DDoS Korumalı VDS Nedir ve Nasıl Çalışır?

DDoS korumalı VDS, saldırı trafiği sunucunuza ulaşmadan önce ağ seviyesinde tespit edilip ayıklanan, böylece hizmetinizin saldırı sırasında da erişilebilir kalmasını hedefleyen sanal sunucu hizmetidir. Bir web sitesi, oyun sunucusu ya da API yayınlıyorsanız DDoS saldırısıyla karşılaşma ihtimaliniz projenizin büyüklüğünden bağımsızdır; rakip bir oyun sunucusu sahibinin ya da kötü niyetli bir kullanıcının birkaç dakikalığına saldırı hizmeti kiralaması yeterlidir. Bu yazıda DDoS saldırılarının türlerini, korumanın teknik olarak nasıl çalıştığını, ağ katmanı korumasının nerede bittiğini ve sunucu tarafında sizin neler yapabileceğinizi anlatıyoruz.

DDoS Saldırısı Nedir?

DoS (Denial of Service), bir hizmeti meşru kullanıcılara hizmet veremez hâle getirmeyi amaçlayan saldırıdır. DDoS'taki ilk D, dağıtık (distributed) anlamına gelir: saldırı tek bir kaynaktan değil, çoğunlukla ele geçirilmiş binlerce cihazdan oluşan bir botnet'ten ya da yanlış yapılandırılmış internet servislerinden aynı anda gelir. Kaynak sayısı çok fazla olduğu için tek tek IP adreslerini engellemek pratik bir çözüm değildir.

Saldırganın amacı üç kaynaktan birini tüketmektir: sunucuya giden bant genişliği, ağ cihazlarının ve işletim sisteminin bağlantı tabloları ya da uygulamanın işlemci ve bellek kaynakları. Hangi kaynağın hedeflendiği, hangi koruma yönteminin işe yarayacağını belirler.

DDoS Saldırı Türleri

Hacimsel saldırılar

En yaygın türdür. Saldırgan, sahte kaynak adresiyle küçük sorgular gönderdiğinde çok daha büyük yanıtlar üreten açık servisleri kullanır; yanıtlar kurbanın IP adresine yönelir. Bu yansıtma ve büyütme tekniği sayesinde, saldırganın gönderdiği trafiğin katlarca büyüğü hedefe ulaşır. Sunucunuzun ağ bağlantısı dolduğunda, sunucu üzerindeki güvenlik duvarı ne kadar iyi ayarlanmış olursa olsun işe yaramaz; çünkü trafik sizin kontrolünüzdeki noktaya varmadan hat tıkanmıştır.

Protokol saldırıları

TCP bağlantı kurulumunun zayıflıklarını hedefler. SYN flood saldırısında sunucuya yanıtı hiç tamamlanmayacak çok sayıda bağlantı isteği gönderilir; amaç yarım açık bağlantılarla tabloyu doldurmaktır. Bu saldırılar her zaman büyük bant genişliği gerektirmez; paket sayısı yüksek olduğunda işlemciyi ve ağ cihazlarını yorar.

Uygulama katmanı saldırıları

Görünüşte normal HTTP istekleridir. Bir arama sayfasına ya da sepete saniyede binlerce istek göndermek, her isteğin veritabanına gitmesi nedeniyle sunucuyu kilitleyebilir. Trafik hacmi düşük kalabildiği için ağ seviyesindeki sistemler bu saldırıyı meşru trafikten ayırt etmekte zorlanır.

DDoS Korumalı VDS Nasıl Çalışır?

Ağ seviyesinde DDoS koruması genellikle şu adımlardan oluşur:

1. İzleme: Ağ cihazları trafik akışlarını sürekli örnekler; protokol dağılımı, paket hızı ve hedef IP başına trafik izlenir.
2. Algılama: Normal profilden sapma ya da bilinen saldırı imzaları tespit edildiğinde ilgili IP için koruma devreye girer.
3. Temizleme (scrubbing): Trafik, filtreleme kapasitesine sahip sistemlerden geçirilir. Sahte kaynaklı paketler, yansıtma trafiği, protokol dışı ve bozuk paketler ayıklanır.
4. Teslim: Temizlenen meşru trafik sunucunuza iletilir; kullanıcılarınız hizmete erişmeye devam eder.

Bazı altyapılarda koruma sürekli devrededir (always-on), bazılarında ise saldırı algılandığında devreye girer (on-demand). Sürekli korumada ilk paketten itibaren filtreleme yapılır; algılamaya dayalı modelde ise saldırının ilk saniyelerinde kısa bir etki görülebilir.

Korumasız altyapıda ne olur?

DDoS koruması olmayan bir sağlayıcıda büyük bir saldırı geldiğinde, ağın geri kalanını korumak için çoğu zaman hedef IP adresi tamamen kara deliğe (blackhole) yönlendirilir. Bu, saldırının ağın diğer müşterilerine zarar vermesini önler ama sizin sunucunuz saatlerce erişilemez kalır. Yani saldırgan amacına ulaşmış olur. DDoS korumalı VDS'in temel farkı, saldırı trafiğini atarken meşru trafiği sunucunuza ulaştırmaya devam etmesidir.

Ağ Koruması ile Layer 7 Koruma Arasındaki Fark

Ağ seviyesindeki DDoS koruması hacimsel ve protokol saldırılarına karşı etkilidir. Ancak uygulama katmanı saldırılarında her istek, tamamlanmış ve meşru görünen bir TCP bağlantısının içinde gelir. Bir isteğin gerçek bir ziyaretçiden mi yoksa bir bottan mı geldiğini anlamak için HTTP başlıklarına, istek desenlerine ve davranışa bakmak gerekir.

Bu iş için web uygulama güvenlik duvarı (WAF) ve Layer 7 koruma katmanı kullanılır. Bu katman istek hızını sınırlar, şüpheli istemcilere doğrulama sayfası gösterir, bilinen saldırı imzalarını engeller ve sunucunuzun gerçek IP adresini gizler. Web siteniz veya API'niz hedefteyse VDS'in ağ korumasını Layer 7 WAF ve DDoS koruma hizmeti ile tamamlamak en sağlam yaklaşımdır.

Sunucu Tarafında Alabileceğiniz Önlemler

Ağ koruması ne kadar güçlü olursa olsun, sunucunuzun yapılandırması saldırıya dayanıklılığı doğrudan etkiler.

SYN cookies etkin mi kontrol edin

SYN cookies, bağlantı tablosu dolduğunda bile yeni bağlantıların kabul edilebilmesini sağlayan çekirdek özelliğidir. Ubuntu ve AlmaLinux'ta varsayılan olarak açıktır; yine de doğrulamak iyi olur:

sysctl net.ipv4.tcp_syncookies
# Sonuç 1 olmalı. Değilse:
echo 'net.ipv4.tcp_syncookies = 1' | sudo tee /etc/sysctl.d/90-syncookies.conf
sudo sysctl --system

Gereksiz portları kapatın

Dışarıya açık her servis potansiyel bir saldırı yüzeyidir. Yalnızca gerçekten ihtiyaç duyduğunuz portları açık bırakın; veritabanı, Redis gibi servisleri yalnızca yerel adrese bağlayın. Ubuntu'da bu iş için UFW kullanabilirsiniz; ayrıntılar UFW güvenlik duvarı rehberimizde. Sunucunuzda hangi portların dışarıdan erişilebilir olduğunu port kontrol aracımızla hızlıca test edebilirsiniz.

Web sunucusunda istek sınırı tanımlayın

Nginx kullanıyorsanız IP başına istek hızını sınırlamak, küçük çaplı HTTP flood saldırılarını ve agresif botları sunucuya yük olmadan durdurur:

# /etc/nginx/nginx.conf içinde, http bloğunda
limit_req_zone $binary_remote_addr zone=istek_siniri:10m rate=10r/s;

# İlgili site yapılandırmasında, server bloğunda
location / {
    limit_req zone=istek_siniri burst=20 nodelay;
}

Değeri sitenizin gerçek kullanımına göre ayarlayın ve değişiklik sonrası sudo nginx -t ile yapılandırmayı test edip sudo systemctl reload nginx ile uygulayın. Çok düşük bir sınır, aynı ağdan çıkan meşru kullanıcıları da etkileyebilir.

Gerçek IP adresinizi koruyun

Sitenizi bir WAF veya ters vekil sunucu arkasına aldıysanız, saldırgan sunucunuzun gerçek IP adresini bulduğu anda bu katmanı atlayabilir. Gerçek IP; eski DNS kayıtlarından, sunucudan doğrudan gönderilen e-postaların başlıklarından ya da koruma dışında bırakılmış alt alan adlarından sızabilir. Koruma katmanına geçtikten sonra web portlarınızı yalnızca koruma sağlayıcısının IP aralıklarına açmak bu riski büyük ölçüde azaltır.

Saldırı anında durumu gözlemleyin

# Bağlantı özetini görüntüle
ss -s
# Yarım açık (SYN-RECV) bağlantı sayısı
ss -nt state syn-recv | wc -l
# En çok bağlantı kuran IP adresleri
ss -nt | awk 'NR>1 {print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Bu çıktılar, sorunun ağ seviyesinde mi yoksa uygulama seviyesinde mi yaşandığını anlamanıza ve destek ekibine doğru bilgi vermenize yardımcı olur. Saldırı sırasında ilk iş, zaman bilgisiyle birlikte gözlemlerinizi not edip sağlayıcınıza iletmektir.

Saldırı Anında İzlenecek Yol

Saldırı sırasında panikle yapılan değişiklikler çoğu zaman durumu kötüleştirir. Önceden hazırlanmış kısa bir plan, hem kesinti süresini kısaltır hem de destek ekibinin işini kolaylaştırır:

1. Belirtiyi doğrulayın: Yavaşlığın sebebi saldırı mı, yoksa bir yazılım hatası ya da yoğun meşru trafik mi? Yukarıdaki komutlarla bağlantı sayısını ve kaynakları kontrol edin.
2. Hedefi belirleyin: Saldırı hangi IP adresine, hangi porta ve hangi protokole yöneliyor?
3. Kayıt tutun: Başlangıç saatini, gözlemlerinizi ve aldığınız ekran çıktılarını not edin.
4. Destek ekibine bildirin: Topladığınız bilgileri iletin; ağ seviyesindeki filtreler ancak doğru bilgiyle hızlıca ayarlanabilir.
5. Saldırı sonrası değerlendirme yapın: Gerçek IP adresinizin nasıl bulunduğunu, hangi servisin hedeflendiğini ve hangi önlemlerin eksik kaldığını gözden geçirin.

Oyun Sunucularında DDoS Koruması

Oyun sunucuları DDoS saldırılarının en sık hedeflerinden biridir ve özel bir zorluk taşır: oyun trafiği büyük ölçüde UDP üzerinden akar ve düşük gecikmeye son derece duyarlıdır. Genel amaçlı filtreler, oyun protokolüne ait meşru paketleri yanlışlıkla engelleyebilir ya da temizleme sırasında gecikmeyi artırabilir. Bu nedenle oyun sunucularında oyun protokollerini tanıyan filtreleme önemlidir. Oyun projeleri için hazırlanmış oyun sunucusu paketlerimizi inceleyebilir, donanım tarafını oyun sunucusu için VDS seçimi yazımızda okuyabilirsiniz.

DDoS Korumalı VDS Alırken Sorulacak Sorular

• Koruma sürekli mi devrede, yoksa saldırı algılandığında mı başlıyor?
• Koruma tüm protokolleri (TCP, UDP, ICMP) kapsıyor mu?
• Saldırı sırasında IP adresim kara deliğe alınıyor mu, hangi durumlarda?
• Layer 7 saldırılarına karşı ek bir WAF katmanı sunuluyor mu?
• Saldırı anında destek ekibine nasıl ve ne kadar hızlı ulaşabilirim?

DataHost'un DDoS korumalı VDS paketlerinde koruma, NVMe SSD, özel IP ve limitsiz trafikle birlikte standart olarak sunulur; web projeleri için Layer 7 koruma ayrıca eklenebilir.

Sık Sorulan Sorular

DDoS koruması sitemi tamamen saldırıdan korur mu?

Hiçbir koruma her saldırıyı tek başına durduramaz. Ağ seviyesindeki koruma hacimsel ve protokol saldırılarını karşılar; uygulama katmanı saldırıları için WAF ve doğru sunucu yapılandırması gerekir. En iyi sonuç katmanlı savunmayla alınır.

DDoS koruması gecikmeyi artırır mı?

Trafiğin filtreleme sistemlerinden geçmesi çok küçük bir ek gecikme yaratabilir. İyi tasarlanmış bir koruma altyapısında bu etki normal kullanımda genellikle hissedilmez; korumasız bir sunucunun saldırı anında tamamen erişilemez olmasıyla kıyaslandığında ihmal edilebilir düzeydedir.

Sunucumdaki güvenlik duvarı DDoS'u engeller mi?

Hacimsel saldırılarda hayır. Trafik sunucunuza ulaşmadan ağ bağlantısı dolar. Sunucu güvenlik duvarı ise gereksiz portları kapatmak ve küçük ölçekli kötüye kullanımı sınırlamak için önemlidir.

Saldırı altında olduğumu nasıl anlarım?

Ani ve açıklanamayan bağlantı artışı, ağ trafiğinde sıçrama, çok sayıda yarım açık bağlantı ya da aynı adrese gelen tekrarlı istekler tipik belirtilerdir. Şüphelendiğinizde gözlemlerinizi zaman bilgisiyle destek ekibine iletin.

Yeni VDS'imde DDoS dışında hangi güvenlik adımlarını atmalıyım?

SSH erişimini güçlendirmek, güvenlik duvarı kurmak, güncellemeleri otomatikleştirmek ve yedek almak temel adımlardır. Tam liste için yeni VDS'te ilk 10 güvenlik adımı rehberimize göz atın.

DDoS korumalı VDS, saldırıların kaçınılmaz olduğu günümüz internetinde hizmet sürekliliğinin temel taşlarından biridir. Ağ korumasını sunucu tarafındaki doğru yapılandırma ve gerektiğinde Layer 7 katmanıyla birleştirdiğinizde, saldırı anında bile kullanıcılarınıza hizmet vermeye devam edebilirsiniz.