pfSense ile 5651 Loglama, Log İmzalama ve Hotspot: Betik Yazmadan Kurulum Rehberi

1. Kısa Cevap: pfSense ile 5651 Loglama Nasıl Yapılır?

pfSense trafiği yönetir, captive portal ile misafir girişi sunar ve loglarını uzak bir syslog sunucusuna gönderebilir. Ancak 5651 için kayıtların her gün imzalanması (hash + zaman damgası), mevzuattaki süre boyunca saklanması ve misafir girişinin erişim kayıtlarıyla eşleşmesi gerekir; pfSense bunu kendi başına yapmaz. Bu boşluk genellikle elle yazılan betiklerle doldurulur.

Subgate Network, Türkiye'de geliştirilen; pfSense'in standart syslog ve RADIUS özelliklerini kullanarak 5651 loglama, günlük dijital imzalama (SelfSign veya TÜBİTAK KamuSM), hotspot captive portal, 802.1X ve VPN/RDP MFA'yı tek panelde sunan ağ güvenliği yazılımıdır. Kurumun kendi Windows sunucusunda (veya sanal makinesinde) çalışır; betik yazmanız, imzalamayı elle takip etmeniz gerekmez.

2. pfSense + Betik mi, pfSense + 5651 Yazılımı mı?

pfSense kullanan birçok kurum 5651 için kendi çözümünü kurar: loglar bir Linux sunucuda toplanır, gece çalışan bir betik dosyayı özetler (hash) ve bir zaman damgası sağlayıcısına imzalatır. Bu yöntem çalışabilir, ama sorumluluk tamamen kurumun BT ekibindedir.

Teknik ekibi güçlü ve tek lokasyonlu yapılarda betik yöntemi tercih edilebilir. Denetimde kanıt sunma kolaylığı, çok lokasyon ya da misafir Wi-Fi gerekiyorsa hazır bir 5651 yazılımı bakım yükünü ortadan kaldırır.

3. Subgate + pfSense: UTM Lisansından Bağımsız Mimari

Subgate, pfSense'in yanında çalışan bağımsız bir sunucudur. pfSense logları syslog ile Subgate'e gönderir; captive portal girişleri Subgate'in kendi RADIUS sunucusu üzerinden doğrulanır.

• pfSense'e ek paket şart değil: Standart remote syslog ve captive portal RADIUS doğrulaması yeterlidir.
• Marka değiştirseniz bile sistem yerinde kalır: Loglarınız, imzalı arşiviniz, kullanıcılarınız ve portal tasarımınız Subgate'te durur.
• Karma ağlarda tek panel: Bir lokasyonda pfSense, diğerinde farklı marka cihaz kullanıyorsanız hepsi aynı panelden yönetilir. Desteklenen 12 marka: FortiGate, Palo Alto, Sophos, SonicWall, WatchGuard, Zyxel, MikroTik, DrayTek, Ruijie, pfSense, TP-Link ve Aruba Instant On.
• Veri sizde kalır: Loglar dışarıdaki bir buluta değil, kurumunuzun kendi sunucusuna yazılır; internet kesintisinde yerel ağda çalışmaya devam eder.

4. pfSense Syslog Ayarı: Adım Adım 5651 Log Gönderimi

Örnek senaryoda Subgate sunucusunun IP adresi 192.168.1.10 kabul edilmiştir.

1. pfSense web arayüzünde Status > System Logs > Settings sayfasını açın.
2. Remote Logging Options bölümünde Enable Remote Logging seçeneğini işaretleyin.
3. Remote log servers alanına 192.168.1.10:514 yazın.
4. Remote Syslog Contents bölümünde firewall olaylarını (Firewall Events), DHCP olaylarını ve captive portal kimlik doğrulama olaylarını seçin.
5. Loglanmasını istediğiniz izin kurallarında (Firewall > Rules) Log packets that are handled by this rule seçeneğinin açık olduğunu kontrol edin.
6. Kaydedin ve Subgate panelinde cihazı pfSense platformu ile ekleyin.

Loglar Subgate'e ulaştıktan sonra panelin Kanun 5651 sayfasında günlük dosyalar oluşur; panelde belirlediğiniz saatte bir önceki günün logları otomatik imzalanır ve tek tıkla doğrulanabilir.

Not: Menü adları pfSense sürümüne göre küçük farklılıklar gösterebilir. Kurulum sırasında Subgate destek ekibi uzaktan yardımcı olur.

5. pfSense Captive Portal (Hotspot) ve RADIUS Entegrasyonu

Misafir Wi-Fi için kullanıcı ağa bağlandığında giriş sayfasına yönlendirilir; SMS, WhatsApp, e-posta, LDAP/Active Directory, otel PMS, toplantı/bilet kodu, yabancı kimlik veya sözleşme onayı gibi yöntemlerle doğrulanır. Doğrulama Subgate RADIUS sunucusu üzerinden yapılır; kullanıcı kimliği ile erişim logları otomatik eşleşir.

1. System > User Manager > Authentication Servers altında yeni bir RADIUS sunucusu ekleyin: Subgate sunucu IP'si, port 1812 (accounting için 1813) ve paylaşılan anahtar.
2. Services > Captive Portal altında misafir arayüzü için bir bölge (zone) oluşturun ve portalı etkinleştirin.
3. Kimlik doğrulama yöntemi olarak bir doğrulama sunucusu kullanmayı seçin ve eklediğiniz Subgate RADIUS sunucusunu işaretleyin; RADIUS accounting'i açın.
4. Giriş sayfası ve lokasyon ayarlarını Subgate panelinde yapın; portal sayfasının pfSense'e bağlanması kurulumda destek ekibiyle birlikte tamamlanır.

Her lokasyon için ayrı portal tasarımı, doğrulama yöntemi, oturum süresi, bant genişliği ve kota tanımlanabilir. Portal 9 dilde çalışır.

6. Sık Sorulan Sorular

pfSense'in kendi captive portalı 5651 için yeterli mi?

Captive portal misafiri doğrular, ama 5651 kayıtların günlük imzalanmasını, saklanmasını ve giriş yapan kişiyle eşleşmesini de ister. Bu kısım için pfSense'in yanında bir log imzalama çözümü gerekir. Subgate, captive portal doğrulamasını kendi RADIUS'uyla yapıp aynı kayıtları imzalayarak bu boşluğu kapatır.

pfSense loglarını betikle imzalamak yerine Subgate kullanmanın farkı nedir?

İmzalama, zaman damgası, saklama, arama ve misafir doğrulaması tek panelde ve otomatik çalışır; imza panelden doğrulanır. Betiklerin bakımı, hata takibi ve sürüm uyumu kurum ekibinin üzerinden kalkar.

Loglar kaç yıl saklanır, nasıl imzalanır?

Varsayılan saklama süresi 5651 gereği 2 yıldır. Loglar her gün otomatik olarak SelfSign ile ya da KamuSM hesabınız varsa TÜBİTAK KamuSM zaman damgası ile imzalanır.

pfSense dışında başka marka cihazlarım da var, aynı panelden yönetebilir miyim?

Evet. Subgate 12 firewall markasını aynı anda destekler; her cihaz kendi lokasyon ve şablon ayarıyla tek panelden yönetilir.

Kurulum ne kadar sürer?

Subgate, Windows sunucuya tek kurulum dosyasıyla 5-10 dakikada kurulur. pfSense tarafındaki syslog ve RADIUS ayarları ile birlikte kurulum genellikle aynı gün tamamlanır.

İlgili rehberler

5651 loglama nedir? · 5651 loglama cihazı mı, yazılım mı? · KamuSM dijital imzalama · Misafir Wi-Fi hotspot ve 5651 · 5651 çözümleri karşılaştırması