802.1X RADIUS Nedir? Kablolu ve Kablosuz Ağ Güvenliği

Kurumsal ağlarda en kritik güvenlik sorularindan biri şudur: ağa bağlanan cihazın veya kullanıcının gercekten yetkili olup olmadığını nasıl anlayabiliriz? İşte 802.1X standardı ve RADIUS protokolü, tam olarak bu soruya yanıt verir. Bu rehberde, 802.1X kimlik dogrulamanin nasıl çalıştığını, hangi ortamlarda kullanildigini ve kurumsal ağlarda nasıl uygulandigini adım adım inceliyoruz.

802.1X Standardı Nedir?

IEEE 802.1X, bir ağa fiziksel veya kablosuz olarak bağlanan her cihaz için kimlik doğrulama mekanizması tanimlayan bir standarttir. Temel mantığı basittir: bir cihaz ağa bağlanmak istediğinde, kimliğini kanitlamadan hiçbir ağ kaynagina erisamez.

Bu süreçte üç temel bilesin bulunur:

• Supplicant (İstemci): Ağa bağlanmak isteyen bilgisayar, telefon veya cihaz.
• Authenticator (Kimlik Dogrulayici): Switch veya kablosuz erişim noktası (Access Point). İstemci ile RADIUS sunucusu arasında kopru görevi görür.
• Authentication Server (Doğrulama Sunucusu): Genellikle bir RADIUS sunucusu. Kullanıcı bilgilerini kontrol ederek erişim izni verir veya reddeder.

RADIUS Protokolü Nasıl Çalışır?

RADIUS (Remote Authentication Dial-In User Service), istemcilerin kimlik bilgilerini merkezi bir noktadan doğrulayan protokoldür. Switch veya Access Point, kullanıcı bilgilerini RADIUS sunucusuna iletir; sunucu bu bilgileri Active Directory, LDAP veya kendi yerel veritabanında kontrol eder.

Doğrulama başarılı olursa RADIUS sunucusu bir Access-Accept yanıtı gönderir. Bu yanitta VLAN ataması, bant genişliği sınırı veya erişim süresi gibi ek politikalar da yer alabilir. Başarısız olursa Access-Reject yanıtı doner ve cihazın ağa erişimi engellenir.

Kablolu ve Kablosuz Ağlarda Kullanımı

802.1X hem kablolu hem de kablosuz ağlarda uygulanabilir. Her iki senaryoda da amaç aynidir: ağa bağlanan her cihazın kimliğini doğrulamak.

Kablolu Ağlarda (802.1X Wired)

Yonetilen switch üzerinde her port için 802.1X etkinlestirilir. Bir bilgisayar Ethernet kablosuyla bağlandığında, switch cihazı RADIUS sunucusuyla iletişim kurarak kimlik doğrulaması yapar. Doğrulama tamamlanmadan port üzerinden hiçbir trafik geçişine izin verilmez.

Kablosuz Ağlarda (802.1X Wireless / WPA2-Enterprise)

Kablosuz ağlarda 802.1X genellikle WPA2-Enterprise veya WPA3-Enterprise ile birlikte kullanılır. Ortak bir Wi-Fi şifresi yerine, her kullanıcı kendi hesap bilgileriyle ağa bağlanır. Bu yöntem özellikle kurumsal ortamlarda misafir ağı ile çalışanlar ağını birbirinden ayirmak için idealdir.

EAP-PEAP ve EAP-TTLS: Farklar

802.1X doğrulama işlemi sırasında kullanılan iletişim yontemine EAP (Extensible Authentication Protocol) denir. Farklı EAP türleri farklı güvenlik ve uyumluluk seviyeleri sunar. Kurumsal ortamlarda en yaygın kullanılan iki tür şunlardır:

VLAN Ataması Nasıl Yapılır?

802.1X'in en güçlü ozelliklerinden biri, kimlik doğrulama sonucuna göre cihazı otomatik olarak doğru VLAN'a yonlendirebilmesidir. RADIUS sunucusu, başarılı doğrulama yanitinda VLAN bilgisini de gönderir. Bu sayede:

• Muhasebe departmanı çalışan bir personel otomatik olarak VLAN 10'a,
• IT ekibi uyesi VLAN 20'ye,
• Misafir kullanıcı VLAN 50'ye yönlendirilir.

Bu yaklaşım ağ segmentasyonunu merkezi ve dinamik hale getirir. Switch üzerinde elle VLAN yapılandırması yapmak yerine, tüm politikalar RADIUS sunucusundan yönetilir.

Active Directory / LDAP Entegrasyonu

Kurumsal ortamlarda kullanıcı hesapları genellikle Active Directory (AD) veya LDAP dizin hizmetlerinde tutulur. RADIUS sunucusu bu dizinlerle entegre çalışarak kullanıcıların mevcut kurumsal hesaplariyla 802.1X doğrulaması yapabilir.

Bu entegrasyonun avantajları şunlardır:

• Tek hesap yönetimi: Kullanıcılar için ayrı bir RADIUS hesabı olusturmaya gerek kalmaz.
• Grup bazlı politikalar: AD gruplarina göre farklı VLAN veya erişim kuralları tanımlanabilir.
• Anlık degisiklik yansimasi: Bir kullanıcı AD'den devre dışı birakildiginda 802.1X erişimi de otomatik olarak kapanir.

MAC Bypass Ne Zaman Kullanılır?

Her cihaz 802.1X desteği sunmaz. Ağ yazicilari, IP kameralar, IoT sensorsler ve bazı özel donanimlar EAP istemcisi calistiramazlar. Bu tür cihazlar için MAC Authentication Bypass (MAB) devreye girer.

MAB'de cihazın MAC adresi, RADIUS sunucusuna kullanıcı adı ve şifre olarak gönderilir. Sunucu, tanimli MAC adreslerini kontrol ederek cihaza erişim izni verir.

Karantina VLAN Kavramı

802.1X dogrulamasinda başarısız olan veya tanimlanmayan cihazlar tamamen engellenmek yerine bir karantina VLAN'ına yonlendirilebilir. Bu VLAN genellikle sınırlı erişim sağlar:

• Yalnızca RADIUS kayıt sayfasına veya kurumsal yardım masasina erişim,
• İnternet erişimi olmadan yalnızca güncelleme sunucularına bağlantı,
• Gerekli yazılım veya sertifika yuklenmesi için yönlendirme sayfası.

Karantina VLAN, özellikle BYOD (Bring Your Own Device) politikası uygulayan kurumlarda çok faydalıdır. Calisanlarin kişisel cihazları önce karantina VLAN'inda kontrol edilir, uyumluluk saglandiktan sonra kurumsal ağa yönlendirilir.

Subgate Network ile 802.1X Kurulumu

Subgate Network, 802.1X Enterprise RADIUS dogrulamasini EAP-PEAP ve EAP-TTLS destesiyle birlikte sunar. Active Directory ve LDAP entegrasyonu sayesinde mevcut kullanıcı veritabaninizi doğrudan kullanabilir, VLAN atamasını merkezi olarak yonetebilirsiniz.

Platformun sunduğu temel yetenekler şunlardır:

• EAP-PEAP (MSCHAPv2) ve EAP-TTLS desteği
• Active Directory ve LDAP üzerinden kimlik doğrulama
• Kullanıcı ve grup bazlı dinamik VLAN ataması
• MAC Authentication Bypass (MAB) desteği
• Karantina VLAN yönlendirmesi
• Kablolu ve kablosuz ağlar için tek merkezden yönetim
• Detaylı RADIUS loglama ve raporlama

Tüm bu özellikler, Subgate Network'un tek panelinden yapılandırılabilir. Kurulum için karmaşık komut satırı islemlerine gerek kalmadan, görsel arayüz üzerinden switch ve Access Point entegrasyonlarinizi tanimlayabilirsiniz.