Public IP Olmadan Sunucu Nasıl Çalışır? Firewall Arkasında Sunucu Mimarisi
Oktay Alver · Kurucu, ADEA SistemKısaca: Firewall arkasındaki bir sunucuda public IP, sunucunun ağ kartında değil güvenlik duvarında durur. Sunucu yalnızca özel bir IP adresine sahiptir. Dışarıdan gelen istekler sadece izin verilen portlar için sunucuya yönlendirilir (port yönlendirme), sunucunun giden trafiği ise NAT ile internete çıkar. Sonuç: sunucu internetten doğrudan görünmez, saldırı trafiği sunucuya ulaşmadan durdurulur.
Klasik yapı: public IP sunucunun üzerinde
Sunucu kiralama tekliflerinin çoğunda public IP adresi doğrudan sunucunun ağ kartına tanımlanır. Bu durumda sunucu internete doğrudan açılır: hangi port dinleniyorsa, dünyanın her yerinden erişilebilir. Koruma isteniyorsa sunucunun içine yazılımsal bir güvenlik duvarı kurulur.
Bu yapının iki sorunu vardır. Birincisi, yanlış yapılandırılmış ya da sonradan açılmış tek bir servis, doğrudan internete açılır. İkincisi, bütün tarama ve saldırı trafiği sunucunun kendisine ulaşır ve filtreleme işini sunucunun işlemcisi yapar.
Firewall arkasında sunucu nasıl çalışır?
Bu yapıda sunucunun önünde ayrı bir güvenlik duvarı bulunur. Public IP adresi güvenlik duvarına tanımlıdır; sunucu yalnızca özel ağda bir IP adresine sahiptir.
Gelen trafik: port yönlendirme
Örneğin sunucuda bir web sitesi çalışıyorsa, güvenlik duvarına "public IP'nin 443 portuna gelen istekleri sunucunun 443 portuna ilet" kuralı yazılır. Yalnızca bu kuralla izin verilen trafik sunucuya ulaşır. Başka bir porta gelen istek, sunucu o portu dinliyor olsa bile güvenlik duvarında kalır.
Giden trafik: NAT
Sunucu internete çıkmak istediğinde (güncelleme indirmek, bir API'ye bağlanmak, e-posta göndermek) trafik güvenlik duvarından geçer ve public IP adresiyle internete çıkar. Bu işleme NAT (Network Address Translation) denir. Sunucu açısından internet erişimi normal şekilde çalışır.
Yönetim trafiği: VPN
Uzak masaüstü (RDP) ve SSH gibi yönetim bağlantıları internete hiç açılmaz. Yöneticiler önce güvenlik duvarına VPN ile bağlanır, sunucuya özel ağ içinden erişir.
Bu yapının faydaları
- Varsayılan olarak kapalı: Sunucuda yeni bir servis açılsa bile, güvenlik duvarında kural yazılmadıkça internetten erişilemez.
- Saldırı trafiği sunucuya ulaşmaz: Port taramaları ve izin verilmeyen bağlantılar güvenlik duvarında kalır.
- Kaynaklar uygulamaya kalır: Filtreleme işini sunucu değil güvenlik duvarı yapar.
- Tehdit istihbaratı uygulanabilir: Bilinen saldırgan IP adresleri, açık servislere bile ulaşmadan güvenlik duvarında engellenir.
- Merkezi kayıt: Hangi bağlantıya izin verildiği ve hangisinin engellendiği tek bir yerde kayıt altındadır.
Karşılaştırma
| Public IP sunucuda | Public IP güvenlik duvarında | |
|---|---|---|
| Sunucunun internetten görünürlüğü | Doğrudan | Yalnızca izin verilen portlar |
| Yeni açılan servis | Hemen internete açılır | Kural yazılana kadar kapalı |
| Filtreleme | Sunucunun işlemcisinde | Ayrı cihazda |
| Uzak masaüstü ve SSH | Genellikle internete açık | VPN üzerinden |
Bizim sunucularımızda
Sunduğumuz her VDS bu mimariyle teslim edilir. Public IP sunucunun ağ kartında değil, önündeki FortiGate Firewall üzerindedir. Açık servisler SiberKapan tehdit listeleriyle korunur, yönetim bağlantıları pakete dahil 2 VPN kullanıcısıyla yapılır. 1 public IP fiyata dahildir. Sanal sunucu paketleri.