UFW Firewall Rehberi: Ubuntu Sunucularda Güvenli Port Yönetimi

Son Güncelleme: Eylül 2026

UFW firewall, Ubuntu tabanlı sunucularda ağ trafiğini kolayca sınırlandırmak, izin verilen servisleri belirlemek ve yetkisiz erişim riskini azaltmak için kullanılan pratik bir güvenlik aracıdır. Özellikle VPS, VDS, bulut sunucu ve kiralık sunucu ortamlarında doğru port yönetimi, web uygulamalarının güvenli ve kararlı çalışması için temel gerekliliklerden biridir.

Bu rehberde UFW’nin ne olduğunu, Ubuntu sunucularda nasıl kurulup yapılandırıldığını, SSH kilitlenmesi yaşamadan güvenli kuralların nasıl yazılacağını ve gerçek kullanım senaryolarında hangi portların açılması gerektiğini adım adım inceleyeceğiz.

İçindekiler

• UFW Nedir?
• UFW Neden Önemlidir?
• Kurulum ve Temel Komutlar
• SSH Erişimini Güvene Alma
• Web Sunucusu Portları
• Veritabanı ve Yönetim Portları
• Gelişmiş Kural Yönetimi
• Loglama ve Sorun Giderme
• En İyi Uygulamalar
• Sıkça Sorulan Sorular
• Sonuç

UFW Nedir?

UFW, İngilizce Uncomplicated Firewall ifadesinin kısaltmasıdır ve Türkçeye “basitleştirilmiş güvenlik duvarı” olarak çevrilebilir. Linux çekirdeğinde yer alan paket filtreleme altyapısını daha kolay yönetilebilir hale getiren bir komut satırı aracıdır. Teknik olarak arka planda iptables veya modern sistemlerde nftables altyapısından yararlanabilir; ancak sistem yöneticisinin karmaşık zincir ve tablo yapılarıyla doğrudan uğraşmasına gerek bırakmaz.

UFW’nin temel amacı, sunucuya gelen ve sunucudan çıkan ağ trafiği için anlaşılır kurallar tanımlamaktır. Örneğin yalnızca 22 numaralı SSH portunu, 80 numaralı HTTP portunu ve 443 numaralı HTTPS portunu açmak istiyorsanız bunu birkaç basit komutla gerçekleştirebilirsiniz. Bu sadelik, özellikle yeni kurulan Ubuntu sunucu sistemlerinde güvenli bir başlangıç yapılmasını sağlar.

UFW, yalnızca masaüstü kullanıcıları için değil; Linux hosting, uygulama sunucusu, API sunucusu, test ortamı, kontrol paneli, veritabanı sunucusu ve kurumsal sanal sunucu altyapıları için de oldukça kullanışlıdır. Corelux üzerinde bir Sanal Sunucu ya da Kiralık Sunucu hizmeti kullanıyorsanız, işletim sistemi seviyesinde ek bir güvenlik katmanı oluşturmak için UFW’den yararlanabilirsiniz.

UFW Hangi Trafiği Yönetir?

UFW, temel olarak iki trafik yönünü yönetir: gelen trafik ve giden trafik. Gelen trafik, dış dünyadan sunucunuza ulaşmak isteyen bağlantıları ifade eder. Giden trafik ise sunucunuzun internete veya başka sunuculara yaptığı bağlantılardır. Çoğu standart sunucu kurulumunda gelen trafik varsayılan olarak kapatılır, giden trafik ise açık bırakılır. Böylece sunucu dışarıya güncelleme, paket indirme ve API bağlantısı yapabilirken, dışarıdan yalnızca sizin izin verdiğiniz servisler erişilebilir olur.

UFW Neden Önemlidir?

Bir sunucu internete açıldığı anda otomatik tarama botları, brute force denemeleri, zafiyet tarayıcıları ve hatalı yapılandırılmış istemciler tarafından ziyaret edilmeye başlar. Güvenlik duvarı olmayan bir sistemde, çalışan her servis potansiyel olarak dış dünyaya açık hale gelebilir. Bu durum özellikle SSH, veritabanı, kontrol paneli, uzak masaüstü ve özel uygulama portları için ciddi risk oluşturur.

UFW, saldırı yüzeyini azaltarak yalnızca gerekli portların erişilebilir olmasını sağlar. Örneğin bir web sitesinin yayında olması için genellikle 80 ve 443 portları yeterlidir. MySQL veya PostgreSQL gibi veritabanı servislerinin internet üzerinden herkese açık olması çoğu senaryoda gereksiz ve tehlikelidir. UFW ile bu servisleri yalnızca belirli IP adreslerine açabilir ya da tamamen yerel bağlantılarla sınırlayabilirsiniz.

Güvenlik Katmanı Mantığı

UFW tek başına tüm güvenlik ihtiyaçlarını karşılamaz; ancak çok katmanlı güvenlik yaklaşımının önemli bir parçasıdır. Güçlü SSH anahtarları, güncel paketler, güvenli uygulama kodu, SSL sertifikası, yedekleme politikası ve erişim loglarıyla birlikte kullanıldığında etkisi artar. Örneğin web uygulamanız için SSL Sertifikası kullanmak veri iletimini şifrelerken, UFW hangi portların dış dünyaya açık olacağını belirler.

Kurulum ve Temel Komutlar

Ubuntu’nun birçok sürümünde UFW varsayılan olarak kurulu gelir. Yine de yeni bir sunucuda ilk kontrolü yapmak önemlidir. Aşağıdaki komut, UFW paketinin kurulu olup olmadığını gösterir:

sudo ufw status

Eğer sistem ufw: command not found benzeri bir çıktı veriyorsa paketi kurmanız gerekir. Bunun için önce paket listesini güncelleyin, ardından UFW’yi yükleyin:

sudo apt update
sudo apt install ufw -y

Kurulumdan sonra UFW durumunu tekrar kontrol edebilirsiniz:

sudo ufw status verbose

Yeni kurulan bir sistemde genellikle Status: inactive çıktısı görülür. Bu, UFW’nin henüz etkin olmadığını gösterir. Ancak UFW’yi doğrudan etkinleştirmek her zaman doğru değildir. Özellikle uzak bağlantı ile sunucuya erişiyorsanız, önce SSH erişimi için kural eklemeniz gerekir. Aksi halde sunucuya erişiminizi kaybedebilirsiniz.

Varsayılan Politikaları Belirleme

Güvenli bir başlangıç için gelen bağlantıları varsayılan olarak reddetmek, giden bağlantılara ise izin vermek yaygın bir uygulamadır:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Bu yapılandırma, sunucuya dışarıdan gelen tüm bağlantıları kapatır; ancak sunucunun paket güncellemesi, DNS sorgusu, harici API çağrısı ve yazılım indirme gibi işlemleri yapmasına izin verir. Daha sonra ihtiyaca göre belirli portlar açılır.

UFW’yi Etkinleştirme ve Devre Dışı Bırakma

Gerekli temel kuralları ekledikten sonra UFW’yi etkinleştirebilirsiniz:

sudo ufw enable

Herhangi bir bakım sırasında UFW’yi geçici olarak devre dışı bırakmak gerekirse aşağıdaki komut kullanılabilir:

sudo ufw disable

Ancak üretim ortamında güvenlik duvarını uzun süre kapalı bırakmak önerilmez. Kural değişikliği yaparken önce yeni kuralı ekleyip bağlantıyı test etmek, ardından eski kuralı kaldırmak daha güvenlidir.

SSH Erişimini Güvene Alma

SSH, Linux sunucularda yönetim için en kritik servistir. Bu nedenle UFW yapılandırmasında ilk dikkat edilmesi gereken konu SSH erişimi olmalıdır. Varsayılan SSH portu 22 olduğundan, uzak bağlantı kullanıyorsanız UFW’yi etkinleştirmeden önce bu porta izin vermelisiniz:

sudo ufw allow 22/tcp

Ubuntu sistemlerde servis profili tanımlıysa aynı işlem şu şekilde de yapılabilir:

sudo ufw allow OpenSSH

Eğer SSH servisini özel bir port üzerinden çalıştırıyorsanız, ilgili portu açıkça belirtmeniz gerekir. Örneğin SSH portunuz 2222 ise şu komutu kullanabilirsiniz:

sudo ufw allow 2222/tcp

SSH Erişimini Belirli IP Adresine Sınırlama

En güvenli yaklaşımlardan biri, SSH portunu herkese açmak yerine yalnızca yönetici IP adreslerine izin vermektir. Örneğin sabit ofis IP adresiniz 203.0.113.10 ise aşağıdaki kuralı kullanabilirsiniz:

sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

Bu yöntem, otomatik brute force saldırılarının büyük bölümünü daha bağlantı seviyesinde engeller. Ancak dinamik IP adresi kullanıyorsanız dikkatli olmalısınız. İnternet servis sağlayıcınız IP adresinizi değiştirdiğinde sunucuya erişemeyebilirsiniz. Bu durumda VPN, bastion host veya Corelux yönetim panelindeki konsol erişimi gibi alternatif erişim yöntemleri planlanmalıdır.

SSH Kuralını Test Etme

UFW etkinleştirildikten sonra mevcut SSH oturumunu kapatmadan yeni bir terminal penceresi açarak bağlantıyı test etmek iyi bir alışkanlıktır. Yeni oturum başarıyla açılıyorsa kurallarınız doğru çalışıyor demektir. Eğer bağlantı başarısız olursa mevcut açık oturum üzerinden hatalı kuralı düzeltebilirsiniz.

Web Sunucusu Portları

Web sunucuları için en temel portlar 80/tcp ve 443/tcp portlarıdır. 80 portu HTTP trafiği, 443 portu ise HTTPS trafiği için kullanılır. Bir web sitesi yayınlıyorsanız, ziyaretçilerin sitenize ulaşabilmesi için bu portlara izin vermeniz gerekir:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Nginx veya Apache kullanıyorsanız UFW uygulama profillerinden de yararlanabilirsiniz. Mevcut profilleri görmek için şu komut kullanılabilir:

sudo ufw app list

Örneğin Nginx için hem HTTP hem HTTPS trafiğine izin vermek istiyorsanız şu komutu çalıştırabilirsiniz:

sudo ufw allow 'Nginx Full'

Apache için benzer şekilde şu profil kullanılabilir:

sudo ufw allow 'Apache Full'

Hosting Ortamlarında Port Planlaması

Paylaşımlı ya da bayi hosting benzeri yapılarda kontrol paneli, posta sunucusu, DNS servisi ve web servisleri aynı makinede çalışabilir. Böyle ortamlarda port planlaması daha dikkatli yapılmalıdır. Örneğin yalnızca statik web sitesi barındıran bir sistemde 80 ve 443 yeterliyken, posta servisi de çalışıyorsa 25, 465, 587, 993 gibi ek portlar gerekebilir.

Corelux Linux Hosting hizmetlerinde temel güvenlik katmanları yönetilen altyapı kapsamında planlanırken, kendi yönettiğiniz VPS veya VDS sistemlerinde işletim sistemi seviyesindeki UFW kuralları sizin kontrolünüzdedir.

Veritabanı ve Yönetim Portları

Veritabanı servisleri, sunucularda en hassas bileşenlerden biridir. MySQL ve MariaDB genellikle 3306 portunu, PostgreSQL ise 5432 portunu kullanır. Bu portların tüm internete açık olması çoğu zaman gereksizdir. Web uygulaması ve veritabanı aynı sunucuda çalışıyorsa veritabanı servisinin yalnızca localhost üzerinden dinlemesi daha doğru bir yaklaşımdır.

Eğer uygulama sunucunuz ile veritabanı sunucunuz farklı makinelerdeyse, UFW ile yalnızca uygulama sunucusunun IP adresine izin vermelisiniz. Örneğin uygulama sunucusunun IP adresi 198.51.100.20 ise MySQL erişimi için şu kural kullanılabilir:

sudo ufw allow from 198.51.100.20 to any port 3306 proto tcp

PostgreSQL için benzer kural şu şekildedir:

sudo ufw allow from 198.51.100.20 to any port 5432 proto tcp

Kontrol Paneli Portları

cPanel, Plesk, CyberPanel veya benzeri kontrol panelleri farklı yönetim portları kullanabilir. Bu portların herkese açık olması yönetim arayüzünü internet üzerindeki tüm tarayıcılara görünür hale getirir. Yönetim paneline yalnızca belirli IP adreslerinden erişilecek şekilde kural yazmak güvenliği artırır.

Örneğin özel bir yönetim paneliniz 8090 portunda çalışıyorsa ve yalnızca ofis IP adresinizden erişmek istiyorsanız şu komutu kullanabilirsiniz:

sudo ufw allow from 203.0.113.10 to any port 8090 proto tcp

Bu yaklaşım özellikle kurumsal uygulama sunucuları, otomasyon panelleri, n8n, Coolify ve özel API yönetim arayüzleri için faydalıdır. Uygulamalarınızı izole bir sunucuda çalıştırmak istiyorsanız Corelux Uygulama Sunucuları çözümlerinden yararlanabilir, ardından erişim kurallarını UFW ile sıkılaştırabilirsiniz.

Gelişmiş Kural Yönetimi

Temel port açma ve kapatma işlemlerinin ötesinde UFW, daha ayrıntılı kural yönetimi için de kullanılabilir. IP adresi, IP aralığı, protokol, ağ arayüzü ve bağlantı yönü gibi kriterlere göre kurallar oluşturabilirsiniz. Bu özellikler, özellikle çok servisli veya birden fazla ağ arayüzüne sahip sunucularda önem kazanır.

IP Aralığına İzin Verme

Belirli bir ağ bloğuna erişim izni vermek için CIDR gösterimi kullanılabilir. Örneğin 203.0.113.0/24 bloğundaki istemcilerin SSH portuna erişmesine izin vermek için şu komut kullanılabilir:

sudo ufw allow from 203.0.113.0/24 to any port 22 proto tcp

Bu yapı, aynı ofis ağı, VPN ağı veya kurumsal IP bloğu üzerinden erişen ekipler için kullanışlıdır. Ancak geniş IP bloklarına izin verirken dikkatli olunmalı, gerçekten gerekli olmayan ağlara erişim hakkı verilmemelidir.

Belirli Bir Kuralı Silme

UFW kurallarını yönetirken önce numaralı listeyi görüntülemek pratik bir yöntemdir:

sudo ufw status numbered

Çıktıda her kuralın yanında bir sıra numarası görünür. Örneğin 4 numaralı kuralı silmek için şu komut kullanılabilir:

sudo ufw delete 4

Kural silerken dikkatli olmak gerekir; çünkü numaralar her silme işleminden sonra yeniden düzenlenebilir. Birden fazla kuralı kaldıracaksanız her işlemden sonra listeyi tekrar kontrol etmek daha güvenlidir.

Limit Kuralı Kullanma

UFW’nin limit özelliği, belirli portlara kısa sürede çok fazla bağlantı denemesi yapılmasını sınırlamak için kullanılabilir. SSH için basit bir koruma katmanı eklemek isterseniz şu komutu çalıştırabilirsiniz:

sudo ufw limit 22/tcp

Bu özellik, Fail2Ban gibi araçların yerine geçmez; ancak temel seviyede bağlantı denemelerini yavaşlatmaya yardımcı olur. Daha gelişmiş brute force koruması için log tabanlı engelleme sistemleriyle birlikte kullanılabilir.

Loglama ve Sorun Giderme

UFW yapılandırmasında yapılan hataları anlamanın en iyi yollarından biri logları incelemektir. Loglama, hangi bağlantıların engellendiğini veya izin verildiğini görmenize yardımcı olur. UFW loglamasını etkinleştirmek için şu komut kullanılabilir:

sudo ufw logging on

Daha ayrıntılı log seviyesi gerekiyorsa low, medium, high veya full seviyeleri tercih edilebilir:

sudo ufw logging medium

Ubuntu sistemlerde UFW logları genellikle /var/log/ufw.log dosyasında ya da sistem günlüğünde izlenebilir. Gerçek zamanlı takip için şu komut kullanılabilir:

sudo tail -f /var/log/ufw.log

Bağlantı Sorunlarını Tanılama

Bir servis çalıştığı halde dışarıdan erişilemiyorsa kontrol edilmesi gereken birkaç temel nokta vardır. Öncelikle servis gerçekten ilgili portta dinliyor mu bakılmalıdır:

sudo ss -tulpen

Ardından UFW kuralları kontrol edilmelidir:

sudo ufw status verbose

Eğer servis yalnızca 127.0.0.1 adresinde dinliyorsa UFW kuralı açılmış olsa bile dışarıdan erişim mümkün olmaz. Bu durumda uygulama yapılandırması, servis dinleme adresi ve UFW kuralı birlikte değerlendirilmelidir.

Yedekleme ve Kural Kaydı

Firewall kuralları kritik altyapı ayarlarıdır. Büyük değişikliklerden önce mevcut kuralları belgelemek veya yedeklemek faydalıdır. Basit bir çıktı almak için şu komutu kullanabilirsiniz:

sudo ufw status numbered > ufw-kurallari.txt

Sunucu genelinde güvenli bir geri dönüş planı oluşturmak için Corelux Yedekleme Hizmeti gibi çözümlerle sistem verilerinizi ve kritik yapılandırmalarınızı düzenli olarak koruma altına alabilirsiniz.

En İyi Uygulamalar

UFW kullanırken amaç yalnızca birkaç port açmak değildir. Sağlıklı bir güvenlik duvarı politikası; erişim ihtiyaçlarını analiz eden, gereksiz servisleri kapatan, yönetim erişimini sınırlandıran ve değişiklikleri kayıt altına alan bir süreç olarak düşünülmelidir.

• Önce SSH kuralı ekleyin: UFW’yi etkinleştirmeden önce SSH portuna izin vererek uzak bağlantı kaybını önleyin.
• Varsayılan gelen trafiği kapatın: deny incoming politikasıyla yalnızca izin verilen servislerin çalışmasını sağlayın.
• Veritabanı portlarını herkese açmayın: MySQL, MariaDB ve PostgreSQL erişimlerini uygulama sunucusu IP adresiyle sınırlayın.
• Yönetim panellerini IP bazlı koruyun: Kontrol paneli, otomasyon aracı ve özel admin arayüzlerini yalnızca güvenilir IP adreslerine açın.
• Kuralları düzenli inceleyin: Artık kullanılmayan servis portlarını kapatarak saldırı yüzeyini azaltın.
• Logları takip edin: Engellenen bağlantılar, beklenmeyen erişim denemeleri ve yanlış yapılandırmaları erken fark etmenizi sağlar.
• Belgelendirme yapın: Hangi portun neden açık olduğunu not etmek, ekip çalışması ve bakım süreçlerinde hata riskini azaltır.

Örnek Güvenli Başlangıç Yapılandırması

Yeni bir Ubuntu web sunucusu için temel ve güvenli başlangıç yapılandırması aşağıdaki gibi olabilir. Bu örnekte SSH, HTTP ve HTTPS portlarına izin verilir; gelen diğer bağlantılar reddedilir:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Eğer SSH erişimini yalnızca belirli bir IP adresine açmak istiyorsanız sudo ufw allow OpenSSH yerine IP tabanlı kural kullanmanız daha güvenlidir. Ancak IP adresinizin sabit olduğundan emin olmalısınız.

Sunucu Türüne Göre Yaklaşım

Her sunucu aynı firewall politikasına ihtiyaç duymaz. Bir blog veya kurumsal web sitesi için yalnızca HTTP, HTTPS ve sınırlı SSH yeterli olabilir. Bir API sunucusunda ek olarak uygulama portları gerekebilir. Bir veritabanı sunucusunda ise çoğu zaman genel internet erişimi tamamen kapatılıp yalnızca uygulama sunucularına izin verilmelidir. Corelux Türkiye VDS Sunucu veya farklı lokasyonlardaki VDS çözümlerinde, proje mimarinize göre bu kuralları özelleştirebilirsiniz.

Sıkça Sorulan Sorular

Sonuç

UFW firewall, Ubuntu sunucularda güvenli port yönetimi için sade, etkili ve hızlı uygulanabilir bir çözümdür. Doğru yapılandırıldığında yalnızca gerekli servisleri dış dünyaya açar, yönetim erişimini sınırlandırır ve saldırı yüzeyini önemli ölçüde azaltır. Özellikle VPS, VDS, bulut sunucu ve kiralık sunucu ortamlarında UFW’nin ilk kurulum adımlarından biri olarak ele alınması önerilir.

Güvenli bir yapı için önce varsayılan politikaları belirlemeli, SSH erişimini güvenceye almalı, web servisleri için yalnızca gerekli portları açmalı, veritabanı ve yönetim panellerini IP bazlı sınırlamalı ve logları düzenli olarak incelemelisiniz. Firewall kuralları tek seferlik değil, sunucunun yaşam döngüsü boyunca düzenli kontrol edilmesi gereken canlı bir güvenlik politikasıdır.

Projeleriniz için güçlü, ölçeklenebilir ve güvenli bir altyapı arıyorsanız Corelux Kiralık Sunucu, Sanal Sunucu ve Bulut Sunucu çözümlerini değerlendirebilir; UFW gibi işletim sistemi güvenlik araçlarıyla altyapınızı daha kontrollü hale getirebilirsiniz.