Taze kiraladığınız bir Linux VDS sunucunun kapısı (portları) ilk dakikadan itibaren Dünya'ya açıktır. İnternette kol gezen botnetler birkaç dakika içinde FTP (21) veya SSH (22) kapınızı fırçalamaya başlar. Linux Iptables kütüphanesini basitleştirip muazzam bir sur yaratan UFW aracı hayat kurtarır.
IP Tables Karmaşasına Son: UFW (Uncomplicated Firewall)
Çekirdekte çalışan köklü Güvenlik Duvarı kütüphanesi iptables'tır. Fakat Iptables'a kural yazmak, bir yazılım dili bilmek kadar terim ve Syntax ("-A INPUT -p tcp --dport 22 -j ACCEPT") karmaşası içerir. Yapacağınız ufacık bir yazım hatasında bağlantınız kopar ve kendi sunucunuzdan atılırsınız.
UFW, Iptables motorunun üzerine yazılmış bir "İnsan Dilinde Firewall Arayüzüdür". Sadece ufw allow 80 yazarsınız o kendisi kütüphaneye gerekli kodları serpiştirir.
Güvenlik Duvarı Kalkanını Örüyoruz
ÖNEMLİ DİPNOT: İlk kural Firewall'ı aktifleştirmek OLMAMALIDIR. Eğer şu anda duvar komutunu girerseniz SSH kapınızı da kilitler ve sunucudan kalıcı kovulursunuz. Anahtarı elinizde tutmanız lazım. Bunun için Firewall'ı başlatmadan önce "İzin Verilecek Portları" listeye sırayla kazıyoruz.
-
SSH Kapısını (Sizin Bağlantınızı) Açık Bırakın:
sudo ufw allow 22/tcp -
Web Sitesi Ziyaretçi Portu (HTTP - 80) İzni:
sudo ufw allow 80/tcp -
Güvenli Web Traffic Kapısı (HTTPS - 443) İzni:
sudo ufw allow 443/tcp -
(Varsa) MySQL Veritabanı Portuna (Sadece İhtiyacınız Varsa) İzin:
sudo ufw allow 3306/tcp
Dışarıya hizmet vermiyorsanız mysql'i açmayın!
Güvenlik Zırhını Uykudan Kaldırın
Tüm izinleri (Allow List) başarıyla tanımladıktan sonra şu destansı komutu giriyoruz:
# Duvarı aktif et!
sudo ufw enable
# Çalışıyor mu kontrolü (Aktif kuralları yeşil kırmızı sergiler).
sudo ufw status verbose
Tebrikler. Şuan VDS ağınızdaki "Belirlediğiniz 3 delik" haricindeki milyarlarca açık port kör düğüm ile dışarı kapatıldı! Biri sitenize girmeye çalışırsa 80 portu geçit verir. Ancak sunucunun Redis portuna (6379) ping atarsa sistem onu sanki sunucu kapalıymış gibi "Drop - Yoksay" diyerek dışarı boşluğa atar.
🚀 Üzerinizdeki Güvenlik Yükünü Layer 7'ye Bırakın
Her ne kadar siz içeriden kilit vursanız da, hacker'lar açık bıraktığınız izinli Web Port (443) kapısına DDoS ile tonlarca yük atarak ağ trafiğini şişirebilir. HazalHost Donanımsal DDoS Katman kalkanı sunucunuza sahte veri girmeden dış asma noktada düşmanı buharlaştırır.
Spesifik Düşman Banlama (IP Yoksayma)
Log kayıtlarında (Var/log) sürekli 45.45.XX.XX IP adresinden SQL Injection saldırısı yediğinizi görüyorsunuz. Kırmızı kitabı açıyoruz:
# İlgili IP'nin hiçbir şekilde sunucumuza erişememesi hükmü
sudo ufw deny from 45.45.45.45
# Kuralı geri almak (Affetmek)
sudo ufw delete deny from 45.45.45.45
Sonuç
UFW kullanmak bir web veya sistem yöneticisi için artık standart Linux kütüphanesidir. Yazdığınız kod ne kadar hızlı veya temiz olursa olsun; portları ardına kadar açık bir VDS, virüslerin ve madencilik (mining) troyanlarının çiftliğine dönmeye 15 dakikada mahkumdur. Kilitsiz evde kod yazılmaz!