SignLogger Captive Portal Yönetimi – Kullanım Kılavuzu

Bu doküman, SignLogger yönetim panelindeki Captive Portal Yönetimi sayfasının nasıl kullanılacağını açıklar. Sayfa; misafir Wi‑Fi captive portal (kablosuz misafir giriş sayfası) kayıtlarını listelemek, eklemek ve düzenlemek içindir. Firewall IP, Guest Network ve Redirect URL gibi ağ ayarlarının yanında SMS, Form, Login, LDAP ve 2FA gibi doğrulama yöntemlerini de tek ekrandan yönetebilirsiniz.

Not: Bu sayfadaki ekran görüntülerinde IP adresleri, cihaz seri numaraları, portal adları ve portal adresleri gibi hassas veriler gizlilik amacıyla maskelenmiştir.

1. Liste Ekranı ve Sütunlar

Captive Portal Yönetimi ekranı, tanımlı tüm portal kayıtlarını bir tablo halinde gösterir. Sayfanın sağ üst köşesindeki artı (+) düğmesiyle yeni bir kayıt eklenir; hemen yanındaki yenile düğmesiyle liste tazelenir. Liste ekranındaki her satır bir portal kaydını temsil eder; sütunların anlamları şu şekildedir:

Not: Redirect URL listede gösterilmez; yalnızca modaldaki Ağ ve Yönlendirme bölümünde yönetilir.

2. Yeni Kayıt Ekleme ve Düzenleme

Yeni bir portal kaydı oluşturmak için listenin sağ üstündeki artı (+) düğmesine tıklayın. Mevcut bir kaydı güncellemek için ise ilgili satırdaki Düzenle düğmesini kullanın. Her iki durumda da aşağıdaki bölümlerden oluşan bir form (modal) açılır. Bölümler başlıklarına tıklanarak açılıp kapatılabilir. Alanları yukarıdan aşağıya doldurun; kaydetmeden önce zorunlu alanların dolu olduğundan emin olun.

2.1 Temel

Bu bölüm portalın temel kimlik bilgilerini içerir:

2.2 Ağ ve Yönlendirme

Bu bölüm portalın ağ erişimi ve giriş sonrası yönlendirme ayarlarını içerir:

2.3 Görseller

Bu bölümde portal sayfasında görünecek görseller yönetilir:

2.4 Ek Bilgiler

2.5 Doğrulama Yöntemleri

Bu bölümde portala giriş için kullanılacak yöntemler açılıp kapatılır:

2.6 Ek Doğrulama / Oturum

3. LDAP ile Kullanıcı Girişi

Misafirler Active Directory / LDAP hesabıyla portala giriş yapabilir. Kullanıcının parolası üründe saklanmaz — yalnız doğrulama anında LDAP’a bağlanılır, ardından atılır; sistem sadece grup üyeliğini kaydeder (kalıcı parola kaydı tutulmaz). Kullanıcı da yalnız portalın tanımlı grubuna atanır; AD’deki diğer grupları (ör. admin) portal oturumuna taşınmaz.

Portalda kullanıcıların Active Directory / LDAP hesabıyla giriş yapabilmesi için aşağıdakilerin hepsi sağlanmalıdır:

1. LDAP tanımı hazır: LDAP Ayarları’nda aktif ve varsayılan bir LDAP (AD) tanımı bulunmalı ve bağlantı testi başarılı olmalıdır. Bu tanım NAC ile ortak kullanılır.

2. Portalda LDAP açık: Bu modaldaki Doğrulama Yöntemleri → LDAP açık ve LDAP Config seçili olmalıdır (isteğe bağlı Fallback ikinci tanım).

3. Portalın RADIUS Grubu, kullanıcının AD grubuyla BİREBİR eşleşmeli (kritik madde): Bu modaldaki RADIUS Grup alanına yazdığınız grup adı (ör. Guest_Group), kullanıcının AD gruplarından biri ile tam olarak (büyük/küçük harf duyarsız) aynı olmalıdır. Kullanıcı doğru parolayla doğrulansa bile bu grubun üyesi değilse erişim reddedilir ve kullanıcı hiçbir yere kaydedilmez (iz bırakmaz). Eşleşirse kullanıcı yalnız bu gruba atanır — AD’deki diğer grupları (ör. admin grupları) portal oturumuna taşınmaz. (Örnek: AD kullanıcısı ismail.aktas, AD grubu guest_grup; portalın RADIUS Grup ayarı guest_grup → eşleşir, giriş verilir. Kullanıcı guest_grup üyesi değilse → reddedilir.)

4. Giriş yöntemi açık: Portalda Login veya Form auth açık olmalı; kullanıcı AD kullanıcı adı + parola ile giriş yapar.

Doğrulama başarılı olursa kullanıcı portalın RADIUS Grubuna eklenir ve portal oturumu açılır. LDAP başarısız olursa sistem yerel kullanıcı doğrulamasına düşer (fallback).

İpucu — misafir için ayrı bir AD grubu kullanın: Erişimi net tutmak için portalın RADIUS Grup değeri olarak yalnız gerçek misafirlerin bulunduğu ayrı bir AD grubu (ör. Guest_Group) tanımlayın; admin/kurumsal kullanıcıları bu gruba eklemeyin. Fail‑closed grup kapısı zaten yalnız bu grubun üyelerini geçirir.

Not: Portal LDAP girişi artık parolayı ve kalıcı bir oturum kaydını saklamadığı için aynı AD kullanıcısı hem misafir portalına hem 802.1x hem firewall‑admin girişine güvenle katılabilir — eskiden bu kaydın yol açtığı “yanlış VLAN / 2FA SMS’i gönderilemiyor” çakışması artık yoktur.

Tasarım (fail‑closed — kısıt değil, kasıtlı): Amaç AD’deki tüm kullanıcıları içeri almak DEĞİLDİR; yalnız portal için tanımladığınız tek grubun üyeleri girer. Böylece bir admin (ör. Domain Admins / User_Login üyesi ama guest_grup üyesi değil) misafir portalından giremez ve admin kimliği portal oturumuna sızmaz.

RADIUS Grup alanı BOŞ bırakılırsa (geriye‑uyum): birebir kontrol devre dışı kalır ve eski davranış geçerli olur — kullanıcının herhangi bir AD grubu NAC → Objeler → Gruplar’da (ldap tipi, aktif) kayıtlıysa erişim verilir. Yeni kurulumlarda RADIUS Grup alanını doldurmanız önerilir (daha güvenli ve daha nettir).

“LDAP doğru ama giriş olmuyor” ise: neredeyse her zaman 3. madde geçerlidir — portalın RADIUS Grup ayarı ile kullanıcının AD grup adı birebir aynı değildir (yazım/harf farkı dahil). AD’deki grup adını (memberOf’taki CN) tam olarak RADIUS Grup alanına yazın. Ayrıca DC’ye ağ erişimi (389/636) ve doğru user search filter ((sAMAccountName=%{User-Name})) gereklidir.

4. Portal URL

Portal URL, girilen Portal Adı değerine göre otomatik oluşur ve şu biçimdedir: http://<host>:8080/<portal-adı>. Buradaki <host>, tarayıcıdaki IP veya FQDN’den alınır; son segment ise formdaki Portal Adı alanından gelir. Bu adres formun alt kısmında gösterilir ve kopyalama düğmesiyle panoya kopyalanabilir. Redirect URL ise listede görünmez; yalnızca Ağ ve Yönlendirme bölümünden yönetilir.

Oluşan Portal URL’yi, firewall cihazınızda captive portal yönlendirmesi için kullanılan uygun alana kopyalayıp yapıştırmanız gerekir. Kullanıcılar internet erişimi istediğinde firewall onları bu adrese yönlendirir ve doğrulama bu portal üzerinden yapılır. Her firewall markasının/modelinin captive portal (harici portal) URL’si ekleme yöntemi farklı olabilir; bu ayar genellikle Guest/Hotspot, Captive Portal, External Portal veya Authentication Portal başlıkları altında yer alır.

5. Cisco Meraki Entegrasyonu (Bulut Tabanlı — Herhangi Bir Firewall Arkasında)

Cisco Meraki bulut tabanlı çalışır: internet erişim izni (grant) yerel bir cihazda değil, Meraki bulutunda (*.network-auth.com) verilir. Bu yüzden Meraki AP/appliance herhangi bir firewall/NAT arkasında olabilir — SignLogger’ın cihaza doğrudan ağ erişimi (FortiGate / SonicWall / WatchGuard / Zyxel’de gerektiği gibi) gerekmez. Yeterli olan: istemcinin hem SignLogger portalına hem de Meraki bulutuna erişebilmesidir.

5.1 Nasıl Çalışır (EXCAP Click‑Through)

1. Kullanıcı Meraki splash sayfasına düşer → Meraki, kullanıcıyı SignLogger portalına base_grant_url (+ opsiyonel user_continue_url) parametreleriyle yönlendirir.

2. Kullanıcı SignLogger’da doğrulanır (SMS / Form / Login / TC Kimlik / LDAP — hangisi açıksa).

3. SignLogger bir Meraki grant URL’i üretir (base_grant_url + continue_url + duration) ve istemci tarayıcısını bu adrese GET redirect ile gönderir.

4. Meraki bulutu erişimi açar; kullanıcı hedefine (continue_url) devam eder.

5.2 Yapılandırma

• Cihaz Tipi: Cisco Meraki (üretici: Cisco); SSID kaydında firewall_type = meraki.

• FQDN: *.network-auth.com (wildcard). Meraki hostname’i bölgeye göre değişir (eu. / n143. / apac. …), bu yüzden tam host beklenmez; *.network-auth.com soneki güvenilir kabul edilir.

• Meraki Dashboard: İlgili SSID’nin splash’i “External Captive Portal (EXCAP)” olarak ayarlanır; splash URL = SignLogger portal adresi. Walled garden’a SignLogger portal adresi + *.network-auth.com eklenir (istemci, doğrulamadan önce bunlara erişebilmelidir).

5.3 Oturum Süresi ve Güvenlik

• Süre (duration): NAC / RADIUS Session‑Timeout’tan gelir; en fazla 30 gün ile sınırlıdır.

• Open‑redirect koruması: Grant yalnızca doğrulanmış *.network-auth.com HTTPS adresine yapılır.

• Oturum sonlandırma: Erişim, bulut tarafında süre dolunca sona erer; yerel firewall’a “kullanıcıyı düşür” komutu gönderilmez (Meraki’de aktif deauth yerine oturum süresi / zaman aşımı kullanılır).

6. Kaydetme ve Kullanım Önerileri

• Zorunlu alanları (Cihaz, Lokasyon, Portal Adı, Varsayılan Dil, Firewall IP, Guest Network, Redirect URL) boş bırakmayın; koşullu alanlar yalnızca ilgili yöntem açıkken doldurulur (örn. SMS açıksa SMS Yöntemi ve SMS Sağlayıcı).

• 2FA’yı aktif etmek için SMS, Form, Login veya LDAP yöntemlerinden en az biri açık olmalıdır.

• Bu yardım içeriği teknik entegrasyon ayrıntısına girmeden, ekrandaki alanların amacını anlatır. İşlem yaparken üstten alta ilerleyin; zorunlu alanları tamamlayıp kaydetmeden önce değerleri son kez kontrol edin.

• Beklenmeyen bir sonuçta önce tarih aralığı, filtreler ve seçimleri gözden geçirin; ardından ilgili sayfanın liste/özet alanından doğrulayın.

• Tüm alanlar tamamlandıktan sonra formun alt kısmındaki Kaydet düğmesine tıklayın; vazgeçmek için Kapat düğmesini kullanın.