Wi-Fi'ye Bağlanırken Ne Olur? SSID, BSSID, ESS

Telefonun Wi-Fi listesinde bir ağ adına dokunursunuz, birkaç saniye sonra sayfa açılır. Bu kısa sürede telefon ağı bulur, bir AP seçer, ona katılır, güvenlik anahtarlarını oluşturur, bir IP adresi edinir ve ancak ondan sonra ilk paketini internete gönderir. Bu yazı o birkaç saniyeyi adım adım açıyor. Önce listedeki adın arkasında ne olduğuna bakalım.

SSID: listede gördüğünüz ad

SSID (Service Set Identifier), kablosuz ağın havadan duyurulan adıdır. “Personel” ya da “Misafir” gibi, kullanıcının ağı bulmasını ve seçmesini sağlar. Kurumsal bir binada aynı SSID onlarca AP’den yayınlanır; telefon listede yine tek bir “Personel” satırı gösterir.

Bir AP birden fazla SSID yayınlayabilir. Örnekteki her AP aynı radyodan hem “Personel” hem “Misafir” ağını sunuyor. Birden fazla SSID’nin amacı farklı kullanıcı gruplarını ayırmaktır: her SSID kendi güvenlik ayarıyla yayınlanır ve kullanıcısını kendi ağına bağlar. Fortinet’in yapılandırma rehberi, her SSID’ye ayrı firewall politikası ve kimlik doğrulama tanımlanabildiğini ve FortiAP’te radyo başına sekiz SSID’ye kadar destek verildiğini belirtir; sınır üreticiye ve modele göre değişir.

BSSID: her yayının kendi kimliği

Listede tek satır görünse de telefon aslında belirli bir AP’nin belirli bir yayınına bağlanır. Bu yayının adı BSS (Basic Service Set), kimliği BSSID’dir. BSSID, MAC adresi biçiminde 48 bitlik bir değerdir ve kullanıcıya genellikle gösterilmez; yönetim ve sorun gidermede kullanılır.

BSSID’yi “AP’nin radyosunun MAC adresi” diye tanımlamak eksik kalır. Bir radyo birden fazla SSID yayınladığında her SSID’nin kendi BSSID’si olur:

Huawei bu yapıya VAP (sanal AP) der ve her VAP’ın kendi BSSID’si olduğunu, BSSID ile VAP’ın bire bir eşleştiğini belirtir.
Fortinet’in kavram rehberi de SSID’nin bütün WLAN için aynı olduğunu, BSSID’nin ise bir AP radyosuna ve WLAN’a özgü olduğunu söyler.

Aynı AP’nin 2,4 GHz ve 5 GHz radyoları da ayrı radyolardır; aynı SSID’yi iki bantta yayınlayan bir AP’de iki ayrı BSSID bulunur.

ESS: aynı adın arkasındaki tek ağ

Aynı SSID’yi yayınlayan BSS’ler birlikte bir ESS (Extended Service Set) oluşturur. Huawei’nin tanımında ESS, birbirine bir dağıtım sistemiyle bağlı AP’lerden ve onlara bağlı istemcilerden oluşur. Kurumsal ağda dağıtım sistemi pratikte AP’lerin bağlı olduğu kablolu ağdır.

ESS’i yalnızca “aynı adı kullanan AP’ler” olarak düşünmek yanıltıcıdır. Bir ESS’teki BSS’ler aynı ağın parçalarıdır: normalde aynı güvenlik ayarıyla yayınlanır ve istemciyi aynı arka ağa, örneğin VLAN 20’deki 10.0.20.0/24’e bağlar. Bu yüzden istemci aynı ESS içinde bir AP’den diğerine geçtiğinde aynı alt ağda kalır; Huawei bunu katman 2 roaming’in bir sonucu olarak IP adresinin korunması diye açıklar. Aynı adı taşıyan ama farklı ağlara bağlı iki bağımsız modem ise bu ilişkiyi kurmaz: ad aynıdır, arkadaki ağ değildir.

SSID ağın adı, BSSID belirli bir radyodaki belirli bir yayının kimliği, ESS ise aynı SSID'yi aynı arka ağa bağlayan BSS'lerin bütünüdür. Bir radyo birden fazla BSSID taşıyabilir.

Hangi AP’ye bağlanılır?

Listede tek bir “Personel” satırı görünür, ama telefon keşif sırasında aynı SSID’yi yayınlayan birden fazla BSSID duyar ve bunlardan birine bağlanır. Bağlantıdan sonra da AP değiştirme süreci istemciden başlar. Huawei’nin roaming açıklamasına göre istemci, bağlı olduğu AP’den aldığı sinyal seviyesi (RSSI) bir eşiğin altına düşünce yeniden taramaya başlar ve uygun bir AP’ye geçer.

Bazı istemciler bu konuda isteksizdir; sinyal zayıflasa da eski AP’de kalırlar. Ağ tarafı bu istemcileri 802.11v ile daha uygun bir AP’ye yönlendirebilir, gerekirse bağlantıyı keserek yeniden seçim yapmaya zorlar. Roaming’in ve bu “yapışkan” istemcilerin ayrıntısı serinin sonraki yazılarının konusu.

Bağlanma adımları

Bir istemcinin ağı bulmasından kullanmaya başlamasına kadar geçen süreç altı adımda özetlenebilir. İlk dördü radyo bağlantısını ve güvenliği kurar; son ikisi IP katmanında geçer.

İlk dört adım radyo bağlantısını ve güvenliği kurar, son ikisi IP katmanındadır. 802.11 authentication kullanıcı kimlik doğrulaması değildir: WPA2-Personal'da parola bu adımda doğrulanmaz, WPA3-Personal'da SAE ile parolanın bilindiği burada kanıtlanır. Enterprise ağda kullanıcı 4. adımda, 802.1X ile doğrulanır.

1. Keşif. İstemci çevredeki ağları iki yolla öğrenir. Pasif taramada AP’lerin düzenli aralıklarla gönderdiği beacon çerçevelerini dinler. Aktif taramada kendisi bir probe request gönderir, AP’ler probe response ile cevap verir. Meraki’nin belgesine göre AP, yalnızca istemciyle en az bir ortak veri hızını destekliyorsa yanıt verir. Listede gördüğünüz adlar bu iki kaynaktan gelir.

2. 802.11 authentication. Adı yanıltıcıdır: bu adım kullanıcının kim olduğunu doğrulamaz. Parolanın bu adımdaki rolü ise güvenlik moduna göre değişir:

WPA2-Personal’da bu adım Open System authentication’dır. Meraki’nin belgesi bu çerçevelerin açık olduğunu ve neredeyse her zaman başarılı olduğunu belirtir; adım, WEP döneminden kalan bir aşamadır ve parola burada sorulmaz.
WPA3-Personal’da bu adımın yerine SAE geçer. Parolanın bilindiği bu aşamada, association’dan önce karşılıklı olarak kanıtlanır. SAE, WPA2-Personal’daki önceden paylaşılan anahtar (PSK) yönteminin yerini alır.

3. Association. İstemci seçtiği BSS’e katılmak için association isteği gönderir ve bu istekte desteklediği özellikleri bildirir. AP bunları uygun bulursa istemciye bir association kimliği (AID) verir ve olumlu yanıt döner. İstemci artık o AP’ye bağlıdır, ama normal kullanıcı ve IP trafiğini henüz iletemez.

4. Güvenlik ve anahtarlar. Meraki’nin belgesine göre dinamik anahtarlar ve kimlik doğrulama tamamlanmadan istemci normal veri trafiğini gönderemez; bu aşamada yalnızca güvenliği kurmak için gereken mesajlar (EAPOL) taşınır.

Personal ağlarda (WPA2 ve WPA3) association’dan sonra 4-way handshake yapılır; trafiği şifreleyecek anahtarlar burada oluşur.
Enterprise ağlarda önce 802.1X ile kullanıcının ya da cihazın kimliği bir RADIUS sunucusunda doğrulanır, ardından 4-way handshake gelir. “Kullanıcı kimlik doğrulaması” denince kastedilen bu adımdır; 2. adımdaki 802.11 authentication ile karıştırılmamalıdır. 802.1X’in kablolu ve kablosuz ağda nasıl çalıştığı NAC: 802.1X, RADIUS ve MAB yazısında.

5. IP yapılandırması. Radyo bağlantısı tamamlanınca istemcinin IP katmanında çalışabilmesi için adres bilgilerine ihtiyacı vardır. Bu bilgiler çoğunlukla DHCP ile gelir: IP adresi, maske, default gateway ve DNS sunucusunun adresi. DHCP zorunlu değildir: statik IP kullanan bir cihazda DHCP alışverişi yapılmaz; IP ayarları önceden tanımlıdır. DHCP’nin WLAN’da nerede bozulabileceği AP Online Ama İstemci IP Alamıyor yazısında.

6. Kullanım. İstemci başka bir ağdaki hedefe gitmek için önce gateway’in MAC adresini ARP ile öğrenir; bu mekanizma MAC, IP, ARP ve Default Gateway yazısında. Bir ada, örneğin bir web sitesine gidecekse önce DNS ile o adın IP adresini öğrenir. DHCP ile DNS’in görevleri farklıdır: DHCP istemciye kendi adres bilgilerini verir, DNS ise gidilecek adın adresini söyler. Misafir ağlarında bu aşamaya bir adım daha eklenebilir: kullanıcı internete çıkmadan önce bir giriş sayfasına (captive portal) yönlendirilir. Bu sayfanın nasıl çalıştığı ayrı bir yazının konusu.

Controller ya da bulut yönetimi bu adımların her birinde istemci trafiğinin geçtiği bir durak değildir. Mimariye göre bazı adımlar controller üzerinden yürüyebilir; local bridge kullanılan ağlarda ise istemci trafiği AP’den doğrudan kablolu ağa çıkar. Bu ayrım Local Bridge mı, Tunnel Forwarding mi? yazısında.

Bir adım bozulursa

Bağlantı adımları sıralı olduğu için belirti, sorunun hangi adımda olduğunu çoğu zaman ele verir:

Ağ listede yok: 1. adım. AP yayın yapmıyor, SSID gizlenmiş ya da istemci o bandı desteklemiyor olabilir.
“Parola yanlış” ya da sürekli yeniden deneme: 2. ya da 4. adım. Personal ağda parola, Enterprise ağda kimlik bilgisi ya da sertifika.
Bağlı ama IP adresi alınamıyor: 5. adım.
Bağlanıyor ama sık sık kopuyor: Çoğu zaman bir adımın hatası değil, zayıf sinyal ya da AP geçişleridir; sinyal seviyesi ve roaming yazılarının konusu.
IP var ama sayfa açılmıyor: 6. adım ve sonrası; teşhisi Wi-Fi Bağlı Ama İnternet Yok yazısında.

Bu yazıda adımların mantığına baktık. Her adımın çerçeve düzeyindeki ayrıntısı, sinyal seviyesinin bağlantıya etkisi ve WPA2, WPA3 ile Enterprise güvenlik modlarının farkı serinin sonraki yazılarının konusu.

Wi-Fi'ye Bağlanırken Ne Olur? SSID, BSSID ve Bağlantı Adımları