Güvenlik

Bu kılavuzu tamamladığınızda Proxus kurulumunda varsayılan parola kalmaz, dışarıdan yalnızca gereken portlara erişilir ve kullanıcılar merkez sunucuya HTTPS ile bağlanır. Merkez sunucuyu üretimde kullanmaya başlamadan önce kontrol listesindeki her maddeyi uygulayın. Kurulumu yeni bir makineye taşıdığınızda listeyi yeniden gözden geçirin.

Başlamadan önce

• Merkez sunucu Docker (bkz. Docker) ya da Kubernetes üzerinde çalışıyor olmalıdır.
• Admin olarak oturum açabilmeniz, docker-compose.yml dosyasını ve yapılandırma dosyasını düzenleyebilmeniz, makinenin güvenlik duvarını değiştirebilmeniz gerekir.
• Güncel bir yedek alın. Aşağıdaki adımların bazıları kimlik bilgilerini değiştirir.

Neler şifrelenir

Proxus 2.0.0, açtığı ve kabul ettiği her bağlantıda TLS kullanır. Sertifikalar Sertifika deposundan gelir. Sertifika deposu, platformun kendi sertifika yetkilisini (Proxus Platform CA) ya da seçtiyseniz kurumsal CA'nızı kullanır.

Bu sertifikaların özel anahtarları şifreli olarak saklanır. Bunları çözen anahtar yapılandırma klasöründe (keys/STORE/certificate-store.key) ya da PROXUS_CERTIFICATE_STORE_KEY ortam değişkeninde bulunur. Bu anahtarı yapılandırma klasörüyle birlikte yedekleyin.

Kullanıcılar, Roller ve Sertifika deposu ekranları Güvenlik menüsündedir.

Ağ portları

Hazır compose yığınının merkez sunucu makinesinde açtığı portlar:

Edge Gateway makinesi merkez sunucuya yalnızca dışarı doğru, 7422 portundan bağlanır (kurulum sırasında 8443 portundan da). Kendi ağındaki cihazlar ona veri gönderiyorsa 8883, 1883 ve 8083 portlarında bağlantı kabul eder.

Hazır compose dosyası SYSTEM Edge Gateway'i için 8883 portunu dışa açar. Böylece merkez sunucunun ağındaki cihazlar hiçbir değişiklik yapmadan TLS ile MQTT kullanabilir.

Hazır compose dosyası bu portların hepsini tüm ağ arayüzlerinde dışa açar. Makine dışından kimsenin ihtiyaç duymadığı portları kapatın. Bunu makinenin güvenlik duvarında yapabilir ya da portları docker-compose.yml dosyasında geri döngü adresine bağlayabilirsiniz, örneğin "127.0.0.1:5442:5442". Hizmetler birbirine iç compose ağı üzerinden ulaştığı için bu değişiklik Proxus'u etkilemez. Tüm portların ve uç noktaların listesi Portlar sayfasındadır.

HTTPS

Merkez sunucu varsayılan olarak 8443 portunda HTTPS sunar. TLS 1.2 ya da 1.3 kullanır ve Sertifika deposundaki varsayılan sertifikayı sunar. Yeni bir kurulumda bu sertifikayı platform CA'sı verir. Sertifika makinenin adını, IP adreslerini, localhost adını ve [Service] PublicHostNames ayarındaki adları kapsar. Tarayıcıların sertifikaya güvenmesi için platform CA'sını kullanıcıların bilgisayarlarına yükleyin (Sertifika deposunda CA'yı indir) ya da platformun sertifikalarını kurumsal CA'nıza imzalatın.

1. Kullanıcıların merkez sunucuya ulaşmak için yazdığı tüm adları ve adresleri PublicHostNames ayarına ekleyin, örneğin PublicHostNames = "proxus.lyonfoods.local, 203.0.113.10".
2. Yükseltilmiş bir kurulumda merkez sunucunun eski, kendinden imzalı sertifikasını yenileyin. Güvenlik > Sertifika deposu ekranında Proxus (Self-Signed) sertifikasını seçin ve Yenile'ye tıklayın.
3. Platform CA'sını kullanıcıların bilgisayarlarına yükleyin ya da kurumsal CA'nızı kullanın.

HTTPS'i şu [Service] anahtarları belirler:

8080 portundaki HTTP yerel erişim için açık kalır. RedirectHttpToHttps varsayılan olarak kapalıdır. Bunun nedeni HSTS'nin, tarayıcıların makinedeki tüm portlarda HTTPS kullanmasını zorunlu kılmasıdır. Bu kural aynı makinedeki diğer hizmetleri de etkiler. Makinede yalnızca merkez sunucu çalışıyorsa bu ayarı açın.

Hazır compose dosyası 8443 portunu dışa açar. HTTPS'i makinenin başka bir portundan açarsanız, örneğin "443:8443", PublicHttpsPort = "443" değerini de girin. Merkez sunucu böylece dışarıdan hangi porttan erişildiğini bilir.

Merkez sunucuyu elinizdeki bir sertifikayla kendi alan adınız altında, doğrudan ya da Cloudflare arkasından internete açmak için Merkez sunucuyu alan adınızla sunun kılavuzunu izleyin.

Ters proxy arkasında. TLS'i şirketinizin ters proxy'sine ya da yük dengeleyicisine bırakabilir, istekleri oradan merkez sunucuya iletebilirsiniz. Web arayüzü sürekli açık bir bağlantı kullanır. Bu yüzden proxy'nin WebSocket bağlantılarına ve uzun zaman aşımlarına izin vermesi gerekir (Kubernetes ingress bir saat kullanır). Ardından merkez sunucunun portlarını yalnızca proxy'ye açın.

Değiştirilmesi gereken varsayılan kimlik bilgileri

API erişim anahtarları varsayılan olarak bir yıl geçerlidir (TokenExpireTime = "1y"). Şirket politikanız gerektiriyorsa bu süreyi kısaltın.

POSTGRES_PASSWORD ile verilen veritabanı parolası yalnızca veritabanı birimi ilk oluşturulurken uygulanır. Veritabanı portlarını kapalı tutun (yukarıya bakın). Böylece parola varsayılan değerde kalsa bile veritabanına dışarıdan erişilemez.

Edge Gateway güveni

Edge Gateway'ler ve merkez sunucu, NATS sunucusu üzerinden TLS ile haberleşir. Ortak bir parola kullanılmaz:

• İlk başlatmada merkez sunucu, NATS sunucusunun kök kimlik bilgilerini config biriminde (nats/ klasörü) oluşturur. Bu bilgileri yalnızca merkez sunucu okur.
• Bir Edge Gateway kurulurken Edge Gateway makinesi kendi anahtarını üretir ve merkez sunucuya yalnızca açık anahtarı gönderir. Merkez sunucu bu anahtarı yalnızca o Edge Gateway'e ait izinlerle imzalar. Elde edilen kimlik bilgileri yalnızca 7422 portundaki Edge Gateway bağlantısında çalışır. Bir kopyası ele geçse bile sıradan bir NATS istemcisi olarak kullanılamaz.
• Edge Gateway'in merkez sunucuyla bağlantısı şifrelidir ve platform CA'sına göre doğrulanır. Her Edge Gateway, HTTPS portu ve MQTT sunucusu için Sertifika deposundan kendine ait bir sertifika da alır. Bir Edge Gateway yalnızca kendi sertifikasını alabilir.
• Kurulum bağlantısı tek kullanımlıktır ve bir saat geçerlidir. Kurulum komutu merkez sunucunun HTTPS anahtarına sabitlenir.
• Bir Edge Gateway kaldırıldığında ya da yeniden kurulduğunda eski kimlik bilgileri hemen geçersiz olur.

config birimini bir parola kasası gibi koruyun ve her yedeğe ekleyin. Sertifika deposu anahtarı da bu birimdedir. Ayrıntılar için Edge Gateway kurma sayfasına bakın.

MQTT sunucusu

SYSTEM Edge Gateway'inin MQTT sunucusu, kimlik bilgisi vermeyen istemcileri reddeder ([MQTTBroker] AllowAnonymous = false). Bu ayarı değiştirmeyin.

Her Edge Gateway'in MQTT sunucusu, Edge Gateway'in kendi sertifikasıyla 8883 portunda TLS bağlantılarını da kabul eder. Cihazlar MQTT sunucusunun sertifikasını platform CA'sına göre doğrular (Sertifika deposunda CA'yı indir). Cihazların bağlandığı sunucu adı, Edge Gateway'in sertifikasında bulunmalıdır. Tüm cihazlar TLS'e geçtiğinde [MQTTBroker] PlainEnabled = false ayarını yapın; MQTT sunucusu bundan sonra yalnızca TLS bağlantısı kabul eder. TlsPort = 0 ayarı TLS'i kapatır. MasterToken tanımlarsanız uzun ve rastgele bir değer seçin ve bu değeri parola gibi koruyun. Rollere verilen UNS izinleri MQTT istemcilerine uygulanmaz. Ayrıntılar için MQTT sayfasına bakın.

Yapay zekâ ajanları için MCP erişimi

Merkez sunucunun /mcp adresindeki MCP sunucusu, yapay zekâ ajanlarının Proxus verisini bir kullanıcının izinleriyle okumasını ve değiştirmesini sağlar. Her ajan bir Proxus kullanıcısı olarak oturum açar ve yalnızca o kullanıcının rollerinin izin verdiği işlemleri yapabilir. [MCP] bölümü bunlara ek sınırlar getirir:

Her ajan için ayrı bir Proxus kullanıcısı ve o ajana özel bir rol tanımlayın. Bu rolü UNS izinleriyle sınırlayın. Kurulumun tamamı için MCP sayfasına bakın.

Sağlamlaştırma kontrol listesi

• Admin kullanıcısının parolası güçlü. Yükseltilmiş bir merkez sunucuda APIAdmin kullanıcısının parolası değiştirilmiş ya da kullanıcı devre dışı bırakılmış.
• API erişim anahtarlarını imzalayan anahtarın bulunduğu ortak yapılandırma klasörünü yalnızca merkez sunucudan sorumlu kişiler okuyabiliyor.
• Herkesin kendi kullanıcısı var. Günlük işlerde kimse Admin kullanıcısıyla çalışmıyor.
• Roller Varsayılan olarak tümünü reddet ile başlıyor ve yalnızca gereken izinleri veriyor. Bkz. Kullanıcılar ve roller.
• [Security.Password] bölümündeki parola kuralları şirket politikasına uygun. Yeni kullanıcılarda Parola değişikliğini zorla işaretli.
• Hesap kilitleme açık ([Security] Lockout.Enabled = true).
• REST API imzalama anahtarı yeni ve rastgele bir değerle değiştirilmiş.
• PostgreSQL ve ClickHouse parolaları değiştirilmiş ya da bu veritabanlarının portlarına yalnızca makinenin kendisinden erişilebiliyor.
• Diğer makinelerden yalnızca 8443 ve 7422 portlarına, gerekiyorsa 8883, 1883 ve 8083 portlarına erişilebiliyor.
• Kullanıcılar merkez sunucuya HTTPS ile bağlanıyor. Platform CA'sı (ya da kurumsal CA'nız) kullanıcıların bilgisayarlarında güvenilir olarak tanımlı.
• Sertifika deposu anahtarı (keys/STORE/certificate-store.key ya da PROXUS_CERTIFICATE_STORE_KEY), yapılandırma klasörüyle birlikte yedekleniyor.
• MQTT cihazları 8883 portunu kullanıyor. 1883 portuna ihtiyaç kalmadığında PlainEnabled = false yapılmış.
• MCP kapalı ya da AdminOnly, AllowedMethods ve IPWhitelist ile sınırlanmış.
• Metrikler kapalı ya da 8080/8443 ve 8083 portlarına yalnızca izleme sisteminiz erişebiliyor.
• config birimi ve veritabanları yedekleniyor; yedekler makineden ayrı bir yerde saklanıyor.
• Makineye yalnızca yöneticiler erişebiliyor. Bunun nedeni, merkez sunucu konteynerinin bağlı Docker soketi üzerinden Docker'ı yönetebilmesidir.

Sonraki adımlar

• Kullanıcılar ve roller: herkese yalnızca gereken izinleri verme.
• Sertifikalar: platform CA'sını, sunucu sertifikalarını ve güveni yönetme.
• İzleme: kurulumun çalışma durumunu ve kapasitesini takip etme.