IoT Cihazı Kurulumda Bağlanmıyor: 2,4 GHz ve PSK Gerçekleri

IoT Kurulum Başarısızlığının Yaygınlığı

Akıllı ev ve IoT cihazı kurulumlarının önemli bir kısmı ilk denemede başarısız olur ve bu başarısızlıkların büyük çoğunluğu cihaz arızasından değil, ev/kurumsal Wi-Fi ağının modern güvenlik ve performans özellikleriyle ucuz IoT donanımının uyumsuzluğundan kaynaklanır. Bu, üretici ile ağ altyapısı arasındaki bir 'nesil farkı' meselesidir.

IoT cihazları genelde son derece düşük maliyetli, tek bantlı ve basit Wi-Fi modülleriyle (ESP8266, ESP32 gibi) üretilir. Bu modüller tasarım gereği yalnızca 2,4 GHz b/g/n desteği sunar ve çoğu zaman en yeni güvenlik protokollerini (WPA3) ya hiç desteklemez ya da yalnızca kısmi/hatalı destek verir.

Kurulum sırasında yaşanan başarısızlık, cihazın kalıcı olarak çalışmayacağı anlamına gelmez; çoğunlukla ev/ofis ağının yapılandırmasında küçük, hedefe yönelik bir ayarlama ile çözülür.

Yalnız 2,4 GHz Desteği ve Birleşik SSID Sorunu

Modern ev yönlendiricileri ve kurumsal AP'ler genelde 2,4 GHz ve 5 GHz bantlarını tek bir SSID altında birleştirip 'band steering' ile istemcileri otomatik yönlendirir. Bu kullanıcı deneyimi açısından rahattır (tek şifre, tek ağ adı) ama IoT kurulumunda ciddi bir soruna yol açar: cihaz kurulum uygulaması telefonun o anda bağlı olduğu bandı (genelde 5 GHz) hedef alıp IoT cihazına kimlik bilgilerini iletirken, IoT cihazı yalnızca 2,4 GHz'de arama yapar ve 'ağ bulunamadı' hatası verir.

Bu uyumsuzluk, kullanıcı tarafında en çok kafa karıştıran kurulum hatasıdır çünkü ağ adı ve şifre doğru girilmiştir, ancak cihaz fiziksel olarak o bandı arayamaz. Çözüm, kurulum süresince geçici olarak 2,4 GHz ve 5 GHz'i ayrı SSID'lere ayırmak (örneğin 'EvAgi' ve 'EvAgi_5G') ve IoT cihazını özellikle 2,4 GHz SSID'ye bağlamaktır.

Kurulum tamamlandıktan sonra SSID'ler tekrar birleştirilebilir; IoT cihazı bir kez 2,4 GHz ile eşleştiğinde genelde kalıcı olarak o banda bağlı kalmaya devam eder ve tekrar sorun çıkarmaz.

WPA3 Uyumsuzluğu ve Geçiş Modu

WPA3-Personal, SAE (Simultaneous Authentication of Equals) el sıkışmasını kullanır ve eski IoT çipsetlerinin büyük kısmı bu protokolü hiç desteklemez. 'WPA3-Transition' (geçiş) modu, aynı SSID'de hem WPA2 hem WPA3 istemcilerine izin vererek bu sorunu teorik olarak çözer, ancak bazı IoT cihazları transition modundaki ek bilgi elemanlarını (RSN IE) yanlış yorumlayıp bağlantıyı tamamen reddedebilir — bu, 'downgrade attack' koruması amaçlı eklenen güvenlik mekanizmalarının yan etkisidir.

Pratikte en güvenilir kurulum yöntemi, IoT cihazlarının bağlanacağı SSID'yi (mümkünse ayrı bir IoT SSID'si olarak) WPA2-Personal (AES) ile sınırlı tutmaktır. Bu, güvenlik seviyesini hafifçe düşürür ama IoT ekosisteminin günümüz olgunluk seviyesinde pratik ve gerekli bir tavizdir.

Kurumsal/akıllı ev projelerinde en iyi uygulama, IoT cihazlarını ayrı bir VLAN ve SSID üzerinde, internete çıkışı olan ama iç ağa erişimi kısıtlı (mikro-segmentasyon) bir şekilde barındırmaktır; böylece güvenlik taviz noktası yalnız IoT segmentiyle sınırlı kalır, ana kurumsal ağ etkilenmez.

• IoT cihazları için ayrı SSID ve VLAN ayırmak en sürdürülebilir çözümdür
• WPA3-only yapılandırmadan kaçınılmalı, en azından transition veya WPA2 IoT segmenti tutulmalı
• IoT VLAN'ı internet çıkışına izin verip iç ağa erişimi mikro-segmentasyonla kısıtlamalı

Band Steering'in Kurulumu Bozması ve PPSK Çözümü

Agresif band steering yapılandırılmış AP'lerde, kurulum uygulamasının telefon üzerinden IoT cihazına ilettiği geçici kurulum ağı (SoftAP) bağlantısı da etkilenebilir: telefon IoT cihazının yaydığı kurulum SSID'sine bağlanırken, aynı anda ev ağının band steering mekanizması telefonu farklı bir banda çekmeye çalışabilir, bu da kurulum sürecinin ortasında bağlantı kopmasına yol açar.

Bu düzeyde hassas bir kurulum senaryosunda en sağlam pratik, kurulum süresi boyunca telefonun mobil veri bağlantısını kapatıp yalnızca IoT cihazının SoftAP'ine bağlı kalmasını sağlamak ve kurulum tamamlanana kadar ev Wi-Fi ağına dokunmamaktır.

Ölçekli dağıtımlarda (oteller, akıllı bina projeleri) PPSK (Private Pre-Shared Key) teknolojisi, bu sınıf sorunların kurumsal çözümüdür: her cihaza veya cihaz grubuna özel bir PSK atanır, MAC adresi ile eşleştirilir ve VLAN/politika otomatik uygulanır. Bu sayede WPA3 zorunluluğu getirmeden, IoT cihazı bazında erişim kontrolü ve izlenebilirlik sağlanır — paylaşılan tek bir PSK'nın tüm cihazlarda kullanılmasının güvenlik risklerinden kaçınılır.

PPSK ayrıca operasyonel esneklik sağlar: bir IoT cihazı kaybolduğunda veya değiştirildiğinde, tüm ağın şifresini değiştirmek yerine yalnızca o cihaza ait PSK iptal edilir.

F2'nin Sahadaki Yaklaşımı

F2, otel ve akıllı bina projelerinde IoT cihazlarını (kapı kilidi, sensör, termostat, akıllı priz) baştan ayrı bir SSID/VLAN'da tasarlar; WPA2 veya PPSK ile kimlik doğrulama yapar, band steering'i yalnızca ana kullanıcı SSID'sinde agresif tutar ve IoT SSID'sinde band steering'i tamamen kapatarak kurulum ve çalışma sırasında band kararsızlığını engeller. Bu mimari, binlerce IoT cihazının kurulduğu projelerde kurulum başarısızlık oranını saha raporlarında ölçülebilir biçimde düşüren, tekrarlanabilir bir F2 standart uygulamasıdır.