MikroTik'te Misafir WiFi: Ana Ağdan Tam İzole Konuk Ağı

Misafir cihazlarını ana ağdan ayırmanın en pratik yolu: aynı router üzerinde ayrı bir SSID, ayrı bir subnet ve misafiri yalnız internete çıkaran iki firewall kuralı. VLAN’a, ek donanıma veya hotspot’a çoğu senaryoda gerek yok. Bu yazıda tek MikroTik router ile tam izole bir misafir ağını adım adım kuruyorum; sonunda bant sınırı ve “hotspot gerekir mi” kararı da var.

Varsayım: Router’ınız çalışır durumda ve varsayılan (defconf) firewall’a sahip. Sıfırdan başlıyorsanız önce kurulum rehberine bakın.

Misafir ağı neden ayrı olmalı?

Kısa cevap: Aynı subnet’e bağlanan bir misafir telefonu, ağdaki her şeyi görür. Yazıcı, NAS, IP kamera, ofis bilgisayarları, router’ın yönetim arayüzü; hepsi aynı yayın alanında. Sahada en sık gördüğüm tablo bu: “WiFi şifremizi zaten sadece tanıdıklara veriyoruz” denen ağda, o tanıdığın telefonundaki tek bir zararlı uygulama bütün cihazları tarayabiliyor.

İzolasyonun üç somut kazancı var:

• Misafir cihazındaki zararlı yazılım ana ağdaki cihazlara ulaşamaz
• Misafir, router’ın yönetim arayüzünü (WinBox, web) hiç göremez
• Bant sınırı sayesinde misafir trafiği sizin işinizi yavaşlatamaz

Kurulum planı

Hedef tablo şu; subnet’leri kendi ağınıza göre uyarlayın:

Ağ	SSID	Subnet	LAN erişimi	İnternet
Ana	Ofis	192.168.88.0/24	Tam	Sınırsız
Misafir	Misafir	192.168.90.0/24	Yok	20 Mbps tavan

Dört adım: sanal SSID, subnet + DHCP, firewall, bant sınırı. Hepsi tek router üzerinde, ek donanım yok.

Adım 1: Ayrı SSID (sanal WiFi interface)

Kısa cevap: Yeni bir radyo gerekmiyor; mevcut WiFi interface’inin üzerine master-interface parametresiyle sanal bir interface eklenir, bu interface kendi SSID’sini ve şifresini yayınlar. Sanal interface master ile aynı kanalı kullanır, bu normaldir ve performansı pratikte etkilemez.

Önce misafir için ayrı bir bridge açalım; izolasyonun temeli bu:

/interface bridge
# Misafir trafigi bu bridge'de toplanacak
add name=br-misafir comment="Misafir agi"

Sonra sanal WiFi interface (RouterOS 7, yeni wifi paketi):

/interface wifi
# wifi1 uzerine misafir SSID'si ekle
add master-interface=wifi1 name=wifi-misafir \
    configuration.mode=ap configuration.ssid="Misafir" \
    security.authentication-types=wpa2-psk,wpa3-psk \
    security.passphrase="GucluMisafirSifresi" \
    datapath.bridge=br-misafir \
    datapath.client-isolation=yes \
    disabled=no

Satır satır kritik noktalar:

• datapath.bridge=br-misafir: sanal interface’ler varsayılan olarak master’ın bridge’ine katılır; burada bilinçli olarak misafir bridge’ine yönlendiriyoruz. Bu satır unutulursa izolasyon hiç başlamaz.
• datapath.client-isolation=yes: aynı SSID’deki misafirlerin birbirini görmesini engeller. Firewall bunu yapamaz çünkü misafirler arası trafik router’a hiç uğramaz, bridge içinde kalır.
• Çift bant cihazda (hAP ax serisi gibi) aynı komutu ikinci radyo için tekrarlayın: master-interface=wifi2, aynı SSID ve şifre, aynı datapath.bridge. Hangi radyonun hangi bant olduğunu /interface wifi print gösterir.

RouterOS 6 ve eski wireless paketi notu: Karşılık /interface wireless add master-interface=wlan1 ssid=Misafir security-profile=misafir biçiminde Virtual AP’dir; client izolasyonunun karşılığı default-forwarding=no ayarıdır. Kalan adımlar birebir aynı.

Adım 2: Ayrı subnet ve DHCP

Kısa cevap: Misafir bridge’ine kendi gateway IP’sini verip ayrı bir DHCP sunucusu bağlıyoruz. Misafir cihazlar böylece ana ağdan tamamen farklı bir adres bloğunda çalışır ve DNS olarak router’ı değil genel bir sunucuyu kullanır.

/ip address
# Misafir gateway
add address=192.168.90.1/24 interface=br-misafir

/ip pool
add name=pool-misafir ranges=192.168.90.10-192.168.90.254

/ip dhcp-server
# Kisa lease: misafir gecici, havuzu bosuna isgal etmesin
add name=dhcp-misafir interface=br-misafir \
    address-pool=pool-misafir lease-time=1h

/ip dhcp-server network
add address=192.168.90.0/24 gateway=192.168.90.1 \
    dns-server=1.1.1.1,8.8.8.8

DNS’i bilinçli olarak genel sunuculara verdim. Router’ı DNS yaparsanız misafirin router’a 53 portundan erişmesi gerekir; bu da input zincirinde ek bir izin kuralı demek. Genel DNS ile misafir, router’a hiçbir amaçla dokunmaz.

Adım 3: Firewall ile izolasyon (yalnız internete çıkış)

Kısa cevap: İki forward kuralı yetiyor: misafirden WAN’a izin, misafirden geri kalan her yere engel. br-misafir LAN interface listesine eklenmediği için varsayılan firewall zaten misafirin router yönetimine erişimini (input) kesiyor; biz LAN’a geçişi (forward) kapatıyoruz.

/ip firewall filter
# Misafir -> internet: izin
add chain=forward action=accept \
    in-interface=br-misafir out-interface-list=WAN \
    comment="Misafir -> internet"

# Misafir -> geri kalan her sey: engel
add chain=forward action=drop \
    in-interface=br-misafir \
    comment="Misafir -> LAN yasak"

İki noktaya dikkat:

• Kuralların kendi arasındaki sıra kritik: accept üstte, drop altta. RouterOS kuralları yukarıdan aşağı işler, ilk eşleşen kazanır.
• br-misafir’i LAN interface listesine eklemeyin. Ekleyen, misafire varsayılan konfigürasyonun LAN’a tanıdığı bütün hakları da vermiş olur. En sık gördüğüm kurulum hatası bu.

NAT tarafında ek iş yok: varsayılan masquerade kuralı out-interface-list=WAN ile çalıştığı için misafir subnet’i de internete aynı kuraldan çıkar. Firewall zincirlerinin genel mantığını merak ediyorsanız brute force savunma yazısında daha derine iniyorum.

Adım 4: Bant sınırı (simple queue)

Kısa cevap: Misafir subnet’ini hedef alan tek bir simple queue, tüm misafir trafiğine ortak bir tavan koyar. max-limit değeri hedefe göre upload/download sırasıyla yazılır. Ama önce FastTrack tuzağını çözmek şart, yoksa queue hiç devreye girmez.

Varsayılan konfigürasyondaki FastTrack kuralı, oturmuş bağlantıları hızlandırmak için paketleri firewall’un ve simple queue’ların büyük bölümünün dışına taşır. Misafir trafiği FastTrack’e girerse koyduğunuz limit sessizce çalışmaz. Çözüm, misafir subnet’ini FastTrack’ten hariç tutmak:

/ip firewall filter
# defconf fasttrack kuralini misafir subnet'i haric olacak sekilde daralt
set [find comment~"fasttrack"] \
    src-address=!192.168.90.0/24 dst-address=!192.168.90.0/24

Şimdi limit:

/queue simple
# Tum misafir agina toplam 20M/20M tavan
add name=q-misafir target=192.168.90.0/24 \
    max-limit=20M/20M comment="Misafir bant tavani"

target bir subnet olduğu için bu limit tüm misafirlerin toplamıdır; beş misafir aynı anda indiriyorsa 20 Mbps’i paylaşırlar. Kişi başı adil paylaşım isterseniz PCQ queue tipine geçersiniz; başlangıç senaryosunda toplam tavan çoğu ihtiyacı karşılar. Limitin çalıştığını /queue simple print stats ile veya misafir cihazdan hız testiyle doğrulayın.

Ne zaman hotspot (captive portal) gerekir?

Kısa cevap: Ev ve küçük ofis misafir ağında gerekmez; şifreli SSID + izolasyon yeterlidir. Hotspot, kullanıcıyı bir karşılama sayfasında durdurup kimlik doğrulaması yaptıran ayrı bir sistemdir ve login sayfası, kullanıcı veritabanı, walled garden gibi kendi bakım yükünü getirir.

Karar kutusu: Hotspot kurmalı mıyım?

Şunlardan en az biri sizde varsa evet, hotspot kurun:

• Kullanım koşulları veya karşılama sayfası göstermek zorundasınız
• Voucher, süreli veya kotalı erişim dağıtıyorsunuz (otel, kafe, yurt)
• Kullanıcı bazlı kayıt ve loglama yükümlülüğünüz var (5651 kapsamındaki işletmeler gibi)
• SSID şifresiz olacak ama erişim yine de kontrollü olmalı

Hiçbiri yoksa: bu yazıdaki kurulum yeterli. Hotspot eklemek güvenliği artırmaz, yönetim yükünü artırır.

Hotspot kurmaya karar verirseniz bile bu yazıdaki subnet ve firewall izolasyonu aynen geçerli; hotspot o altyapının üstüne oturur.

Test: izolasyon gerçekten çalışıyor mu?

Kısa cevap: Kurulumu bitirdim demeden önce misafir SSID’sine gerçek bir cihazla bağlanıp şu beş maddeyi işaretleyin. Beşi de geçmiyorsa izolasyon eksiktir.

• Misafir cihaz 192.168.90.x aralığından IP aldı mı?
• Misafirden ana ağdaki bir cihaza ping: timeout olmalı
• Misafirden router yönetimi (192.168.88.1, WinBox/web): erişilememeli
• Misafirden internet: normal açılmalı
• Misafir cihazda hız testi: max-limit değerini aşmamalı

Client isolation açıksa altıncı test: iki misafir cihaz birbirine ping atamamalı.

Sınırlar: bu kurulum nereye kadar yeter?

Kısa cevap: Tek router ve dahili WiFi olduğu sürece bu yapı eksiksiz çalışır. Misafir SSID’sini birden fazla access point’e veya yönetilebilir switch üzerinden uzak noktalara taşımanız gerektiğinde ise sanal interface yetmez, trafiği 802.1Q etiketiyle taşımak gerekir.

O senaryonun tamamını, dört ağlı bir fabrika kurulumu üzerinden VLAN yazısında anlattım: bridge VLAN filtering, trunk/access portlar ve inter-VLAN firewall dahil. Tek cihazlı misafir ağından çok AP’li yapıya geçerken doğal sonraki adım orası.

Misafir ağı, segmentasyonun en kolay ve getirisi en yüksek ilk adımı. Ağınızın tamamı için VLAN planlama, firewall sıkılaştırma veya kurulum desteği gerekiyorsa MikroTik danışmanlık hizmetime göz atabilirsiniz.

Kaynaklar: MikroTik WiFi Docs (2026), Standalone Access Point (2026), Queues (2026), HotSpot Captive Portal (2026)