CSF FIREWALL TEKNİK REHBERİ

CSF Firewall Yapılandırması: WHM, SSH ve cPanel Portlarını Güvenle Açma

ConfigServer Security & Firewall, cPanel sunucularında iptables kurallarını WHM üzerinden yönetmeyi kolaylaştırır. Ancak CSF’yi yalnız kapatıp açmak kalıcı çözüm değildir. Doğru teşhis; servisin portu dinleyip dinlemediğini, CSF kuralının paketi kabul edip etmediğini, LFD’nin IP’yi engelleyip engellemediğini ve sağlayıcı ağ güvenlik duvarını ayrı ayrı kontrol etmektir.

Çözüm adımlarına geç Tüm rehberler

CSF_DIAGNOSE.sh

→ Port gerçekten dinleniyor mu?
→ CSF etkin mi, TESTING kapalı mı?
→ IP allow/deny listesinde mi?
→ TCP_IN ve TCP6_IN doğru mu?
→ Harici ağ güvenlik duvarı açık mı?

2087/TCPWHM güvenli yönetim portu

22/TCPVarsayılan SSH portu

TCP_INSunucuya gelen izinli TCP portları

LFDGiriş ve süreç davranışını izleyen servis

TEŞHİS

Belirtileri doğru katmana ayırın

Aynı hata ekranı farklı servislerden kaynaklanabilir. Önce bağlantı, servis, güvenlik duvarı ve kimlik doğrulama katmanlarını birbirinden ayırın.

Connection timed out

Paket sunucuya ulaşmıyor veya firewall tarafından sessizce düşürülüyor olabilir.

Connection refused

IP erişilebilir fakat hedef portta dinleyen servis yoktur ya da aktif ret uygulanır.

CSF kapatılınca erişim geliyor

Sorun servis değil, CSF/LFD kuralı veya allow/deny sıralamasıdır.

Lokal test başarılı, dışarıdan başarısız

Sunucu içindeki servis çalışıyor; CSF, sağlayıcı firewall veya yönlendirme katmanı incelenmelidir.

KÖK NEDEN

En olası nedenleri risk sırasıyla inceleyin

Koruma sistemini tamamen kapatmak yerine hangi kuralın erişimi kestiğini kanıtlayın ve yalnız gerekli kapsamda değişiklik yapın.

Yüksek

Özel SSH portu TCP_IN içinde değil

sshd yeni portu dinlese bile CSF gelen paketi kabul etmez ve istemci zaman aşımına düşer.

Yüksek

IP deny listesinde veya geçici blokta

csf.deny, tempban ya da LFD tetikleyicisi yöneticinin IP adresini engelleyebilir.

Orta

TESTING veya CSF durumu yanlış yorumlanıyor

TESTING açıkken kurallar periyodik temizlenebilir; CSF tamamen kapalıyken koruma uygulanmaz.

Orta

Sağlayıcı güvenlik duvarı portu kapalı

Sunucu içindeki CSF doğru olsa bile veri merkezi veya bulut firewall kuralı trafiği engelleyebilir.

GÜVENLİ ÇÖZÜM AKIŞI

Adımları sırayla ve geri döndürülebilir biçimde uygulayın

Her değişiklikten önce mevcut yapılandırmayı yedekleyin, sözdizimini doğrulayın ve ikinci bir yönetim oturumunu açık tutun.

Konsol erişimini hazır tutun

KVM, VNC veya sağlayıcı web konsolu olmadan firewall değişikliğine başlamayın.

Dinleyen portları doğrulayın

ss ile 2087 ve SSH portunun LISTEN durumunu, süreç adını ve bağlandığı IP’yi kontrol edin.

Mevcut CSF yapılandırmasını yedekleyin

/etc/csf/csf.conf ile allow ve deny listelerinin zaman damgalı kopyasını alın.

Yönetici IP’sini dar kapsamla izinli yapın

Sabit IP kullanıyorsanız yalnız /32 adresinizi csf.allow içine ekleyin; tüm internete yönetim portu açmayın.

TCP_IN ve IPv6 kurallarını eşleştirin

Kullandığınız WHM ve SSH portlarını TCP_IN içinde, IPv6 aktifse TCP6_IN içinde doğrulayın.

CSF’yi yeniden yükleyip dışarıdan test edin

csf -r sonrası ikinci bağlantıdan test edin; mevcut çalışan oturumu doğrulama tamamlanana kadar kapatmayın.

KOMUTLAR

Komutları root yetkisiyle ve kendi değerlerinize göre çalıştırın

Örnek IP, port ve dosya yollarını sunucunuza göre değiştirin. Çıktıyı görmeden sonraki adıma geçmeyin.

Port ve servis kontrolü

ss -lntp | grep -E ':(22|2087|3458)[[:space:]]'
systemctl status sshd --no-pager -l
systemctl status cpanel --no-pager -l

CSF durum ve kural araması

csf -v
csf -g 203.0.113.10
csf -g 3458
grep -E '^(TESTING|TCP_IN|TCP6_IN|TCP_OUT)' /etc/csf/csf.conf

Yönetici IP’sini izinli yapma

csf -a 203.0.113.10 'Eka yonetici IP'
csf -r
csf -g 203.0.113.10

Yapılandırma yedeği

TARIH=$(date +%F-%H%M%S)
cp -a /etc/csf/csf.conf /etc/csf/csf.conf.$TARIH
cp -a /etc/csf/csf.allow /etc/csf/csf.allow.$TARIH
cp -a /etc/csf/csf.deny /etc/csf/csf.deny.$TARIH

Erişim kaybı riski

Firewall, SSH veya giriş korumasında yanlış bir kural sunucuyu uzaktan erişilemez hâle getirebilir. KVM, VNC veya sağlayıcı konsolu hazır olmadan yönetim portlarını kapatmayın.

SIK SORULAN SORULAR

Kritik karar noktaları

CSF’yi tamamen kapatmak doğru çözüm mü?

Hayır. CSF kapatıldığında erişimin gelmesi yalnız engelin firewall katmanında olduğunu kanıtlar. Kalıcı çözüm doğru portu ve yönetici IP’sini en dar kapsamla izinli hâle getirmektir.

TCP_IN içine 2087 eklemek yeterli mi?

Yalnız cpsrvd gerçekten 2087 portunu dinliyorsa ve üst ağ firewall’u da izin veriyorsa yeterlidir. Önce ss ve lokal curl testi yapılmalıdır.

Quick Allow IP ne yapar?

Belirtilen IP adresini csf.allow listesine ekleyerek CSF kurallarında izinli hâle getirir. Dinamik IP kullanıyorsanız eski kayıtları düzenli temizlemelisiniz.

CSF ile firewalld birlikte çalışır mı?

cPanel belgeleri CSF’nin firewalld ile birlikte kullanılmaması gerektiğini belirtir. Aynı sunucuda iki firewall yöneticisinin paralel kural üretmesi beklenmeyen erişim sorunlarına yol açabilir.

RESMÎ KAYNAKLAR

Güncel cPanel belgeleriyle doğrulayın

ConfigServer Security & Firewall Kurulumu

cPanel tarafından sürdürülen CSF paketi, TESTING ayarı ve kurulum gereksinimleri.

cPanel Servisleri İçin Firewall Portları

WHM 2087, cPanel 2083, Webmail 2096 ve diğer servis portlarının resmî listesi.

SSH Güvenliği

Özel SSH portu, sshd_config doğrulaması ve firewall güncelleme gereksinimi.

Host Access Control

WHM, SSH ve diğer servislerde kaynak IP tabanlı erişim kuralları.

cPanel Servislerini Yeniden Başlatma

cpsrvd ve diğer servisler için desteklenen restartsrv komutları.

İLGİLİ REHBERLER

Sonraki doğru adıma geçin

cPHulk IP Engeli ve Whitelist YönetimiWHM 2087 Açılmıyor: cpsrvd ve Firewall TeşhisiSSH Connection Timed Out ÇözümücPanel EA4/YUM Güncelleme Hatası

EKA SUNUCU TEKNİK BİLGİ MERKEZİ

Önce erişimi koruyun, sonra güvenliği sıkılaştırın.

Sunucu güvenliğinde doğru yöntem korumayı kapatmak değil; kuralı, servisi ve ağı ölçerek en dar kapsamlı düzeltmeyi uygulamaktır.

Teknik destek

Özel Sunucu Hizmetleri

Standart Sunucular