Açık giriş ekranı
Panel internete açıkken saldırgan sınırsız deneme yapabilir: sızdırılmış parola listeleri, yönetici adı tahmini, eski sürümlerdeki bilinen açıklar. Tünel arkasında bu ekran hiç yüklenmez.
Pterodactyl kurulumu
Paneli internete açmayan kurulum.
Büyük sunucuların çoğu sıfır gün açığıyla değil, internete açık bırakılmış bir panel ya da veritabanı portuyla düşüyor. Biz yönetim arayüzlerini WireGuard tünelinin arkasına alıyoruz: parola denemek için önce tünele girmen gerekir.
Tek seferlik $24,99
Saldırı nereden geliyor?
Bir oyun sunucusu ele geçirildiğinde hikâye neredeyse hep aynı: panel giriş ekranı herkese açıktı, veritabanı portu dışarıyı dinliyordu ya da yardımcı bir araç kurulup unutulmuştu.
Dışarıyı dinleyen veritabanı
MariaDB, Redis ve MongoDB varsayılan ayarlarla kolayca dışarıya açılır. Parolası zayıf tek bir veritabanı, oyuncu verisinin tamamı demektir.
Unutulmuş yardımcı araç
phpMyAdmin, Grafana, bir dosya yöneticisi… Kurulur, işe yarar, sonra güncellenmeden yıllarca açık kalır. Bizim kurulumumuzda hepsi var ama hiçbiri dışarıya açık değil.
Kurulum sırasında sızan parola
Kurulum için verilen SSH parolası e-postada, sohbette, ekran görüntüsünde kalır. Bu yüzden parolayı kurulumun başında değiştiriyor, yenisini tek kullanımlık teslim ekranıyla veriyoruz.
Kurulumdan sonra dışarıya ne açık?
Üç kapı ve SSH. Gerisi kapalı — kapalı derken "parola ile korunuyor" değil, tünele bağlı olmayan bir cihaz için o portlar yok.
İnternet
Tarayan herkes. Port tarayıcıları, otomatik bot ağları, sızdırılmış parola listeleriyle deneme yapan araçlar.
- Panel giriş ekranı görünmez
- Veritabanı portları kapalı
- Grafana, phpMyAdmin, Uptime Kuma kapalı
- HTTP 80 panel yerine 404 döner
Açık olan tek şey
51820/UDPWireGuardyönetim erişiminin tek kapısı25565/TCP+UDPOyun portuoyuncuların bağlandığı port8443/TCPWingskimlik doğrulamalı, node alan adındaSSHMevcut portundakurulum SSH portunu değiştirmez, kapatmaz
WireGuard ağı · 10.66.66.1
- Pterodactyl Panel
panel.alanadi - Grafana + Prometheus
3000 - MariaDB / phpMyAdmin
8009 - PostgreSQL
8003 - MongoDB
8002 - Redis
8010 - RabbitMQ
8001 · 8004 - Uptime Kuma
8007 - wg-easy
51821
Bu servislerin hiçbiri 0.0.0.0 üzerinde dinlemiyor; yalnızca tünel arayüzüne bağlı. Tünele bağlı olmayan bir cihaz için bu portlar yok.
Yönetim trafiği tünelden geçer, ama internet trafiğin VPN'e taşınmaz: WireGuard yalnızca sunucunun yönetim ağına yönlendirir, günlük gezintin kendi bağlantından devam eder.
Düz kurulumla farkı
Pterodactyl belgelerini takip ederek panel kurmak mümkün. Fark, kurulumun bittiği yerde sunucunun ne kadar açık kaldığında.
| Konu | Düz Pterodactyl kurulumu | Koderia kurulumu |
|---|---|---|
| Panel giriş ekranı | İnternete açık; herkes deneyebilir | Yalnızca WireGuard tünelinden erişilir |
| Veritabanı portları | Sık sık 0.0.0.0'a bağlı kalır | Yalnızca tünel arayüzünde dinler |
| phpMyAdmin / Grafana | Kurulursa dışarıya açık | Tünel arkasında, dışarıdan görünmez |
| Firewall | Elle yazılır ya da hiç yazılmaz | Tek açık oyun portu; kalanı kapalı |
| SSH parolası | Kurulum boyunca aynı kalır | Kurulum başında değiştirilir |
| Kurulum dosyaları | Sunucuda kalır | İşlem sonunda silinir |
| Erişim bilgileri | E-posta ya da sohbette dolaşır | Tek kullanımlık, kodlu teslim ekranı |
| Kim ne yaptı | Kayıt yok | auditd + terminal oturum kaydı |
| Sertifika | Elle yenilenir, unutulur | Let's Encrypt, otomatik yenileme |
| Kurulum yarıda kalırsa | Baştan başla | Kaldığı adımdan devam eder |
Kurulumda neler var?
Kurulum bitince her servis tek tek kontrol edilir; erişim bilgileri tek kullanımlık güvenli teslim ekranından paylaşılır.
Oyun altyapısı
- Pterodactyl Panel
- Wings düğümü
- Docker ve oyun imajları
- Ayırmalar ve ilk sunucu hazır
Veri katmanı
- MariaDB + phpMyAdmin
- PostgreSQL
- MongoDB
- Redis
- RabbitMQ
İzleme
- Grafana panoları
- Prometheus + node exporter
- Uptime Kuma
- koderia status sağlık komutu
Ağ ve erişim
- WireGuard sunucusu
- wg-easy ile istemci yönetimi
- İç DNS (dnsmasq)
- Let's Encrypt sertifikaları
Denetim
- auditd ile çalıştırılan program kaydı
- Terminal oturum kaydı (tlog)
- Kalıcı journald, 14 gün
- Yetkili erişim uyarı metni
Kurulum güvenliği
- Temiz sunucu ön kontrolü
- Mevcut firewall'a dokunmama
- Çakışan özel ağ reddi
- Adım adım devam edebilme
Sunucuna dokunmadan önce
Kurulum, bozabileceği bir şey görürse başlamaz. Bu bilerek böyle: yarısı yapılmış bir kurulum, hiç yapılmamış kurulumdan kötüdür.
Etkin firewall varsa durur
Çalışan UFW ya da yazılmış iptables kuralı bulursa kurulum başlamaz. Mevcut kuralların üzerine yazmaz.
Çakışan özel ağ varsa durur
Kullanacağı ağlar sunucuda zaten tanımlıysa devam etmez; sessizce yönlendirmeni bozmak yerine söyler.
Önce plan, sonra kurulum
Ne yapacağını değişiklik yapmadan gösterebilen bir plan adımı var; onay öncesi sunucuna hiçbir şey yazılmaz.
SSH ayarı doğrulanır
Yeni SSH yapılandırması testten geçmezse etkinleştirilmez ve kurulum durur — kendini SSH'tan kilitleyen bir kurulum olmaz.
Pterodactyl kurulumu nasıl işliyor?
Sunucuna biz bağlanırız. Her adımı ve her log satırını müşteri panelinden canlı izlersin; erişim bilgileri tek kullanımlık teslim ekranıyla gelir.
- 1
Sipariş ve ödeme
Sunucu bilgilerini ve kullanacağın alan adlarını sipariş formunda verirsin. Ödeme onaylanınca kurulum kaydı açılır.
- 2
DNS kayıtları
Panel ve düğüm için oluşturman gereken kayıtları tek tek gösteririz. Ana alan adı sende kalır; bize devretmen gerekmez.
- 3
Yönetici onayı
Kayıtları ve sunucuyu biz de kontrol ederiz. Bu adıma kadar sunucunda hiçbir değişiklik yapılmaz.
- 4
Canlı kurulum
Panel, Wings, WireGuard, veritabanları ve izleme kurulur. SSH parolası kurulum başında değiştirilir, ilerleme ve loglar panelde akar.
- 5
Güvenli teslim
Servisler tek tek doğrulanır, kurulum dosyaları sunucudan silinir. Erişim bilgileri tek kullanımlık, doğrulama kodlu bir ekranla teslim edilir.