Güvenlik Duvarı
Ağınıza yalnız izin verdiğiniz trafik girsin, gerisi kapıdan dönsün
Bulut ağınızın sınırındaki güvenlik duvarı her ortamla birlikte gelir ve her şeyi reddederek başlar. Hangi kapının kime açılacağını portaldan siz belirler, kimin neyi değiştirdiğini aynı yerden görürsünüz.
Neden şimdi
- Gece 02:00'de uzak masaüstü portuna yurt dışından binlerce parola denemesi geliyor ve sunucunun kayıtları doluyor. Bu kapı yalnız ofisin adresine ve tünele açık olmalıydı.
- Bir yönetim paneli 'geçici olarak' internete açıldı ve aylardır öyle duruyor. Kimin açtığını kimse hatırlamıyor; kural tablosunda açıklama da yok.
- Hizmetinizin bütün kullanıcıları Türkiye'de, ama giriş sayfanıza gelen denemelerin çoğu başka ülkelerden. Ülke IP listelerini elle toplayıp güncel tutmak bir ekibin yarım gününü alıyor.
- İç denetçi, internete açık her port için gerekçe ve değişiklik geçmişi istiyor. Kurallar bir yerde, NAT başka yerde, tünel ayarları üçüncü bir panelde duruyor.
- Muhasebe sunucusu buluta taşınıyor ve ona yalnız ofisten erişilmesi gerekiyor. Ofis ile bulut arasında, internetten ayrı kurallı bir yol arıyorsunuz.
Neler değişir
| Bugün | Nesnet ile |
|---|---|
| Sunucunun açık bir portu sizden önce tarayıcılar tarafından bulunur. | Ağ geçidi her şeyi reddederek başlar; yalnız açtığınız port, yalnız izin verdiğiniz kaynağa yanıt verir. |
| Ülke IP listeleri elle toplanır ve birkaç ayda eskir. | Nesnet ülke gruplarını her hafta günceller; kuralınız güncel listeyle kendiliğinden çalışır. |
| Bir portun neden ve kim tarafından açıldığı bilinmez. | Her değişiklik denetim kaydında kullanıcı adıyla görünür, her kuralın açıklaması tabloda durur. |
| Güvenlik duvarı, NAT ve tünel ayrı cihazlarda ve ayrı panellerde yönetilir. | Kurallar, NAT, şifreli tüneller ve yük dengeleyici adresleri aynı ağ geçidinde, tek tabloda durur. |
| Sınır cihazının yaması, yedeği ve donanım arızası ekibinizin işidir. | Ağ geçidi etkin/yedek çalışır ve platformu Nesnet işletir; siz yalnız kurallarınızı yönetirsiniz. |
Bugünden canlıya: nasıl işler
- 1
Keşif görüşmesi
Hangi sunucuların internete açık olacağını, ofisin nasıl bağlanacağını ve hangi ülkelerden erişim beklendiğini Nesnet ekibiyle konuşursunuz. Görüşmenin sonunda kural planının iskeleti ve fiyatı belirleyen kalemler bellidir.
- 2
Ağ geçidiniz hazır gelir
Ortamınız açıldığında ağ geçidinizin güvenlik duvarı her şeyi reddeden kuralla hazırdır. Ayrı bir cihaz siparişi ya da kurulum beklemezsiniz.
- 3
Gruplar ve servis profilleri
Ofis adreslerini, sunucu gruplarını ve uygulama portlarını adlarıyla tanımlarsınız. Kurallar sonradan bu adlarla okunur.
- 4
Kurallar, yayınlar ve tünel
Kuralları yazar, sıralar, gerekenlerde kayıt açarsınız. Dışarıya açılacak sunucular port yayınlama akışıyla, ofis bağlantısı aynı ağ geçidindeki tünelle kurulur.
- 5
Canlıda izleme
Yayına çıktıktan sonra kayıtlarda engellenen ve izin verilen trafiği izlersiniz. Gereksiz kalan izinler kaldırılır, ülke grupları her hafta kendiliğinden güncellenir.
Neler alırsınız
Her şeyi reddederek başlayan sınır
Ağ geçidinin güvenlik duvarı her şeyi reddeden kuralla teslim edilir; siz bir kapı açmadıkça internetten hiçbir bağlantı sunucularınıza ulaşmaz. Yeni bir sunucu açıldığı anda dünyaya görünür olmaz, ancak yazdığınız kuralla yayına çıkar.
İzin verin, sessizce düşürün ya da reddedin
Her kural trafiğe izin verir, onu sessizce düşürür ya da reddeder. Düşürmek tarama yapan bir adrese hiçbir yanıt vermez; reddetmek ise kendi kullanıcınıza bağlantının kabul edilmediğini hemen bildirir ve uygulamanın boşuna beklemesini önler.
Gelen ve giden trafiği ayrı yönetin
Kural gelen, giden ya da iki yönlü trafiğe uygulanır ve IPv4, IPv6 ya da ikisi için yazılır. Bir sunucunun internete yalnız güncelleme sunucularına çıkmasına izin verip başka her yere giden bağlantıyı kesebilir, ele geçirilmiş bir sunucunun dışarıyla konuşmasını zorlaştırırsınız.
Bir kez yazın, grup büyüsün
Kaynak ve hedef olarak tek IP, CIDR bloğu, IP aralığı ya da bir güvenlik duvarı grubu verilir. Ofis adresleri ya da web sunucuları bir grupta toplandığında, gruba eklenen yeni adres için kuralı yeniden yazmanız gerekmez.
Port numarası aramadan kural yazın
Sistemde 415 hazır uygulama port profili bulunur; uzak masaüstü, veritabanı ya da e-posta gibi yaygın servisleri adıyla seçersiniz. Yetmediğinde kural başına en fazla 15 satır protokol ve port aralığıyla kendi profilinizi tanımlarsınız.
Uygulamaya göre eşleşen kurallar
Ağ geçidi güvenlik duvarı katman 3'ten katman 7'ye kadar denetim yapar. Bağlam profiliyle kural, yalnız port numarasına değil trafiği üreten uygulamaya göre de eşleşir; standart dışı bir portta çalışan bir servis, port değiştirerek kuralın etrafından dolaşamaz.
Sunucuyu tek portla yayına alın
Port yayınlama akışı dış adres ile iç sunucu arasındaki hedef NAT (DNAT) kuralını ve ona eşlik eden izin kuralını birlikte açar. Yayını kaldırdığınızda iki kural birlikte silinir; arkada unutulmuş bir izin kalmaz.
İnternete tek ve bilinen adresten çıkın
Kaynak NAT (SNAT) ile sunucularınız internete kurumunuzun genel IP adresinden çıkar; bir iş ortağının sizi izin listesine eklemesi için tek adres vermeniz yeter. Tünelden geçen trafik için NAT'ı atlayan kurallar (NO_SNAT, NO_DNAT) yazılır, öncelik ve kayıt kural başına ayarlanır.
Belirli ülkelere kapıyı kapatın
Nesnet'in haftalık güncellediği ülke grupları kuralın kaynağı olarak kullanılır. Yönetim ekranını Türkiye dışına kapatmak ya da yalnız iş yaptığınız ülkelerden gelen trafiğe izin vermek tek bir kuralla yapılır; IP listesini sizin taşımanız gerekmez.
Bozuk veri gelse de kural gevşemez
Ülke verisinin haftalık güncellemesinde eksik ya da hatalı dosya gelirse güncelleme durur ve mevcut gruplar olduğu gibi kalır. Bu gruplara dayanan engelleme kurallarınız, boşalan bir grup yüzünden bir sabah kendiliğinden açılmaz.
Ofis tüneli aynı ağ geçidinde
Ofisinizle bulut arasındaki IPsec tüneli aynı ağ geçidinde kurulur; varsayılan şifreleme ayarları güçlü ve günceldir, karşı uç farklı bir ayar istiyorsa özel profil seçilir. Tünel için ayrı bir sanal cihaz açmanız ya da ayrı bir panel öğrenmeniz gerekmez.
Tünele internetten ayrı kural
Tünelden gelen ofis ağı kurallarda ayrı bir kaynak olarak tanımlanır. Muhasebe sunucusuna yalnız ofisten, web sunucusuna herkesten erişim gibi ayrımlar aynı tabloda, birbirine karışmadan yazılır.
Engellenen trafiği portalda görün
Kayıt her kural için ayrı açılır ve her kurala benzersiz bir kayıt kimliği verilir. Güvenlik duvarı, SNAT ve DNAT kayıtları portalda listelenir, yenilenir ve CSV olarak dışa aktarılır; bir kuralın çalışıp çalışmadığını tahmin etmezsiniz.
Kimin neyi değiştirdiğini bilin
Her kural değişikliği denetim kaydında, değişikliği yapan kullanıcının adıyla görünür. Bir portun ne zaman ve kim tarafından açıldığı aylar sonra da bulunur; iç denetimde gerekçe sorusu kayıtla cevaplanır.
Kural tablosunu okunur tutun
Yeni kuralı mevcut bir kuralın üstüne ya da altına yerleştirerek sırayı belirler, her kurala açıklama eklersiniz. Yıllar içinde büyüyen tablo, kuralların ne için yazıldığını kendisi anlatır ve yeni gelen bir ağ uzmanı onu baştan çözmek zorunda kalmaz.
Bant genişliğine sınır koyun
Ağ geçidine giren ve çıkan trafiğe hız sınırı profili uygulanabilir. Büyük bir yedek aktarımı ya da test ortamı, aynı bağlantıyı paylaşan canlı hizmetinizin trafiğini boğmaz.
Arızada yedeği devreye giren ağ geçidi
Ağ geçidi biri etkin, biri yedek iki düğüm olarak kurulur; etkin düğüm arızalandığında yedeği aynı kurallarla devralır. Kurallarınız iki tarafta da aynıdır, arızadan sonra yeniden yazılmaz ve sunucularınızın internet bağlantısı aynı ağ geçidi üzerinden sürer.
Küçük ağ servisleri de aynı yerde
Statik rota, DHCP ve koşullu bölgeleri de yönlendirebilen DNS yönlendirici güvenlik duvarıyla aynı ağ geçidinde çalışır. Küçük bir ortamda bu servisler için ayrı bir ağ sunucusu kurup yamalamanız gerekmez.
Alıştığınız markayla devam edin
Kurumsal politikanız belirli bir üreticinin güvenlik duvarını şart koşuyorsa, ortamınızın sınırında ağ geçidi yerine o üreticinin sanal cihazı çalışır. Güvenlik ekibiniz alıştığı arayüz ve politika diliyle devam eder.
Neden Nesnet
Ülke grupları Nesnet'in kendi aracıyla güncel
Nesnet, 250 ülkenin IP gruplarını kendi yazdığı bir araçla, yaygın kullanılan bir coğrafi IP veritabanından her hafta günceller. Ülke listelerini toplamak, saymak ve yenilemek ekibinizin gündeminden çıkar.
Bozuk veri kapıyı açmaz
Güncelleme sırasında eksik ya da bozuk veri gelirse araç durur ve mevcut gruplara dokunmaz; yazılan grup geri okunarak doğrulanır. Ülke kuralına dayanan bir yönetim ekranı, hatalı bir dosya yüzünden dünyaya açılmaz.
Sınırdaki her şey tek tabloda
Güvenlik duvarı kuralları, NAT, şifreli tüneller, yük dengeleyici adresleri ve statik rotalar aynı ağ geçidinde durur ve aynı ekip tarafından işletilir. Bir portun neden açık olduğunu anlamak için üç ayrı panele bakmazsınız.
Ağ geçidi her ortamla birlikte gelir
Nesnet bulutunda açılan her ortamın ağ geçidinde güvenlik duvarı ve NAT hazırdır. Cihaz siparişi ya da kurulum projesi beklemeden ilk kuralınızı yazarsınız.
Kendi ağı, kendi IPv6'sı, Türkiye'de
Nesnet internete kendi AS numarasıyla (AS216146) ve iki ayrı üst operatör üzerinden bağlanır; trafiğiniz ve kayıtlarınız Equinix İstanbul (Dudullu) ve Türk Telekom Ankara veri merkezlerinde kalır. Kurallar IPv4, IPv6 ya da ikisi için yazılır.
Örnek senaryolar
Uzak masaüstü kapısını internete kapatan şirket
Durum
Bir şirketin Windows sunucusunda uzak masaüstü portu internete açık. Sunucu kayıtlarında her gece yurt dışından binlerce parola denemesi görülüyor.
Sonuç
Ofis ile bulut arasında IPsec tüneli kuruluyor ve uzak masaüstü kuralı yalnız tünelden gelen ofis ağına izin verecek şekilde yeniden yazılıyor. İnternetten gelen denemeler sınırda düşürülüyor ve sunucunun kayıtlarına bile ulaşmıyor.
Yönetim panelini Türkiye dışına kapatan hizmet
Durum
Bir yazılım şirketinin müşteri yönetim paneli internetten erişilebilir. Kullanıcıların tamamı Türkiye'de, ama giriş denemelerinin çoğu başka ülkelerden geliyor.
Sonuç
Panel portuna, Türkiye dışındaki ülke gruplarını kaynak alan bir engelleme kuralı ekleniyor. Gruplar haftalık güncellendiği için kural elle bakım istemiyor; engellenen denemeler kural kayıtlarında görülüyor.
Yeni web sunucusunu tek portla yayınlayan ekip
Durum
Bir ekip yeni bir web sunucusunu internete açmak istiyor, ama sunucunun yönetim ve veritabanı portlarının dışarıdan görünmesini istemiyor.
Sonuç
Port yayınlama akışı yalnız HTTPS portu için DNAT ve izin kuralını birlikte açıyor; diğer her şey varsayılan ret kuralında kalıyor. Sunucu emekliye ayrıldığında iki kural birlikte siliniyor.
İç denetime kayıtla giren BT ekibi
Durum
Bir kurumun iç denetimi, internete açık her port için gerekçe ve son altı ayın değişiklik geçmişini istiyor.
Sonuç
Kural açıklamaları gerekçeyi, denetim kaydı kimin neyi ne zaman değiştirdiğini gösteriyor. Güvenlik duvarı ve NAT kayıtları CSV olarak denetim dosyasına ekleniyor; ekip haftalarca e-posta arşivi taramıyor.
Kendi marka politikasıyla buluta geçen kurum
Durum
Bir kurumun güvenlik politikası tüm sınır cihazlarının aynı üreticiden olmasını istiyor ve buluta geçiş bu şart yüzünden bekliyor.
Sonuç
Ortamın sınırında ağ geçidi yerine kurumun kullandığı üreticinin sanal cihazı çalışıyor. Güvenlik ekibi alıştığı arayüzle devam ediyor, geçiş politikayı değiştirmeden ilerliyor.
Kim neyi yapar
| Nesnet | Siz |
|---|---|
| Ağ geçitlerini ve güvenlik duvarı platformunu kurar, günceller ve etkin/yedek ayakta tutar. | Hangi kapının kime açılacağına karar verir, kuralları portaldan yazar ve sıralarsınız. |
| Ağ geçidini her şeyi reddeden kuralla teslim eder. | Kayıt tutulacak kuralları seçer, kayıtları ve denetim izini düzenli gözden geçirirsiniz. |
| Ülke gruplarını her hafta günceller, bozuk veri geldiğinde güncellemeyi durdurur. | Kullanılmayan kuralları ve yayınları kaldırırsınız. |
| İnternet bağlantısını, genel IP adreslerini ve IPv6 adres bloğunu işletir. | Ekip üyelerinize portal rolü verir, kural değiştirme yetkisini yalnız gerekenlere açarsınız. |
Kimler için
İnternete açık sunucusu olan ekipler
Web sitesi, uygulama ya da API'yi internete açan ve her portu bilerek açmak isteyen ekipler. Güvenlik duvarı her ortamın ağ geçidinde hazır geldiği için ayrı bir cihaz kurmanız ya da yamalamanız gerekmez.
Uzak masaüstü ve yönetim ekranı kullanan şirketler
Uzak masaüstü (RDP), SSH ya da yönetim paneline yalnız ofisten ve belirli adreslerden erişilmesini isteyen şirketler. Bu kapılar internete hiç açılmaz, yalnız tünelden ya da izinli adresten gelen bağlantıya yanıt verir.
Kullanıcıları Türkiye'de olan hizmetler
Müşterileri ve çalışanları Türkiye'de olan, yurt dışından gelen yoğun giriş denemelerini sınırda kesmek isteyen kurumlar. Ülke grupları kuralın kaynağı olur ve Nesnet bu grupları her hafta günceller.
Ofisini ve şubelerini buluta bağlayan şirketler
Ofis ya da şube ağlarını şifreli tünelle buluta bağlayan şirketler. Tünelden gelen trafik internetten gelenle aynı tabloda ama ayrı kurallarla yönetilir.
Denetime hazırlanan BT ekipleri
İç denetimde 'bu port neden açık, kim açtı?' sorusuna kayıtla cevap vermesi gereken ekipler. Her değişiklik denetim kaydında kullanıcı adıyla, her kural açıklamasıyla durur.
Uygun olmayabilir
Sunucularınız arasındaki iç trafiği kısıtlamak istiyorsanız sınırdaki güvenlik duvarı tek başına yetmez. Bunun için kuralı her sanal makinenin ağ kartında uygulayan Mikro-segmentasyon doğru seçimdir.
Trafiğin içeriğinde saldırı imzası aramak istiyorsanız bu sayfa yetmez; güvenlik duvarının yanında çalışan Saldırı Tespit ve Önleme ürününe bakın.
Altyapının içi
Güvenlik duvarı, sanal veri merkezinizin edge ağ geçidinde çalışan, katman 3–7 arası denetim yapabilen bir ağ geçidi güvenlik duvarıdır. Edge, size ayrılmış bir ağ geçidi olarak etkin/yedek çalışır; internete çıkış katmanı da yedeklidir. Kuralları portaldan oluşturur, değiştirir ve silersiniz; her değişiklik bir görev olarak işlenir ve görev tamamlandığında devrededir. Servis tanımlarında sistemde hazır 415 uygulama port profili bulunur. Kayıt sağlayıcısı bağlı olduğunda kural kayıtları portalda görünür. Nesnet bu yapıya kendi araçlarını ekler: coğrafi IP veritabanından ülke gruplarını haftalık güncelleyen senkron aracı ve port yayınlamada DNAT ile izin kuralını birlikte açıp birlikte kaldıran akış.
Yapı taşları
- Kuruma özel edge ağ geçidi
- ağ geçidi güvenlik duvarı, NAT ve IPsec
- Bulut portalı ve API
- kuralların yazıldığı ekran, kayıt görünümü ve denetim kaydı
- Nesnet ülke grubu aracı
- 250 ülkenin IP bloklarını coğrafi IP veritabanından ülke gruplarına yazar
- Sanal güvenlik duvarı cihazları
- belirli bir marka gerektiğinde edge'in yerine geçen, yaygın güvenlik duvarı markalarının sanal sürümleri
Diğer seçeneklerle karşılaştırma
| Seçenek | Ne zaman doğru seçim |
|---|---|
| Sanal güvenlik duvarı cihazı (yaygın güvenlik duvarı markalarının sanal sürümleri) | Kurumsal politikanız belirli bir üreticiyi şart koşuyorsa ya da ekibiniz o üreticinin yönetim araçlarıyla çalışıyorsa bu seçenek doğrudur. Cihaz ortamınızın sınırında edge'in yerini alır; işletmesi ve politikası cihazın kendi arayüzünden yürür. |
| Mikro-segmentasyon | Asıl ihtiyacınız sunucular arasındaki trafiği sınırlamaksa edge kuralları bunu çözmez. Mikro-segmentasyon kuralı her sanal makinenin ağ kartında uygular ve sınırdaki güvenlik duvarını tamamlar. |
| Saldırı Tespit ve Önleme | Port, adres ve uygulama kurallarının ötesinde, trafiğin içeriğinde saldırı imzası aramak istiyorsanız Saldırı Tespit ve Önleme sayfasına bakın. Bu, güvenlik duvarının yerine geçmez, onun yanında çalışır. |
Teknik özellikler
| Çalıştığı yer | Müşterinin edge ağ geçidi |
|---|---|
| Eylem | İzin ver, düşür, reddet |
| Yön | Gelen, giden, iki yön (varsayılan iki yön) |
| IP sürümü | IPv4, IPv6 ya da ikisi |
| Kaynak / hedef | Tek IP, CIDR, aralık, IP kümesi, güvenlik grubu |
| Servis profilleri | 415 hazır profil + TCP/UDP/ICMPv4 özel profil |
| Kayıt ve sıra | Kural başına kayıt; üstüne/altına yerleştirme |
| Değişikliğin işlenmesi | Görev olarak; tamamlandığında devrede |
| Denetim kaydı | Değişiklik kullanıcı adıyla |
| Uygulama bağlamı | Bağlam profili; kural başına 15 satıra kadar port-protokol |
| Denetim katmanı | Katman 3–7 |
| Portal kayıt görünümü | Güvenlik duvarı kayıtları, CSV dışa aktarma |
| NAT kayıtları | Portalda |
| NAT türleri | SNAT, DNAT, NO_SNAT, NO_DNAT; port eşleme |
|---|---|
| IPsec varsayılanları | IKEv2, DH 14, SHA2-256, AES-128; tünelde AES-GCM-128, PFS açık, DPD 60 sn |
| Diğer edge servisleri | Statik rota, DHCP, DNS yönlendirici |
| Veri kaynağı | Coğrafi IP veritabanı, Nesnet aracıyla |
|---|---|
| Kapsam | 250 ülke |
| Güncelleme | Haftalık; bozuk veride güncelleme durur, gruplar korunur |
| Edge | Etkin/yedek edge ağ geçidi |
|---|---|
| İnternet çıkış katmanı | Yedekli |
| Hız sınırı | Giriş ve çıkışa profil |
| İnternet bağlantısı | AS216146, iki ayrı üst operatör |
| Veri merkezleri | Equinix İstanbul (Dudullu) ve Türk Telekom Ankara |
Bir şey bozulursa
Edge ağ geçidinin etkin tarafı arızalanırsa
Edge ağ geçidi etkin/yedek çalışır; etkin taraf düşerse yedek taraf devralır ve edge çalışmaya devam eder.
Ülke verisi bozuk gelirse
Haftalık güncellemede eksik ya da hatalı veri gelirse güncelleme durur ve mevcut ülke grupları olduğu gibi kalır. Bu gruplara dayanan kurallarınız boşalan bir grup yüzünden gevşemez.
Hatalı bir kural yazılırsa
Denetim kaydı hangi kuralın kim tarafından ve ne zaman değiştirildiğini, kural kayıtları da o kuralın hangi trafiği etkilediğini gösterir. Sorunun kaynağı bulunur ve kural portaldan düzeltilir.
Sık sorulan sorular
Fiyatlandırma ve ilk adım
Fiyatlandırma
Ağ geçidi ve güvenlik duvarı aylık faturalanır; belirli bir markanın sanal cihazını seçerseniz o cihaz ayrı bir kalem olarak görünür. Fiyatı kullandığınız kaynaklar ve seçtiğiniz kalemler belirler; teklifinizi Nesnet ekibi hazırlar.
Fiyatı belirleyenler
- Edge yerine sanal güvenlik duvarı cihazı seçilip seçilmediği ve hangi cihazın seçildiği
- İnternete çıkan trafik miktarı (GB)
- Korunan sanal sunucuların sayısı ve boyutu
Nasıl başlarsınız
- 1.İnternete açılacak sunucularınızı formla ya da 0800 606 1071'i arayarak anlatın.
- 2.Kural planının iskeleti ve fiyat bir görüşmede netleşir.
- 3.Ortamınız açılır, ağ geçidiniz her şeyi reddederek hazır gelir; ilk kuralınızı portaldan yazarsınız.
Sınırınızı bilerek açın
Hangi sunucuların dışarıya açılacağını, ofisinizin nasıl bağlanacağını ve kimlerin erişmesi gerektiğini Nesnet ekibine anlatın; aynı iş günü içinde dönüş yapılır. Ağ geçidiniz kapalı başlar, kapıyı yalnız yazdığınız kural açar.