Kurumsal Wi-Fi Tasarımı: Kapsama, Güvenlik ve Kurulum

Kablosuz ağ artık ofislerin varsayılan bağlantı yöntemi. Dizüstü bilgisayarlar, telefonlar, toplantı odası ekranları, el terminalleri ve IP kameralar Wi-Fi üzerinden çalışıyor. Buna rağmen birçok işletmede kablosuz ağ, operatör modemine eklenen birkaç ev tipi cihazdan ve herkesin bildiği tek bir şifreden ibaret. Sonuç tanıdıktır: toplantı odasında kopan görüntülü görüşmeler, depoda çekmeyen el terminalleri ve kimin bağlı olduğu bilinmeyen bir ağ. Bu rehberde kurumsal Wi-Fi tasarımını keşiften cihaz seçimine, güvenlikten kanal planlamaya kadar uygulamada işe yarayan adımlarla ele alıyoruz.

Kurumsal Wi-Fi ile Ev Tipi Modem Arasındaki Fark

Aradaki fark hız değerinden çok yönetim, güvenlik ve ölçeklenebilirlikle ilgilidir:

• Merkezi yönetim: Kurumsal sistemde tüm erişim noktaları tek bir kontrolcüden veya bulut panelinden yönetilir; ayar değişikliği ve güncelleme tek noktadan yapılır.
• Kimlik tabanlı erişim: Herkesin paylaştığı tek şifre yerine her kullanıcı kendi kurumsal hesabıyla bağlanır; çalışan ayrıldığında hesabı kapatmak Wi-Fi erişimini de sonlandırır.
• Ağ ayrımı: Kurumsal, misafir ve IoT kablosuz ağları ayrı VLAN'lara bağlanır ve birbirinden yalıtılır.
• Dolaşım: Kullanıcı ofis içinde hareket ederken bağlantı bir erişim noktasından diğerine kesintisiz geçer.
• Radyo yönetimi: Kanal ve güç ayarları ortam koşullarına göre planlanır, parazit ve sahte erişim noktaları tespit edilir.
• Kapasite: Kurumsal erişim noktaları çok sayıda eşzamanlı istemciyi taşıyacak şekilde tasarlanır ve PoE ile tavandan beslenir.
• İzleme ve raporlama: Hangi cihazın nerede, hangi kalitede bağlı olduğu görülür; sorunlar kullanıcı şikâyetinden önce fark edilir.

Kurumsal bir yapıya geçme zamanının geldiğini gösteren işaretler genellikle açıktır: ofise eklenen her yeni tekrarlayıcıya rağmen kopmaların sürmesi, toplantı odalarında görüntülü görüşmelerin donması, misafirlerle aynı şifrenin paylaşılması, kimlerin ağa bağlı olduğunun bilinmemesi ve Wi-Fi sorunlarının her seferinde cihazı yeniden başlatarak çözülmeye çalışılması. Bu belirtilerden birkaçı birlikte görülüyorsa, sorun tek bir cihazda değil tasarımdadır.

Keşif (Site Survey) ve Kapsama Planlaması

İyi bir kablosuz ağ, erişim noktası satın alınmadan önce tasarlanır. Keşif çalışmasının amacı yalnızca her köşede sinyal olmasını değil, her alanda ihtiyaç duyulan kapasitenin ve kalitenin sağlanmasını garanti etmektir.

Üç tür keşif yaklaşımı vardır:

1. Tahmine dayalı tasarım: Kat planı üzerinde duvar malzemeleri tanımlanarak özel yazılımlarla kapsama simülasyonu yapılır. Yeni binalar ve bütçe planlaması için hızlı bir başlangıçtır.
2. Yerinde ölçüm: Örnek bir erişim noktası planlanan konuma geçici olarak yerleştirilir ve gerçek sinyal yayılımı ölçülür. Beton perdeler, cam bölmeler, metal raflar ve asansör boşlukları gibi etkiler ancak bu şekilde doğru görülür.
3. Kurulum sonrası doğrulama: Kurulum tamamlandıktan sonra tüm alan yeniden ölçülür ve ısı haritalarıyla hedeflere ulaşıldığı belgelenir.

Planlama sırasında şu sorular yanıtlanmalıdır: Hangi alanlarda yoğun kullanım var (toplantı salonları, eğitim odaları, kafeterya)? Depo veya üretim alanında raf yüksekliği ve malzeme türü nedir? Dış alanda kapsama gerekiyor mu? Hangi cihazlar ağa bağlanacak ve bunların en zayıfı hangisi? Tasarım, en zayıf kritik cihazın ihtiyacına göre yapılmalıdır; örneğin depodaki eski bir el terminali, yeni dizüstü bilgisayarlardan daha güçlü sinyal isteyebilir.

Keşif çalışmasının sonunda elinizde somut bir tasarım paketi olmalıdır: her bant için kapsama ve sinyal kalitesi ısı haritaları, erişim noktalarının kat planı üzerindeki konumları ve montaj yükseklikleri, kanal ve güç planı, gerekli kablo noktaları ile malzeme listesi. Bu paket hem kurulumun doğru yapılmasını hem de ileride yapılacak genişlemelerin aynı mantıkla planlanmasını sağlar.

Access Point Seçimi: Wi-Fi 6/6E/7, Kontrolcü ve Bulut Yönetimi

Erişim noktası seçiminde üç ana karar vardır: kablosuz standardı, yönetim mimarisi ve fiziksel özellikler.

Kablosuz standardı

• Wi-Fi 6 (802.11ax): OFDMA ve gelişmiş çok kullanıcılı iletim sayesinde yoğun ortamlarda verimliliği artırır; günümüz kurumsal projeleri için sağlam bir temel seviyedir.
• Wi-Fi 6E: Wi-Fi 6 yeteneklerini 6 GHz bandına taşır; bu bant daha az kalabalıktır ancak istemcilerin de 6E desteklemesi gerekir. 6 GHz bandının kullanımı ülkelere göre düzenlemeye tabi olduğundan, ürünün Türkiye'de bu bandı etkin olarak desteklediği doğrulanmalıdır.
• Wi-Fi 7 (802.11be): Çoklu bağlantı çalışması ve daha geniş kanallar gibi yenilikler getirir. İstemci ekosistemi olgunlaştıkça avantajı artar; uzun ömürlü yatırımlarda değerlendirilmelidir.

Yönetim mimarisi

Yönetim; donanım kontrolcüsü, sanal kontrolcü, bulut tabanlı panel veya kontrolcüsüz dağıtık mimariyle yapılabilir. Çok lokasyonlu işletmelerde bulut yönetimi kurulum ve izleme kolaylığı sağlarken abonelik maliyeti getirir; tek binada yoğun kullanım olan ortamlarda yerel kontrolcü tercih edilebilir. Aboneliğin sona ermesi halinde cihazların nasıl davranacağı, satın almadan önce mutlaka sorulmalıdır.

Fiziksel özellikler

Yeni nesil erişim noktaları daha fazla güç tüketir ve daha yüksek PoE standartları gerektirebilir; switch'lerin toplam PoE bütçesi buna göre hesaplanmalıdır. Üst seviye modellerde gigabit üzeri bağlantı portları bulunur ve bu kapasiteyi kullanmak için uygun kablolama gerekir. Kablolama tarafını yapısal kablolama rehberimizde ele aldık. İç ve dış mekân modelleri, dahili veya harici anten seçenekleri ve üreticinin güncelleme destek süresi de değerlendirilmelidir.

Güvenlik: WPA3-Enterprise, 802.1X ve Misafir Ağı

Kurumsal kablosuz ağ güvenliğinin temeli, paylaşılan şifreden kimlik tabanlı erişime geçmektir.

WPA3-Enterprise ve 802.1X: Kullanıcı veya cihaz, bir RADIUS sunucusu üzerinden kurumsal kimliğiyle doğrulanır. Bu yapı Windows ağ ilkesi sunucusu veya bulut tabanlı RADIUS hizmetleriyle kurulabilir. Kimlik doğrulama yöntemi olarak sertifika tabanlı EAP-TLS en güçlü seçenektir; kullanıcı adı ve şifreyle çalışan yöntemlerde ise istemcilerin sunucu sertifikasını doğrulaması mutlaka zorunlu tutulmalıdır, aksi halde sahte erişim noktalarıyla kimlik bilgileri ele geçirilebilir. WPA3, yönetim çerçevelerinin korunmasını da zorunlu kılar. Eski cihazlar nedeniyle geçiş modu kullanılıyorsa bunun geçici olduğu planlanmalıdır.

Misafir ağı: Misafirler ayrı bir SSID ve ayrı bir VLAN üzerinden yalnızca internete çıkmalıdır. İstemci yalıtımı açılarak misafir cihazlarının birbirini görmesi engellenmeli, bant genişliği sınırlanmalı ve karşılama portalı ile kullanım koşulları gösterilmelidir. Misafirlere internet erişimi sağlarken ilgili mevzuat kapsamında kayıt tutma yükümlülüklerinin doğup doğmadığı hukuk danışmanınızla değerlendirilmelidir.

IoT cihazları: 802.1X desteklemeyen yazıcı, ekran ve sensörler için ayrı bir SSID ve VLAN kullanılmalı; mümkünse her cihaza ayrı anahtar atayan çözümler tercih edilmelidir.

Diğer önlemler: Sahte erişim noktası tespiti, yönetim arayüzlerine yalnızca yönetim ağından erişim ve düzenli yazılım güncellemeleri de güvenlik tasarımının parçasıdır. Kablosuz ağların kablolu segmentlerle nasıl birleştiğini VLAN ve ağ segmentasyonu yazımızda anlattık.

Kapasite, Kanal Planlama ve Dolaşım (Roaming)

Kurumsal Wi-Fi'da sorunların çoğu kapsama eksikliğinden değil, kapasite ve parazitten kaynaklanır.

Kapasite: Kişi başına düşen cihaz sayısı, kullanılan uygulamaların türü ve eşzamanlı kullanım dikkate alınarak her alan için hedef istemci sayısı belirlenir. Görüntülü görüşmenin yoğun olduğu toplantı odaları ayrıca ele alınmalıdır. Örneğin büyük bir eğitim salonunda herkesin aynı anda dizüstü bilgisayar ve telefonla bağlandığı bir sunum sırasında, koridordaki tek bir erişim noktası sinyal olarak salonu kapsasa bile tüm istemcilere yetecek yayın süresini paylaştıramaz; bu tür alanlara salonun içine yerleştirilmiş, düşük güçte çalışan ayrı erişim noktaları gerekir.

Kanal planlama: 2,4 GHz bandında yalnızca 1, 6 ve 11 numaralı kanallar birbiriyle örtüşmez; bu bant kalabalık ve kapasitesi sınırlıdır, bu nedenle mümkün olduğunca 5 GHz ve destekleniyorsa 6 GHz kullanılmalıdır. Yoğun ortamlarda 5 GHz bandında dar kanal genişlikleri daha fazla sayıda örtüşmeyen kanal sağlar ve genellikle daha iyi sonuç verir. Radar tespiti nedeniyle kanal değiştirebilen DFS kanallarının davranışı da tasarımda dikkate alınmalıdır.

Verici gücü: Gücü sonuna kadar açmak kapsamayı artırmaz, sorunları büyütür. Yüksek güçteki erişim noktaları birbirine parazit yapar ve istemcilerin uzak bir noktaya takılı kalmasına neden olur. Daha fazla sayıda ve daha düşük güçte erişim noktası çoğu zaman daha iyi sonuç verir.

Dolaşım: 802.11k, 802.11v ve 802.11r standartları istemcilerin doğru erişim noktasını bulmasına ve hızlı geçiş yapmasına yardımcı olur. Özellikle Wi-Fi üzerinden sesli görüşme yapan telefonlar ve hareket halindeki el terminalleri için bu özellikler önemlidir. Çok düşük hızlarda bağlantıyı engelleyen ayarlar ve bant yönlendirme de istemcilerin daha iyi bağlantıya geçmesini sağlar. SSID sayısını az tutmak da önemlidir; her ek SSID havada yönetim trafiği üreterek kullanılabilir kapasiteyi azaltır.

Sık Yapılan Kurulum Hataları

• Keşif yapmadan erişim noktası sayısını tahmin etmek: Metrekareye göre hesaplanan kurulumlar genellikle ya ölü bölgeler ya da gereksiz cihazlarla sonuçlanır.
• Yanlış konumlandırma: Erişim noktalarını koridora toplamak, metal dolap üzerine veya asma tavan içine metal yüzeylerin arkasına yerleştirmek.
• Operatör modeminin Wi-Fi'ını açık bırakmak: Kurumsal ağla aynı kanallarda yayın yapan modem parazit kaynağı olur.
• Tek şifreli ağ: Yıllarca değişmeyen ve eski çalışanların da bildiği ortak şifre ciddi bir güvenlik açığıdır.
• Misafir ağını kurumsal ağla aynı segmentte çalıştırmak.
• PoE bütçesini hesaplamamak: Güç yetmediğinde erişim noktaları düşük performans modunda çalışır veya hiç açılmaz.
• Çok sayıda SSID yayınlamak: Her departmana ayrı SSID açmak yerine kimlik doğrulamayla dinamik VLAN ataması kullanmak daha verimlidir.
• Kurulum sonrası doğrulama yapmamak ve yazılımları güncellememek.

Kurulumdan sonra düzenli izleme, kablosuz ağın performansının zamanla sessizce bozulmasını önler. Erişim noktalarının çevrimiçi durumu, alan bazında bağlı istemci sayısı, kanal kullanımı, parazit kaynakları ve bağlantı şikâyetlerinin yoğunlaştığı bölgeler yönetim panelinden takip edilmelidir. Ofis yerleşiminde yapılan değişiklikler, yeni bölmeler veya artan personel sayısı kapsama ve kapasite ihtiyacını değiştirir; bu tür değişikliklerden sonra kısa bir doğrulama ölçümü yapmak ve erişim noktası yazılımlarını planlı bakım pencerelerinde güncellemek iyi bir alışkanlıktır. İzleme yaklaşımının bütününü ağ ve uygulama izleme rehberimizde ele aldık.

Maliyet Faktörleri ve Kurulum Firması Seçimi

Kurumsal Wi-Fi projesinin maliyetini belirleyen başlıca faktörler şunlardır:

• Alan büyüklüğü, kat sayısı ve yapı malzemesi
• Kullanıcı ve cihaz yoğunluğu, özel ihtiyaç duyan alanlar
• Erişim noktası modeli, Wi-Fi nesli ve iç veya dış mekân gereksinimi
• Mevcut kablolamanın yeterliliği ve yeni kablo çekimi ihtiyacı
• PoE destekli switch ihtiyacı
• Bulut yönetim aboneliği veya kontrolcü lisansı
• RADIUS ve kimlik doğrulama altyapısı
• Keşif, kurulum sonrası doğrulama ölçümleri ve bakım desteği

Kurulum firması seçerken yerinde keşif yapılıp yapılmadığını, ısı haritası ve doğrulama raporu teslim edilip edilmediğini, güvenlik tasarımının teklifte yer alıp almadığını ve kablolama, switch ve güvenlik duvarının bütünleşik olarak ele alınıp alınmadığını sorgulayın. Kurulum sonrası sorunlarda yerinde müdahale imkânı da önemlidir; Ümraniye ve çevresindeki ofislere sunduğumuz destek için Ümraniye bölge sayfamıza göz atabilirsiniz.

Sonuç

Kurumsal Wi-Fi, doğru keşifle başlayan, kapasiteye göre tasarlanan, kimlik tabanlı güvenlikle korunan ve kurulumdan sonra ölçülerek doğrulanan bir altyapıdır. Bu adımlar atlandığında en pahalı erişim noktaları bile beklenen performansı veremez. Ofisiniz için keşif ve tasarım çalışmasıyla başlamak üzere network altyapı hizmetimizi inceleyebilir, uzmanlarımızla ücretsiz ön görüşme ayarlayabilirsiniz.