Firewall Yapılandırması: Web Sunucusunda Güvenli Başlangıç

Firewall yapılandırması, sunucudaki her bağlantıyı rastgele kapatmak değil, gerekli trafiği tanımlayıp geri kalanını sınırlamaktır. Web sunucusunda önce mevcut kurallar ve erişim yöntemi kaydedilmeli; ardından yönetici bağlantısı, HTTP ve HTTPS kontrollü biçimde izin listesine alınmalıdır. Değişiklikten sonra aynı bağlantı yeniden denenmeli ve yeni zaman damgalı kayıtlarla sonuç doğrulanmalıdır.

Firewall yapılandırması öncesinde ortamı ve erişimi belirleyin

Bu adımlar, işletim sisteminin güvenlik duvarını veya sağlayıcının sanal sunucu ağ güvenliği ekranını yönetebildiğiniz, yönetici yetkili bir sunucu için uygundur. Paylaşımlı hosting hesabında işletim sistemi firewall’ına erişemeyebilirsiniz; bu durumda yalnız kontrol panelinde sunulan IP engelleme, uygulama güvenliği veya sağlayıcı firewall seçenekleri kullanılabilir. Paneldeki kural ile sunucudaki kural aynı katmanda çalışmayabileceği için ikisini ayrı değerlendirin.

Önce sunucuya nasıl bağlandığınızı, SSH portunu, yönetici IP adresinizi ve uygulamanın gerçekten kullandığı web portlarını not edin. SSH, uzak yönetim bağlantısı sağlayan protokoldür; çoğu kurulumda 22 numaralı port kullanılsa da özel bir port atanmış olabilir. Uygulama yalnız HTTPS sunuyorsa 80 numaralı portu açmak gerekmeyebilir. Mevcut kuralların dışa aktarımını veya ekran görüntüsünü alın ve mümkünse sağlayıcının konsol erişiminin çalıştığını doğrulayın.

Web sunucusu için gerekli trafiği dar kapsamda tanımlayın

İlk karar, sunucunun internetten hangi hizmetleri kabul edeceğidir. Yalnız web sitesi yayınlanıyorsa 80 ve 443 numaralı portlar, yönetim için de SSH gerekiyorsa SSH portu gündeme gelir. Veritabanı portunu internete açmak yerine uygulama ile veritabanını aynı sunucuda veya özel ağda tutmak daha uygun olabilir; uzak yönetim şartsa erişimi belirli kaynak IP adresleriyle sınırlayın.

İkinci karar, kaynağı sınırlanabilen bağlantılarla herkesin erişmesi gereken bağlantıları ayırmaktır. HTTPS ziyaretçileri genellikle geniş internetten gelebilir; SSH ise yalnızca kurum ağı, VPN veya bilinen yönetici IP’lerinden kabul edilebilir. Yönetici IP’si sık değişiyorsa geniş bir aralık açmak yerine sağlayıcının VPN ya da güvenli erişim çözümünü değerlendirin. Kapsamı daraltamıyorsanız bağlantıyı açık bırakmadan önce alternatif konsol erişimini hazır edin.

Kuralların sırası ve varsayılan davranış

Firewall kuralları çoğu üründe yukarıdan aşağıya veya öncelik sırasına göre değerlendirilir. Daha genel bir engelleme kuralı, kendisinden sonra gelen izin kuralını etkisiz bırakabilir. Bu nedenle önce yönetici erişimini, ardından gerekli web portlarını tanımlayın; mevcut kuralların varsayılan davranışını bundan sonra değiştirin. “Varsayılan reddet” yaklaşımı sağlayıcıya göre yeni bağlantıları engelleyebilir, fakat mevcut oturumların nasıl ele alınacağı ürüne ve bağlantı izleme özelliğine bağlıdır.

Kuralları güvenli biçimde uygulama ve test etme

1. Mevcut durumu inceleyin. İşletim sistemi firewall ekranında veya sağlayıcı panelindeki inbound kurallarını, varsayılan politikayı ve etkin arayüzü kontrol edin. SSH portu listede yoksa varsayılan engelleme politikasını değiştirmeden önce bu port için izin hazırlayın. Beklenmedik bir genel izin görürseniz hemen silmek yerine kaynağını ve hangi hizmete ait olduğunu not edin.
2. Yönetici erişimini önce ekleyin. SSH için doğru portu ve mümkünse yalnızca yönetici IP’nizi kaynak olarak tanımlayın. Kuralı kaydedip mevcut SSH oturumunu kapatmadan ayrı bir terminalden yeni bağlantı deneyin. Yeni bağlantı başarısızsa kuralı etkinleştirmeyin veya varsayılan engellemeyi uygulamayın; port numarasını, kaynak adresini ve sağlayıcı ağ katmanındaki ayrı firewall’ı karşılaştırın.
3. Web portlarını uygulamaya göre açın. HTTP ve HTTPS kurallarını TCP protokolüyle, yalnızca gerçekten yayınlanan portlar için ekleyin. Kural ekranında “allow” veya benzeri izin durumunu ve doğru ağ arayüzünü kontrol edin. HTTP isteği başarısız olurken HTTPS çalışıyorsa 80 portunu açmak yerine uygulamanın HTTP’den HTTPS’e yönlendirme tasarımını ve web sunucusunun dinleme portunu inceleyin.
4. Varsayılan politikayı kontrollü değiştirin. Gerekli izinleri doğruladıktan sonra yeni inbound bağlantılar için sağlayıcının “deny” veya “drop” seçeneğini, mevcut bağlantıları koruyacak biçimde uygulayın. Bazı paneller değişikliği anında, bazıları ayrıca “apply”, “commit” veya onay işlemiyle etkinleştirir. Kayıt ekranında kuralın etkin ve doğru öncelikte göründüğünü kontrol edin; tüm portları tek seferde açmak yerine bir değişiklik yapın.
5. Aynı işlemi yeniden deneyin ve yeni kanıt arayın. Daha önce başarısız olan SSH bağlantısını veya web isteğini aynı kaynak ve URL ile tekrarlayın. Deneme saatini not ederek firewall olay günlüğündeki yeni satırı, sunucunun bağlantı günlüğünü ve web sunucusu erişim kaydını karşılaştırın. İzin kuralı eşleşiyor ve web erişim kaydında yeni istek görünüyorsa ağ katmanı geçilmiştir; uygulama yanıt vermiyorsa sorun firewall’dan çok web hizmetinin dinleme adresi veya uygulama katmanında olabilir.

Somut bir olasılık düşünelim: Diyelim ki HTTPS bağlantısı çalışıyor, ancak yönetici yeni SSH bağlantısında zaman aşımı görüyor. Günlükte bağlantının yanlış porta yönlendirildiği veya kaynak IP’sinin izin kuralıyla eşleşmediği görülürse hedefli düzeltme, yalnız doğru SSH portunu ve güncel yönetici IP’sini izin kuralına eklemektir. Buna karşılık günlükte izin verildiği halde kimlik doğrulama hatası varsa firewall kuralını genişletmek sorunu çözmez; SSH kimlik bilgileri ve sunucu yapılandırması ayrı incelenmelidir. Bu örnek varsayımsaldır; gerçek yorum, aynı zamana ait kanıtlara dayanmalıdır.

Sonuç alınmazsa güvenli geri dönüş yolu

Değişiklikten sonra hem SSH hem de web erişimi kesilirse yeni kurallar eklemeye devam etmeyin. Sağlayıcının web konsolu veya fiziksel/özel yönetim kanalı varsa kaydettiğiniz önceki kural setini kullanarak yalnız son değişikliği geri alın. Böyle bir erişim yoksa sağlayıcının firewall kurtarma veya kural sıfırlama prosedürünü, mevcut yedeği ve değişiklik saatini paylaşmadan önce inceleyin; parolaları, anahtarları veya kişisel log içeriklerini herkese açık alana göndermeyin.

Bir kuralı geri aldıktan sonra aynı başarısız işlemi tekrar deneyin ve bu kez yeni zaman aralığındaki kayıtları inceleyin. Erişim geri gelirse önceki adımda hangi kuralın etkili olduğunu belirleyip yalnız tek faktörü yeniden değiştirin. Kalıcı yapılandırmayı kaydetmeden önce kuralların dışa aktarımını saklayın; sonraki düzenlemede yalnız gerekli portu veya kaynağı değiştirmek, geniş kapsamlı ve geri dönüşü zor bir düzeltmeden daha güvenlidir.

Sunucunuzun katmanlarını ve yönetim seçeneklerini netleştirmek için İyibirNet üzerindeki ilgili hosting bilgilerini inceleyin; sağlayıcı firewall’ı ile işletim sistemi firewall’ının sorumluluklarını ayrıca doğrulayın.