Yeni: her katmanı yedekli bulut sunucu artık tüm paketlerde, ek ücret yok!

CloudBT
Güvenlik

Sunucu Firewall Kuralları Nasıl Ayarlanır? Yeni Başlayanlar İçin Rehber

CloudBT Ekibi2 dk okuma

Yeni bir sunucunun tüm portları dünyaya açıktır. Kurduğunuz her servis (veritabanı, Redis, yönetim paneli) varsayılan portunda dinlemeye başlar ve siz fark etmeden internetten erişilebilir hale gelir. Firewall, bu kapıları kapatıp yalnızca gerekenleri açmanızı sağlar. Doğru yaklaşım basittir: önce her şeyi kapat, sonra gerekeni aç.

İki katman: panel Firewall'u ve sunucu içi Firewall

CloudBT Firewall'u sunucunun dışında, ağ katmanında çalışır; kurallar panelden yönetilir ve trafik sunucunuza ulaşmadan filtrelenir. Sunucu içindeki UFW ya da firewalld ise işletim sistemi düzeyinde ikinci bir katmandır. Dıştaki Firewall tek başına yeterlidir; ikisini birlikte kullanmak isterseniz kuralların birbirini tutmasına dikkat edin, aksi halde "neden bağlanamıyorum" sorusunun cevabını iki yerde ararsınız.

Temel kural: varsayılan olarak kapalı

Gelen trafik için varsayılan politika "engelle" olmalıdır. Giden trafik genellikle açık bırakılır; sunucunuz güncelleme indirmeli, API'lere ulaşabilmelidir.

Örnek kural setleri

  • Web sunucusu: 80 ve 443 TCP herkese açık. SSH portu yalnızca kendi IP adresinize. Diğer her şey kapalı.

  • Veritabanı sunucusu: 5432 (PostgreSQL) ya da 3306 (MariaDB) yalnızca uygulama sunucunuzun IP'sine açık. İnternete asla açmayın. VDC projelerinde Private Network kullanın; bu durumda veritabanı portunun public tarafta hiç açılması gerekmez.

  • Otomasyon sunucusu (n8n): Webhook için kullandığınız port herkese açık, yönetim arayüzü yalnızca kendi IP'nize.

  • Docker konteynerleri: Konteynerin yayınladığı port, dış Firewall'da açılmadıkça erişilemez; bu istediğiniz davranıştır. Yalnızca dışarıya sunduğunuz portları açın.

Kendi IP adresinize sınırlamak

Evden ya da ofisten sabit bir IP ile bağlanıyorsanız SSH ve yönetim panellerini yalnızca o IP'ye açın. IP'niz değişkense WireGuard VPN kurup yönetim portlarını yalnızca VPN ağına açmak en temiz çözümdür; WireGuard panelden tek tıkla kurulur. Sanal Veri Merkezi projelerinde VPN erişimi pakete dahildir.

Kendinizi dışarıda bırakırsanız

Yanlış bir kural SSH erişiminizi kesebilir. Panik gerek yok: CloudBT panelindeki tarayıcı konsolu Firewall'dan bağımsız çalışır. Konsoldan bağlanıp kuralı düzeltin ya da panelden hatalı kuralı silin. Büyük kural değişikliklerinden önce snapshot almak bu riski de ortadan kaldırır.

Sunucu içinde UFW kullanacaksanız

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from KENDI_IP to any port 22 proto tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status numbered

UFW'yi etkinleştirmeden önce SSH kuralını eklediğinizden emin olun; aksi halde mevcut oturumunuz kapandığında bir daha bağlanamazsınız.

Firewall, Security Group ve WireGuard VPN panelden yönetilir.

Altyapımızı İnceleyin

İlgili Yazılar