MikroTik CAPsMAN v2 ile Merkezi Kablosuz Yönetim

Kablosuz ağ büyüdükçe erişim noktalarını tek tek yapılandırmak hem zaman hem de tutarlılık sorunu hâline gelir. Bir erişim noktasında değiştirilen SSID veya şifre, onlarca cihazda ayrı ayrı güncellenmek zorunda kalırsa yapılandırma hataları kaçınılmaz olur. MikroTik'in CAPsMAN çözümü tam bu noktada devreye girer: tüm erişim noktaları tek bir controller üzerinden yönetilir, politika değişiklikleri merkezden dağıtılır.

RouterOS 7.13 ve sonrasında kullanıma sunulan CAPsMAN v2, yeni wifi paketi üzerine kuruludur ve 802.11ax (Wi-Fi 6), WPA3, çoklu bant yönetimi gibi yetenekleri merkezi yönetimle birleştirir. Bu rehberde CAPsMAN v2 mimarisini, controller ve CAP tarafındaki adım adım yapılandırmayı ve saha pratiğine dair ipuçlarını bulacaksınız.

CAPsMAN Nedir, Hangi Sorunu Çözer?

CAPsMAN (Controlled Access Point system Manager), bir MikroTik cihazın controller rolünde çalışarak ağdaki diğer kablosuz cihazları CAP (Controlled Access Point) olarak yönetmesini sağlar. Controller; SSID, güvenlik profili, kanal ayarları, veri yolu (datapath) ve köprüleme kararlarını tanımlar. CAP cihazlar ise yalnızca radyo donanımını ve controller'dan aldıkları yapılandırmayı çalıştırır.

Bu modelin pratik faydaları şunlardır:

• Tek noktadan yönetim: Yeni bir erişim noktası eklendiğinde elle yapılandırma gerekmez, provisioning kuralları devreye girer.
• Tutarlı güvenlik: Şifre değişikliği veya WPA3'e geçiş tüm cihazlarda aynı anda uygulanır.
• Dolaşım (roaming) kolaylığı: Aynı güvenlik profiline bağlı CAP'ler arasında istemci geçişi daha düzenli yönetilir.
• Merkezi izleme: Kayıtlı istemciler, sinyal seviyeleri ve radyo durumu tek arayüzden izlenir.

CAPsMAN v1 ve v2 Arasındaki Temel Farklar

İki sürüm aynı amaç için çalışsa da farklı paketler ve farklı yapılandırma mantığı kullanır. Yeni kurulumlarda v2 tercih edilmelidir.

Önemli bir uyumluluk notu: v2 controller yalnızca wifi paketiyle çalışan CAP'leri yönetir. Elinizde wireless paketli eski erişim noktaları varsa, bunlar v1 controller gerektirir. Karma bir ağda iki yönetim düzlemini aynı anda planlamanız gerekebilir.

Mimari: Controller, CAP ve Provisioning

Controller tarafı

Controller, CAPsMAN servisini çalıştıran ve yapılandırma dağıtan cihazdır. Genellikle çekirdek switch'e veya yönlendiriciye bağlıdır. Kablosuz radyosu olmayan bir router da controller olabilir; bu durumda cihaz yalnızca yönetim düzlemini üstlenir.

CAP tarafı

CAP, controller'ı keşfeder ve kimlik bilgilerini doğruladıktan sonra yapılandırmasını alır. Keşif iki şekilde yapılır: aynı katman-2 yayın alanında otomatik keşif veya CAP tarafında controller IP adresinin elle tanımlanması. Farklı VLAN'larda çalışan CAP'ler için elle tanımlama daha güvenilirdir.

Provisioning kuralları

Provisioning, gelen CAP isteğinin hangi yapılandırmayla eşleşeceğini belirler. Kural; desteklenen bant, model veya kimlik gibi ölçütlere göre eşleşme yapar. Kural sırası önemlidir: ilk eşleşen kural uygulanır.

Kurulum Öncesi Hazırlık

1. Controller cihazda RouterOS 7.13+ ve wifi paketinin kurulu olduğunu doğrulayın.
2. Yönetim için ayrı bir VLAN veya alt ağ planlayın; CAP'ler ile controller aynı yönetim ağında olmalı.
3. Saat ve NTP ayarlarını yapın. Sertifika tabanlı güvenli CAPsMAN kullanacaksanız doğru saat zorunludur.
4. Kanal planını önceden çıkarın; saha içinde kanal değiştirmek kesinti yaratır.

Controller Tarafında Adım Adım Yapılandırma

1. Güvenlik profilini oluşturun

/interface wifi security
add name=sec-kurumsal authentication-types=wpa2-psk,wpa3-psk \
    passphrase=GucluBirParola management-protection=allowed

2. Veri yolu (datapath) tanımlayın

Datapath, kablosuz istemci trafiğinin hangi köprüye (bridge) bağlanacağını belirler. İstemci trafiğini yerel olarak köprülemek çoğu kurulumda en verimli yöntemdir.

/interface wifi datapath
add name=dp-lan bridge=bridge local-forwarding=yes

3. Kanal tanımları

/interface wifi channel
add name=ch-2g band=2ghz-n frequency=2412 width=20mhz
add name=ch-5g band=5ghz-ac frequency=5180 width=20/40/80mhz

4. Yapılandırma (configuration) nesneleri

Configuration nesnesi; SSID, güvenlik, datapath ve kanal bilgisini bir araya getirir.

/interface wifi configuration
add name=cfg-2g ssid=Dincnet-2G security=sec-kurumsal \
    datapath=dp-lan channel=ch-2g country="Turkey"
add name=cfg-5g ssid=Dincnet-5G security=sec-kurumsal \
    datapath=dp-lan channel=ch-5g country="Turkey"

5. CAPsMAN servisini etkinleştirin

/interface wifi capsman
set enabled=yes interfaces=bridge

Sertifika tabanlı kimlik doğrulama kullanacaksanız controller'da bir CA ve controller sertifikası üretip CAP'lere CA'yı dağıtmanız gerekir. Küçük ağlarda keşif + parola yaklaşımı pratikken, çok bina/çok yönetici senaryolarında sertifika kullanımı önerilir.

6. Provisioning kurallarını ekleyin

/interface wifi provisioning
add action=create-dynamic-enabled master-configuration=cfg-5g \
    supported-bands=5ghz-ac,5ghz-ax
add action=create-dynamic-enabled master-configuration=cfg-2g \
    supported-bands=2ghz-n,2ghz-ax

Bant bazlı iki ayrı kural kullanmak, çift radyolu CAP'lerde her radyonun doğru profili almasını sağlar.

CAP Tarafında Yapılandırma

CAP cihazda tek yapılması gereken, servisi açıp controller'ı tanıtmaktır:

/interface wifi cap
set enabled=yes discovery-interfaces=bridge
# veya controller IP'si ile:
/interface wifi cap
set enabled=yes caps-man-addresses=10.10.20.1

CAP cihazın kendi yerel köprüsünde yönetim IP'si bulunmalıdır; aksi hâlde controller'a ulaşamaz. Yönetim VLAN'ı ile servis VLAN'ı ayrıysa, CAP'in yönetim arayüzüne IP verilmesi ve varsayılan ağ geçidinin doğru olması gerekir.

Doğrulama ve Sorun Giderme

Yapılandırma sonrası kayıt tablosunu kontrol edin:

/interface wifi registration-table print
/log print where topics~"capsman"

CAP görünmüyorsa şu sırayı izleyin:

1. CAP ile controller arasında katman-2 erişim var mı, aynı VLAN'da mı?
2. Arada güvenlik duvarı varsa CAPsMAN trafiği için izin tanımlı mı?
3. Saat farkı sertifika doğrulamasını bozuyor mu?
4. CAP'te wifi paketi kurulu mu, controller ile aynı ana sürümde mi?

Yayın Modeli: Local mu, CAPsMAN mı?

Yüksek trafikli kurumsal ağlarda local forwarding genellikle daha iyi sonuç verir. Misafir ağı gibi izolasyon gereken senaryolarda CAPsMAN forwarding merkezi kontrol avantajı sunar.

Donanım Seçimi ve Saha Notları

Controller için kararlı bir güç kaynağı ve yeterli işlem gücü şarttır. MikroTik RB5009UPr+S+OUT Dış Mekan Router yüksek performanslı yönlendirici yapısı ve dış mekân dayanıklılığıyla saha kabinlerinde controller görevini üstlenebilir. Fiber uplink gereken noktalarda MikroTik S-RJ01 RJ45 SFP Modülü ile bakır bağlantıyı SFP portuna taşıyabilir, uzak sahalarda ise MikroTik RBFTC11 Fiber to Copper Converter ile fiber hattı Ethernet'e dönüştürebilirsiniz.

Araç içi veya enerji altyapısının zayıf olduğu noktalarda LTE üzerinden yedek bağlantı kuran MikroTik LtAP LTE6 Kit Dış Mekan LTE Erişim Noktası saha CAP'i olarak değerlendirilebilir. Dış mekân hatlarında yıldırım kaynaklı hasarı azaltmak için MikroTik GESP+PoE-IN Pasif PoE Enjektörlü Parafudr kullanmak iyi bir alışkanlıktır. Uzun Ethernet mesafelerinde gerilim düşümü yaşanıyorsa Mikrotik MT48-480095-11DG 48V 0.95A Güç Kaynağı GPEN gibi daha yüksek gerilimli adaptörler pasif PoE hatlarında dengeyi korur. Ekipman odasında düzenli bir kabin için MikroTik SR-10U 10U Masaüstü Rack 19 inç Alüminyum pratik bir çözümdür.

Sık Sorulan Sorular

CAPsMAN v1 ile v2 arasındaki fark nedir?

v1 wireless paketi üzerinde çalışır ve WPA3 ile 802.11ax desteği sunmaz. v2 ise RouterOS 7.13 ve üzerinde wifi paketiyle gelir; WPA3, Wi-Fi 6 ve daha esnek provisioning kuralları sağlar. v2 controller yalnızca wifi paketli CAP'leri yönetebildiği için karma ağlarda iki yönetim düzlemi birlikte planlanmalıdır.

CAP cihaz controller'ı bulamıyorsa ne yapılmalı?

Önce CAP ile controller'ın aynı katman-2 yayın alanında olup olmadığını kontrol edin. Farklı VLAN'lardaysa CAP tarafında controller IP adresini elle tanımlayın ve yönetim ağ geçidinin doğru olduğundan emin olun. Arada güvenlik duvarı varsa CAPsMAN trafiğine izin verilmeli, saat farkı varsa NTP ile düzeltilmelidir.

Tek bir controller kaç erişim noktasını yönetebilir?

Sınır, controller donanımının işlem gücüne, seçilen yayın modeline ve istemci sayısına göre değişir. Local forwarding kullanıldığında controller yalnızca yönetim düzlemini taşıdığı için çok daha fazla CAP'e ölçeklenir. CAPsMAN forwarding tercih edilirse tüm istemci trafiği controller üzerinden geçeceği için kapasite planlaması buna göre yapılmalıdır.

Misafir ağı için VLAN'lı yapı CAPsMAN ile nasıl kurulur?

Ayrı bir güvenlik profili ve ayrı bir configuration nesnesi oluşturup, misafir SSID'sini farklı bir datapath'e bağlarsınız. Datapath içinde ilgili köprü ve VLAN etiketlemesi tanımlanır; böylece misafir trafiği kurumsal ağdan izole edilir. Kural setinde misafir SSID'sini yalnızca belirli CAP gruplarına eşleyerek yayın kapsamını da sınırlayabilirsiniz.

MikroTik CAPsMAN v2 ile merkezi kablosuz yönetim kurmak, çok sayıda erişim noktasını tek politika altında toplamanın en verimli yollarından biridir. Dincnet.com üzerinden controller, erişim noktası ve saha ekipmanı seçeneklerini inceleyerek ağınıza uygun mimariyi planlayabilirsiniz.