Tüm ürünler 
Windows VPS: lisanslama, RDP ve güvenli oturum açma
Windows sunucu Linux'tan yalnızca bellek yüzünden daha pahalı değildir: fiyata bir lisans dahildir ve bu lisansın nasıl düzenlendiği, kurallara uygun olup olmadığınızı ve kaç kişinin bağlanabileceğini belirler. Açıkta bırakılmış bir RDP portu da bu tür sunucuların en sık ele geçirilme yoludur. İki konuyu da ele alıyoruz.
Windows Server sürümünü ve doğru bellek miktarını seçmek, seçki sayfalarında anlatılıyor. Bu yazı, paketlerin genellikle tek satırda geçiştirdiği ya da hiç bahsetmediği iki konuyla ilgili: sağlayıcı size Windows'u hangi temelde veriyor ve oturumu yalnızca sizin açabildiğinizden nasıl emin olursunuz. İkisini de ödeme yapmadan önce kontrol edin: bir sunucuyu yeniden lisanslamak veya bir saldırıdan sonra yeniden kurmak, baştan doğru paketi seçmekten daha pahalıya gelir.
Sağlayıcılar Windows Server'ı nasıl lisanslar
Sağlayıcı her müşteri için kutulu bir Windows kopyası satın almaz. Sağlayıcılar Microsoft'un SPLA programını (Services Provider License Agreement) kullanır: lisanslar kiralanır ve gerçek kullanıma göre Microsoft'a aylık olarak ödenir. Windows'un pakette aylık ek ücret olarak görünmesinin ve sunucuyu sildiğinizde ortadan kalkmasının nedeni budur.
SPLA kapsamında Windows Server çekirdek başına lisanslanır. Sanal makine bazında lisanslamada sağlayıcı, sanal makinenin sanal çekirdeği kadar çekirdek lisansı öder, ancak sanal makine başına sekizden az olmamak üzere. Bu yüzden 1–2 vCPU'lu küçük bir pakette Windows ek ücreti 8 vCPU'lu bir paketteki ile neredeyse aynıdır ve sunucu fiyatına oranla büyük görünür. Ucuz paketlerde Windows bazen sunucunun kendisinden daha pahalıya gelir.
Paket açıklamasında kontrol etmeniz gerekenler:
- yalnızca "Windows imajı" veya "Windows kurulumu" değil, lisansın fiyata dahil olduğu ya da seçenek olarak eklendiği açıkça yazıyor mu;
- hangi sürüm: Standard mı, Datacenter mı. Tek bir VPS için bu genellikle sizin açınızdan fark etmez; önemli olan bir lisansın bulunmasıdır;
- yenilemede ve çekirdek eklediğinizde Windows ne kadar tutuyor.
Paket lisans olmadan yalnızca sistem imajı sağlıyorsa Windows hatırlatmalar ve kısıtlamalarla etkinleştirilmemiş olarak çalışır ve bu kullanımın kurallara uygunluğu sizin sorumluluğunuzdadır.
Kendi lisansınızı getirebilir misiniz
Teknik olarak evet: KVM'de kendi ISO imajınızdan önyükleme yapabilirsiniz. Hukuki açıdan ise bu, lisansın türüne bağlıdır.
- Perakende ve OEM anahtarlar, yani çevrimiçi mağazalarda satılanlar, Windows Server'ı bir sağlayıcının paylaşımlı donanımında çalıştırma hakkı vermez. OEM lisans ayrıca belirli bir fiziksel sunucuya bağlıdır.
- Software Assurance'lı toplu lisanslar veya abonelik lisansları Ekim 2022'den bu yana paylaşımlı donanım dahil üçüncü taraf sağlayıcılara taşınabilir (Flexible Virtualization Benefit). İstisna, Microsoft listesindeki en büyük genel bulutlardır; onlar için ayrı kurallar geçerlidir.
Şirketin etkin bir Software Assurance'ı yoksa sağlayıcı lisanslı bir paket daha basit ve daha güvenlidir. Kendi lisansınız, toplu lisans sözleşmesi kapsamında zaten ödenmişse anlamlıdır.
Masaüstü Windows 10 ve 11 ayrı bir durumdur. SPLA'nın parçası değildirler ve lisans koşulları paylaşımlı donanımda kiralamaya göre tasarlanmamıştır. Ayrıntılar Windows 10'lu VPS ve Windows 11'li VPS sayfalarında.
RDP üzerinden kaç kişi bağlanabilir
Ek lisans olmadan Windows Server, yönetim amaçlı iki eşzamanlı RDP bağlantısı kabul eder. Sunucuda muhasebe, yöneticiler veya operatörler gibi çalışanlar çalışacaksa Remote Desktop Session Host rolüne ve her kullanıcı için bir lisansa ihtiyacınız vardır.
| Senaryo | Ne gerekir | Kim öder |
|---|---|---|
| 1–2 yönetici | Windows Server lisansı dışında hiçbir şey | Pakete dahil |
| Çalışanlar sunucuda çalışıyor | RD Session Host rolü ve kullanıcı başına lisans | Sağlayıcıdan: kullanıcı başına aylık RDS SAL |
| Kendi lisans altyapınız | Bir RDS lisans sunucusu ve onu bir sağlayıcıda kullanma hakkı | Şirket, kendi sözleşmesi kapsamında |
SPLA kapsamında kullanıcı başına lisansa RDS SAL denir ve aylık sayılır: bir kullanıcıya ayın yalnızca bir günü bile erişim verildiyse ayın tamamı ödenir. Sağlayıcıya bu lisansları satıp satmadığını ve fiyatını sorun; küçük bir ekip için bu, sunucu bütçesini ikiye katlayabilir. Kullanıcı başına bellek ve çekirdek hesabı RDP sunucusu sayfasında anlatılıyor.
RDP neden en çok saldırıya uğrar
3389 portu sürekli taranır: RDP'si açık yeni bir Windows sunucu, IP adresini aldıktan birkaç dakika sonra oturum açma denemeleri almaya başlar. İki ana tehdit vardır.
- Parola tahmini. Botlar başta Administrator olmak üzere yaygın kullanıcı adlarını ve sızdırılmış veritabanlarındaki parolaları dener. Bu, sızmaların en sık nedenidir.
- RDP hizmetinin kendisindeki güvenlik açıkları. Bir örnek 2019'daki BlueKeep (CVE-2019-0708): eski Windows sürümlerindeki bir açık, parola olmadan kod çalıştırmaya izin veriyordu. Düzeltme güncellemelerle geldi ve bu düzeltmeye sahip olmayan hiçbir sistem internete açık olmamalıdır.
Koruma katmanlar halinde kurulur: önce RDP'ye kimin erişebileceğini sınırlayın, sonra oturum açmayı zorlaştırın, ardından açıkları güncellemelerle kapatın.
Katman 1: ağ
- IP izin listesi. Windows Güvenlik Duvarı'nda RDP portunu yalnızca kendi adreslerinize açın. Sağlayıcı panelinde bir ağ filtresi sunuyorsa, istenmeyen trafiğin sunucuya hiç ulaşmaması için kuralı orada da tekrarlayın.
- Kurumsal özel ağ. Çalışanların adresleri değişiyorsa onları sunucuya şirketin VPN ağ geçidi üzerinden bağlayın ve RDP'nin yalnızca iç ağda dinlemesini sağlayın. Bu yapının nasıl kurulacağı VPS'te kurumsal ağ yazısında anlatılıyor.
- Uzak Masaüstü Ağ Geçidi (RD Gateway). RDP'yi 443 portu üzerinden HTTPS içinde taşır, kullanıcıları erişim ilkelerine göre denetler ve ikinci bir doğrulama adımı eklemenize olanak tanır. Kullanıcı sayısı fazla olduğunda ve onlara VPN istemcisi kurmak istemediğinizde kullanışlıdır.
RDP'yi 3389 portundan başka bir porta taşımak loglardaki gürültüyü azaltır ama sizi korumaz: tarayıcılar standart dışı portlardaki RDP'yi de bulur.
Katman 2: oturum açma
- Ağ Düzeyinde Kimlik Doğrulama (NLA). Kullanıcı, sunucu tam bir oturum açmadan önce kimlik bilgilerini girer. Bu, kaba kuvvet denemeleri sırasında kaynak tasarrufu sağlar ve oturum açmadan önce tetiklenen bazı açıkları engeller. Her zaman açık olmalıdır.
- Kilitleme ilkesi. Ekim 2022 güncellemeleriyle veya daha yenileriyle kurulan sistemlerde, yerleşik yönetici dahil, 10 başarısız denemeden sonra 10 dakikalık kilitleme varsayılan olarak uygulanır. Eski imajlarda bu olmayabilir; Yerel Güvenlik İlkesi'nden kontrol edin.
- Ayrı hesaplar. Her çalışana yönetici yetkisi olmayan kendi hesabını verin. Yerleşik Administrator hesabını yeniden adlandırın veya devre dışı bırakın ve sağlayıcının gönderdiği parolayı ilk girişte değiştirin.
- İkinci doğrulama adımı. Paraya ve kişisel verilere erişimi olan sunucularda RD Gateway veya üçüncü taraf bir Windows oturum açma çözümü üzerinden iki faktörlü kimlik doğrulama ekleyin.
Katman 3: güncellemeler ve kurtarma
RDP, SMB ve Windows çekirdeği için düzeltmeler her ayın ikinci salı günü yayımlanır. Gece saatlerinde yeniden başlatmalı otomatik kurulumu açın ve sürümün destek tarihlerini takip edin: Windows Server 2016 düzeltmeleri 12 Ocak 2027'ye, 2019 9 Ocak 2029'a, 2022 14 Ekim 2031'e, 2025 ise 14 Kasım 2034'e kadar alır. Desteklenmeyen bir sürümdeki sunucu, oturum açma ne kadar iyi korunursa korunsun savunmasız kalır.
Verilerin sunucu dışında bir yedeğini ve kurulumdan sonra temiz sistemin bir anlık görüntüsünü tutun. Güvenlik günlüğü bilinmeyen bir adresten başarılı bir oturum açma gösteriyorsa, saldırganın neyi değiştirdiğini aramaktansa şablondan yeniden kurup verileri geri yüklemek daha güvenlidir. Sürümlere özgü ayrıntılar Windows Server 2022 ve Windows Server 2025 sayfalarında.
Kontrol listesi: Windows VPS'te ilk saat
- Paket açıklamasında Windows Server lisansı geçiyor ve yenileme fiyatı biliniyor.
- İkiden fazla kullanıcı varsa sağlayıcıdan RDS SAL meselesi çözülmüş.
- Sağlayıcının parolası değiştirilmiş, yerleşik Administrator yeniden adlandırılmış veya devre dışı bırakılmış.
- NLA açık ve hesap kilitleme ilkesi geçerli.
- RDP yalnızca sizin IP'lerinize, şirketin özel ağı üzerinden veya RD Gateway aracılığıyla açık.
- Otomatik güncellemeler açık ve Windows sürümü hâlâ destekleniyor.
- Verilerin sunucu dışında bir yedeği ve kurulumdan sonra alınmış bir anlık görüntü var.
Lisansı zaten dahil olan paketler Windows'lu VPS ve ucuz Windows VPS sayfalarında toplanmıştır. Genel sunucu seçim kriterleri VPS nasıl seçilir yazısında.