Linux sunucu ilk kurulum ve sertleştirme

Bu rehberde ne yapacağız?

Bu rehberde yeni kurulmuş bir Linux sunucuyu canlıya almadan önce Linux sunucu sertleştirme adımlarından geçireceksiniz: güncelleme, yönetici kullanıcı, SSH, güvenlik duvarı, otomatik güvenlik yamaları, zaman eşitleme, açık servis denetimi ve birkaç güvenli çekirdek ayarı. Hosting ve uygulama sunucusu hazırlayan yöneticiler içindir.

Tahmini süre: 40-60 dakika. SSH ve güvenlik duvarı değişikliklerinde erişim kaybına karşı ikinci bir oturumu açık tutun.

Gereksinimler

• Yeni kurulmuş Debian/Ubuntu veya AlmaLinux/Rocky sunucu ve root ya da sudo yetkisi
• Sunucuya konsoldan (bulut paneli veya IPMI) erişim imkanı
• Hangi servislerin (web, veritabanı, posta) çalışacağı bilgisi; açılacak portları buna göre planlayın
• Canlı sunucuda değişiklik yapıyorsanız önce yedek alın

Adım adım Linux sunucu sertleştirme

1. Sistemi güncelleyin

# Debian/Ubuntu
sudo apt update && sudo apt upgrade
# AlmaLinux/Rocky
sudo dnf upgrade

Çekirdek güncellendiyse bakım penceresinde sunucuyu yeniden başlatın.

2. Yönetici kullanıcı oluşturun

Günlük yönetim için root yerine ayrı bir kullanıcı kullanın. Ayrıntılar için kullanıcı ve sudo yönetimi konusuna bakabilirsiniz.

# Debian/Ubuntu
sudo adduser yonetici
sudo usermod -aG sudo yonetici
# AlmaLinux/Rocky
sudo useradd -m yonetici && sudo passwd yonetici
sudo usermod -aG wheel yonetici

3. SSH’ı sertleştirin

Yönetici kullanıcıya anahtarınızı ekledikten ve yeni oturumda girişi doğruladıktan sonra root ve parola girişini kapatın. Ayarı ayrı bir dosyaya yazın ve sözdizimini denetleyin; mevcut oturumu kapatmayın.

sudo tee /etc/ssh/sshd_config.d/01-guvenlik.conf > /dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
MaxAuthTries 3
EOF
sudo sshd -t && sudo systemctl reload ssh

RHEL tabanlı sistemlerde servis adı sshd’dir. sshd_config.d içinde ilk okunan değer geçerli olduğundan dosya adını düşük numarayla başlatın ve etkin değerleri sshd -T ile doğrulayın.

4. Güvenlik duvarını yapılandırın

Varsayılan olarak gelen bağlantıları reddedip yalnızca gerekenlere izin verin. Uyarı: SSH portuna izin vermeden güvenlik duvarını etkinleştirmeyin, aksi halde erişiminiz kesilir.

# Debian/Ubuntu (UFW; Debian’da önce kurulmalıdır)
sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

# AlmaLinux/Rocky (firewalld)
sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

5. Otomatik güvenlik güncellemelerini açın

# Debian/Ubuntu
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
# AlmaLinux/Rocky
sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic.timer

RHEL tabanlı sistemlerde /etc/dnf/automatic.conf dosyasında apply_updates ayarının istediğiniz biçimde olduğunu kontrol edin; yalnızca güvenlik güncellemelerini uygulamak için dosyadaki upgrade_type seçeneğine bakın. Otomatik güncellemelerin üretimde servislerinizi etkilememesi için uygulamaya özel kararınızı verin.

6. Zaman eşitlemesini doğrulayın

Doğru saat, günlük analizi ve sertifika doğrulaması için gereklidir.

sudo timedatectl set-timezone Europe/Istanbul
timedatectl status

Çıktıda System clock synchronized: yes görünmelidir. Görünmüyorsa chrony (RHEL) veya systemd-timesyncd (Debian/Ubuntu) servisini kontrol edin.

7. Açık portları ve çalışan servisleri gözden geçirin

sudo ss -tulpn
systemctl list-unit-files --state=enabled

Gerekmeyen servisleri durdurup devre dışı bırakın: sudo systemctl disable --now servis-adi. Bir servisin ne işe yaradığından emin değilseniz kapatmadan önce araştırın.

8. Güvenli çekirdek ağ ayarlarını uygulayın

Aşağıdaki ayarlar yaygın ve genellikle güvenlidir. Yönlendirici veya VPN sunucusu gibi özel görevi olan makinede bazıları uygun olmayabilir; uygulamadan önce rolünüzü düşünün.

sudo tee /etc/sysctl.d/99-guvenlik.conf > /dev/null <<'EOF'
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
EOF
sudo sysctl --system

Doğrulama

sudo sshd -T | grep -Ei 'permitrootlogin|passwordauthentication'
sudo ufw status verbose
# RHEL tabanlı sistemlerde: sudo firewall-cmd --list-all
sudo ss -tulpn
sysctl net.ipv4.tcp_syncookies
timedatectl status
systemctl list-timers | grep -Ei 'apt|dnf'

• SSH’ta root ve parola girişi kapalı olmalı
• Güvenlik duvarı etkin ve yalnızca planlanan portlara izin veriyor olmalı
• ss çıktısında beklenmedik dinleyen servis bulunmamalı
• Otomatik güncelleme servisi/zamanlayıcısı etkin olmalı

Sık karşılaşılan sorunlar

• Güvenlik duvarı sonrası SSH kesildi: Konsoldan girip kuralı ekleyin (ufw allow 22/tcp) veya güvenlik duvarını geçici kapatın.
• SSH ayarı sonrası giriş yapılamıyor: Anahtarın doğru kullanıcıda olduğunu ve sshd -t çıktısını kontrol edin; konsol erişimiyle düzeltin.
• Otomatik güncelleme servisleri yeniden başlattı: Kritik servisler için bakım penceresi tanımlayın veya yalnızca güvenlik güncellemelerini otomatikleştirin.
• sysctl ayarı uygulanmıyor: Dosya adının .conf ile bittiğini ve sysctl --system çıktısındaki hataları kontrol edin.
• Saat senkron değil: Ağ çıkışında NTP (UDP 123) engellenmiş olabilir; zaman servisinin durumunu inceleyin.

Güvenlik ve bakım notları

• Sertleştirme sonrası yapılandırmayı belgeleyin ve yedekleyin
• En az yetki ilkesine uyun; paylaşılan hesap kullanmayın
• Düzenli güncelleme, günlük inceleme ve yedek geri yükleme testi yapın
• Fail2ban benzeri bir kaba kuvvet koruması ekleyin
• Gereksiz yazılım kurmayın; her paket saldırı yüzeyini büyütür
• SELinux veya AppArmor’ı etkin tutun