IP Kamera Portunda 802.1X ve MAB: Switch Port Doğrulama Rehberi

Dış cephedeki bir kameranın kablosu söküldüğü anda o switch portu, otoparkta duran herkese açık bir ağ prizine dönüşür. VLAN ayrımı trafiğin nereye gidebileceğini sınırlar; porta kimin bağlandığını sorgulamaz. Aşağıda kamera portlarında 802.1X (EAP-TLS) ile MAC Authentication Bypass (MAB) seçeneklerini karşılaştırıyor, Cisco IOS ve RADIUS tarafında örnek yapılandırmayı, kamera değişiminde yaşanan tipik kopmaları ve konsolda sorun giderme sırasını veriyoruz.

Kamera portu neden port doğrulama ister

Kamera portu üç nedenle masaüstü portundan daha risklidir. Birincisi fiziksel erişim: otopark, çevre çiti, depo rampası gibi denetimsiz yerlerdedir ve kablo çoğu zaman kameranın arkasında açıkta durur. İkincisi süreklilik: port 7/24 aktif ve yetkilidir; araya bir dizüstü takıldığında kimse fark etmez. Üçüncüsü hedef: kamera VLAN’ı genellikle NVR’a, VMS’e, bazen yönetim ağına erişebilir. Saldırgan kameranın IP ve MAC adresini kopyalayıp bu yetkiyi devralır. Kablo açıktaysa port da açıktır.

Kamera trafiğini ayrı segmente almanın gerekçelerini kamera VLAN’ı neden gerekli yazısında anlattık. Port doğrulama, o segmentin kapısına kimlik kontrolü koyar.

802.1X, MAB ve port security karşılaştırması

Yöntem	Neyi doğrular	Güç	İşletim yükü
Port security (statik/sticky MAC)	Switch üzerinde kayıtlı MAC	Düşük; MAC kopyalanabilir	Her değişimde switch’e müdahale
MAB	RADIUS’taki MAC listesi	Düşük–orta; politika ile güçlenir	Merkezi liste, sertifika yok
802.1X EAP-PEAP	Kullanıcı adı ve parola	Orta; kimlik bilgisi cihazdan okunabilir	Parola yönetimi
802.1X EAP-TLS	Cihaz sertifikası	Yüksek; özel anahtar cihazda	PKI, sertifika dağıtımı ve yenileme

Sahada gerçekçi hedef karma yapıdır: EAP-TLS destekleyen kameralarda 802.1X, desteklemeyenlerde MAB, ikisi de başarısızsa port yetkisiz. Port security ise RADIUS altyapısı olmayan küçük sahalarda geçici bir önlem olarak kalır; her kamera değişiminde switch’e girmeyi gerektirdiği için büyüdükçe yönetilemez hale gelir.

Kamerada EAP-TLS: sertifika ve destek kontrolü

EAP-TLS’te (RFC 5216) kamera RADIUS sunucusuna bir istemci sertifikası sunar, RADIUS sunucusu da kameraya kendi sunucu sertifikasını sunar. Projeye girmeden önce her kamera modeli için şu soruların cevabı masada olmalı:

• 802.1X ve EAP-TLS desteği hangi firmware sürümünden itibaren var?
• İstemci sertifikası ve CA sertifikası nasıl yükleniyor: web arayüzü, HTTP API, cihaz yönetim yazılımı?
• Kamera cihaz üzerinde anahtar ve CSR üretebiliyor mu?
• Fabrikada yüklü cihaz kimlik sertifikası var mı? Bazı üreticiler IEEE 802.1AR uyumlu cihaz kimliği (IDevID) sunar; RADIUS bu üreticinin CA’sına güvenecek şekilde ayarlanırsa kurulumda sertifika yükleme adımı ortadan kalkabilir.
• EAPOL sürümü ve yeniden doğrulama davranışı: bazı kameralar periyodik yeniden doğrulamada kısa süreli akış kesintisi yaşar. Pilotta ölçün, varsaymayın.

EAP-TLS’in bilinen “tavuk-yumurta” sorunu vardır: kamera sertifikayı almak için ağa, ağa girmek için sertifikaya ihtiyaç duyar. Pratik çözüm iki tanedir: sertifikayı atölyede izole bir hazırlık ağında yüklemek veya kamerayı MAB ile yalnız sertifika dağıtım sunucusuna erişebilen kısıtlı bir hazırlık VLAN’ına almak. Kamera sertifikası için Client Authentication amaçlı ayrı bir şablon kullanın; HTTPS sunucu sertifikasıyla karıştırmayın. Sertifikanın yaşam döngüsünü IP kamera ve NVR’da HTTPS ve sertifika yönetimi rehberinde ayrıntılı ele aldık.

Switch ve RADIUS yapılandırma örneği

Aşağıdaki örnek Cisco IOS ve IOS XE’de uzun süredir kullanılan klasik (IBNS 1.0) komut yapısıdır. Yeni IOS XE sürümlerinde aynı mantık access-session ve policy-map type control subscriber yapısıyla (IBNS 2.0) kurulur; switch klasik komutları otomatik dönüştürebilir. Adresler ve VLAN numaraları örnektir.

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
!
radius server NAC-1
 address ipv4 10.10.5.10 auth-port 1812 acct-port 1813
 key <paylasilan-gizli-anahtar>
!
dot1x system-auth-control
!
interface GigabitEthernet1/0/12
 description CAM-B1-012 otopark-giris
 switchport mode access
 switchport access vlan 30
 authentication host-mode single-host
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 authentication periodic
 authentication timer reauthenticate server
 authentication event server dead action authorize vlan 30
 authentication event server alive action reinitialize
 authentication violation restrict
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 10
 spanning-tree portfast

Bu yapılandırmada kameraya özgü birkaç karar var:

• single-host: kamera portunun arkasında tek cihaz olmalı. Araya küçük bir switch takılırsa ikinci MAC ihlal sayılır; sahada “kameraya ek cihaz bağlamak için ara switch” hilesi bu satırla durur.
• tx-period 10: 802.1X desteklemeyen kamerada switch, MAB’a geçmeden önce EAPOL denemelerinin zaman aşımını bekler. Varsayılan 30 saniye ve yeniden deneme sayısıyla bu süre bir buçuk dakikayı bulabilir. Kısaltmak, yeniden başlayan kameranın görüntüsünü daha erken getirir.
• server dead action: RADIUS erişilemezken yeniden başlayan kameraların kamera VLAN’ına alınmasını sağlar. Güvenlikten bilinçli bir tavizdir; RADIUS yedekliliğiyle birlikte değerlendirin. server alive action reinitialize satırı, sunucu geri geldiğinde bu portları yeniden doğrular. Switch’in sunucuyu “dead” sayabilmesi için global düzeyde radius-server dead-criteria ve automate-tester ayarları da yapılmalıdır; unutulursa bu satırlar hiç devreye girmez.
• authentication timer reauthenticate server: yeniden doğrulama süresi RADIUS’tan gelen Session-Timeout değeriyle belirlenir. Politika merkezde kalır.

RADIUS tarafında kamera politikası en az şu koşulları içermeli:

1. 802.1X kuralı: sertifika kurum kamera CA’sı tarafından verilmiş ve iptal edilmemiş; sertifika konusu envanterdeki kamera adıyla eşleşiyor. Sonuç: kamera VLAN’ı ve kameraya özel erişim listesi.
2. MAB kuralı: MAB isteklerinde RADIUS Service-Type değeri Call-Check olarak gelir ve Calling-Station-Id alanında MAC adresi bulunur. MAC “kamera” kimlik grubundaysa ve istek beklenen switch ile porttan (NAS-IP-Address, NAS-Port-Id) geliyorsa yetki verin.
3. Yetkilendirme sonucu: yalnız VLAN atamak yerine, switch destekliyorsa kameranın yalnız NVR ve altyapı servislerine erişmesini sağlayan indirilebilir ACL veya grup etiketi döndürün. Kopyalanan bir MAC ile ağa giren dizüstü, ancak kameranın yapabildiğini yapabilir.
4. Varsayılan: eşleşmeyen tüm istekler reddedilir.

Microsoft NPS EAP-TLS için yeterlidir; MAB tarafında ise MAC adreslerinin kullanıcı nesnesi olarak tanımlanmasını gerektirdiği için büyük kurumsal kamera sistemlerinde yönetimi zahmetlidir. Kamera sayısı yüksekse profilleme ve kimlik grubu desteği olan bir NAC çözümü veya iyi kurgulanmış bir FreeRADIUS politikası daha sürdürülebilirdir. RADIUS özniteliklerinin 802.1X ile kullanımı RFC 3580 içinde açıklanır.

Kamera değişimi ve arıza senaryoları

Senaryo	Belirti	Önlem
Arızalı kamera yenisiyle değişti (MAB)	Port yetkisiz, kamera açık ama görüntü yok	Değişim iş emrinde yeni MAC’in RADIUS’a eklenmesi adımı
Arızalı kamera yenisiyle değişti (EAP-TLS)	EAP başlamıyor veya sertifika yok	Yedek kameralara sertifikayı önceden yüklemek veya hazırlık VLAN’ı
Kamera fabrika ayarına döndü	802.1X ayarı ve sertifika silindi	Kamera yapılandırma yedeği ve geri yükleme prosedürü
Sertifika süresi doldu	Toplu kamera kaybı, aynı gün	Bitiş tarihi izleme ve dağıtık yenileme
Kamera başka porta taşındı	NAS-Port bağlaması reddediyor	Taşıma işlemini değişiklik kaydıyla RADIUS’a yansıtmak

Bu senaryoların neredeyse tamamı teknik değil, süreç sorunudur. Saha teknisyeninin kamera değişim formuna “MAC/sertifika güncellendi” adımı eklenmezse 802.1X projesi ilk arızada bypass edilir: gece nöbetinde görüntüyü geri getirmek için port authentication open ile açılır ve öyle kalır. Sahada en sık rastlanan bypass budur. Önce süreç, sonra zorlama modu.

Sorun giderme: kimlik doğrulama hataları

show authentication sessions interface GigabitEthernet1/0/12 details
show access-session interface GigabitEthernet1/0/12 details
show dot1x interface GigabitEthernet1/0/12
show radius statistics
test aaa group radius kamera-test <parola> new-code

Oturum çıktısında önce hangi yöntemin denendiğine (dot1x mi mab mı), sonra sonuca ve atanan VLAN/ACL’e bakın. Sahada tekrar eden hata kalıpları:

• dot1x hiç yanıt almıyor, MAB başarılı: kamerada 802.1X kapalı veya desteklenmiyor. Beklenen davranışsa sorun yok; değilse kamera ayarına bakın.
• EAP-TLS başlıyor ama RADIUS reddediyor: RADIUS loglarında “unknown CA”, “certificate expired” ya da istemci sertifikasında Client Authentication amacının olmadığı görülür.
• Kamera RADIUS sertifikasını reddediyor: kameraya kurum CA zinciri yüklenmemiş veya kamera saati yanlış.
• Kimlik doğrulama başarılı, görüntü yok: atanan indirilebilir ACL, NVR’ın RTSP isteğini veya yanıtını engelliyor olabilir. ACL isabet sayaçlarına bakın.
• Periyodik kesinti: yeniden doğrulama sırasında akış düşüyorsa Session-Timeout değerini uzatın ve firmware davranışını üreticiyle teyit edin.

Kimlik doğrulama hataları ve beklenmeyen MAC değişiklikleri aynı zamanda güvenlik olayıdır; bu kayıtların merkezi izlemeye aktarılmasını kamera ağında anomali izleme rehberinde anlattık. Kurum genelindeki NAC geçişi için 802.1X ve NAC geçişi aşamalı plan yazısı tamamlayıcıdır.

Devreye alma kontrol listesi

• Kamera envanterinde model, firmware, MAC ve 802.1X/EAP-TLS desteği sütunları dolu.
• Kamera istemci sertifikası için ayrı CA şablonu ve iptal (CRL/OCSP) erişimi tanımlı.
• RADIUS en az iki sunucuyla yedekli; switch’lerde sunucu erişilemez davranışı bilinçli seçilmiş.
• İlk aşamada izleme modu (monitor mode / open authentication) ile kayıtlar toplandı; reddedilecek cihazlar zorlamadan önce görüldü.
• Zorlama moduna geçiş bina veya switch bazında, bakım penceresinde ve geri dönüş planıyla yapılıyor.
• Kamera değişim, taşıma ve fabrika sıfırlama prosedürleri güncellendi; saha ekibi bilgilendirildi.
• Kullanılmayan kamera portları kapalı veya park VLAN’ında.

Kamera portlarında 802.1X ve MAB geçişini switch altyapısı ve segmentasyon tasarımıyla birlikte planlamak için kamera siber güvenlik sıkılaştırması ve kamera VLAN ve ağ segmentasyonu hizmet sayfalarımıza bakabilirsiniz.

Sık sorulan sorular

Kameraların hepsi 802.1X destekliyor mu?

Hayır. Kurumsal segmentteki birçok model EAP-TLS destekler; ekonomik serilerde ve eski firmware’lerde destek olmayabilir veya yalnız EAP-PEAP sunulabilir. Desteği model ve firmware bazında datasheet ve testle doğrulayın; desteklemeyen cihazlarda MAB kullanın.

MAB tek başına yeterli güvenlik sağlar mı?

MAB yalnız MAC adresine bakar ve MAC adresi kopyalanabilir. NAS-Port bağlaması, profilleme ve yalnız NVR’a izin veren yetkilendirme politikasıyla birlikte kullanıldığında yetkisiz cihaz riskini anlamlı ölçüde azaltır; ama 802.1X EAP-TLS kadar güçlü değildir.

RADIUS sunucusuna erişilemezse kameralar kayıttan düşer mi?

Yapılandırmaya bağlıdır. Zaten doğrulanmış oturumlar yeniden doğrulama zamanına kadar sürer. Switch’te sunucu erişilemezken kamera VLAN’ına yetki veren kritik VLAN ayarı yapılmamışsa, bu sırada yeniden başlayan kameralar ağa alınmaz.

802.1X kimlik doğrulaması başarısız olursa PoE kesilir mi?

Hayır. PoE güç sağlama ile 802.1X birbirinden bağımsızdır; kamera açılır ama port yetkisiz kaldığı için veri trafiği geçmez. Sahada bu durum “kamera açık ama görüntü yok” şikâyeti olarak gelir.