Ubuntu VDS Aldıktan Sonra Yapılması Gereken İlk 10 Ayar

Ubuntu Sistemini Güncelleyin

Yeni kurulan bir VDS imajı, hazırlandığı tarihten sonra yayımlanan güvenlik yamalarını içermeyebilir. Paket listesini yenileyip yüklü paketleri güncel sürüme getirmek, bilinen açıklara karşı alabileceğiniz en temel önlemdir. Komutlar sudo ile yazılmıştır; root olarak bağlıysanız da aynen çalışır.

sudo apt update
sudo apt upgrade -y

• sudo apt update paket depolarındaki güncel sürüm bilgilerini indirir. Henüz hiçbir paketi değiştirmez.
• sudo apt upgrade -y yüklü paketleri yeni sürümlerine yükseltir. -y parametresi onay sorularını otomatik olarak “evet” ile geçer.

Güncelleme sonrasında artık ihtiyaç duyulmayan bağımlılıkları temizlemek için şu komutu kullanabilirsiniz:

sudo apt autoremove -y

Bu komut, başka paketlerin artık kullanmadığı kütüphaneleri ve eski çekirdek (kernel) paketlerini kaldırarak disk alanı kazandırır.

sudo reboot

Bir dakika kadar bekleyip aynı IP adresiyle tekrar bağlanabilirsiniz.

Yeni Bir Sudo Kullanıcısı Oluşturun

Çoğu VDS root hesabıyla teslim edilir. Root kullanıcısı sistemde sınırsız yetkiye sahiptir; yanlış yazılmış tek bir komut sistemi geri döndürülemez şekilde bozabilir. Ayrıca “root” kullanıcı adı herkesin bildiği bir hesaptır ve saldırganların ilk denediği hedeftir.

Günlük işlemler için sınırlı yetkili bir kullanıcı oluşturup yönetici komutlarını sudo ile çalıştırmak hem hata riskini azaltır hem de yetkili işlemlerin kayıt altında tutulmasını sağlar.

adduser kullaniciadi
usermod -aG sudo kullaniciadi

• adduser kullaniciadi yeni kullanıcıyı ve ev dizinini oluşturur. Sizden güçlü bir parola belirlemeniz istenir. Ad, telefon gibi diğer alanları boş bırakıp Enter ile geçebilirsiniz.
• usermod -aG sudo kullaniciadi kullanıcıyı sudo grubuna ekler. -a (append) parametresi kullanıcının mevcut gruplarını korur, -G ise eklenecek grubu belirtir.

Hesabın çalıştığını doğrulamak için yeni kullanıcıya geçin ve sudo yetkisini test edin:

su - kullaniciadi
sudo whoami

Son komutun çıktısı root ise sudo yetkisi doğru çalışıyor demektir. exit yazarak root oturumuna dönebilirsiniz.

SSH Key ile Giriş Yapılandırın

SSH key, parola yerine kullanılan bir anahtar çiftidir. Çiftin public key (genel anahtar) kısmı sunucuya yüklenir, private key (özel anahtar) kısmı ise yalnızca sizin bilgisayarınızda kalır. Bağlantı sırasında sunucu, private key'e sahip olduğunuzu kriptografik olarak doğrular. Tahmin edilebilecek bir parola olmadığı için bu yöntem brute-force saldırılarına karşı çok daha dayanıklıdır.

Aşağıdaki komutları sunucuda değil, kendi bilgisayarınızda çalıştırın. Modern, kısa ve güvenli olduğu için ed25519 algoritmasını öneriyoruz.

ssh-keygen -t ed25519

Komut dosya konumunu sorar; varsayılanı (~/.ssh/id_ed25519) kabul edebilirsiniz. Ardından bir parola (passphrase) belirlemenizi öneririz; bu parola, private key dosyası çalınsa bile anahtarın doğrudan kullanılmasını engeller. İşlem sonunda iki dosya oluşur: private key olan id_ed25519 ve public key olan id_ed25519.pub.

Public key'i yeni kullanıcınızın hesabına aktarın:

ssh-copy-id kullaniciadi@SUNUCU_IP

Bu komut, kullanıcının parolasıyla bağlanır ve public key'i sunucudaki ~/.ssh/authorized_keys dosyasına ekler.

Windows kullanıcıları için

Windows 10 ve 11'de PowerShell üzerinden OpenSSH istemcisini kullanabilirsiniz. Anahtar üretmek için yukarıdaki ssh-keygen -t ed25519 komutu PowerShell'de de aynen çalışır. Windows'ta ssh-copy-id bulunmadığı için public key'i aşağıdaki komutla aktarabilirsiniz:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh kullaniciadi@SUNUCU_IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

Aktarımdan sonra, yeni bir terminal penceresinde key ile giriş yapabildiğinizi test edin:

ssh kullaniciadi@SUNUCU_IP

Bağlantı kullanıcı parolası sorulmadan açılıyorsa (key'e passphrase verdiyseniz yalnızca passphrase sorulur) SSH key yapılandırması tamamdır.

SSH Güvenlik Ayarlarını Yapın

Ubuntu SSH güvenliği, sunucuya uzaktan erişimin kimler tarafından ve hangi yöntemle yapılabileceğini belirleyen sshd_config dosyasındaki ayarlara dayanır. Bu adımda root ile doğrudan girişi kapatacak ve yalnızca SSH key ile bağlanılmasını sağlayacağız.

Yapılandırma dosyasını düzenlemek için açın:

sudo nano /etc/ssh/sshd_config

Nano editöründe değişiklikleri kaydetmek için Ctrl + O ve Enter, editörden çıkmak için Ctrl + X tuşlarını kullanın. Dosyada aşağıdaki satırları bulun ve gösterildiği gibi değiştirin. Satır başında # varsa yorum satırıdır; işaretini kaldırmanız gerekir.

PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no

• PermitRootLogin no root kullanıcısıyla doğrudan SSH girişini kapatır. Saldırganlar artık en bilinen kullanıcı adını hedef alamaz.
• PubkeyAuthentication yes SSH key ile girişe izin verir. Ubuntu'da varsayılan olarak açıktır; yine de açıkça belirtmek yapılandırmayı okunabilir kılar.
• PasswordAuthentication no parola ile girişi kapatır. Yalnızca private key'e sahip kişiler bağlanabilir ve parola tahmin saldırıları anlamsız hale gelir. Bu satırı yalnızca key ile girişi başarıyla test ettikten sonra uygulayın.

Dosyayı kaydettikten sonra yapılandırmanın sözdizimini test edin:

sudo sshd -t

Komut hiçbir çıktı vermiyorsa yapılandırma hatasızdır. Hata varsa dosya adı ve satır numarasıyla birlikte gösterilir; düzeltmeden devam etmeyin. Test başarılıysa ayarları SSH servisine bağlantıları kesmeden yükleyin:

sudo systemctl reload ssh

Şimdi mevcut oturumu kapatmadan yeni bir terminal penceresi açın ve ssh kullaniciadi@SUNUCU_IP ile bağlanın. Bağlantı başarılıysa ayarlar doğru çalışıyordur. Root ile bağlanmayı denediğinizde ise Permission denied hatası almanız gerekir.

sudo sshd -T | grep -e permitrootlogin -e passwordauthentication -e pubkeyauthentication

UFW Firewall Kurun

UFW (Uncomplicated Firewall), Ubuntu'nun ağ filtreleme altyapısını basit komutlarla yönetmenizi sağlayan bir firewall aracıdır. Varsayılan politikası gelen bağlantıları reddetmek, giden bağlantılara izin vermektir. Siz yalnızca ihtiyaç duyduğunuz portları açarsınız. Bu yaklaşım, Ubuntu server güvenliğinin temel taşlarından biridir.

sudo apt install ufw -y
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

• sudo apt install ufw -y UFW'yi kurar. Ubuntu'da çoğunlukla yüklü gelir; yüklüyse komut bir şey değiştirmez.
• sudo ufw allow OpenSSH SSH bağlantıları için gerekli kuralı ekler.
• sudo ufw enable firewall'u başlatır ve sunucu her açıldığında otomatik çalışmasını sağlar. “Command may disrupt existing SSH connections” uyarısında SSH kuralını eklediğiniz için y ile onaylayabilirsiniz.
• sudo ufw status verbose aktif kuralları ve varsayılan politikaları gösterir. Default: deny (incoming), allow (outgoing) satırını görmelisiniz.

Web sunucusu kullanacaksanız

80 (HTTP) ve 443 (HTTPS) portlarını yalnızca sunucuda Nginx, Apache gibi bir web sunucusu çalıştıracaksanız açın. Her açık port saldırı yüzeyini büyüttüğü için kullanmayacağınız portlara izin vermeyin.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Fail2Ban Kurun

İnternete açık her sunucu kısa sürede SSH üzerinden parola deneyen botlarla karşılaşır. Fail2Ban, sistem günlüklerini izler ve kısa sürede çok sayıda başarısız giriş denemesi yapan IP adreslerini belirli bir süre engeller. Böylece brute-force denemeleri hem etkisiz kalır hem de sunucu kaynaklarını ve log dosyalarınızı gereksiz yere doldurmaz.

sudo apt install fail2ban -y

Servisi hem hemen başlatmak hem de sunucu her açıldığında otomatik çalışacak şekilde etkinleştirmek için:

sudo systemctl enable --now fail2ban

Servisin çalıştığını doğrulayın:

sudo systemctl status fail2ban

Çıktıda active (running) ifadesini görmelisiniz. Durum ekranından çıkmak için q tuşuna basın. Ubuntu paketi SSH koruması (sshd jail) varsayılan olarak etkin gelir; engellenen IP'leri ve deneme sayısını görmek için şu komutu kullanabilirsiniz:

sudo fail2ban-client status sshd

Sunucunun Saat Dilimini ve NTP Ayarlarını Kontrol Edin

Sunucu saati; log kayıtlarının, zamanlanmış görevlerin ve güvenlik incelemelerinin dayanağıdır. Saat yanlışsa bir olayın ne zaman gerçekleştiğini doğru tespit edemezsiniz, cron işleri beklediğiniz saatte çalışmaz. SSL sertifikası doğrulaması ve tek kullanımlık doğrulama kodları gibi zamana bağlı mekanizmalar da hatalı çalışabilir.

Mevcut saat ve saat dilimi bilgisini görüntüleyin:

timedatectl

Çıktıda Local time, Time zone, System clock synchronized ve NTP service satırlarını göreceksiniz. VDS sunucuları genellikle UTC ile gelir. Sunucuyu UTC'de bırakmak da geçerli bir tercihtir; önemli olan saatin tutarlı ve doğru olmasıdır. Logları ve zamanlanmış görevleri Türkiye saatine göre takip etmek istiyorsanız saat dilimini değiştirin:

sudo timedatectl set-timezone Europe/Istanbul

Ardından saat senkronizasyonunun (NTP) çalıştığını kontrol edin:

timedatectl status

System clock synchronized: yes ve NTP service: active değerlerini görmelisiniz. Ubuntu bu işi varsayılan olarak systemd-timesyncd ile yapar. NTP kapalıysa şu komutla açabilirsiniz:

sudo timedatectl set-ntp true

Otomatik Güvenlik Güncellemelerini Etkinleştirin

Güvenlik açıkları sürekli keşfedilir ve yamalar çoğu zaman hızla yayımlanır. Sunucuyu her gün elle kontrol etmek yerine unattended-upgrades paketi, güvenlik güncellemelerini arka planda kendiliğinden indirip uygulayabilir. Böylece bilinen bir açık, siz fark etmeden günlerce açık kalmaz. Paket Ubuntu sunucu imajlarında çoğunlukla yüklü gelir; kurulu değilse şu komutla yükleyebilirsiniz:

sudo apt install unattended-upgrades -y

Özelliği etkinleştirmek için yapılandırma sihirbazını çalıştırın:

sudo dpkg-reconfigure --priority=low unattended-upgrades

Açılan ekranda “Automatically download and install stable updates?” sorusuna Yes seçeneğini seçip Enter'a basın. Ubuntu varsayılan yapılandırmasında genellikle yalnızca güvenlik güncellemelerini uygular ve sunucuyu kendiliğinden yeniden başlatmaz. Ayarın oluştuğunu şu dosyadan kontrol edebilirsiniz:

cat /etc/apt/apt.conf.d/20auto-upgrades

Dosyada APT::Periodic::Update-Package-Lists "1"; ve APT::Periodic::Unattended-Upgrade "1"; satırları varsa otomatik güncelleme etkindir.

Sunucu Kaynaklarını Kontrol Edin

Sunucuya uygulama yüklemeden önce CPU, RAM ve disk kaynaklarının beklediğiniz gibi tanımlandığını doğrulayın. İlk kurulumdaki boşta değerleri not almak, ileride sorun incelerken size karşılaştırma noktası sağlar.

RAM kullanımı

free -h

Komut toplam, kullanılan ve boş RAM ile swap alanını okunabilir birimlerle (-h) gösterir. Asıl bakmanız gereken sütun available'dır; uygulamaların kullanabileceği tahmini bellek miktarını verir. Swap alanı sürekli doluyorsa sunucunun RAM'i yetersiz demektir.

Disk kullanımı

df -h

Bağlı disk bölümlerinin toplam boyutunu, kullanılan alanı ve doluluk oranını (Use%) listeler. Kök dizin olan / bölümünün doluluğunu düzenli takip edin; disk dolduğunda servisler dosya yazamaz ve loglar kaybolabilir.

lsblk

Sunucuya bağlı diskleri ve bölümleri ağaç yapısında gösterir. Satın aldığınız disk boyutunun sistemde doğru göründüğünü buradan doğrulayabilirsiniz.

CPU ve sistem yükü

uptime

Çıktı; sunucunun ne kadar süredir açık olduğunu, bağlı kullanıcı sayısını ve load average değerlerini verir. Üç sayı sırasıyla son 1, 5 ve 15 dakikalık ortalama yükü gösterir. Bu değerleri sunucunun CPU çekirdek sayısıyla karşılaştırın:

nproc

Örneğin 2 çekirdekli bir sunucuda load average değerinin uzun süre 2'nin üzerinde kalması, işlemcinin yoğun çalıştığını ve işlerin sıra beklediğini gösterir.

top

top, çalışan işlemleri CPU ve RAM kullanımına göre canlı olarak listeler. Üstteki %Cpu(s) satırında id boşta kalan CPU oranını, wa ise disk beklemesini gösterir. Çıkmak için q tuşuna basın.

Daha okunaklı alternatif: htop

htop, top'a göre renkli ve etkileşimli bir arayüz sunar. CPU çekirdeklerini ve bellek kullanımını çubuk grafikleriyle gösterir, işlemleri ok tuşlarıyla seçip yönetmenizi sağlar. Ubuntu'da varsayılan olarak kurulu gelmeyebilir:

sudo apt install htop -y

htop

Çıkmak için q veya F10 tuşunu kullanabilirsiniz.

Açık Portları ve Çalışan Servisleri Kontrol Edin

Bir sunucuya dışarıdan erişilebilen her servis, potansiyel bir giriş kapısıdır. VDS güvenliği için hangi servislerin çalıştığını ve hangi portları dinlediğini bilmeniz gerekir. İlk kurulumdan sonra bu listeyi bir kez inceleyip sunucunuzun “normal” halini tanımış olursunuz.

sudo ss -tulpn

Komut dinlemede olan ağ portlarını listeler. Parametrelerin anlamı şöyledir: t TCP, u UDP, l dinleyen (listening) bağlantılar, p ilgili işlem, n ise port ve adreslerin isim yerine sayı olarak gösterilmesidir.

• 0.0.0.0:22 veya [::]:22 gibi adresler servisin tüm ağ arayüzlerinden erişilebilir olduğunu gösterir.
• 127.0.0.1 veya 127.0.0.53 gibi adresler servisin yalnızca sunucunun kendisinden erişilebilir olduğunu gösterir. Örneğin systemd-resolved'un 127.0.0.53'te dinlemesi normaldir.
• Son sütundaki işlem adı, portu hangi programın açtığını gösterir. Temiz bir kurulumda genellikle yalnızca sshd dışarıya açıktır.

Şimdi çalışan servisleri listeleyin:

systemctl --type=service --state=running

Bu komut, o anda aktif olarak çalışan systemd servislerini gösterir. Listede tanımadığınız bir servis görürseniz hemen kapatmayın; önce ne işe yaradığını araştırın.

Bir servisin gerçekten gereksiz olduğundan eminseniz hem durdurup hem de açılışta devre dışı bırakabilirsiniz:

sudo systemctl disable --now servis-adi

İşlemi geri almak için aynı komutta disable yerine enable kullanabilirsiniz. Gereksiz bir portun açık kalması, servis kullanılmasa bile bir güvenlik açığı bulunduğunda sunucunuza giriş yolu olabilir. Bu yüzden açık portlarınızı UFW kurallarınızla birlikte düzenli olarak gözden geçirin.