunucuları ve NVR güvenlik kameralarıyla aynı yerel ağa (Flat Network) bağlanmasıdır. Bu ağa bağlanan kötü niyetli bir müşteri, telefonuna indireceği basit bir ağ tarama aracıyla (Fing, Net Analyzer) şirketin tüm sunucularını görebilir; paylaşılan klasörlere sızabilir veya ağa fidye yazılımı (Ransomware) bulaştırabilir. Kurumsal çözüm, MikroTik üzerinde bağımsız bir Misafir VLAN (Guest VLAN) açmak, bu ağı şirket ağından tamamen yalıtmak ve İstemci İzolasyonu (Client Isolation) uygulamaktır.

Kurumsal Misafir Ağı İzolasyonunun Üç Temel Kuralı

Güvenli bir misafir Wi-Fi altyapısı şu mimari duvarlarla örülmelidir:

• VLAN Katmanı İzolasyonu: Misafirler şirket LAN ından (Örn: 192.168.10.0/24) tamamen ayrı, bağımsız bir sanal ağdan (VLAN 50 – 172.16.50.0/24) IP almalıdır.
• Inter-VLAN Engeli: Güvenlik duvarı üzerinde VLAN 50 den şirket LAN ına doğru giden tüm paketler koşulsuz olarak kapıda düşürülmelidir (Drop).
• İstemci İzolasyonu (Client Isolation): Misafir Wi-Fi ağına bağlı iki farklı müşterinin cep telefonunun yerel ağda birbirini görmesi ve birbiriyle konuşması engellenmelidir (Telefonlar arası virüs bulaşmasını önler).

1. Adım: MikroTik Üzerinde Misafir VLAN ve Bağımsız DHCP Havuzu Oluşturma

Winbox terminali üzerinden Misafir VLAN (VLAN ID: 50) ve alt ağı tanımlanır:

/interface vlan
add name="VLAN50_Misafir" vlan-id=50 interface=bridge-Yerel comment="Misafir Wi-Fi Agi"

# Bağımsız IP Bloğu ve DHCP Dağıtımı
/ip address
add address=172.16.50.1/24 interface=VLAN50_Misafir network=172.16.50.0

/ip pool
add name="pool_misafir" ranges=172.16.50.10-172.16.50.250

/ip dhcp-server
add name="dhcp_misafir" interface=VLAN50_Misafir address-pool=pool_misafir lease-time=1h disabled=no

/ip dhcp-server network
add address=172.16.50.0/24 gateway=172.16.50.1 dns-server=1.1.1.1,8.8.8.8

lease-time=1h (1 Saatlik Kira Süresi) kritik bir ayardır; mekandan ayrılan müşterilerin IP havuzunu günlerce işgal etmesini engeller.

2. Adım: Güvenlik Duvarı ile Şirket Ağına Girişi Kesin Olarak Bloklama

Misafirlerin şirket sunucularına sızmasını engelleyen güvenlik duvarı filtresi listenin en üstüne eklenir:

/ip firewall filter
# 1. Misafir ağından Şirket Yerel Ağına giden tüm paketleri yasaklayın:
add chain=forward action=drop in-interface=VLAN50_Misafir out-interface=!WAN 
    comment="MISAFIR AGININ SIRKET SUNUCULARINA ERISIMINI ENGELLE"

# 2. Misafirlerin Routerın Kendi Yönetim Paneline (Winbox/Webfig) Girmesini Yasaklayın:
add chain=input action=drop in-interface=VLAN50_Misafir dst-port=80,443,8291,22 protocol=tcp 
    comment="Misafirlerin Router Paneline Girisini Engelle"

3. Adım: Access Point Üzerinde İstemci İzolasyonu (Client Isolation)

MikroTik cAP veya üçüncü taraf Access Point ayarlarında kablosuz güvenlik profiline gidilir; ‘Default Forward’ kutucuğundaki işaret kaldırılır (Disabled). Bu kutu kapandığı anda, aynı kafede oturan iki yabancı müşterinin bilgisayarı birbirine ping atamaz ve ağ dinleme (Sniffing) saldırıları imkansız hale gelir.

Kurumsal ağ segmentasyonu, VLAN tasarımı, Hotspot SMS kimlik doğrulama sistemleri ve 5651 sayılı kanun loglama projelerinde BaykalSoft Ağ Altyapı Güvenliği ekibimizle iletişime geçebilirsiniz.