Windows Server 2022/2025 VDS Kurulumu ve İlk Ayarlar Rehberi

Windows Server 2022 veya 2025 VDS kurulumunda doğru sıra şudur: sunucuyu güncelle, RDP'yi (NLA, güvenlik duvarı, hesap kilitleme) kapat-kilitle, ardından Plesk ya da MSSQL gibi iş yükünü kur ve lisans durumunu doğrula. İnternete açık bir Windows VDS, ilk saatlerde RDP (TCP 3389) üzerinden parola denemelerine maruz kalır. Bu yüzden "önce güvenlik, sonra uygulama" yaklaşımı gerekir.

Aşağıdaki adımlar PowerShell'i yönetici olarak çalıştırdığınızı varsayar. IP adresleri örnektir (203.0.113.0/24 dokümantasyon aralığı); kendi adreslerinizle değiştirin.

1. Windows Server 2022 mi 2025 mi?

İkisi de VMware vSphere tabanlı bir VDS'te çalışır. Seçimi uygulama uyumluluğu ve destek süresi belirler:

Plesk, SQL Server gibi ürünlerin hangi Windows sürümünü desteklediğini kurulumdan önce üreticinin uyumluluk sayfasından kontrol edin. Çalışan bir sistemi sürüm atlatarak yükseltmek yerine yeni VDS'e taşımak genellikle daha temizdir.

2. İlk giriş sonrası temel ayarlar

RDP ile ilk kez bağlandığınızda şu sırayı izleyin:

# Yönetici parolasını hemen değiştirin (GUI veya)
net user Administrator *

# Bilgisayar adı ve saat dilimi
Rename-Computer -NewName "web01"
Set-TimeZone -Id "Turkey Standard Time"

# Ağ ve VMware Tools durumu
Get-NetIPConfiguration
Get-Service VMTools

• IP ayarı: VDS IP'si genellikle şablonla gelir. Statik atamayı elle yapacaksanız, yanlış ağ geçidi bağlantınızı keser; mutlaka sağlayıcı panelindeki konsol erişimini hazır tutun.
• VMware Tools: VMTools servisi çalışmıyorsa sürücü, saat senkronu ve panel üzerinden yeniden başlatma gibi işlemler sorun çıkarabilir.
• Güncellemeler: sconfig (Server Core) veya Ayarlar > Windows Update ile tüm güvenlik güncellemelerini kurun, gerekirse yeniden başlatın. Üretim sunucusunda otomatik yeniden başlatma saatini mesai dışına alın.

Kurulumdan sonra Microsoft Defender'ın aktif olduğunu doğrulayın:

Get-MpComputerStatus | Select AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

3. RDP güvenliği: en kritik bölüm

NLA'yı zorunlu kılın

Ağ Düzeyinde Kimlik Doğrulama (NLA), oturum açılmadan önce kimlik doğrulaması ister ve kaynak tüketen saldırı denemelerini azaltır:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

RDP'yi yalnızca bilinen IP'lere açın

En etkili önlem budur. Mevcut RDP kurallarını sabit IP'nizle sınırlayın:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" |
  Set-NetFirewallRule -RemoteAddress 203.0.113.10/32 -Enabled True

Sabit IP'niz yoksa bir VPN kullanın ve RDP'yi yalnızca VPN çıkış IP'sine açın. Kendinizi dışarıda bırakmamak için kuralı uygulamadan önce ikinci bir RDP oturumu açık tutun.

Varsayılan yönetici adını değiştirin ve kilitleme politikası ekleyin

Rename-LocalUser -Name "Administrator" -NewName "nxadmin"

# 5 hatalı denemede 15 dk kilitle
net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15

Kilitleme politikası parola tahminini yavaşlatır; ancak yanlış yapılandırılırsa meşru kullanıcıyı da kilitleyebilir. Eşiği makul tutun.

Port değiştirmek yeterli değil

RDP portunu değiştirmek log gürültüsünü azaltabilir ama güvenlik önlemi sayılmaz; tarayıcılar tüm portları dener. Yine de değiştirecekseniz önce yeni portu güvenlik duvarında açın, sonra servisi yeniden başlatın:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 3390
New-NetFirewallRule -DisplayName "RDP 3390" -Direction Inbound -Protocol TCP -LocalPort 3390 -RemoteAddress 203.0.113.10/32 -Action Allow
Restart-Service TermService -Force

Saldırı denemelerini izleyin

Başarısız oturum açma olayları 4625 koduyla kaydedilir:

Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 20 |
  Select TimeCreated, @{n='Mesaj';e={$_.Message.Split("`n")[0]}}

Çok sayıda farklı IP'den yüksek hacimli deneme görüyorsanız sorun parola değil trafik hacmi olabilir; bu durumda ağ seviyesinde filtreleme gerekir. Nixcon'un DDoS koruma ve firewall hizmeti bu tür durumlar için ağ tarafında ek katman sağlar.

4. Plesk hazır imajı mı, elle kurulum mu?

Plesk, Windows üzerinde IIS, Mail, DNS ve veritabanı yönetimini tek panelde toplar. İki yol vardır:

• Hazır imaj/şablon: Sağlayıcı Plesk kurulu imaj sunuyorsa en hızlısıdır. İmajın hangi Windows ve Plesk sürümüyle geldiğini, lisansın kimde olduğunu (sağlayıcı mı, siz mi) ve güncelleme sorumluluğunu önceden sorun.
• Elle kurulum: Temiz bir Windows'a Plesk Installer ile kurulur.

# Plesk Installer'ı indirin
Invoke-WebRequest -Uri "https://autoinstall.plesk.com/plesk-installer.exe" -OutFile "$env:TEMP\plesk-installer.exe"
& "$env:TEMP\plesk-installer.exe"

Yükleyici arayüzünde sürümü ve "Recommended" bileşen setini seçin. Komut satırı bayrakları sürüme göre değişebildiği için otomasyon yapacaksanız plesk-installer.exe --help çıktısına ve Plesk dokümantasyonuna bakın.

Kurulum sonrası kontroller:

1. Panel girişi varsayılan olarak 8443 portundadır. Bu portu da RDP gibi yalnızca yönetim IP'lerine kısıtlayın.
2. Plesk lisans anahtarını panelden uygulayın; deneme lisansının süresini not alın.
3. Plesk, IIS ve hizmetleri kendisi yapılandırır. Kurulumdan sonra IIS'i elle ayrıntılı değiştirmek panel ile çakışabilir.
4. Mail kullanacaksanız PTR, SPF ve DKIM kayıtlarını tamamlayın; aksi halde postalar spam'e düşer.

5. MSSQL: imaj ya da elle kurulum

SQL Server hazır imajı sunulan bir ortamda bile şu soruları netleştirin: Hangi sürüm (Express, Standard, Web)? Lisans kime ait? Elle kurulumda Express ücretsizdir fakat sınırlıdır (veritabanı başına 10 GB, sınırlı bellek ve işlemci kullanımı); büyüyecek bir proje için baştan Standard planlamak gerekir.

Kurulumdan sonra yapılacaklar:

# Bağlantı testi
sqlcmd -S localhost -E -Q "SELECT @@VERSION"

-- SQL Server'a işletim sistemi için bellek bırakın (ör. 16 GB RAM'de 12 GB)
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'max server memory (MB)', 12288; RECONFIGURE;

-- Karma mod kullanıyorsanız sa hesabını kapatın
ALTER LOGIN sa DISABLE;

Güvenlik açısından en önemli kural: 1433 portunu tüm internete açmayın. Uygulama aynı sunucudaysa dışarıya hiç açmayın; uzaktan erişim gerekiyorsa tek IP'ye izin verin:

New-NetFirewallRule -DisplayName "MSSQL 1433 trusted" -Direction Inbound -Protocol TCP -LocalPort 1433 -RemoteAddress 203.0.113.10/32 -Action Allow

Ayrıca yedekleme planı oluşturun ve yedekleri farklı bir diske ya da sunucuya alın.

6. Lisanslama notları

Lisanslama en çok karıştırılan konudur. Genel çerçeve:

• Windows Server çekirdek (core) bazlıdır. Kullanıcıya ya da cihaza erişim için ayrıca CAL gerekebilir.
• Uzak Masaüstü Hizmetleri (RDS): Yönetim amaçlı en fazla iki eşzamanlı oturum varsayılan olarak kullanılabilir. Birden fazla kullanıcının sunucuya masaüstü oturumu açması için RDS rolü ve RDS CAL gerekir.
• Hosting ortamında: Barındırma sağlayıcıları lisansı genellikle kendi lisans programları üzerinden kiralar. VDS'e dahil olan lisansın kapsamını (Windows, RDS, SQL, Plesk) sözleşmede ve paket açıklamasında doğrulayın. Kendi lisansınızı getirmek (BYOL) kuralları ürüne ve sağlayıcıya göre değişir.
• Deneme (Evaluation) sürümü: 180 günde süresi dolar ve periyodik kapanabilir. Üretimde kullanılıyorsa lisanslı sürüme geçildiğini kontrol edin.

Etkinleştirme durumunu şu komutlarla görün:

slmgr /dlv      # ayrıntılı lisans bilgisi
slmgr /xpr      # etkinleştirme bitiş durumu

Lisans anahtarı değiştirme gibi işlemleri sağlayıcının yönergesine göre yapın; sağlayıcının KMS veya benzeri altyapısını elle bozmak etkinleştirmeyi kaybettirebilir.

7. Sık yapılan hatalar ve çözümleri

Son kontrol listesi

1. Yönetici parolası değişti, varsayılan hesap yeniden adlandırıldı.
2. Güncellemeler kuruldu, Defender aktif.
3. RDP: NLA açık, kaynak IP kısıtlı, kilitleme politikası tanımlı.
4. Plesk (8443) ve SQL (1433) yalnızca gerekli IP'lere açık.
5. Lisans kapsamı ve etkinleştirme doğrulandı.
6. Yedekleme ve izleme planlandı.

Windows tabanlı iş yükünüz için VMware vSphere altyapılı, BGP desteği de bulunan sunucu seçeneklerine Nixcon VDS sayfasından bakabilirsiniz.