G\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda web siteleri ve uygulamalar i\u00e7in g\u00fcvenlik, vazge\u00e7ilmez bir unsurdur. Kullan\u0131c\u0131 verilerinin korunmas\u0131, gizlili\u011fin sa\u011flanmas\u0131 ve sitenin g\u00fcvenilirli\u011finin art\u0131r\u0131lmas\u0131 amac\u0131yla HTTPS (Hypertext Transfer Protocol Secure) kullan\u0131m\u0131 kritik \u00f6neme sahiptir. HTTPS, web taray\u0131c\u0131s\u0131 ile sunucu aras\u0131ndaki ileti\u015fimi \u015fifreleyerek \u00fc\u00e7\u00fcnc\u00fc taraflar\u0131n verileri okumas\u0131n\u0131 veya de\u011fi\u015ftirmesini engeller. Bu \u015fifreleme, SSL\/TLS (Secure Sockets Layer\/Transport Layer Security) sertifikalar\u0131 arac\u0131l\u0131\u011f\u0131yla sa\u011flan\u0131r.<\/p>\n
Geleneksel olarak, SSL\/TLS sertifikalar\u0131 maliyetli ve karma\u015f\u0131k bir edinme s\u00fcrecine sahipti. Ancak Let’s Encrypt projesi, bu durumu temelden de\u011fi\u015ftirerek \u00fccretsiz, otomatik ve a\u00e7\u0131k bir sertifika yetkilisi (CA) sunmu\u015ftur. Let’s Encrypt sayesinde, her web sitesi sahibi kolayca g\u00fcvenli bir ba\u011flant\u0131 kurabilir.<\/p>\n
Bu makalede, g\u00fc\u00e7l\u00fc ve esnek bir i\u015fletim sistemi olan FreeBSD \u00fczerinde, y\u00fcksek performansl\u0131 bir web sunucusu olan Nginx’i Let’s Encrypt ile nas\u0131l g\u00fcvenli hale getirece\u011finizi ad\u0131m ad\u0131m a\u00e7\u0131klayaca\u011f\u0131z. FreeBSD’nin kararl\u0131l\u0131\u011f\u0131 ve Nginx’in verimlili\u011fi bir araya geldi\u011finde, g\u00fcvenli ve h\u0131zl\u0131 bir web altyap\u0131s\u0131 olu\u015fturmak m\u00fcmk\u00fcnd\u00fcr. Bu rehber, temel sistem yap\u0131land\u0131rmas\u0131ndan sertifika edinme ve Nginx’i HTTPS i\u00e7in optimize etmeye kadar t\u00fcm s\u00fcreci kapsayacakt\u0131r.<\/p>\n
Bu rehbere ba\u015flamadan \u00f6nce a\u015fa\u011f\u0131daki \u00f6n ko\u015fullar\u0131n yerine getirildi\u011finden emin olmal\u0131s\u0131n\u0131z:<\/p>\n
* FreeBSD \u0130\u015fletim Sistemi:<\/strong> FreeBSD 13.x veya 14.x s\u00fcr\u00fcm\u00fc kurulu ve g\u00fcncel bir sunucuya sahip olmal\u0131s\u0131n\u0131z. Sertifika edinme ve Nginx yap\u0131land\u0131rmas\u0131na ge\u00e7meden \u00f6nce FreeBSD sistemimizi gerekli yaz\u0131l\u0131mlarla donatmam\u0131z ve temel ayarlar\u0131 yapmam\u0131z gerekmektedir.<\/p>\n Nginx, FreeBSD’nin Kurulum tamamland\u0131ktan sonra Nginx’in otomatik olarak ba\u015flamas\u0131 i\u00e7in Nginx’in do\u011fru \u015fekilde \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131n\u0131 test etmek i\u00e7in sunucunuzun IP adresini veya alan ad\u0131n\u0131z\u0131 bir web taray\u0131c\u0131s\u0131nda ziyaret edebilirsiniz. Varsay\u0131lan olarak “Welcome to nginx!” sayfas\u0131n\u0131 g\u00f6rmelisiniz.<\/p>\n Let’s Encrypt sertifikalar\u0131n\u0131 y\u00f6netmek i\u00e7in Certbot istemcisini kullanaca\u011f\u0131z. Certbot, FreeBSD’nin Baz\u0131 durumlarda FreeBSD \u00fczerinde bir g\u00fcvenlik duvar\u0131 (\u00f6rne\u011fin PF (Packet Filter) \u0130\u00e7in \u00d6rnek Yap\u0131land\u0131rma:<\/strong> De\u011fi\u015fiklikleri kaydettikten sonra IPFW \u0130\u00e7in \u00d6rnek Yap\u0131land\u0131rma:<\/strong> Ve Ard\u0131ndan G\u00fcvenlik duvar\u0131 yap\u0131land\u0131rman\u0131z\u0131n do\u011fru oldu\u011fundan emin olmak i\u00e7in test etmeyi unutmay\u0131n.<\/p>\n Let’s Encrypt sertifikalar\u0131n\u0131 almadan \u00f6nce, Certbot’un alan ad\u0131n\u0131z\u0131n sahipli\u011fini do\u011frulayabilmesi i\u00e7in Nginx’i temel HTTP trafi\u011fini i\u015fleyecek \u015fekilde yap\u0131land\u0131rmam\u0131z gerekiyor.<\/p>\n Nginx’in varsay\u0131lan yap\u0131land\u0131rma dosyas\u0131 \u00d6ncelikle, web sitenizin dosyalar\u0131n\u0131 bar\u0131nd\u0131racak bir dizin olu\u015ftural\u0131m. Bu dizin ayn\u0131 zamanda Certbot’un do\u011frulama dosyalar\u0131n\u0131 yerle\u015ftirece\u011fi \u015eimdi, Dosyan\u0131n i\u00e7ine a\u015fa\u011f\u0131daki i\u00e7eri\u011fi yap\u0131\u015ft\u0131r\u0131n ve Bu yap\u0131land\u0131rma: Yap\u0131land\u0131rma dosyas\u0131n\u0131 kaydettikten sonra, Nginx yap\u0131land\u0131rmas\u0131n\u0131n s\u00f6zdizimini kontrol edelim ve Nginx’i yeniden ba\u015flatal\u0131m:<\/p>\n Herhangi bir hata mesaj\u0131 almazsan\u0131z, Nginx ba\u015far\u0131yla yeniden ba\u015flat\u0131lm\u0131\u015f demektir. Art\u0131k Certbot ile sertifika almaya haz\u0131r\u0131z.<\/p>\n Nginx’i HTTP isteklerini kar\u015f\u0131layacak \u015fekilde yap\u0131land\u0131rd\u0131\u011f\u0131m\u0131za g\u00f6re, Certbot kullanarak Let’s Encrypt’ten sertifika talep edebiliriz.<\/p>\n Certbot’u A\u015fa\u011f\u0131daki komutu \u00e7al\u0131\u015ft\u0131r\u0131n, Komutu \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131zda, Certbot sizden baz\u0131 bilgiler isteyecektir:<\/p>\n 1. E-posta Adresi:<\/strong> Acil durum bildirimleri ve sertifika yenileme hat\u0131rlat\u0131c\u0131lar\u0131 i\u00e7in bir e-posta adresi girin. E\u011fer her \u015fey yolunda giderse, Certbot sertifikalar\u0131 ba\u015far\u0131yla alacak ve a\u015fa\u011f\u0131daki gibi bir \u00e7\u0131kt\u0131 g\u00f6sterecektir:<\/p>\n Sertifikalar\u0131n\u0131z art\u0131k Let’s Encrypt sertifikalar\u0131 90 g\u00fcn boyunca ge\u00e7erlidir. Bu nedenle, sertifikalar\u0131n s\u00fcresi dolmadan \u00f6nce d\u00fczenli olarak yenilenmeleri gerekir. Certbot, bu yenileme i\u015flemini otomatikle\u015ftirmek i\u00e7in bir Sertifika yenileme i\u015flemini test etmek i\u00e7in Bu komut, yenileme i\u015flemini ger\u00e7ekten yapmadan sim\u00fcle eder ve herhangi bir sorun olup olmad\u0131\u011f\u0131n\u0131 kontrol etmenizi sa\u011flar.<\/p>\n Sertifikalar\u0131n otomatik olarak yenilenmesi i\u00e7in bir cron job olu\u015fturmak en iyi y\u00f6ntemdir. Certbot, FreeBSD’de genellikle kendi cron job’unu A\u015fa\u011f\u0131daki gibi bir cron job olu\u015fturabilirsiniz. Bu cron job, Sertifikalar\u0131m\u0131z\u0131 edindi\u011fimize g\u00f6re, Nginx’i HTTPS trafi\u011fini i\u015fleyecek \u015fekilde yap\u0131land\u0131rabiliriz.<\/p>\n \u00d6ncelikle, daha \u00f6nce olu\u015fturdu\u011fumuz Dosyan\u0131n i\u00e7eri\u011fini a\u015fa\u011f\u0131daki gibi g\u00fcncelleyin. Bu yap\u0131land\u0131rmada, ilk Yap\u0131land\u0131rmay\u0131 kaydettikten sonra Nginx’in s\u00f6zdizimini kontrol edin ve yeniden y\u00fckleyin:<\/p>\n \u015eimdi taray\u0131c\u0131n\u0131zdan Yukar\u0131daki yap\u0131land\u0131rmada zaten bu ad\u0131m\u0131 ger\u00e7ekle\u015ftirdik. HTTP (port 80) trafi\u011fini HTTPS (port 443) trafi\u011fine y\u00f6nlendirmek, kullan\u0131c\u0131lar\u0131n sitenize her zaman g\u00fcvenli bir ba\u011flant\u0131 \u00fczerinden eri\u015fmesini sa\u011flar. Bu, \u00f6zellikle eski yer imleri veya manuel olarak yaz\u0131lan URL’ler i\u00e7in \u00f6nemlidir.<\/p>\n Bu blok, Certbot do\u011frulama istekleri hari\u00e7 t\u00fcm HTTP isteklerini HTTPS’e y\u00f6nlendirir. HSTS (HTTP Strict Transport Security), web sitelerinin taray\u0131c\u0131lara yaln\u0131zca HTTPS \u00fczerinden eri\u015filmesi gerekti\u011fini bildiren bir g\u00fcvenlik mekanizmas\u0131d\u0131r. Bir taray\u0131c\u0131 bir kez HSTS ba\u015fl\u0131\u011f\u0131n\u0131 ald\u0131\u011f\u0131nda, belirlenen s\u00fcre boyunca o alan ad\u0131na yap\u0131lan t\u00fcm sonraki istekleri otomatik olarak HTTPS’e d\u00f6n\u00fc\u015ft\u00fcr\u00fcr, HTTP \u00fczerinden yap\u0131lan istekleri engeller. Bu, SSL soygunu (SSL stripping) gibi sald\u0131r\u0131lar\u0131 \u00f6nlemeye yard\u0131mc\u0131 olur.<\/p>\n HSTS’i etkinle\u015ftirmek i\u00e7in HTTPS * HSTS ba\u015fl\u0131\u011f\u0131n\u0131 ekledikten sonra Nginx’i yeniden y\u00fcklemeyi unutmay\u0131n.<\/p>\n OCSP (Online Certificate Status Protocol) stapling, bir web sunucusunun SSL\/TLS sertifikas\u0131n\u0131n ge\u00e7erlilik durumunu sertifika yetkilisinden (CA) d\u00fczenli olarak sorgulamas\u0131n\u0131 ve bu durumu \u00f6nbelle\u011fe almas\u0131n\u0131 sa\u011flar. Taray\u0131c\u0131 bir web sitesine ba\u011fland\u0131\u011f\u0131nda, sunucu bu \u00f6nbelle\u011fe al\u0131nm\u0131\u015f ge\u00e7erlilik durumunu (stapled OCSP response) taray\u0131c\u0131ya sunar. Bu, taray\u0131c\u0131n\u0131n CA’ya do\u011frudan ba\u011flanarak sertifika durumunu sorgulama ihtiyac\u0131n\u0131 ortadan kald\u0131r\u0131r, b\u00f6ylece ba\u011flant\u0131 h\u0131z\u0131 artar ve kullan\u0131c\u0131 gizlili\u011fi korunur.<\/p>\n OCSP stapling’i etkinle\u015ftirmek i\u00e7in HTTPS * Bu ayarlar\u0131 yapt\u0131ktan sonra Nginx’i yeniden y\u00fckleyin.<\/p>\n Nginx’i Let’s Encrypt ile g\u00fcvenli hale getirmek \u00f6nemli bir ad\u0131md\u0131r, ancak web sunucunuzun genel g\u00fcvenli\u011fini art\u0131rmak i\u00e7in ek \u00f6nlemler alabilirsiniz.<\/p>\n SSL\/TLS yap\u0131land\u0131rman\u0131zda yaln\u0131zca g\u00fc\u00e7l\u00fc \u015fifreleme algoritmalar\u0131 ve g\u00fcncel TLS protokollerini kullanmal\u0131s\u0131n\u0131z. Eski ve zay\u0131f protokoller (TLSv1.0, TLSv1.1) ile zay\u0131f \u015fifreleme paketlerini devre d\u0131\u015f\u0131 b\u0131rakmak \u00f6nemlidir.<\/p>\n HTTPS * Ayr\u0131ca, Diffie-Hellman anahtar de\u011fi\u015fimi i\u00e7in g\u00fc\u00e7l\u00fc bir parametre dosyas\u0131 olu\u015fturmak, ileri gizlili\u011fi (Perfect Forward Secrecy – PFS) art\u0131r\u0131r:<\/p>\n Bu i\u015flem biraz zaman alabilir. Olu\u015fturduktan sonra Nginx yap\u0131land\u0131rman\u0131za ekleyin:<\/p>\n Bu ayarlar, Nginx’in genel SSL\/TLS g\u00fcvenli\u011fini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131racakt\u0131r.<\/p>\n Web uygulaman\u0131z\u0131n g\u00fcvenli\u011fini art\u0131rmak i\u00e7in Nginx ile entegre olabilen Web Uygulama G\u00fcvenlik Duvar\u0131 (WAF) mod\u00fclleri kullanabilirsiniz. ModSecurity gibi WAF’lar, yayg\u0131n web sald\u0131r\u0131lar\u0131na (SQL enjeksiyonu, XSS vb.) kar\u015f\u0131 koruma sa\u011flayabilir. Bu mod\u00fcllerin kurulumu ve yap\u0131land\u0131rmas\u0131 bu makalenin kapsam\u0131n\u0131n d\u0131\u015f\u0131nda olsa da, genel g\u00fcvenlik stratejinizin bir par\u00e7as\u0131 olarak de\u011ferlendirilmelidir.<\/p>\n Nginx eri\u015fim ve hata g\u00fcnl\u00fcklerini d\u00fczenli olarak izlemek, potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 veya sald\u0131r\u0131 giri\u015fimlerini tespit etmek i\u00e7in hayati \u00f6neme sahiptir. Bu g\u00fcnl\u00fckleri analiz etmek i\u00e7in \u0130\u015fletim sistemini, Nginx’i ve Certbot’u d\u00fczenli olarak g\u00fcncellemek, bilinen g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 korunman\u0131n en temel yoludur.<\/p>\n Bu komutlar\u0131 d\u00fczenli aral\u0131klarla \u00e7al\u0131\u015ft\u0131rmak, sisteminizin g\u00fcncel ve g\u00fcvenli kalmas\u0131n\u0131 sa\u011flar.<\/p>\n Kurulum ve yap\u0131land\u0131rma s\u0131ras\u0131nda kar\u015f\u0131la\u015fabilece\u011finiz baz\u0131 yayg\u0131n sorunlar ve \u00e7\u00f6z\u00fcmleri:<\/p>\n * Nginx Ba\u015flam\u0131yor veya Yeniden Y\u00fcklenmiyor:<\/strong> Bu makalede, FreeBSD i\u015fletim sistemi \u00fczerinde Nginx web sunucusunu Let’s Encrypt ile nas\u0131l g\u00fcvenli hale getirece\u011finizi detayl\u0131 bir \u015fekilde ele ald\u0131k. Nginx kurulumundan ba\u015flayarak, Certbot ile \u00fccretsiz SSL\/TLS sertifikalar\u0131 edinme, Nginx’i HTTPS i\u00e7in yap\u0131land\u0131rma ve otomatik yenileme s\u00fcre\u00e7lerini ad\u0131m ad\u0131m uygulad\u0131k. Ayr\u0131ca, HTTP Strict Transport Security (HSTS) ve OCSP Stapling gibi ek g\u00fcvenlik \u00f6nlemleriyle birlikte, g\u00fc\u00e7l\u00fc \u015fifreleme algoritmalar\u0131 ve d\u00fczenli g\u00fcncellemeler gibi genel g\u00fcvenlik ipu\u00e7lar\u0131n\u0131 da sunduk.<\/p>\n HTTPS’in web g\u00fcvenli\u011fi ve kullan\u0131c\u0131 gizlili\u011fi i\u00e7in ne kadar kritik oldu\u011funu bir kez daha vurgulamak gerekir. Let’s Encrypt sayesinde bu g\u00fcvenlik katman\u0131n\u0131 uygulamak art\u0131k her zamankinden daha kolay ve \u00fccretsizdir. FreeBSD’nin sa\u011flaml\u0131\u011f\u0131 ve Nginx’in performans\u0131 ile birle\u015fen bu g\u00fcvenlik katman\u0131, web siteniz i\u00e7in g\u00fc\u00e7l\u00fc ve g\u00fcvenilir bir temel olu\u015fturacakt\u0131r.<\/p>\n Unutmay\u0131n ki siber g\u00fcvenlik s\u00fcrekli geli\u015fen bir aland\u0131r. Bu rehberdeki ad\u0131mlar\u0131 takip ederek sa\u011flam bir ba\u015flang\u0131\u00e7 yapsan\u0131z da, g\u00fcncel g\u00fcvenlik tehditleri ve en iyi uygulamalar hakk\u0131nda bilgi sahibi olmaya devam etmek \u00f6nemlidir. D\u00fczenli sistem g\u00fcncellemeleri, g\u00fcvenlik duvar\u0131 kurallar\u0131n\u0131n g\u00f6zden ge\u00e7irilmesi ve web uygulaman\u0131z\u0131n kendi g\u00fcvenlik a\u00e7\u0131klar\u0131na kar\u015f\u0131 korunmas\u0131, web altyap\u0131n\u0131z\u0131n uzun vadeli g\u00fcvenli\u011fini sa\u011flamak i\u00e7in hayati \u00f6neme sahiptir. Bu ad\u0131mlar\u0131 uygulayarak, hem siz hem de kullan\u0131c\u0131lar\u0131n\u0131z i\u00e7in daha g\u00fcvenli bir internet deneyimi sunacaks\u0131n\u0131z.<\/body><\/p>\n","protected":false},"excerpt":{"rendered":"Nginx’i Let’s Encrypt ile FreeBSD \u00dczerinde G\u00fcvenli Hale Getirme\nGiri\u015f\nG\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda web siteleri ve uygulamalar i\u00e7in g\u00fcvenl","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1504],"tags":[],"class_list":{"0":"post-36678","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-nginx","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n
\n* Kullan\u0131c\u0131 Yetkileri:<\/strong> Sunucuda root<\/code> kullan\u0131c\u0131s\u0131 olarak veya sudo<\/code> yetkilerine sahip bir kullan\u0131c\u0131 ile i\u015flem yapabilmelisiniz.
\n* Alan Ad\u0131 (Domain Name):<\/strong> Web siteniz i\u00e7in kay\u0131tl\u0131 bir alan ad\u0131na (\u00f6rne\u011fin, example.com<\/code>) sahip olman\u0131z gerekmektedir.
\n* DNS Kay\u0131tlar\u0131:<\/strong> Alan ad\u0131n\u0131z\u0131n A veya AAAA kay\u0131tlar\u0131n\u0131n, FreeBSD sunucunuzun genel IP adresine do\u011fru \u015fekilde y\u00f6nlendirilmi\u015f olmas\u0131 zorunludur. Let’s Encrypt, sertifika talebi s\u0131ras\u0131nda alan ad\u0131n\u0131n sunucuya ait oldu\u011funu do\u011frulamak i\u00e7in bu kay\u0131tlara ihtiya\u00e7 duyar.
\n* Temel Komut Sat\u0131r\u0131 Bilgisi:<\/strong> FreeBSD komut sat\u0131r\u0131 ortam\u0131nda temel d\u00fczeyde i\u015flem yapabilme yetene\u011fine sahip olman\u0131z beklenmektedir.
\n* \u0130nternet Ba\u011flant\u0131s\u0131:<\/strong> Sunucunuzun internete eri\u015fimi olmal\u0131d\u0131r.<\/p>\nFreeBSD Sisteminin Haz\u0131rlanmas\u0131<\/h3>\n
Nginx Kurulumu<\/h4>\n
pkg<\/code> paket y\u00f6neticisi arac\u0131l\u0131\u011f\u0131yla kolayca kurulabilir. \u00d6ncelikle sistemdeki paket listesini g\u00fcncelleyelim ve ard\u0131ndan Nginx’i kural\u0131m:<\/p>\nsudo pkg update\nsudo pkg upgrade -y\nsudo pkg install nginx -y<\/code><\/pre>\nrc.conf<\/code> dosyas\u0131na ekleme yapmal\u0131y\u0131z ve servisi ba\u015flatmal\u0131y\u0131z:<\/p>\nsudo sysrc nginx_enable=\"YES\"\nsudo service nginx start<\/code><\/pre>\nLet’s Encrypt (Certbot) Kurulumu<\/h4>\n
pkg<\/code> deposunda mevcuttur. Webroot do\u011frulama y\u00f6ntemini kullanaca\u011f\u0131m\u0131z i\u00e7in py39-certbot<\/code> paketini kurmam\u0131z yeterlidir. (Python s\u00fcr\u00fcm\u00fc FreeBSD s\u00fcr\u00fcm\u00fcne g\u00f6re de\u011fi\u015febilir, \u00f6rne\u011fin py38-certbot<\/code> veya py310-certbot<\/code> olabilir.)<\/p>\nsudo pkg install py39-certbot -y<\/code><\/pre>\npy39-certbot-nginx<\/code> paketi de mevcut olabilir ve Nginx yap\u0131land\u0131rmas\u0131n\u0131 otomatik olarak yapabilir. Ancak, bu makalede daha manuel ve kontrol odakl\u0131 bir yakla\u015f\u0131m olan webroot<\/code> y\u00f6ntemini kullanaca\u011f\u0131z, zira bu y\u00f6ntem Nginx’in mevcut yap\u0131land\u0131rmas\u0131n\u0131 bozmadan sertifika al\u0131m\u0131na olanak tan\u0131r.<\/p>\nG\u00fcvenlik Duvar\u0131 Yap\u0131land\u0131rmas\u0131 (Opsiyonel ama \u00d6nemli)<\/h4>\n
pf<\/code> veya ipfw<\/code>) kullan\u0131yorsan\u0131z, web trafi\u011finin (HTTP ve HTTPS) sunucunuza ula\u015fabilmesi i\u00e7in 80 ve 443 numaral\u0131 portlar\u0131 a\u00e7man\u0131z gerekmektedir. Bu ad\u0131m, sunucunuzun d\u0131\u015far\u0131dan eri\u015filebilir olmas\u0131 i\u00e7in kritik \u00f6neme sahiptir.<\/p>\n
\nE\u011fer pf<\/code> kullan\u0131yorsan\u0131z, \/etc\/pf.conf<\/code> dosyan\u0131z\u0131 d\u00fczenlemeniz gerekecektir. A\u015fa\u011f\u0131daki kurallar\u0131 dosyan\u0131za ekleyebilir veya mevcut kurallar\u0131n\u0131z\u0131 g\u00fcncelleyebilirsiniz:<\/p>\n# \/etc\/pf.conf\nHTTP ve HTTPS trafi\u011fine izin ver<\/h2>\npass in proto tcp from any to any port { 80, 443 }<\/code><\/pre>\n
pf<\/code> servisini yeniden y\u00fckleyin:<\/p>\nsudo pfctl -f \/etc\/pf.conf\nsudo service pf reload<\/code><\/pre>\n
\nE\u011fer ipfw<\/code> kullan\u0131yorsan\u0131z, \/etc\/rc.conf<\/code> dosyan\u0131za a\u015fa\u011f\u0131daki sat\u0131rlar\u0131 ekleyerek veya d\u00fczenleyerek portlar\u0131 a\u00e7abilirsiniz:<\/p>\n# \/etc\/rc.conf\nfirewall_enable=\"YES\"\nfirewall_type=\"open\" # veya \"client\", \"server\" gibi daha k\u0131s\u0131tl\u0131 bir t\u00fcr\nfirewall_logdeny=\"YES\"\nfirewall_script=\"\/etc\/ipfw.rules\" # Kendi kural dosyan\u0131z\u0131 kullanabilirsiniz<\/code><\/pre>\n\/etc\/ipfw.rules<\/code> dosyan\u0131zda \u015fu kurallar\u0131 tan\u0131mlay\u0131n:<\/p>\n# \/etc\/ipfw.rules\n#!\/bin\/sh\n\nipfw -q flush\nipfw -q add allow all from any to any via lo0\nipfw -q add allow tcp from any to any 80 in\nipfw -q add allow tcp from any to any 443 in\nipfw -q add allow tcp from any to any 22 in # SSH i\u00e7in\nipfw -q add deny all from any to any<\/code><\/pre>\nipfw<\/code> servisini ba\u015flat\u0131n:<\/p>\nsudo service ipfw start<\/code><\/pre>\nNginx Yap\u0131land\u0131rmas\u0131<\/h3>\n
HTTP Yap\u0131land\u0131rmas\u0131 (Port 80)<\/h4>\n
\/usr\/local\/etc\/nginx\/nginx.conf<\/code> adresindedir. Genellikle, siteye \u00f6zel yap\u0131land\u0131rmalar\u0131 conf.d<\/code> dizini alt\u0131nda ayr\u0131 dosyalarda tutmak iyi bir uygulamad\u0131r.<\/p>\nwebroot<\/code> dizini olacakt\u0131r.<\/p>\nsudo mkdir -p \/usr\/local\/www\/example.com\nsudo chown -R www:www \/usr\/local\/www\/example.com<\/code><\/pre>\n\/usr\/local\/etc\/nginx\/conf.d\/example.com.conf<\/code> ad\u0131nda yeni bir yap\u0131land\u0131rma dosyas\u0131 olu\u015ftural\u0131m:<\/p>\nsudo nano \/usr\/local\/etc\/nginx\/conf.d\/example.com.conf<\/code><\/pre>\nexample.com<\/code> ile www.example.com<\/code> k\u0131s\u0131mlar\u0131n\u0131 kendi alan ad\u0131n\u0131zla de\u011fi\u015ftirin:<\/p>\nserver {\n listen 80;\n listen [::]:80;\n server_name example.com www.example.com;\n\n root \/usr\/local\/www\/example.com;\n index index.html index.htm;\n\n location \/ {\n try_files $uri $uri\/ =404;\n }\n\n # Certbot do\u011frulama i\u00e7in gerekli olan .well-known dizini\n location ~ \/.well-known\/acme-challenge {\n allow all;\n root \/usr\/local\/www\/example.com;\n }\n}<\/code><\/pre>\n
\n* 80 numaral\u0131 porttan gelen HTTP isteklerini dinler.
\n* example.com<\/code> ve www.example.com<\/code> alan adlar\u0131 i\u00e7in istekleri kar\u015f\u0131lar.
\n* Web sitesi dosyalar\u0131n\u0131 \/usr\/local\/www\/example.com<\/code> dizininden sunar.
\n* \/.well-known\/acme-challenge<\/code> yoluna gelen istekleri do\u011frudan webroot<\/code> dizininden sunarak Certbot’un do\u011frulama i\u015flemini yapmas\u0131na olanak tan\u0131r.<\/p>\nsudo nginx -t\nsudo service nginx reload<\/code><\/pre>\nLet’s Encrypt Sertifikas\u0131 Alma<\/h3>\n
Certbot ile Sertifika Talebi<\/h4>\n
webroot<\/code> eklentisiyle kullanarak sertifika talebinde bulunaca\u011f\u0131z. Bu y\u00f6ntem, Certbot’un do\u011frulama dosyalar\u0131n\u0131 belirtilen web k\u00f6k dizinine yerle\u015ftirmesini ve Nginx’in bunlar\u0131 sunmas\u0131n\u0131 sa\u011flar.<\/p>\nexample.com<\/code> ve www.example.com<\/code> yerine kendi alan adlar\u0131n\u0131z\u0131 ve \/usr\/local\/www\/example.com<\/code> yerine web k\u00f6k dizininizi yaz\u0131n:<\/p>\nsudo certbot certonly --webroot -w \/usr\/local\/www\/example.com -d example.com -d www.example.com<\/code><\/pre>\n
\n2. Hizmet \u015eartlar\u0131:<\/strong> Let’s Encrypt’in hizmet \u015fartlar\u0131n\u0131 kabul etmeniz istenecektir. Kabul etmek i\u00e7in A<\/code> tu\u015funa bas\u0131n.
\n3. EFF Haber B\u00fclteni:<\/strong> \u0130sterseniz EFF’nin haber b\u00fcltenine abone olabilirsiniz. Y<\/code> veya N<\/code> tu\u015funa bas\u0131n.<\/p>\nIMPORTANT NOTES:\n - Congratulations! Your certificate and chain have been saved at:\n \/usr\/local\/etc\/letsencrypt\/live\/example.com\/fullchain.pem\n Your key file has been saved at:\n \/usr\/local\/etc\/letsencrypt\/live\/example.com\/privkey.pem\n Your certificate will expire on 2024-XX-XX. To obtain a new or\n revising version of this certificate in the future, simply run\n certbot renew\n ...<\/code><\/pre>\n\/usr\/local\/etc\/letsencrypt\/live\/example.com\/<\/code> dizininde bulunmaktad\u0131r. Bu dizin i\u00e7inde genellikle \u015fu dosyalar bulunur:
\n* fullchain.pem<\/code>: Sunucu sertifikas\u0131 ve ara sertifikay\u0131 i\u00e7erir. Nginx i\u00e7in bu dosyay\u0131 kullanaca\u011f\u0131z.
\n* privkey.pem<\/code>: Sertifikan\u0131n \u00f6zel anahtar\u0131d\u0131r.
\n* chain.pem<\/code>: Sadece ara sertifikay\u0131 i\u00e7erir.
\n* cert.pem<\/code>: Sadece sunucu sertifikas\u0131n\u0131 i\u00e7erir.<\/p>\nSertifika Yenileme ve Otomasyon<\/h4>\n
renew<\/code> komutu sunar.<\/p>\ndry-run<\/code> parametresiyle \u00e7al\u0131\u015ft\u0131rabilirsiniz:<\/p>\nsudo certbot renew --dry-run<\/code><\/pre>\n\/usr\/local\/etc\/periodic\/daily\/<\/code> veya benzeri bir dizine yerle\u015ftirir. Ancak, Nginx’in yeni sertifikalar\u0131 kullanmaya ba\u015flamas\u0131 i\u00e7in yeniden y\u00fcklenmesi gerekti\u011fini unutmay\u0131n.<\/p>\nsudo crontab -e<\/code> komutunu kullanarak root kullan\u0131c\u0131s\u0131n\u0131n cron tablosunu d\u00fczenleyin:<\/p>\n# Her g\u00fcn \u00f6\u011fleden sonra 12:00'de veya benzeri bir zamanda \u00e7al\u0131\u015ft\u0131r\n0 12 <\/em> * \/usr\/local\/bin\/certbot renew --post-hook \"service nginx reload\" >> \/var\/log\/certbot-renew.log 2>&1<\/code><\/pre>\ncertbot renew<\/code> komutunu \u00e7al\u0131\u015ft\u0131r\u0131r ve e\u011fer sertifikalar yenilenirse (--post-hook<\/code> sayesinde), Nginx servisini yeniden y\u00fckler. Bu, Nginx’in yeni sertifikalar\u0131 kullanmaya ba\u015flamas\u0131n\u0131 sa\u011flar. Yenileme g\u00fcnl\u00fckleri \/var\/log\/certbot-renew.log<\/code> dosyas\u0131na kaydedilir.<\/p>\nNginx’i HTTPS Kullanacak \u015eekilde Yap\u0131land\u0131rma<\/h3>\n
Sertifikalar\u0131 Nginx’e Tan\u0131tma<\/h4>\n
\/usr\/local\/etc\/nginx\/conf.d\/example.com.conf<\/code> dosyas\u0131n\u0131 d\u00fczenleyelim. Bu dosyaya HTTPS i\u00e7in yeni bir server<\/code> blo\u011fu ekleyece\u011fiz ve mevcut HTTP blo\u011funu HTTPS’e y\u00f6nlendirecek \u015fekilde g\u00fcncelleyece\u011fiz.<\/p>\nsudo nano \/usr\/local\/etc\/nginx\/conf.d\/example.com.conf<\/code><\/pre>\nexample.com<\/code> ve www.example.com<\/code> k\u0131s\u0131mlar\u0131n\u0131 kendi alan adlar\u0131n\u0131zla de\u011fi\u015ftirin:<\/p>\n# HTTP trafi\u011fini HTTPS'e y\u00f6nlendirme\nserver {\n listen 80;\n listen [::]:80;\n server_name example.com www.example.com;\n\n # Certbot do\u011frulama i\u00e7in gerekli olan .well-known dizini\n location ~ \/.well-known\/acme-challenge {\n allow all;\n root \/usr\/local\/www\/example.com;\n }\n\n # Di\u011fer t\u00fcm HTTP isteklerini HTTPS'e y\u00f6nlendir\n return 301 https:\/\/$host$request_uri;\n}\n\nHTTPS yap\u0131land\u0131rmas\u0131<\/h2>\nserver {\n listen 443 ssl http2;\n listen [::]:443 ssl http2;\n server_name example.com www.example.com;\n\n root \/usr\/local\/www\/example.com;\n index index.html index.htm;\n\n ssl_certificate \/usr\/local\/etc\/letsencrypt\/live\/example.com\/fullchain.pem;\n ssl_certificate_key \/usr\/local\/etc\/letsencrypt\/live\/example.com\/privkey.pem;\n\n # SSL\/TLS ayarlar\u0131 (sonraki b\u00f6l\u00fcmde daha detayl\u0131 ele al\u0131nacak)\n ssl_session_cache shared:SSL:10m;\n ssl_session_timeout 10m;\n ssl_protocols TLSv1.2 TLSv1.3;\n ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';\n ssl_prefer_server_ciphers on;\n\n # HSTS ayar\u0131 (sonraki b\u00f6l\u00fcmde daha detayl\u0131 ele al\u0131nacak)\n add_header Strict-Transport-Security \"max-age=63072000; includeSubDomains; preload\" always;\n\n # OCSP Stapling (sonraki b\u00f6l\u00fcmde daha detayl\u0131 ele al\u0131nacak)\n ssl_stapling on;\n ssl_stapling_verify on;\n ssl_trusted_certificate \/usr\/local\/etc\/letsencrypt\/live\/example.com\/chain.pem;\n resolver 8.8.8.8 8.8.4.4 valid=300s; # G\u00fcvenilir DNS sunucular\u0131 kullan\u0131n\n\n location \/ {\n try_files $uri $uri\/ =404;\n }\n\n # Hata sayfalar\u0131\n error_page 404 \/404.html;\n location = \/404.html {\n internal;\n }\n}<\/code><\/pre>\n
server<\/code> blo\u011fu 80 numaral\u0131 porttan gelen t\u00fcm istekleri (Certbot do\u011frulama hari\u00e7) 301 kal\u0131c\u0131 y\u00f6nlendirmesiyle HTTPS’e y\u00f6nlendirir. \u0130kinci server<\/code> blo\u011fu ise 443 numaral\u0131 porttan gelen HTTPS isteklerini i\u015fler, Let’s Encrypt sertifikalar\u0131n\u0131 kullan\u0131r ve temel SSL\/TLS ayarlar\u0131n\u0131 i\u00e7erir.<\/p>\nsudo nginx -t\nsudo service nginx reload<\/code><\/pre>\nhttp:\/\/example.com<\/code> adresini ziyaret etti\u011finizde otomatik olarak https:\/\/example.com<\/code> adresine y\u00f6nlendirilmeniz ve ba\u011flant\u0131n\u0131n g\u00fcvenli (kilit simgesi) oldu\u011funu g\u00f6rmeniz gerekir.<\/p>\nHTTP’den HTTPS’e Y\u00f6nlendirme<\/h4>\n
server {\n listen 80;\n listen [::]:80;\n server_name example.com www.example.com;\n\n # Certbot do\u011frulama i\u00e7in gerekli olan .well-known dizini\n location ~ \/.well-known\/acme-challenge {\n allow all;\n root \/usr\/local\/www\/example.com;\n }\n\n # Di\u011fer t\u00fcm HTTP isteklerini HTTPS'e y\u00f6nlendir\n return 301 https:\/\/$host$request_uri;\n}<\/code><\/pre>\n301<\/code> y\u00f6nlendirmesi kal\u0131c\u0131 bir y\u00f6nlendirmedir ve arama motorlar\u0131 taraf\u0131ndan tercih edilir.<\/p>\nHTTP Strict Transport Security (HSTS) Uygulamas\u0131<\/h4>\n
server<\/code> blo\u011funuza a\u015fa\u011f\u0131daki sat\u0131r\u0131 ekleyin:<\/p>\nadd_header Strict-Transport-Security \"max-age=63072000; includeSubDomains; preload\" always;<\/code><\/pre>\nmax-age<\/code>: Taray\u0131c\u0131n\u0131n bu kural\u0131 ne kadar s\u00fcreyle hat\u0131rlayaca\u011f\u0131n\u0131 saniye cinsinden belirtir (iki y\u0131l i\u00e7in 63072000 saniye).
\n* includeSubDomains<\/code>: Alt alan adlar\u0131 i\u00e7in de HSTS’in ge\u00e7erli olmas\u0131n\u0131 sa\u011flar.
\n* preload<\/code>: Alan ad\u0131n\u0131z\u0131 HSTS preload listesine eklemek isterseniz bu anahtar kelimeyi kullan\u0131rs\u0131n\u0131z. Dikkat:<\/strong> Preload listesine eklenmek geri al\u0131namaz bir i\u015flemdir ve sitenizin her zaman HTTPS \u00fczerinden eri\u015filebilir olmas\u0131n\u0131 gerektirir. E\u011fer sitenizde HTTPS’i kapatmay\u0131 d\u00fc\u015f\u00fcn\u00fcyorsan\u0131z bu se\u00e7ene\u011fi kullanmay\u0131n.<\/p>\nOCSP Stapling Etkinle\u015ftirme<\/h4>\n
server<\/code> blo\u011funuza a\u015fa\u011f\u0131daki sat\u0131rlar\u0131 ekleyin:<\/p>\nssl_stapling on;\nssl_stapling_verify on;\nssl_trusted_certificate \/usr\/local\/etc\/letsencrypt\/live\/example.com\/chain.pem;\nresolver 8.8.8.8 8.8.4.4 valid=300s; # G\u00fcvenilir DNS sunucular\u0131 kullan\u0131n (Google DNS \u00f6rne\u011fi)\nresolver_timeout 5s;<\/code><\/pre>\nssl_stapling on;<\/code>: OCSP stapling’i etkinle\u015ftirir.
\n* ssl_stapling_verify on;<\/code>: Sunucunun OCSP yan\u0131t\u0131n\u0131n ge\u00e7erlili\u011fini do\u011frulamas\u0131 gerekti\u011fini belirtir.
\n* ssl_trusted_certificate<\/code>: CA taraf\u0131ndan sa\u011flanan zincir sertifikas\u0131n\u0131n yolunu belirtir (chain.pem<\/code>).
\n* resolver<\/code>: Nginx’in OCSP sorgular\u0131 i\u00e7in kullanaca\u011f\u0131 DNS sunucular\u0131n\u0131 belirtir. G\u00fcvenilir ve h\u0131zl\u0131 DNS sunucular\u0131 kullanmak \u00f6nemlidir.<\/p>\nEk G\u00fcvenlik \u0130pu\u00e7lar\u0131<\/h3>\n
G\u00fc\u00e7l\u00fc \u015eifreleme Algoritmalar\u0131 ve TLS Protokolleri<\/h4>\n
server<\/code> blo\u011funuza a\u015fa\u011f\u0131daki ayarlar\u0131 ekleyebilir veya mevcutlar\u0131 g\u00fcncelleyebilirsiniz:<\/p>\nssl_protocols TLSv1.2 TLSv1.3;\nssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';\nssl_prefer_server_ciphers on;<\/code><\/pre>\nssl_protocols<\/code>: Yaln\u0131zca TLSv1.2 ve TLSv1.3’e izin verir.
\n* ssl_ciphers<\/code>: G\u00fc\u00e7l\u00fc ve g\u00fcvenli \u015fifreleme paketlerini listeler. Bu liste zamanla g\u00fcncellenebilir, en g\u00fcncel ve g\u00fcvenli listeler i\u00e7in SSL Labs gibi kaynaklar\u0131 kontrol edebilirsiniz.
\n* ssl_prefer_server_ciphers on;<\/code>: Sunucunun kendi \u015fifreleme paketi tercihini kullanmas\u0131n\u0131 sa\u011flar, b\u00f6ylece daha g\u00fcvenli olanlar tercih edilir.<\/p>\nsudo openssl dhparam -out \/usr\/local\/etc\/nginx\/dhparam.pem 4096<\/code><\/pre>\nssl_dhparam \/usr\/local\/etc\/nginx\/dhparam.pem;<\/code><\/pre>\nNginx G\u00fcvenlik Mod\u00fclleri (ModSecurity gibi)<\/h4>\n
Loglama ve \u0130zleme<\/h4>\n
\n* Eri\u015fim G\u00fcnl\u00fckleri:<\/strong> \/var\/log\/nginx\/access.log<\/code>
\n* Hata G\u00fcnl\u00fckleri:<\/strong> \/var\/log\/nginx\/error.log<\/code><\/p>\ngrep<\/code>, awk<\/code>, tail<\/code> gibi komut sat\u0131r\u0131 ara\u00e7lar\u0131n\u0131 veya ELK Stack (Elasticsearch, Logstash, Kibana) gibi daha geli\u015fmi\u015f \u00e7\u00f6z\u00fcmleri kullanabilirsiniz. Ayr\u0131ca, Fail2ban gibi ara\u00e7lar, tekrar eden ba\u015far\u0131s\u0131z giri\u015f denemelerini veya \u015f\u00fcpheli IP adreslerini otomatik olarak engelleyerek sunucunuzu koruyabilir.<\/p>\nD\u00fczenli G\u00fcncellemeler<\/h4>\n
sudo pkg update\nsudo pkg upgrade -y<\/code><\/pre>\nSorun Giderme<\/h3>\n
\n * sudo nginx -t<\/code> komutuyla yap\u0131land\u0131rma dosyas\u0131ndaki s\u00f6zdizimi hatalar\u0131n\u0131 kontrol edin.
\n * sudo service nginx status<\/code> komutuyla Nginx servisinin durumunu kontrol edin.
\n * Nginx hata g\u00fcnl\u00fcklerini (\/var\/log\/nginx\/error.log<\/code>) inceleyin.
\n* Web Sitesine HTTP veya HTTPS \u00dczerinden Eri\u015filemiyor:<\/strong>
\n * G\u00fcvenlik duvar\u0131n\u0131z\u0131n (PF\/IPFW) 80 ve 443 numaral\u0131 portlara izin verdi\u011finden emin olun.
\n * DNS kay\u0131tlar\u0131n\u0131z\u0131n do\u011fru IP adresine y\u00f6nlendirildi\u011fini kontrol edin.
\n * Nginx server_name<\/code> direktifindeki alan adlar\u0131n\u0131n do\u011fru oldu\u011fundan emin olun.
\n* Certbot Sertifika Alam\u0131yor (Do\u011frulama Hatas\u0131):<\/strong>
\n * Alan ad\u0131n\u0131z\u0131n A\/AAAA kay\u0131tlar\u0131n\u0131n sunucunuzun genel IP adresini g\u00f6sterdi\u011finden emin olun.
\n * Nginx’in 80 numaral\u0131 porttan eri\u015filebilir oldu\u011fundan ve \/.well-known\/acme-challenge<\/code> dizinine gelen istekleri do\u011fru \u015fekilde i\u015fledi\u011finden emin olun.
\n * Certbot’un loglar\u0131n\u0131 (\/var\/log\/letsencrypt\/<\/code>) kontrol edin.
\n * --webroot -w<\/code> parametresinde belirtilen dizinin do\u011fru oldu\u011fundan ve Nginx’in bu dizine yazma izni oldu\u011fundan emin olun.
\n* Sertifika S\u00fcresi Doluyor:<\/strong>
\n * Cron job’unuzun do\u011fru \u015fekilde \u00e7al\u0131\u015ft\u0131\u011f\u0131ndan ve certbot renew<\/code> komutunun Nginx’i yeniden y\u00fckledi\u011finden emin olun.
\n * sudo certbot renew --dry-run<\/code> komutuyla manuel olarak yenilemeyi test edin.
\n* Taray\u0131c\u0131da G\u00fcvenlik Uyar\u0131s\u0131:<\/strong>
\n * Sertifika zincirinin do\u011fru oldu\u011fundan emin olun (fullchain.pem<\/code> kullan\u0131ld\u0131\u011f\u0131ndan).
\n * Taray\u0131c\u0131n\u0131z\u0131n \u00f6nbelle\u011fini temizleyip tekrar deneyin.
\n * SSL Labs SSL Testi gibi online ara\u00e7larla sitenizin SSL yap\u0131land\u0131rmas\u0131n\u0131 kontrol edin. Bu test, zay\u0131f \u015fifrelemeler, eksik sertifika zincirleri veya di\u011fer yap\u0131land\u0131rma sorunlar\u0131n\u0131 tespit etmenize yard\u0131mc\u0131 olacakt\u0131r.<\/p>\nSonu\u00e7<\/h3>\n