Sunucuda Hangi Portlar Açık Olmalı? Güvenli Port Listesi ve Kontrol

Güvenlik duvarını kurmaya oturduğunuz an ilk soru hep aynıdır: sunucuda hangi portlar açık olmalı? Bu sorunun yanlış cevabı iki yönde de acı verir — fazla kapatırsanız siteniz açılmaz, e-postalarınız gitmez; fazla açarsanız MySQL'i, Redis'i ya da yönetim panelinizi tüm internete servis etmiş olursunuz. Yeni kurulan sunucularda gördüğüm en kritik hata bu ikincisidir: 3306 portu dışarı açık kalan bir veritabanı, saatler içinde otomatik tarayıcılar tarafından bulunur ve zayıf bir parola varsa iş orada biter.

Bu yazıda size komut listesi vermekle yetinmeyeceğim; bir port politikası kuracağız. Hangi portun neden açık kalması gerektiğini, hangilerinin asla dışarı bakmaması gerektiğini, panel ve veritabanı portlarını IP kısıtlamasıyla nasıl güvene alacağınızı ve en önemlisi bir portun dışarıdan gerçekten kapalı olduğunu nasıl doğrulayacağınızı adım adım göreceğiz. Sonunda elinizde, kendi sunucunuza uygulayabileceğiniz somut bir kural seti olacak.

Temel Kural: Varsayılan Reddet, İhtiyaç Oldukça Aç#

Doğru port politikası "neyi kapatayım" sorusuyla değil, "neyi açmak zorundayım" sorusuyla kurulur. Güvenlik duvarının varsayılan politikası gelen tüm trafiği reddetmek olmalı, siz de yalnızca gerçekten dışarıdan erişilmesi gereken servisler için tek tek istisna eklemelisiniz. Bu yaklaşımın adı varsayılan reddet (default deny) ve tek başına en büyük kazancı sağlar: yarın kurduğunuz ve bir portu dinlemeye başlayan yeni bir servis, siz bilinçli olarak izin vermedikçe internete açılmaz.

Pratikte kurulumu şöyledir:

# Ubuntu / Debian
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp        # ÖNCE SSH, sonra enable
sudo ufw enable

# AlmaLinux / Rocky (firewalld zaten varsayılan olarak kısıtlayıcıdır)
sudo firewall-cmd --get-default-zone
sudo firewall-cmd --list-all

⚠️ Sıralama hayati: ufw enable komutunu SSH kuralını eklemeden çalıştırırsanız o anda oturumunuz kopar ve sunucuya erişemezsiniz. Bu klasik kilitlenmenin konsoldan kurtarma yolunu sunucuma bağlanamıyorum yazısında anlattım.

İkinci temel kural şudur: bir servisi güvenlik duvarıyla kapatmak, o servisi dinlemekten alıkoymaktan daha zayıf bir çözümdür. MySQL'in yalnızca 127.0.0.1 üzerinde dinlemesini sağladığınızda, güvenlik duvarı kuralı yanlışlıkla silinse bile veritabanı dışarıdan erişilebilir hale gelmez. İki katmanı birlikte kullanın.

Web Sunucusunda Açık Kalması Gereken Portlar#

Tipik bir web sunucusunun dışarıya açık olması gereken port sayısı şaşırtıcı derecede azdır — çoğu kurulumda üç ya da dört tanedir.

Birkaç ince nokta var ki genelde atlanır:

Port 80'i kapatmayın. "Zaten HTTPS kullanıyorum" diyerek 80'i kapatan çok kişi gördüm; sonuç, alan adını http:// ile yazan ziyaretçilerin sitenize hiç ulaşamaması ve Let's Encrypt'in HTTP-01 doğrulamasının başarısız olmasıdır. 80'i açık tutup 301 ile HTTPS'e yönlendirin. Yöntemi https yönlendirme yazısında anlattım.

HTTP/3 kullanıyorsanız 443/UDP'yi de açın. QUIC protokolü UDP üzerinde çalışır ve yalnızca TCP izni verirseniz tarayıcı sessizce HTTP/2'ye düşer — hata almazsınız, sadece beklediğiniz performansı göremezsiniz.

sudo ufw allow 443/udp comment 'HTTP/3 QUIC'

Mail portlarını körü körüne açmayın. Sunucuda Postfix/Dovecot kurulu değilse 25, 587, 993 portlarını açmanın hiçbir anlamı yoktur. Kendi mail sunucunuzu işletmiyorsanız bu portların tamamı kapalı kalmalıdır. Sunucuda mail servisi kurulumunu düşünüyorsanız postfix dovecot mail sunucu kurulumu yazısı hangi portların neden gerektiğini ayrıntılandırıyor.

Port 53'ü kesinlikle dikkatli açın. Yetkili DNS sunucusu işletmiyorsanız kapalı kalmalı. Yanlış yapılandırılmış açık bir çözümleyici (open resolver), DNS amplifikasyon saldırılarında sizi araç olarak kullandırır ve IP'nizin itibarını yakar.

Kesinlikle Dışarı Açılmaması Gereken Portlar#

Şu portlar internete bakmamalı; hepsinin ortak özelliği, dışarıdan erişimin nadiren gerekli olması ama ele geçirildiğinde sonucun ağır olmasıdır.

Bu listede en sık ihmal edileni 6379 (Redis). Redis varsayılan yapılandırmada kimlik doğrulaması istemez; dışarı açık bir Redis, saldırganın CONFIG SET komutlarıyla sunucuya dosya yazmasına ve oradan kalıcı erişim elde etmesine imkân tanır. Redis'i mutlaka bind 127.0.0.1 ile sınırlayın ve requirepass tanımlayın; ayrıntılar redis nedir yazısında.

8080/8000 portları ikinci sırada gelir. Geliştirme aşamasında açılan bir uygulama sunucusu ya da yönetim arayüzü, unutulup canlıda kalır ve genelde hiçbir kimlik doğrulaması yoktur. Bu tür servisleri Nginx reverse proxy arkasına alıp yalnızca 443 üzerinden, kimlik doğrulamalı biçimde yayınlayın; kurulumu nginx reverse proxy yapılandırma yazısında.

Windows sunucularda 3389 (RDP) en kritik başlıktır ve kaba kuvvet saldırılarının bir numaralı hedefidir; kısıtlama yöntemlerini windows sunucu güvenliği yazısında ayrıca ele aldım.

3306 Dışarı Açıksa Gerçekte Ne Olur#

Şu senaryoyu birebir yaşanmış bir olaydan aktarıyorum. Uygulama sunucusu ile veritabanı ayrı makinelerde çalışıyor; geliştirici bağlanabilmek için MySQL'i tüm arayüzlerde dinletiyor ve güvenlik duvarında 3306 portunu herkese açıyor. Erişim çalışıyor, iş bitiyor, kural orada kalıyor.

Otomatik tarayıcılar tüm IPv4 uzayını sürekli tarar ve 3306'da yanıt veren bir servis bulduğunda önce sürüm bilgisini toplar, sonra yaygın kullanıcı adlarıyla (root, admin, mysql) sözlük saldırısına başlar. Zayıf bir parola varsa erişim birkaç saat içinde sağlanır. Saldırganın elde ettiği şey sadece veri değildir: FILE yetkisi varsa sunucuya dosya yazabilir, bazı yapılandırmalarda web dizinine kabuk bırakabilir.

Doğru çözüm portu açmak değil, erişimi doğru katmandan vermektir. Üç seçenek, güvenlikten ödün verme sırasına göre:

1. SSH tüneli (en güvenli). Veritabanı hiçbir zaman dışarı bakmaz; siz şifreli bir SSH kanalı üzerinden yerel portunuza bağlanırsınız:

ssh -L 3307:127.0.0.1:3306 [email protected] -N
# Sonra kendi makinenizde:
mysql -h 127.0.0.1 -P 3307 -u dbuser -p

Bu yöntemin ayrıntılarını ssh tüneli port yönlendirme yazısında bulabilirsiniz.

2. Yalnızca belirli IP'ye izin. Uygulama sunucusu ayrı bir makinedeyse, portu herkese değil sadece o IP'ye açın:

sudo ufw allow from 203.0.113.30 to any port 3306 proto tcp comment 'app sunucusu'

# firewalld ile rich rule
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.30" port port="3306" protocol="tcp" accept'
sudo firewall-cmd --reload

3. Özel ağ (private network) kullanın. Sağlayıcınız sunucular arasında iç ağ sunuyorsa MySQL'i yalnızca o arayüzde dinletin; trafik internete hiç çıkmaz.

Uzaktan MySQL bağlantısının doğru kurulumunu ve yetkilendirme tarafını remote mysql uzaktan bağlantı yazısında ayrıntılı anlattım.

Panel Portları ve IP Kısıtlaması#

cPanel, WHM, Plesk, phpMyAdmin, Portainer gibi yönetim arayüzleri kendi portlarında çalışır ve hepsi aynı sorunu paylaşır: giriş ekranı internete açıktır, dolayısıyla parola tahmini denemelerine hedeftir.

Yaygın panel portları:

Buradaki genel prensip nettir: her panelin şifrelenmemiş HTTP portunu kapatın, yalnızca TLS'li olanı bırakın. Müşterilerinizin kullandığı arayüzler (cPanel 2083, webmail 2096) açık kalmalıdır; yalnızca sizin kullandığınız yönetim arayüzleri (WHM 2087, Plesk 8443) sabit IP'nizle sınırlanabilir.

Sabit IP'niz varsa kısıtlama tek satırdır:

sudo ufw allow from 203.0.113.10 to any port 2087 proto tcp comment 'WHM - ofis IP'
sudo ufw deny 2087/tcp

Sabit IP'niz yoksa iki alternatif var: sunucuya bir VPN kurup paneli yalnızca VPN arayüzünde yayınlamak (wireguard kurulumu) veya paneli SSH tüneliyle açmak. İkisi de sabit IP gerektirmez ve panel portunu internete hiç açmadan çalışır.

cPanel/WHM kullanıyorsanız cPHulk gibi dahili kaba kuvvet korumasını da devreye almanız gerekir; yapılandırmasını whm güvenlik cphulk yazısında ele aldım.

Portu Kapatmanın İki Yolu: Firewall ve Dinleme Adresi#

Bir portu "kapatmanın" iki farklı anlamı var ve ikisi de gerekli.

Yol 1 — Servisi yalnızca localhost'ta dinletmek. En sağlam yöntem budur, çünkü servis dışarıya hiç bakmaz.

# /etc/mysql/mysql.conf.d/mysqld.cnf
[mysqld]
bind-address = 127.0.0.1

# /etc/redis/redis.conf
bind 127.0.0.1 ::1
protected-mode yes
requirepass guclu-bir-parola

# /etc/postgresql/*/main/postgresql.conf
listen_addresses = 'localhost'

Değişiklikten sonra servisi yeniden başlatıp doğrulayın:

sudo systemctl restart mysql
sudo ss -tlnp | grep 3306

Beklenen çıktı 127.0.0.1:3306 olmalıdır. 0.0.0.0:3306 görüyorsanız servis hâlâ tüm arayüzlerde dinliyor demektir ve tek koruma katmanınız güvenlik duvarıdır.

Yol 2 — Güvenlik duvarında engellemek. İkinci katman olarak şarttır ama tek başına yeterli değildir. Kural sırasının yanlış olması, bir güncellemenin kuralları sıfırlaması ya da bir konteynerin doğrudan iptables'a kural yazması (Docker bunu yapar) bu katmanı sessizce delebilir.

Docker özellikle dikkat ister: docker run -p 3306:3306 komutu portu tüm arayüzlerde yayınlar ve UFW kurallarını atlar, çünkü Docker kurallarını iptables'ın daha önce değerlendirilen zincirine ekler. Doğru kullanım adresi açıkça belirtmektir:

docker run -p 127.0.0.1:3306:3306 mariadb

Hangi portların hangi süreçler tarafından dinlendiğini düzenli olarak gözden geçirin; komutları ve okuma yöntemini açık portları listeleme ss netstat yazısında topladım.

Dışarıdan Gerçekten Kapalı mı: Doğrulama#

Sunucunun içinden bakmak yanıltıcıdır — ss -tlnp size servisin dinlediğini söyler ama internetten erişilip erişilemediğini söylemez. Doğrulamayı mutlaka dışarıdan yapın.

1. Kendi makinenizden TCP testi:

nc -zv 203.0.113.20 3306
nc -zv 203.0.113.20 443

Beklenen sonuç: 443 için succeeded, 3306 için timed out veya refused. 3306 için succeeded alıyorsanız port açıktır ve hemen kapatmanız gerekir.

2. Nmap ile toplu tarama. Kendi sunucunuzu taramak meşrudur ve gerçek durumu en net gösteren yöntemdir:

# En yaygın 1000 portu tara
nmap 203.0.113.20

# Tüm TCP portlarını tara (uzun sürer)
nmap -p- 203.0.113.20

# Servis ve sürüm tespiti
nmap -sV -p 22,80,443,3306,6379 203.0.113.20

Çıktıda open olarak listelenen her portun orada bilinçli bir kararla bulunduğundan emin olun. filtered durumu güvenlik duvarının paketi düşürdüğünü, closed ise porta ulaşıldığını ama dinleyen olmadığını gösterir. Nmap çıktısını doğru okumayı açık port taraması nmap yazısında ayrıntılandırdım.

3. UDP'yi unutmayın. Çoğu kişi yalnızca TCP tarar; oysa DNS (53), NTP (123), SNMP (161) ve Memcached (11211) UDP üzerinde çalışır ve amplifikasyon saldırılarında kullanılır:

sudo nmap -sU -p 53,123,161,11211 203.0.113.20

4. IPv6'yı da kontrol edin. Bu, gördüğüm en sinsi açıklardan biridir: kurallar yalnızca IPv4 için yazılır, sunucunun IPv6 adresi vardır ve aynı servisler IPv6 üzerinden tamamen açık kalır.

nmap -6 2001:db8::1
sudo ip6tables -L -n

UFW varsayılan olarak /etc/default/ufw içindeki IPV6=yes ayarıyla her iki aileye kural yazar; bu satırın açık olduğunu doğrulayın.

Aylık Port Denetimi Alışkanlığı#

Port politikası bir kez kurulup unutulacak bir şey değildir; her yeni kurulum, her paket güncellemesi ve her konteyner yeni bir dinleyici ekleyebilir. Ayda bir çalıştıracağınız kısa bir kontrol listesi:

1. Dinleyenleri listeleyin: sudo ss -tulnp — çıktıdaki her satırın karşılığında bilinçli bir kararınız olmalı.
2. Güvenlik duvarı kurallarını okuyun: sudo ufw status numbered veya sudo firewall-cmd --list-all — tanımadığınız kural varsa nereden geldiğini araştırın.
3. Dışarıdan tarayın: nmap -p- <ip> — gerçek durumu yalnızca bu gösterir.
4. Kullanılmayan servisleri kapatın: Kurulu ama gerekmeyen bir servis, kapalı port değil eksiltilmiş risk demektir:

   sudo systemctl disable --now rpcbind
   sudo systemctl disable --now cups
   

5. Logları gözden geçirin: Beklenmedik portlara gelen bağlantı denemeleri erken uyarı sinyalidir.

Bu denetimi sunucu sertleştirmenin geri kalanıyla birlikte yapmak en verimlisidir; kapsamlı bir liste için sunucu sertleştirme kontrol listesi yazısına bakabilirsiniz.

Sıkça Sorulan Sorular#

Web sunucusunda en az kaç port açık kalmalı#

Tipik bir web sunucusunda üç port yeterlidir: 80, 443 ve SSH portu. HTTP/3 kullanıyorsanız buna 443/UDP eklenir. Sunucuda kendi mail servisiniz varsa 25, 587, 993 gibi mail portları da gerekir; yoksa hepsi kapalı kalmalıdır. Bunun dışındaki her port için "bu porta internetten kimin, neden erişmesi gerekiyor" sorusunu yanıtlayabiliyor olmanız gerekir — yanıtlayamıyorsanız o port kapanmalıdır. Veritabanı, önbellek ve yönetim panelleri bu sorunun cevabı genelde "sadece ben" olduğu için IP kısıtlaması veya tünel arkasına alınır.

3306 portunu uygulama sunucum için açmam gerekiyor, nasıl güvenli yaparım#

En güvenli yöntem portu internete hiç açmamak ve erişimi ya özel ağ üzerinden ya da SSH tüneliyle sağlamaktır. Sağlayıcınız sunucular arasında iç ağ sunuyorsa MySQL'i yalnızca o arayüzde dinletin; trafik internete hiç çıkmadığı için port taramalarında görünmezsiniz. İç ağ yoksa güvenlik duvarında portu herkese değil sadece uygulama sunucusunun IP adresine açın (ufw allow from <ip> to any port 3306) ve MySQL kullanıcısını da 'dbuser'@'203.0.113.30' biçiminde o IP'ye bağlayın. Tek seferlik yönetim işleri için SSH tüneli her zaman en pratik ve en güvenli çözümdür.

Portu güvenlik duvarında kapattım, servis hâlâ dinliyor sorun olur mu#

Güvenlik duvarı doğru çalıştığı sürece dışarıdan erişilemez, ancak bu tek katmanlı ve kırılgan bir korumadır. Bir kural yanlışlıkla silinirse, sunucu yeniden kurulur ve kurallar geri yüklenmezse ya da Docker gibi bir bileşen doğrudan iptables'a kural yazarsa servis aniden internete açılır. Doğru yaklaşım iki katmanı birlikte kullanmaktır: servisi bind-address = 127.0.0.1 benzeri bir ayarla yalnızca yerelde dinletin ve ayrıca güvenlik duvarında da engelleyin. Böylece bir katman düşse bile diğeri ayakta kalır.

Sunucumun hangi portlarının açık olduğunu nasıl öğrenirim#

İki farklı bakış açısı gerekir ve ikisi de şarttır. Sunucunun içinden sudo ss -tulnp komutu hangi süreçlerin hangi portları dinlediğini ve hangi adreste dinlediğini gösterir; 0.0.0.0 veya :: gördüğünüz her satır tüm arayüzlerde dinleniyor demektir. Dışarıdan ise başka bir makineden nmap -p- sunucu-ip çalıştırarak internetten gerçekten erişilebilen portları görürsünüz. İkisi arasındaki fark güvenlik duvarınızın ne kadar iş yaptığını söyler; içeriden dinlenen ama dışarıdan görünmeyen portlar firewall tarafından korunuyor demektir.

UDP portlarını da kapatmam gerekir mi#

Evet, UDP portları en sık atlanan ve amplifikasyon saldırılarında en çok kötüye kullanılan yüzeydir. DNS (53), NTP (123), SNMP (161) ve Memcached (11211) yanlış yapılandırıldığında saldırganın küçük bir istekle sizden büyük bir yanıt üretmesine ve bunu bir kurbana yönlendirmesine imkân tanır; bu durumda sunucunuz saldırının kaynağı haline gelir ve IP itibarınız zarar görür. Bu servislerden hiçbirini işletmiyorsanız ilgili UDP portlarını kapalı tutun. HTTP/3 kullanıyorsanız 443/UDP bunun tek meşru istisnasıdır ve açık kalması gerekir.

IPv6 üzerinden portlarım açık kalabilir mi#

Evet ve bu çok yaygın bir gözden kaçırmadır; kurallar yalnızca IPv4 için yazıldığında sunucunun IPv6 adresi üzerinden aynı servisler tamamen erişilebilir kalır. UFW /etc/default/ufw dosyasındaki IPV6=yes ayarıyla her iki aile için kural üretir, bu satırın açık olduğunu doğrulayın. firewalld varsayılan olarak her iki aileyi de kapsar ama doğrudan iptables kuralı yazdıysanız ip6tables tarafını ayrıca yapılandırmanız gerekir. Doğrulamak için dışarıdan nmap -6 <ipv6-adresi> taraması yapın; IPv4 taramasıyla aynı sonucu vermelidir.

cPanel portlarını IP ile sınırlamak müşterilerimi etkiler mi#

Evet, bu yüzden hangi portu kısıtladığınıza dikkat etmeniz gerekir. Müşterilerinizin kullandığı cPanel (2083) ve webmail (2096) portları herkese açık kalmalıdır; bunları IP ile sınırlarsanız müşteriler hesaplarına erişemez. Yalnızca sizin kullandığınız WHM (2087) portunu sabit IP'nizle sınırlamak güvenli ve etkili bir önlemdir. Ayrıca tüm panellerin şifrelenmemiş HTTP karşılıklarını (2082, 2086, 2095) tamamen kapatın; bunların açık kalmasının hiçbir faydası yoktur ve giriş bilgilerinin şifresiz taşınmasına imkân verir.

Kapanış#

Sunucuda hangi portların açık olması gerektiği sorusunun cevabı bir liste değil, bir politikadır: varsayılan olarak her şey kapalı, yalnızca dışarıdan erişilmesi zorunlu servisler için bilinçli istisnalar. Tipik bir web sunucusu için bu üç ya da dört porttan ibarettir; veritabanı, önbellek ve yönetim panelleri ya localhost'ta dinlemeli ya IP ile sınırlanmalı ya da tünel arkasına alınmalıdır. Ve en önemlisi: sunucunun içinden bakmak yeterli değildir — durumu ancak dışarıdan yapılan bir tarama gerçek anlamda doğrular. Bu denetimi ayda bir tekrarlamak, aylar sonra fark edilecek bir açığı bugün kapatır.

Bu yapılandırmayı kendi kurallarınızla yönetmek için tam yetkili bir ortama ihtiyacınız var; VDS sunucu paketlerinde güvenlik duvarını, dinleme adreslerini ve servis kurulumlarını baştan sona kendiniz belirlersiniz. Farklı sunucu tiplerini karşılaştırmak için sunucu çözümleri sayfasına göz atabilirsiniz. Güvenlik duvarı politikasının kurulmasını, sertleştirmeyi ve düzenli denetimi bir ekibin üstlenmesini isterseniz sunucu yönetimi hizmeti bu işi devralır; uygulama katmanına gelen saldırıları filtrelemek için web uygulama güvenlik duvarı ve hacim tabanlı saldırılara karşı DDoS koruma çözümlerini de inceleyebilirsiniz.