Komutları üretim sunucusunda çalıştırmadan önce yedek alın ve mümkünse bir test ortamında deneyin. Yönetim erişiminizi (SSH, panel) kaybetmemek için ayar değişikliklerinde açık bir ikinci oturum bulundurun.
Bu rehberde ne yapacağız?
Bu rehber, VMware ESXi güvenlik sertleştirme için ürün sürümünden bağımsız genel ilkeleri ve uygulama planını anlatır. Ürüne özgü ayar adları ve komutlar sürüme göre değiştiği için bu rehberde belirli parametre değerleri verilmez; ayrıntılar için Broadcom/VMware’in sürümünüze ait resmi güvenlik yapılandırma kılavuzu esas alınmalıdır. Hedef kitle ESXi ve vCenter ortamı yöneten hosting ve sistem yöneticileridir.
Tahmini süre: planlama ve uygulama için ortam büyüklüğüne bağlı olarak birkaç saat. Her değişikliği önce test ortamında deneyin.
Gereksinimler
- Yönetici yetkisiyle erişebildiğiniz bir ESXi sunucusu veya vCenter ortamı
- Sürümünüze ait resmi güvenlik yapılandırma kılavuzu ve sürüm notları
- Bakım penceresi planı; bazı değişiklikler ana bilgisayarın bakım modunda yeniden başlatılmasını gerektirebilir
- Güncel yapılandırma ve sanal makine yedekleri; değişikliklerden önce geri dönüş yolunu hazırlayın
Adım adım ESXi güvenlik sertleştirme planı
1. Mevcut durumu envantere alın
Hangi ESXi sürümlerinin, hangi yama düzeyinin, hangi yönetim arayüzlerinin ve hangi servislerin açık olduğunu bir tabloya yazın. Bu envanter, kılavuzdaki önerilerle kıyaslama yapmanızı sağlar. Sertleştirmeden önce yapılandırmanın yedeğini alın.
2. Yönetim ağını yalıtın
ESXi yönetim arayüzünü (web istemcisi, SSH, API) yalnızca ayrı bir yönetim ağından veya VPN üzerinden erişilebilir yapın. Yönetim ağını sanal makine ve depolama ağından ayırın ve internete doğrudan açmayın. Güvenlik duvarı ve ağ erişim listeleriyle kaynak adresleri sınırlayın. ESXi’nin kendi ana bilgisayar güvenlik duvarı ayarlarını da yalnızca gereken servis ve kaynaklara izin verecek biçimde gözden geçirin.
Kısıtların işe yaradığını yönetim ağı dışındaki bir Linux makineden basit bir port taramasıyla görebilirsiniz. Yalnızca kendi altyapınızı tarayın; yönetim portlarının filtered veya closed görünmesi beklenir.
nmap -Pn -p 22,443 ESXI_ADRESI3. Yama ve sürüm yönetimini düzene sokun
Üreticinin yayımladığı güvenlik yamalarını ve güvenlik duyurularını izleyin; destek süresi dolmuş sürümleri güncelleyin. Yamaları önce test ortamında deneyin, ardından ana bilgisayarları sırayla bakım moduna alarak güncelleyin. vCenter ve ESXi sürümlerinin uyumluluğunu üreticinin uyumluluk belgelerinden doğrulayın.
4. Gereksiz servisleri kapatın
SSH ve ESXi Shell gibi servisleri yalnızca bakım sırasında etkinleştirin, iş bitince kapatın. Kullanılmayan servisleri ve protokolleri devre dışı bırakın. Hangi servislerin gerekli olduğuna sürümünüzün kılavuzundan karar verin; varsayılanları bilmeden toplu kapatma yapmayın.
5. Kimlik doğrulama ve yetkilendirmeyi güçlendirin
Ortak root hesabı yerine kişiye özel hesapları dizin hizmeti (örneğin Active Directory) veya vCenter tümleşik kimliğiyle kullanın. Rolleri en az yetki ilkesine göre atayın; denetçi, operatör ve yönetici rollerini ayırın. Güçlü parola politikası ve hesap kilitleme ayarlarını uygulayın, mümkünse çok faktörlü doğrulamayı vCenter düzeyinde etkinleştirin. Root parolasını güvenli bir parola kasasında saklayın.
6. Sertifikalar ve şifreleme
Varsayılan kendinden imzalı sertifikalar yerine kurumsal sertifika otoritesinin sertifikalarını kullanmayı değerlendirin. Güvenli olmayan eski protokollerin ve zayıf şifreleme paketlerinin kapatılması için kılavuzdaki önerileri izleyin. Hassas sanal makineler için sanal makine şifrelemesi ve anahtar yönetimi seçeneklerini üreticinin belgelerinden inceleyin.
Sunucunun sunduğu sertifikanın konusunu, vereni ve geçerlilik tarihlerini bir istemciden şu komutla görebilirsiniz.
openssl s_client -connect ESXI_ADRESI:443 </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates7. Günlükleri merkezi sisteme gönderin
ESXi günlüklerini uzak bir syslog sunucusuna gönderin ve yerel günlüklerin kalıcı bir depoda tutulduğundan emin olun; böylece yeniden başlatma sonrası da iz kalır. Zaman eşitlemesini (NTP) tüm ana bilgisayarlarda aynı kaynağa ayarlayın ki günlükler karşılaştırılabilsin. Başarısız girişler ve yetki değişiklikleri için uyarı kuralları oluşturun.
8. Sanal makine ve yedekleme tarafını sertleştirin
Sanal makinelerde kullanılmayan sanal aygıtları (disket, seri port, CD-ROM) kaldırın, konuk işletim sistemine ana bilgisayar işlevlerini açan gereksiz özellikleri kapatın. Yedekleme sistemini yönetim ağından yalıtılmış ve kimlik bilgileri korunmuş biçimde işletin; yedekleri değiştirilemez (immutable) veya çevrimdışı bir kopya ile de saklayın. Düzenli geri yükleme testi yapın.
Doğrulama
ESXi sürümünüzün belgelerinde önerilen uyumluluk denetim araçlarıyla veya kılavuzdaki kontrol listesiyle ayarları doğrulayın. Genel kontrol listesi:
- Yönetim arayüzüne yalnızca yönetim ağından erişilebildiği, dışarıdan erişimin engellendiği bir tarama ile doğrulanmalı
- SSH ve ESXi Shell bakım dışında kapalı olmalı
- Sürüm ve yama düzeyi üreticinin güncel güvenlik duyurularıyla uyumlu olmalı
- Uzak syslog sunucusunda ESXi günlükleri görünmeli
- Kişiye özel hesaplar çalışmalı, ortak hesap kullanımı sona ermiş olmalı
Sık karşılaşılan sorunlar
- Yönetim erişimi kesildi: Ağ veya güvenlik duvarı kısıtı fazla sıkı uygulanmıştır; fiziksel konsol (DCUI) ya da bant dışı yönetim arabirimi (iLO, iDRAC gibi) üzerinden geri alın. Değişiklikten önce geri dönüş planı hazırlayın.
- vCenter ana bilgisayara bağlanamıyor: Sertifika, zaman farkı veya güvenlik duvarı kuralları nedeniyle olabilir; saat eşitlemesini ve sertifika durumunu kontrol edin.
- Yama sonrası uyumsuzluk: Donanım ve sürücü uyumluluğu üretici uyumluluk listesinden doğrulanmalıdır.
- Günlük sunucusuna veri gelmiyor: Syslog hedefi, protokol ve ana bilgisayar güvenlik duvarı kuralı kontrol edilmelidir.
- Dizin hizmeti ile girişte hata: DNS, zaman eşitlemesi ve etki alanı yetkileri doğrulanmalıdır.
Güvenlik ve bakım notları
- Sertleştirmeyi tek seferlik iş olarak görmeyin; sürüm yükseltmeleri sonrası kılavuzu yeniden uygulayın
- Değişiklikleri bir değişiklik yönetimi kaydıyla belgeleyin
- Fidye yazılımı saldırılarına karşı yönetim ağı, yedekleme ağı ve kimlik bilgilerini ayrı tutun
- Erişim hesaplarını ve rolleri en az üç ayda bir gözden geçirin
- Üretici güvenlik duyurularına abone olun ve kritik yamaları gecikmeden planlayın
- Kritik ayarlar için resmi güvenlik yapılandırma kılavuzunu temel alın; rehberlerden alınan tekil ayar değerlerini doğrulamadan uygulamayın
Sık sorulan sorular
Hangi ayarların uygulanacağını nereden öğrenirim?
Broadcom/VMware, ürün sürümlerine özel güvenlik yapılandırma kılavuzları yayımlar. Bu kılavuz her ayar için önerilen değeri ve gerekçesini içerir; kendi sürümünüze ait olanı kullanmalısınız.
SSH’ı tamamen kapatmalı mıyım?
Genel ilke, SSH’ı yalnızca ihtiyaç duyulan sürede açık tutmaktır. Sorun giderme için gerektiğinde etkinleştirin, iş bittiğinde kapatın ve erişimi yönetim ağıyla sınırlayın.
Sertleştirme performansı etkiler mi?
Çoğu ayar performansı belirgin etkilemez; ancak şifreleme gibi bazı özellikler ek yük getirebilir. Üretime almadan önce test ortamında ölçüm yapın.
İlgili sözlük terimleri
Bu kategorideki diğer rehberler
- Docker Compose ile uygulamayı güvenli yayınlama (ağlar, gizli bilgiler, kaynak limitleri)Docker Compose ile uygulamayı güvenli yayınlayın: iç ağlar, secrets ile gizli bilgi yönetimi, bellek ve CPU limitleri, salt okunur dosya sistemi ve sağlık kontrolü.
- Proxmox VE’de LXC konteyner oluşturma ve yönetme (pct)Proxmox VE’de LXC konteyneri pct komutuyla oluşturun, başlatın ve yönetin: şablon indirme, kaynak ayarı, anlık görüntü, yedek ve ayrıcalıksız konteyner güvenliği.
- Proxmox VE’de cloud-init ile sanal makine şablonlarıProxmox VE’de bir cloud-init sanal makine şablonu hazırlayın; qm ile şablondan klonlayıp kullanıcı, SSH anahtarı ve IP ayarlarını saniyeler içinde tanımlayın.
- Proxmox VE küme (cluster) kurulumu: gereksinimler, pvecm, quorum ve dikkat edileceklerProxmox VE küme (cluster) kurulumunu pvecm ile adım adım yapın: ağ ve gereksinimler, düğüm ekleme, quorum mantığı, QDevice ve kümeye girerken dikkat edilecekler.