MikroTik’te CAPsMAN kurulumu

Bir binada birden çok erişim noktası olduğunda her birini ayrı ayrı ayarlamak hem zaman alır hem de hataya açıktır. CAPsMAN (Controlled Access Point system Manager), MikroTik’in merkezi kablosuz yönetim özelliğidir: Tüm erişim noktaları ayarlarını tek bir router’dan alır, SSID ve şifre tek yerden değişir ve kullanıcılar bağlantıları kopmadan erişim noktaları arasında dolaşır.

Bu makalede RouterOS 7’de 10 adet cAP ax (Wi-Fi 6) için CAPsMAN kuruyor ve iki SSID oluşturuyoruz: biri çalışanlar, biri misafirler için. Her SSID’nin trafiği MikroTik router’dan Cisco switch üzerinden erişim noktalarına kadar ayrı bir VLAN’da taşınır; yani misafirlerin iç ağa hiçbir yolu yoktur.

Önemli not: eski CAPsMAN mı, yeni mi?

MikroTik’in iki CAPsMAN’i vardır ve hataların çoğu burada yapılır:

• Eski CAPsMAN (/caps-man menüsü): wireless sürücülü eski Wi-Fi 4 ve 5 cihazlar için.
• Yeni CAPsMAN (/interface wifi capsman menüsü): cAP ax gibi tüm Wi-Fi 6 cihazlar dahil, wifi sürücülü yeni cihazlar için.

cAP ax yalnızca yeni CAPsMAN ile yönetilir. Eski rehberlerdeki /caps-man komutları bu cihazda işe yaramaz.

Senaryo ve VLAN planı

• MikroTik router (örneğin RB5009 ya da RouterOS 7’li bir CCR): CAPsMAN yöneticisi, üç VLAN’ın ağ geçidi ve DHCP sunucusu. ether1 portu internete, ether2 portu Cisco switch’e bağlı.
• Cisco PoE switch (Catalyst serisi): Gi1/0/1 portu router’a, Gi1/0/2–Gi1/0/11 portları on adet cAP ax’e.
• Enerjisini PoE switch’ten alan 10 adet cAP ax.

Üç VLAN var:

• VLAN 10 (çalışanlar): Company adlı SSID, ağ 192.168.10.0/24
• VLAN 20 (misafir): Company-Guest adlı SSID, ağ 192.168.20.0/24, yalnızca internet erişimi
• VLAN 99 (erişim noktası yönetimi): ağ 192.168.99.0/24; cAP ax’ler adreslerini bu ağdan alır ve CAPsMAN ile burada iletişim kurar

Erişim noktası portlarında VLAN 99 etiketsiz (native), VLAN 10 ve 20 etiketli geçer. Tüm cihazlar aynı RouterOS 7 sürümünü kullanmalı ve cAP ax’lerde wifi-qcom paketi kurulu olmalıdır.

Birinci bölüm: MikroTik router’da VLAN’lar

Router Router on a Stick yöntemiyle çalışır: Cisco switch’in trunk’ına bağlı ether2 portu üzerinde üç VLAN arayüzü.

1. VLAN arayüzleri ve adresler

/interface vlan add name=vlan10-staff interface=ether2 vlan-id=10
/interface vlan add name=vlan20-guest interface=ether2 vlan-id=20
/interface vlan add name=vlan99-mgmt interface=ether2 vlan-id=99
/ip address add address=192.168.10.1/24 interface=vlan10-staff
/ip address add address=192.168.20.1/24 interface=vlan20-guest
/ip address add address=192.168.99.1/24 interface=vlan99-mgmt

ether2 varsayılan bridge’in üyesiyse önce onu bridge’den çıkarın.

2. Her VLAN için DHCP

/ip pool add name=pool-staff ranges=192.168.10.100-192.168.10.250
/ip pool add name=pool-guest ranges=192.168.20.100-192.168.20.250
/ip pool add name=pool-mgmt ranges=192.168.99.100-192.168.99.150
/ip dhcp-server add name=dhcp-staff interface=vlan10-staff address-pool=pool-staff
/ip dhcp-server add name=dhcp-guest interface=vlan20-guest address-pool=pool-guest lease-time=2h
/ip dhcp-server add name=dhcp-mgmt interface=vlan99-mgmt address-pool=pool-mgmt
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1
/ip dhcp-server network add address=192.168.99.0/24 gateway=192.168.99.1 dns-server=192.168.99.1

DHCP ayrıntıları MikroTik router’da DHCP sunucusu kurulumu makalesinde.

3. Misafirleri güvenlik duvarıyla ayırma

Misafirler yalnızca internete çıkmalı; iç ağlara ve router’ın kendisine (DNS ve DHCP dışında) erişmemelidir. Bu kuralları genel accept kurallarının üstüne koyun:

/ip firewall filter add chain=input in-interface=vlan20-guest protocol=udp dst-port=53,67 action=accept comment="Guest: DNS and DHCP"
/ip firewall filter add chain=input in-interface=vlan20-guest protocol=tcp dst-port=53 action=accept comment="Guest: DNS over TCP"
/ip firewall filter add chain=input in-interface=vlan20-guest action=drop comment="Guest: no access to router"
/ip firewall filter add chain=forward in-interface=vlan20-guest out-interface=!ether1 action=drop comment="Guest: internet only"

ether1 (internet) üzerindeki masquerade kuralı üç VLAN için de yeterlidir.

İkinci bölüm: Cisco switch

1. VLAN’ları oluşturma

vlan 10
 name STAFF
vlan 20
 name GUEST
vlan 99
 name AP-MGMT

2. Router portu (trunk)

interface GigabitEthernet1/0/1
 description Uplink to MikroTik
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99

3. Erişim noktası portları

cAP ax yönetimi için etiketsiz (native) VLAN 99, iki SSID için etiketli VLAN 10 ve 20:

interface range GigabitEthernet1/0/2 - 11
 description cAP ax
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99
 spanning-tree portfast trunk
 power inline auto

Bazı eski Catalyst modellerinde switchport mode trunk’tan önce switchport trunk encapsulation dot1q komutu da gerekir.

Çalışanların kablolu bilgisayar portlarını VLAN 10’da access yapın:

interface range GigabitEthernet1/0/12 - 24
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast

Sonunda write memory komutunu çalıştırın.

Üçüncü bölüm: Router’da CAPsMAN yapılandırması

Aşağıdaki ayarların tamamına Winbox’ta WiFi menüsündeki Channels, Security, Datapath, Configurations, Provisioning ve CAPsMAN sekmelerinden de ulaşabilirsiniz.

1. Kanal profilleri

/interface wifi channel add name=ch-2g band=2ghz-ax width=20mhz frequency=2412,2437,2462
/interface wifi channel add name=ch-5g band=5ghz-ax width=20/40mhz

• 2,4 GHz’de yalnızca 1, 6 ve 11. kanallara izin verin; bu üç kanal çakışmaz.
• 5 GHz’de tek binada 10 erişim noktasıyla 40 MHz genişlik genellikle 80’den iyidir.

2. İki güvenlik profili

/interface wifi security add name=sec-staff authentication-types=wpa2-psk,wpa3-psk passphrase="Str0ng-Staff-Pass" ft=yes ft-over-ds=yes
/interface wifi security add name=sec-guest authentication-types=wpa2-psk,wpa3-psk passphrase="Guest-WiFi-Pass"

ft=yes, çalışanların erişim noktaları arasında hızlı dolaşması için 802.11r standardını etkinleştirir. Uzun şifreler seçin ve bu makaledeki örnekleri kullanmayın.

3. İki datapath: her SSID kendi VLAN’ında

Bu bölümdeki en önemli ayar budur: Datapath, her SSID’nin trafiğinin erişim noktasından hangi VLAN ID ile çıkacağını belirler.

/interface wifi datapath add name=dp-staff bridge=bridge vlan-id=10
/interface wifi datapath add name=dp-guest bridge=bridge vlan-id=20

bridge, cAP ax üzerindeki bridge’in adıdır (dördüncü bölüm). Trafik yerel olarak (local forwarding) aynı erişim noktasından VLAN etiketiyle switch’e girer ve o VLAN’ın ağ geçidi olan router’dan geçer.

4. Configuration’lar

Çalışan SSID’si için iki ana configuration (her bant için bir tane) ve misafir SSID’si için bir configuration:

/interface wifi configuration add name=cfg-staff-2g ssid="Company" country="Turkey" channel=ch-2g security=sec-staff datapath=dp-staff
/interface wifi configuration add name=cfg-staff-5g ssid="Company" country="Turkey" channel=ch-5g security=sec-staff datapath=dp-staff
/interface wifi configuration add name=cfg-guest ssid="Company-Guest" security=sec-guest datapath=dp-guest

country değerini cihazların kurulduğu ülke yapın; izin verilen kanallar ve güç buna göre belirlenir. Ülkenin tam adını görmek için terminalde Tab tuşuna basın.

5. CAPsMAN’i etkinleştirme

/interface wifi capsman set enabled=yes interfaces=vlan99-mgmt upgrade-policy=suggest-same-version

CAPsMAN erişim noktalarına yalnızca yönetim ağından (VLAN 99) yanıt verir; çalışan ya da misafir ağından vermez.

6. Provisioning

Çalışan SSID’si master, misafir SSID’si slave (aynı radyodaki ikinci sanal arayüz) olarak:

/interface wifi provisioning add action=create-dynamic-enabled supported-bands=2ghz-ax master-configuration=cfg-staff-2g slave-configurations=cfg-guest
/interface wifi provisioning add action=create-dynamic-enabled supported-bands=5ghz-ax master-configuration=cfg-staff-5g slave-configurations=cfg-guest

Bu iki kuralla ağa bağlanan her cAP ax, iki SSID’yi iki bantta da otomatik yayınlar.

Dördüncü bölüm: cAP ax’lerin hazırlanması

10 cihazın tamamı CAP modunda olmalı ve iki SSID’nin trafiğinin switch’e doğru etiketle ulaşması için bridge’lerinde VLAN Filtering açık olmalıdır. Bu ayarı Winbox’la (MAC üzerinden bağlanarak) ya da konsol kablosuyla yapın; VLAN Filtering’i açmak IP bağlantısını kısa süre kesebilir.

/interface bridge add name=bridge vlan-filtering=yes
/interface bridge port add bridge=bridge interface=ether1
/interface bridge vlan add bridge=bridge vlan-ids=10,20 tagged=ether1
/ip dhcp-client add interface=bridge
/interface wifi cap set enabled=yes discovery-interfaces=bridge
/system identity set name=cap-floor1-01

• ether1, Cisco switch’e bağlı porttur.
• Porttaki etiketsiz trafik (switch’teki VLAN 99) cihazın kendisi içindir; cAP ax 192.168.99.0/24 ağından DHCP ile adres alır ve CAPsMAN’i bulur.
• VLAN 10 ve 20, ether1 üzerinde etiketli olarak izinlidir; radyolar datapath’te belirlenen VLAN ID ile bu bridge’e bağlanır.
• Her cihaza açık bir ad verin ki CAPsMAN listesinde tanınabilsin.

Cihazlar varsayılan yapılandırma ve 192.168.88.1 adresiyle geliyorsa, ağda birden çok DHCP sunucusu oluşmaması için ana ağa bağlamadan önce tek tek sıfırlayın.

Beşinci bölüm: Kontrol

Router’da:

/interface wifi capsman remote-cap print
/interface wifi print
/interface wifi registration-table print
/ip dhcp-server lease print

• remote-cap’te Ok durumunda 10 cihaz görmelisiniz.
• Her cihaz için dört dinamik arayüz oluşur: iki radyo ve her radyoda iki SSID.
• Company’ye bağlanan telefon 192.168.10.x, Company-Guest’e bağlanan telefon 192.168.20.x adresi almalıdır.

Cisco switch’te:

show vlan brief
show interfaces trunk
show power inline

show interfaces trunk çıktısında Gi1/0/1–Gi1/0/11 portları VLAN 10, 20 ve 99 ile görünmeli, show power inline çıktısında her cAP ax enerji almış olmalıdır.

Son olarak misafir ağına bağlı bir telefondan 192.168.10.1’e ping atın; yanıt gelmemeli, ama internet çalışmalıdır.

10 erişim noktası için kanal ve güç planlaması

• Gücü düşürün. Tam güç, telefonların uzaktaki erişim noktasına yapışmasına ve geç dolaşmasına yol açar. Configuration’da tx-power ile gücü en yüksek değerin altına ayarlayın ve yerinde test edin.
• Komşu erişim noktaları aynı kanalı kullanmasın. Otomatik seçim iyi sonuç vermezse her erişim noktasına sabit kanal atayın.
• SSID sayısını artırmayın. Her ek SSID her radyoya yönetim yükü ekler; çoğu kurum için iki SSID yeterlidir.
• Yerleşim ayardan daha önemlidir: Erişim noktasını beton kolonların arkasına, metal asma tavanın içine ya da kabinin yanına koymayın.

Sorun giderme

• cAP ax remote-cap’te görünmüyor: Cisco portunun native VLAN’ı 99 değil, vlan99-mgmt üzerinde DHCP çalışmıyor ya da CAPsMAN başka bir arayüzde etkinleştirilmiş.
• SSID görünüyor ama kullanıcı adres alamıyor: VLAN, erişim noktası portunun ya da router portunun switchport trunk allowed vlan listesinde yok veya cAP ax’te bridge vlan tablosunda ether1 etiketli değil.
• Çalışan misafir adresi alıyor ya da tersi: İki datapath’in vlan-id değerleri yer değiştirmiş.
• Misafir iç ağa erişebiliyor: Misafir güvenlik duvarı kuralları accept kurallarının altında kalmış; sırayı düzeltin.
• VLAN Filtering açıldıktan sonra cAP’e bağlantı koptu: Winbox ile MAC üzerinden bağlanın ve bridge vlan tablosunu kontrol edin.
• Komutlar hata veriyor: Eski /caps-man menüsünü kullandınız ya da RouterOS sürümü eski.

Yeni CAPsMAN ile on cAP ax tek yerden yönetilir; çalışan ve misafir SSID’leri, her biri kendi VLAN’ında, erişim noktasından Cisco switch’e ve MikroTik router’a kadar ayrı kalır. Üç şeyin uyumlu olması gerekir: datapath’teki vlan-id, Cisco trunk’ında izin verilen VLAN’lar ve cAP ax bridge’indeki VLAN Filtering. MikroTik ile merkezi kablosuz uygulamalarının örneklerini Golrokh Teb görüntüleme merkezi ve Energy Gostaran Mottahed binası projelerinde görün. Cisco switch’te VLAN ayarları için Cisco switch’te VLAN ve VTP, router güvenliği için MikroTik ile ağ güvenliği makalelerini okuyun.