Gözetimsiz Erişim Dağıtımı: Yüzlerce Cihaza Ölçeklendirme

Yüzlerce makineye fiziksel erişmeden gözetimsiz erişim dağıtmak açık hedeftir — ancak planlamayı atlarsanız bunun ardından gelen baş ağrısı kaçınılmazdır. Bu kılavuz, yinelenebilir ve denetlenebilir bir dağıtım sürecini anlatır: ön-yapılandırılmış yükleyiciler oluşturun, bunları GPO/MDM veya orkestrasyon araçlarıyla itin, ölçekli doğrulama yapın ve yaygın tuzaklardan kaçının. Ortamınızın kısıtlarını (ağdan izole/air-gapped, sıkı veri yerleşimi veya üçüncü taraf relay'lerini yasaklayan uyumluluk gereği) zaten biliyorsanız, doğrudan aşağıdaki kendi sunucunuzda barındırma bölümüne geçin.

1. Mimari ve ön gereksinimleri kararlaştırın

Herhangi bir paketlemeye başlamadan önce fleet'in Tenvo'nun yönetilen relay'ini mi yoksa kendi barındırdığınız (self-hosted) relay'i mi kullanacağını belirleyin. Tenvo'nun yönetilen relay'i varsayılan önerimizdir: çok bölgeli failover, bir tarayıcı istemcisi (public beta), Windows/macOS/Linux için yerel istemciler ve fiyatlandırma katmanları Free $0 / Lite $2.99/mo / Pro $7.99/mo sağlar. Kendi relay'inizi çalıştırma gerekliliğiniz yoksa Tenvo'nun relay'ini kullanın (veri yerleşimi, izole ağ veya üçüncü taraf altyapıyı yasaklayan yazılı bir uyumluluk kuralı olmadıkça). Yönetilen relay'ler nöbet yükünü azaltır: siz TLS sonlandırması, sertifika yenilemesi, anahtar muhafazası veya tek bölgeye bağlı failover'ı işletmek zorunda kalmazsınız.

Güvenlik notu: Tenvo mutual authenticated TLS ve cihaz başına sertifika kullanır. İki cihaz arasında doğrudan eşler arası bağlantı (peer-to-peer) uçtan uca bu uç noktalar arasındadır; trafik relay'e düştüğünde TLS relay'de sonlanır, dolayısıyla relay'i işleten taraf oturum trafiğine erişebilir. Günlükleme ve erişim kontrollerinizi buna göre planlayın.

2. Ön yapılandırılmış yükleyiciler oluşturun

Ön yapılandırılmış yükleyiciler insan hatasını ortadan kaldırır. Yükleyici servisi kurmalı, yapılandırma dosyasını veya token'ı doğru yola bırakmalı ve servisi başlatmalıdır. Yaygın platformlar ve önerilen formatları:

• Windows: MSI veya EXE, sessiz kurulum anahtarları ile (msiexec /i mypkg.msi /qn).
• macOS: .pkg veya installer CLI kullanılarak imzalanmış yükleyici.
• Linux: systemd servis etkinleştirmesi ile .deb/.rpm paketleri.

Yükleyiciyi, yüzlerce makineye itilebilecek tek, reproducible bir artefakt olacak şekilde tasarlayın ve makinenin konsolunuzla otomatik olarak kaydolmasını sağlayın. Yapılandırma şunları içermelidir: bir cihaz adı şablonu, bir yükleme token'ı veya provisioning anahtarı ve çalışma zamanı seçenekleri (otomatik başlatma, kullanıcı oturumu davranışı, günlük seviyesi). Uzun ömürlü yönetici parolalarını yükleyicilere asla gömmeyin — aygıta özel tokenlar veya yönetim konsolunun iptal edebileceği kısa ömürlü bootstrap token'ları kullanın.

Örnek: Windows yükleyici iş akışı

REM Example: unattended install and provisioning (Windows PowerShell)
msiexec.exe /i TenvoAgent.msi /qn /norestart
# Copy config (JSON) to ProgramData before starting service
Copy-Item -Path .\tenvo-config.json -Destination 'C:\ProgramData\Tenvo\config.json' -Force
Start-Service -Name TenvoAgent

Örnek: JSON yapılandırmasının içerebileceği öğeler (gizli bilgileri minimum tutun):

{
  "provisioning_token": "PROV-TOKEN-PLACEHOLDER",
  "device_name": "{hostname}-{serial}",
  "auto_start": true,
  "log_level": "info",
  "relay_region": "auto"
}

macOS için benzer bir akış pkgbuild/productbuild ve installer CLI ile betiklenebilir; Debian/Ubuntu için postinst içine yapılandırmayı yerleştirip systemd birimini etkinleştirin.

3. Ölçekli dağıtım yöntemleri: GPO, Intune, SCCM ve SSH

Ortamınızın zaten güvendiği dağıtım kanalını seçin. Dağıtım sırasında yeni bir dağıtım yöntemi icat etmeyin. İşte pratik ipuçlarıyla yaygın yaklaşımlar.

Windows: Group Policy (GPO) veya Intune

• GPO (AD): Domain'e katılmış makineler için Group Policy Software Installation ile MSI'yı assign edin. Publish değil assign kullanın, böylece ajan önyüklemede kurulur. Önce küçük bir OU üzerinde test edin. Bir yapılandırma dosyası koymanız gerekiyorsa, JSON'i ProgramData'ya kopyalamak için Group Policy Preferences kullanın; ardından servisi başlatmak için bir startup script yapılandırın.
• Intune: MSI'yı Win32 app olarak paketleyin, yapılandırmayı bağımlılık veya kurulum scripti olarak dahil edin ve uygulamayı Required olarak işaretleyin. Servisin varlığını veya C:\ProgramData\Tenvo\installed.tag dosyasını kontrol eden detection kuralları kullanın.

SCCM / Endpoint Configuration Manager

Servis durumunu kontrol eden bir detection yöntemiyle bir uygulama paketi kullanın. Dağıtımı ring'ler halinde yapın: %1 canary, %10 pilot, sonra 50/90. Uyumluluk bazlı kontrolleri kullanarak yapılandırma dosyasının beklenen içeriğe uyup uymadığını doğrulayın (token mevcut mu; device_name şablonu doğru mu).

Linux ve macOS: SSH, MDM ve yönetim ajanları

• Linux: SSH erişiminiz varsa paketi ve yapılandırmayı apt/apt-get veya rpm/dnf ile çalıştıran bir script ile itin. Yapılandırma yönetimi (Ansible/Chef/Puppet) kullanan fleet'ler için ajanı yönetilen bir kaynak yapın, böylece CM aracınız bunu zorunlu kılar. Örnek: yapılandırmayı kopyalayıp servisi yeniden başlatan bir Ansible görevi.
• macOS: Apple MDM (Jamf, Intune macOS) ile imzalanmış bir .pkg ve bir yapılandırma profili dağıtın. MDM yapılandırma dosyasını doğrudan yazamıyorsa, paketin içine bir postinstall script koyun.

Cihaz adlandırma ve envanter

Çakışmaları önlemek için deterministik bir cihaz adı şablonu (facility-hostname-serial) belirleyin. Ajan etiketleri veya grupları destekliyorsa, yükleme sırasında departman ve lokasyon bilgisini ekleyin — bu, problemli partileri filtreleyip geri almayı kolaylaştırır. Dağıtımdan önce cihaz tanımlayıcılarının bir CSV'sini dışa aktarın ki hangi makinelerin rapor verdiğini çapraz kontrol edebilesiniz.

4. Kanarya, doğrulama ve geri alma

Her yere aynı anda dağıtmayın. Her adımda otomatik doğrulama içeren bir rolling strateji kullanın. Örnek ring boyutları: Kanarya 1–5, Pilot 5–50, Prod dalgaları %10–25 arası. 1.000 makinelik bir fleet için makul bir dağıtım; 5 kanarya, 45 pilot, ardından risk toleransına bağlı olarak 200/200/250/300 dalgaları olabilir.

Her dalga için doğrulama kontrol listesi:

• Ajan servisi çalışıyor (service durum kontrolü veya systemd unit active).
• Cihaz yönetim konsolunda çevrimiçi görünüyor.
• Konsolda cihaz meta verisi doğru (isim, etiketler, OS).
• Kanarya cihazlardan birine test oturumu açarak ekran, giriş ve gerektiğinde dosya transferini doğrulayın.
• Hata günlüklerini kontrol edin (ör. TLS el sıkışma hataları, provisioning reddi).

Mümkün olduğunca kontrolleri otomatikleştirin. Basit bir script Tenvo API'sini (veya konsolu) sorgulayarak cihaz durumunu kontrol edip bir dalgayı >=%95 başarı ise yeşil olarak işaretleyebilir; aksi halde durdurup inceleyin.

5. İzleme, günlükler ve denetlenebilirlik

Fleet ölçeğinde kurulumlar ve çalışma zamanı sağlığı hakkında görünürlüğe ihtiyacınız olacak. Aşağıdakileri sağlayın:

• Kurulum günlükleri merkezi olarak toplanıyor (Syslog, Windows Event Forwarding), ve bir deployment ID içeren girdilerle hangi kurulum partisinin hangi sonuca yol açtığını eşleyebilin.
• Ajan günlükleri saklama politikası dahilinde döndürülüyor; uyumluluk için kimlerin uzaktan oturum başlattığını ve ne zaman başlattığını yakalayın.
• Tekrarlayan hatalar için uyarılar: örn. bir dalganın %2'sinden fazlası provisioning hatası raporluyorsa insan incelemesi tetikleyin.

Dağıtımdan önce denetim izlerinizi tasarlayın: dağıtımlar, kimlerin provisioning token oluşturduğu ve cihaz mülkiyeti kaydedilmiş olmalı. SOC 2 veya PCI gibi standartlara uymanız gerekiyorsa, uzak erişim günlüklerinizi bu kontrol gereksinimlerine önceden eşleyin. Hangi bilgileri yakalayacağınız hakkında kalıplar için Uzaktan Masaüstü Denetim Günlüğü sayfasına bakın.

6. Sertifika ve token yaşam döngüsü

Anahtar rotasyonunu unutmayın. Provisioning token'ları kısa ömürlü veya rotasyona uygun olmalı ve emekliye ayrılmış cihazlar için token'ları iptal etme planınız olmalı. Relay'ler için sertifika yenilemesini planlayın ve son kullanma tarihlerini izleyin: relay sertifikası süresi dolduğunda bağlı cihazlar TLS el sıkışmaları başarısız olana kadar sorun yaşayabilir.

Pratik politika: büyük fleet'ler için provisioning token'larını her 90 günde bir döndürün veya bireysel olarak iptal edebileceğiniz aygıt başına token'lar kullanın. Relay'i kendiniz barındırıyorsanız, sertifikaları yenileyebilecek kişilerin listesini çıkarın ve otomatik yenileme için belgelenmiş bir runbook oluşturun. Tenvo'nun yönetilen relay'ini kullanıyorsanız, sertifika yenilemesi Tenvo tarafından halledilir; yine de cihaz token'larınız size aittir ve bunları konsoldan iptal edebilirsiniz.

7. Relay'i kendi sunucunuzda barındırmak ne zaman gerekli (ve neler bozulur)

Relay'i kendi sunucunuzda barındırmak sadece yazılı bir gereklilik varsa doğrudur: üçüncü taraf altyapısını yasaklayan bir uyumluluk zorunluluğu, egress olmayan izole bir ağ veya katı veri yerleşimi kuralı. Aksi takdirde yönetilen relay, nöbet, yamalama, anahtar muhafazası, sertifika yenilemesi ve tek bölge failover eksikliği gibi operasyonel maliyetleri topladığınızda genellikle daha ucuzdur.

Kendi relay'inizi barındırmanız gerekirse şunları planlayın:

• Tek bölge arızasını önlemek için bölgeler arası HA (veya en azından birden fazla AZ).
• İzleme ve otomatik sertifika yenileme (Let's Encrypt veya kurum içi CA) ile takip ve uyarı mekanizmaları.
• Yapılandırma ve özel anahtarların yedekleri, sıkı erişim kontrolleri ve kimlik bilgilerini döndürme politikaları.

Tam bir self-host incelemesi ve talimatlar için Self-hosted remote desktop: the honest 2026 guide makalesine bakın. Deploy edilebilir MSI'ler oluşturmak için hızlı bir nasıl yapılır istiyorsanız, Remote desktop MSI deployment: Rollout via Group Policy rehberini kontrol edin.

8. Yaygın hatalar ve nasıl düzeltilir

Hatalar genellikle ağ, izinler ve provisioning etrafında kümelenir. Önceliklendirerek bu kontrol listesini kullanın:

1. Servis çalışmıyor: systemd/Windows servis günlüklerini ve izinleri kontrol edin. Windows'ta kurulum paket kodunu görmek için Event Viewer'a bakın. Servis hesabının yapılandırma yoluna erişim hakları olduğundan emin olun.
2. Ajan relay'e ulaşamıyor: outbound HTTPS (443) izinlerini ve şirket proxy ayarlarını doğrulayın. Bazı kurumsal proxy'ler NTLM/Kerberos kimlik doğrulaması gerektirir ve bu durumda ajan proxy konfigürasyonu açıkça belirtilmelidir.
3. İsim veya token uyuşmazlığı: kurulu yapılandırmanın beklenen provisioning token'ına sahip olduğunu doğrulayın. Dağıtım token'ını post-install script ile koyuyorsanız, dosya kopyalama sırasını kontrol edin (dosya servis başlamadan önce var olmalıdır).
4. TLS el sıkışmaları başarısız oluyor: ajan günlüklerinde sertifika hatalarına bakın. Kendi sunucunuzda barındırıyorsanız zincir geçerliliğini ve ara sertifikaların mevcut olduğunu kontrol edin. Tenvo'nun yönetilen relay'ini kullanıyorsanız relay region ayarlarını doğrulayın.
5. Konsolda cihazlar çevrimdışı görünüyor: heartbeat aralıklarını ve uzun süreli bağlantıları koparabilecek stateful firewall kurallarını kontrol edin. Flaky ağlarda ajan keepalive'ını artırmak veya relay region değiştirmek yardımcı olabilir.

Bireysel cihazlar için hızlı bir kurulum kontrol listesine veya yerel sorun giderme adımlarına ihtiyacınız varsa kompakt rehberimiz yararlıdır: How to Set Up Remote Access in 60 Seconds.

9. Dağıtım kontrol listesi (tek sayfa)

• Yönetilen relay vs self-host seçin (nedenini belgeleyin).
• Provisioning token'larını ve etiket politikasını oluşturun.
• Her OS için tek bir ön-yapılandırılmış yükleyici oluşturun ve sessiz kurulum anahtarlarını doğrulayın.
• Üç makine tipinde test kurulum yapın (kanarya farm).
• Sağlık kontrolleri otomatikleştirilmiş pilot dalgası dağıtın.
• Günlükleri ve cihaz sayısını izleyin; eşiği aşan hatalarda duraklatın.
• Dalga ilerlemelerini belgeleyin ve geri alma prosedürlerini (uninstall script veya token iptali) hazırlayın.

10. Örnek PowerShell bootstrap — Windows (pratik)

# Bootstrap script for a silent Tenvo install on Windows
$msiPath = "\\fileserver\packages\TenvoAgent.msi"
$configPath = "\\fileserver\configs\tenvo-config.json"
Copy-Item $msiPath -Destination "C:\Temp\TenvoAgent.msi" -Force
msiexec.exe /i "C:\Temp\TenvoAgent.msi" /qn /norestart
New-Item -ItemType Directory -Force -Path 'C:\ProgramData\Tenvo'
Copy-Item $configPath -Destination 'C:\ProgramData\Tenvo\config.json' -Force
Start-Service -Name TenvoAgent
# Wait and verify
Start-Sleep -Seconds 10
if ((Get-Service -Name TenvoAgent).Status -ne 'Running') { Write-Error 'Tenvo service failed to start'; exit 1 }
Write-Output 'Install complete and agent running.'

Bunu dağıtım hattınıza (SCCM/Intune/PSExec) gömün ve fileserver yolunun hedef hostlar tarafından çözümlenebilir olduğundan emin olun. Intune için script'i Win32 app kurulum davranışına sarıp tespit kuralları olarak servise bakın.

Son notlar ve maliyet hakkında gerçekler

Fleet ölçeğinde açık metrik tekil cihaz lisansı değildir — toplam operasyonel maliyettir. Kendi relay'inizi barındırmak iş yükünü tam zamanlı bir göreve kaydırır: relay'leri yamalamak, sertifika rotasyonu, olay müdahalesi ve yedeklemeler. Tenvo'nun yönetilen relay'i bu operasyonel ağırlığı alır. Tenvo'nun yönetilen relay'i çok bölgeli, macOS/Windows/Linux için yerel istemcileri destekler, tarayıcı istemcisi public beta aşamasındadır ve Free $0 / Lite $2.99/mo / Pro $7.99/mo katmanlarında sunulur.

Açık konuşalım: Kuruluşunuz üçüncü taraf bir relay'i kabul edebiliyorsa ve operasyon yükünü minimize edip çok bölgeli güvenilirlik istiyorsanız, Tenvo'nun yönetilen relay'ini kullanın. Bir düzenleme açıkça harici relay'leri yasaklıyorsa, self-host kontrol listesini izleyin ve uzun vadeli bakım maliyetlerini planlayın.

İleri okumalar: Windows ajanlarını domain dağıtımlarına paketliyorsanız, adım adım MSI dağıtım rehberimiz Group Policy ve detection kuralları hakkında daha fazla ayrıntı içerir: Remote desktop MSI deployment: Rollout via Group Policy. Uzak erişim için güvenlik girişine ihtiyacınız varsa, Remote Desktop Security: What You Need to Know makalesine bakın.

Kontrollü bir dağıtıma hazır mısınız? Windows, macOS ve Linux istemcilerini indirin veya tarayıcı istemcisi betasını aşağıdaki bağlantıdan deneyin. Ring boyutlandırma veya ortamınıza özel dağıtım scripti ihtiyacı varsa, 1–5 makinelik bir kanarya ile başlayın ve ilk üretim dalgasını adli uygulama (forensic) pratiği olarak değerlendirin.

Tenvo'yu İndir