pfSense Hotspot 5651 Kurulumu: Adım Adım Rehber 2024

pfSense, açık kaynak kodlu güçlü bir güvenlik duvarı ve yönlendirici platformu olarak dünya çapında binlerce işletme tarafından tercih ediliyor. Ancak Türkiye'de faaliyet gösteren otel, kafe, AVM, kütüphane gibi misafir internet hizmeti sunan işletmeler için pfSense'i kurmak yeterli değil — 5651 sayılı kanun gereği kullanıcı erişim kayıtlarını yasal formatta saklamak, zaman damgası ile loglamak ve BTK denetimlerine hazır olmak zorundasınız. Bu rehberde pfSense üzerinde 5651 uyumlu hotspot nasıl kurulur, hangi eklentiler gerekir, loglar nereye gönderilir ve yasal yükümlülükler nasıl karşılanır sorularına somut, adım adım yanıt bulacaksınız.

pfSense Nedir ve Neden Hotspot İçin Tercih Edilir?

pfSense, FreeBSD tabanlı, web arayüzü ile yönetilen bir firewall/router dağıtımıdır. Ticari çözümlere göre lisans maliyeti sıfır olduğu için orta ölçekli işletmeler tarafından sıkça tercih edilir. Captive Portal (misafir portalı) özelliği yerleşik olarak gelir ve temel kullanıcı kimlik doğrulama, bant genişliği sınırlama, oturum yönetimi gibi işlevleri sunar. Ancak pfSense'in varsayılan Captive Portal modülü 5651 sayılı kanunun aradığı detaylı log formatını, zaman damgası hassasiyetini ve merkezi saklama altyapısını sağlamaz. Kanun, her kullanıcının MAC adresi, IP, giriş-çıkış zamanı, cihaz bilgisi gibi verilerin en az bir yıl saklanmasını ve BTK talebi halinde raporlanmasını zorunlu kılar. Bu nedenle pfSense hotspot kurulumunda mutlaka harici bir 5651 loglama çözümü entegre edilmelidir.

5651 Sayılı Kanun ve pfSense Hotspot İçin Yasal Gereksinimler

5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun", internet erişim sağlayıcılarını (ISP) ve yer sağlayıcılarını (otel, kafe, AVM vb.) kullanıcı trafik kayıtlarını saklamakla yükümlü tutar. Hotspot işleten her kurum yer sağlayıcı statüsündedir ve aşağıdaki verileri kaydetmelidir:

• Kullanıcı kimlik bilgisi: Ad-soyad, TC kimlik no veya pasaport no, telefon numarası (SMS onayı varsa).
• Erişim kaydı: Bağlantı başlangıç ve bitiş zamanı (saniye hassasiyetinde zaman damgası), atanan IP adresi, cihaz MAC adresi.
• Trafik kaydı: Kullanıcının eriştiği alan adları, URL'ler, port numaraları (opsiyonel ama önerilen).
• Saklama süresi: Erişim kayıtları en az 1 yıl, trafik kayıtları (içerik logları) en az 2 yıl saklanmalıdır.
• Zaman senkronizasyonu: Tüm loglar NTP sunucusu ile senkronize edilmiş UTC veya Türkiye yerel saati ile damgalanmalıdır.

pfSense Captive Portal'ın kendi log dosyaları (/var/log/portalauth.log) bu detayı ve formatı sağlamaz. Ayrıca yerel diskte saklamak yeterli değildir; BTK denetiminde logların merkezi, yedekli ve değiştirilemez bir ortamda tutulduğunu kanıtlamanız gerekir. Bu nedenle pfSense'i harici syslog sunucusuna veya bulut tabanlı 5651 loglama platformuna yönlendirmek şarttır.

pfSense Captive Portal Kurulumu: Temel Adımlar

1. pfSense Kurulumu ve İlk Yapılandırma

pfSense'i fiziksel sunucu, mini-PC (örn. Protectli, Netgate) veya sanal makine (VMware, Proxmox) üzerine kurun. En az iki ağ arabirimi gereklidir: WAN (internet bağlantısı) ve LAN (misafir ağı). Kurulum sihirbazı tamamlandıktan sonra web arayüzüne (varsayılan https://192.168.1.1) tarayıcıdan giriş yapın (kullanıcı: admin, şifre: pfsense). İlk adım olarak:

• System → General Setup menüsünden hostname, domain ve DNS sunucularını ayarlayın.
• System → Advanced → Networking bölümünden IPv6'yı devre dışı bırakın (misafir ağında genellikle gereksizdir).
• System → General Setup → Timezone alanını "Europe/Istanbul" olarak seçin.
• NTP sunucusu ekleyin: tr.pool.ntp.org veya ntp.ulakbim.gov.tr gibi yerel NTP kaynaklarını kullanın. Zaman senkronizasyonu 5651 uyumluluğu için kritiktir.

2. Misafir Ağı İçin Ayrı Arayüz Tanımlama

Interfaces → Assignments menüsünden misafir ağı için kullanacağınız fiziksel portu (örn. em2) yeni bir arayüz olarak ekleyin ve adını "GUEST" olarak değiştirin. Interfaces → GUEST menüsünden:

• Enable interface kutusunu işaretleyin.
• IPv4 Configuration Type: Static IPv4 seçin.
• IPv4 Address: Misafir ağınız için bir alt ağ tanımlayın, örneğin 10.99.0.1/24.
• Değişiklikleri kaydedin ve arayüzü aktif edin.

3. DHCP Sunucusunu Yapılandırma

Services → DHCP Server → GUEST sekmesine gidin ve DHCP'yi etkinleştirin. Ayarlar:

• Range: 10.99.0.100 – 10.99.0.250
• DNS Servers: pfSense'in kendi IP'sini (10.99.0.1) veya Google DNS (8.8.8.8) girin.
• Gateway: Boş bırakın (pfSense otomatik atayacaktır).
• Default lease time: 7200 saniye (2 saat) — misafir ağları için yeterli.

4. Captive Portal Etkinleştirme

Services → Captive Portal menüsünden Add butonuna tıklayın ve yeni bir zone oluşturun (örn. "GuestWiFi"). Ayarlar:

• Enable Captive Portal: İşaretleyin.
• Interfaces: GUEST arayüzünü seçin.
• Maximum concurrent connections: Eş zamanlı kullanıcı sayısı (örn. 500).
• Idle timeout: 30 dakika (kullanıcı pasif kalırsa oturumu kapat).
• Hard timeout: 480 dakika (8 saat) — maksimum oturum süresi.
• Authentication: "No Authentication" (kullanıcı sadece şartları kabul edecek) veya "Local User Manager" (pfSense içinde tanımlı kullanıcılar) seçebilirsiniz. 5651 uyumluluğu için mutlaka kimlik doğrulama yapmalısınız — en azından telefon numarası + SMS onayı veya oda numarası + soyad gibi bir yöntem kullanın.
• HTML Page Contents: Özel captive portal sayfanızı yükleyin (logo, kullanım şartları metni, KVKK aydınlatma metni).

Kaydedin ve zone'u aktif edin. Artık misafir ağına bağlanan cihazlar otomatik olarak captive portal sayfasına yönlendirilecektir.

pfSense Loglarını 5651 Uyumlu Hale Getirme

Syslog Yapılandırması ve Harici Log Sunucusu

pfSense varsayılan olarak logları /var/log/ dizininde tutar ancak bu loglar yeniden başlatmada silinir ve BTK standartlarını karşılamaz. Status → System Logs → Settings menüsünden:

• Enable Remote Logging kutusunu işaretleyin.
• Remote log servers: Harici syslog sunucunuzun IP adresini ve portunu girin (örn. 192.168.1.50:514).
• Remote Syslog Contents: "Everything" seçeneğini işaretleyin (firewall, DHCP, Captive Portal dahil tüm loglar gönderilsin).

Ancak pfSense Captive Portal logları kullanıcı kimlik bilgisi, MAC adresi, atanan IP, giriş-çıkış zamanı gibi 5651 gereksinimleri için yeterli detayı içermez. Bu nedenle captive portal sayfasına özel bir form entegre ederek kullanıcı bilgilerini (ad-soyad, telefon, TC kimlik no) toplamalı ve bu verileri harici bir veritabanına veya bulut tabanlı 5651 hotspot çözümüne POST etmelisiniz.

Bulut Tabanlı 5651 Loglama Entegrasyonu

NextLog5651 gibi bulut tabanlı platformlar, pfSense syslog akışını alır, kullanıcı kimlik verisi ile eşleştirir, zaman damgası ekler ve yasal formatta (CSV, JSON) saklar. Entegrasyon adımları:

1. NextLog5651 panelinden yeni bir "Site" tanımlayın ve benzersiz bir Syslog Token alın.
2. pfSense Remote log servers alanına NextLog5651 syslog endpoint'ini girin: syslog.nextlog5651.com:514 (veya TLS için 6514).
3. Captive portal sayfanıza NextLog5651 JavaScript snippet'ini ekleyin — kullanıcı formu doldurduğunda veriler API üzerinden platforma gönderilir.
4. NextLog5651 panelinde kullanıcı oturumlarını, bağlantı sürelerini, trafik özetini gerçek zamanlı görüntüleyin ve BTK raporu tek tıkla indirin.

pfSense vs MikroTik: Hotspot 5651 Karşılaştırması

Her iki platform da 5651 uyumluluğu için harici bir çözüm gerektirir. pfSense daha esnek firewall özellikleri sunarken, MikroTik hotspot yönetimi ve bant genişliği kontrolünde daha kullanıcı dostudur. Ancak her ikisi de NextLog5651 gibi bir bulut platformu ile entegre edildiğinde tam uyumluluk sağlar.

pfSense Hotspot 5651 Kontrol Listesi

• ✅ NTP senkronizasyonu aktif mi? Status → NTP menüsünden kontrol edin, zaman farkı 1 saniyeden az olmalı.
• ✅ Captive Portal zone tanımlı ve GUEST arayüzüne bağlı mı?
• ✅ Kullanıcı kimlik doğrulama yöntemi seçildi mi? (Local User, RADIUS, SMS onayı vb.)
• ✅ Remote syslog sunucusu yapılandırıldı mı? Test için logger -p local0.info "Test log from pfSense" komutunu SSH üzerinden çalıştırın ve uzak sunucuda logların geldiğini doğrulayın.
• ✅ Captive portal sayfasında KVKK aydınlatma metni var mı? Kullanıcıdan açık rıza alınıyor mu?
• ✅ Kullanıcı oturum logları harici veritabanına veya bulut platformuna kaydediliyor mu? pfSense'in kendi logları yeterli değildir.
• ✅ Firewall kuralları misafir ağını ana ağdan izole ediyor mu? Firewall → Rules → GUEST sekmesinden sadece internet erişimine izin verin, LAN kaynaklarına erişimi engelleyin.
• ✅ Yedekleme planı var mı? Diagnostics → Backup & Restore menüsünden düzenli config yedekleri alın ve harici bir konumda saklayın.

Yaygın Hatalar ve Çözümleri

1. Kullanıcılar Captive Portal Sayfasına Yönlendirilmiyor

Sebep: DHCP sunucusu DNS ayarlarını doğru vermiyor veya firewall kuralları captive portal trafiğini engelliyor.
Çözüm: Firewall → Rules → GUEST sekmesinde en üstte "allow captive portal" kuralının olduğundan emin olun. Ayrıca Services → DHCP Server → GUEST bölümünde DNS sunucusu olarak pfSense'in kendi IP'sini (10.99.0.1) girin.

2. Loglar Harici Sunucuya Gitmiyor

Sebep: Syslog portu (514 UDP) firewall tarafından bloke ediliyor veya uzak sunucu erişilebilir değil.
Çözüm: pfSense terminalinden nc -u -z 192.168.1.50 514 komutu ile syslog sunucusuna erişimi test edin. Eğer bağlantı başarısızsa, Firewall → Rules → WAN veya LAN kurallarını kontrol edin ve gerekirse syslog trafiği için özel kural ekleyin.

3. Zaman Damgası Yanlış veya Tutarsız

Sebep: NTP sunucusu ile senkronizasyon yok veya timezone yanlış ayarlanmış.
Çözüm: Status → NTP menüsünden NTP durumunu kontrol edin. "Synced" yazmalı. Eğer "Unsynced" ise Services → NTP bölümünden NTP sunucularını yeniden ekleyin ve pfSense'i yeniden başlatın.

pfSense Hotspot Performans İpuçları

• Donanım seçimi: Eş zamanlı 100+ kullanıcı için en az Intel Celeron J4125 veya üzeri işlemci, 4 GB RAM, 32 GB SSD önerin. Netgate SG-3100 veya Protectli VP2420 gibi hazır appliance'lar da iyi seçeneklerdir.
• Traffic Shaper: Misafir ağında bant genişliği sınırı koymak için Firewall → Traffic Shaper menüsünden HFSC veya CBQ algoritması ile kuyruk tanımlayın. Örneğin her kullanıcıya 2 Mbps download, 1 Mbps upload garantisi verin.
• DNS önbellekleme: Services → DNS Resolver bölümünden Unbound DNS Resolver'ı etkinleştirin ve cache boyutunu artırın (örn. 10 MB). Bu, tekrarlayan DNS sorgularını hızlandırır.
• SSL sertifikası: Captive portal sayfasına özel domain (örn. portal.otelim.com) tanımlayın ve Let's Encrypt sertifikası yükleyin. Böylece kullanıcılar "güvensiz bağlantı" uyarısı almaz.

Sonuç ve Öneriler

pfSense, doğru yapılandırıldığında güçlü, esnek ve maliyet etkin bir hotspot çözümü sunar. Ancak 5651 sayılı kanuna tam uyumluluk için pfSense'in varsayılan özellikleri yeterli değildir — mutlaka harici bir syslog sunucusu veya bulut tabanlı loglama platformu entegre etmelisiniz. Kullanıcı kimlik doğrulama, zaman damgası, MAC-IP eşleştirme, merkezi saklama ve BTK raporu gibi gereksinimleri karşılamak için NextLog5651 Hotspot Çözümleri gibi özel platformlar bu süreci otomatikleştirir ve hukuki riskleri ortadan kaldırır.

Eğer otel, kafe, AVM veya kamu kurumunda pfSense hotspot işletiyorsanız ve 5651 uyumluluğundan emin değilseniz, bugün NextLog5651 uzmanlarıyla iletişime geçin. Ücretsiz demo hesabı ile mevcut pfSense altyapınızı test edin, gerçek zamanlı log akışını görün ve BTK denetimine hazır raporları inceleyin. Yasal yükümlülüklerinizi yerine getirmek için tek bir entegrasyon yeterli — geri kalan