Sunucu Güvenliğinde UFW (Uncomplicated Firewall) Kullanımı

Linux sunucu kiraladın, içine uygulamanı kurdun. Ancak internetteki binlerce kötü niyetli bot, saniyeler içinde sunucundaki açık portları (kapıları) taramaya başlar. Açık bırakılan ama kullanılmayan her port bir güvenlik zafiyetidir. Ubuntu ve Debian'da port yönetimini kolaylaştıran UFW (Uncomplicated Firewall) kullanımı her yöneticinin bilmesi gereken bir önlemdir.

UFW Nedir ve Neden Gereklidir?

Normal şartlarda Linux'un ana firewall yapısı iptables'tır. Ancak iptables kuralları yazmak karmaşıktır ve hata yapmaya müsaittir. UFW, iptables'ın üzerine giydirilmiş kullanıcı dostu bir arayüzdür. Tek komutla port açıp kapatmanı sağlar.

UFW'nin temel felsefesi: "İzin verilmeyen her bağlantıyı reddet, sadece benim açıkça izin verdiğim portlardan içeriye bağlantı gelsin."

1. UFW Kontrolü ve Varsayılan Ayarlar

Ubuntu'da UFW genellikle yüklü gelir. Ancak deaktif (inactive) durumdadır.

# UFW'nin durumunu kontrol et
sudo ufw status

# Sisteme giren her şeyi engelle, dışarı çıkanlara izin ver
sudo ufw default deny incoming
sudo ufw default allow outgoing

2. KRİTİK ADIM: SSH'a İzin Verme!

Bir VDS yönetirken yapabileceğin en büyük hata, SSH'a (Port 22) izin vermeden UFW'yi aktif hale getirmektir. Bu durumda kendi sunucuna ait kapıyı kendi üzerine kilitlemiş ve anahtarı kaybetmiş olursun! WHD paneli kurtarma modunu kullanman gerekir.

# SSH (varsayılan 22 ise) portuna izin ver
sudo ufw allow ssh

# Eğer SSH portunu 1992 olarak değiştirdiysen:
sudo ufw allow 1992/tcp

Artık UFW'i güvenle aktif edebilirsin:

sudo ufw enable

3. En Çok Kullanılan UFW Komutları

Web Sunucusu (Nginx/Apache) İçin Port Açma

sudo ufw allow http     # (Port 80 TCP açar)
sudo ufw allow https    # (Port 443 TCP açar)

Veya ikisini birden açmak istiyorsan, UFW'nin hazır "Nginx Full" veya "Apache Full" profillerini kullanabilirsin:

sudo ufw allow 'Nginx Full'

Belirli Bir Portu Kapatma / İzni Silme

# Mevcut bir kuralı silmek
sudo ufw delete allow 80/tcp

Belirli Bir IP'ye Tam Erişim Verme (White List)

Sadece kendi sabit (statik) IP'nizden veritabanı portuna (3306) erişmek istiyorsanız:

sudo ufw allow from 192.168.1.100 to any port 3306

Karaliste: Belirli Saldırgan IP'lerini Engelleme (Black List)

Sitenize veya sunucunuza sürekli istek atan sinir bozucu bir Bot/IP tespit ettiniz:

sudo ufw deny from 203.0.113.50

Diğer Oyun ve Uygulama Portları

• Minecraft (Java): sudo ufw allow 25565/tcp
• FiveM: sudo ufw allow 30120/tcp ve sudo ufw allow 30120/udp
• Redis: Eğer yerel cihazlar arası iletişim kurmuyorsa dışarıya AÇMAYIN!

Sonuç

Herhangi bir linux kurulumunun ilk sıfırıncı gün yapılandırması UFW ile kullanılmayan bağlantı noktalarının dünyaya kapatılması olmasıdır. Bu sayede gün yüzüne çıkmamış Zero-Day açıklarından bile (saldırgan portlara ulaşamadığı için) önemli ölçüde kurtulmuş olursunuz.