SSH Tünelleri: Yapılandırma ve Pratik Kullanım Senaryoları

SSH Port Yönlendirme, SOCKS Proxy’leri ve Güvenli Uzaktan Erişim İçin Kapsamlı Kılavuz

Günümüzün birbirine bağlı dijital ortamında, güvenli uzaktan erişim artık isteğe bağlı değil — sunucuları, veritabanlarını ve dağıtık uygulamaları yöneten geliştiriciler, sistem yöneticileri ve BT profesyonelleri için temel bir gereksinimdir. Secure Shell (SSH) zaten şifreli uzaktan iletişim için altın standart olsa da, tünel oluşturma özellikleri tamamen farklı bir güç ve esneklik düzeyinin kilidini açar.

SSH tünelleme, sistemler arasında ağ trafiğini güvenli bir şekilde iletmenize, kısıtlayıcı güvenlik duvarlarını atlatmanıza, özel ağlardaki hizmetlere erişmenize ve hatta tüm internet bağlantınızı şifrelemenize olanak tanır — bunların hepsi tek bir şifreli SSH bağlantısı üzerinden gerçekleşir. İster engellenmiş bir veritabanına erişmesi gereken bir geliştirici, ister uzaktan test için yerel bir uygulamayı açığa çıkaran bir sistem yöneticisi, ister halka açık Wi-Fi üzerinden güvenli gezinmek isteyen güvenlik bilincine sahip bir kullanıcı olun, SSH tünelleri cephaneliğinizdeki en çok yönlü ve az kullanılan araçlardan biridir.

Bu kapsamlı kılavuz, bilmeniz gereken her şeyi kapsar: SSH tünellerinin nasıl çalıştığı, üç temel yönlendirme yöntemi, gerçek dünya kullanım senaryoları, yapılandırma dosyası kısayolları ve bir VPS Hosting ortamında kararlı ve güvenli tüneller çalıştırmak için en iyi uygulamalar.

SSH Tüneli Nedir?

Bir SSH tüneli, iki uç nokta arasındaki şifreli bir SSH bağlantısı üzerinden rastgele ağ verilerini iletmek için kullanılan bir mekanizmadır. Hizmetleri doğrudan internete açmak yerine — bu önemli güvenlik riskleri doğurur — SSH tünelleme, bu trafiği şifreli bir kanal içine sararak dinleyicilere, güvenlik duvarlarına ve ağ düzeyindeki saldırganlara karşı görünmez hale getirir.

Özünde, bir SSH tüneli şu şekilde çalışır:

1. Bir istemci ile sunucu arasında şifreli bir SSH bağlantısı kurulur
2. Yerel veya uzak bir port bu bağlantıya bağlanır
3. O porta gönderilen tüm trafik, şifreli tünel üzerinden hedefine iletilir

SSH tünelleri, her biri farklı kullanım senaryolarına hizmet eden üç temel modda çalışır:

Her yöntemi pratik komutlar ve gerçek dünya senaryolarıyla derinlemesine inceleyelim.

1. Yerel Port Yönlendirme (-L)

Yerel Port Yönlendirme Nedir?

Yerel port yönlendirme, SSH tünellemesinin en yaygın kullanılan biçimidir. Yerel makinenizde bir port bağlamanıza ve o porta gönderilen tüm trafiği SSH bağlantısı üzerinden belirtilen bir hedefe — genellikle uzak sunucuda çalışan veya oradan erişilebilen bir hizmete — iletmenize olanak tanır.

Bunu, dizüstü bilgisayarınızdan doğrudan uzak bir ağa güvenli, şifreli bir boru oluşturmak olarak düşünebilirsiniz; bu sayede o ağda fiziksel olarak bulunuyormuşsunuz gibi hizmetlerle etkileşime girebilirsiniz.

Nasıl Çalışır

Yerel bir SSH tüneli başlattığınızda:

1. SSH istemciniz yerel makinenizde bir dinleme portu açar
2. O yerel porta yapılan her bağlantı, şifreli SSH oturumu üzerinden uzak SSH sunucusuna iletilir
3. Uzak SSH sunucusu daha sonra belirtilen hedef ana bilgisayara ve porta bağlanır
4. Veriler bu şifreli kanal üzerinden çift yönlü olarak akar

Sözdizimi

ssh -L [local_port]:[destination_host]:[destination_port] [user]@[ssh_server]

Gerçek Dünya Örneği: Güvenlik Duvarıyla Korunan Uzak Veritabanına Erişim

En yaygın senaryolardan biri: uzak bir sunucuda çalışan bir PostgreSQL veritabanına bağlanmanız gerekiyor, ancak veritabanı portu (5432) güvenlik nedeniyle bir güvenlik duvarı tarafından engellenmiş. O portu genel internete açmak yerine SSH üzerinden tünel kurabilirsiniz.

ssh -L 5432:localhost:5432 user@remote-server

Bu komutun açıklaması:

• -L 5432:localhost:5432 — SSH’ye yerel port 5432‘i dinlemesini ve trafiği uzak sunucudan görüldüğü şekliyle localhost:5432‘e iletmesini söyler
• user@remote-server — Üzerinden bağlandığınız SSH kullanıcısı ve sunucusu

Tünel etkin olduğunda, veritabanı istemcinizi açın ve localhost:5432‘e bağlanın — artık şifreli bir kanal üzerinden uzak PostgreSQL örneğiyle güvenli bir şekilde iletişim kuruyorsunuz.

Ek Yerel Yönlendirme Örnekleri

Özel bir portta uzak web uygulamasına erişim:

ssh -L 8080:localhost:80 user@remote-server

Uzak ana bilgisayarın 80 numaralı portunda çalışan web sunucusuna erişmek için yerel makinenizde http://localhost:8080 adresine gidin.

Doğrudan erişilemeyen dahili bir hizmete erişim:

ssh -L 8080:internal-service.local:80 user@remote-server

Burada internal-service.local, uzak sunucudan erişilebilen ancak yerel makinenizden erişilemeyen bir ana bilgisayardır. SSH sunucusu bir aktarıcı görevi görerek özel bir ağın derinliklerindeki hizmetlere erişim sağlar.

2. Uzak Port Yönlendirme (-R)

Uzak Port Yönlendirme Nedir?

Uzak port yönlendirme, özünde yerel port yönlendirmenin tersidir. Uzak bir hizmeti yerel makinenize çekmek yerine, yerel bir hizmeti uzak bir sunucuya gönderiyorsunuz. Bu, yerel makinenizde çalışan bir şeyi — NAT’ın arkasında, kurumsal bir güvenlik duvarının veya ev yönlendiricisinin arkasında — uzak bir sunucudaki kullanıcılara veya daha geniş internete açmanız gerektiğinde son derece değerlidir.

Nasıl Çalışır

1. SSH istemciniz uzak SSH sunucusuna bağlanır
2. Uzak sunucu kendi arayüzünde bir dinleme portu açar
3. O uzak porta yapılan her bağlantı, SSH tüneli üzerinden yerel makinenize geri iletilir
4. Yerel makineniz, bağlantıyı doğrudan yerel bir istemciden geliyormuş gibi işler

Sözdizimi

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Gerçek Dünya Örneği: Yerel Geliştirme Sunucusunu Paylaşma

3000 portunda yerel olarak bir web uygulaması geliştiriyorsunuz ve onu dağıtmadan bir meslektaşınıza veya müşterinize demo yapmak istiyorsunuz. Uzak port yönlendirme kullanarak, yerel uygulamanızı uzak sunucunun genel IP’si üzerinden erişilebilir hale getirebilirsiniz.

ssh -R 8080:localhost:3000 user@remote-server

Bu komutun açıklaması:

• -R 8080:localhost:3000 — Uzak sunucuya 8080 portunu dinlemesini ve gelen bağlantıları yerel makinenizdeki localhost:3000‘e geri iletmesini söyler
• user@remote-server — Aktarıcı olarak görev yapan uzak SSH sunucusu

Artık uzak sunucuya erişimi olan herkes http://remote-server:8080 adresini ziyaret edebilir ve yerel geliştirme uygulamanızla gerçek zamanlı olarak etkileşime girebilir.

> Önemli Not: Uzak port yönlendirmenin tüm arayüzlere bağlanması için (uzak sunucuda yalnızca localhost değil), uzak sunucunun /etc/ssh/sshd_config dosyasında GatewayPorts yes seçeneğini etkinleştirmeniz gerekebilir.

Ek Uzak Yönlendirme Örneği

Ekip incelemesi için yerel geliştirme sunucusunu açığa çıkarma:

ssh -R 4000:localhost:3000 user@remote-server

http://remote-server:4000 adresine erişen meslektaşlarınıza 3000 portunda çalışan yerel uygulamanız sunulacak — dağıtım yok, DNS değişikliği yok, güvenlik duvarı kuralı yok.

3. Dinamik Port Yönlendirme (-D)

Dinamik Port Yönlendirme Nedir?

Dinamik port yönlendirme, SSH istemcinizi tam işlevli bir SOCKS proxy sunucusuna dönüştürür. Trafiği tek bir önceden tanımlanmış hedefe tünelleyen yerel ve uzak yönlendirmenin aksine, dinamik yönlendirme trafiği SSH sunucusu üzerinden herhangi bir hedefe yönlendirmenize olanak tanır. Bu, tüm internet trafiğini şifrelemek, coğrafi kısıtlamaları atlatmak ve güvenilmeyen ağlardaki bağlantıları güvence altına almak için son derece güçlü bir araç haline getirir.

Nasıl Çalışır

1. SSH istemciniz yerel bir portta SOCKS proxy dinleyicisi açar
2. O SOCKS proxy’yi kullanacak şekilde yapılandırılmış herhangi bir uygulama, trafiğini SSH tüneli üzerinden gönderir
3. Uzak SSH sunucusu bu trafiği sizin adınıza nihai hedefine iletir
4. Harici sunucuların bakış açısından, tüm trafik SSH sunucusunun IP adresinden kaynaklanıyor gibi görünür

Sözdizimi

ssh -D [local_socks_port] [user]@[ssh_server]

Gerçek Dünya Örneği: Halka Açık Wi-Fi’da Ağ Kısıtlamalarını Atlatma

Bir kafede veya otelde, kısıtlı veya izlenen trafiğe sahip halka açık bir Wi-Fi ağına bağlısınız. Tarayıcınızı dinamik bir SSH tüneli üzerinden VPS Hosting sunucunuza yönlendirerek tüm trafik şifreli ve kısıtlamasız hale gelir.

ssh -D 8080 user@remote-server

Bu komutun açıklaması:

• -D 8080 — Yerel makinenizde 8080 portunda bir SOCKS5 proxy açar
• user@remote-server — Trafiğinizi aktaracak SSH sunucusu

Tarayıcınızı SOCKS proxy kullanacak şekilde yapılandırma:

• Firefox: Ayarlar → Ağ Ayarları → Manuel proxy yapılandırması → SOCKS Ana Bilgisayarı: 127.0.0.1, Port: 8080, SOCKS v5
• Chrome (komut satırı üzerinden):

google-chrome --proxy-server="socks5://127.0.0.1:8080"

Yapılandırıldıktan sonra, tüm tarayıcı trafiği şifrelenir ve SSH sunucunuz üzerinden yönlendirilir — yerel ağ izlemesine ve güvenlik duvarı kısıtlamalarına karşı görünmez hale gelir.

Ek Dinamik Yönlendirme Örneği

Tüm trafiği 9090 portundaki güvenli bir SOCKS proxy üzerinden yönlendirme:

ssh -D 9090 user@ssh-server

Herhangi bir SOCKS5 uyumlu uygulamayı — tarayıcılar, torrent istemcileri, mesajlaşma uygulamaları — proxy olarak localhost:9090 kullanacak şekilde yapılandırın; tüm trafik SSH sunucunuz üzerinden güvenli bir şekilde tünellenecektir.

SSH Tünellerini Canlı Tutma: Temel Bayraklar

Varsayılan olarak, SSH tünelleri hareketsizlik veya ağ kesintileri nedeniyle düşebilir. Daha kararlı ve kalıcı tüneller oluşturmak için bu bayrakları kullanın:

ssh -L 5432:localhost:5432 -N -f -o ServerAliveInterval=60 -o ServerAliveCountMax=3 user@remote-server

Yapılandırma Dosyasıyla SSH Tünellerini Basitleştirme

SSH tünellerini düzenli olarak kullanıyorsanız, her seferinde uzun komutlar yazmak sıkıcı ve hataya açık hale gelir. SSH yapılandırma dosyası (~/.ssh/config), tüm yönlendirme ayarları önceden yapılandırılmış adlandırılmış bağlantı profilleri tanımlamanıza olanak tanır.

SSH Yapılandırma Dosyasını Oluşturma

~/.ssh/config dosyasını açın veya oluşturun ve tünel yapılandırmalarınızı ekleyin:

Host remote-db
    HostName remote-server.example.com
    User your-username
    IdentityFile ~/.ssh/id_rsa
    LocalForward 5432 localhost:5432
    ServerAliveInterval 60
    ServerAliveCountMax 3

Host dev-proxy
    HostName ssh-server.example.com
    User your-username
    DynamicForward 9090
    ServerAliveInterval 60

Host expose-local
    HostName remote-server.example.com
    User your-username
    RemoteForward 8080 localhost:3000

Yapılandırılmış Tünellerinizi Kullanma

Yapılandırma dosyası yerinde olduğunda, bir tünel kurmak şu kadar basittir:

# Connect to remote database via local port forwarding
ssh remote-db

# Start SOCKS proxy for secure browsing
ssh dev-proxy

# Expose local development server remotely
ssh expose-local

Artık karmaşık komut dizilerini ezberlemenize gerek yok — tünel yapılandırmalarınız kaydedilmiş ve yeniden kullanılabilir.

Pratik SSH Tünelleme Kullanım Senaryoları

Kullanım Senaryosu 1: Uzak Veritabanına Güvenli Erişim

Üretim veritabanınız asla genel internete açılmamalıdır. SSH üzerinden güvenli bir şekilde erişmek için yerel port yönlendirmeyi kullanın:

ssh -L 5432:localhost:5432 -N -f user@remote-server

Veritabanı istemcinizi (pgAdmin, DBeaver, MySQL Workbench) localhost:5432‘e bağlayın — herhangi bir portu kamuya açmadan uzak veritabanına güvenli bir şekilde bağlandınız.

Bu yaklaşım, güvenlik duvarı kuralları ve SSH yapılandırması üzerinde tam kontrole sahip olduğunuz Dedicated Servers üzerinde sorunsuz çalışır.

Kullanım Senaryosu 2: Özel Ağdaki Dahili Hizmetlere Erişim

Uzak sunucunuz, kamuya açık olmayan dahili hizmetlere (izleme panoları, yönetici panelleri, dahili API’ler) erişebilmektedir. Bunlara yerel makinenizden ulaşın:

ssh -L 8080:internal-monitoring:80 user@remote-server

Güvenli tünel üzerinden dahili izleme panosuna erişmek için http://localhost:8080 adresine gidin.

Kullanım Senaryosu 3: Yerel Geliştirme Ortamını Paylaşma

Yerel olarak bir web uygulaması geliştiriyorsunuz ve dağıtımdan önce paydaş geri bildirimine ihtiyacınız var. Uzak port yönlendirme kullanarak anında paylaşın:

ssh -R 4000:localhost:3000 user@remote-server

Ekibinizle http://remote-server:4000 URL’sini paylaşın — herhangi bir dağıtım yükü olmadan yerel geliştirme sunucunuza gerçek zamanlı olarak erişebilirler.

Kullanım Senaryosu 4: Güvenilmeyen Ağlarda Şifreli Gezinme

Bir konferansta, havalimanında veya otelde misiniz? Dinamik bir SOCKS proxy ile trafiğinizi gözetlemeye karşı koruyun:

ssh -D 9090 -N -f user@your-vps

Tarayıcınızı localhost:9090 adresini SOCKS5 proxy olarak kullanacak şekilde yapılandırın. Tüm trafik artık şifreli ve güvenilir sunucunuz üzerinden yönlendirilmektedir.

Kullanım Senaryosu 5: Kurumsal Güvenlik Duvarı Kısıtlamalarını Atlatma

İş yeriniz belirli geliştirme araçlarına, depolara veya hizmetlere erişimi engelliyorsa, harici bir SSH sunucusu üzerinden dinamik port yönlendirme erişimi yeniden sağlayabilir:

ssh -D 8080 -N -f user@external-server

Kısıtlayıcı kurumsal güvenlik duvarı kurallarını atlatmak için trafiğinizi SOCKS proxy üzerinden yönlendirin.

SSH Tünelleme Güvenlik En İyi Uygulamaları

SSH tünelleri güçlüdür, ancak yeni güvenlik riskleri oluşturmamak için dikkatli bir şekilde yapılandırılmalıdır:

1. SSH Anahtar Kimlik Doğrulamasını Kullanın

Parola kimlik doğrulamasını devre dışı bırakın ve tüm tünel bağlantıları için SSH anahtar çiftlerini kullanın:

# Generate a strong SSH key pair
ssh-keygen -t ed25519 -C "tunnel-key"

# Copy public key to remote server
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@remote-server

Ardından /etc/ssh/sshd_config dosyasında parola kimlik doğrulamasını devre dışı bırakın:

PasswordAuthentication no
PubkeyAuthentication yes

2. SSH Erişimini IP’ye Göre Kısıtlayın

/etc/ssh/sshd_config dosyasında, hangi IP adreslerinin SSH bağlantısı kurabileceğini sınırlayın:

AllowUsers user@192.168.1.0/24

3. Standart Dışı SSH Portları Kullanın

Varsayılan SSH portunu 22‘den değiştirmek, otomatik kaba kuvvet saldırılarını azaltır:

Port 2222

4. Tünel İzinlerini Sınırlayın

Bir kullanıcının yalnızca tünel oluşturabilmesi gerekiyorsa (komut çalıştırmaması), kabuk erişimini kısıtlayın:

Match User tunnel-user
    AllowTcpForwarding yes
    X11Forwarding no
    PermitTTY no
    ForceCommand /bin/false

5. Aktif Tünelleri İzleyin

Aktif SSH bağlantılarını ve yönlendirilen portları düzenli olarak denetleyin:

# List active SSH connections
ss -tnp | grep ssh

# Check who is connected
who
last

6. SSH Tünellerini SSL Sertifikalarıyla Birleştirin

SSH tünelleri üzerinden açığa çıkarılan web’e yönelik hizmetler için, her zaman ek bir şifreleme katmanı eklemek ve son kullanıcılarla güven oluşturmak amacıyla SSL Certificates kullanın.

SSH Tünellerini systemd ile Otomatikleştirme

Tünellerin kalıcı olması ve hatalardan sonra otomatik olarak yeniden başlatılması gereken üretim ortamları için, bunları hizmet olarak yönetmek amacıyla systemd kullanın.

SSH Tüneli için systemd Hizmeti Oluşturma

/etc/systemd/system/ssh-tunnel-db.service dosyasını oluşturun:

[Unit]
Description=SSH Tunnel to Remote Database
After=network.target

[Service]
User=your-username
ExecStart=/usr/bin/ssh -N -L 5432:localhost:5432 
    -o ServerAliveInterval=60 
    -o ServerAliveCountMax=3 
    -o ExitOnForwardFailure=yes 
    -i /home/your-username/.ssh/id_ed25519 
    user@remote-server
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

Hizmeti etkinleştirin ve başlatın:

sudo systemctl daemon-reload
sudo systemctl enable ssh-tunnel-db
sudo systemctl start ssh-tunnel-db
sudo systemctl status ssh-tunnel-db

SSH tüneliniz artık önyüklemede otomatik olarak başlayacak ve düşerse hemen yeniden başlayacaktır.

AlexHost Altyapısında SSH Tünelleme

SSH tünellerini güvenilir, yüksek performanslı bir sunucuda çalıştırmak, kararlılık ve güvenlik açısından kritik öneme sahiptir. AlexHost’un altyapısı tam olarak bu tür iş yükleri için tasarlanmıştır:

• NVMe SSD Depolama — Tünel bağlantıları ve veri iletimi için ultra düşük gecikme
• Tam Root Erişimi — SSH yapılandırması, güvenlik duvarı kuralları ve sistem ayarları üzerinde tam kontrol
• DDoS Koruması — Tünel uç noktalarınız hacimsel saldırılara karşı korunmaya devam eder
• %99,9 Çalışma Süresi SLA’sı — Kalıcı tüneller beklenmedik kesintiler olmadan bağlı kalır
• Gizlilik Odaklı Yargı Bölgesi — AlexHost, Moldova’nın gizlilik dostu yasaları kapsamında faaliyet göstermektedir

İster kişisel tünelleme için hafif bir VPS Hosting planına, ister yönetilen ortamlar için cPanel’li VPS‘e, ister kurumsal düzeyde tünel altyapısı için Dedicated Servers çözümüne ihtiyaç duyun, AlexHost ihtiyaçlarınıza uygun doğru planı sunar.

Birden fazla hizmet ve alan adı yöneten ekipler için, SSH tünellerini aynı altyapıdaki Alan Adı Kaydı ve E-posta Hosting ile birleştirmek, her şeyi tek bir çatı altında güvende tutarken tüm yığınınızı basitleştirir.

Yaygın SSH Tünel Sorunlarını Giderme

Tünel Sık Sık Düşüyor

Neden: Ağ hareketsizlik zaman aşımları veya NAT oturumu süresi dolması.

Çözüm: SSH yapılandırmanıza veya komutunuza canlı tutma ayarları ekleyin:

ssh -o ServerAliveInterval=30 -o ServerAliveCountMax=5 -L 5432:localhost:5432 user@remote-server

“Bind: Address Already in Use” Hatası

Neden: Bağlamaya çalıştığınız yerel port zaten kullanımda.

Çözüm: Portu kullanan işlemi bulun ve sonlandırın:

lsof -ti:5432 | xargs kill -9

Ya da tüneliniz için farklı bir yerel port seçin.

Uzak Port Yönlendirme Yalnızca Localhost’a Bağlanıyor

Neden: Varsayılan SSH davranışı, uzak yönlendirmeyi sunucudaki 127.0.0.1 ile kısıtlar.

Çözüm: Uzak sunucudaki /etc/ssh/sshd_config dosyasına GatewayPorts yes ekleyin ve SSH’yi yeniden başlatın:

sudo systemctl restart sshd

Tünel Üzerinden Bağlanırken “Connection Refused” Hatası

Neden: Hedef hizmet çalışmıyor veya tünel komutunuzdaki port/ana bilgisayar adı yanlış.

Çözüm: Hizmetin uzak ana bilgisayarda çalıştığını doğrulayın:

ssh user@remote-server "ss -tnlp | grep 5432"

SSH Tüneli Arka Planda Başlatılamıyor (-f bayrağı)

Neden: Kimlik doğrulama hatası veya yanlış ana bilgisayar yapılandırması.

Çözüm: Önce bağlantıyı etkileşimli olarak test edin (-f ve -N olmadan), kimlik doğrulama sorunlarını çözün, ardından arka plan bayraklarını ekleyin.

Özet: SSH Tünel Türlerine Hızlı Bakış

Sonuç: Güvenli ve Esnek Uzaktan Erişim için SSH Tünellemeye Hakim Olun

SSH tünelleme, SSH protokolünün en güçlü ve takdir edilmeyen özelliklerinden biridir. Tek bir komutla şunları yapabilirsiniz:

• Portları internete açmadan uzak veritabanlarına ve dahili hizmetlere güvenli erişim
• Uzaktaki meslektaşlarınızla yerel geliştirme ortamlarını anında paylaşma
• Güvenilir bir SOCKS proxy üzerinden tüm internet trafiğini şifreleme
• Kurumsal veya halka açık ağlardaki kısıtlayıcı güvenlik duvarlarını atlatma
• systemd kullanarak kalıcı, otomatik tünel hizmetleri oluşturma

Güvenilir SSH tünellemenin anahtarı, bağlantılarınızı sabitleyecek kararlı ve yüksek performanslı bir sunucudur. AlexHost’un VPS Hosting planları, zorlu tünel iş yüklerinin gerektirdiği tam root erişimini, NVMe performansını, DDoS korumasını ve çalışma süresi garantilerini rekabetçi fiyatlarla ve gizlilik öncelikli altyapıyla sunar.

SSH tünellerini bugün uygulamaya başlayın ve tüm altyapınızda güvenli uzaktan erişimi yönetme biçiminizi dönüştürün.

*AlexHost sunucularında SSH tünellerini yapılandırma hakkında sorularınız mı var? Teknik destek ekibimiz kurulumunuzda size yardımcı olmak için 7/24 hizmetinizdedir.*