Gelişmiş Güvenlik Duvarı Kuralları (IPTables)

IPTables, Linux'un güçlü ve yerleşik güvenlik duvarıdır. Temel özelliklerini görmüş olsak da hassas denetim için gelişmiş özellikler sunar.

Bu derste, sunucunuzun ağını gerçekten güvenli hâle getirip yönetmenizi sağlayan karmaşık kuralların, durum bilgili filtrelemenin ve Ağ Adresi Çevirisinin (NAT) kilidini açacaksınız.

IPTables, kuralları her biri belirli bir amaca hizmet eden tablolarda düzenler. Tabloların içinde, sırayla değerlendirilen kural listeleri olan zincirler bulunur.

• filter tablosu: Paketleri filtrelemek (engellemek/izin vermek) için kullanılan varsayılan tablodur. INPUT, OUTPUT ve FORWARD zincirlerini içerir.
• nat tablosu: Ağ Adresi Çevirisi (NAT) için kullanılır. PREROUTING, POSTROUTING ve OUTPUT zincirlerini içerir.
• Özel paket değişiklikleri için mangle ve raw gibi başka tablolar da bulunur.

Durum bilgili güvenlik duvarı, ağ bağlantılarının durumunu izler. Her paketi tek tek denetlemek yerine, bir paketin mevcut ve kurulmuş bir bağlantıya ait olup olmadığını hatırlar.

Temel bağlantı durumları:

• NEW: Yeni bir bağlantının ilk paketi.
• ESTABLISHED: Mevcut ve etkin bir bağlantıya ait paketler.
• RELATED: Mevcut bir bağlantıyla ilişkili yeni bir bağlantı başlatan paketler (ör. FTP veri aktarımı).

Durum bilgili kurallar, güvenlik duvarı yönetimini büyük ölçüde basitleştirir. Kurulmuş bağlantılara ait tüm trafiğe izin verebilirsiniz; böylece yalnızca NEW bağlantıları başlatan kurallar tanımlamanız gerekir.

Bu kural, zaten kurulmuş veya ilişkili bir bağlantının parçası olan tüm gelen paketlere izin verir:

IPTables, son derece özel kurallar oluşturmak için çeşitli eşleştirme modüllerini ve seçeneklerini birleştirmenize olanak tanır. Bu, farklı hizmetler ve kaynaklar için erişimi hassas biçimde ayarlamanıza yardımcı olur.

Örnek: Belirli bir alt ağdan (192.168.1.0/24) yalnızca yeni bağlantılar için SSH'ye (22 numaralı bağlantı noktası) izin verme.

Ağ Adresi Çevirisi (NAT), paketler aktarım hâlindeyken paketlerin IP başlığındaki ağ adresi bilgilerini değiştirir. Şunlar için kritik öneme sahiptir:

• Özel bir ağdaki birden çok cihazın tek bir genel IP adresini paylaşmasına izin verme (ör. ev yönlendiricileri).
• Bağlantı noktası yönlendirme; dış istekleri iç sunuculara yönlendirme.

İki ana türü vardır: Kaynak NAT (SNAT) ve Hedef NAT (DNAT).

Kaynak NAT (SNAT), paketlerin kaynak IP adresini değiştirir. Bu yöntem, iç sunucuların genel IP adresine sahip bir ağ geçidi sunucusu üzerinden internete erişmesi gerektiğinde yaygın olarak kullanılır.

Maskeleme, giden arayüzün IP adresinin kaynak IP olarak otomatik biçimde kullanıldığı özel bir SNAT biçimidir ve dinamik IP adresleri için kullanışlıdır.

Örnek: 192.168.0.0/24 iç ağının eth0 üzerinden internete erişmesine izin verme.

Hedef NAT (DNAT), paketlerin hedef IP adresini değiştirir. Bu işlem, dahili bir sunucuda çalışan bir hizmeti ağ geçidi sunucunuzun genel IP adresi üzerinden internete açtığınız bağlantı noktası yönlendirme işlemleri için idealdir.

Örnek: eth0 üzerinden gelen web isteklerini (80 numaralı bağlantı noktası) 192.168.1.100 adresindeki dahili bir web sunucusuna yönlendirin.

IPTables, kaynak IP adresinden yeni bağlantıların kabul edilme hızını sınırlayarak kaba kuvvetle giriş denemeleri (ör. SSH) gibi yaygın saldırılara karşı korunmanıza yardımcı olabilir.

limit modülü, bir hız ve ani artış sınırı belirtmenizi sağlar. Sınıra ulaşıldıktan sonra gelen bağlantıları engellemeyi unutmayın.

Örnek: Yeni SSH bağlantılarını dakikada 3 bağlantıyla, başlangıçta 3 bağlantılık bir ani artış sınırıyla sınırlayın; ardından diğer bağlantıları engelleyin.

Ağ geçidi olarak çalışan bir sunucuyu ele alalım. Sunucunun genel bir arayüzü olan eth0 ve 192.168.1.0/24 ağına bağlı dahili bir arayüzü olan eth1 vardır.

192.168.1.50 adresindeki dahili web sunucusunun internette 80 numaralı bağlantı noktasından erişilebilir olmasını sağlayacak IPTables komutu hangisidir?

Tebrikler! Gelişmiş IPTables kavramlarını incelediniz:

• ESTABLISHED, RELATED ve NEW durumlarıyla durum bilgili güvenlik duvarı kullanımı.
• Birden çok eşleştirme ölçütünü birleştirerek karmaşık kurallar oluşturma.
• Hem giden (SNAT/Masquerade) hem de gelen (DNAT/Bağlantı Noktası Yönlendirme) trafik için Ağ Adresi Çevirisi (NAT) uygulama.
• Temel saldırı koruması için limit modülünü kullanma.

Bu beceriler, sağlam ve güvenli Linux sunucu ortamları oluşturmak için hayati önem taşır. Değişiklik yaptıktan sonra IPTables kurallarınızı kaydetmeyi unutmayın; kurallar varsayılan olarak kalıcı değildir!