MikroTik RouterOS Cihazlarında IP Bağlama (IP-MAC-Port Binding) ile ARP Sahteciliğini ve Yetkisiz Cihazları Engelleme Rehberi

Yerel Ağda Yetkisiz Cihaz Girişlerini ve Statik IP Hırsızlığını Önleme

Kurumsal şirket ağlarında, fabrikalarda ve kamu kurumlarında sistem yöneticilerinin en sık karşılaştığı iç güvenlik açıklarından biri, bir personelin veya ofise gelen yabancı bir misafirin kendi dizüstü bilgisayarına şirket yöneticisinin, muhasebe bilgisayarının veya ağ yazıcısının statik IP adresini (Örn: 192.168.1.10) elle tanımlayarak ağa girmesidir. Bu durum hem ağda IP çakışması yaratarak asıl cihazın düşmesine sebep olur hem de yetkisiz kişinin şirket sunucularına atanmış güvenlik duvarı izinlerinden faydalanmasına yol açar. MikroTik RouterOS üzerinde çalışan IP-MAC-Port Binding (Reply-Only ARP) mimarisi, ağda IP hırsızlığını ve yetkisiz cihazların internete çıkmasını donanımsal seviyede imkansız kılar.

Dinamik ARP vs Statik Reply-Only ARP Güvenlik Mimarisi

Standart bir ağda yönlendirici dinamik ARP modunda çalışır; kabloyu takan her cihazın bildirdiği IP-MAC ikilisini sorgulamadan kabul eder:

• Dinamik ARP Açığı: Saldırgan veya personel IP sini değiştirdiğinde router yeni ARP kaydı açar ve trafiği geçirir.
• Reply-Only (Yalnızca Yanıt Ver) Modu: RouterOS un yerel arayüzü ‘reply-only’ moduna alındığında, router dinamik olarak hiçbir yeni IP-MAC kaydı ÖĞRENMEZ. Yalnızca yöneticinin kendi elleriyle girdiği Statik ARP Tablosunda bulunan eşleşmelere yanıt verir. Listede olmayan hiçbir cihaz ağ geçidine ping bile atamaz, internete çıkamaz ve yerel sunucularla konuşamaz.

1. Adım: DHCP Sunucusunu Statik ARP Ekleyecek Şekilde Yapılandırma

Yüzlerce bilgisayarı tek tek elle ARP tablosuna girmek yerine DHCP üzerinden otomasyon sağlanır:

1. Winbox açılarak IP > DHCP Server menüsüne girilir.
2. Aktif DHCP sunucusuna çift tıklanır; Genel sekmesindeki ‘Add ARP For Leases’ kutucuğu işaretlenir.
3. Bu ayar, DHCP den IP alan her meşru cihazın MAC adresini ve kiraladığı IP yi otomatik olarak Statik ARP tablosuna güvenle yazar.

2. Adım: Yerel Ağ Arayüzünü (Bridge) ‘Reply-Only’ Moduna Kilitleme

Sistemin kalbi bu adımdır; dinamik öğrenme kapatılır:

Winbox Terminal Komutu:
/interface bridge set bridge-Yerel arp=reply-only

Bu komut çalıştırıldığı anda:

• Bir personel bilgisayarına elle manuel bir IP yazarsa, router o cihazın ARP isteğine yanıt vermez (Drop).
• Personel ağa bağlanabilmek için mutlaka routerın tanıdığı onaylı MAC adresine sahip olmak zorundadır.

3. Adım: DHCP Havuzunda Statik Rezervasyon (Make Static) Kuralı

Yetkisiz cihazların ağa girmesini engellemek için DHCP sunucusunun genel dağıtım havuzu boşaltılabilir:

Yapılandırma Protokolü:
1. IP > DHCP Server > Leases sekmesine gidin.
2. Şirketteki tüm bilgisayarları seçip sağ tıklayın -> 'Make Static' (Statik Yap) deyin.
3. IP > DHCP Server menüsünde 'Address Pool' ayarını 'static-only' olarak değiştirin.
4. Artık ağa dışarıdan takılan hiçbir yabancı bilgisayara DHCP IP vermez; elle IP yazsa dahi 'reply-only' duvarına çarparak tamamen izole edilir.

Kurumsal yerel ağ güvenliği, 802.1X port güvenliği, DHCP kiralama optimizasyonu ve iç ağ siber savunma projelerinde BaykalSoft Ağ Altyapı Danışmanlığı birimimizle iletişime geçebilirsiniz.