iptables ile Güvenlik Duvarı Temelleri

Bir Linux sunucusuna gelen ve giden her ağ paketi, aslında görünmez bir kontrol noktasından geçer. Bu kontrol noktasında paketin nereye gideceğine, kabul mü yoksa ret mi edileceğine karar veren mekanizmanın adı netfilter'dır ve onu komut satırından yönetmek için kullandığımız klasik araç da iptables'tır. UFW ya da firewalld gibi daha modern ön yüzler bile arka planda tam olarak bu altyapıya kural yazar. Yani iptables mantığını anlamak, hangi güvenlik duvarı aracını kullanırsanız kullanın, sunucunuzda gerçekte ne olup bittiğini görmenizi sağlar.

Bu rehberde iptables'ı sıfırdan, kavramsal olarak ele alacağız: tablo, zincir ve hedef üçlüsünün nasıl çalıştığını, INPUT kurallarıyla bir sunucuyu nasıl koruyacağınızı, "önce her şeyi reddet, sonra gerekeni aç" stratejisini nasıl uygulayacağınızı ve en önemlisi kuralları sunucu yeniden başlatıldığında da geçerli kalacak şekilde nasıl kalıcı yapacağınızı adım adım göreceğiz. Uzaktan bağlandığınız bir sunucuda çalıştığınızı varsayarak, kendinizi SSH'tan kilitlemeden ilerlemenin yollarını da özellikle vurgulayacağım. Yeni bir sunucu kurduysanız bu adımları ilk yapılandırma listenize ekleyin.

iptables Nedir ve Neden Hâlâ Önemli?#

iptables, Linux çekirdeğinin içindeki netfilter paket filtreleme çerçevesini yöneten kullanıcı alanı komutudur. Kısacası: sunucunuzun ağ arayüzünden geçen paketleri inceleyen, belirlediğiniz kurallara göre onları kabul eden, düşüren ya da yönlendiren bir güvenlik duvarıdır. 1998'lerden beri Linux'ta bu işin bel kemiği olmuştur ve bugün hâlâ dünyanın çoğu sunucusunda ya doğrudan ya da bir ön yüz aracılığıyla çalışır.

"Modern" alternatifi olarak nftables gelse de, iptables komutları o kadar yaygın kullanılmaktadır ki çoğu dağıtımda iptables çağrıları arka planda nftables'a çevrilerek çalışmaya devam eder. Dolayısıyla iptables sözdizimini öğrenmek boşa yatırım değildir; bu bilgi Docker'ın nasıl port açtığını, Fail2ban'in bir IP'yi nasıl engellediğini, UFW'nin arkada ne yaptığını anlamanızı da sağlar.

iptables'ın en güçlü yanı da en zorlu yanı da aynıdır: son derece ayrıntılı kontrol sunar. Tek bir porta, tek bir IP'ye, tek bir protokole, hatta bağlantının durumuna (yeni mi, kurulu bir bağlantının parçası mı) göre kural yazabilirsiniz. Bu esneklik yanlış kullanıldığında tehlikelidir — hatalı bir tek satır tüm trafiği kesebilir. Bu yüzden mantığını kavramadan komut ezberlemek yerine, önce yapıyı anlamak çok daha sağlıklıdır.

Tablo, Zincir ve Hedef Mantığı#

iptables'ı anlamanın anahtarı üç kavramdır: tablo (table), zincir (chain) ve hedef (target). Bu üçlüyü oturttuğunuzda geri kalan her şey yerine oturur.

Tablolar, kuralların hangi amaç için gruplandığını belirler. Günlük sunucu güvenliğinde neredeyse yalnızca filter tablosuyla ilgilenirsiniz; diğerleri daha özel işler içindir:

Zincirler, bir paketin yolculuğunda hangi noktada denetleneceğini tanımlar. filter tablosunda üç yerleşik zincir vardır ve bunları bir sonraki bölümde ayrıntılı ele alacağız: INPUT, OUTPUT, FORWARD.

Hedefler, bir kural eşleştiğinde pakete ne olacağını söyler. En sık kullandıklarınız:

• ACCEPT — Paketi kabul et, geçmesine izin ver.
• DROP — Paketi sessizce düşür. Gönderene hiçbir yanıt dönmez; bağlantı zaman aşımına uğrar.
• REJECT — Paketi reddet, ama gönderene "bağlantı reddedildi" mesajı gönder. Daha nazik ama saldırgana port hakkında bilgi verir.
• LOG — Paketi sistem günlüğüne yaz (paketi durdurmaz, sadece kaydeder).

Bir paket bir zincire girdiğinde, o zincirdeki kurallar yukarıdan aşağıya, sırayla denetlenir. İlk eşleşen kuralın hedefi uygulanır ve (ACCEPT/DROP/REJECT ise) denetim orada biter. Hiçbir kural eşleşmezse zincirin varsayılan politikası (policy) devreye girer. Bu "ilk eşleşen kazanır" ilkesi, kural sıralamasının neden bu kadar önemli olduğunu açıklar.

Zincirleri Anlamak: INPUT, OUTPUT, FORWARD#

filter tablosundaki üç zincir, bir paketin sunucuya göre konumunu temsil eder. Bunları ayırt etmek, doğru yere kural yazmanın önkoşuludur.

• INPUT — Hedefi bu sunucu olan gelen paketler. Birisi sizin 22 (SSH), 80 (HTTP) ya da 443 (HTTPS) portunuza bağlanmaya çalıştığında paket bu zincirden geçer. Sunucu sertleştirmenin %90'ı burada olur, çünkü sunucunuza dışarıdan kimin ulaşabileceğini bu zincir belirler.
• OUTPUT — Kaynağı bu sunucu olan giden paketler. Sunucunuz apt update çalıştırıp paket indirdiğinde ya da dış bir API'ye istek attığında paket buradan geçer. Çoğu senaryoda giden trafiği kısıtlamak gereksiz zorluk yaratır, bu yüzden genellikle serbest bırakılır.
• FORWARD — Sunucudan geçip başka bir yere giden paketler. Yalnızca makineniz bir yönlendirici, VPN geçidi ya da Docker/konteyner ağı ana makinesi gibi davrandığında devreye girer. Sıradan bir web sunucusunda bu zinciri çoğu zaman DROP politikasında bırakırsınız.

Aşağıdaki basit gösterim, bir paketin hangi zinciri göreceğini özetler:

Dışarıdan gelen istek  ──►  INPUT   ──►  Sunucudaki servis (nginx, sshd)
Sunucunun kendi isteği ──►  OUTPUT  ──►  Dışarı
Sunucu üzerinden geçen ──►  FORWARD ──►  Başka makine

Bu ayrımı içselleştirmek pratikte çok işe yarar. Örneğin "80 portumu açtım ama site hâlâ dışarıdan açılmıyor" diyen birinin hatası çoğu zaman kuralı yanlış zincire (OUTPUT'a) yazmış olmasıdır. Gelen web trafiğine izin vermek her zaman INPUT zincirinde yapılır.

Kuralları Okumak ve Listelemek#

Herhangi bir değişiklik yapmadan önce mevcut durumu görmeyi öğrenin. Aktif kuralları listelemenin en okunabilir yolu şudur:

sudo iptables -L -v -n --line-numbers

Parametrelerin anlamı: -L listele, -v ayrıntılı (paket/bayt sayaçları), -n isim çözümlemesi yapma (hızlı ve net; IP'leri host adına çevirmez), --line-numbers her kurala sıra numarası ver. Çıktı zincir zincir gruplanır ve en üstte her zincirin varsayılan politikasını gösterir:

Chain INPUT (policy DROP)
num  target  prot  source        destination
1    ACCEPT  all   0.0.0.0/0     0.0.0.0/0     state RELATED,ESTABLISHED
2    ACCEPT  tcp   0.0.0.0/0     0.0.0.0/0     tcp dpt:22
3    ACCEPT  tcp   0.0.0.0/0     0.0.0.0/0     tcp dpt:443

Kural eklemenin temel dil bilgisi de sezgiseldir. Sık kullanılan bayraklar:

• -A INPUT — INPUT zincirinin sonuna kural ekle (append).
• -I INPUT 1 — INPUT zincirinin 1. sırasına kural ekle (insert). Sıra kritik olduğunda kullanılır.
• -p tcp — protokol (tcp, udp, icmp).
• --dport 443 — hedef port (destination port).
• -s 203.0.113.10 — kaynak IP ya da ağ (-s 203.0.113.0/24 bir blok için).
• -j ACCEPT — eşleşince uygulanacak hedef (jump).
• -D INPUT 2 — 2. sıradaki kuralı sil (delete).

Örnek olarak, gelen HTTPS trafiğine izin veren bir kural şöyle yazılır:

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Bir kuralı silmek için ya birebir aynı ifadeyi -A yerine -D ile tekrar yazar ya da satır numarasıyla sudo iptables -D INPUT 2 dersiniz.

Varsayılan Reddet Stratejisi ve Gerekli Portları Açma#

İyi bir güvenlik duvarı politikasının altın kuralı "varsayılan reddet" (default deny) yaklaşımıdır: hiçbir gelen bağlantıya izin vermeyerek başla, sonra yalnızca ihtiyacın olan portları tek tek aç. Bu, saldırı yüzeyini en aza indiren temel stratejidir ve sunucu güvenliği temellerinin merkezinde yer alır.

Kritik uyarı: Aşağıdaki sırayı bozmayın. Politikayı DROP yapmadan önce mutlaka SSH ve mevcut bağlantı kurallarını ekleyin. Sıralamayı ters çevirirseniz kendi SSH oturumunuzu anında keser ve sunucudan tamamen kilitlenirsiniz — uzaktan bağlanıyorsanız bunu geri almak genellikle sağlayıcının konsoluna erişmeyi gerektirir.

Güvenli sıralama şudur. Önce zaten kurulu ve ilişkili bağlantıların devam etmesine izin verin (bu satır, giden isteklerinize gelen yanıtların da geçmesini sağlar):

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ardından yerel döngü (loopback) arayüzüne izin verin — birçok servis kendi içinde 127.0.0.1 üzerinden konuşur ve bu kesilirse uygulamalar bozulur:

sudo iptables -A INPUT -i lo -j ACCEPT

Şimdi en önemli satır — SSH'a izin verin (varsayılan port 22; SSH portunuzu değiştirdiyseniz onu yazın):

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Bir web sunucusu çalıştırıyorsanız HTTP ve HTTPS portlarını da açın:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Sunucunuzun kendisini yanıtlaması için ICMP echo'ya (ping) izin vermek çoğu zaman faydalıdır, ama zorunlu değildir:

sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Tüm izin kurallarını ekledikten sonra, en son adımda varsayılan politikaları sertleştirin:

sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

Artık INPUT zincirinde açıkça izin verdiğiniz portlar dışındaki her gelen paket sessizce düşürülür. Bir portu belirli bir IP'ye kısıtlamak isterseniz -s ekleyin — örneğin veritabanı yönetim portunu yalnızca ofis IP'nize açmak:

sudo iptables -A INPUT -p tcp -s 203.0.113.10 --dport 3306 -j ACCEPT

Bu yaklaşım, herkese açık bir MySQL portunu internete bırakmak yerine, erişimi tek bir güvenilir kaynağa daraltır. Aynı mantığı WAF ve DDoS koruma katmanlarıyla birleştirdiğinizde katmanlı bir savunma elde edersiniz.

Kuralları Kalıcı Yapmak: iptables-persistent#

Şimdiye kadar yazdığınız tüm kuralların can sıkıcı bir özelliği var: bellekte tutulurlar ve sunucu yeniden başlatıldığında kaybolurlar. iptables kuralları kalıcı bir dosyaya kaydedilip açılışta geri yüklenmediği sürece, ilk reboot'ta güvenlik duvarınız sıfırlanır. Bu yüzden kuralları test edip doğru çalıştıklarından emin olduktan sonra mutlaka kalıcı hâle getirmelisiniz.

Debian ve Ubuntu tabanlı sistemlerde bunun standart yolu iptables-persistent paketidir. Kurulum sırasında size mevcut kuralları kaydetmek isteyip istemediğinizi soran bir ekran çıkar:

sudo apt update
sudo apt install iptables-persistent -y

Kurulumdan sonra kuralları elle kaydetmek isterseniz netfilter-persistent aracını kullanırsınız:

sudo netfilter-persistent save

Bu komut, aktif IPv4 kurallarını /etc/iptables/rules.v4 dosyasına, IPv6 kurallarını da /etc/iptables/rules.v6 dosyasına yazar. Sistem her açılışta bu dosyaları otomatik geri yükler. İleride kural değiştirdiğinizde save komutunu tekrar çalıştırmayı unutmayın — aksi halde değişiklikler yalnızca o oturumda geçerli kalır.

AlmaLinux, Rocky Linux gibi RHEL tabanlı sistemlerde paket adı iptables-services'tır ve mantık aynıdır:

sudo dnf install iptables-services -y
sudo systemctl enable --now iptables
sudo service iptables save

Kuralları elle yedeklemek ya da bir sunucudan diğerine taşımak isterseniz iptables-save ve iptables-restore ikilisi çok pratiktir:

# Mevcut kuralları bir dosyaya döküp yedekle
sudo iptables-save > /root/iptables-yedek.rules

# Yedeği geri yükle
sudo iptables-restore < /root/iptables-yedek.rules

Bu yaklaşım, kural setini sürüm kontrolünde tutmak ya da yeni bir VDS kurarken aynı politikayı tekrar uygulamak için idealdir. Düzenli yedekleme stratejinize güvenlik duvarı kurallarını da eklemenizi öneririm.

iptables ile UFW ve firewalld İlişkisi#

Buraya kadar ham iptables yazdık; peki UFW ve firewalld gibi araçlar nereye oturuyor? Cevabı kısaca şudur: hepsi aynı netfilter altyapısına kural yazar. UFW, sudo ufw allow 443/tcp gibi okunabilir bir komutu arkada iptables kurallarına çevirir. firewalld ise "zone" (bölge) kavramıyla benzer bir soyutlama sunar. Yani bunlar iptables'ın alternatifi değil, onun kullanıcı dostu ön yüzleridir.

Aşağıdaki tablo hangi durumda hangisini seçeceğinizi özetler:

Önemli bir uyarı: aynı sunucuda hem UFW/firewalld hem de elle iptables kurallarını birlikte yönetmeyin. İki araç aynı zincirlere kural yazdığında hangisinin geçerli olduğunu takip etmek zorlaşır ve çakışan kurallar beklenmedik davranışlara yol açar. Bir sunucuda tek bir yönetim yöntemi seçin. Yeni başlıyorsanız ve Ubuntu/Debian kullanıyorsanız pratikte tavsiyem UFW ile başlamaktır; ham iptables'ı ise ön yüzün sınırlarına dayandığınızda ya da tam olarak ne olup bittiğini görmek istediğinizde devreye alın. Docker gibi araçların kendi iptables kurallarını otomatik eklediğini de unutmayın; bu yüzden Docker çalışan bir makinede güvenlik duvarını yönetirken ekstra dikkatli olun.

Sık Yapılan Hatalar ve İyi Uygulamalar#

Yılların deneyimiyle en sık gördüğüm hataları ve bunlardan kaçınmanın yollarını derledim. Bu liste, teoriyi pratikte hataya düşmeden uygulamanıza yardımcı olur.

Politikayı SSH kuralından önce DROP yapmak. En yıkıcı ve en sık yapılan hata budur. Her zaman ESTABLISHED,RELATED, lo ve SSH kurallarını ekleyip, ancak ondan sonra -P INPUT DROP deyin. Ek bir güvenlik ağı olarak, riskli değişiklikleri test ederken bir at işiyle "15 dakika sonra kuralları temizle" komutu zamanlayın; yanlışlıkla kilitlenirseniz kurallar otomatik sıfırlanır.

Kuralları kaydetmeyi unutmak. Kural eklediniz, çalıştı, sevindiniz — sonra sunucuyu yeniden başlattınız ve her şey uçtu. netfilter-persistent save (ya da RHEL'de service iptables save) adımını her değişiklikten sonra alışkanlık hâline getirin.

IPv6'yı unutmak. iptables yalnızca IPv4 içindir; IPv6 trafiği ayrı bir komutla, ip6tables ile yönetilir. IPv6 etkin bir sunucuda yalnızca IPv4'ü kilitlerseniz, saldırgan IPv6 üzerinden hâlâ kapıyı çalabilir. ip6tables için de en azından aynı temel politikayı uygulayın ya da IPv6'yı bilinçli olarak kapatın.

REJECT yerine DROP seçmek (veya tersi). Genel internete bakan portlarda DROP tercih edilir; çünkü sessiz düşürme, otomatik tarayıcıların portun varlığını anlamasını zorlaştırır. REJECT'i daha çok iç ağda, hızlı "bağlantı reddedildi" yanıtı istemeniz gereken durumlarda kullanın.

Kör ezber komut yapıştırmak. İnternette bulduğunuz uzun bir kural bloğunu anlamadan yapıştırmak, güvenlik duvarını korumak yerine bozabilir. Her satırın hangi zincire, hangi porta, hangi hedefe dokunduğunu okuyun. Bu rehberdeki dil bilgisiyle çoğu kuralı artık kolayca çözebilirsiniz.

Sıkça Sorulan Sorular#

iptables ile UFW arasındaki fark nedir?#

İkisi birbirinin alternatifi değildir; UFW aslında iptables'ın bir ön yüzüdür. sudo ufw allow 80 gibi kolay bir komut yazdığınızda UFW bunu arka planda ilgili iptables kurallarına çevirir. Yani UFW okunabilirlik ve hız sunar, ham iptables ise tam denetim ve ince ayar sunar. Ubuntu/Debian'da hızlı bir temel kurulum için UFW yeterlidir; karmaşık NAT, port yönlendirme ya da ön yüzün ifade edemediği kurallar gerektiğinde ham iptables'a inersiniz. Aynı sunucuda ikisini birlikte elle yönetmemeye dikkat edin.

Yanlış kural yazıp SSH'tan kilitlenirsem ne yaparım?#

Bu senaryoya karşı en iyi savunma önlemdir. Riskli bir değişiklikten önce sudo iptables-save > /root/yedek.rules ile mevcut kuralları yedekleyin ve at komutuyla "birkaç dakika sonra tüm kuralları temizle" işini zamanlayın; kilitlenirseniz kurallar otomatik sıfırlanır ve tekrar bağlanabilirsiniz. Bu önlemi almadıysanız ve gerçekten kilitlendiyseniz, tek çıkış yolu genellikle hosting sağlayıcınızın sunduğu konsol veya VNC erişimidir. Clou.TR sanal ve fiziksel sunucularında panel üzerinden konsola bağlanıp kuralları elle temizleyebilirsiniz.

Kurallarım yeniden başlatınca neden kayboluyor?#

Çünkü iptables kuralları varsayılan olarak yalnızca bellekte (RAM) tutulur ve kalıcı bir dosyaya yazılmadıkça açılışta geri yüklenmez. Kuralların yeniden başlatmalarda korunması için Debian/Ubuntu'da iptables-persistent paketini kurup sudo netfilter-persistent save çalıştırmanız, RHEL ailesinde ise iptables-services paketiyle service iptables save demeniz gerekir. Her kural değişikliğinden sonra kaydetme adımını tekrarlamayı unutmayın; aksi halde değişiklik yalnızca o oturumda geçerli kalır.

DROP ile REJECT arasında hangisini seçmeliyim?#

DROP paketi sessizce düşürür ve gönderene hiçbir yanıt dönmez, bu yüzden bağlantı zaman aşımına uğrar. REJECT ise "bağlantı reddedildi" mesajı gönderir. Genel internete açık portlarda DROP tercih edilir; çünkü sessizlik, otomatik port tarayıcılarının hangi portların var olduğunu anlamasını zorlaştırır ve saldırı yüzeyi hakkında bilgi sızdırmaz. REJECT'i daha çok iç ağda, uygulamaların hızlıca "kapalı" yanıtı alması gerektiğinde kullanmak mantıklıdır.

iptables IPv6 trafiğini de kapsıyor mu?#

Hayır. iptables komutu yalnızca IPv4 trafiğini yönetir; IPv6 için ayrı ve eşdeğer bir araç olan ip6tables kullanılır. Sözdizimi neredeyse birebir aynıdır. IPv6'nın etkin olduğu bir sunucuda yalnızca iptables ile IPv4'ü kilitlerseniz, IPv6 üzerinden gelen bağlantılar hâlâ açık kalabilir ve bu ciddi bir güvenlik boşluğu yaratır. Bu yüzden IPv6 kullanan sunucularda ip6tables için de en azından aynı temel varsayılan reddet politikasını uygulayın ya da IPv6'yı bilinçli olarak devre dışı bırakın.

Sadece belirli bir IP'ye port açmak mümkün mü?#

Evet, bu en sık ihtiyaç duyulan ve en değerli özelliklerden biridir. Kurala -s (source) parametresiyle bir IP ya da ağ bloğu ekleyerek erişimi tek bir güvenilir kaynağa daraltabilirsiniz. Örneğin veritabanı portunu yalnızca ofis IP'nize açmak için sudo iptables -A INPUT -p tcp -s 203.0.113.10 --dport 3306 -j ACCEPT yazarsınız. Böylece herkese açık bir portu internete bırakmak yerine, yalnızca izin verdiğiniz adresin bağlanmasına olanak tanırsınız; bu, yönetim panelleri ve veritabanı portları için standart iyi uygulamadır.

Kapanış#

iptables, ilk bakışta gözünüzü korkutabilir; ama tablo, zincir ve hedef üçlüsünü kavradığınızda aslında son derece mantıklı ve öngörülebilir bir araç olduğunu görürsünüz. Bu rehberde öğrendiğiniz "önce her şeyi reddet, sonra gerekeni aç" stratejisi, SSH kuralını her zaman önce ekleme disiplini ve kuralları iptables-persistent ile kalıcı yapma alışkanlığı, sunucunuzu internetteki otomatik saldırı botlarına karşı gözle görülür biçimde sertleştirir. İster ham iptables yazın ister UFW gibi bir ön yüz kullanın, artık arka planda gerçekte ne olduğunu biliyorsunuz.

Bu bilgiyi katmanlı bir savunmanın parçası olarak kullanmanızı öneririm: güvenlik duvarını sunucu güvenliği temelleriyle, SSL/TLS sertifikalarıyla ve düzenli yedeklemeyle birleştirin. Uygulamak için sağlam bir zemine ihtiyacınız varsa, Clou.TR'nin tam yetkili root erişimi sunan sanal sunucu ve VDS paketlerine göz atabilir, kendi güvenlik duvarı politikanızı baştan sona kurabilirsiniz. Kurulum ve sertleştirme sürecinde yardıma ihtiyaç duyarsanız sunucu yönetimi hizmetimiz her adımda yanınızda.