WPA3-Personal ve WPA3-Enterprise arasındaki fark
WPA3-Personal, genellikle ev ve küçük ofislerde ortak parola ile korunan kablosuz ağlar için kullanılır. WPA3-Enterprise ise kullanıcı veya cihaz kimliğinin merkezi bir altyapıyla doğrulandığı kurumsal senaryolara yöneliktir.
Kurumsal yapıda her çalışana ayrı kimlik bilgisi tanımlamak, personel değiştiğinde ortak Wi-Fi parolasını tüm cihazlarda yenileme ihtiyacını azaltır. Kullanıcı gruplarına göre erişim ilkeleri ve ağ segmentleri uygulanabilir.
802.1X ve RADIUS hangi görevi üstlenir?
802.1X, ağa bağlanmak isteyen istemci ile erişim noktası veya kablolu ağ anahtarı arasında port tabanlı erişim denetimi sağlar. Erişim noktası doğrulama sürecinde aracı rolündedir; kimlik doğrulama kararı genellikle RADIUS sunucusuna iletilir.
RADIUS, kullanıcı veya cihaz kimlik bilgilerini ve ilgili politikaları merkezi olarak değerlendirir. Başarılı doğrulamada hangi ağa veya VLAN profiline erişileceği gibi sonuçlar, ağ altyapısının yeteneklerine ve yapılandırmasına göre uygulanabilir.
EAP yöntemi ve sertifika planlaması
802.1X kurulumunda EAP yöntemi önemlidir. Sertifika kullanan yöntemlerde istemci ve sunucu sertifikalarının nasıl dağıtılacağı, yenileneceği ve iptal edileceği baştan planlanmalıdır. Sunucu sertifikasını doğrulamayan istemciler sahte erişim noktalarına karşı savunmasız kalabilir.
Kurumun dizin hizmeti, cihaz yönetimi ve RADIUS çözümü birlikte değerlendirilmelidir. Kullanıcı adı/parola temelli kurulumlar ile makine sertifikası temelli doğrulamanın operasyonel etkileri aynı değildir.
WPA3-Enterprise uyumluluğu
WPA3-Enterprise modunun kullanılabilmesi için erişim noktası, denetleyici veya ağ yönetim sistemi ve istemci cihazların ortak desteklediği güvenlik seçenekleri bulunmalıdır. Eski kablosuz kartlar ve işletim sistemi sürümleri geçişte sorun çıkarabilir.
WPA3-Enterprise seçenekleri arasında şifreleme ve güvenlik profiline göre farklılıklar bulunabilir. En yüksek güvenlik profili her istemciyle uyumlu olmayabilir. Önce birkaç cihazla pilot uygulama yapmak, ardından kullanıcı gruplarına kademeli geçiş yapmak daha sağlıklıdır.
İşletme için örnek erişim politikası
Personel cihazları kimlik doğrulama sonrasında yalnızca iş uygulamalarına ve gerekli sunuculara erişebilir. Misafir ağı internet erişimiyle sınırlandırılabilir. Barkod terminali, yazıcı veya IoT cihazı gibi kişisel kullanıcı hesabı bulunmayan ekipmanlar için ayrı cihaz kimliği veya uygun alternatif kimlik doğrulama yöntemi tasarlanabilir.
Bu ayrım yalnızca SSID adlarıyla sağlanmaz. VLAN, güvenlik duvarı kuralları, DNS ve yönetim politikaları birlikte çalışmalıdır. Kablosuz güvenlik tasarımı mevcut ağ segmentasyonu ve uzaktan erişim ilkeleriyle tutarlı olmalıdır.
Satın alma ve devreye alma kontrol listesi
Access point ve controller modelinin WPA3-Enterprise, 802.1X, gerekli EAP türleri ve PMF özelliklerini destekleyip desteklemediğini doğrulayın. RADIUS lisansı, sunucu yedekliliği, sertifika otoritesi ve günlük kayıtlarının saklanmasını da hesaba katın.
Pilot testte farklı marka ve işletim sistemlerine sahip istemcileri deneyin. Kimlik doğrulama sunucusu ulaşılamadığında ne olacağını, kullanıcı ayrıldığında hesabın nasıl kapatılacağını ve misafir erişiminin nasıl sınırlandırılacağını yazılı hale getirin.
Sıkça sorulan sorular
WPA3-Enterprise için RADIUS sunucusu gerekir mi?
Kurumsal 802.1X kimlik doğrulama senaryolarında genellikle RADIUS tabanlı merkezi bir doğrulama hizmeti kullanılır. Kullanılacak mimari, erişim noktası ve kimlik altyapısının desteklediği seçeneklere bağlıdır.
Her cihaz WPA3-Enterprise destekler mi?
Hayır. Kablosuz ağ kartı, sürücü, işletim sistemi ve erişim noktası sürümü birlikte kontrol edilmelidir. Geçiş öncesi gerçek istemcilerle pilot test yapılmalıdır.
WPA3-Enterprise misafir ağı için de kullanılabilir mi?
Kullanıcı ve misafir kimlik doğrulaması için uygun çözümler tasarlanabilir. Ancak misafir ağı genellikle ayrı erişim politikası, süre sınırı ve internet odaklı güvenlik kurallarıyla yönetilmelidir.