İnternet Kafede pfSense mi, Kafe Programından Yönetilen Ağ Geçidi mi?

Kafenin ağını beş altı yıl önce bir bilgisayarcı kurdu. Masanın altına eski bir kasa koydu, iki ethernet kartı taktı, üzerine pfSense yükledi ve gitti. O günden beri internet çalışıyor. Şifreyi bilen tek kişi o, telefon numarası da artık başka birine ait. Yeni bir PlayStation odası açınca port açmak gerekiyor, birine hız sınırı koymak istiyorsunuz ya da bir sabah elinize "şu public IP, şu port, şu saatte bağlantı kimdeydi" diye bir yazı geliyor. pfSense'in ekranını açsanız bile orada 14 numaralı masa yazmıyor.

Karar vermeniz gereken şey şu: pfSense'te kalmak mı, yoksa ağı kafe programının içinden yönetilen bir ağ geçidine taşımak mı?

pfSense kafede ne iş görüyor

pfSense, FreeBSD tabanlı açık kaynak bir güvenlik duvarı ve router dağıtımı. Netgate geliştiriyor. Genelde ayrı bir kutuya kurulur ve web arayüzünden yönetilir. Kafenin isteyebileceği şeylerin büyük kısmını yapar: çoklu hat, captive portal, VPN, pfBlockerNG ile engelleme listeleri, Squid ile proxy.

Yani yazılım kötü değil, bir kafe için gereğinden bile yetenekli.

Asıl sorun pfSense değil, onu kimin yönettiği

pfSense bir ağ yöneticisinin aracı. Her şeyi yapabilir ama her şeyi doğru yapmak için ne yaptığını bilmek gerekiyor. NAT kuralının sırası, DHCP sabit kaydı, paketlerin güncellemesi, bir kuralın neden çalışmadığını anlamak için log okumak. Kafe sahibi bunları bilmek zorunda değil, bilmiyor da.

Sahada tekrar eden tablo şu: kurulum çalışıyor ama dokunulamıyor. Konsol odasına Open NAT gerekince "bilgisayarcı gelince bakarız" deniyor. Maç akşamı bir masa 90 GB oyun güncellemesi indirirken diğer yirmi masa ping şikâyeti ediyor ve kimse o masayı yavaşlatmayı bilmiyor. Ağ, kafe programından ayrı ve kimsenin açmaya cesaret edemediği bir kutu olarak kalıyor.

Bir de kimlik sorunu var. pfSense cihazları IP ve MAC adresiyle tanır. Hangi IP'nin hangi masa olduğunu bilmek için ya DHCP'de her makineye elle sabit kayıt girmiş olmanız ya da ayrı bir defter tutmanız gerekiyor.

Emniyetten gelen soru

Kafeden çıkan her bağlantı dışarıda sizin public IP'nizle görünür. Biri kafeden bir siteye saldırırsa ya da tehdit mesajı atarsa iz sizin hattınızda biter. Gelen yazı da genelde dar bir soru sorar: şu public IP, şu port, şu tarih ve saat.

Bu soruya cevap vermek için iki şeyi birleştirmek gerekiyor. Dış porttan iç IP'ye giden NAT kaydı ve o saatte o iç IP'nin hangi masada olduğu. pfSense birincisini tutabilir, yapılandırdıysanız. İkincisini bilmez, çünkü masa kavramı onun dünyasında yok.

Mevzuat tarafındaki erişim kaydı ayrı bir konu ve saklama süresi gibi kendi kuralları var. Onu internet kafede IP log tutma yazısında anlattım. Burada konu sadece önünüze bir IP, port ve saat geldiğinde cihazı bulabilmek.

pfSense'te kalmanız gereken durumlar

Bunu net söyleyeyim, çünkü her yazının sonunda "bize geçin" demek kolay.

• Kafede pfSense'i bizzat yöneten, kuralını kendisi yazan biri varsa kalın. Çalışan ve sahibi olan bir kurulumu değiştirmenin getirisi azdır.
• Kafe dışından VPN ile bağlanmak, şubeler arası tünel kurmak gibi işleriniz varsa kalın. Bizim ağ geçidimiz VPN sunucusu değil.
• Ağ geçidinin ayrı, Windows'suz bir kutuda durmasını şart koşuyorsanız pfSense daha doğru tercih.

Bunların hiçbiri sizi tanımlamıyorsa, yani ağ bir kara kutuysa ve şifresi kayıpsa, okumaya devam edin.

Kafe programından yönetilen ağ geçidi ne demek

HandyCafe Gateway kafedeki bir Windows PC'yi tüm kafenin router'ı yapıyor. Modem yerinde kalıyor, masalar yerinde kalıyor. Modemden switch'e giden kablo artık ağ geçidi PC'sinin üzerinden geçiyor. PC'de iki ethernet kartı olması şart: biri modeme, biri switch'e. Boş yuva yoksa USB ethernet adaptörü de sayılır. Wi-Fi kafe tarafındaki kart olarak sayılmaz.

Fark yönetimin nerede olduğunda. Kurulumdan sonra ağ geçidi PC'sinin başına oturmuyorsunuz. Her şey HandyCafe Server'daki İnternet sayfasında: hatlar, cihazlar, web filtresi, bant genişliği, port yönlendirme, güvenlik duvarı. Kasiyerin zaten her gün açtığı programın içinde.

Server'ı çalıştıran PC'ye de kurulabilir, ayrı bir PC'ye de. Ayrı PC daha iyi. Server'ı güncellediğinizde ya da yeniden başlattığınızda kafenin interneti kesilmiyor, eski bir ofis bilgisayarı da bu iş için yetiyor. Kurulum Server'da Ayarlar > Ağ geçidi altında "Bu bilgisayara kur" ile ya da başka PC için indirilen dosyayla yapılıyor. Adım adım anlatım kurulum dokümanında var.

Eski router'ın adresini devralıyor

pfSense'ten çıkarken en büyük korku, her PC'nin ayarını tek tek değiştirmek. Gerek yok. Kafe kartı seçildiğinde ağ geçidi o karttaki cihazlara birkaç saniye bakıyor ve PC'lerin ağ geçidi olarak kullandığı adresi devralıyor. Elle adres verilmiş PC'ler, boot sunucusu ve yazıcılar dahil hiçbir şeyin ayarı değişmiyor. Eski kutu hâlâ o adreste takılıysa sayfa bunu söylüyor: kafe kablosunu çekip "Yeniden tara" diyorsunuz.

CCBoot'lu kafede DHCP çakışması

Disksiz kurulumlu kafelerde adresleri genelde CCBoot dağıtır. Ağda adres dağıtan iki cihaz olunca PC'ler açılmıyor. Ağ geçidi ağda başka bir DHCP sunucusu bulursa kendi adres dağıtımını kapalı bırakıyor ve hangi cihazı bulduğunu gösteriyor. CCBoot'a dokunmanız gerekmiyor.

Kendini kilitlemeden ayar değiştirmek

Yaptığınız her değişiklik önce sayfanın üstündeki değişiklik çubuğunda birikiyor, "Uygula" deyince devreye giriyor. Server uyguladıktan sonra ağ geçidine hâlâ ulaşabildiğini kontrol ediyor. Ulaşamazsa ağ geçidi bir dakika sonra eski ayarlara kendisi dönüyor. Ağ kartı değişikliğinde de aynı mantık var: "Evet, bu ayarlar kalsın" demezseniz bir dakika sonra eski hâline dönüyor. Tek istisna ağ geçidinin kafe ağındaki adresini değiştirmek: bütün PC'ler onunla birlikte taşındığı için bu değişiklik kendiliğinden geri alınmıyor. Geri kalan ayarlarda yanlış bir tıklamanın bedeli bir dakikalık kesinti.

Konsol odası ve Open NAT

PlayStation'da "arkadaşımın partisine giremiyorum" şikâyetinin arkasında çoğu zaman katı NAT var. İki yol var. Tek tek port yönlendirme kurabilirsiniz, hedef cihazın adresi sabit değilse pencere "Sabit IP ver" seçeneğini sunuyor. Konsol sayısı artınca UPnP daha pratik: konsol portunu kendisi istiyor ve Open NAT görüyor. Konsolu başka masaya taşısanız da bozulmuyor. Bedeli şu ki UPnP açık olan makinedeki her program da port isteyebilir. Bu yüzden UPnP'yi konsol grubuyla sınırlı tutun, oyun PC'lerine açmayın.

Maç akşamı 90 GB indiren masa

Cihazlar sekmesi kafedeki her cihazı gösteriyor ve Server'ın masa olarak tanıdığı cihazlar masa adıyla eşleşiyor. "192.168.1.47" yerine 14 numaralı masa yazıyor. O masaya kendi hız sınırını verebilir, oyun PC'lerini, konsolları ve misafir Wi-Fi ağını ayrı gruplara koyup her gruba ayrı sınır tanımlayabilirsiniz.

Büyük güncelleme indiren bir masayı sınırlamak indirmeyi sonunda pek uzatmıyor. Diğer yirmi masanın akşamını ise kurtarıyor. Hız sınırı bir tavan, garanti değil. Hattınızın kafeye yetip yetmediği ayrı bir hesap: onu internet kafe için internet hızı yazısında yaptım.

Bir cihazı engellediğinizde de HandyCafe servisleri açık kalıyor. Ödemeyen müşterinin internetini kesiyorsunuz ama makineyi Server'dan yönetmeye devam ediyorsunuz.

Çift hat

Fiberin yanına yedek hat aldıysanız ikisi de aynı sekmede durur. Hatlar DHCP, sabit IP ya da PPPoE olabilir. Her hatta bir izleme IP'si tanımlarsanız ağ geçidi hattın gerçekten çalışıp çalışmadığını ping ile kontrol ediyor ve paket kaybeden hattın etrafından dolaşıyor. Ana hat düşünce yedek devreye giriyor, geri gelince trafik geri dönüyor.

Paylaşımı açarsanız her cihaz bir hatta oturuyor ve açık kaldığı sürece o hatta kalıyor. Oyunlar ve bankalar adres değişikliği görmüyor. Hatlar ölçülen hıza göre otomatik bölünüyor ya da yüzdeyi kendiniz veriyorsunuz. Belli bir cihazı belli bir hatta sabitleyebilirsiniz. Port bazlı yönlendirme için Steam, CS2, VALORANT, Fortnite ve PUBG dahil 26 oyunun hazır port listesi geliyor.

Dürüst kısım: iki hat tek bir indirmeyi hızlandırmıyor. Bir cihazın trafiği iki hatta bölünmüyor. Kazandığınız şey yükün masalara dağılması ve bir hat gidince kafenin açık kalması.

Public IP, port ve saatten cihazı bulmak

Ağ geçidinin bağlantı kaydı hangi cihazın nereye, hangi porttan, hangi hattan ve ne zaman bağlandığını tutuyor. İnternet tarafındaki public IP ve port da kaydın içinde. Kayıtlar sayfasında Ağ geçidi Logları sekmesindeki "Cihaz bul" düğmesi tam o yazı için var:

1. Yazıdaki genel portu ve tarih saati girin. Public IP isteğe bağlı. Birden fazla hattınız varsa ya da önde ayrı bir modem duruyorsa boş bırakın.
2. Yazının kullandığı saat dilimini seçin: bu bilgisayarınki ya da UTC.
3. ±1 dakikadan ±1 saate kadar bir tolerans seçip aratın.

Sonuç, bağlantıyı yapan cihazı ve MAC adresini gösteriyor. Gerekirse CSV olarak dışa aktarıyorsunuz. Kayıt varsayılan olarak 90 gün tutuluyor, "Kayıtları tut" ayarıyla süreyi değiştirebilir ya da kaydı tamamen kapatabilirsiniz. Saklama süresinden eski bir saat aranamıyor, çünkü o kayıtlar silinmiş oluyor.

Altını çizeyim: bu kayıt nereye gidildiğini tutuyor, ne konuşulduğunu değil. Trafik şifreli ve ağ geçidi onu açmıyor. Mevzuattaki erişim kaydı yükümlülüğünün yerine de geçmiyor. Saklama süresi ve kaydın bütünlüğü için yukarıda linklediğim IP log yazısına dönün.

Geçmeden önce bilmeniz gereken sınırlar

Kabloyu çekmeden önce bunları okuyun.

Windows PC açık kalmak zorunda. Kafenin bütün interneti o PC'den geçiyor. Kapanırsa masaların interneti gidiyor. HandyCafe Server ağ geçidinin üzerinden geçmediği için oturumlar, ücretlendirme ve kasa çalışmaya devam ediyor. Yani kafe durmuyor, sadece internetsiz kalıyor. pfSense kutusu da kapanınca aynı şeyi yapar. Fark, bir Windows PC'nin birinin yanlışlıkla kapatabileceği bir makine olması. Ayrı PC kullanın ve üzerinde başka iş yapmayın.

Güncelleme interneti 1 ile 2 dakika kesiyor. Ağ geçidi kendini güncelliyor ama bunu sessiz bir anda yapıyor: beş dakika boyunca Wi-Fi ağında misafir yoksa ve trafik çok düşükse. Yeni sürüm 90 saniye içinde cevap vermezse eski sürüme kendisi dönüyor. İsterseniz her güncellemeyi onayınıza bağlayabilirsiniz. Zorunlu işaretlenen bir güncelleme ise 72 saat sonra onay beklemeden kuruluyor.

İsim tabanlı filtre her VPN'i durduramaz. Web filtresi alan adına göre çalışıyor. Sahte isim gönderen araçlarda gerçek ismi okuyor ama kararlı bir müşteri şifreli bir tünelle filtreyi aşabilir. Bu bir duvar değil, kafenin kuralı. Yasal filtre yükümlülüğü ayrı bir konu, onu 5651 kapsamında filtre zorunluluğu yazısında anlattım.

Engelleme bir ağ izolasyonu değil. Adresini elle değiştiren biri izinli bir cihazın adresini alabilir. Ödemeyen müşteriyi durdurur, kasıtlı olarak sizi atlatmaya çalışanı durdurmaz.

Lisans biterse internet gitmiyor. Temel paylaşım çalışmaya devam ediyor. Filtre, engelleme, hız sınırı ve Wi-Fi portalı kapanıyor. Kimse bağlantısız kalmıyor.

Kısaca karar

Fiyat

HandyCafe Gateway, HandyCafe Genesis Pro paketine dahil. Ayrıca tek başına da satılıyor. Güncel tutarı fiyat sayfasında görebilirsiniz. Ek donanım olarak ihtiyacınız olan şey ikinci bir ethernet kartı ve kafede açık kalacak bir PC.

Geçiş günü

Kafenin en sakin saatini seçin. Yeni PC'ye ikinci kartı takın, modemden gelen kabloyu ilk karta, switch'e giden kabloyu ikinci karta bağlayın, kurulumu yapın ve kartları seçin. pfSense kutusunu atmayın. Kafe kablosunu çekip kenara koyun. Bir şey ters giderse iki kabloyu pfSense kutusuna geri takıp eski düzene dönmek birkaç dakikalık iş. İlk akşam bir masada sayfa açın, konsol odasında NAT tipine bakın ve Cihazlar sekmesinde masaların adıyla göründüğünü kendi gözünüzle görün.

Ayrıntılar Gateway dokümanında.