Ubuntu 24.04 VDS Kurulumu ve Hayati Güvenlik Ayarları

Giriş: Ubuntu 24.04 LTS ve Kurumsal Sunucu Güvenliğinin Önemi

Bilişim dünyasında kararlılığı, geniş topluluk desteği ve güçlü paket depoları ile öne çıkan Ubuntu, uzun süreli destek (LTS) sürümleriyle kurumsal altyapıların vazgeçilmez işletim sistemidir. Dağıtımın en güncel ve kararlı halkalarından biri olan Ubuntu 24.04 LTS, modern çekirdek optimizasyonları ve siber güvenlik güncellemeleriyle birlikte gelir. Ancak, dünyanın en güvenli işletim sistemi bile varsayılan ayarlarıyla (out-of-the-box) internete açıldığında, siber korsanların ve otomatik tarama botlarının (botnet) açık hedefi haline gelir.

İnternet ekosistemine yeni katılan bir VDS (Virtual Dedicated Server) sunucusu, IP adresi aktif edildiği andan itibaren dakikalar içinde brute-force (kaba kuvvet) saldırılarına maruz kalmaya başlar. Bu nedenle, sunucu siparişinizin ardından işletim sistemi kurulumunu tamamlar tamamlamaz ilk yapılması gereken işlem, projeleri yayına almaktan önce sunucunun siber güvenlik mimarisini inşa etmektir. Bu kapsamlı rehberde, kıdemli bir sistem mühendisinin imzasını taşıyan, kurumsal standartlarda bir Ubuntu 24.04 VDS sıkılaştırma (hardening) protokolünü adım adım uygulayacağız.

Adım 1: Çekirdek ve Paket Depolarının Güncellenmesi

Temiz bir kurulumun ardından sunucuya SSH üzerinden bağlandığınızda yapılması gereken ilk operasyon, paket indekslerini yenilemek ve mevcut kararlı güvenlik yamalarını sisteme entegre etmektir. Bu işlem, bilinen çekirdek (Kernel) açıklarının kapatılması için hayati önem taşır.

Terminal arabirimine bağlandıktan sonra aşağıdaki komut dizisini sırasıyla çalıştırın:

sudo apt update && sudo apt upgrade -y

sudo apt update && sudo apt upgrade -y

Bu komut, paket listelerini günceller ve onay mekanizmasını otomatik geçerek (-y) tüm sistemi en güncel sürüme yükseltir. Güncelleme işlemi tamamlandığında, özellikle çekirdek güncellemelerinin sisteme tam olarak işlenmesi için sunucuyu yeniden başlatmak en güvenli yoldur:

sudo reboot

sudo reboot

Adım 2: Root Kullanıcısının Yetkilerini Sınırlandırma ve Yeni Kullanıcı Tanımlama

Linux mimarilerinde root kullanıcısı, sistem üzerinde sınırsız ve mutlak yetkiye sahiptir. Botnet saldırılarının %99’u, hedef sunucuda root kullanıcısının var olduğunu varsayarak bu kullanıcı adına şifre denemeleri yapar. Güvenliğin ilk kuralı, root kullanıcısını doğrudan dış dünyaya kapatmak ve yerine yüksek yetkili, özel bir sistem yöneticisi kullanıcısı atamaktır.

Yeni Sistem Yöneticisi Oluşturma

Sistemde hostider_admin adında yeni bir kullanıcı oluşturalım (Siz kendi belirlediğiniz güvenli bir ismi kullanabilirsiniz):

adduser hostider_admin

adduser hostider_admin

Komutun ardından sistem sizden güçlü bir şifre belirlemenizi isteyecektir. Bu şifrenin en az 12 karakterden oluşmasına, büyük/küçük harf, rakam ve özel karakter içermesine özen gösterin.

Sudo Yetkilerinin Atanması

Oluşturulan kullanıcının sistemde yönetimsel komutları (sudo) çalıştırabilmesi için sudo grubuna dahil edilmesi gerekir:

usermod -aG sudo hostider_admin

usermod -aG sudo hostider_admin

Bu işlemden sonra, yeni oluşturduğunuz kullanıcı ile yeni bir terminal oturumu açarak sunucuya bağlanabildiğinizi ve sudo yetkisini kullanabildiğinizi doğrulamadan mevcut root oturumunu asla kapatmayın.

Adım 3: SSH Kimlik Doğrulama Mimarisini Sıkılaştırma

Varsayılan SSH bağlantıları kullanıcı adı ve şifre ikilisi ile gerçekleştirilir. Ancak şifre tabanlı kimlik doğrulamalar, her zaman sosyal mühendislik ve brute-force risklerine gebedir. En kurumsal çözüm, şifre ile girişi tamamen yasaklayıp SSH Key (Açık Anahtarlı Kimlik Doğrulama) mimarisine geçmektir.

SSH Anahtar Çifti Oluşturma (Lokal Bilgisayarınızda)

Eğer kendi bilgisayarınız (Linux/Mac veya Windows PowerShell) üzerinde bir SSH anahtarınız yoksa, şu komutla modern ve kırılması imkansız bir Ed25519 anahtar çifti oluşturun:

ssh-keygen -t ed25519 -C "kurumsal_vds_anahtari"

ssh-keygen -t ed25519 -C "kurumsal_vds_anahtari"

Public Key’i VDS Sunucusuna Aktarma

Oluşturulan ortak anahtarı (Public Key), sunucudaki yeni kullanıcımıza transfer etmek için şu komutu çalıştırın:

ssh-copy-id hostider_admin@sunucu_ip_adresiniz

ssh-copy-id hostider_admin@sunucu_ip_adresiniz

SSH Yapılandırma Dosyasının Düzenlenmesi

Anahtar transferi başarıyla tamamlandıktan sonra, sunucu tarafında şifreli girişleri ve root oturumlarını tamamen yasaklamak için SSH konfigürasyon dosyasını açıyoruz:

sudo nano /etc/ssh/sshd_config

sudo nano /etc/ssh/sshd_config

Açılan metin editöründe aşağıdaki satırları bulun, başlarındaki # işaretlerini kaldırın ve değerlerini aşağıdaki gibi değiştirin:

Port 2299                  # Varsayılan 22 portunu rastgele yüksek bir portla değiştirin
PermitRootLogin no         # Root kullanıcısının SSH ile bağlanmasını yasaklayın
PasswordAuthentication no  # Şifre ile kimlik doğrulamayı tamamen kapatın
PubkeyAuthentication yes   # Sadece SSH Key ile girişe izin verin

Port 2299                  # Varsayılan 22 portunu rastgele yüksek bir portla değiştirin
PermitRootLogin no         # Root kullanıcısının SSH ile bağlanmasını yasaklayın
PasswordAuthentication no  # Şifre ile kimlik doğrulamayı tamamen kapatın
PubkeyAuthentication yes   # Sadece SSH Key ile girişe izin verin

Değişiklikleri kaydetmek için CTRL+O, çıkış yapmak için CTRL+X kombinasyonlarını kullanın. Ayarların geçerli olması için SSH servisini yeniden başlatın:

sudo systemctl restart ssh

sudo systemctl restart ssh

Adım 4: UFW (Uncomplicated Firewall) Yapılandırması

Ubuntu 24.04 ile birlikte entegre gelen UFW, sunucunuza gelen ve giden ağ trafiğini kontrol etmenizi sağlayan güçlü bir yazılımsal güvenlik duvarıdır. Varsayılan olarak tüm gelen bağlantıları engelleyecek, tüm giden bağlantılara izin verecek şekilde yapılandırılmalıdır.

Firewall Kurallarının Tanımlanması

ÖNEMLİ NOT: UFW’yi aktif etmeden önce, bir önceki adımda belirlediğiniz yeni SSH portuna izin vermelisiniz. Aksi takdirde sunucuyla olan bağlantınız tamamen kesilir.

# Yeni SSH portumuza izin veriyoruz
sudo ufw allow 2299/tcp

# Standart Web trafiği için HTTP ve HTTPS portlarını açıyoruz
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Gerekliyse kurumsal e-posta servisleri veya WHMCS otomasyon portları eklenebilir

# Yeni SSH portumuza izin veriyoruz
sudo ufw allow 2299/tcp

# Standart Web trafiği için HTTP ve HTTPS portlarını açıyoruz
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Gerekliyse kurumsal e-posta servisleri veya WHMCS otomasyon portları eklenebilir

Güvenlik Duvarının Aktif Edilmesi

Kurallar tanımlandıktan sonra UFW korumasını devreye alıyoruz:

sudo ufw enable

sudo ufw enable

Gelen uyarıya y yanıtını vererek onaylayın. Güvenlik duvarının güncel durumunu ve aktif kuralları listelemek için:

sudo ufw status verbose

sudo ufw status verbose

Adım 5: Fail2Ban ile Otomatik Brute-Force Koruması

SSH portunu değiştirmek saldırı yoğunluğunu azaltsa da botların yeni portu keşfetmesi uzun sürmez. Sunucu loglarını anlık olarak tarayan ve belirlenen limitlerin üzerinde hatalı giriş denemesi yapan IP adreslerini otomatik olarak engelleyen Fail2Ban servisi, sunucu güvenliğinin en kritik yazılımsal katmanlarından biridir.

Fail2Ban Kurulumu ve Konfigürasyonu

Paketi sunucumuza kuruyoruz:

sudo apt install fail2ban -y

sudo apt install fail2ban -y

Fail2Ban’in orijinal yapılandırma dosyasını korumak adına, değişiklik yapacağımız yerel bir kopya (jail.local) oluşturuyoruz:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Dosya içerisindeki [sshd] başlığı altına giderek, kendi SSH portumuzu ve ban kurallarımızı şu şekilde özelleştiriyoruz:

[sshd]
enabled = true
port    = 2299
filter  = sshd
logpath = /var/log/auth.log
maxretry = 3        # 3 kez hatalı şifre/anahtar deneyen engellenir
findtime = 10m      # 10 dakika içindeki denemeleri sayar
bantime  = 1h       # Kuralları ihlal eden IP 1 saat boyunca tamamen banlanır

[sshd]
enabled = true
port    = 2299
filter  = sshd
logpath = /var/log/auth.log
maxretry = 3        # 3 kez hatalı şifre/anahtar deneyen engellenir
findtime = 10m      # 10 dakika içindeki denemeleri sayar
bantime  = 1h       # Kuralları ihlal eden IP 1 saat boyunca tamamen banlanır

Ayarları kaydedip Fail2Ban servisini aktif hale getiriyoruz:

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

Donanım Seviyesinde Güvenlik: Hostider Altyapısının Katkısı

Yazılımsal olarak yukarıda uyguladığımız tüm adımlar (SSH hardening, UFW, Fail2Ban), işletim sistemi seviyesindeki güvenliği maksimuma çıkarır. Ancak siber güvenlik, sadece yazılımla sınırlı olmayan katmanlı bir mimaridir. Eğer sunucunuza gelen saldırı boyutu, sunucunun network hat kapasitesini aşacak seviyede büyük bir DDoS (Distributed Denial of Service) atağı ise, yazılımsal firewall çözümleri yetersiz kalacak ve sunucunun işlemcisi (CPU) kilitlenecektir.

BTK lisanslı altyapı sağlayıcısı Hostider, Ubuntu 24.04 VDS projelerinizi sadece donanımsal güçle değil, proaktif siber güvenlik kalkanlarıyla korur. Hostider ekosisteminde barınan bir VDS sunucu, Layer 3, Layer 4 ve Layer 7 seviyelerindeki kötü niyetli trafik dalgalarını ana omurgada süzerek temiz trafiği sunucunuza iletir. Bu sayede, Fail2Ban veya UFW kurallarınız devasa log dosyaları yazarak NVMe SSD disklerinizi ve AMD EPYC işlemci çekirdeklerinizi gereksiz yere meşgul etmek zorunda kalmaz. Sistem kaynaklarınız sadece gerçek kurumsal iş yükünüz, web siteleriniz ve veri tabanlarınız için harcanır.

Sonuç

Ubuntu 24.04 LTS üzerinde gerçekleştirdiğimiz bu ilk kurulum ve sıkılaştırma adımları, dijital varlıklarınızın siber dünyada güvenle konumlanmasını sağlayan en temel mühendislik pratikleridir. Doğru yapılandırılmış bir işletim sistemi, işletmenizin verilerini korurken, aynı zamanda operasyonel kesintilerin de önüne geçer. Ancak siber dünyada tam koruma, mükemmel yazılım optimizasyonunun, profesyonel ve siber savunma odaklı bir veri merkezi altyapısıyla buluştuğu noktada başlar.

Siz de kurumsal web sitelerinizi, veri tabanlarınızı ve WHMCS gibi otomasyon sistemlerinizi siber tehditlerden uzak, ultra performanslı bir ekosistemde büyütmek istiyorsanız doğru yerdesiniz. Gelişmiş donanımsal DDoS korumasına, yüksek IOPS değerli NVMe SSD disk altyapısına ve 7/24 uzman teknik destek ekibine sahip sunucularımızla tanışın. Güvenli, izole ve yüksek performanslı bir dijital geleceğe adım atmak için hemen [Hostider Ubuntu 24.04 Uyumlu VPS Paketlerini] inceleyin ve altyapınızın kontrolünü profesyonellere emanet edin!