🔐 802.1X ile Güvenli Ağlara Giriş: Protokol, Yapı, Araçlar ve Uygulama

Günümüzde ağ güvenliği sadece firewall ve antivirüs çözümleriyle sınırlı değil. Ağa bağlanmak isteyen her kullanıcı ya da cihaz, önce kimliğini kanıtlamak zorunda. İşte tam bu noktada IEEE 802.1X standardı devreye giriyor. Bu yazıda, 802.1X’i temelinden alarak mimarisini, protokollerini, kullanılan araçları ve uygulama adımlarını birlikte inceleyeceğiz. 👇

1️⃣ 802.1X Nedir, Ne Zamandan Beri Kullanılıyor?

802.1X, IEEE tarafından geliştirilen ve 2001 yılında yayımlanan, port tabanlı bir ağ erişim kontrol protokolüdür (Port-Based Network Access Control — PNAC).

🎯 Amacı nedir? 🔐 Ağa bağlanmadan önce kullanıcı ya da cihazın kimliğinin doğrulanmasını sağlamak.

Başlangıçta yalnızca kablolu ağlar için geliştirilen bu protokol, zamanla kablosuz ağlarda da yaygın hale gelmiştir. Özellikle günümüzde kurumsal Wi-Fi ağlarında karşımıza çıkan WPA2/WPA3-Enterprise gibi seçenekler, aslında 802.1X’in birer uygulamasıdır.

2️⃣ 802.1X Neden Önemlidir?

802.1X, sadece bir kimlik doğrulama protokolü olmanın ötesinde, ağ güvenliğinin temel taşlarından biridir. İşte neden bu kadar kritik bir rol oynar:

✅ Erişim kontrolü sağlar: Sadece yetkili kullanıcı ve cihazların ağa erişmesine izin vererek izinsiz bağlantıları engeller.

✅ Gizliliği artırır: Kimlik doğrulama süreci şifreli olarak gerçekleştiği için veri sızıntılarına karşı güçlü bir koruma sağlar.

✅ VLAN yönlendirmesi sunar: Kullanıcının kimliğine göre otomatik olarak farklı VLAN’lara yönlendirme yapılabilir. Örneğin: misafirler ayrı, çalışanlar ayrı bir ağda olabilir.

✅ Kablosuz ağlarda üst düzey güvenlik sağlar: WPA2/WPA3-Enterprise yapılandırmaları, 802.1X protokolünü temel alır. Bu da özellikle kurumsal Wi-Fi ağlarında güvenli kimlik doğrulama anlamına gelir.

🔎 Özellikle büyük ölçekli kurumsal ağlarda, misafir kullanıcılar, şirket çalışanları ve IoT cihazları gibi farklı kategorilerdeki istemcileri izole etmek için 802.1X vazgeçilmez bir çözümdür.

3️⃣ 802.1X Mimarisi

802.1X protokolü, ağ erişim kontrolünü sağlamak için üç temel bileşenden oluşur. Bu bileşenler, kimlik doğrulama sürecinde birlikte çalışarak güvenli bir bağlantı kurulmasını sağlar:

Bu bileşenler arasındaki iletişim, EAP (Extensible Authentication Protocol) üzerinden gerçekleşir. EAP, esnek yapısıyla farklı kimlik doğrulama yöntemlerinin (şifre, sertifika, token vb.) kullanılmasına olanak tanır.

4️⃣ 802.1X Nasıl Çalışır?

802.1X, istemcinin kimliğini doğrulayana kadar ağ bağlantısını kısıtlar. İşleyiş şu şekildedir:

1. 👀 Authenticator, istemciyi fark eder ve ağ trafiğini engeller.
2. 🔄 EAPOL (EAP over LAN) protokolü ile istemciden kimlik bilgisi ister (EAP-Request/Identity).
3. 🙋‍♂️ İstemci, EAP-Response/Identity ile kimliğini gönderir.
4. 🔗 Bu bilgi, Authenticator tarafından RADIUS sunucusuna iletilir.
5. 🧠 Sunucu kimlik bilgilerini doğrular.
6. ✅ Doğrulama başarılıysa, Authenticator ağ erişimini açar (port authorize edilir).

🧪 Bu işlemler sırasında Wireshark ile EAPOL paketleri kolaylıkla analiz edilebilir.

5️⃣ 802.1X İçin Kullanılabilecek Araçlar

802.1X altyapısında çeşitli araçlar kullanılır. Benim tecrübem özellikle FreeRADIUS üzerinde yoğunlaşmaktadır. 🐧 Debian ve Ubuntu sistemlerde FreeRADIUS, esnek yapısı ve geniş desteklenen özellikleri sayesinde en çok tercih edilen kimlik doğrulama sunucusudur.

FreeRADIUS, ağdaki switch veya access point gibi cihazlarla (Authenticator) haberleşerek supplicantların kimlik bilgilerini doğrular. 🔐 Ayrıca, farklı EAP türlerini destekleyerek kablolu ve kablosuz ağlarda güvenliği sağlar. 🌐

Diğer yaygın kullanılan araçlar ise şunlardır:

• 🖥️ Windows NPS
• 📶 hostapd
• 💻 wpa_supplicant
• 🔍 Wireshark
• 🛡️ OpenSSL / XCA

Bu araçlar farklı platformlarda veya farklı görevlerde 802.1X uygulamalarını desteklemek için kullanılır. ⚙️

6️⃣ EAP-PEAP ve EAP-TLS: Farkları Nedir, Hangisi Tercih Edilmeli?

🛡️ EAP-TLS (Transport Layer Security)

• 📜 Sertifikaya dayalıdır: Hem istemci hem sunucu sertifikaya sahiptir.
• 🔐 Çok güvenlidir, MITM saldırılarına karşı dayanıklıdır.
• 🧰 Zor uygulanır: Sertifika dağıtımı ve yönetimi gerektirir.

🧾 EAP-PEAP (Protected EAP)

• 👤 Kullanıcı adı/şifre kombinasyonuyla çalışır.
• 🔒 TLS tünel içinde iletilir, ama sertifikayı sadece sunucu kullanır.
• 🔄 Daha kolay yapılandırılır.

📌 Kurumsal ağlarda ve domain’e bağlı cihazlarda EAP-TLS önerilir. 👥 BYOD (Bring Your Own Device) senaryolarında EAP-PEAP daha pratiktir.

7️⃣ Switch Konfigürasyonu: AAA ve 802.1X Ayarları

802.1X uygulamasında switch üzerinde yapılandırma adımları genellikle şu sırayla yapılır:

1.🖧 RADIUS Sunucusunu Tanımlama Switch, kimlik doğrulama isteklerini göndereceği RADIUS sunucusunun IP adresini ve gizli anahtarını tanımlar. Böylece cihaz, kullanıcı doğrulama taleplerini doğru sunucuya iletebilir.

2.🔐 AAA (Authentication, Authorization, Accounting) Modelini Etkinleştirme AAA yapısı aktif edilir ve kimlik doğrulama, yetkilendirme ile kayıt işlemleri RADIUS sunucusu üzerinden yönetilir. Bu sayede ağa bağlanmak isteyen cihazların kimliği merkezi olarak kontrol edilir.

3.🔄 802.1X Özelliklerini Portlarda Aktif Etme Port bazında 802.1X kimlik doğrulaması etkinleştirilir. Portlar, kimliği doğrulanmadan ağa erişim izni vermez. Ayrıca, desteklemeyen cihazlar için MAC adresiyle doğrulama yapan MAB (MAC Authentication Bypass) gibi ek özellikler de kullanılabilir.

⚠️ Ek Kontroller ve İpuçları

• RADIUS iletişimi için switch ve RADIUS sunucusu arasında gerekli UDP portları (genellikle 1812 ve 1813) açık olmalıdır.
• Kimlik doğrulama sorunlarında, switch üzerindeki 802.1X ve RADIUS yapılandırmaları dikkatle kontrol edilmelidir.
• Farklı üreticilerin cihazlarında komutlarda küçük farklılıklar olabilir ama mantık genellikle aynıdır.

8️⃣ Kablolu vs Kablosuz: 802.1X’in Her Yerdeki Gücü

📌 Sonuç

802.1X, modern ağ güvenliğinin temel taşlarından biridir. Kullanıcı ya da cihaz kimlik doğrulaması yapılmadan ağa erişim sağlanamaması, siber tehditlerin büyük kısmını daha baştan engeller.

Eğer güçlü bir sertifika altyapınız (PKI) varsa, EAP-TLS tercih edin. Karma bir ortamınız varsa, PEAP ile başlayıp kademeli olarak geçiş yapabilirsiniz.

🔐 Unutmayın: “Güvenli ağ, erişimi kontrol edilen ağdır.”