Yönetim ağını ayırma ve ağ cihazı erişim güvenliği

Bu rehberde ne yapacağız?

Bu rehberde sunucu ve ağ cihazlarınızın yönetim arayüzlerini genel ağdan ayıran bir yönetim ağı tasarlayacak, bir atlama sunucusu (bastion) üzerinden SSH ile güvenli erişim kuracak ve ağ cihazı erişimini sertleştirecek ilkeleri uygulayacaksınız. Hosting ve sunucu yöneticileri için hazırlanmıştır; yaklaşık 1 saat sürer.

Yönetim arayüzleri (SSH, web arayüzü, IPMI/BMC, SNMP) ele geçirildiğinde saldırgan tüm cihaza hakim olur. Bu nedenle bu arayüzlerin yalnızca ayrı, kontrollü bir ağdan erişilebilir olması en etkili önlemlerden biridir. Ağ cihazlarının komutları üreticiye göre değiştiği için ilkeleri üretici bağımsız anlatıyoruz.

Gereksinimler

• VLAN veya fiziksel olarak ayrı bir yönetim ağı oluşturabilecek altyapı
• Bir atlama sunucusu için Debian/Ubuntu veya AlmaLinux/Rocky makine ve sudo yetkisi
• SSH anahtar çifti; anahtar tabanlı kimlik doğrulama
• Konsol erişimi: SSH ve güvenlik duvarı değişiklikleri sizi dışarıda bırakabilir; ikinci oturum açık kalsın ve yedek alın
• Yönetilecek cihazların listesi ve mevcut erişim yöntemleri

Adım adım yönetim ağını ayırma

1. Yönetim ağını tasarlayın

Yönetim için ayrı bir alt ağ ve VLAN ayırın (örneğin 10.10.10.0/24). Tüm sunucu IPMI/BMC arayüzlerini, anahtar, router ve güvenlik duvarı yönetim adreslerini bu ağa taşıyın. Bu ağ genel internete yönlendirilmemelidir; erişim yalnızca VPN ve bastion üzerinden olsun.

2. Atlama sunucusunu hazırlayın

Atlama sunucusu, yönetim ağına erişebilen tek giriş noktasıdır. Üzerinde mümkün olduğunca az yazılım çalıştırın, güncel tutun ve yalnızca anahtar tabanlı SSH kabul etsin.

sudo apt update && sudo apt upgrade
sudo apt install openssh-server

AlmaLinux/Rocky için sudo dnf upgrade ve sudo dnf install openssh-server kullanın.

3. SSH'ı anahtar tabanlı ve kısıtlı yapın

Uyarı: SSH ayarlarını değiştirirken mevcut oturumunuzu kapatmayın ve ikinci bir oturumla test edin. Önce anahtarınızla girişin çalıştığını doğrulayın, sonra parola girişini kapatın.

PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
MaxAuthTries 3
AllowUsers yonetici

Bu satırları /etc/ssh/sshd_config.d/00-yonetim.conf gibi ayrı bir dosyaya yazın. OpenSSH bir ayar için ilk okuduğu değeri kullanır ve bu dizindeki dosyalar alfabetik sırayla okunur; bulut imajlarındaki 50-cloud-init.conf gibi dosyalar PasswordAuthentication yes içerebileceği için dosya adını düşük bir numarayla başlatın. Ana yapılandırmada Include /etc/ssh/sshd_config.d/*.conf satırı yoksa ilgili satırları doğrudan sshd_config içinde düzenleyin; etkin değerleri sudo sshd -T ile doğrulayın. Değişiklikten önce sözdizimini test edin ve ardından servisi yeniden yükleyin.

sudo sshd -t
sudo systemctl reload ssh

RHEL tabanlı sistemlerde servis adı sshd'dir: sudo systemctl reload sshd.

4. Atlama sunucusu üzerinden bağlanın

İstemcinizde ~/.ssh/config dosyasına bir tanım ekleyerek yönetilen cihazlara bastion üzerinden bağlanın.

Host bastion
  HostName bastion.example.com
  User yonetici
  IdentityFile ~/.ssh/id_ed25519

Host sunucu-*
  User yonetici
  ProxyJump bastion

ssh sunucu-01
ssh -J yonetici@bastion.example.com yonetici@10.10.10.21

5. Güvenlik duvarında yönetim erişimini kısıtlayın

Yönetim hizmetlerine yalnızca yönetim ağı veya bastion adresinden erişime izin verin. nftables örneği:

tcp dport 22 ip saddr 10.10.10.0/24 accept

Bu kuralı mevcut güvenlik duvarı yapılandırmanıza ekleyin ve uygulamadan önce nft -c -f ile sözdizimini denetleyin. Politika varsayılan olarak drop olmalıdır.

6. Ağ cihazlarında erişimi sertleştirin

Üretici bağımsız ilkeler: Telnet ve HTTP gibi şifresiz yönetim protokollerini kapatın, SSH ve HTTPS kullanın. Varsayılan hesapları ve parolaları değiştirin. Yönetim erişimini yalnızca yönetim arayüzü ve izinli kaynak adreslerle sınırlayın. Merkezi kimlik doğrulama (RADIUS veya TACACS+) ve kişisel hesaplar kullanın; ortak hesaplardan kaçının. Zaman senkronizasyonu (NTP) ve uzak günlükleme (syslog) açın. Kullanılmayan servisleri ve portları kapatın. Komut sözdizimi için üreticinin resmi belgesine bakın.

Doğrulama

Yönetim hizmetlerinin genel ağdan erişilemediğini, bastion üzerinden erişilebildiğini doğrulayın.

ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no yonetici@bastion.example.com
ssh sunucu-01 hostname

İlk komut parola girişinin reddedildiğini (Permission denied) göstermeli, ikincisi sunucu adını döndürmelidir. Ayrıca genel ağdaki bir makineden yönetim IP'lerine bağlanmayı deneyin; bağlantı zaman aşımına uğramalıdır. Bastion'da sudo ss -tlpn ile dinleyen servisleri gözden geçirin.

Sık karşılaşılan sorunlar

• Bastion'a erişemiyorum: AllowUsers listesinde kullanıcı yoktur ya da genel anahtarınız authorized_keys dosyasında yoktur. Konsoldan düzeltin.
• ProxyJump çalışmıyor: istemci OpenSSH sürümü eskidir; -o ProxyCommand kullanın ve istemciyi güncelleyin.
• Cihaz yönetim ağında görünmüyor: VLAN etiketi veya yönlendirme eksik olabilir.
• Güvenlik duvarı sonrası bağlantı koptu: kaynak adres kuralınız yanlıştır. Konsoldan kuralları temizleyin.

Güvenlik ve bakım notları

• Yönetim ağını internete yönlendirmeyin; uzaktan erişimi VPN ve çok faktörlü kimlik doğrulama ile verin.
• IPMI/BMC arayüzlerini asla genel IP'ye bağlamayın.
• Bastion üzerindeki oturumları günlüğe alın ve günlükleri ayrı bir sunucuya gönderin.
• Cihaz parolalarını ve anahtarları düzenli döndürün; ayrılan personelin erişimini hemen kaldırın.
• Yönetim ağı adres planını ve erişim listesini belgeleyin, düzenli gözden geçirin.
• Cihaz firmware sürümlerini güncel tutun.