RADIUS (Remote Authentication Dial-In User Service), ağa bağlanmak isteyen kullanıcıların merkezî olarak doğrulanmasını, yetkilendirilmesini ve kullanım kayıtlarının tutulmasını sağlayan bir istemci-sunucu protokolüdür. Kısaca üç işlevi vardır: kimlik doğrulama (kullanıcı kim?), yetkilendirme (neye erişebilir?) ve hesaplama/accounting (ne zaman, ne kadar bağlandı?). SignLogger, bir RADIUS sunucusu olarak çalışarak hotspot/captive portal, NAC/802.1x ve VPN 2FA senaryolarında bu üç işlevi tek noktadan yönetir.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Yükümlülüklerinizi kendi kurumunuz için mutlaka güncel mevzuat ve uzman görüşüyle doğrulayın.
RADIUS Protokolü Nasıl Çalışır?
RADIUS mimarisinde üç temel bileşen bulunur: kullanıcı (supplicant), erişim cihazı (NAS - Network Access Server; firewall, kablosuz denetleyici, VPN ağ geçidi veya switch) ve RADIUS sunucusu. Kullanıcı ağa bağlanmak istediğinde erişim cihazı, gelen kimlik bilgilerini RADIUS sunucusuna iletir. Sunucu bunları yerel veritabanı, LDAP/Active Directory, SMS-OTP veya başka bir kaynağa karşı doğrular ve erişim cihazına "kabul" ya da "ret" yanıtı döner.
Protokolün üç ayağı şöyle özetlenebilir:
- Authentication (Kimlik doğrulama): Kullanıcının beyan ettiği kimliğin gerçekten kendisine ait olduğunun sınanması.
- Authorization (Yetkilendirme): Doğrulanan kullanıcıya hangi VLAN, hız limiti, erişim süresi veya kaynak izinlerinin verileceğinin belirlenmesi.
- Accounting (Hesaplama): Oturum başlangıç/bitiş, atanan IP, kullanılan veri gibi bilgilerin kayıt altına alınması. Bu kayıtlar iz sürülebilirliğin temelini oluşturur.
SignLogger RADIUS Sunucusu Olarak Hangi Senaryolarda Kullanılır?
SignLogger marka bağımsızdır; RADIUS destekleyen her firewall, kablosuz denetleyici veya VPN cihazıyla çalışır ve tamamen kurumun kendi altyapısında (VMware/Hyper-V) barınır. Veri şirket dışına çıkmaz. Aynı RADIUS motoru farklı ihtiyaçlar için kullanılabilir:
| Senaryo | Erişim cihazı | RADIUS yöntemi | Tipik amaç |
|---|---|---|---|
| Hotspot / Captive Portal | Firewall, kablosuz denetleyici | PAP | Misafir/ziyaretçi Wi-Fi, 5651 kimliklendirme |
| NAC / Kurumsal LAN-Wi-Fi | Switch, kablosuz AP | 802.1x (EAP) | Cihaz ve kullanıcı bazlı ağ erişim kontrolü |
| VPN 2FA | VPN ağ geçidi | RADIUS + OTP | Uzaktan erişimde ikinci adım doğrulama |
Captive Portal ve 5651: RADIUS ile Kimliklendirme
Halka açık internet sunan işletmelerde ziyaretçilerin kimliklendirilmesi gerekir. SignLogger'ın captive portal çözümünde kullanıcı, açılış sayfasında (örneğin SMS ile doğrulama) kimliğini beyan eder ve firewall bu bilgiyi RADIUS üzerinden yalnızca PAP yöntemiyle SignLogger'a iletir. Captive portal senaryosunda PEAP veya EAP-TTLS kullanılmaz; PAP, portal-firewall arasında beklenen standart yöntemdir. Doğrulanan oturumun accounting kayıtları, hangi kullanıcının hangi IP'yle ne zaman bağlandığını gösteren erişim loglarına dönüşür.
SignLogger bu logları her gün, yetkili bir elektronik sertifika hizmet sağlayıcısı olan TÜBİTAK Kamu SM'nin zaman damgası ve e-imzasıyla imzalar; böylece kayıtların bütünlüğü ve zaman doğruluğu güvence altına alınır. Kamu SM zaman damgası kontör (kredi) ile çalışır. Ayrıntılar için hotspot yönetimi çözüm sayfamıza göz atabilirsiniz. Yasal saklama süresi ve kabul edilen kimliklendirme yöntemleri için güncel mevzuatı esas alın.
NAC ve 802.1x: Kurumsal Ağda RADIUS
Kurumsal LAN ve Wi-Fi'de amaç, yalnızca yetkili cihaz ve kullanıcıların ağa girmesidir. Burada RADIUS, 802.1x standardıyla birlikte EAP tabanlı yöntemler kullanılarak çalışır; port bazında doğrulama yapılır ve kullanıcı doğru VLAN'a yönlendirilir. Bu, misafir portalından farklı bir katmandır ve daha güçlü kurumsal denetim sağlar. Uçtan uca yaklaşımı NAC (ağ erişim kontrolü) çözüm sayfamızda inceleyebilirsiniz.
VPN 2FA: Uzaktan Erişimde İkinci Adım
Uzaktan çalışan kullanıcılar için tek başına parola yeterli değildir. SignLogger, VPN ağ geçidinin RADIUS istekleri sırasında kullanıcı adı-parola doğrulamasına ek olarak bir tek kullanımlık kod (OTP) katmanı ekler. Böylece parola ele geçse bile ikinci adım olmadan erişim gerçekleşmez. Kurulum ayrıntıları için VPN 2FA iki adımlı doğrulama çözüm sayfamıza bakabilirsiniz.
Sıkça Sorulan Sorular
RADIUS ile TACACS+ arasındaki fark nedir?
RADIUS ağ erişim doğrulaması (kullanıcı/cihaz ağa girsin mi?) için yaygındır ve kimlik doğrulama ile yetkilendirmeyi birlikte taşır. TACACS+ ise daha çok ağ cihazı yönetimi (yönetici komut yetkilendirme) için kullanılır. SignLogger, erişim senaryolarında RADIUS'u temel alır.
Captive portal için neden sadece PAP kullanılıyor?
Captive portal mimarisinde portal-firewall arası RADIUS akışı PAP ile çalışır; bu senaryoda PEAP veya EAP-TTLS önerilmez. EAP tabanlı yöntemler, misafir portalı değil 802.1x kurumsal erişim içindir.
SignLogger hangi firewall ve cihazlarla çalışır?
SignLogger marka bağımsızdır. RADIUS destekleyen her firewall, kablosuz denetleyici ve VPN ağ geçidiyle uyumludur; belirli bir üreticiye bağımlılık yaratmaz.
Loglar nerede saklanır?
SignLogger kurumun kendi altyapısında (VMware/Hyper-V) çalışır ve loglar şirket içinde (on-prem) tutulur; veri dışarıya çıkmaz.
Log imzalama nasıl yapılır?
SignLogger erişim loglarını her gün, yetkili sertifika sağlayıcısı TÜBİTAK Kamu SM'nin zaman damgası ve e-imzasıyla imzalar. Kamu SM zaman damgası kontör ile çalışır; bütünlük ve zaman güvencesi bu sayede sağlanır.
Accounting kayıtları neden önemlidir?
Accounting kayıtları hangi kullanıcının hangi IP ile ne zaman bağlandığını gösterir. Bu bilgiler iz sürülebilirliğin ve yasal kimliklendirme yükümlülüklerinin temelidir.