Bulut ortam\u0131nda a\u011f yap\u0131land\u0131rmas\u0131, bir\u00e7ok m\u00fchendis i\u00e7in karma\u015f\u0131k bir labirent gibi g\u00f6r\u00fcnebilir. Bu makale, “Bulut M\u00fchendisleri \u0130\u00e7in A\u011f Temelleri” serimizin ikinci b\u00f6l\u00fcm\u00fc olup, sanal \u00f6zel bulut (VPC) kavram\u0131n\u0131 ve bulut a\u011f g\u00fcvenli\u011finin temel ta\u015flar\u0131n\u0131 derinlemesine inceliyor. VPC’lerin neden bu kadar kritik oldu\u011funu, bile\u015fenlerinin nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 ve uygulamalar\u0131n\u0131z\u0131 siber tehditlere kar\u015f\u0131 nas\u0131l koruyaca\u011f\u0131n\u0131z\u0131 ad\u0131m ad\u0131m ke\u015ffedin.<\/p>\n
Bulut teknolojileri, g\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda i\u015fletmeler i\u00e7in vazge\u00e7ilmez bir altyap\u0131 haline gelmi\u015ftir. Ancak, geleneksel on-premise veri merkezlerinden buluta ge\u00e7i\u015f yapan m\u00fchendisler i\u00e7in en b\u00fcy\u00fck zorluklardan biri genellikle a\u011f y\u00f6netimidir. Geleneksel a\u011flarda fiziksel donan\u0131mlar, kablolama ve manuel yap\u0131land\u0131rmalar \u00f6n plandayken, bulut a\u011flar\u0131nda her \u015fey yaz\u0131l\u0131m tan\u0131ml\u0131d\u0131r (Software-Defined Networking – SDN). Bu de\u011fi\u015fim, m\u00fchendislerin bak\u0131\u015f a\u00e7\u0131s\u0131n\u0131 temelden de\u011fi\u015ftirmeyi gerektirir. Fiziksel donan\u0131mlar yerine sanal bile\u015fenlerle \u00e7al\u0131\u015fmak, a\u011f tasar\u0131mlar\u0131n\u0131n daha esnek ve \u00f6l\u00e7eklenebilir olmas\u0131n\u0131 sa\u011flarken, ayn\u0131 zamanda karma\u015f\u0131kl\u0131\u011f\u0131 da beraberinde getirebilir.<\/p>\n
Peki, bu karma\u015f\u0131kl\u0131k nereden kaynaklan\u0131yor? \u00d6ncelikle, bulut sa\u011flay\u0131c\u0131lar\u0131n\u0131n sundu\u011fu geni\u015f hizmet yelpazesi ba\u015fl\u0131 ba\u015f\u0131na bir \u00f6\u011frenme e\u011frisi yarat\u0131r. Her bir hizmetin kendi a\u011f gereksinimleri ve entegrasyon y\u00f6ntemleri vard\u0131r. \u0130kinci olarak, g\u00fcvenlik, bulut a\u011flar\u0131nda hayati bir rol oynar ve do\u011fru yap\u0131land\u0131r\u0131lmad\u0131\u011f\u0131nda ciddi risklere yol a\u00e7abilir. G\u00fcvenlik gruplar\u0131, a\u011f eri\u015fim kontrol listeleri (NACL’ler), VPN’ler ve a\u011f ge\u00e7itleri gibi \u00e7e\u015fitli g\u00fcvenlik katmanlar\u0131, birbirleriyle uyumlu bir \u015fekilde \u00e7al\u0131\u015facak \u015fekilde tasarlanmal\u0131d\u0131r. Son olarak, bulut a\u011flar\u0131n\u0131n dinamik yap\u0131s\u0131, s\u00fcrekli izleme ve optimizasyon gerektirir. Kaynaklar anl\u0131k olarak \u00f6l\u00e7eklenebilir, bu da IP adreslemesi, y\u00f6nlendirme ve g\u00fcvenlik politikalar\u0131nda esneklik ve otomasyon ihtiyac\u0131n\u0131 do\u011furur. Bu makalede, bu karma\u015f\u0131kl\u0131\u011f\u0131 sadele\u015ftirerek, bulut m\u00fchendislerinin en temel yap\u0131 ta\u015f\u0131 olan Sanal \u00d6zel Bulut (VPC) kavram\u0131n\u0131 ve onunla ili\u015fkili g\u00fcvenlik mekanizmalar\u0131n\u0131 derinlemesine inceleyece\u011fiz. Part 1’de edindi\u011fimiz temel IP adresleme ve a\u011f protokolleri bilgilerinin \u00fczerine in\u015fa ederek, bulut ortam\u0131nda g\u00fcvenli ve verimli a\u011flar kurman\u0131n yollar\u0131n\u0131 ke\u015ffedece\u011fiz. Amac\u0131m\u0131z, bulut a\u011flar\u0131n\u0131 sadece anlamak de\u011fil, ayn\u0131 zamanda onlar\u0131 ustaca y\u00f6netebilecek becerileri kazanman\u0131za yard\u0131mc\u0131 olmakt\u0131r. Bu yolculukta, teorik bilgileri ger\u00e7ek d\u00fcnya senaryolar\u0131yla birle\u015ftirerek, kar\u015f\u0131la\u015fabilece\u011finiz pratik sorunlara \u00e7\u00f6z\u00fcmler sunaca\u011f\u0131z.<\/p>\n
Sanal \u00d6zel Bulut (VPC), bulut ortam\u0131nda olu\u015fturdu\u011funuz sanal, izole bir a\u011fd\u0131r. T\u0131pk\u0131 kendi veri merkezinizde fiziksel sunucular\u0131n\u0131z ve a\u011f cihazlar\u0131n\u0131zla olu\u015fturdu\u011funuz \u00f6zel bir a\u011f gibi, VPC de bulut sa\u011flay\u0131c\u0131s\u0131n\u0131n payla\u015f\u0131ml\u0131 altyap\u0131s\u0131 \u00fczerinde tamamen sizin kontrol\u00fcn\u00fczde olan mant\u0131ksal olarak izole edilmi\u015f bir alan sunar. Bu izolasyon, VPC’lerin bulut ortam\u0131nda hayati olmas\u0131n\u0131n en \u00f6nemli nedenidir.<\/p>\n
VPC’nizi olu\u015fturdu\u011funuzda, ona kendi IP adresi aral\u0131\u011f\u0131n\u0131 (CIDR blo\u011fu) atars\u0131n\u0131z. \u00d6rne\u011fin, Bir VPC i\u00e7inde, alt a\u011flar (subnets) olu\u015fturarak a\u011f\u0131n\u0131z\u0131 daha da b\u00f6l\u00fcmlendirebilirsiniz. Alt a\u011flar, VPC’nizin IP aral\u0131\u011f\u0131n\u0131 daha k\u00fc\u00e7\u00fck, y\u00f6netilebilir par\u00e7alara ay\u0131r\u0131r. \u00d6rne\u011fin, genel eri\u015fime a\u00e7\u0131k web sunucular\u0131n\u0131z i\u00e7in bir “genel alt a\u011f” ve veritabanlar\u0131n\u0131z i\u00e7in internet eri\u015fimi olmayan “\u00f6zel alt a\u011f” olu\u015fturabilirsiniz. Bu ayr\u0131m, g\u00fcvenlik duru\u015funuzu g\u00fc\u00e7lendirir, \u00e7\u00fcnk\u00fc \u00f6zel alt a\u011flardaki kaynaklara do\u011frudan internetten eri\u015fim engellenir. VPC’ler sadece izolasyon sa\u011flamakla kalmaz, ayn\u0131 zamanda size a\u011f topolojisi \u00fczerinde tam kontrol yetene\u011fi de verir. Y\u00f6nlendirme tablolar\u0131 arac\u0131l\u0131\u011f\u0131yla trafik ak\u0131\u015f\u0131n\u0131 y\u00f6nlendirebilir, a\u011f ge\u00e7itleri ile internete veya di\u011fer a\u011flara ba\u011flant\u0131 kurabilir, g\u00fcvenlik gruplar\u0131 ve a\u011f ACL’leri ile trafik filtreleme kurallar\u0131n\u0131 belirleyebilirsiniz. Bu kontrol seviyesi, bulut m\u00fchendislerinin uygulamalar\u0131n\u0131n gerektirdi\u011fi \u00f6zel a\u011f yap\u0131lar\u0131n\u0131 esnek bir \u015fekilde tasarlamas\u0131na ve uygulamas\u0131na olanak tan\u0131r. K\u0131sacas\u0131, VPC’ler bulut \u00fczerinde kendi “sanal veri merkezinizi” in\u015fa etmenizi sa\u011flar, bu da g\u00fcvenlik, kontrol ve y\u00f6netilebilirlik a\u00e7\u0131s\u0131ndan paha bi\u00e7ilmezdir. Bu sanal alan, bulut \u00fczerinde bar\u0131nd\u0131rd\u0131\u011f\u0131n\u0131z t\u00fcm kritik i\u015f y\u00fcklerinizin temelini olu\u015fturur ve onlar\u0131n g\u00fcvenli, performansl\u0131 ve eri\u015filebilir olmas\u0131n\u0131 sa\u011flar.<\/p>\n Bir VPC’nin g\u00fcc\u00fc ve esnekli\u011fi, onu olu\u015fturan temel bile\u015fenlerin birbiriyle uyumlu \u00e7al\u0131\u015fmas\u0131ndan gelir. Bu b\u00f6l\u00fcmde, bir VPC’yi in\u015fa etmek i\u00e7in gerekli olan ana yap\u0131 ta\u015flar\u0131n\u0131, yani alt a\u011flar\u0131, y\u00f6nlendirme tablolar\u0131n\u0131 ve \u00e7e\u015fitli a\u011f ge\u00e7itlerini detayl\u0131 bir \u015fekilde inceleyece\u011fiz.<\/p>\n Daha \u00f6nce bahsetti\u011fimiz gibi, bir VPC olu\u015fturdu\u011funuzda ona bir CIDR blo\u011fu (\u00f6rne\u011fin, Her alt a\u011f, bir kullan\u0131labilirlik alan\u0131na (Availability Zone – AZ) ba\u011fl\u0131d\u0131r. Bu, uygulaman\u0131z\u0131n y\u00fcksek eri\u015filebilirlik (High Availability) ve hata tolerans\u0131 i\u00e7in farkl\u0131 AZ’lere yay\u0131lan alt a\u011flarda da\u011f\u0131t\u0131lmas\u0131 gerekti\u011fi anlam\u0131na gelir. \u00d6rne\u011fin, bir web uygulamas\u0131n\u0131n farkl\u0131 AZ’lerdeki iki genel alt a\u011fda \u00e7al\u0131\u015fan web sunucular\u0131 olabilir, b\u00f6ylece bir AZ’nin \u00e7\u00f6kmesi durumunda uygulama \u00e7al\u0131\u015fmaya devam eder.<\/p>\n Y\u00f6nlendirme tablolar\u0131, a\u011f trafi\u011finin alt a\u011flar aras\u0131nda, VPC i\u00e7inde ve VPC d\u0131\u015f\u0131na nas\u0131l y\u00f6nlendirilece\u011fini belirleyen kurallar (yollar) koleksiyonudur. Her alt a\u011f, bir y\u00f6nlendirme tablosuyla ili\u015fkilendirilmek zorundad\u0131r. Bir alt a\u011fdaki bir \u00f6rnekten gelen trafik, ili\u015fkilendirilmi\u015f y\u00f6nlendirme tablosundaki yollara g\u00f6re hedef IP adresine do\u011fru y\u00f6nlendirilir. Bir y\u00f6nlendirme tablosundaki anahtar bile\u015fenler \u015funlard\u0131r:<\/p>\n \u00d6rne\u011fin, bir genel alt a\u011f\u0131n y\u00f6nlendirme tablosunda, hedef <\/code>\n <\/div>\n A\u011f ge\u00e7itleri, VPC'nizin d\u0131\u015f d\u00fcnya veya di\u011fer bulut hizmetleriyle ileti\u015fim kurmas\u0131n\u0131 sa\u011flayan temel bile\u015fenlerdir.<\/p>\n Bu bile\u015fenlerin her biri, bulut a\u011f\u0131n\u0131z\u0131n belirli bir ihtiyac\u0131n\u0131 kar\u015f\u0131lamak \u00fczere tasarlanm\u0131\u015ft\u0131r. Onlar\u0131 do\u011fru bir \u015fekilde bir araya getirerek, g\u00fcvenli, \u00f6l\u00e7eklenebilir ve y\u00fcksek performansl\u0131 bir a\u011f altyap\u0131s\u0131 olu\u015fturabilirsiniz. Bu yap\u0131, modern bulut uygulamalar\u0131n\u0131n omurgas\u0131n\u0131 olu\u015fturur ve bulut m\u00fchendisleri i\u00e7in vazge\u00e7ilmez bir bilgi setidir.<\/p>\n Bulut a\u011flar\u0131nda g\u00fcvenlik, yaln\u0131zca a\u011f trafi\u011fini y\u00f6nlendirmekten ibaret de\u011fildir; ayn\u0131 zamanda bu trafi\u011fi kiminle ve ne \u015fekilde payla\u015faca\u011f\u0131n\u0131z\u0131 da kontrol etmeyi i\u00e7erir. \u0130\u015fte bu noktada G\u00fcvenlik Gruplar\u0131 (Security Groups - SG) ve A\u011f Eri\u015fim Kontrol Listeleri (Network Access Control Lists - NACL) devreye girer. Bu iki temel g\u00fcvenlik mekanizmas\u0131, VPC'nizdeki kaynaklar\u0131n\u0131z\u0131 d\u0131\u015f tehditlerden korumak i\u00e7in katmanl\u0131 bir savunma stratejisi sunar. Her ikisi de g\u00fcvenlik duvar\u0131 g\u00f6revi g\u00f6rse de, \u00e7al\u0131\u015fma prensipleri ve uygulama seviyeleri a\u00e7\u0131s\u0131ndan \u00f6nemli farkl\u0131l\u0131klar\u0131 vard\u0131r.<\/p>\n G\u00fcvenlik Gruplar\u0131, bulut ortam\u0131ndaki \u00f6rnekleriniz (sanal makineleriniz, veritabanlar\u0131n\u0131z vb.) i\u00e7in sanal g\u00fcvenlik duvarlar\u0131d\u0131r. SG'ler, \"izin verilenler\" prensibiyle \u00e7al\u0131\u015f\u0131r; yani a\u00e7\u0131k\u00e7a izin vermedi\u011finiz s\u00fcrece t\u00fcm trafik reddedilir. Bu durum, varsay\u0131lan olarak her \u015feyin kapal\u0131 oldu\u011fu ve sizin sadece ihtiya\u00e7 duydu\u011funuz ba\u011flant\u0131 noktalar\u0131n\u0131 a\u00e7t\u0131\u011f\u0131n\u0131z anlam\u0131na gelir. \u0130\u015fte G\u00fcvenlik Gruplar\u0131'n\u0131n temel \u00f6zellikleri:<\/p>\n \u00d6rnek Senaryo: Web Sunucusu G\u00fcvenlik Grubu<\/strong> <\/code>\n <\/div>\n NACL'ler, alt a\u011flar i\u00e7in \u00e7al\u0131\u015fan durum bilgisiz (stateless) g\u00fcvenlik duvarlar\u0131d\u0131r. G\u00fcvenlik Gruplar\u0131ndan farkl\u0131 olarak, hem izin verme (allow) hem de reddetme (deny) kurallar\u0131 tan\u0131mlayabilirsiniz ve her kurala bir numara atars\u0131n\u0131z. NACL'ler, d\u00fc\u015f\u00fck numaral\u0131 kuraldan ba\u015flayarak s\u0131rayla de\u011ferlendirilir ve ilk e\u015fle\u015fen kural uygulan\u0131r. \u0130\u015fte NACL'lerin temel \u00f6zellikleri:<\/p>\n \u00d6rnek Senaryo: Genel Alt A\u011f NACL'si<\/strong> <\/code>\n <\/div>\n NACL'ler ve G\u00fcvenlik Gruplar\u0131 Aras\u0131ndaki Farklar ve Ne Zaman Hangisini Kullanmal\u0131s\u0131n\u0131z?<\/strong><\/p>\n Genel olarak, G\u00fcvenlik Gruplar\u0131n\u0131 tek tek \u00f6rneklerinizin \u00f6n\u00fcnde ilk savunma hatt\u0131 olarak kullan\u0131r\u0131z, \u00e7\u00fcnk\u00fc durum bilgisidir ve y\u00f6netimi daha kolayd\u0131r. NACL'leri ise, alt a\u011f seviyesinde daha geni\u015f, kaba taneli bir g\u00fcvenlik katman\u0131 olarak d\u00fc\u015f\u00fcn\u00fcn. Genellikle, bir alt a\u011fa girmesine veya \u00e7\u0131kmas\u0131na izin verilen maksimum trafik t\u00fcr\u00fcn\u00fc kontrol etmek i\u00e7in kullan\u0131l\u0131r. Hassas alt a\u011flar\u0131 (\u00f6rne\u011fin veritaban\u0131 alt a\u011flar\u0131) daha kat\u0131 bir \u015fekilde k\u0131s\u0131tlamak i\u00e7in NACL'ler harika bir ara\u00e7t\u0131r. \u00c7o\u011fu durumda, G\u00fcvenlik Gruplar\u0131 yeterli olacakt\u0131r, ancak ek bir g\u00fcvenlik katman\u0131 veya belirli reddetme kurallar\u0131na ihtiyac\u0131n\u0131z oldu\u011funda NACL'lere ba\u015fvurmal\u0131s\u0131n\u0131z.<\/p>\n \u015eimdiye kadar \u00f6\u011frendi\u011fimiz t\u00fcm VPC bile\u015fenlerini ve g\u00fcvenlik mekanizmalar\u0131n\u0131 bir araya getirerek, ger\u00e7ek bir senaryo \u00fczerinden y\u00fcksek eri\u015filebilir (High Availability - HA) bir web uygulamas\u0131n\u0131n buluttaki a\u011f tasar\u0131m\u0131n\u0131 ele alal\u0131m. Bu vaka analizi, bulut m\u00fchendislerinin g\u00fcnl\u00fck g\u00f6revlerinde kar\u015f\u0131la\u015fabilece\u011fi tipik bir mimariyi temsil etmektedir.<\/p>\n Bir e-ticaret \u015firketi, mevcut on-premise uygulamas\u0131n\u0131 buluta ta\u015f\u0131mak istiyor. Uygulama, m\u00fc\u015fterilere \u00fcr\u00fcnleri g\u00f6sterecek bir web katman\u0131ndan ve sipari\u015fleri, \u00fcr\u00fcn bilgilerini depolayan bir veritaban\u0131 katman\u0131ndan olu\u015facak. \u015eirket, uygulaman\u0131n kesintisiz \u00e7al\u0131\u015fmas\u0131n\u0131, y\u00fcksek performans g\u00f6stermesini ve siber sald\u0131r\u0131lara kar\u015f\u0131 g\u00fcvenli olmas\u0131n\u0131 talep ediyor.<\/p>\n <\/code>\n <\/div>\n<\/li>\n Bu tasar\u0131mla, e-ticaret uygulamas\u0131 y\u00fcksek eri\u015filebilir bir yap\u0131ya sahip olur. Web trafi\u011fi ALB \u00fczerinden farkl\u0131 AZ'lerdeki web sunucular\u0131na da\u011f\u0131t\u0131l\u0131r. Web sunucular\u0131 yaln\u0131zca ALB ve y\u00f6neticilerin SSH eri\u015fimine izin verir. Uygulama sunucular\u0131, veritaban\u0131na eri\u015firken, veritaban\u0131 sunucular\u0131 da sadece uygulama sunucular\u0131ndan gelen isteklere yan\u0131t verir. T\u00fcm hassas sunucular \u00f6zel alt a\u011flarda bulunur ve internete yaln\u0131zca NAT A\u011f Ge\u00e7idi \u00fczerinden g\u00fcvenli bir \u015fekilde eri\u015febilirler. Bu katmanl\u0131 g\u00fcvenlik ve da\u011f\u0131t\u0131k yap\u0131, uygulaman\u0131n hem performansl\u0131 hem de dayan\u0131kl\u0131 olmas\u0131n\u0131 sa\u011flar.<\/p>\n Bulut a\u011flar\u0131n\u0131 kurmak yaln\u0131zca do\u011fru bile\u015fenleri bir araya getirmekle kalmaz, ayn\u0131 zamanda uygulamalar\u0131n\u0131z\u0131n en iyi performans\u0131 sergilemesini sa\u011flamak i\u00e7in bu a\u011flar\u0131 optimize etmek de b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. A\u011f performans\u0131n\u0131n d\u00fc\u015f\u00fck olmas\u0131, kullan\u0131c\u0131 deneyimini olumsuz etkileyebilir, i\u015f s\u00fcre\u00e7lerini yava\u015flatabilir ve hatta maliyetleri art\u0131rabilir. \u0130\u015fte bulut ortam\u0131nda a\u011f performans\u0131n\u0131 optimize etmek i\u00e7in baz\u0131 temel ipu\u00e7lar\u0131 ve stratejiler:<\/p>\n Bulut sa\u011flay\u0131c\u0131lar\u0131, farkl\u0131 \u00f6rnek t\u00fcrleri (VM boyutlar\u0131) ve a\u011f arabirimleri i\u00e7in \u00e7e\u015fitli a\u011f bant geni\u015fli\u011fi se\u00e7enekleri sunar. Uygulaman\u0131z\u0131n trafik y\u00fck\u00fcn\u00fc do\u011fru bir \u015fekilde tahmin etmek ve buna uygun bant geni\u015fli\u011fine sahip \u00f6rnekleri se\u00e7mek kritiktir. Yetersiz bant geni\u015fli\u011fi, darbo\u011fazlara yol a\u00e7arken, gereksiz y\u00fcksek bant geni\u015fli\u011fi de maliyet art\u0131\u015f\u0131 demektir. Uygulaman\u0131z\u0131n pik zamanlardaki trafik ihtiya\u00e7lar\u0131n\u0131 belirlemek i\u00e7in testler yap\u0131n ve dinamik olarak \u00f6l\u00e7eklenebilen a\u011f arabirimlerini veya \u00f6rnekleri tercih edin.<\/p>\n A\u011f gecikmesi, verilerin bir noktadan di\u011ferine ula\u015fmas\u0131 i\u00e7in ge\u00e7en s\u00fcredir ve \u00f6zellikle co\u011frafi olarak da\u011f\u0131t\u0131lm\u0131\u015f kullan\u0131c\u0131lar veya kritik i\u015f y\u00fckleri i\u00e7in \u00f6nemli bir fakt\u00f6rd\u00fcr. Gecikmeyi azaltmak i\u00e7in \u015funlar\u0131 g\u00f6z \u00f6n\u00fcnde bulundurun:<\/p>\n VPC Flow Logs, VPC'nizdeki a\u011f arabirimlerinden ge\u00e7en t\u00fcm IP trafi\u011fi hakk\u0131ndaki bilgileri yakalar. Bu loglar, a\u011f sorunlar\u0131n\u0131 te\u015fhis etmek, g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 belirlemek, a\u011f trafi\u011fi modellerini anlamak ve a\u011f performans\u0131n\u0131 optimize etmek i\u00e7in paha bi\u00e7ilmez bir ara\u00e7t\u0131r. Flow Logs'u d\u00fczenli olarak inceleyerek, beklenmedik trafik ak\u0131\u015flar\u0131n\u0131, a\u015f\u0131r\u0131 bant geni\u015fli\u011fi t\u00fcketimini veya engellenen ba\u011flant\u0131 giri\u015fimlerini tespit edebilirsiniz. Bu loglar\u0131 merkezi bir log y\u00f6netimi \u00e7\u00f6z\u00fcm\u00fcne (\u00f6rn. ELK Stack, Splunk, CloudWatch Logs Insights) aktararak daha etkin analizler yapabilirsiniz.<\/p>\n <\/code>\n <\/div>\n G\u00fcvenlik gruplar\u0131 ve NACL'ler do\u011fru yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131nda a\u011f performans\u0131n\u0131 art\u0131rabilir. Gereksiz a\u00e7\u0131k portlar veya \u00e7ok geni\u015f IP aral\u0131klar\u0131na izin vermek, hem g\u00fcvenlik risklerini art\u0131r\u0131r hem de g\u00fcvenlik duvar\u0131 kurallar\u0131n\u0131n i\u015flenmesi i\u00e7in daha fazla kaynak t\u00fcketebilir. En az ayr\u0131cal\u0131k prensibini (least privilege) uygulayarak, yaln\u0131zca kesinlikle gerekli olan portlar\u0131 ve IP adreslerini a\u00e7\u0131n. Bu, g\u00fcvenlik taramalar\u0131n\u0131n daha h\u0131zl\u0131 \u00e7al\u0131\u015fmas\u0131na ve a\u011fdaki gereksiz g\u00fcr\u00fclt\u00fcy\u00fc azaltmaya yard\u0131mc\u0131 olur.<\/p>\n VPC i\u00e7indeki bile\u015fenler aras\u0131 trafi\u011fi (\u00f6rne\u011fin uygulama sunucusu ile veritaban\u0131 aras\u0131ndaki trafik) m\u00fcmk\u00fcn oldu\u011funca optimize edin. Ayn\u0131 AZ i\u00e7indeki kaynaklar aras\u0131nda d\u00fc\u015f\u00fck gecikmeli ve y\u00fcksek bant geni\u015fli\u011fine sahip ba\u011flant\u0131lar kullan\u0131l\u0131r. E\u011fer veritaban\u0131n\u0131z ve uygulama sunucunuz farkl\u0131 AZ'lerde ise, bu durum ek gecikmelere yol a\u00e7abilir. M\u00fcmk\u00fcnse, uygulaman\u0131z\u0131n kritik katmanlar\u0131n\u0131 ayn\u0131 AZ'de tutun veya veri transferlerini en aza indirecek \u015fekilde tasarlay\u0131n.<\/p>\n Bulut a\u011flar\u0131 dinamik oldu\u011fu i\u00e7in manuel y\u00f6netim zor ve hata yapmaya a\u00e7\u0131kt\u0131r. Infrastructure as Code (IaC) ara\u00e7lar\u0131 (Terraform, CloudFormation gibi) kullanarak VPC'nizi, alt a\u011flar\u0131n\u0131z\u0131, y\u00f6nlendirme tablolar\u0131n\u0131z\u0131 ve g\u00fcvenlik kurallar\u0131n\u0131z\u0131 otomatikle\u015ftirin. Ayr\u0131ca, a\u011f performans\u0131n\u0131 (bant geni\u015fli\u011fi kullan\u0131m\u0131, gecikme, paket kayb\u0131) s\u00fcrekli izlemek i\u00e7in bulut sa\u011flay\u0131c\u0131n\u0131z\u0131n izleme ara\u00e7lar\u0131n\u0131 (\u00f6rn. CloudWatch, Azure Monitor, Google Cloud Monitoring) kullan\u0131n. Bu ara\u00e7lar, anormallikleri h\u0131zla tespit etmenize ve proaktif ad\u0131mlar atman\u0131za olanak tan\u0131r.<\/p>\n10.0.0.0\/16<\/code> gibi \u00f6zel bir IP aral\u0131\u011f\u0131 se\u00e7ebilirsiniz. Bu aral\u0131k i\u00e7indeki IP adresleri, sizin VPC’niz d\u0131\u015f\u0131nda ba\u015fka hi\u00e7bir bulut m\u00fc\u015fterisi taraf\u0131ndan kullan\u0131lamaz. Bu da, verilerinizin ve uygulamalar\u0131n\u0131z\u0131n di\u011fer bulut kullan\u0131c\u0131lar\u0131n\u0131n a\u011flar\u0131ndan tamamen ayr\u0131lm\u0131\u015f oldu\u011fu anlam\u0131na gelir. Bu d\u00fczeydeki izolasyon, g\u00fcvenlik ve veri gizlili\u011fi a\u00e7\u0131s\u0131ndan son derece kritik bir avantaj sunar. Geleneksel veri merkezlerinde, fiziksel a\u011f segmentasyonu pahal\u0131 ve karma\u015f\u0131k olabilirken, VPC’ler bu segmentasyonu yaz\u0131l\u0131m tan\u0131ml\u0131 bir \u015fekilde ve \u00e7ok daha esnek bir maliyetle sa\u011flar. B\u00f6ylelikle, farkl\u0131 departmanlar, projeler veya m\u00fc\u015fteri uygulamalar\u0131 i\u00e7in ayr\u0131 ayr\u0131, g\u00fcvenli a\u011f ortamlar\u0131 olu\u015fturmak m\u00fcmk\u00fcn hale gelir.<\/p>\nVPC Bile\u015fenlerini Anlamak: Alt A\u011flar, Y\u00f6nlendirme Tablolar\u0131 ve A\u011f Ge\u00e7itleri Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/h2>\n
Alt A\u011flar (Subnets): A\u011f\u0131n\u0131z\u0131 B\u00f6l\u00fcmlendirme Sanat\u0131<\/h3>\n
10.0.0.0\/16<\/code>) atars\u0131n\u0131z. Bu b\u00fcy\u00fck IP blo\u011funu daha k\u00fc\u00e7\u00fck, y\u00f6netilebilir par\u00e7alara ay\u0131rmak i\u00e7in alt a\u011flar (subnets) kullan\u0131r\u0131z. Alt a\u011flar, VPC i\u00e7indeki kaynaklar\u0131n\u0131z\u0131 mant\u0131ksal olarak grupland\u0131rman\u0131za ve her bir alt a\u011f i\u00e7in farkl\u0131 g\u00fcvenlik veya y\u00f6nlendirme kurallar\u0131 uygulaman\u0131za olanak tan\u0131r. Genellikle, alt a\u011flar\u0131 iki ana kategoriye ay\u0131r\u0131r\u0131z:<\/p>\n\n
Y\u00f6nlendirme Tablolar\u0131 (Route Tables): Trafik Nereye Gidecek?<\/h3>\n
\n
0.0.0.0\/0<\/code> t\u00fcm internet trafi\u011fini temsil eder.<\/li>\n0.0.0.0\/0<\/code> (herhangi bir yere) olan trafi\u011fin bir \u0130nternet A\u011f Ge\u00e7idi’ne (IGW) gitmesi gerekti\u011fini belirten bir yol bulunabilir. \u00d6zel bir alt a\u011f\u0131n y\u00f6nlendirme tablosunda ise, hedef 0.0.0.0\/0<\/code> olan trafi\u011fin bir NAT A\u011f Ge\u00e7idi’ne gitmesi gerekti\u011fini belirten bir yol bulunabilir.<\/p>\n\n# Genel Alt A\u011f i\u00e7in Y\u00f6nlendirme Tablosu \u00d6rne\u011fi (Pseudo Kod)\n# Hedef: 0.0.0.0\/0 (T\u00fcm internet) -> Hedef: igw-xxxxxxxx (\u0130nternet A\u011f Ge\u00e7idi)\n# Hedef: 10.0.0.0\/16 (VPC \u0130\u00e7i) -> Hedef: local (Yerel VPC y\u00f6nlendirmesi)\n\n# \u00d6zel Alt A\u011f i\u00e7in Y\u00f6nlendirme Tablosu \u00d6rne\u011fi (Pseudo Kod)\n# Hedef: 0.0.0.0\/0 (T\u00fcm internet) -> Hedef: nat-xxxxxxxx (NAT A\u011f Ge\u00e7idi)\n# Hedef: 10.0.0.0\/16 (VPC \u0130\u00e7i) -> Hedef: local (Yerel VPC y\u00f6nlendirmesi)\n <\/pre>\nA\u011f Ge\u00e7itleri (Gateways): D\u00fcnya ile K\u00f6pr\u00fcler Kurmak<\/h3>\n
\n
G\u00fcvenli\u011fi Katmanlara Ay\u0131rmak: G\u00fcvenlik Gruplar\u0131 (Security Groups) ve A\u011f ACL'leri (NACLs) Nas\u0131l Kullan\u0131l\u0131r?<\/h2>\n
G\u00fcvenlik Gruplar\u0131 (Security Groups - SG): \u00d6rnek Seviyesinde G\u00fcvenlik Duvarlar\u0131<\/h3>\n
\n
\n Bir web sunucusunun G\u00fcvenlik Grubu \u015fu kurallar\u0131 i\u00e7erebilir:<\/p>\n\n
\n
0.0.0.0\/0<\/code> (Her yerden)<\/li>\n0.0.0.0\/0<\/code> (Her yerden)<\/li>\n\n
0.0.0.0\/0<\/code> (Her yere) - Genellikle varsay\u0131lan olarak izin verilir.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n# Basit bir G\u00fcvenlik Grubu Yap\u0131land\u0131rma \u00d6rne\u011fi (Pseudo Kod)\n# Web Sunucusu G\u00fcvenlik Grubu\n# Inbound Kurallar:\n# - Port: 80 (HTTP), Protokol: TCP, Kaynak: 0.0.0.0\/0\n# - Port: 443 (HTTPS), Protokol: TCP, Kaynak: 0.0.0.0\/0\n# - Port: 22 (SSH), Protokol: TCP, Kaynak: 203.0.113.45\/32 (Y\u00f6netici IP'si)\n# Outbound Kurallar:\n# - Port: T\u00fcm\u00fc, Protokol: T\u00fcm\u00fc, Hedef: 0.0.0.0\/0\n <\/pre>\nA\u011f Eri\u015fim Kontrol Listeleri (Network Access Control Lists - NACL): Alt A\u011f Seviyesinde G\u00fcvenlik Duvarlar\u0131<\/h3>\n
\n
\n Genel bir alt a\u011f\u0131n NACL'si \u015fu kurallar\u0131 i\u00e7erebilir:<\/p>\n\n
\n
0.0.0.0\/0<\/code><\/li>\n0.0.0.0\/0<\/code><\/li>\n\n
0.0.0.0\/0<\/code><\/li>\n0.0.0.0\/0<\/code><\/li>\n0.0.0.0\/0<\/code> (D\u00f6nen trafi\u011fe izin vermek i\u00e7in kritik)<\/li>\n\n# Basit bir NACL Yap\u0131land\u0131rma \u00d6rne\u011fi (Pseudo Kod)\n# Genel Alt A\u011f NACL - Gelen Kurallar:\n# - Kural No: 100, Eylem: \u0130zin Ver, Port: 80 (HTTP), Protokol: TCP, Kaynak: 0.0.0.0\/0\n# - Kural No: 110, Eylem: \u0130zin Ver, Port: 443 (HTTPS), Protokol: TCP, Kaynak: 0.0.0.0\/0\n# - Kural No: 120, Eylem: \u0130zin Ver, Port: 22 (SSH), Protokol: TCP, Kaynak: 203.0.113.45\/32\n# - Kural No: * (Son kural), Eylem: Reddet, Port: T\u00fcm\u00fc, Protokol: T\u00fcm\u00fc, Kaynak: 0.0.0.0\/0\n\n# Genel Alt A\u011f NACL - Giden Kurallar:\n# - Kural No: 100, Eylem: \u0130zin Ver, Port: 80 (HTTP), Protokol: TCP, Hedef: 0.0.0.0\/0\n# - Kural No: 110, Eylem: \u0130zin Ver, Port: 443 (HTTPS), Protokol: TCP, Hedef: 0.0.0.0\/0\n# - Kural No: 120, Eylem: \u0130zin Ver, Port: 22 (SSH), Protokol: TCP, Hedef: 203.0.113.45\/32\n# - Kural No: 130, Eylem: \u0130zin Ver, Port: 1024-65535 (Ephemeral), Protokol: TCP, Hedef: 0.0.0.0\/0\n# - Kural No: * (Son kural), Eylem: Reddet, Port: T\u00fcm\u00fc, Protokol: T\u00fcm\u00fc, Hedef: 0.0.0.0\/0\n <\/pre>\n\n\n
\n \n\u00d6zellik<\/th>\n G\u00fcvenlik Gruplar\u0131 (SG)<\/th>\n A\u011f ACL'leri (NACL)<\/th>\n<\/tr>\n<\/thead>\n \n Uygulama Seviyesi<\/strong><\/td>\n \u00d6rnek (Instance) seviyesi<\/td>\n Alt a\u011f (Subnet) seviyesi<\/td>\n<\/tr>\n \n Durum Bilgisi<\/strong><\/td>\n Durum bilgisidir (Stateful)<\/td>\n Durum bilgisizdir (Stateless)<\/td>\n<\/tr>\n \n Kural T\u00fcr\u00fc<\/strong><\/td>\n Yaln\u0131zca izin (Allow) kurallar\u0131<\/td>\n \u0130zin (Allow) ve reddetme (Deny) kurallar\u0131<\/td>\n<\/tr>\n \n Kural De\u011ferlendirme<\/strong><\/td>\n T\u00fcm kurallar de\u011ferlendirilir<\/td>\n Kural numaras\u0131na g\u00f6re s\u0131rayla, ilk e\u015fle\u015fen uygulan\u0131r<\/td>\n<\/tr>\n \n Varsay\u0131lan Davran\u0131\u015f<\/strong><\/td>\n Varsay\u0131lan olarak her \u015feyi reddeder, giden trafi\u011fe izin verir<\/td>\n Varsay\u0131lan olarak her \u015feyi reddeder<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Ger\u00e7ek D\u00fcnya Senaryosu: Y\u00fcksek Eri\u015filebilir Bir Web Uygulamas\u0131 i\u00e7in VPC Tasar\u0131m\u0131<\/h2>\n
Senaryo: E-ticaret Sitesi \u0130\u00e7in HA Web Uygulamas\u0131<\/h3>\n
VPC Tasar\u0131m Ad\u0131mlar\u0131 ve Bile\u015fenleri:<\/h3>\n
\n
\n
10.0.0.0\/16<\/code> CIDR blo\u011funu se\u00e7tik. Bu, VPC'miz i\u00e7in 65.536 adet \u00f6zel IP adresi anlam\u0131na gelir.<\/li>\n\n
\n
10.0.1.0\/24<\/code> (Web sunucular\u0131 ve Y\u00fck Dengeleyici i\u00e7in)<\/li>\n10.0.2.0\/24<\/code> (Uygulama sunucular\u0131 ve Veritaban\u0131 i\u00e7in)<\/li>\n<\/ul>\n<\/li>\n\n
10.0.3.0\/24<\/code> (Web sunucular\u0131 ve Y\u00fck Dengeleyici i\u00e7in)<\/li>\n10.0.4.0\/24<\/code> (Uygulama sunucular\u0131 ve Veritaban\u0131 i\u00e7in)<\/li>\n<\/ul>\n<\/li>\n\n
\n
0.0.0.0\/0<\/code>) IGW'ye y\u00f6nlendirilir.<\/li>\n0.0.0.0\/0<\/code>) kendi AZ'sindeki NAT A\u011f Ge\u00e7idi'ne y\u00f6nlendirilir.<\/li>\n<\/ul>\n<\/li>\n\n
\n
0.0.0.0\/0<\/code>'dan (her yerden) izin verir. Giden (outbound) olarak web sunucular\u0131n\u0131n SG'sine izin verir.<\/li>\n192.168.1.0\/24<\/code> gibi) izin verir. Giden olarak uygulama sunucusunun SG'sine ve internete izin verir.<\/li>\n\n# Basit Terraform \/ AWS CLI ile VPC olu\u015fturma pseudo kodu\n# Bu, bir VPC, iki genel ve iki \u00f6zel alt a\u011f, bir IGW ve iki NAT Gateway'in yap\u0131land\u0131rmas\u0131n\u0131 g\u00f6sterir.\n\n# VPC Olu\u015fturma\nresource \"aws_vpc\" \"ecommerce_vpc\" {\n cidr_block = \"10.0.0.0\/16\"\n enable_dns_hostnames = true\n enable_dns_support = true\n tags = { Name = \"ECommerceVPC\" }\n}\n\n# \u0130nternet A\u011f Ge\u00e7idi\nresource \"aws_internet_gateway\" \"ecommerce_igw\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n tags = { Name = \"ECommerceIGW\" }\n}\n\n# Genel Alt A\u011flar (AZ1 ve AZ2)\nresource \"aws_subnet\" \"public_subnet_az1\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n cidr_block = \"10.0.1.0\/24\"\n availability_zone = \"eu-central-1a\" # Ger\u00e7ek AZ'nizi belirtin\n map_public_ip_on_launch = true\n tags = { Name = \"ECommercePublicSubnetAZ1\" }\n}\n\nresource \"aws_subnet\" \"public_subnet_az2\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n cidr_block = \"10.0.3.0\/24\"\n availability_zone = \"eu-central-1b\" # Ger\u00e7ek AZ'nizi belirtin\n map_public_ip_on_launch = true\n tags = { Name = \"ECommercePublicSubnetAZ2\" }\n}\n\n# \u00d6zel Alt A\u011flar (AZ1 ve AZ2)\nresource \"aws_subnet\" \"private_subnet_az1\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n cidr_block = \"10.0.2.0\/24\"\n availability_zone = \"eu-central-1a\"\n tags = { Name = \"ECommercePrivateSubnetAZ1\" }\n}\n\nresource \"aws_subnet\" \"private_subnet_az2\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n cidr_block = \"10.0.4.0\/24\"\n availability_zone = \"eu-central-1b\"\n tags = { Name = \"ECommercePrivateSubnetAZ2\" }\n}\n\n# Elastic IP'ler (NAT Gateway i\u00e7in)\nresource \"aws_eip\" \"nat_eip_az1\" {\n domain = \"vpc\"\n tags = { Name = \"NAT_EIP_AZ1\" }\n}\n\nresource \"aws_eip\" \"nat_eip_az2\" {\n domain = \"vpc\"\n tags = { Name = \"NAT_EIP_AZ2\" }\n}\n\n# NAT Gateway (Her genel alt a\u011fa bir tane)\nresource \"aws_nat_gateway\" \"nat_gateway_az1\" {\n allocation_id = aws_eip.nat_eip_az1.id\n subnet_id = aws_subnet.public_subnet_az1.id\n tags = { Name = \"ECommerceNATGatewayAZ1\" }\n}\n\nresource \"aws_nat_gateway\" \"nat_gateway_az2\" {\n allocation_id = aws_eip.nat_eip_az2.id\n subnet_id = aws_subnet.public_subnet_az2.id\n tags = { Name = \"ECommerceNATGatewayAZ2\" }\n}\n\n# Y\u00f6nlendirme Tablolar\u0131 ve Yollar\n# Genel Alt A\u011f Y\u00f6nlendirme Tablosu\nresource \"aws_route_table\" \"public_route_table\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n route {\n cidr_block = \"0.0.0.0\/0\"\n gateway_id = aws_internet_gateway.ecommerce_igw.id\n }\n tags = { Name = \"ECommercePublicRT\" }\n}\n\n# Genel Alt A\u011flar\u0131 Y\u00f6nlendirme Tablosuna Ba\u011flama\nresource \"aws_route_table_association\" \"public_rt_association_az1\" {\n subnet_id = aws_subnet.public_subnet_az1.id\n route_table_id = aws_route_table.public_route_table.id\n}\n\nresource \"aws_route_table_association\" \"public_rt_association_az2\" {\n subnet_id = aws_subnet.public_subnet_az2.id\n route_table_id = aws_route_table.public_route_table.id\n}\n\n# \u00d6zel Alt A\u011f Y\u00f6nlendirme Tablosu AZ1\nresource \"aws_route_table\" \"private_route_table_az1\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n route {\n cidr_block = \"0.0.0.0\/0\"\n nat_gateway_id = aws_nat_gateway.nat_gateway_az1.id\n }\n tags = { Name = \"ECommercePrivateRTAZ1\" }\n}\n\n# \u00d6zel Alt A\u011f Y\u00f6nlendirme Tablosu AZ2\nresource \"aws_route_table\" \"private_route_table_az2\" {\n vpc_id = aws_vpc.ecommerce_vpc.id\n route {\n cidr_block = \"0.0.0.0\/0\"\n nat_gateway_id = aws_nat_gateway.nat_gateway_az2.id\n }\n tags = { Name = \"ECommercePrivateRTAZ2\" }\n}\n\n# \u00d6zel Alt A\u011flar\u0131 Y\u00f6nlendirme Tablosuna Ba\u011flama\nresource \"aws_route_table_association\" \"private_rt_association_az1\" {\n subnet_id = aws_subnet.private_subnet_az1.id\n route_table_id = aws_route_table.private_route_table_az1.id\n}\n\nresource \"aws_route_table_association\" \"private_rt_association_az2\" {\n subnet_id = aws_subnet.private_subnet_az2.id\n route_table_id = aws_route_table.private_route_table_az2.id\n}\n <\/pre>\n\n
Bulut Ortam\u0131nda A\u011f Performans\u0131 ve Optimizasyon \u0130pu\u00e7lar\u0131 Nelerdir?<\/h2>\n
1. Do\u011fru A\u011f Bant Geni\u015fli\u011fini Se\u00e7mek<\/h3>\n
2. Gecikme S\u00fcresini (Latency) En Aza \u0130ndirmek<\/h3>\n
\n
3. VPC Flow Logs ile Trafi\u011fi \u0130zlemek ve Analiz Etmek<\/h3>\n
\n# AWS CLI ile VPC Flow Log olu\u015fturma komutu \u00f6rne\u011fi (Pseudo Kod)\n# Bu komut, belirtilen VPC'deki t\u00fcm a\u011f arabirimlerinden gelen trafi\u011fi CloudWatch Logs'a g\u00f6nderir.\n\naws ec2 create-flow-logs \\\n --resource-type VPC \\\n --resource-ids vpc-0abcdef1234567890 \\\n --traffic-type ALL \\\n --log-destination-type cloud-watch-logs \\\n --log-group-name my-vpc-flow-logs \\\n --deliver-logs-permission-arn arn:aws:iam::123456789012:role\/FlowLogRole\n <\/pre>\n4. A\u011f G\u00fcvenli\u011fini Optimize Etmek<\/h3>\n
5. \u0130\u00e7 A\u011f Trafi\u011fini Optimize Etmek<\/h3>\n
6. A\u011f Otomasyonu ve \u0130zleme<\/h3>\n