Güvenlik Duvarı

Güvenlik Duvarı, sunucunuza gelen istenmeyen bağlantıları ağ seviyesinde, e-posta içeriği hiç okunmadan durdurmayı amaçlar. Bir kaynağı burada engellediğinizde, o adresten gelen bağlantı içerik ve itibar taramasına girmeden düşer; bu, sürekli istenmeyen posta üreten sabit kaynaklara ve bilinen kötü niyetli ağ bloklarına karşı en erken ve en düşük maliyetli engel katmanıdır.

Modül iki işi bir arada toplar. IP/CIDR Engelleme, tek bir IP adresini ya da tüm bir ağ bloğunu engel listesine alarak o kaynağın sunucuya erişimini keser. Port Yönetimi ise sunucunun dışarıya hangi ağ portlarından hizmet verdiğini denetler; yalnızca gerçekten gerekli portların açık kalmasını sağlayarak saldırı yüzeyini daraltır.

Güvenlik Duvarı yalnızca kaynağın hangi ağdan geldiğine ve hangi porta bağlandığına bakar; gönderenin adresine, alan adına veya e-postanın içeriğine bakmaz. Bu yönüyle gönderen ve içerik seviyesinde çalışan kara liste araçlarının yerine geçmez, onları daha alt bir katmandan tamamlar.

Güvenlik Duvarı ekranına Yönetim → Güvenlik Duvarı yolundan ulaşılır.

BİLGİ

Bu ekran yalnızca genel yönetici rolüne sahip kullanıcılara görünür; alan adı yöneticileri bu ekrana erişemez.

Kara Liste ile Farkı

Güvenlik Duvarı'ndaki IP/CIDR engelleme ile kara liste, istenmeyen postayı iki farklı seviyede durduran tamamlayıcı araçlardır. Aralarındaki temel fark, e-postanın hangi aşamada ve neye bakılarak değerlendirildiğidir.

Ölçüt	IP/CIDR Engelleme	Kara Liste
Baktığı şey	Kaynak IP adresi veya ağ bloğu	Gönderen adresi / alan adı, e-posta içeriği
Çalıştığı aşama	Ağ seviyesi, bağlantı kurulurken	Gönderen ve içerik değerlendirmesi
Sonuç	Bağlantı doğrudan reddedilir	Skor üretir; e-posta reddedilir veya karantinaya alınır
İz bırakma	Sebep üretmez, karantina veya kayıt izi kalmaz	Neden yakalandığını gösterir, karantinada incelenebilir
Keskinlik	Kör ve keskin, istisna tanımaz	Granüler, tek gönderen veya alan hedeflenebilir

Kısacası IP/CIDR engelleme, bir kaynağı komple kesmek istediğiniz durumlar için kaba ama kesin bir araçtır; kara liste ise tek bir göndereni veya alan adını, aynı ağdaki meşru göndericilere dokunmadan hedeflemenizi sağlar. İstenmeyen tek bir gönderen söz konusu olduğunda çoğu durumda kara liste daha güvenli seçimdir.

IP/CIDR Engelleme

Bu bölüm, bir kaynağı ağ seviyesinde tümüyle keser. Engellenen bir IP adresinden ya da ağ bloğundan gelen tüm trafik, yalnızca e-posta değil, bağlantı kurulurken düşürülür. Kayıtlar kalıcıdır: sunucu yeniden başlatıldığında engel kuralları otomatik olarak yeniden uygulanır.

BİLGİ

Engelleme ağ seviyesinde çalışır ve tek bir servisle sınırlı değildir; engellenen adresten gelen her tür bağlantı reddedilir. Bir kaynağı yalnızca e-posta için sınırlamak istiyorsanız, ağ seviyesinde engellemek yerine gönderenini veya alan adını kara listeye ekleyin.

IP veya Ağ Engelleme

Ön koşullar

• Engelleyeceğiniz adresin gerçekten istenmeyen bir kaynak olduğundan emin olun. Kendi eriştiğiniz ağı engellemeye çalışmayın; sistem, yönetime kullandığınız bağlantıyı engellemenizi reddeder (bkz. Dikkat Edilmesi Gerekenler).

Adımlar

1. Yönetim → Güvenlik Duvarı yolunu açın ve IP/CIDR Engelleme bölümüne geçin.
2. IP / Ağ alanına tek bir adres (örneğin 203.0.113.10) ya da tüm bir ağ bloğu (örneğin 203.0.113.0/24) girin. Bir blok girdiğinizde o ağdaki tüm adresler tek kayıtla hedeflenir.
3. Sebep alanına adresi neden engellediğinizi yazın. Zorunlu değildir, ancak kaydı sonradan doğru yorumlayabilmeniz için doldurulması önerilir.
4. Engelle'ye tıklayın.

Doğrulama — başarılı olduğunu şuradan anlarsınız

• Adres, engellenen IP listesinin en üstünde belirir. Aynı adresi IP Kontrolü ile sorguladığınızda "engelli" sonucu döner ve o kaynaktan gelen yeni bağlantılar artık kurulamaz.

IP Kontrolü

Belirli bir adresin engel listesinde olup olmadığını sorgulamak içindir. Bir gönderenin durumunu araştırırken veya bir adresin yanlışlıkla engellenmediğinden emin olmak istediğinizde adresi girip Kontrol Et'e bastığınızda gerçek sonucu bildirir: adres engelliyse "engelli" durumunu, kaydın Sebep bilgisini ve engellenme tarihini gösterir; engelli değilse "engelli değil" yanıtı döner.

Sorgu, alt-ağ kapsamasını da dikkate alır. Örneğin 10.0.0.0/24 bloğu engelliyken bu bloğun içindeki tek bir adresi (10.0.0.5) sorgularsanız sonuç yine "engelli" döner; çünkü tek adres, engellenmiş bir bloğun kapsamındadır.

Engellenen IP Listesi

Engellenen adresleri en yeni kayıt en üstte olacak biçimde tek bir tabloda toplar. Sütunlar:

• IP / Ağ — engellenen adres veya ağ bloğu.
• Sebep — engelleme sırasında girilen açıklama.
• Engelleyen — işlemi yapan yöneticinin e-posta adresi.
• Tarih — kaydın oluşturulduğu an.
• İşlem — o satırdaki adresi engelden çıkaran Serbest Bırak eylemi.

Henüz engelli adres yoksa tabloda "Engelli IP bulunmuyor" bilgisi görünür.

Adresi Serbest Bırakma

Adımlar

1. Engellenen IP Listesi tablosunda ilgili satırı bulun.
2. Satırdaki Serbest Bırak düğmesine tıklayın.
3. Açılan onay penceresinde işlemi onaylayın; pencere, bu adresten gelen trafiğe yeniden izin verileceğini hatırlatır.

Doğrulama — başarılı olduğunu şuradan anlarsınız

• Adres tablodan kaybolur ve IP Kontrolü ile sorgulandığında "engelli değil" döner; o kaynaktan gelen bağlantılar yeniden kabul edilir.

UYARI

Bir IP adresini veya bloğunu engellediğinizde, o adresten gelen tüm bağlantılar ağ seviyesinde reddedilir. Birçok meşru gönderen aynı IP havuzlarını paylaşır: paylaşımlı barındırma sağlayıcıları, büyük e-posta servisleri, kurumsal giden sunucu havuzları. Geniş bir blok engellendiğinde o havuzu paylaşan meşru göndericilerin e-postaları da sessizce düşer ve sizin tarafınızda karantina veya kayıt izi kalmadığı için teşhis zordur. Ağ bloklarını dar tutun ve yalnızca kaynağına tam güvendiğiniz adresleri engelleyin.

Port Yönetimi

Port Yönetimi, sunucunun dışarıya hangi ağ portlarından erişilebilir olduğunu denetler. Bir servisin çalışması için gerçekten gereken portlar dışında her açık port, saldırganlar için ek bir hedeftir; bu bölüm gereksiz portları kapatarak ve yalnızca ihtiyaç duyulan portu açarak sunucunun saldırı yüzeyini daraltmanızı sağlar.

Port Açma

Adımlar

1. Yönetim → Güvenlik Duvarı yolunu açın ve Port Yönetimi bölümüne geçin.
2. Port alanına açmak istediğiniz port numarasını (1-65535 aralığında) girin.
3. Protokol olarak TCP veya UDP seçin.
4. Aç'a tıklayın.

Doğrulama — başarılı olduğunu şuradan anlarsınız

• Port, Açık Portlar listesinde kaynağı Manuel olarak görünür.

Aralık dışında bir değer girerseniz işlem "1-65535 arasında geçerli bir port numarası girin" uyarısıyla reddedilir. Zaten açık olan bir portu yeniden açmaya çalışırsanız da hata döner.

Açık Portlar Listesi

Sunucuda açık olan portları bir tabloda listeler. Sütunlar: Port, Protokol, Kaynak ve İşlem.

Kaynak sütunu, portun neden açık olduğunu ayırt eder:

• Manuel — bu ekrandan elle açtığınız portlar.
• Servis — bir sistem servisinin çalışması için açtığı portlar; ilgili servisin adı da yanında gösterilir. Bu portların hangileri olduğu sunucudaki kurulu servislere göre değişir.

Bazı satırlarda Korumalı rozeti (kilit simgesi) bulunur. Korumalı portlar kapatılamaz; bu satırlarda Kapat düğmesi pasiftir ve üzerine gelindiğinde "Bu port sistemin çalışması için gereklidir ve kapatılamaz." ipucu görünür. Korumalı sayılan portlar; uzaktan yönetim (SSH), e-posta alımı (SMTP), sertifika yenileme, yönetim paneli ve son kullanıcı portalı gibi sistem portları ile bir servisin açtığı tüm portlardır.

Portu Kapatma

Yalnızca elle açtığınız (Manuel kaynaklı) ve korumalı olmayan portlar kapatılabilir.

Adımlar

1. Açık Portlar listesinde, kaynağı Manuel olan ve korumalı rozeti taşımayan port satırını bulun.
2. Satırdaki Kapat düğmesine tıklayın.
3. Açılan onay penceresinde işlemi onaylayın; pencere, bu porta gelen yeni bağlantıların engelleneceğini hatırlatır.

Doğrulama — başarılı olduğunu şuradan anlarsınız

• Port, Açık Portlar listesinden kaybolur ve o porta yeni bağlantı kurulamaz.

Dikkat Edilmesi Gerekenler

• Kendinizi dışarıda bırakma riski. Ağ seviyesinde engelleme keskindir; yanlış bir adres veya blok, sunucuya erişiminizi tümüyle kesebilir. Sistem, yönetim için kullandığınız bağlantının kaynağını engellemenizi reddederek (işlem "Kendi erişiminizi engelleyeceğiniz için işlem reddedildi" mesajıyla durur) en yaygın kilitlenme durumunu önler; yine de geniş blokları engellerken kendi ağınızın bu kapsama girmediğinden emin olun.
• Korumalı portlar bu risk için vardır. SSH, SMTP, sertifika yenileme, yönetim paneli ve son kullanıcı portalı gibi portların kapatılamaz olması, bir yapılandırma hatasıyla sunucuyu kendinize ve kullanıcılara erişilemez hale getirmenizi önler.

Sorun Giderme

Sayfanın üstünde "Güvenlik duvarı servisi çalışmıyor" uyarısı var ve engellerim uygulanmıyor. Sistemdeki güvenlik duvarı servisi kapalıyken sayfanın üstünde sarı bir uyarı bandı çıkar ve IP engelleme ile port kuralları geçici olarak uygulanmaz. Kayıtlarınız kaybolmaz; yalnızca pasif kalır. Servis yeniden başlatıldığında kayıtlı kurallar otomatik olarak devreye alınır.

Bir portun Kapat düğmesi pasif, kapatamıyorum. O port korumalıdır (satırda kilit rozeti bulunur). Sistemin çalışması için gereken portlar ve bir servisin açtığı portlar kapatılamaz. Yalnızca kaynağı Manuel olan ve korumalı olmayan portlar kapatılabilir.

Bir adresi engellemek istedim ama "Kendi erişiminizi engelleyeceğiniz için işlem reddedildi" uyarısı aldım. Engellemeye çalıştığınız adres veya blok, yönetim paneline şu an bağlandığınız kaynağı kapsıyor. Sistem, kendinizi sunucudan kilitlemenizi önlemek için bu işlemi reddeder. Gerçekten engellemek istediğiniz kaynak buysa, önce farklı bir güvenli ağdan bağlanın.