Ağ Gereksinimleri

DeepFilter, kurumunuzun e-posta trafiğinin önüne yerleşen bir ağ geçididir. Bu nedenle hem internetten sunucuya gelen bağlantıların hem de sunucudan dışarı çıkan bağlantıların doğru şekilde açılmış olması gerekir. Bu sayfa, güvenlik duvarı kurallarını ve DNS kayıtlarını kurulumdan önce hazırlamanız için gereken bilgileri içerir.

Gelen Bağlantılar (İnternet → DeepFilter)

Aşağıdaki portlar internetten sunucuya doğru açılmalıdır. Sunucu bir güvenlik duvarı, NAT cihazı veya bulut sağlayıcısının güvenlik grubunun arkasındaysa kurallar orada da tanımlanmalıdır.

Port	Protokol	Amaç	Zorunlu mu
25	TCP	E-posta alımı (SMTP). Ürünün temel işlevi bu porta bağlıdır.	Evet
80	TCP	HTTPS'e yönlendirme ve Let's Encrypt sertifika doğrulaması ile otomatik yenilemesi (HTTP-01 yöntemi).	HTTP-01 yönteminde evet
9443	TCP	Yönetim paneli. Yöneticilerin ayarları yaptığı arayüz.	Evet
9445	TCP	Son kullanıcı portalı. Kullanıcıların kendi karantinasını gördüğü arayüz.	Evet
22	TCP	SSH ile sunucu yönetimi.	İsteğe bağlı

Port 25 herkese açık olmalıdır; e-posta gönderen sunucular önceden bilinen bir IP listesinden gelmez. Let's Encrypt sertifikasını HTTP-01 yöntemiyle alıyorsanız port 80 de herkese açık olmalı ve sürekli açık kalmalıdır: sertifika doğrulama servisi de bilinen bir IP listesinden gelmez ve otomatik yenileme de bu porttan yapılır. Cloudflare DNS (DNS-01) yönteminde port 80'in dışarıdan açık olması gerekmez (bkz. SSL Sertifikası). Buna karşılık 9443, 9445 ve 22 portlarını yalnızca kurumunuzun yönetim ağına veya belirlediğiniz IP adreslerine kısıtlamanız önerilir.

Port 443 açık değildir

DeepFilter arayüzleri standart HTTPS portu olan 443 üzerinde yayın yapmaz. Yönetim paneli 9443, kullanıcı portalı ise 9445 portundadır. https://sunucu-adresi şeklinde port belirtmeden yapılan denemeler bu nedenle sonuç vermez. Güvenlik duvarı kuralı yazarken 443 yerine 9443 ve 9445'i açtığınızdan emin olun.

note

Çoklu Sunucu kullanılıyorsa eşleştirilmiş DeepFilter sunucuları arasında 9441/TCP iki yönde, yalnız sunucu adresleri arasında açık olmalıdır; bu port internete açılmaz. Eşleştirme yapılmayan kurulumda 9441 dinlenmez. Ayrıntılar için Çoklu Sunucu sayfasına bakın.

Giden Bağlantılar (DeepFilter → İnternet)

Sunucunun dışarı çıkışının kapalı olduğu ortamlarda ürün çalışmaz. Aşağıdaki hedeflere giden trafiğe izin verilmelidir.

Hedef	Port	Amaç
Kurumunuzun hedef e-posta sunucusu	25/TCP	Taramadan geçen e-postaların teslimi
İnternet (DNS kök ve yetkili sunucular)	53/UDP ve 53/TCP	Yerel DNS çözücü tam recursive çalışır: RBL, SPF ve MX sorguları buradan yapılır
central.deepfilter.io	443/TCP	Lisans doğrulama, yazılım güncellemeleri, ML modeli, GeoIP ve spam veritabanı senkronu
Antivirüs imza sunucuları	443/TCP	Antivirüs imza güncellemeleri
Phishing veritabanı servisi	443/TCP	6 saatte bir oltalama veritabanı güncellemesi
Let's Encrypt	443/TCP	Ücretsiz SSL sertifikası alma ve otomatik yenileme
NTP sunucuları	123/UDP	Sistem saatinin senkron tutulması

DNS trafiği engellenmemelidir

DeepFilter üzerinde yerel bir DNS çözücü çalışır ve sorguları doğrudan internetteki yetkili sunuculara yapar. Yaygın bir hata, giden 53 numaralı porta yalnızca kurum içi DNS sunucusuna izin verilmesidir. Bu durumda itibar (RBL) sorguları sessizce başarısız olur ve spam yakalama oranı belirgin şekilde düşer.

Güvenlik Ekibine Verilecek Özet

Kurulum öncesinde güvenlik ekibinize iletmeniz gereken maddeler şunlardır:

1. İnternetten sunucuya: 25/TCP herkese açık; Let's Encrypt HTTP-01 yöntemi kullanılacaksa 80/TCP de herkese açık.
2. Yönetim ağından sunucuya: 9443/TCP, 9445/TCP ve (kullanılacaksa) 22/TCP.
3. Sunucudan hedef e-posta sunucusuna: 25/TCP.
4. Sunucudan internete: 53/UDP, 53/TCP, 443/TCP ve 123/UDP.
5. Sunucunun sabit bir genel IP adresi olmalı ve bu IP için ters DNS (PTR) kaydı tanımlanabilmelidir.
6. Giden e-posta trafiğinin sağlayıcı tarafından kısıtlanmadığı teyit edilmelidir; bazı bulut sağlayıcıları port 25 çıkışını varsayılan olarak kapalı tutar ve talep üzerine açar.

Çevrimdışı (offline) kurulum desteklenmez

Kurulum, uzak paket depolarından yazılım indirir ve lisans doğrulaması için central.deepfilter.io adresine erişir. İnternet erişimi olmayan, izole edilmiş bir ağda kurulum tamamlanamaz. Ürün kurulduktan sonra da imza, model ve veritabanı güncellemeleri için sürekli internet erişimine ihtiyaç duyar.

DNS Kayıtları

Aşağıdaki kayıtlar alan adınızın DNS yönetim panelinde tanımlanmalıdır. alanadi.com ve SUNUCU_IP değerlerini kendi bilgilerinizle değiştirin.

Kayıt	Örnek Değer	Ne İşe Yarar
A	mail.alanadi.com → SUNUCU_IP	Sunucunuza bir isim verir. MX kaydı ve sertifikalar bu isme dayanır.
MX	alanadi.com → mail.alanadi.com, öncelik 10	Alan adınıza gönderilen e-postaların DeepFilter'a ulaşmasını sağlar.
PTR	SUNUCU_IP → mail.alanadi.com	IP adresinin isme geri çözülmesini sağlar. Giden e-postalarda karşı tarafın güveni için kritiktir; IP bloğunun sahibi olan servis sağlayıcıdan talep edilir.
SPF (TXT)	alanadi.com → v=spf1 ip4:SUNUCU_IP ~all	Alan adınız adına hangi sunucunun e-posta göndermeye yetkili olduğunu bildirir.

PTR kaydı DNS panelinizden tanımlanamaz; IP adresini aldığınız veri merkezi veya bulut sağlayıcısına açılacak bir talep ile oluşturulur. Bu kayıt eksikse birçok alıcı sunucu giden e-postalarınızı reddedebilir veya spam olarak işaretleyebilir.

SPF kaydını tek satırda tutun

Bir alan adı için yalnızca bir SPF kaydı bulunabilir. Halihazırda bir SPF kaydınız varsa yeni bir TXT kaydı eklemek yerine mevcut kaydın içine sunucu IP adresinizi ekleyin. İki ayrı SPF kaydı, doğrulamanın tamamen başarısız olmasına yol açar.

Kurulum Öncesi Doğrulama

Sunucu hazır olduğunda aşağıdaki kontrolleri yapabilirsiniz. Komutlar sunucu üzerinde çalıştırılır.

DNS çözümlemesinin çalıştığını kontrol edin:

dig +short A mail.alanadi.com
dig +short MX alanadi.com

Sunucunun dışarıya çıkabildiğini kontrol edin:

curl -sI https://central.deepfilter.io | head -1

Ters DNS kaydının tanımlandığını kontrol edin (SUNUCU_IP yerine kendi adresinizi yazın):

dig +short -x SUNUCU_IP

Bu kontrollerin tümü beklenen değerleri döndürüyorsa ağ tarafı kuruluma hazırdır.