MAC adresi filtreleme, yönlendiricinin ağa bağlanmaya çalışan her cihazı bağlantı sırasında sunduğu MAC adresine göre değerlendirmesidir. Ağ yöneticisi belirli adreslere izin verebilir veya belirli adresleri engelleyebilir. Bu yöntem cihaz erişimini düzenlemeye yardımcı olur, ancak MAC adresi değiştirilebildiği için tek başına güvenilir bir kimlik doğrulama mekanizması değildir.

MAC adresi, ağ arayüzünün yerel bağlantıda kullandığı tanımlayıcıdır. IPv4 veya IPv6 kullanılması bu temel işleyişi değiştirmez; filtre, IP adresinden bağımsız olarak cihazın bağlantı katmanında sunduğu MAC adresine bakar.

MAC Adresi Filtreleme Nasıl Çalışır?

Bir cihaz kablosuz ağa katılmak veya yönlendirici üzerinden trafik göndermek istediğinde ağ arayüzüne ait bir MAC adresi sunar. Yönlendirici bu değeri kendi erişim kontrol listesiyle karşılaştırır ve yapılandırılan kurala göre bağlantıya izin verir ya da trafiği reddeder. Filtrenin bağlantı isteğini hangi aşamada durdurduğu ve kablolu bağlantılara da uygulanıp uygulanmadığı cihazın firmware sürümüne ve filtreleme özelliğinin kapsamına göre değişebilir.

Bu işlem bir parola kontrolünden farklıdır. Parola veya modern Wi-Fi kimlik doğrulaması, cihazın gizli bir bilgiyi bildiğini ya da uygun kriptografik işlemi tamamladığını doğrular. MAC filtresi ise yalnız cihazın o anda hangi adresi kullandığını kontrol eder.

İzin listesi, yalnız önceden kaydedilmiş MAC adreslerinin ağa girmesine izin verir. Ağ yöneticisi yeni bir telefon, bilgisayar veya akıllı ev cihazı eklerken cihazın MAC adresini listeye ayrıca kaydeder. Adresi değişen meşru bir cihaz da kayıt güncellenene kadar reddedilebilir.

Engel listesi, kaydedilen adreslerin erişimini durdurur; listede olmayan diğer cihazlar, ağ parolası gibi kalan erişim koşullarını sağlıyorlarsa bağlanabilir. Bu yaklaşım belirli bir cihazı geçici olarak kısıtlamak için daha az yönetim gerektirir, ancak engellenen cihaz farklı bir MAC adresi sunarsa kural etkisiz kalabilir.

MAC Adresinin Yerel Ağdaki Rolü

MAC adresi, Ethernet ve Wi-Fi gibi yerel ağ teknolojilerinde veri çerçevelerinin doğru ağ arayüzüne ulaştırılmasına yardım eder. Bir IP paketi başka bir Ethernet veya Wi-Fi ağına yönlendirildiğinde, onu taşıyan yeni veri çerçevesinde o bağlantıya ait kaynak ve hedef MAC adresleri kullanılır. Bu nedenle internetteki bir web sitesi, normal koşullarda evdeki cihazın özgün MAC adresini doğrudan görmez.

MAC filtreleme de bu yerel kapsamda çalışır. Kural, ev veya ofis yönlendiricisinin yönettiği bağlantıyı etkiler; cihazın başka bir Wi-Fi ağına, mobil veriye ya da farklı bir ağ arayüzüne bağlanmasını engellemez.

MAC Filtreleme Neden Güçlü Kimlik Doğrulama Değildir?

Güçlü kimlik doğrulama, taklit edilmesi zor bir sırra, sertifikaya veya kriptografik kanıta dayanır. MAC adresi böyle bir sır değildir. Kablosuz iletişimin kurulabilmesi için adres bilgileri bağlantı katmanında kullanılır ve yakındaki bir kişi ağda kullanılan bir adresi gözlemleyebilir.

MAC Adresi Taklidi Filtreyi Aşabilir

Birçok ağ bağdaştırıcısı ve işletim sistemi, arayüzün sunduğu MAC adresinin yazılımla değiştirilmesine izin verir. Buna MAC adresi taklidi denir. Yetkili bir cihazın adresini öğrenen kişi kendi cihazını aynı adresle tanıtarak yalnız MAC filtresine dayanan kuralı aşmayı deneyebilir. Adres taklidi WPA2 veya WPA3 parolasını çözmez; yalnız MAC adresine dayalı ek denetimi aşmayı hedefler.

MAC filtresi, listede engellenen ya da izin listesine kaydedilmemiş adresleri kullanan cihazları durdurabilir; ancak hedefli erişim girişimini güvenilir biçimde engelleyemez. Bir adresin listede bulunması, cihazın kimliğinin doğrulandığı anlamına gelmez.

Özel ve Rastgele MAC Adresleri Filtreyi Nasıl Etkiler?

Modern telefonlar ve bilgisayarlar, donanım MAC adresinin farklı ağlarda izleme amacıyla kullanılmasını azaltmak için özel veya rastgele MAC adresleri kullanabilir. Cihaz aynı ağ için sabit bir özel adres tutabilir ya da gizlilik ayarına bağlı olarak adresi yenileyebilir. Bu davranış, izin listesinde kayıtlı eski adresin artık eşleşmemesine yol açabilir.

Özel adres kullanımı bir saldırı göstergesi değildir. Meşru cihazın hangi adresle bağlandığını ve bu adresin sabit kalıp kalmadığını cihaz ayarlarından doğrulayın. Filtre kuralını cihazın o ağ için kullandığı güncel özel adrese göre yönetmek, gizlilik özelliğini gereksiz yere kapatmadan kuralı güncel tutar.

MAC Filtreleme Ne Zaman Yararlı Olabilir?

MAC filtreleme, küçük ve az değişen bir ağda cihaz listesini düzenli tutmaya yardımcı olabilir. Örneğin bir işletme yalnız belirli kurumsal cihazların ağa katılmasını istiyorsa izin listesi, kayıtlı olmayan bir cihazın kendi MAC adresiyle bağlanmasını engeller. Ev ağında çocuğun kullandığı cihaza veya belirli bir akıllı cihaza erişim kuralı uygulamak için de yönlendiricinin diğer denetimleriyle birlikte kullanılabilir.

Küçük bir ağda MAC filtrelemenin asıl yararı, saldırganı kesin olarak durdurmak değil, ağ yöneticisinin beklenen cihazları tanımlayabilmesidir. Cihaz sayısı büyüdükçe adreslerin eklenmesi, değiştirilmesi ve silinmesi ek bakım oluşturur. Rastgele adres kullanan cihazlar bu yükü daha da artırabilir.

MAC Filtrelemenin Wi-Fi Şifrelemesi ve Misafir Ağıyla Birlikte Kullanımı

MAC filtresi temel güvenlik önlemlerinin yerini almamalı, yalnızca onları desteklemelidir. Ev ağında yönlendirici ve cihazlar destekliyorsa WPA3-Personal kullanın; uyumluluk gerekiyorsa WPA2/WPA3-Personal geçiş modu veya AES şifrelemeli WPA2-Personal seçilebilir. MAC filtresi açık diye Wi-Fi parolasını kaldırmayın. Ağ parolasını uzun ve benzersiz, yönlendiricinin firmware sürümünü güncel, yönetim paneli parolasını da varsayılan değerden farklı tutun. Düğme veya PIN ile bağlantı kurmayı kolaylaştıran WPS özelliğine ihtiyaç yoksa bu özelliği kapatın.

Misafirler ve güven düzeyi düşük cihazlar için ayrı bir misafir ağı kullanmak, yalnız MAC adresini engellemekten daha etkili bir ağ ayrımı sağlar. Misafir ağı, istemcileri yerel cihazlardan yalıtabiliyorsa ana ağdaki yazıcıya, depolama birimine veya yönetim arayüzüne erişme olasılığını azaltır.

MAC Filtresi Yönetim Erişimini Engellerse Ne Yapılır?

MAC filtrelemeyi açtıktan sonra en az bir yetkili cihazın bağlanabildiğini doğrulayın. Yönetim için kullanılan cihaz yanlışlıkla engellenirse ayarı düzeltmek için kablolu bağlantı, başka bir yetkili cihaz veya son çare olarak yönlendiriciyi fabrika ayarlarına döndürmek gerekebilir; bu sıfırlama mevcut ağ yapılandırmasını siler. Kuralı uygulamadan önce yönetim erişimini nasıl geri alacağınızı belirleyin.