VPS Setup Guide 3‘te alan adının DNS’ini Cloudflare’e taşımıştık. Bu dördüncü bölümde sunucuyu gerçekten değiştirmeye başlıyoruz: snapshot aldım, güncellemeleri kurdum, şifreyle girişi kapattım, güvenlik duvarını açtım, Coolify‘ı kurdum ve Coolify’a yalnızca Cloudflare üzerinden, yalnızca kendi IP’mden ulaşılabilmesini sağladım.
Komutların tamamı, güvenlik duvarı tablosu ve ekran görüntüleri aşağıdaki PDF’te. Komutları kopyalarken PDF’i kullanın; burada her adımın ne işe yaradığını anlatıyorum.
PDF içeriğine geçBir benzetme: resepsiyonlu bir bina
Sunucuyu bir ofis binası gibi düşünün. Cloudflare ön kapıdaki resepsiyon: kim gelirse önce oradan geçiyor ve Coolify katına yalnızca listedeki kişi çıkabiliyor. Ama binanın bir de arka kapısı var: sunucunun IP adresi. O kapı açıksa resepsiyonun hiçbir anlamı kalmaz. Bu bölümün asıl işi, ön kapıya resepsiyonu koymak ve arka kapıyı kilitlemek.
Adım 1: Snapshot alın
Sunucuda bir şey değiştirmeden önce hPanel’de Snapshots & Backups altından New snapshot alın. Hiçbir şey kapanmıyor. Yalnız Expiration date‘e bakın: benim snapshot’ım ertesi gün siliniyordu. Yani çalışırken sizi korur, gerçek yedeğin yerini tutmaz.
Adım 2: Güncellemeler ve fail2ban
Bölüm 2’deki kontrolde 6 güncelleme bekliyordu, fail2ban yoktu ve saat dilimi UTC’ydi. Üçünü de burada düzeltiyoruz: apt full-upgrade, SSH’yi deneme yanılma saldırılarına karşı koruyan fail2ban ve doğru saat dilimi. Güncelleme yeniden başlatma isterse sunucuyu yeniden başlatın ve systemctl --failed ile hiçbir servisin çökmediğini kontrol edin.
Adım 3: Girişi güvenli hâle getirin
Her şeyi root olarak yapmak yerine şifresi olmayan, yalnızca SSH anahtarınızla girilebilen kişisel bir kullanıcı oluşturuyoruz. Sonra şifreyle girişi kapatıyoruz. Coolify kendi sunucusuna root olarak anahtarla bağlandığı için root’u tamamen kapatmıyoruz; PermitRootLogin prohibit-password ile root yalnızca anahtarla girebiliyor.
Bu adımın en sevdiğim kısmı güvenlik ağı. SSH ayarını değiştirmeden önce 5 dakika sonra değişikliği kendiliğinden geri alan bir zamanlayıcı kuruyoruz:
sudo systemd-run --unit=ssh-rollback --on-active=5min /bin/sh -c \
'rm -f /etc/ssh/sshd_config.d/00-hardening.conf; systemctl reload ssh'Bir şey ters giderse ve kendinizi dışarıda bırakırsanız, 5 dakika bekleyip tekrar girersiniz. Yeni bir pencereden anahtarla girişin çalıştığını ve şifreyle girişin reddedildiğini görünce zamanlayıcıyı sudo systemctl stop ssh-rollback.timer ile iptal edin.
Adım 4: Güvenlik duvarı
hPanel’in kendi güvenlik duvarında yalnızca dört kural var: SSH (22) ve geçici olarak Coolify paneli (8000) yalnızca ev IP’nizden, web (80 ve 443) herkese açık. Gerisini en alttaki Drop kuralı engelliyor.
Dikkat: Kuralları sonradan düzenlerseniz sarı bir çubuk çıkar ve Synchronize‘a tıklayana kadar sunucuda hiçbir şey değişmez. Ev IP’niz değişirse SSH çalışmaz; kuralı güncelleyip yine Synchronize’a tıklayın.
Adım 5: Coolify’ı kurun
Coolify‘ın resmî kurulum betiği bir dakikadan kısa sürdü ve sunucudaki Docker’ı kullandı. Kurulumdan sonra yönetici hesabını oluşturmak için yalnızca 10 dakikanız var, o yüzden http://SUNUCU-IP:8000 adresini hemen açın.
Beni en çok şaşırtan şey şu oldu: authorized_keys dosyası bir satır sonuyla bitmediği için kurulum betiği kendi anahtarını benim anahtarımın satırının sonuna yapıştırdı. Benim girişim çalışmaya devam etti ama Coolify’ınki çalışmazdı. PDF’teki cut komutuyla her anahtarın kendi satırında olduğunu kontrol edin.
Adım 6 ve 7: Kendi adresi ve yalnızca sizin IP’niz
Cloudflare’de proxy’si açık bir coolify A kaydı ekleyip Coolify ayarlarında adresi https://coolify.example.com yapıyoruz. Sonra Coolify’ı yalnızca kendi IP’nize açıyoruz. Bunun bilinen yolu Cloudflare Access, ama ücretsiz paketi bile kart bilgisi istiyor. Bir müşterinin hesabında bunun yerine ücretsiz bir Custom rule kullandım:
http.host eq "coolify.example.com" and ip.src ne your-home-ip and not
starts_with(http.request.uri.path, "/.well-known/acme-challenge/")Son kısım küçük ama önemli: sertifikanın yenilenmesine izin veriyor. O olmasaydı her şey 3 ay boyunca çalışır, sonra sertifika yenilenemezdi.
Adım 8: Arka kapıyı kilitleyin
Benzetmedeki arka kapı burada. Test ederken 7. adımdaki kuralın, doğrudan sunucunun IP adresine bağlanarak aşılabildiğini gördüm. Üstelik Docker kendi portlarını açarken hPanel’deki kuralları değil, kendi iptables kurallarını kullanıyor. Çözüm, Docker’ın web portlarına yalnızca Cloudflare’in IP adreslerinden gelen bağlantıları kabul eden küçük bir betik ve onu her açılışta çalıştıran bir systemd servisi. İkisinin de tamamı PDF’te. Son olarak hPanel’deki 8000 kuralını silip Synchronize’a tıklıyoruz.
Adım 9: Her yolu test edin
“Çalışıyor” demek için her kapıyı tek tek denedim, sunucuyu yeniden başlattıktan sonra da:
- Kendi IP’mden Coolify adresi: giriş sayfası açılıyor.
- Başka bir IP’den aynı adres: 403, Cloudflare engelliyor.
- Doğrudan sunucu IP’sine 443 ya da 8000: cevap yok.
- Anahtarla SSH çalışıyor, şifreyle SSH reddediliyor.
- Web sitesi ve iki yönde e-posta çalışıyor.
Gizli bilgiler: Coolify’ın gizli anahtarlarını tutan
/data/coolify/source/.envdosyasının bir kopyasını şifre yöneticinizde saklayın. Bu dosyayı, şifreleri ya da özel anahtarları asla bir depoya göndermeyin veya bir sohbete yapıştırmayın.
Sıradaki bölüm
Bir sonraki bölümde Coolify’da iki adımlı girişi açacağız, sunucu dışı yedeklemeyi kuracağız ve Odoo’yu kendi adresine yükleyeceğiz.
Kapanış
Bu bölümden çıkardığım en önemli ders: bir koruma kurduğunuzda onu atlatmayı da deneyin. Cloudflare kuralı tek başına güvenli görünüyordu; arka kapıyı ancak test ederken fark ettim. Seriye yeni katıldıysanız VPS Setup Guide 1‘den başlayın. Takıldığınız bir yer olursa yazının altına yazın.
