Önce hangi adımı yapmalıyım?

Önce sistemi güncelleyin, sonra sudo kullanıcı ve SSH anahtarını kurun, anahtarla girişi doğruladıktan sonra root ve parola girişini kapatın, en son güvenlik duvarını açın. Bu sıra kendinizi dışarıda bırakma riskini azaltır.

SSH portunu 22'den değiştirmeli miyim?

Zorunlu değildir. Port değişikliği log gürültüsünü azaltır ama gerçek koruma sağlamaz. Asıl önlem anahtar tabanlı giriş ve parolanın kapatılmasıdır. Değiştirirseniz güvenlik duvarında yeni portu da açmayı unutmayın.

Fail2ban olmadan da güvende olur muyum?

Parola girişini kapattıysanız kaba kuvvet saldırısı başarılı olamaz; fail2ban log gürültüsünü ve gereksiz yükü azaltan ek bir katmandır. Web uygulamaları için ek jail'ler tanımlamak da faydalıdır.

Yeni VPS’te ilk 10 dakikada yapılacaklar

SunucuGüvenlik

Ara…Ctrl K

Menü

1. Sunucuya bağlanın ve güncelleyin

bash

ssh root@SUNUCU_IP

bash

# Debian / Ubuntu
apt update && apt upgrade -y

# AlmaLinux / Rocky
dnf upgrade -y

Çekirdek güncellendiyse işlem bitince reboot ile yeniden başlatıp tekrar bağlanın.

2. Sudo yetkili kullanıcı oluşturun

Bundan sonra root ile çalışmayacağız. KULLANICI yerine kendi adınızı yazın.

bash

# Debian / Ubuntu
adduser KULLANICI
usermod -aG sudo KULLANICI

# AlmaLinux / Rocky
useradd -m KULLANICI
passwd KULLANICI
usermod -aG wheel KULLANICI

3. SSH anahtarı ekleyin

Kendi bilgisayarınızda anahtar çifti üretin ve açık anahtarı yeni kullanıcıya kopyalayın.

bash

ssh-keygen -t ed25519
ssh-copy-id KULLANICI@SUNUCU_IP

Windows'ta ssh-copy-id yoksa açık anahtarı elle ekleyebilirsiniz: sunucuda su - KULLANICI ile KULLANICI hesabına geçip ~/.ssh/authorized_keys dosyasına açık anahtar satırını yapıştırın ve izinleri ayarlayın.

bash

mkdir -p ~/.ssh && chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Yeni bir terminal penceresi açıp ssh KULLANICI@SUNUCU_IP ile parolasız girebildiğinizi doğrulayın.

4. Root ve parola girişini kapatın

Uyarı: Anahtarla girişin çalıştığını yeni bir pencerede doğrulamadan bu adımı yapmayın. Mevcut oturumu açık tutun, değişiklikten sonra ikinci oturumla deneyin. Olmazsa sağlayıcı panelinin web konsolundan düzeltirsiniz.

bash

sudo nano /etc/ssh/sshd_config.d/01-hardening.conf

conf

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

bash

sudo sshd -t
sudo systemctl reload ssh     # Debian / Ubuntu
sudo systemctl reload sshd    # AlmaLinux / Rocky

sshd bir ayar için okuduğu ilk değeri kullanır ve /etc/ssh/sshd_config.d/ altındaki dosyaları alfabetik sırayla okur. Dosya adının 01- ile başlaması, bulut imajlarındaki 50-cloud-init.conf gibi dosyaların ayarınızı ezmesini önler. AlmaLinux/Rocky 8'de bu dizin varsayılan olarak okunmayabilir; o durumda ayarları /etc/ssh/sshd_config dosyasına yazın. Doğrulama bölümündeki sshd -T komutu geçerli değeri gösterir.

5. Güvenlik duvarını kurun

Önce SSH'a izin verin, sonra güvenlik duvarını etkinleştirin. Sırayı karıştırırsanız bağlantınız kopar.

bash

# Debian / Ubuntu
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable

# AlmaLinux / Rocky
sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload

Web sitesi barındıracaksanız 80 ve 443 portlarını da açın. Ayrıntılar için UFW rehberine bakabilirsiniz; burada yalnızca temel kurulumu yapıyoruz.

6. Fail2ban kurun

bash

# Debian / Ubuntu
sudo apt install -y fail2ban

# AlmaLinux / Rocky
sudo dnf install -y epel-release && sudo dnf install -y fail2ban

sudo systemctl enable --now fail2ban

EPEL paketinde sshd jail'i varsayılan olarak açık gelmeyebilir. /etc/fail2ban/jail.local dosyasına aşağıdakini yazıp sudo systemctl restart fail2ban ile uygulayın; Debian/Ubuntu'da da zararsızdır.

ini

[sshd]
enabled = true
# /var/log/auth.log tutulmayan sistemlerde jail başlamazsa:
# backend = systemd

Doğrulama

bash

sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo ufw status verbose        # Debian / Ubuntu
sudo firewall-cmd --list-all   # AlmaLinux / Rocky
sudo fail2ban-client status sshd
sudo ss -tlnp

Beklenen sonuç: permitrootlogin no ve passwordauthentication no, güvenlik duvarının aktif olması, fail2ban'da sshd jail'inin görünmesi ve sudo ss -tlnp çıktısında yalnızca beklediğiniz servislerin dinlemesidir. Ayrıca root olarak SSH denemesi yaparsanız reddedilmelidir.

Yeni VPS’te ilk 10 dakikada yapılacaklar

Bu rehberde ne yapacağız?

Gereksinimler

Adım adım yeni VPS güvenliği

1. Sunucuya bağlanın ve güncelleyin

2. Sudo yetkili kullanıcı oluşturun

3. SSH anahtarı ekleyin

4. Root ve parola girişini kapatın

5. Güvenlik duvarını kurun

6. Fail2ban kurun

7. Saat dilimi ve ana makine adı

Doğrulama

Sık karşılaşılan sorunlar

Güvenlik ve bakım notları

Sık sorulan sorular

İlgili sözlük terimleri

Bu kategorideki diğer rehberler