Küçük Ofis Ağ Kurulumu: Modem, Switch ve Wi-Fi Güvenliği

Yeni bir ofise taşındınız ya da çalışan sayınız beşten on beşe çıktı. İnternet sağlayıcısının bıraktığı modem tek başına her şeyi yapıyor: misafirler, çalışanlar, yazıcı, güvenlik kamerası ve muhasebe bilgisayarı aynı ağda, aynı Wi-Fi şifresiyle duruyor. Bu düzen çalışır, ta ki bir misafirin virüslü telefonu ya da güncellenmemiş bir kamera ağdaki her şeye ulaşana kadar. Küçük bir ofiste sağlam bir ağ için kurumsal bütçe gerekmez; doğru sırada atılan birkaç adım yeterlidir: ihtiyacı planlamak, modemi yerine oturtmak, kablolamayı doğru yapmak, ağı bölümlere ayırmak ve Wi-Fi'ı güvenli kurmak. Aşağıda bu adımları sırasıyla, her birinin nedenini ve en sık yapılan hataları da ekleyerek anlatıyoruz.

Önce Topolojiyi Anlayın: Kim Nereye Bağlanır?

Küçük bir ofis ağı tipik olarak şu katmanlardan oluşur:

• İnternet bağlantısı ve modem: Sağlayıcının fiber ya da VDSL hattını karşılayan cihaz.
• Router / güvenlik duvarı: Ağın beyni. IP dağıtır, ağlar arası trafiği yönetir, dışarıdan gelen istekleri süzer. Çoğu ofiste modem bu işi de üstlenir; büyüdükçe ayrı bir cihaz gerekir.
• Switch: Kablolu cihazları birbirine bağlayan dağıtım noktası. Yönetilebilir (managed) switch'ler VLAN ve port bazlı ayar yapmanıza izin verir.
• Kablosuz erişim noktaları (AP): Wi-Fi yayını yapan cihazlar. Tek bir modemin Wi-Fi'ı yerine tavana ya da duvara monte edilen birkaç AP, ofisin tamamında daha dengeli kapsama sağlar.
• Uç cihazlar: Bilgisayarlar, telefonlar, yazıcılar, NAS, kamera kayıt cihazı, akıllı priz ve sensörler.

En yaygın ve yönetmesi kolay yapı "yıldız" topolojidir: Router'dan bir switch'e, switch'ten de her masaya, AP'ye ve sunucu dolabına ayrı kablo gider. Zincirleme bağlanmış küçük switch'ler ve masa altlarına dağılmış ucuz Wi-Fi tekrarlayıcılar ise arıza aramayı zorlaştıran, hızı düşüren yapılardır.

Adım Adım Kurulum

1. İhtiyaç envanteri çıkarın. Neden: Doğru donanımı seçmek ve ileride baştan kablo çekmemek için. Nasıl: Kaç çalışan, kaç masa, kaç kablolu cihaz (bilgisayar, yazıcı, IP telefon, kamera) olduğunu ve önümüzdeki iki-üç yıldaki büyüme beklentisini yazın. Video konferans yoğunluğu, bulut yedekleme ve büyük dosya transferi gibi bant genişliği ihtiyaçlarını not edin. Misafir sayısı ve misafirlerin ne kadar süre kaldığı (bekleme salonu mu, toplantı odası mı) da önemli.
2. Modemi "köprü" ya da sade modda konumlandırın. Neden: Sağlayıcı modemleri genellikle sınırlı güvenlik ve yönetim özellikleri sunar, uzaktan yönetim için de sağlayıcıya açık olabilir. Nasıl: Ofis büyüdükçe modemi köprü (bridge) moduna alıp yönlendirme ve güvenlik duvarı işini ayrı bir router'a verin. Modemi kullanmaya devam ediyorsanız en azından varsayılan yönetici şifresini değiştirin, WPS'i ve UPnP'yi kapatın, internetten yönetim erişimini kapalı tutun ve yazılım güncellemelerini kontrol edin. Sağlayıcınızın köprü moduna destek verip vermediğini önceden sorun.
3. Kablolamayı plana göre yapın. Neden: Wi-Fi ne kadar gelişirse gelişsin, sabit cihazlar ve AP'ler için kablo hâlâ en güvenilir ve en hızlı bağlantıdır; duvara gömülen kabloyu sonradan değiştirmek ise pahalıdır. Nasıl: Yeni çekimlerde en az Cat6, uzun vadeli projelerde Cat6a tercih edin. Bakır Ethernet'te bir kanalın toplam uzunluğu 100 metreyi geçmemeli. Her masaya en az iki priz, her AP konumuna tavanda bir kablo bırakın. Kabloları bir patch panelde sonlandırın, her iki ucu aynı numarayla etiketleyin ve bir kroki tutun. Kablo güzergâhını enerji hatlarından ayırın; elektrik tesisatıyla birlikte planlanması gereken projelerde elektrik mühendisliği desteği işinizi kolaylaştırır.
4. Switch'i seçin ve konumlandırın. Neden: Switch, VLAN gibi ağ bölümlemesinin fiziksel olarak uygulandığı yerdir. Nasıl: Port sayısını bugünkü ihtiyacın yaklaşık bir buçuk katı olarak planlayın. AP, IP telefon ya da kamera besleyecekseniz PoE (Ethernet üzerinden güç) destekli ve yeterli toplam güç bütçesine sahip bir model seçin. VLAN kuracaksanız yönetilebilir ya da en azından "akıllı" (smart) switch şarttır. Router, switch ve modem küçük bir duvar tipi kabinde, havalandırması olan bir yerde ve bir UPS'e bağlı durmalı; kısa elektrik kesintilerinde ağın komple düşmesini önler.
5. IP planı yapın. Neden: Hangi cihazın nerede olduğunu bilmek, arıza ve güvenlik incelemesini hızlandırır. Nasıl: Özel IP aralıklarından birini seçip ağlara ayırın. Örnek plan: personel ağı 192.168.10.0/24, misafir ağı 192.168.20.0/24, kamera ve IoT cihazları 192.168.30.0/24, ağ cihazlarının yönetimi 192.168.99.0/24. Yazıcı, NAS ve ağ cihazları gibi sabit adresi olması gerekenlere router'da DHCP rezervasyonu tanımlayın ve bunu bir tabloya yazın. Sağlayıcı modeminin varsayılan aralığıyla (çoğunlukla 192.168.1.0/24) çakışmayan bir aralık seçmek ileride VPN kurarken baş ağrısını önler.
6. Ağı VLAN'larla bölümlere ayırın. Neden: Bir misafir telefonunun muhasebe bilgisayarını, ele geçirilmiş bir kameranın dosya sunucusunu görmemesi gerekir. VLAN (IEEE 802.1Q), tek bir fiziksel switch üzerinde birbirinden yalıtılmış sanal ağlar oluşturur. Nasıl: Yukarıdaki IP planıyla eşleşen VLAN'lar oluşturun (ör. VLAN 10 personel, 20 misafir, 30 IoT, 99 yönetim). AP'lere ve router'a giden portları "trunk" (etiketli) yapın; masa prizlerini ilgili VLAN'a "access" (etiketsiz) port olarak atayın. Ardından router'da ağlar arası kuralları yazın: misafir ağı yalnızca internete çıkabilir; IoT ağı yalnızca kendi kayıt cihazına ve gerekiyorsa üreticinin bulut hizmetine erişir; personel ağı yazıcıya ulaşabilir ama kamera ağına yalnızca yetkili bilgisayarlar girebilir.
7. Misafir ağını ayrı kurun. Neden: Misafir cihazlarının güvenlik durumunu bilemezsiniz. Nasıl: Ayrı bir SSID (ör. "OrnekFirma-Misafir"), ayrı bir VLAN ve istemci yalıtımı (client isolation) açık olacak şekilde kurun; böylece misafirler birbirini de göremez. Şifreyi düzenli aralıklarla değiştirin; bekleme salonuna asılan QR kodu da buna göre güncelleyin. Bant genişliğine üst sınır koymak, birinin büyük bir indirme yaparken ofisin video görüşmelerini bozmasını engeller. Misafirlere internet erişimi sunan işletmeler, 5651 sayılı Kanun kapsamında "toplu kullanım sağlayıcı" sayılabilir ve iç IP dağıtım kayıtlarının tutulması gibi yükümlülükler doğabilir; kapsam ve güncel kurallar için BTK düzenlemelerini kontrol edin. Bu not genel bilgilendirmedir, hukuki danışmanlık değildir. Kafe ve restoran gibi misafir trafiği yoğun işletmelerde Wi-Fi ile dijital menüyü birlikte kurgulamak için QR menü rehberimize göz atabilirsiniz.
8. Wi-Fi'ı güvenli yapılandırın. Neden: Kablosuz ağ, ofisin duvarlarının dışına taşan tek kapıdır. Nasıl: Destekleyen cihazlarda WPA3 kullanın; Wi-Fi Alliance'a göre WPA3, parola tahmin denemelerine karşı daha güçlü koruma sağlıyor ve Wi-Fi CERTIFIED cihazlar için zorunlu. Eski cihazlarınız varsa WPA2/WPA3 geçiş modu kullanılabilir, ama WEP ve WPA (TKIP) tamamen kapatılmalı. WPS'i kapatın. Personel ağı için en az 12–16 karakterlik, tahmin edilemeyen bir parola seçin; işten ayrılan çalışan olduğunda değiştirin. Ekip büyüdükçe herkesin ortak şifre kullandığı yapı yerine, her çalışanın kendi kullanıcı adıyla bağlandığı WPA2/WPA3-Enterprise (RADIUS) yapısına geçmek, ayrılan kişinin erişimini tek tıkla kapatmanızı sağlar.
9. Kapsamayı ve kanalları ayarlayın. Neden: Yavaş Wi-Fi şikâyetlerinin çoğu sinyal gücünden değil, girişim ve kötü yerleşimden kaynaklanır. Nasıl: AP'leri tavana ya da yüksek bir duvar noktasına, metal dolap ve beton kolonlardan uzağa monte edin. 2,4 GHz'te birbiriyle çakışmayan 1, 6 ve 11 numaralı kanalları kullanın ve komşu AP'lere farklı kanal atayın. Yoğun kullanımda 5 GHz bandını tercih edin; kanal genişliğini apartman gibi kalabalık ortamlarda dar tutmak çoğu zaman daha kararlı sonuç verir. Tüm AP'lerde aynı SSID'yi kullanıp yönetim yazılımıyla eş zamanlı yönetmek, çalışanların ofis içinde dolaşırken bağlantı kesintisi yaşamamasını sağlar. Kurulumdan sonra telefonla basit bir kapsama turu yapıp zayıf noktaları not edin.
10. Uzaktan erişimi VPN ile verin. Neden: Kamera kayıt cihazına, NAS'a ya da uzak masaüstüne erişmek için router'da port açmak, bu cihazları internetteki tarama araçlarına doğrudan açmak demektir. Nasıl: Router'ınızda ya da ayrı bir cihazda VPN (ör. WireGuard ya da IPsec tabanlı) kurun ve dışarıdan erişimi yalnızca bu tünel üzerinden verin. Daha önce açılmış port yönlendirmelerini gözden geçirip kapatın.
11. Güvenlik ayarlarını tamamlayın. Neden: Doğru kurulmuş bir ağ bile güncellenmezse zamanla zayıflar. Nasıl: Router, switch ve AP'lerin yazılım güncellemelerini düzenli kontrol edin ya da otomatik güncellemeyi açın. Yönetim arayüzlerine yalnızca yönetim VLAN'ından erişilebilsin. DNS filtreleme hizmetiyle bilinen zararlı alan adlarını engelleyin. Kullanılmayan switch portlarını kapatın ya da kullanılmayan bir VLAN'a atayın; toplantı odasındaki boş prize takılan yabancı bir cihaz doğrudan personel ağına düşmesin.
12. Belgelendirin ve yedekleyin. Neden: Ağı kuran kişi işten ayrıldığında ya da bir cihaz bozulduğunda, yapılandırmayı sıfırdan çıkarmak günler alabilir. Nasıl: Ağ şeması, IP ve VLAN tablosu, port etiketleri, cihaz yönetici şifreleri (bir parola yöneticisinde) ve cihaz yapılandırma yedeklerini tek bir yerde tutun. Yapılandırma dosyalarını da diğer verilerinizle birlikte yedekleme planınıza dahil edin; ayrıntılar 3-2-1 yedekleme rehberimizde.

IoT ve Kamera Cihazlarına Ayrı Bir Not

Güvenlik kameraları, akıllı prizler, enerji sayaçları ve sensörler küçük ofislerde en az güncellenen, en çok unutulan cihazlardır. Çoğu, üreticinin bulut hizmetine bağlanmak için sürekli internete erişir ve varsayılan şifrelerle kurulur. Bu cihazları kendi VLAN'larında tutun, yalnızca ihtiyaç duydukları hedeflere erişim verin ve varsayılan şifreleri ilk gün değiştirin. Enerji tüketimini izleyen bir sistem kurmayı düşünüyorsanız ağ tarafını baştan planlamak için enerji izleme sistemi yazımıza, cihazların nasıl haberleştiğini anlamak için de MQTT protokolü rehberimize göz atabilirsiniz.

Bu cihazların web yönetim arayüzleri genellikle kendinden imzalı sertifikayla gelir ve tarayıcı uyarı verir. Sorunu internete açarak değil, yönetim erişimini VPN ve yönetim VLAN'ı ile sınırlayarak çözün; sertifika türleri hakkında daha fazlası SSL sertifikası rehberimizde.

En Sık Yapılan Hatalar

• Her şeyin tek ağda olması: Misafir, personel ve kamera aynı ağda. Bir cihazdaki sorun hepsine yayılır.
• Wi-Fi tekrarlayıcılarla kapsama çözmeye çalışmak: Kablosuz tekrarlayıcılar her atlamada hızı düşürür. Mümkünse AP'lere kablo çekin; kablo çekilemeyen yerlerde kablosuz "mesh" geri bağlantısı ikinci tercih olmalı.
• Kamera için port yönlendirmesi: Kayıt cihazına telefondan erişmek için açılan port, en sık rastlanan güvenlik açıklarından biri.
• Etiketsiz kablolama: Kabinde hangi kablonun hangi masaya gittiğini kimse bilmiyor. Her arıza bir keşif projesine dönüşüyor.
• Ortak ve hiç değişmeyen Wi-Fi şifresi: Yıllar önce ayrılan çalışanlar ve tedarikçiler hâlâ ağa bağlanabiliyor.
• UPS'siz ağ dolabı: Kısa bir kesintide modem ve switch yeniden başlıyor; bulut uygulamalarına bağlı tüm ekip birkaç dakika duruyor.
• Varsayılan yönetici şifreleri: Modem, switch ve AP'lerin "admin/admin" şifreleriyle bırakılması.

Kurulum Sonrası Kontrol Listesi

• Misafir ağındaki bir telefondan personel ağındaki yazıcıya ya da NAS'a erişilemediğini test edin.
• IoT VLAN'ındaki bir cihazın personel bilgisayarlarına ulaşamadığını kontrol edin.
• Router'da açık port yönlendirmesi ve UPnP kalmadığını doğrulayın.
• Tüm ağ cihazlarının yazılımlarının güncel olduğunu ve yönetici şifrelerinin değiştirildiğini teyit edin.
• Elektrik kesintisi simülasyonu yapın: UPS ağı ne kadar ayakta tutuyor?
• Ofisin farklı noktalarında hız ve sinyal ölçümü yapıp sonuçları belgeye ekleyin.

Ağ güvenliği daha geniş bir resmin parçasıdır; parola politikası, iki adımlı doğrulama, cihaz güncellemeleri ve çalışan farkındalığı gibi diğer başlıklar için KOBİ siber güvenlik kontrol listemize göz atın.

Sık Sorulan Sorular

Beş kişilik bir ofis için VLAN gerçekten gerekli mi?

Misafiriniz, kameranız ya da akıllı cihazınız varsa evet, en azından ayrı bir misafir ağı ve mümkünse IoT için ayrı bir bölüm kurulmalı. Birçok modern router ve AP, tam yönetilebilir switch olmadan da misafir ağı için yalıtılmış bir ağ sunar; bu, iyi bir başlangıçtır.

Mesh Wi-Fi sistemi mi, tavana monte AP mi?

Kablo çekmenin zor olduğu küçük alanlarda mesh sistemleri pratik bir çözümdür. Kablo çekilebiliyorsa, kablolu geri bağlantıya sahip tavan tipi AP'ler daha yüksek ve tutarlı performans verir; merkezi yönetim de genellikle daha kapsamlıdır.

Sağlayıcının modemini tamamen kaldırabilir miyim?

Bağlantı tipine ve sağlayıcının politikasına bağlıdır. Bazı hatlarda modemin yerinde kalması, ancak köprü moduna alınması gerekir. Değişiklik yapmadan önce sağlayıcıdan köprü modu ve gerekli bağlantı bilgilerini isteyin.

Wi-Fi şifresini ne sıklıkla değiştirmeliyim?

Personel ağında ortak şifre kullanıyorsanız, işten ayrılan her çalışandan sonra değiştirmek gerekir; bu da çoğu zaman pratik değildir. Bu nedenle büyüyen ekiplerde kişiye özel kimlik doğrulamalı Enterprise yapıya geçmek daha sürdürülebilirdir. Misafir ağında belirli aralıklarla değişim yeterli olur.

Sonuç

Küçük bir ofis ağının sağlam olması için pahalı donanımdan çok doğru bir plana ihtiyaç vardır: yıldız topolojisi, etiketli kablolama, misafir ve IoT cihazlarını ayıran bir bölümleme, güçlü Wi-Fi ayarları ve dışarıya port açmak yerine VPN. Bir kez doğru kurulan bu yapı, ekip büyüdükçe yeni bir AP ya da switch eklemekle genişler. Ofisinizin ağını keşiften kuruluma, belgelendirmeden periyodik bakıma kadar planlamak için IT hizmetlerimize göz atabilirsiniz. Taşınma ya da yeni ofis projeniz için keşif randevusu almak isterseniz bize ulaşın.

Kaynaklar

• Wi-Fi Alliance – Security
• CISA – Secure Our World
• Bilgi Teknolojileri ve İletişim Kurumu (BTK)