Ubuntu ve Debian'da UFW ile güvenlik duvarı kurun

UFW (Uncomplicated Firewall), sık kullanılan kuralları tek satırlık komutlara dönüştüren bir Linux güvenlik duvarı arayüzüdür. Bu rehber Ubuntu 24.04/26.04 veya Debian 12/13 üzerinde varsayılan olarak reddeden bir güvenlik duvarı kurar ve daha sonra ihtiyaç duyacağınız kuralları anlatır. 198.51.100.7 yerine kendi IP adresinizi yazın.

1. adım: UFW'yi kurun

UFW Ubuntu'da önceden kuruludur. Debian'da:

sudo apt install ufw

2. adım: Varsayılanları ayarlayın ve önce SSH'ye izin verin

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH

OpenSSH, 22 numaralı port için bir uygulama profilidir. SSH başka bir portta çalışıyorsa onun yerine o porta izin verin; örneğin sudo ufw allow 2222/tcp.

3. adım: Servislerinize izin verin

sudo ufw allow 80,443/tcp

Daha fazla örnek:

Veritabanlarını ve yönetim panellerini internete kapalı tutun ya da yalnızca kendi adreslerinize açın.

4. adım: Etkinleştirin ve kontrol edin

sudo ufw enable
sudo ufw status verbose

Doğrulama: durum çıktısı Status: active, Default: deny (incoming), allow (outgoing) ve her biri IPv4 ve (v6) için kurallarınızı gösterir. Hâlâ girebildiğinizi doğrulamak için yeni bir SSH oturumu açın.

5. adım: SSH'yi hız sınırlamasına alın

Düz SSH kuralını, 30 saniye içinde altı veya daha fazla bağlantı açan bir adresi reddeden sınırlı bir kuralla değiştirin:

sudo ufw limit OpenSSH
sudo ufw delete allow OpenSSH

Kuralları yönetmek

Kuralları numaralarıyla listeleyin ve numarayla silin:

sudo ufw status numbered
sudo ufw delete 3

Bir kuralı belirli bir konuma ekleyin (kurallar sırayla değerlendirilir):

sudo ufw insert 1 deny from 203.0.113.50

Bir komutun ne yapacağını uygulamadan --dry-run ile önizleyin; örneğin sudo ufw --dry-run enable.

Kayıt tutma

sudo ufw logging low

Engellenen paketler [UFW BLOCK] önekiyle kaydedilir; bunları sudo journalctl -k | grep UFW ile ya da rsyslog kuruluysa /var/log/ufw.log dosyasında okuyun.

IPv6

/etc/default/ufw dosyasının IPV6=yes içerdiğini kontrol edin. Değiştirirseniz sudo ufw reload ile yeniden yükleyin. Kurallar o zaman iki protokolü de kapsar.

Docker ve UFW

Docker container portlarını UFW'yi atlayan kendi kurallarıyla yayınlar. -p 8080:80 ile başlatılan bir container, UFW 8080'e izin vermese bile internetten erişilebilir. Portları yalnızca 127.0.0.1 üzerinde yayınlayın (örneğin -p 127.0.0.1:8080:80) ve ana makinedeki bir ters proxy üzerinden sunun. Bkz. Ubuntu'ya Docker kurulumu.

Sorun giderme

ufw enable sonrasında SSH dondu. SSH'ye izin verilmemişti. Konsolu kullanın: sudo ufw allow OpenSSH. Bkz. güvenlik duvarı değişikliğinden sonra erişimi kaybetmek.

Bir port UFW'de açık ama hâlâ erişilemiyor. Servis yalnızca 127.0.0.1 üzerinde dinliyor ya da çalışmıyor. sudo ss -tulpn ile kontrol edin. Bkz. portlar ve port yönlendirme.

UFW giden trafiğe izin verdiği halde 25 numaralı porttan posta gönderilemiyor. HyperDC VPS'lerde giden 25 numaralı port varsayılan olarak kapalıdır. 3 ay veya daha uzun süreyle satın alınan hizmetlerde bir destek bildirimi açtığınızda talep üzerine açılır. O zamana kadar postayı 587 portu üzerinden bir aktarıcıyla (relay) gönderin.

Baştan başlamak. sudo ufw reset, UFW'yi kapatır ve tüm kuralları siler (eskilerini yedekler). Etkinleştirmeden önce SSH kuralınızı yeniden ekleyin.

Sonraki adımlar

• Daha fazla kontrol: nftables güvenlik duvarı.
• Tekrarlanan denemeleri engelleyin: Fail2ban ve CrowdSec.