Bir sunucuyu kiralayıp hemen hizmet açmak kolay; onu güvenli hale getirmek ise genelde ertelenen iş. Oysa ilk saatlerde yapılması gereken en temel adımlardan biri güvenlik duvarını kurmak. Bu rehberde Linux'ta iki pratik yolu, yeni başlayanlar için UFW'yi ve altta yatan modern motor nftables'ı sıfırdan anlatıyorum.
Konuda anlatılacaklar
- Linux güvenlik duvarı katmanları (netfilter, iptables, nftables, UFW)
- UFW ile hızlı başlangıç
- Sık kullanılan UFW kuralları
- nftables mantığı ve temel yapı
- Örnek nftables kural seti
- Test etme ve sık hatalar
- Yasal/operasyonel not
Katmanları Anlamak
Linux'ta paket filtreleme çekirdekteki netfilter altyapısına dayanır. Üstünde tarihsel olarak iptables vardı; modern dağıtımlar artık nftables kullanıyor. UFW (Uncomplicated Firewall) ise bunların üzerine oturan, insan dostu bir ön yüzdür. Yani:
Kod:
UFW --> (arka planda) nftables/iptables --> netfilter (çekirdek)Yeni başlıyorsanız UFW ile başlayın; ne yaptığınızı anlamak isterseniz nftables'a inin.
UFW ile Hızlı Başlangıç
Kod:
sudo apt install ufw
# Varsayilan politika: gelen reddet, giden izin ver
sudo ufw default deny incoming
sudo ufw default allow outgoing
# SSH'i ACMADAN once izin verin, yoksa kendinizi kilitlersiniz!
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verboseÇok önemli uyarı: Uzak bir sunucuda UFW'yi SSH portuna izin vermeden etkinleştirirseniz bağlantınız kopar ve dışarıda kalırsınız. Önce SSH'e izin, sonra enable.
Sık Kullanılan UFW Kuralları
Kod:
# Web sunucusu
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# Belirli bir IP'den SSH
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp
# Bir portu kapatma / kuralı silme
sudo ufw deny 23/tcp
sudo ufw delete allow 80/tcp
# Oran sinirlama (brute force'a karsi SSH)
sudo ufw limit 22/tcpufw limit, aynı IP'den kısa sürede çok bağlantı gelirse engeller; SSH kaba kuvvetine karşı basit ama etkili bir önlem.
nftables Mantığı
nftables'ta yapı şöyledir: table (aile: ip, ip6, inet) içinde chain'ler, chain içinde rule'lar bulunur. "inet" ailesi hem IPv4 hem IPv6 için tek yerde kural yazmayı sağlar.
Kod:
sudo apt install nftables
sudo systemctl enable --now nftablesÖrnek nftables Kural Seti
/etc/nftables.conf içine temel ve güvenli bir başlangıç:
Kod:
#!/usr/sbin/nft -f
flush ruleset
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
# Mevcut baglantilar ve loopback
ct state established,related accept
iif "lo" accept
# ICMP (ping) - istege bagli
ip protocol icmp accept
ip6 nexthdr icmpv6 accept
# SSH (oran sinirli)
tcp dport 22 ct state new limit rate 10/minute accept
# Web
tcp dport { 80, 443 } accept
# Geri kalan her sey dusurulur (policy drop)
}
chain forward { type filter hook forward priority 0; policy drop; }
chain output { type filter hook output priority 0; policy accept; }
}Yüklemek ve kontrol:
Kod:
sudo nft -f /etc/nftables.conf
sudo nft list rulesetBurada da aynı uyarı geçerli: policy drop koymadan önce SSH kuralının doğru olduğundan emin olun.
Test Etme ve Sık Hatalar
- Değişiklik öncesi ikinci bir oturum/konsol erişimi (ör. sağlayıcının web konsolu) hazır tutun.
- Kuralları başka bir makineden nmap ile doğrulayın: sadece beklenen portlar açık mı?
- UFW ve ham nftables kurallarını aynı anda elle karıştırmayın; birini seçin.
- Giden (output) trafiği gereksiz yere tamamen kapatmak sistem güncellemelerini bozabilir; dikkatli daraltın.
- IPv6'yı unutmayın; sadece IPv4 kuralı yazmak yanıltıcı bir güvenlik hissi verir.
Sonuç
Güvenlik duvarı, sunucu sertleştirmenin ilk ve en ucuz adımı. UFW ile başlayın, mantığı oturunca nftables ile ince ayara geçin. Siz sunucularınızda hangi varsayılan kural setini kullanıyorsunuz, yorumlarda paylaşın; güzel bir şablon arşivi çıkabilir.
Yasal/Operasyonel Not
Bu rehber kendi sunucunuzu/sisteminizi korumak içindir. Yapılandırmayı yalnızca yönettiğiniz sistemlerde uygulayın; yanlış kural uzaktan erişiminizi kesebilir, önce test ortamında deneyin.
Görsel: TurkTeam özgün kapak görseli
İmza
TurkTeam Yonetim | Bilgi ozgurdur, etik yon verir. | Beyaz sapkayi hic cikarma.