DDoS koruması: sağlayıcılar gerçekte ne sunuyor
Bugün sağlayıcıların neredeyse yarısı tarifelerine "DDoS koruması" satırını yazıyor. Bu satırın arkasında birkaç terabitlik filtreleme de olabilir, saldırı komşuları etkilediğinde yalnızca adresinizi devre dışı bırakma hakkı da. Korumanın nelerden oluştuğuna, L3/L4 ile L7 düzeylerinin farkına ve sözleşmeden ne satın aldığınızı nasıl anlayacağınıza bakalım.
DDoS saldırısı, bir sunucuyu ya da bağlantısını aşırı yükleyip gerçek ziyaretçilerin ona erişememesi için çok sayıda makineden gönderilen istek akışıdır. Buna karşı koruma, sağlayıcının ağında veya harici bir filtreleme sağlayıcısında kurulur: şüpheli trafik normal trafikten ayrılır ve sunucuya varmadan önce atılır. Sunucu büyük bir saldırıyla kendi başına baş edemez: bağlantısı tıkanmışsa sistemin içindeki hiçbir ayar artık işe yaramaz.
Saldırı düzeyleri: L3/L4 ve L7
Saldırılar ağ modelinin katmanlarına göre ayrılır ve her birine karşı farklı biçimde korunulur.
- Hacimsel saldırılar (L3/L4) bağlantıyı doldurur: sunucuya o kadar çok trafik gelir ki port veya veri merkezinin dış bağlantıları tamamen dolar. Güçleri saniyede gigabit ve terabit cinsinden ölçülür.
- Protokol saldırıları (L3/L4) bağlantı hattını değil, bağlantıları tutan kaynakları tüketir: güvenlik duvarının durum tablolarını, yeni TCP bağlantılarının kuyruğunu. Saniyedeki paket sayısıyla (pps, Mpps) ölçülür. Bu saldırıların bir kısmına karşı sunucunun kendi üzerindeki koruma da işe yarar, örneğin SYN cookies (RFC 4987).
- Uygulama saldırıları (L7) siteye veya API'ye gelen sıradan HTTP isteklerine benzer: arama, sepet, giriş sayfalarına yönelik istekler. Bu sırada bağlantı neredeyse boştur, çöken ise web sunucusu veya veritabanıdır. Saniyedeki istek sayısıyla (rps) ölçülür ve ziyaretçilerden hacme göre değil, davranışa göre ayırt edilir.
L3/L4 ağ filtrelemesi, sağlayıcının genellikle tüm müşteriler için açtığı korumadır. L7 koruması daha karmaşıktır: filtrenin sitenizi anlaması, HTTPS isteklerinin içeriğini görmesi ve ziyaretçiyi bottan ayırt edebilmesi gerekir. Bu yüzden çoğunlukla ayrıca satılır, sizin sertifikanızla çalışan bir proxy üzerinden bağlanır ya da site tarafına bırakılır: CDN, WAF, web sunucusunda istek sıklığını sınırlama.
"Koruma dahil" ve gerçek filtreleme
accsly kataloğunun 3 Kasım 2026 verilerine göre VPS tarifesi olan 2.236 sağlayıcının 1.117'si DDoS koruması beyan ediyor; tam olarak yarısı. Koruma hakkında ayrıntı katalogdaki 219 sağlayıcıda bulunabildi ve tablo oldukça karışık:
- filtreleme kapasitesini Gbps veya Tbps olarak 35 sağlayıcı belirtiyor;
- koruma düzeyini (L3/L4 veya L7) 24 sağlayıcı belirtiyor;
- L7'den 8 sağlayıcı söz ediyor ve bunların yarısında L7 ücretli ya da talep üzerine açılıyor;
- açıklamaların yaklaşık dörtte birinde koruma ayrı ücretli bir seçenek, yaklaşık dörtte birinde ise açıkça fiyata dahil.
Geri kalanlar kısa yazıyor: "var", "beyan edildi", "yerleşik ağ koruması". Bu mutlaka kötü değildir, ama böyle bir ifadeden saldırı sırasında ne olacağını anlamak mümkün değildir. Aynı kelimelerin arkasında üç farklı şey bulunur:
- Sürekli filtreleme (always-on). Tüm trafik her zaman filtreden geçer. Saldırı anında ayıklanır, ancak filtre bazen normal trafiği de etkiler; örneğin UDP üzerinde çalışan oyun protokollerini.
- Tetiklenen filtreleme (on-demand). Sistem trafiği izler ve akış eşiğin üzerine çıktığında temizlemeyi başlatır. Saldırının başlamasıyla filtrenin devreye girmesi arasında saniyeler veya dakikalar geçer ve sunucu bu süre boyunca erişilemez olabilir.
- Yalnızca blackhole. Gerçek bir temizleme yoktur: saldırı sırasında sağlayıcının ağı adresinize giden trafiği geçirmeyi bırakır. Bu, komşuları ve sağlayıcıyı korur ama sizi değil.
Eşik ve blackhole
Her korumanın bir sınırı vardır: sağlayıcının filtrelemeyi bıraktığı hacim veya paket sayısı. Bu genellikle kurallarda şöyle yazılır: "N Gbps'in üzerindeki saldırılarda adres geçici olarak devre dışı bırakılabilir." Devre dışı bırakma blackhole ile yapılır: operatör komşu ağlara, adresinize giden trafiğin atılması gerektiğini duyurur. Bunun için BGP'de standart BLACKHOLE etiketi (RFC 7999) bulunur ve komşuları etkilememek için mümkünse tam olarak tek bir adres devre dışı bırakılır: IPv4 için /32, IPv6 için /128.
Sunucu sahibi için bunun anlamı basittir: saldırı amacına ulaşır, yalnızca sizin sunucunuzda değil, ağ düzeyinde. Blackhole kaldırılana kadar adres herkes için erişilemez olur ve bu süre sağlayıcıdan sağlayıcıya değişir; onu da kurallarda aramak gerekir. Proje böyle bir kesintiyi kaldıramayacaksa filtreleme eşiği gerçekten beklediğiniz saldırıların belirgin şekilde üzerinde olmalı, sitenin önüne de ek bir L7 koruması konmalıdır.
Bir başka ayrıntı da port. 100 Mbps portlu bir tarifede küçük bir saldırı bile portu tamamen doldurur; bu yüzden sağlayıcı tarafındaki filtre saldırıyı portunuza varmadan ayıklamalıdır. Port hızının ve paylaşımlı bağlantının nasıl okunacağı Bant genişliği ve trafik: 1 Gbps ve sınırsız ne anlama gelir yazısında.
Sağlayıcıya ne sorulmalı ve sözleşmede ne kontrol edilmeli
- Düzeyler. Yalnızca L3/L4 mü, yoksa L7 de var mı? L7 varsa nasıl bağlanıyor: proxy üzerinden mi, DNS değişikliğiyle mi, sizin sertifikanızla mı yoksa onsuz mu?
- Kapasite. Filtre tüm ağ için değil, tek bir adres için kaç Gbps'e ve saniyede kaç milyon pakete dayanıyor?
- Çalışma modu. Filtreleme sürekli mi, yoksa eşiğe göre mi devreye giriyor; devreye girmesi ne kadar sürüyor?
- Eşikten sonra ne oluyor. Adres devre dışı bırakılıyor mu, ne kadar süreyle, bu durum daha erken kaldırılabilir mi ve daha yüksek bir koruma düzeyine geçmek ne kadar tutar?
- Filtre nerede. Veri merkezinin kendisinde mi, harici bir sağlayıcıda mı; koruma sağlayıcının tüm lokasyonlarını kapsıyor mu? Bazen yalnızca tek bir şehirde bulunur.
- Fiyat ve koşullar. Koruma tarifeye dahil mi, yoksa ayrı ücretli bir seçenek mi; püskürtülen her saldırı için ayrıca ücret alınıyor mu?
- Sorumluluk. Saldırı süresi erişilebilirlik SLA'sına dahil mi? Çoğu zaman değil: kurallar saldırıları garantinin dışında tutar.
Sitedeki açıklama yetersizse yanıtları yazılı olarak, bir destek talebinde alın: sizin koşullarınız bunlar olur. Tarife okumanın genel yöntemleri Hosting tarifeleri nasıl okunur: gizli sınırlamalar yazısında.
Kendiniz neler yapabilirsiniz
Sağlayıcının koruması iyi olsa bile işin bir kısmı size kalır:
- gerekli portlar dışındaki her şeyi güvenlik duvarıyla kapatın ve SYN cookies'i açın; çoğu Linux dağıtımında zaten açıktır. Temel ayarlar VPS satın aldıktan sonra ilk 10 adım: güvenlik yazısında anlatılıyor;
- site için ağır sayfalara (arama, giriş, sepet) gelen istek sıklığını doğrudan web sunucusunda sınırlayın ve sitenin önüne L7 korumalı bir CDN koyun;
- site bir CDN veya proxy arkasındaysa sunucunun doğrudan adresini DNS'te ve e-postalarda yayınlamayın: aksi halde trafik filtreden geçmeden doğrudan sunucuya gelir;
- saldırıyı ziyaretçilerden önce öğrenmek için erişilebilirliği dışarıdan izleyin; bu konu Sunucu izleme: çalışma süresi, yük ve uyarılar yazısında;
- güncel bir yedek ve taşınma talimatı bulundurun: sağlayıcı baş edemezse proje başka bir yerde ayağa kaldırılabilir.
Korumanın fiyata dahil olduğu tarifeler DDoS korumalı VPS seçkisinde toplandı. Oyun sunucularının korumaya diğerlerinden daha sık ihtiyacı olur ve genellikle tam da UDP üzerinde L3/L4 korumasına: Oyun sunucusu için VPS ve oyunlar için adanmış sunucular seçkileri.