Firewall Yapılandırması Nasıl Güvenli Yapılır?

Firewall yapılandırması, sunucuya gelen ve sunucudan çıkan ağ trafiği için hangi bağlantıların kabul edileceğini belirler. Güvenli bir başlangıç için önce mevcut erişim yöntemini ve açık dinleme portlarını kaydedin, yönetim bağlantınızın portuna izin verin, ardından yalnızca gerçekten kullanılan servisleri açın. Değişiklikten önce konsol erişimi veya geri dönüş planı hazır değilse kuralları uygulamayın.

Firewall yapılandırması öncesinde ortamı netleştirin

Bu işlem, işletim sistemi üzerinde yönetici yetkisi bulunan bir Linux VDS, fiziksel sunucu veya bulut sunucusu için geçerlidir. Paylaşımlı hosting hesabında işletim sistemi firewall’ına erişemezsiniz; bu durumda hosting panelindeki IP engelleme, uygulama güvenlik duvarı veya sağlayıcı tarafından sunulan ağ kuralları kullanılır. Paneldeki bir ağ güvenlik grubuyla sunucu içindeki firewall birlikte çalışıyorsa, trafiğin iki katmandan da geçmesi gerekir.

Önce sunucuya hangi kanaldan bağlandığınızı yazılı olarak not edin: SSH portu, web konsolu, sağlayıcı konsolu veya başka bir yönetim aracı. Uzak SSH oturumuyla çalışıyorsanız sağlayıcının acil konsol erişimini önceden doğrulayın. Mevcut kuralların ekran görüntüsünü ya da dışa aktarılabilen kopyasını saklayın; değişiklik sırasında yalnızca tek bir faktörü değiştirin. Böylece bağlantı kesilirse hangi kuralın etkili olduğunu ayırt edebilirsiniz.

Açılması gereken portu varsaymak yerine kanıtlayın

Bir portun firewall’da açık olması, o portta çalışan bir servis bulunduğu anlamına gelmez. Önce sunucunun yerel dinleme listesini ve uygulamanın gerçek yapılandırmasını karşılaştırın. Yönetici yetkiniz varsa salt-okunur ss -tulpen komutu TCP ve UDP dinleyicilerini görmeye yardımcı olabilir. Çıktıdaki port numarası, adres ve servis adı sürüme göre değişebileceği için bunu tek başına “internet erişimi gerekli” kanıtı saymayın.

Örneğin yalnızca web sitesi yayınlayan bir sunucuda HTTP ve HTTPS trafiği dışarıdan gerekli olabilir; veritabanı portu ise uygulama aynı sunucuda çalışıyorsa yalnızca yerel arayüzde dinleyebilir. Bir yönetim portu dış ağdan erişilecekse, mümkünse tüm internet yerine yöneticinin sabit IP adresiyle sınırlandırın. Kararınız şu şekilde ilerler: servis dışarıdan kullanılmıyorsa portu açmayın; dışarıdan kullanılacaksa önce kaynak IP sınırı uygulanabiliyor mu bakın; sınırlandırılamıyorsa güçlü kimlik doğrulama ve sağlayıcının ek ağ kontrolünü değerlendirin.

Kuralları güvenli sırayla uygulama

1. Mevcut durumu kaydedin. Firewall yönetim panelinde veya sunucunun kullandığı UFW, firewalld ya da benzeri araçta etkinlik durumunu, varsayılan gelen trafik davranışını ve mevcut izinleri inceleyin. Kuralların yedeğini ve mevcut SSH portunu saklayın. Firewall kapalıysa doğrudan uzak erişimi engelleyen bir politika uygulamadan önce sağlayıcı konsolunun çalıştığını doğrulayın.
2. Yönetim bağlantısını önce izinli hale getirin. SSH’nin gerçekten kullandığı portu ve mümkünse yönetici IP aralığını belirleyin. Kuralı yalnızca gerekli protokol ve kaynakla oluşturun; yanlış port için kural eklemek erişimi korumaz. Kural kaydedildiğinde panelde etkin ve doğru sırada göründüğünü kontrol edin.
3. Varsayılan gelen trafik politikasını değerlendirin. Politika gelen bağlantıları reddediyor veya düşürüyorsa, web sunucusu gibi dışarıdan erişilecek her servis için ayrı izin gerekir. Politika izin veriyor ancak uygulama portu kapalı görünüyorsa sorun firewall’dan çok servisin dinlememesi veya sağlayıcı katmanındaki ağ kuralı olabilir. Bu ayrımı görmeden tüm portları topluca açmayın.
4. Yalnızca doğrulanmış uygulama portlarını ekleyin. Her kuralda TCP veya UDP türünü, hedef portu ve gerekiyorsa kaynak adresini açıkça seçin. Örneğin kayıtlı listede web servisinin TCP portu dinlediği, veritabanının ise yalnızca yerel adreste olduğu görülüyorsa web portuna izin verip veritabanını internete açmayın. Kural açıklamasına servis adını ve tarihini yazmak sonraki incelemeyi kolaylaştırır.
5. Değişiklikten sonra aynı işlemi tekrarlayın. Önce başarısız olan aynı URL, SSH bağlantısı veya uygulama isteğini yeniden deneyin; farklı bir test kullanmak sonucu belirsizleştirir. Test saatini not edip firewall olay günlüğünde ve uygulamanın kendi erişim veya hata günlüğünde yeni zaman damgalı kayıtları arayın. Bağlantı hâlâ reddediliyorsa kaynak IP’nin kuraldaki aralıkla eşleşip eşleşmediğini ve sağlayıcı güvenlik grubunun aynı portu engelleyip engellemediğini kontrol edin.
6. Sonuca göre tek hedefli düzeltme yapın. Günlükte firewall reddi görülüyorsa yalnızca eşleşen kaynak, protokol veya port kuralını düzeltin. Firewall’da izin görünmesine rağmen yeni kayıtta “connection refused” benzeri bir sonuç varsa servis dinlemiyor olabilir; uygulama servis durumunu ve yerel bağlanma adresini inceleyin. Yeni testten sonra sorun sürerse son değişikliği geri alın ve konsoldan erişimi koruyarak sağlayıcı ağ kurallarını ayrı inceleyin.

Olası bulguyu doğru yorumlayın

Diyelim ki dışarıdan HTTPS isteği başarısız oluyor, ancak yerel dinleme listesinde web servisinin ilgili TCP portu görünüyor ve firewall günlüğünde aynı dakikada gelen bağlantı reddi kaydı bulunuyor. Bu bulgular, önce ilgili kaynak aralığı ve port için dar bir izin kuralının incelenmesini gerektirir; veritabanı portunu açmak veya tüm gelen trafiğe izin vermek doğru düzeltme değildir. Kural değiştirildikten sonra aynı HTTPS adresini tekrar açın ve yeni zaman damgalı kayıtta reddin kaybolduğunu kontrol edin.

Bağlantı düzelmezse geri dönüş ve sınırlar

Kurallar doğru göründüğü halde bağlantı yoksa üç katmanı ayırın: sunucudaki firewall, sağlayıcının ağ güvenlik grubu ve uygulamanın kendi dinleme ayarı. Sadece firewall kaydında ret varsa firewall kuralını düzeltin; sağlayıcı panelinde engel varsa sunucu içindeki değişiklik bunu aşamaz. Uygulama hiç dinlemiyorsa firewall’ı gevşetmek yerine uygulama yapılandırmasını ve servis durumunu kontrol edin.

Uzak erişimi kaybederseniz yeni rastgele izinler eklemeyin. Sağlayıcı konsolundan son firewall değişikliğini geri alın veya kaydettiğiniz önceki kural setini kontrollü biçimde yükleyin; ardından yalnızca yönetim portu için dar bir kural ekleyerek tekrar deneyin. Değişiklikleri küçük ve geri alınabilir tutmak, sunucuyu korurken yönetim erişiminin kalıcı olarak kapanması riskini azaltır. Sunucu ve ağ güvenliği seçeneklerini birlikte gözden geçirmek için İyibirNet sitesindeki ilgili hizmet bilgilerini de inceleyebilirsiniz.

Bir sonraki adım olarak mevcut dinleme portlarını, SSH erişim kaynağını ve sağlayıcı tarafındaki ağ kurallarını tek bir listede karşılaştırın; listede karşılığı olmayan hiçbir port için izin eklemeyin.