Walled Garden (Ön Giriş Erişimi)

Walled Garden, misafirin captive portal kimlik doğrulamasını tamamlamadan önce erişebileceği adresleri tanımlar. Bu liste sayesinde belirli kaynaklar (ödeme sayfası, marka sitesi, kayıt formu) ağ girişi yapılmadan açılabilir.

Walled Garden Nedir?

Captive portal aktifken, kimliği doğrulanmamış cihazlar yalnızca portal arayüzüne yönlendirilir. Ancak bazı senaryolarda misafirin kimlik doğrulamadan önce belirli sayfalara erişmesi gerekir:

• Ödeme sayfası (kredi kartı bilgisi girmeden önce güvenlik onayı)
• Kurumsal web sitesi veya marka landing page'i
• Yerel kayıt formu
• DNS/NTP gibi altyapı servisleri

Walled Garden, bu kaynakların beyaz listeye alınmasını sağlar.

Yapılandırma

:::info Hangi kurulumda geçerli? Konsoldaki liste iki tür kurulumda cihaza iner:

• AnchorSpot Edge (N100) — liste kutunun güvenlik duvarına (nftables) yazılır.
• MikroTik hotspot'ları — cihaz 5 dakikada bir buluta durum bildirir; listedeki değişikliği bu bildirimle alıp kendi walled-garden'ına yazar.

UniFi ve Keenetic hotspot'larında konsol listesi cihaza taşınmaz; oralarda walled garden cihazın kendisinde yönetilir. :::

Konsol Üzerinden Alan Adı Ekleme

Captive Portal → Ön İzinli Adresler sayfasında Alan adı, Port (varsayılan 443), Protokol ve isteğe bağlı Not girip Ekle'ye basın.

Örnek Whitelist:
- payment.iyzico.com
- secure.paytr.com
- www.otelimiz.com
- static.otelimiz.com
- fonts.googleapis.com
- cdnjs.cloudflare.com

:::danger Joker (*) karakteri DESTEKLENMİYOR *.otelimiz.com gibi bir giriş reddedilir. Her alt alan adı açıkça eklenmelidir: www.otelimiz.com eklemek cdn.otelimiz.com'u kapsamaz.

Bunun sebebi mekanizma: alan adı eklendiği anda IP'lerine çözümlenip güvenlik duvarına adres olarak yazılıyor. Bir joker ifadenin karşılığı olan adres kümesi önceden bilinemez. :::

Port ve Protokol

• AnchorSpot Edge (N100) — port ve protokol uygulanmaz; kayıt, çözümlenen adreslerin tüm portlarını açar.
• MikroTik — yalnızca girilen port açılır; IP adresi kuralları TCP olarak yazılır ve Protokol alanı MikroTik'e taşınmaz.

Çıplak Alan Adı ve www

Konsol yalnızca girdiğiniz alan adını çözümler; yönlendirmeleri takip etmez. Bir site hem otelimiz.com hem www.otelimiz.com adresinde açılıyorsa ya da biri diğerine yönlendiriyorsa ikisini ayrı kayıt olarak ekleyin.

Alan adı çözümlenemezse ne olur?

Kayıt oluşturulmaz ve hata mesajı ekranda gösterilir. Bu kasıtlı: çözülemeyen bir alan adı sessizce kabul edilseydi, listede görünür ama tek bir paket geçirmezdi.

Eklendikten sonra adresler düzenli olarak yeniden çözümlenir (varsayılan 6 saatte bir). Çözümleme geçici olarak başarısız olursa eski adresler korunur — çalışan bir erişim geçici bir DNS arızası yüzünden kesilmez — ve hata kaydedilir. Hiç adresi çözümlenemeyen kayıtlar listede "Çözümlenmedi — kural üretilmiyor" olarak görünür.

MikroTik'e İnen Liste

MikroTik'e her kayıt için hem alan adı hem de çözümlenen IPv4 adresleri yazılır. RouterOS'un alan adı kuralı (dst-host) yalnızca doğrudan A kaydı olan adlarda eşleştiği için CDN/CNAME arkasındaki servislerde erişimi IP kuralları sağlar. Cihaza en fazla 64 alan adı ve 64 IPv4 adresi iner; bu sınırı aşan kayıtlar ve IPv6 adresleri cihaza yazılmaz.

IP Adresi / CIDR Ekleme

Doğrudan IP veya CIDR girişi desteklenmiyor; alan bir DNS adı bekler. Sabit IP'li bir servis için o servisin alan adını ekleyin.

MikroTik RouterOS Üzerinde Manuel Yapılandırma

MikroTik (ör. hEX S) üzerinde manuel ekleme yapmak gerekirse:

# Walled garden adresi ekleme (RouterOS CLI)
/ip hotspot walled-garden
add dst-host=payment.iyzico.com
add dst-host=*.otelimiz.com
add dst-host=secure.paytr.com

# IP tabanlı ekleme
/ip hotspot walled-garden ip
add dst-address=203.0.113.0/24

uyarı

Konsoldaki liste MikroTik'e nac-operator açıklamalı satırlar olarak yazılır ve liste her değiştiğinde yeniden kurulur; AnchorSpot kurulum dosyası ayrıca portal adresini ve marka adresini nac-managed açıklamasıyla ekler. Bu iki açıklamayı taşımayan, elle eklediğiniz walled-garden satırlarına dokunulmaz. Elle eklenen dst-host satırları CDN/CNAME arkasındaki adlarda eşleşmez; bu servisler için IP satırı ekleyin veya konsolu kullanın.

DNS Tabanlı ve IP Tabanlı Beyaz Liste

Konsol yalnızca alan adı kabul eder. Alan adı, eklendiği anda ve sonrasında periyodik olarak IP'lerine çözümlenir; cihaza yazılan şey o adreslerdir (MikroTik'e ayrıca alan adı kuralı da yazılır).

	Konsol listesi (Edge + MikroTik)	MikroTik'te elle
Girdi	Alan adı	Alan adı veya IP/CIDR
Joker (*)	Desteklenmiyor	RouterOS destekler
IP değişiminde	Periyodik yeniden çözümleme (varsayılan 6 saatte bir)	dst-host yalnızca doğrudan A kaydı olan adlarda eşleşir; IP satırlarını siz güncellersiniz

CDN arkasındaki servisleri konsoldan ekleyin; konsol adresleri periyodik olarak çözümleyip cihaza IP olarak indirir.

Yönlendirme Döngüsü Önleme

Walled Garden listesi yanlış yapılandırıldığında captive portal'ın kendisi de yönlendirme döngüsüne girebilir. Aşağıdaki adresler otomatik olarak izinlidir:

• Captive portal adresi — kurulumun kendi portal URL'i. Edge'de bu adres provizyon sırasında IP'lerine çözümlenip ayrı ve süresiz bir izin olarak yazılır; tenant listesinden bağımsızdır ve silinemez. MikroTik'te kurulum dosyası portal adresini ve bulut servis portlarını ekler.
• Marka adresi — captive sayfalarının alt şeridindeki marka sitesi; MikroTik kurulumunda hem çıplak alan adı hem www biçimiyle eklenir.
• captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com, connectivity-check.ubuntu.com — işletim sistemi captive-algılama adresleri yalnızca UniFi provizyonunda cihaza yazılır. MikroTik'te bilinçli olarak eklenmez; eklenirse telefonun giriş penceresi açılmaz.

Bu otomatik izinler tenant listesinde görünmez ve oradan silinemez.

tehlike

Portal adresi izinli değilse misafirin tarayıcısı giriş sayfasını açamaz — belirti "captive gelmedi, internet de yok" olur. Bu izin sistem tarafından yönetilir; portal adresini değiştirirseniz izin de yeniden çözümlenir.

Yaygın Kullanım Senaryoları

Ödeme Önce Erişim

Senaryo: Misafir Wi-Fi paketini satın almadan önce ödeme sayfasına erişmeli

Whitelist:
- secure.paytr.com
- www.paytr.com
- static.paytr.com

Marka Landing Page

Senaryo: Misafir otel web sitesini portal girişinden önce görmeli

Whitelist:
- www.grandhotel.com.tr
- static.grandhotel.com.tr
- cdn.grandhotel.com.tr

Kayıt Formu (Harici Sistem)

Senaryo: Konferans katılımcıları harici kayıt sistemine erişmeli

Whitelist:
- register.konferans2024.com
- assets.konferans2024.com

En İyi Uygulamalar

1. Listeyi minimal tutun — Her eklenen alan adı potansiyel bir güvenlik açığıdır. Yalnızca zorunlu kaynakları ekleyin.
2. Alt alan adlarını açıkça tanımlayın — www.site.com eklemek cdn.site.com'u kapsamaz.
3. Düzenli gözden geçirin — Artık kullanılmayan servisleri listeden çıkarın.
4. Test edin — Kimliği doğrulanmamış bir cihazla (private/incognito tarayıcı) her adresi test edin.
5. HTTPS tercih edin — HTTP üzerinden beyaz listeye alınan alan adları MITM saldırılarına açık olabilir.

ipucu

Walled Garden değişikliklerini test etmek için tarayıcıyı tamamen kapatıp yeniden açın veya farklı bir cihaz kullanın. Oturum çerezi olan cihazlarda test sonuçları yanıltıcı olabilir.

Değişiklik Geçmişi

Liste değiştiğinde Edge kutusunun yapılandırma sürümü artar ve kutu yeni kural setini bir sonraki periyodik kontrolde indirir; MikroTik hotspot'ları değişikliği 5 dakikalık durum bildiriminde sürüm karşılaştırmasıyla alır. Değişikliğin sahaya inmesi dakikalar içinde gerçekleşir. Ekleme ve silme işlemleri denetim kaydına yazılır.