OPNsense'i Sanal Makinede (VM) Firewall Olarak Çalıştırmak

Desteklenen Sanallaştırma Ortamları

Kendi sunucunuzda kurulum için belge DVD ISO imajını kullanmanızı söyler. Netgate'in pfSense belgesi de Proxmox VE, KVM, Hyper-V ve VMware gibi ortamları sayar ve üretim ortamında Type-1 (bare metal) hipervizör kullanmayı en iyi uygulama olarak önerir; VirtualBox veya VMware Workstation gibi Type-2 hipervizörlerin test için uygun olduğunu belirtir. Aynı mantık OPNsense için de makul bir yaklaşımdır.

VM Ayarlarında Dikkat Edilecekler

OPNsense belgesindeki genel öneriler:

• RAM: En az 3 GB. Belgeye göre kurulum sırasında "File copy failed" hatası çoğunlukla düşük bellekten kaynaklanır.
• Disk: En az 8 GB sanal disk önerilir.
• Offloading: Interfaces ‣ Settings altındaki tüm donanım offloading ayarlarını kapatın.
• VMware: VMXNET3 ile Traffic Shaper çalışmazsa E1000'e geçmek önerilir; bazı ESXi sürümlerinde disk hatalarında sürücü modunu IDE yapmak yardımcı olabilir.
• XenServer/XCP-ng: NAT veya performans sorunlarında TX checksum offloading yalnızca Vif'lerde kapatılmalıdır.

Ağ tasarımı: iki sanal arayüz

Sanal firewall'un çalışabilmesi için en az iki sanal ağ arayüzü gerekir: biri dış dünyaya bakan WAN, diğeri arkadaki sanal makinelerin bağlandığı LAN. Kendi hipervizörünüzde bu genellikle iki ayrı sanal köprü (bridge) veya sanal switch ile yapılır: WAN köprüsü fiziksel ağ kartına bağlanır, LAN köprüsü ise yalnızca iç ağdır ve arkadaki VM'ler sadece bu köprüye bağlanır. Böylece arkadaki VM'lerin internete giden ve gelen tüm trafiği OPNsense'ten geçer.

VPS'te OPNsense: Gerçekçi Beklenti

Kiralık bir VPS'te OPNsense kurmak isteyenlerin çoğu, onu web veya oyun sunucusunun önüne koymayı hedefler. Burada dürüst olmak gerekir: çoğu VPS sağlayıcısı her sunucuya doğrudan internete bağlı tek bir genel arayüz verir. Bu yapıda bir VM'i başka bir VM'in "önüne" koyamazsınız; çünkü diğer sunucunun genel IP'sine gelen trafik doğrudan o sunucuya ulaşır ve OPNsense'ten hiç geçmez.

Bu desen ancak sağlayıcı şu iki şeyi sunuyorsa mümkündür:

• Özel ağ (private network): Sunucuların birbirleriyle genel internete çıkmadan konuştuğu ayrı bir ağ arayüzü ve tercihen bu ağda yönlendirme (route) tanımlama imkânı.
• Kendi ISO'nuzu takabilme: OPNsense FreeBSD tabanlıdır ve çoğu sağlayıcının hazır imaj listesinde yer almaz. OPNsense belgesi, DVD ISO ile kurulum yapılamayan barındırılan ortamlar için opnsense-bootstrap aracını anar; bu araç desteklenen bir FreeBSD kurulumunu OPNsense'e dönüştürebilir.

Sağlayıcınız bunları sunmuyorsa daha basit ve çoğu zaman daha uygun çözümler vardır: sağlayıcının ağ seviyesindeki firewall'u (Hetzner Cloud Firewall gibi), sunucunun kendi üzerinde nftables ve CrowdSec ya da UFW. Ticari sanal firewall'lar için FortiGate VM ve Palo Alto VM-Series yazısına bakabilirsiniz.

Özel Ağ Deseni: Hetzner Cloud Örneği

Hetzner Cloud, özel ağ ve özel ISO desteğini belgelerinde açıkça anlattığı için deseni bu örnek üzerinden gösteriyoruz. Aynı mantık, benzer özellikleri sunan başka sağlayıcılarda da kullanılabilir.

Belgelerdeki temel bilgiler

• Networks: Hetzner belgesine göre Networks, sunucular arasında ayrı ağ arayüzleri üzerinden özel katman 3 bağlantılar sağlar. Makineler fiziksel olarak birbirine bağlı değildir; yazılım tabanlı bir ağ geçidi üzerinden bağlanır.
• Ağ geçidi adresi: Ağ geçidinin IP adresi her zaman ağ aralığının ilk adresidir (örneğin 10.0.0.0/24 için 10.0.0.1) ve bu adres sunucuya atanamaz.
• Route: Bir route, belirli bir hedef öneki için gelen paketleri gateway olarak belirtilen adrese gönderir. Gateway olarak şu anda yalnızca cloud sunucular tanımlanabilir; bir hedef önekin tek bir gateway'i olabilir, gateway'ler arasında failover veya yük dağıtımı desteklenmez.
• Genel IP'siz sunucu: Sunucuların tüm genel IP'leri kaldırılabilir; bunun için sunucunun kapalı olması gerekir. Primary IP'si olmayan bir sunucunun özel ağda olması gerekir ve bu sunucu Floating IP, firewall ve rescue sistemi kullanamaz.
• Özel ISO: Hetzner Cloud'da kendi ISO'nuzu takmak için doğrudan indirme bağlantısını destek talebiyle iletmeniz gerekir; ISO sunucunun mimarisini (x86 veya Arm64) desteklemelidir.
• Cloud Firewall ve özel ağ: Hetzner Firewalls SSS'ine göre Cloud Firewall'lar şu anda özel ağ trafiğini filtrelemez; yalnızca katman 2 alanından çıkan paketlere uygulanır.
• Ücret: Hetzner belgesine göre 3 Kasım 2026 itibarıyla resmi sayfada Cloud Networks için ücret alınmadığı yazar; sunucu ücretleri ayrıdır.

Desenin kurulumu (genel hatlar)

• Bir özel ağ oluşturun (örneğin 10.0.0.0/16) ve OPNsense sunucusunu hem genel IP'siyle hem bu ağa bağlayın. OPNsense'in genel arayüzü WAN, özel ağ arayüzü LAN olur.
• Korumak istediğiniz sunucuları yalnızca özel ağa bağlayın ve genel IP'lerini kaldırın (sunucu kapalıyken).
• Hetzner Console'da hedefi 0.0.0.0/0, gateway'i OPNsense sunucusunun özel IP'si olan bir route ekleyin. Hetzner'in NAT eğitimi aynı yapıyı NAT sunucusu için anlatır.
• Arkadaki sunucularda varsayılan route'u ağ geçidine (10.0.0.1) yönlendirin. Hetzner SSS'ine göre hc-utils paketi yeniden başlatmada ağ yapılandırmasını yeniden yazar ve elle eklenen route'lar kaybolur; bu nedenle paketi kaldırmanız gerekir.
• OPNsense'te çıkış için NAT (outbound NAT), içeri gelen servisler için port yönlendirme (port forward) ve firewall kurallarını tanımlayın.

# Hetzner NAT eğitimindeki istemci örneği (arkadaki Linux sunucuda)
ip route add default via 10.0.0.1

Bu desenin bilinen sınırları

• Tek arıza noktası: Bir hedef önek için tek gateway tanımlanabildiği ve failover desteklenmediği için OPNsense VM'i durursa arkadaki sunucuların internet bağlantısı da kesilir.
• Şifreleme yok: Hetzner belgesine göre özel ağ içindeki trafik özel ve izoledir ancak otomatik olarak şifrelenmez.
• uRPF: Hetzner ağ geçidi, kaynak IP'si gönderen sunucuya atanmamış paketleri düşürür (unicast reverse path forwarding). Yönlendirme tasarımınızı buna göre yapın; belge bu durum için NAT ile kaynak IP'yi maskelemeyi bir seçenek olarak anar.
• Performans: Tüm trafik tek bir VM'den geçtiği için o VM'in işlemci ve ağ kapasitesi, arkadaki tüm sunucuların toplam kapasitesini sınırlar.
• DDoS: Sanal firewall, hattı dolduran hacimsel saldırılara karşı tek başına koruma sağlamaz; bunun için DDoS koruma rehberine bakın.

Kurulumdan Sonra

OPNsense belgesine göre kurulumdan sonra canlı ortamda ya da kurulu sistemde web arayüzüne LAN tarafından https://192.168.1.1/ adresiyle erişilir (bulut desenindeki LAN ağınız farklıysa arayüz atamasını önce konsoldan yapmanız gerekebilir). Varsayılan root parolasını değiştirin, yönetim arayüzünü WAN'a açmayın ve yapılandırma yedeğini düzenli alın. Belge, kurulum imajlarının Ocak ve Temmuz'daki ana sürümlerle yayımlandığını, kurulumdan sonra en güncel sürüme yükseltilmesi gerektiğini de hatırlatır.

Sık Sorulan Sorular

OPNsense'i Proxmox'ta çalıştırabilir miyim?

OPNsense belgesi KVM'i desteklenen ortamlar arasında sayar ve i440FX ile Q35 yonga setlerinin desteklendiğini belirtir; Proxmox VE KVM tabanlıdır. Netgate'in pfSense belgesi de Proxmox VE'yi açıkça listeler. QEMU Guest Agent için os-qemu-guest-agent eklentisini kurabilirsiniz.

Hetzner'de OPNsense VM'i diğer sunucularımın önüne koyabilir miyim?

Evet, özel ağ ve route ile. Arkadaki sunucuları yalnızca özel ağa bağlayıp genel IP'lerini kaldırırsanız ve 0.0.0.0/0 route'unu OPNsense'e yönlendirirseniz trafik OPNsense'ten geçer. Ancak bu yapıda failover yoktur ve Hetzner Cloud Firewall özel ağ trafiğini filtrelemez.

Tek bir VPS üzerinde OPNsense kurarsam o sunucu korunur mu?

OPNsense'i doğrudan VPS'in işletim sistemi olarak kurarsanız elinizde yalnızca firewall olur; aynı sunucuda web uygulamanızı çalıştırmak bu yazılımın amacı değildir. Tek sunucuyu korumak için sağlayıcının ağ firewall'u ya da sunucu üzerinde nftables genellikle daha pratiktir.

Sanal firewall için ne kadar kaynak ayırmalıyım?

Belge VM'ler için en az 3 GB RAM ve 8 GB disk önerir. Kullanacağınız özelliklere göre fiziksel kurulum için verilen reasonable (4 GB) ve recommended (8 GB) seviyelerini de dikkate alın; IDS/IPS açmak kaynak ihtiyacını artırır.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Firewall nedir · pfSense ve OPNsense nedir · Hetzner Cloud Firewall · Sanal firewall: FortiGate VM ve VM-Series · nftables ve CrowdSec · Mini PC ile firewall · VPS güvenlik sertleştirme