RADIUS Server Nedir? 5651 Loglama

RADIUS Server Nedir ve 5651 Sayılı Kanun Kapsamında Neden Kritik Öneme Sahiptir?

RADIUS (Remote Authentication Dial-In User Service), ağ erişim kontrol protokolü olarak 1991 yılında geliştirilmiş ve günümüzde kurumsal WiFi, VPN, hotspot hizmetleri ve ISP altyapılarında kimlik doğrulama, yetkilendirme ve hesap yönetimi (AAA - Authentication, Authorization, Accounting) için endüstri standardı haline gelmiş bir protokoldür. Türkiye'de 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında, internet erişimi sağlayan tüm işletmeler kullanıcı erişim kayıtlarını yasal sürelerde saklamakla yükümlüdür. RADIUS sunucuları, bu yükümlülüğün teknik altyapısını oluşturan en kritik bileşenlerden biridir çünkü her kullanıcının kimlik doğrulama işlemi, oturum başlangıç-bitiş zamanları, atanan IP adresleri ve veri tüketim bilgileri RADIUS accounting kayıtlarında zaman damgalı olarak tutulur.

Özellikle otel, AVM, kafe, havalimanı gibi misafir WiFi hizmeti sunan işletmeler ile üniversite, hastane, kamu kurumu gibi kurumsal ağ sağlayıcıları, RADIUS tabanlı hotspot sistemleri üzerinden kullanıcı kimlik tespiti yapmak zorundadır. 5651 mevzuatına göre, erişim sağlayıcılar kullanıcının adı-soyadı, TC kimlik numarası, bağlantı tarihi-saati, atanan IP adresi, MAC adresi ve oturum süresi gibi bilgileri en az 1 yıl boyunca saklamalıdır. Bu verilerin eksik, tutarsız veya erişilemez olması durumunda işletme, BTK denetimleri sırasında 5.000 TL ile 100.000 TL arasında değişen idari para cezalarıyla karşılaşabilir. RADIUS sunucusunun doğru yapılandırılması ve log kayıtlarının güvenli, erişilebilir biçimde arşivlenmesi, hem yasal uyumluluğun hem de olası adli süreçlerde delil sunabilme yeteneğinin temelidir.

RADIUS Protokolünün Çalışma Mantığı: AAA Üçlüsü ve Accounting Kayıtları

RADIUS mimarisi, istemci-sunucu modelinde çalışır ve üç temel işlevi yerine getirir: Authentication (Kimlik Doğrulama), Authorization (Yetkilendirme) ve Accounting (Hesap Yönetimi/Loglama). Bir kullanıcı kurumsal WiFi ağına bağlanmak istediğinde, erişim noktası (Access Point - AP) veya ağ cihazı (NAS - Network Access Server) RADIUS istemcisi olarak görev yapar ve kullanıcı kimlik bilgilerini (kullanıcı adı, şifre, SMS kodu, sosyal medya OAuth token'ı vb.) RADIUS sunucusuna UDP 1812 portu üzerinden gönderir. RADIUS sunucusu, bu bilgileri kendi veritabanı, LDAP dizini veya harici kimlik sağlayıcılarla (Active Directory, Google Workspace, sosyal medya API'leri) karşılaştırarak Access-Accept veya Access-Reject yanıtı döner.

Yetkilendirme aşamasında, RADIUS sunucusu kullanıcıya hangi VLAN'a atanacağı, bant genişliği limiti, oturum süresi gibi politikaları iletir. Ancak 5651 loglama açısından en kritik süreç Accounting aşamasıdır. Kullanıcı başarıyla kimlik doğrulamasını geçip ağa bağlandığında, NAS cihazı RADIUS sunucusuna UDP 1813 portu üzerinden Accounting-Start paketi gönderir. Bu pakette kullanıcı adı, atanan IP adresi (Framed-IP-Address), MAC adresi (Calling-Station-Id), NAS cihazının kimliği (NAS-Identifier), oturum kimliği (Acct-Session-Id) ve bağlantı zamanı (Event-Timestamp) gibi bilgiler bulunur. Kullanıcı oturumunu sonlandırdığında veya belirli aralıklarla (Interim-Update), NAS cihazı Accounting-Stop veya Interim-Update paketleri göndererek toplam veri kullanımı (Acct-Input-Octets, Acct-Output-Octets), oturum süresi (Acct-Session-Time) ve sonlanma nedeni (Acct-Terminate-Cause) bilgilerini iletir.

RADIUS accounting kayıtları, genellikle düz metin log dosyaları (FreeRADIUS'ta radacct tablosu, detail dosyaları) veya SQL veritabanlarında (MySQL, PostgreSQL, MSSQL) saklanır. 5651 uyumluluğu için bu kayıtların zaman damgası UTC+3 (Türkiye saati) formatında, bütünlük korumalı (hash veya dijital imza ile) ve yetkisiz erişime karşı şifrelenmiş olması gerekir. NextLog5651 gibi bulut tabanlı çözümler, RADIUS sunucusundan gelen accounting verilerini gerçek zamanlı olarak merkezi bulut altyapısına aktarır, otomatik yedekleme ve KVKK uyumlu erişim kontrolü sağlar.

5651 Sayılı Kanun ve RADIUS Log Saklama Yükümlülükleri

5651 sayılı kanunun 4. maddesi ve Erişim Sağlayıcılar Yönetmeliği, internet erişimi sağlayan her türlü işletmenin kullanıcı trafik kayıtlarını belirli sürelerde saklamasını zorunlu kılar. Kanun kapsamında erişim sağlayıcı tanımı, sadece ISP'leri değil, misafir WiFi hizmeti sunan otel, AVM, kafe, restoran, havalimanı, üniversite, hastane gibi tüm kurum ve kuruluşları kapsar. RADIUS sunucusu, bu yükümlülüğün teknik omurgasını oluşturur çünkü her kullanıcının ağa giriş-çıkış zamanları, kimlik bilgileri ve IP atamaları RADIUS accounting loglarında detaylı biçimde tutulur.

Yasal saklama süreleri şu şekildedir:

• Trafik bilgileri (IP atama, oturum süreleri, veri tüketimi): En az 1 yıl
• Kullanıcı kimlik bilgileri (ad-soyad, TC kimlik no, pasaport no, telefon, e-posta): En az 1 yıl
• İçerik verileri (web sitesi URL'leri, DNS sorguları): Kanun kapsamında zorunlu değil, ancak BTK talep ederse sunulmalı
• Firewall/router syslog kayıtları: 5651 kapsamında 1 yıl, KVKK ve ISO 27001 standartlarına göre 2 yıla kadar uzatılabilir

RADIUS accounting kayıtlarında mutlaka bulunması gereken alanlar:

• User-Name: Kullanıcının kimlik doğrulama sırasında kullandığı benzersiz tanımlayıcı (TC kimlik no, telefon numarası, e-posta, oda numarası vb.)
• Framed-IP-Address: Kullanıcıya atanan özel veya genel IPv4 adresi
• Calling-Station-Id: Kullanıcının cihaz MAC adresi (örn. AA:BB:CC:DD:EE:FF)
• NAS-IP-Address / NAS-Identifier: Erişim noktasının IP adresi veya benzersiz adı (örn. lobby-ap-01)
• Acct-Session-Id: Oturum için benzersiz kimlik (örn. 8F3A2B1C)
• Event-Timestamp / Acct-Start-Time / Acct-Stop-Time: Oturum başlangıç ve bitiş zamanları (Unix epoch veya ISO 8601 formatında)
• Acct-Session-Time: Toplam oturum süresi (saniye cinsinden)
• Acct-Input-Octets / Acct-Output-Octets: İndirilen ve yüklenen veri miktarı (byte)
• Acct-Terminate-Cause: Oturum sonlanma nedeni (User-Request, Idle-Timeout, Admin-Reset vb.)

Bu bilgilerin eksik veya yanlış kaydedilmesi, BTK denetimleri sırasında işletme faaliyetinin durdurulması ve cezai yaptırımlar ile sonuçlanabilir. Özellikle otel işletmelerinde, misafir check-in sırasında alınan TC kimlik numarası veya pasaport bilgisinin RADIUS User-Name alanıyla eşleştirilmesi, PMS (Property Management System) entegrasyonu ile otomatikleştirilmelidir. Opera, Elektraweb, Amonra gibi otel yazılımları, NextLog5651 hotspot modülü ile entegre edilerek misafir bilgileri gerçek zamanlı RADIUS sunucusuna aktarılabilir ve oda numarası bazlı otomatik internet erişimi sağlanabilir.

RADIUS Sunucu Türleri: Bulut Tabanlı vs Lokal Appliance Karşılaştırması

İşletmeler RADIUS altyapısını kurarken iki temel mimari arasında seçim yapar: bulut tabanlı (cloud-hosted) RADIUS servisleri veya lokal (on-premise) appliance/yazılım çözümleri. Her iki yaklaşımın da avantaj ve dezavantajları vardır; ancak 5651 loglama ve KVKK uyumluluğu açısından bulut tabanlı çözümler, özellikle çok şubeli işletmeler ve teknik ekip eksikliği olan KOBİ'ler için belirgin üstünlükler sunar.

NextLog5651 bulut RADIUS çözümü, FortiGate, Sophos XG/XGS, MikroTik RouterOS, SonicWall, Cisco, Aruba, Ubiquiti UniFi gibi tüm endüstri standardı NAS cihazlarıyla uyumludur. Kurulum sırasında sadece NAS cihazının yönetim arayüzünde RADIUS sunucu IP adresi (bulut endpoint), shared secret (paylaşılan anahtar) ve accounting portları yapılandırılır. Kullanıcı kimlik doğrulama ve accounting trafiği, güvenli TLS tüneli veya IPsec VPN üzerinden bulut altyapısına iletilir. Bulut RADIUS sunucusu, gelen accounting kayıtlarını gerçek zamanlı olarak işler, zaman damgası ekler, veritabanına yazar ve aynı anda yedekleme sistemine replike eder. İşletme yöneticileri, web tabanlı kontrol panelinden tüm lokasyonların canlı kullanıcı listesini, geçmiş oturum kayıtlarını, veri tüketim istatistiklerini ve BTK uyumlu raporları tek tıkla görüntüleyebilir ve dışa aktarabilir.

RADIUS Sunucusu ile Firewall/Router Syslog Entegrasyonu: Tam 5651 Uyumluluğu

5651 sayılı kanunun tam uyumluluğu için sadece RADIUS accounting kayıtları yeterli değildir; aynı zamanda firewall ve router seviyesinde trafik logları da tutulmalıdır. RADIUS sunucusu kullanıcının kimliğini doğrular ve IP adresini atar, ancak kullanıcının hangi web sitelerine eriştiği, hangi portları kullandığı, hangi protokollerle iletişim kurduğu bilgisi firewall/router syslog kayıtlarında yer alır. Bu iki veri kaynağının birleştirilmesi, adli makamların talep ettiği "belirli bir zamanda X IP adresini kullanan kişi kimdir ve ne yaptı?" sorusuna eksiksiz yanıt verebilmeyi sağlar.

Örnek bir entegrasyon senaryosu:

1. Kullanıcı Kimlik Doğrulama: Otel misafiri, oda numarası ve TC kimlik numarası ile captive portal üzerinden giriş yapar. RADIUS sunucusu, PMS entegrasyonu ile kimlik bilgilerini doğrular ve kullanıcıya 192.168.100.50 IP adresini atar. Accounting-Start paketi RADIUS loguna kaydedilir: User-Name=12345678901, Framed-IP-Address=192.168.100.50, Calling-Station-Id=AA:BB:CC:DD:EE:FF, Event-Timestamp=2025-01-15T14:32:18+03:00.
2. Firewall Trafik Loglama: Misafir, 192.168.100.50 IP adresiyle internette gezinmeye başlar. FortiGate firewall, her bağlantı için syslog kaydı üretir: src=192.168.100.50 dst=93.184.216.34 dstport=443 proto=TCP action=accept app=HTTPS url=example.com timestamp=2025-01-15T14:33:05+03:00.
3. Log Korelasyonu: NextLog5651 platformu, RADIUS accounting ve firewall syslog kayıtlarını IP adresi ve zaman damgası üzerinden otomatik olarak eşleştirir. Adli talep geldiğinde, sistem "2025-01-15 14:33:05 tarihinde example.com adresine erişen kişi TC: 12345678901, Oda: 305" bilgisini saniyeler içinde raporlar.
4. Oturum Sonlandırma: Misafir check-out yaptığında veya oturum süresi dolduğunda, RADIUS Accounting-Stop paketi gelir: Acct-Session-Time=7200, Acct-Input-Octets=524288000, Acct-Output-Octets=104857600, Acct-Terminate-Cause=User-Request. Toplam 2 saat oturum, 500 MB indirme, 100 MB yükleme bilgisi loglanır.

Bu entegrasyon için NextLog5651, FortiGate, Sophos, MikroTik, SonicWall gibi cihazlardan gelen syslog mesajlarını UDP 514 veya TCP 6514 (TLS şifreli) portlarından kabul eder, cihaz kimliğini otomatik tanır ve log formatını normalize eder. FortiGate cihazlarında config log syslogd setting komutuyla, MikroTik RouterOS'ta /system logging action ile, Sophos XG'de GUI üzerinden Remote Syslog ayarları yapılandırılır. NextLog5651 bulut altyapısı, saniyede binlerce log mesajını işleyebilir, gerçek zamanlı anomali tespiti (anormal veri tüketimi, botnet trafiği, port tarama) yapar ve yöneticileri otomatik uyarır.

Otel ve AVM Sektöründe RADIUS Tabanlı Hotspot Çözümleri: PMS Entegrasyonu

Otel işletmeleri, 5651 loglama yükümlülüğünün yanı sıra misafir deneyimini iyileştirmek ve operasyonel verimliliği artırmak için RADIUS tabanlı hotspot sistemlerini PMS yazılımlarıyla entegre eder. Geleneksel yöntemde, resepsiyon personeli misafire kağıt üzerinde WiFi şifresi verir veya manuel olarak hotspot sistemine kullanıcı adı-şifre tanımlar. Bu yöntem hem zaman kaybına neden olur hem de 5651 uyumluluğu açısından risk taşır çünkü misafir bilgileri ile internet erişim kayıtları arasında tutarlı eşleşme sağlanamayabilir.

NextLog5651 hotspot modülü, Opera PMS, Elektraweb, Amonra, Protel, Fidelio gibi otel yazılımlarıyla gerçek zamanlı API entegrasyonu sunar. Misafir check-in işlemi tamamlandığında, PMS sistemi misafir bilgilerini (ad-soyad, TC kimlik no, pasaport no, oda numarası, check-out tarihi) otomatik olarak RADIUS sunucusuna gönderir. RADIUS sunucusu, bu bilgileri User-Name alanına kaydeder ve misafir için benzersiz bir kimlik doğrulama profili oluşturur. Misafir odasına çıktığında, cihazını WiFi ağına bağlar ve captive portal sayfası açılır. Portal, misafirden sadece oda numarası ve soyadı girmesini ister (veya SMS OTP, QR kod gibi alternatif yöntemler kullanır). RADIUS sunucusu, bu bilgileri PMS'ten aldığı verilerle karşılaştırır ve eşleşme varsa otomatik internet erişimi verir.

PMS entegrasyonunun avantajları:

• Sıfır Manuel İşlem: Resepsiyon personeli WiFi şifresi vermek veya sistem tanımlaması yapmak zorunda kalmaz, check-in süresi kısalır.
• Otomatik 5651 Uyumluluğu: Misafir TC kimlik numarası PMS'ten otomatik çekilir, RADIUS User-Name alanına yazılır, IP atama ve trafik kayıtlarıyla eşleştirilir.
• Oda Bazlı Erişim Kontrolü: Her oda için ayrı VLAN veya bant genişliği politikası uygulanabilir (örn. suit odalar için sınırsız, standart odalar için 5