Linux Sunucularda APF (Advanced Policy Firewall) Kurulumu

Linux tabanlı sunucularda ağ güvenliğini sağlamak için tercih edilen en köklü ve etkili araçlardan biri APF'dir (Advanced Policy Firewall). Katı kural setleriyle çalışan bu güvenlik duvarı, sunucunuzun network trafiğini disipline sokarak istenmeyen port erişimlerini engeller.

APF, tek başına bir DDoS koruma kalkanı değildir; temel amacı ağ trafiğinizi sağlıklı ve güvenli tutmaktır. Ancak inetbase (DDoS Deflate) gibi araçlarla entegre edildiğinde sunucunuza temel düzeyde bir DDoS koruması da sağlayabilir.

Aşağıdaki kurulum ve yapılandırma adımlarını, DoğruHost bünyesinde barındırdığınız tüm VDS paketlerinde güvenle uygulayabilirsiniz.

1. APF Kurulumu

Kurulum işlemlerine başlamak için SSH üzerinden sunucunuza root yetkisiyle bağlanın ve sırasıyla aşağıdaki komutları çalıştırarak APF kaynak dosyalarını sunucunuza çekip yüklemeyi başlatın:

cd /usr/local/src
wget http://www.rfxnetworks.com/downloads/apf-current.tar.gz
tar -xvzf apf-current.tar.gz
cd apf-*
./install.sh

Kurulum tamamlandığında terminal ekranında işlemin başarıyla bittiğine dair bir onay çıktısı göreceksiniz.

2. APF Konfigürasyon (Ayar) Dosyasının Düzenlenmesi

APF varsayılan olarak "Geliştirici Modu" (Devel Mode) açık şekilde gelir. Güvenlik duvarının kalıcı olarak aktif kalması için bu modu kapatmalı ve bazı temel ayarları yapılandırmalıyız.

Nano editörü ile ayar dosyasını açın:

nano -w /etc/apf/conf.apf

Dosya içerisinde yön tuşlarıyla veya arama yaparak (CTRL + W) aşağıdaki satırları bulup değerlerini belirtilen şekilde güncelleyin:

# Geliştirici modunu kapatarak kuralları kalıcı hale getiriyoruz
DEVEL_MODE="0"

# Loglama ayarlarını yapılandırıyoruz
LOG_LGATE="0"
DROP_LOG="1"

# Paket filtrelemeyi aktif ediyoruz
EGF="1"

3. Port İzinlerinin (TCP/UDP) Tanımlanması

Yine aynı yapılandırma dosyasının (conf.apf) içerisinde, sunucunuzun dış dünyaya açık olacağı portları belirlememiz gerekiyor. Aksi takdirde APF tüm trafiği engelleyebilir.

Aşağıdaki satırları bularak kendi panelinize (cPanel, Plesk, DirectAdmin vb.) uygun portları girin. Genel web hosting altyapıları için yaygın olarak kullanılan yapılandırma şu şekildedir:

Giriş (Inbound) Port İzinleri:

IG_TCP_CPORTS="21,22,25,53,80,110,111,143,443,993,3306,2030,2082,2083,2086,2087,2222,8443,8080,8081,8181,8083"
IG_UDP_CPORTS="53"

Çıkış (Outbound) Port İzinleri:

EG_TCP_CPORTS="21,25,43,53,80,443,2030,2082,2083,2086,2087,2222,8443,8080,8081,8181,8083"
EG_UDP_CPORTS="20,21,22,53"

Önemli Not: Yukarıdaki port listesi DoğruHost müşterileri tarafından en sık kullanılan kontrol panelleri baz alınarak örnek olarak hazırlanmıştır. Sunucunuzda koşturduğunuz özel bir yazılım (örneğin özel bir Node.js uygulaması veya oyun sunucusu) varsa, o uygulamaya ait portları da bu listeye eklemeyi unutmayın.

İşlemleri tamamladıktan sonra CTRL + X tuşlarına basıp Y diyerek dosyayı kaydedin ve çıkın.

4. Servisin Başlatılması ve Otomatik Çalıştırma

Sunucunuz herhangi bir sebeple yeniden başlatıldığında (reboot) APF'nin otomatik olarak devreye girmesi için aşağıdaki komutu girin:

chkconfig --level 2345 apf on

(Eğer Debian/Ubuntu tabanlı bir sistem kullanıyorsanız update-rc.d apf defaults komutunu kullanabilirsiniz.)

Tüm ayarların geçerli olması ve güvenlik duvarının çalışmaya başlaması için servisi başlatın:

apf -s

5. Sık Kullanılan Yönetim Komutları

Gündelik sunucu yönetiminde ihityacınız olacak temel APF komutları aşağıda listelenmiştir (Not: Birçok kaynakta -a parametresi banlama olarak yanlış bilinir, -a komutu "Allow" yani izin verme işlemidir, -d "Deny" yani engelleme işlemidir):

• Bir IP adresini engellemek (Ban/Deny): apf -d İP_ADRESİ

• Bir IP adresine güvenli olarak izin vermek (Allow): apf -a İP_ADRESİ

• Bir IP adresinin engelini (veya iznini) kaldırmak (Unban): apf -u İP_ADRESİ

• Aktif engellemeleri ve kuralları listelemek: apf -l

• Güvenlik duvarının anlık durumunu görmek: apf -st

• APF'yi yeniden başlatmak (Ayarları yenilemek için): apf -r

• APF'yi tamamen durdurmak (Flush/Stop): apf -f