Linux’ta Firewalld ile Güvenlik Duvarı Nasıl Yapılandırılır (Tam Rehber)

Linux sunucunuzu yetkisiz erişime ve kötü amaçlı trafiğe karşı güvence altına almak isteğe bağlı değildir — bu, herhangi bir sistem yöneticisinin temel sorumluluğudur. Kişisel bir proje, bir iş uygulaması veya bir üretim web sunucusu çalıştırıyor olsanız da, düzgün yapılandırılmış bir güvenlik duvarı ilk ve en kritik savunma hattınızdır. Firewalld, Linux üzerinde mevcut olan en güçlü ve esnek güvenlik duvarı yönetim araçlarından biridir ve dinamik kural yönetimi, bölge tabanlı trafik kontrolü ve zengin kural desteği sunmaktadır — değişiklikler uygulandığında tam bir hizmet yeniden başlatması gerekmez.

Bu kapsamlı rehber, bilmeniz gereken her şey konusunda size yol gösterir: Firewalld’yi yükleme, bölgeleri anlama, hizmetleri ve portları yönetme, zengin kurallar yazma ve güvenlik duvarınızı gerçek zamanlı olarak izleme. AlexHost’tan bir VPS veya Dedicated Server üzerinde barındırıyorsanız, bu rehber ortamınızı kilitlemenize ve güçlü, uyarlanabilir bir güvenlik duruşu korumanıza yardımcı olacaktır.

Firewalld Nedir ve Neden Kullanmalısınız?

Firewalld, CentOS, RHEL, Fedora, Rocky Linux, AlmaLinux ve giderek artan şekilde Debian ve Ubuntu dahil olmak üzere çoğu büyük Linux dağıtımında bulunan dinamik bir firewall yönetim daemon’udur. Eski iptables yaklaşımından farklı olarak — her kural değişikliği tüm kural setinin temizlenmesini ve yeniden yüklenmesini gerektiriyordu — Firewalld, etkin bağlantıları kesintiye uğratmadan değişiklikleri çalışma zamanında dinamik olarak uygular.

Firewalld’nin Temel Avantajları

• Bölge tabanlı mimari — farklı ağ arayüzlerine veya IP aralıklarına farklı güven seviyeleri atayın
• Dinamik kural güncellemeleri — firewall’ı yeniden başlatmadan veya mevcut bağlantıları kesmeden değişiklikleri uygulayın
• Hizmet soyutlaması — trafiği ham port numaraları yerine hizmet adına göre yönetin (örn. http, ssh)
• Zengin kurallar — belirli IP’leri, protokolleri ve eylemleri hedefleyen karmaşık, koşullu kurallar yazın
• D-Bus entegrasyonu — diğer uygulamaların ve hizmetlerin firewall ile programlı olarak etkileşim kurmasına izin verin
• IPv4 ve IPv6 desteği — her iki protokol ailesini tek bir arayüzden yönetin

Ön Koşullar

Devam etmeden önce aşağıdakilere sahip olduğunuzdan emin olun:

• CentOS 7/8/9, RHEL, Fedora, Rocky Linux, AlmaLinux, Debian veya Ubuntu çalıştıran bir Linux sunucusu
• Sunucuya root veya sudo erişimi
• Linux terminal komutlarının temel anlaşılması
• Aktif bir SSH oturumu (açık tutun — güvenlik duvarı kurallarını değiştireceksiniz)

> Kritik Uyarı: Firewalld’yi etkinleştirmeden önce SSH’nin (varsayılan olarak port 22) güvenlik duvarı kurallarında açıkça izin verildiğinden her zaman emin olun. Uzak bir sunucudan kendinizi kilitlemek yaygın ve önlenebilir bir hatadır.

Adım 1: Firewalld’yi Yükleme

Firewalld, çoğu büyük Linux dağıtımının varsayılan depolarında bulunur. Sisteminiz için uygun paket yöneticisini kullanın.

CentOS / RHEL / Rocky Linux / AlmaLinux’ta

sudo yum install firewalld -y

Veya daha yeni sürümlerde DNF kullanarak:

sudo dnf install firewalld -y

Fedora’da

sudo dnf install firewalld -y

Debian / Ubuntu’da

Firewalld en yaygın olarak RHEL tabanlı sistemlerle ilişkilendirilse de, Debian tabanlı dağıtımlarda tam olarak desteklenir:

sudo apt update
sudo apt install firewalld -y

> Ubuntu/Debian kullanıcıları için not: Eğer ufw sisteminizde şu anda etkinse, çakışmaları önlemek için Firewalld’yi etkinleştirmeden önce devre dışı bırakın:

> “`bash

> sudo ufw disable

> “`

Adım 2: Firewalld’i Başlatma ve Etkinleştirme

Kurulumdan sonra, Firewalld hizmetini başlatın ve sistem önyüklemesinde otomatik olarak başlaması için yapılandırın:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Hizmetin doğru şekilde çalıştığını doğrulayın:

sudo systemctl status firewalld

Şuna benzer bir çıktı görmelisiniz:

● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled)
   Active: active (running) since ...

Durum active (running) gösteriyorsa, Firewalld operasyonel ve yapılandırılmaya hazırdır.

Adım 3: Firewalld Bölgelerini Anlama

Bölge tabanlı model, Firewalld mimarisinin temelini oluşturur. Bir bölge, bir ağ bağlantısı veya arabirimi için bir güven düzeyini tanımlar. Her bölge, hangi trafiğin izin verildiğini veya reddedildiğini belirleyen kendi kural setini içerir.

Yerleşik Firewalld Bölgeleri

Geçerli Varsayılan Bölgeyi Kontrol Edin

sudo firewall-cmd --get-default-zone

Tüm Kullanılabilir Bölgeleri Listeleyin

sudo firewall-cmd --get-zones

Şu Anda Etkin Bölgeleri ve Bunların Arabirimlerini Görüntüleyin

sudo firewall-cmd --get-active-zones

Örnek çıktı:

public
  interfaces: eth0

Adım 4: Varsayılan Bölgeyi Değiştirme

Örnek 1 — Varsayılan Bölgeyi public olarak Ayarlama (VPS/Dedicated Sunucular için Önerilir)

Çoğu internet’e açık sunucu için, public uygun varsayılan bölgedir. Muhafazakar bir güven seviyesi uygular ve yalnızca açıkça izin verilen trafiğe izin verir:

sudo firewall-cmd --set-default-zone=public

Değişikliği doğrulayın:

sudo firewall-cmd --get-default-zone

Beklenen çıktı:

public

Örnek 2 — Varsayılan Bölgeyi home olarak Ayarlama

Sunucunuz güvenilir bir özel ağda çalışıyorsa (ev laboratuvarı veya iç geliştirme ortamı gibi), home bölgesi güvenilir ana bilgisayarlar arasında daha izin verici iletişime izin verir:

sudo firewall-cmd --set-default-zone=home

Doğrulayın:

sudo firewall-cmd --get-default-zone

Beklenen çıktı:

home

Örnek 3 — Varsayılan Bölgeyi work olarak Ayarlama

Orta düzey güvenin uygun olduğu kurumsal veya iş ağındaki sunucular için:

sudo firewall-cmd --set-default-zone=work

Doğrulayın:

sudo firewall-cmd --get-default-zone

Beklenen çıktı:

work

Adım 5: Firewalld ile Hizmetleri Yönetme

Firewalld, hizmet adlarını karşılık gelen bağlantı noktaları ve protokolleriyle eşleştiren önceden tanımlanmış hizmet tanımlarının bir kitaplığını içerir. Bu, kuralları ham bağlantı noktası numaraları yerine amaç doğrultusunda yönetmeyi çok daha kolay hale getirir.

Tüm Önceden Tanımlanmış Hizmetleri Listele

sudo firewall-cmd --get-services

Bir Bölgede Hizmet İzni Ver

HTTP trafiğine (bağlantı noktası 80/TCP) public bölgesinde kalıcı olarak izin vermek için:

sudo firewall-cmd --zone=public --add-service=http --permanent

HTTPS trafiğine (bağlantı noktası 443/TCP) izin vermek için:

sudo firewall-cmd --zone=public --add-service=https --permanent

SSH’ye (bağlantı noktası 22/TCP) izin vermek için — diğer değişiklikleri yapmadan önce buna izin verildiğinden her zaman emin olun:

sudo firewall-cmd --zone=public --add-service=ssh --permanent

Firewalld’i Yeniden Yükleyerek Değişiklikleri Uygula

--permanent bayrağı kuralı kalıcı yapılandırmaya yazar ancak çalışan güvenlik duvarına hemen uygulamaz. Kalıcı değişiklikleri yaptıktan sonra her zaman yeniden yükleyin:

sudo firewall-cmd --reload

Bir Bölgedeki Hizmetleri Doğrula

sudo firewall-cmd --zone=public --list-services

Örnek çıktı:

dhcpv6-client http https ssh

Bir Hizmeti Bir Bölgeden Kaldır

HTTPS’yi public bölgesinden kaldırmak için:

sudo firewall-cmd --zone=public --remove-service=https --permanent
sudo firewall-cmd --reload

Adım 6: Portları Doğrudan Yönetme

Bir hizmetin önceden tanımlanmış bir Firewalld tanımı olmadığı durumlarda, belirli portları doğrudan açabilir veya kapatabilirsiniz.

Belirli Bir Portu Açma

public bölgesinde TCP üzerinden 8080 portunu açmak için:

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

UDP portunu açmak için (örneğin, DNS için 53 portu):

sudo firewall-cmd --zone=public --add-port=53/udp --permanent
sudo firewall-cmd --reload

Bir port aralığını açmak için (örneğin, 6000–6100 TCP):

sudo firewall-cmd --zone=public --add-port=6000-6100/tcp --permanent
sudo firewall-cmd --reload

Belirli Bir Portu Kapatma

8080 portunu kapatmak için:

sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
sudo firewall-cmd --reload

Bir Bölgedeki Tüm Açık Portları Listeleme

sudo firewall-cmd --zone=public --list-ports

Adım 7: Rich Rules ile Gelişmiş Yapılandırma

Rich rules basit hizmet veya port kurallarının çok ötesinde, trafiğe karşı ayrıntılı ve koşullu kontrol sağlar. Kaynak IP, hedef IP, protokol, port ve eylem (kabul et, reddet, bırak, günlüğe kaydet) ile filtrelemeyi destekler.

Rich Rule Sözdizimi

rule [family="<ipv4|ipv6>"]
     [source address="<IP/CIDR>"]
     [destination address="<IP/CIDR>"]
     [service name="<service>"] | [port port="<port>" protocol="<tcp|udp>"]
     [log [prefix="<prefix>"] [level="<level>"] [limit value="<rate>"]]
     [accept|reject|drop]

Örnek 1 — Belirli Bir IP Adresinden Yalnızca SSH’ye İzin Ver

Bu, herhangi bir uzak sunucu için en önemli güvenlik yapılandırmalarından biridir. Sunucunuzu sabit bir IP adresinden yönetiyorsanız, SSH erişimini yalnızca o IP’ye kısıtlayın:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="203.0.113.50" service name="ssh" accept' --permanent
sudo firewall-cmd --reload

Örnek 2 — Belirli Bir IP Adresinden Tüm Trafiği Engelle

Kötü amaçlı trafik oluşturan bir IP adresini tamamen engellemek için:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="198.51.100.25" drop' --permanent
sudo firewall-cmd --reload

Örnek 3 — Belirli Bir Alt Ağdan HTTP’ye İzin Ver

HTTP trafiğine yalnızca güvenilir bir iç alt ağdan izin vermek için (örn. 192.168.1.0/24):

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="http" accept' --permanent
sudo firewall-cmd --reload

Örnek 4 — SSH Bağlantılarını Brute Force Saldırılarını Önlemek İçin Hız Sınırla

SSH bağlantı denemelerini günlüğe kaydedin ve sınırlayın, brute-force saldırısı riskini azaltın:

sudo firewall-cmd --zone=public --add-rich-rule='rule service name="ssh" log prefix="SSH-ATTEMPT" level="notice" limit value="3/m" accept' --permanent
sudo firewall-cmd --reload

Örnek 5 — Belirli Bir IP’den Belirli Bir Porta İzin Ver

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.5" port port="3306" protocol="tcp" accept' --permanent
sudo firewall-cmd --reload

Bir Bölgedeki Tüm Rich Rules’ı Listele

sudo firewall-cmd --zone=public --list-rich-rules

Bir Rich Rule’ı Kaldır

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="198.51.100.25" drop' --permanent
sudo firewall-cmd --reload

Adım 8: Firewall’ınızı İzleme ve Denetleme

Firewall yapılandırmanızı düzenli olarak gözden geçirmek, güçlü bir güvenlik duruşu sağlamak için gereklidir. Firewalld, kurallarınızın mevcut durumunu incelemek için çeşitli komutlar sağlar.

Varsayılan Bölge için Tam Yapılandırmayı Görüntüleyin

sudo firewall-cmd --list-all

Örnek çıktı:

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources:
  services: dhcpv6-client http https ssh
  ports: 8080/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
    rule family="ipv4" source address="203.0.113.50" service name="ssh" accept

Tüm Bölgeler için Yapılandırmayı Görüntüleyin

sudo firewall-cmd --list-all-zones

Belirli Bir Bölge için Yapılandırmayı Görüntüleyin

sudo firewall-cmd --zone=dmz --list-all

Belirli Bir Hizmetin İzin Verilip Verilmediğini Kontrol Edin

sudo firewall-cmd --zone=public --query-service=http

Belirli Bir Bağlantı Noktasının Açık Olup Olmadığını Kontrol Edin

sudo firewall-cmd --zone=public --query-port=8080/tcp

Adım 9: Runtime vs. Kalıcı Kurallar — Farkı Anlamak

Firewalld iki farklı yapılandırma katmanıyla çalışır:

En İyi Uygulama İş Akışı

1. Kuralı önce runtime’da test edin (--permanent olmadan) beklendiği gibi çalışıp çalışmadığını doğrulamak için
2. Kural onaylandıktan sonra kalıcı olarak ekleyin
3. Firewalld’ı yeniden yükleyin runtime ve kalıcı yapılandırmaları senkronize etmek için

# Step 1: Test at runtime
sudo firewall-cmd --zone=public --add-service=http

# Step 2: Verify it works as expected, then make it permanent
sudo firewall-cmd --zone=public --add-service=http --permanent

# Step 3: Reload to sync
sudo firewall-cmd --reload

Alternatif olarak, kalıcı bir kural uygulayın ve bir iş akışında hemen yeniden yükleyin:

sudo firewall-cmd --zone=public --add-service=http --permanent && sudo firewall-cmd --reload

Adım 10: Ağ Arayüzlerini Bölgelere Atama

Sunucunuzda birden fazla ağ arayüzü varsa (genel ve özel NIC’lere sahip Dedicated Servers‘da yaygındır), her arayüzü farklı güven seviyeleriyle farklı bir bölgeye atayabilirsiniz.

Bir Arayüzü Bölgeye Atama

sudo firewall-cmd --zone=internal --add-interface=eth1 --permanent
sudo firewall-cmd --reload

Bir Arayüzün Bölgesini Değiştirme

sudo firewall-cmd --zone=public --change-interface=eth0 --permanent
sudo firewall-cmd --reload

Bir Arayüzü Bölgeden Kaldırma

sudo firewall-cmd --zone=internal --remove-interface=eth1 --permanent
sudo firewall-cmd --reload

Adım 11: IP Masquerading ve Port Forwarding’i Etkinleştirme

Gateway olarak hareket eden veya NAT (Network Address Translation) çalıştıran sunucular için Firewalld, masquerading ve port forwarding’i yerel olarak destekler.

Masquerading’i Etkinleştirme (NAT)

sudo firewall-cmd --zone=external --add-masquerade --permanent
sudo firewall-cmd --reload

Bir Portu İletme (örn. Harici Port 80’i İç Port 8080’e İletme)

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
sudo firewall-cmd --reload

Trafiği Farklı Bir Host’a İletme

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=192.168.1.10 --permanent
sudo firewall-cmd --reload

AlexHost Sunucuları için Pratik Güvenlik Yapılandırmaları

AlexHost altyapısında bir web sunucusu, veritabanı sunucusu veya uygulama sunucusu çalıştırıyorsanız, burada önerilen temel Firewalld yapılandırmaları bulunmaktadır:

Temel Web Sunucusu Yapılandırması

# Allow SSH (restrict to your IP in production)
sudo firewall-cmd --zone=public --add-service=ssh --permanent

# Allow HTTP and HTTPS
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# Reload to apply
sudo firewall-cmd --reload

# Verify
sudo firewall-cmd --list-all

> Pro İpucu: Güvenlik duvarı yapılandırmanızı geçerli bir SSL Sertifikası ile eşleştirerek tüm web trafiğinin uçtan uca şifrelendiğinden emin olun. AlexHost tüm barındırma ortamları için SSL sertifikaları sunmaktadır.

Temel Veritabanı Sunucusu Yapılandırması (MySQL/MariaDB)

# Allow MySQL only from a specific application server IP
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.5" port port="3306" protocol="tcp" accept' --permanent

# Block direct MySQL access from the public internet
sudo firewall-cmd --zone=public --remove-service=mysql --permanent 2>/dev/null

sudo firewall-cmd --reload

Temel cPanel/WHM Sunucusu Yapılandırması

cPanel ile VPS kullanıyorsanız, cPanel ve WHM tarafından gerekli olan portları açmanız gerekecektir:

# Web traffic
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# cPanel/WHM ports
sudo firewall-cmd --zone=public --add-port=2082/tcp --permanent   # cPanel HTTP
sudo firewall-cmd --zone=public --add-port=2083/tcp --permanent   # cPanel HTTPS
sudo firewall-cmd --zone=public --add-port=2086/tcp --permanent   # WHM HTTP
sudo firewall-cmd --zone=public --add-port=2087/tcp --permanent   # WHM HTTPS
sudo firewall-cmd --zone=public --add-port=2095/tcp --permanent   # Webmail HTTP
sudo firewall-cmd --zone=public --add-port=2096/tcp --permanent   # Webmail HTTPS

# Mail ports
sudo firewall-cmd --zone=public --add-service=smtp --permanent
sudo firewall-cmd --zone=public --add-service=imaps --permanent
sudo firewall-cmd --zone=public --add-service=pop3s --permanent

sudo firewall-cmd --reload

Firewalld Yaygın Sorunlarını Giderme

Sorun 1: Firewalld Başlatılamıyor

Diğer güvenlik duvarı araçlarıyla çakışmaları kontrol edin:

sudo systemctl status iptables
sudo systemctl stop iptables
sudo systemctl disable iptables
sudo systemctl start firewalld

Sorun 2: Kurallar Yeniden Başlatmadan Sonra Kalıcı Olmuyor

--permanent bayrağını kullandığınızdan emin olun ve yeniden yükleyin:

sudo firewall-cmd --runtime-to-permanent
sudo firewall-cmd --reload

--runtime-to-permanent komutu tüm geçerli çalışma zamanı kurallarını kalıcı yapılandırmaya kaydeder.

Sorun 3: SSH Erişiminden Kilitli Kalma

SSH erişimini yanlışlıkla engellediyseniz, sunucuya konsol aracılığıyla erişmeniz gerekecektir (AlexHost’un VPS kontrol paneli aracılığıyla kullanılabilir) ve şunu çalıştırın:

sudo firewall-cmd --zone=public --add-service=ssh --permanent
sudo firewall-cmd --reload

Sorun 4: Firewalld Günlüklerini Kontrol Etme

sudo journalctl -u firewalld -f

Veya güvenlik duvarıyla ilgili mesajlar için sistem günlüğünü kontrol edin:

sudo grep -i firewall /var/log/messages

Firewalld Hızlı Referans Kopya Sayfası

Sonuç

Firewalld, Linux sistem yöneticilerine ağ trafiği üzerinde hassas, dinamik kontrol sağlayan olağanüstü derecede yetenekli ve esnek bir firewall yönetim aracıdır. Bölgeleri, hizmetleri, port kurallarını ve zengin kuralları ustalıkla kullanarak, sunucunuzu yetkisiz erişime, brute-force saldırılarına ve ağ düzeyindeki tehditlere karşı koruyan katmanlı, uyarlanabilir bir güvenlik mimarisi oluşturabilirsiniz.

İleri taşınacak temel ilkeler:

1. Firewall’ı etkinleştirmeden önce her zaman SSH’ye izin verin kendinizi kilitlemekten kaçınmak için
2. --permanent bayrağını kullanın tüm üretim kuralları için ve her zaman --reload ile devam edin
3. Hassas hizmetleri kısıtlayın (SSH, veritabanları, yönetici panelleri) zengin kuralları kullanarak belirli güvenilir IP adreslerine
4. Firewall kurallarınızı düzenli olarak gözden geçirin — güvenlik duruşunuz altyapınız değiştikçe gelişmelidir
5. Kuralları önce çalışma zamanında test edin, doğrulandıktan sonra kalıcı hale getirin

İster tek bir VPS yönetiyor olun ister bir Dedicated Servers filosu, AlexHost, kurumsal düzeyde güvenlik konfigürasyonları uygulamak için ihtiyaç duyduğunuz altyapı, performans ve tam root erişimi sağlar. Firewalld kurulumunuzu SSL Certificates ile şifrelenmiş iletişim için birleştirin ve VPS Control Panels ile kolaylaştırılmış sunucu yönetimi için keşfedin — tümü AlexHost’un güvenilir, yüksek performanslı platformunda mevcuttur.