pfSense 5651 Loglama Kurulumu: Adım Adım

pfSense Üzerinde 5651 Sayılı Kanun Uyumlu Log Yönetimi Neden Kritiktir?

pfSense açık kaynaklı güvenlik duvarı ve yönlendirici çözümü olarak orta ve büyük ölçekli ağlarda yaygın şekilde tercih edilmektedir. Ancak Türkiye'de faaliyet gösteren internet servis sağlayıcıları, otel işletmeleri, alışveriş merkezleri ve kamu kurumları için pfSense üzerinden geçen tüm internet trafiğinin 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında kayıt altına alınması zorunludur. Bu yükümlülük, kullanıcı erişim kayıtlarının (IP adresi, bağlantı zamanı, hedef URL, port bilgisi) en az bir yıl süreyle saklanmasını ve yetkili makamların talebi halinde ibraz edilebilir formatta sunulmasını gerektirir.

pfSense varsayılan olarak yerel disk üzerinde sınırlı log tutar ve bu kayıtlar yeniden başlatma veya disk dolması durumunda kaybolabilir. Ayrıca yerel kayıtlar, adli inceleme sırasında güvenlik zincirini (chain of custody) sağlamak ve zaman damgası bütünlüğünü korumak açısından yetersiz kalır. Bu nedenle pfSense'in syslog protokolü üzerinden merkezi bir log sunucusuna veya bulut tabanlı 5651 loglama platformuna entegre edilmesi, hem yasal uyumu garanti eder hem de operasyonel yönetimi kolaylaştırır.

pfSense Syslog Mimarisi ve 5651 Uyumlu Yapılandırma Gereksinimleri

pfSense, BSD tabanlı işletim sistemi üzerinde çalıştığı için syslog-ng veya standart BSD syslogd daemon'ını kullanır. 5651 uyumlu bir loglama altyapısı kurarken aşağıdaki bileşenlerin doğru yapılandırılması kritiktir:

• Firewall Log Seviyesi: pfSense güvenlik duvarı kurallarında "Log" seçeneği aktif edilmeli ve tüm geçiş/engelleme olayları kaydedilmelidir.
• Syslog Hedefi: Uzak syslog sunucusu (remote log server) IP adresi ve portu (varsayılan UDP 514 veya güvenli TLS üzerinden TCP 6514) tanımlanmalıdır.
• Zaman Senkronizasyonu: NTP (Network Time Protocol) ile pfSense saati senkronize edilmeli; log kayıtlarında zaman damgası tutarsızlığı adli süreçte kayıtların geçersiz sayılmasına yol açar.
• Log Formatı: Syslog mesajları RFC 3164 veya RFC 5424 standardına uygun olmalı; kaynak IP, hedef IP, port, protokol, eylem (allow/deny) ve zaman bilgisi açıkça ayrıştırılabilir olmalıdır.

Aşağıdaki tablo, pfSense syslog yapılandırmasında dikkat edilmesi gereken temel parametreleri ve yasal gereksinimleri özetlemektedir:

Adım 1: pfSense NTP Yapılandırması ve Zaman Senkronizasyonu

5651 uyumlu loglamada zaman damgası bütünlüğü en kritik unsurdur. pfSense web arayüzüne (genellikle https://192.168.1.1 veya yerel ağ IP'si) giriş yaptıktan sonra:

1. Services → NTP menüsüne gidin.
2. "Enable NTP Server" seçeneğini işaretleyin ve en az iki NTP sunucusu ekleyin (örneğin: 0.tr.pool.ntp.org, 1.tr.pool.ntp.org).
3. "Interface" bölümünden WAN veya yönetim ağını seçin; pfSense'in internete çıkışı olan arayüz üzerinden NTP sorgularını yapmasını sağlayın.
4. Kaydedin ve Status → NTP sayfasından senkronizasyon durumunu kontrol edin. "Synced" durumu görmelisiniz; offset değeri ±2 saniyenin altında olmalıdır.

Zaman kayması tespit edilirse, pfSense'in donanım saati (BIOS/UEFI) de UTC'ye ayarlanmalı veya saat dilimi ayarları System → General Setup → Timezone bölümünden "Europe/Istanbul" olarak doğrulanmalıdır. Adli süreçte zaman damgası tutarsızlığı, log kayıtlarının delil niteliğini kaybetmesine neden olur.

Adım 2: Firewall Kurallarında Log Seçeneğini Aktifleştirme

pfSense'in güvenlik duvarı kuralları varsayılan olarak log tutmayabilir. 5651 kapsamında tüm geçiş ve engelleme olaylarının kaydedilmesi için:

1. Firewall → Rules menüsüne gidin ve izlenmesi gereken arayüzü seçin (örneğin LAN, WAN, DMZ).
2. Mevcut bir kuralı düzenlemek için kalem simgesine tıklayın veya yeni kural oluşturun.
3. "Extra Options" bölümünde "Log packets that are handled by this rule" seçeneğini işaretleyin.
4. Kural açıklamasına (Description) anlamlı bir etiket ekleyin (örneğin "LAN_to_WAN_Allow_5651").
5. Değişiklikleri kaydedin ve Apply Changes butonuna basın.

Özellikle "Default deny" kurallarında da log seçeneğinin aktif olması önemlidir; engellenen bağlantılar da 5651 kapsamında kayıt altına alınmalıdır. Tüm kritik kurallar için bu işlemi tekrarlayın. Kural sayısı fazlaysa, toplu düzenleme için pfSense XML yapılandırma dosyasını dışa aktarıp metin editöründe <log>yes</log> parametresini ekleyebilir, ardından içe aktarabilirsiniz (dikkatli kullanın; yedek alın).

Adım 3: Uzak Syslog Sunucusu Yapılandırması

pfSense loglarını merkezi bir sunucuya iletmek için:

1. Status → System Logs → Settings menüsüne gidin.
2. "Remote Logging Options" bölümünde "Enable Remote Logging" seçeneğini işaretleyin.
3. "Remote log servers" alanına hedef syslog sunucusunun IP adresini ve portu girin (örneğin: 192.168.10.50:514 veya bulut tabanlı NextLog5651 platformu için sağlanan IP ve port).
4. "Remote Syslog Contents" bölümünde en azından şu seçenekleri işaretleyin:
   • Firewall Events (güvenlik duvarı olayları)
   • DHCP Events (IP atama kayıtları)
   • System Events (sistem olayları)
5. Kaydedin ve pfSense'i yeniden başlatmadan değişikliklerin etkili olduğunu Status → System Logs → Firewall sayfasından kontrol edin.

Eğer syslog sunucunuz TLS üzerinden güvenli iletim destekliyorsa (önerilir), pfSense'in paket yöneticisinden (System → Package Manager → Available Packages) syslog-ng paketini kurarak TLS yapılandırması yapabilirsiniz. Syslog-ng yapılandırma dosyası /usr/local/etc/syslog-ng.conf yolunda bulunur ve aşağıdaki gibi bir hedef tanımı eklenebilir:

destination d_remote_tls {
  syslog("192.168.10.50" port(6514) transport("tls")
    tls(ca-dir("/etc/ssl/certs") peer-verify(required-trusted))
  );
};
log { source(s_local); destination(d_remote_tls); };

Bu yapılandırma, log trafiğinin şifrelenmesini ve ortadaki adam (man-in-the-middle) saldırılarına karşı korunmasını sağlar. Syslog-ng servisini service syslog-ng restart komutuyla yeniden başlatın.

Adım 4: Test Senaryosu ve Log Akışının Doğrulanması

Yapılandırmanın doğru çalıştığını test etmek için kontrollü bir senaryo oluşturun:

1. pfSense arkasındaki bir istemci cihazdan (örneğin 192.168.1.100 IP'li bir bilgisayar) herhangi bir web sitesine (örneğin https://www.example.com) erişim yapın.
2. pfSense web arayüzünde Status → System Logs → Firewall sekmesine gidin ve son kayıtları inceleyin. Kaynak IP (192.168.1.100), hedef IP (example.com'un IP'si), port (443), protokol (TCP) ve eylem (pass) bilgilerini içeren bir satır görmelisiniz.
3. Uzak syslog sunucunuzda (veya NextLog5651 platformunda) aynı zaman diliminde gelen logları kontrol edin. pfSense'in hostname'i veya IP'si ile etiketlenmiş kayıtlar arasında test bağlantınızı bulmalısınız.
4. Zaman damgası tutarlılığını doğrulayın: pfSense'teki log zamanı ile uzak sunucudaki kayıt zamanı arasında en fazla birkaç saniye fark olmalıdır.

Eğer loglar uzak sunucuya ulaşmıyorsa, aşağıdaki kontrolleri yapın:

• Güvenlik Duvarı Kuralları: pfSense'in WAN veya yönetim arayüzünden syslog sunucusuna UDP 514 veya TCP 6514 portuna giden trafiğe izin verildiğinden emin olun.
• Ağ Bağlantısı: pfSense konsolundan ping 192.168.10.50 komutuyla syslog sunucusuna erişimi test edin.
• Syslog Sunucusu Dinleme Durumu: Uzak sunucuda netstat -tulnp | grep 514 komutuyla syslog daemon'ının dinlediğini doğrulayın.
• pfSense Log Seviyesi: Status → System Logs → Settings → "Log Message Format" bölümünde "Detailed" seçeneğini işaretleyerek daha fazla bilgi toplayın.

Sorun Giderme: Yaygın pfSense 5651 Loglama Hataları ve Çözümleri

Log Kayıtlarında Zaman Damgası Tutarsızlığı

Eğer pfSense loglarındaki zaman damgaları gerçek saatten sapmışsa, NTP senkronizasyonu başarısız olmuş olabilir. Status → NTP sayfasında "No Sync" durumu görüyorsanız, pfSense'in DNS çözümlemesi yapıp yapmadığını kontrol edin (System → General Setup → DNS Servers). Ayrıca NTP sunucularına erişim için güvenlik duvarı kurallarını gözden geçirin; UDP 123 portuna giden trafiğe izin verilmelidir.

Uzak Syslog Sunucusuna Log İletimi Yok

Syslog trafiğini izlemek için pfSense konsolundan tcpdump -i em0 -n udp port 514 komutunu çalıştırın (em0 yerine WAN arayüzünüzün adını kullanın). Eğer paket çıkışı görülmüyorsa, "Remote Logging Options" ayarlarını yeniden kontrol edin ve pfSense'i yeniden başlatmayı deneyin. Bazı durumlarda pfSense'in syslogd daemon'ı yapılandırma değişikliklerini anında almayabilir.

Log Kayıtlarında Eksik Bilgi (IP veya Port Yok)

pfSense güvenlik duvarı kurallarında "Log" seçeneği aktif olsa bile, bazı trafik türleri (örneğin NAT öncesi veya sonrası) farklı şekilde loglanabilir. Firewall → NAT → Port Forward ve Outbound bölümlerinde de ilgili kuralların log seçeneğini aktifleştirin. Ayrıca "Filter rule association" ayarlarını kontrol ederek NAT kurallarının hangi firewall kuralıyla ilişkili olduğunu doğrulayın.

Yüksek Trafik Ortamında Log Kaybı

Saniyede binlerce bağlantının olduğu yoğun ağlarda, pfSense'in yerel disk yazma hızı veya syslog daemon'ının buffer boyutu yetersiz kalabilir. Bu durumda:

• pfSense donanımının CPU ve RAM kapasitesini artırın (önerilen: en az 4 GB RAM, quad-core işlemci).
• Syslog-ng paketini kullanarak asenkron yazma ve buffer ayarlarını optimize edin (flush-lines(1000), log-fifo-size(10000)).
• Kritik olmayan log kaynaklarını (örneğin DHCP bilgi mesajları) devre dışı bırakarak yükü azaltın.
• Bulut tabanlı bir çözüm olan NextLog5651 gibi yüksek hacimli log toplama platformlarını kullanarak pfSense üzerindeki yükü dağıtın.

pfSense ile Diğer Güvenlik Duvarı Çözümlerinin Karşılaştırması

pfSense açık kaynaklı ve maliyet etkin bir çözüm olsa da, kurumsal ortamlarda FortiGate, Sophos XG veya SonicWall gibi ticari güvenlik duvarlarıyla karşılaştırıldığında bazı farklar ortaya çıkar:

pfSense'in avantajı maliyet ve esneklik; dezavantajı ise 5651 uyumlu yapılandırmanın teknik uzmanlık gerektirmesi ve otomatik raporlama araçlarının sınırlı olmasıdır. Orta ölçekli işletmeler için pfSense + NextLog5651 bulut platformu kombinasyonu, hem bütçe dostu hem de yasal uyumlu bir çözüm sunar. Daha büyük kurumsal ortamlarda ise FortiGate veya Sophos gibi entegre çözümler, operasyonel yükü azaltır ve adli süreçlerde kanıt zincirini güçlendirir. FortiGate 5651 syslog yapılandırması hakkında detaylı rehberimizi inceleyerek karşılaştırmalı bir perspektif kazanabilirsiniz.

pfSense 5651 Loglama için En İyi Uygulamalar ve Yasal Uyum Kontrol Listesi

pfSense üzerinde yasal uyumlu bir loglama altyapısı kurduktan sonra, düzenli bakım ve kontrol prosedürleri uygulamak kritiktir:

• Haftalık NTP Senkronizasyon Kontrolü: Status → NTP sayfasından offset değerini kontrol edin; ±2 saniyenin üzerindeyse NTP sunucularını değiştirin veya ağ gecikmesini araştırın.
• Aylık Log Akış Testi: Yukarıda açıklanan test senaryosunu tekrarlayın ve uzak sunucuda logların düzgün toplandığını doğrulayın.
• Üç Aylık Güvenlik Duvarı Kural İncelemesi: Firewall → Rules menüsünden tüm kuralları gözden geçirin; kullanılmayan veya log seçeneği eksik kuralları temizleyin veya güncelleyin.
• Yıllık Saklama Süresi Denetimi: Uzak log sunucusunda veya NextLog5651 platformunda saklanan kayıtların en az bir yıllık geçmişi kapsadığını ve silinmediğini kontrol edin.
• Yedekleme ve Felaket Kurtarma: pfSense yapılandırmasını düzenli olarak dışa aktarın (Diagnostics → Backup & Restore) ve güvenli bir konumda saklayın. Log sunucusunun da yedekleme planı olmalıdır.

Yasal uyum açısından, BTK veya mahkeme tarafından talep edilen log kayıtlarının hızlı ve doğru şekilde sunulabilmesi için, log sunucunuzda arama ve filtreleme araçları (örneğin Elasticsearch, Splunk veya NextLog5651'in web arayüzü) kurulu olmalıdır. Ham syslog dosyaları yerine, kaynak IP, zaman aralığı ve hedef URL gibi kriterlere göre filtrelenmiş raporlar sunmak, adli sü