DDoS Korumalı VDS Nedir? Koruma Katmanları ve Seçim Kriterleri

DDoS korumalı VDS, gelen ağ trafiği sürekli izlenen ve zararlı paketleri sunucuya ulaşmadan filtreleyen bir altyapı üzerinde çalışan sanal özel sunucudur. Filtreleme sunucunun içinde değil, sağlayıcının ağ kenarında yapılır. Böylece saldırı trafiği sunucunun bant genişliğini ve işlemcisini meşgul etmez.

Bu yazıda DDoS korumalı VDS’in kapsamını, koruma sürecinin aşamalarını, katman 3/4 ile katman 7 farkını, kapasite değerlerinin nasıl okunacağını ve sağlayıcı seçim kriterlerini ele alıyoruz. Yazı tamamen savunma odaklıdır; saldırı yöntemlerine yer verilmez.

DDoS saldırısı bir sunucuyu nasıl etkiler?

DDoS saldırısı, sunucunun sınırlı kaynaklarını doldurarak gerçek kullanıcıların erişimini engeller. Etki genellikle ani kapanma değil, yavaşlama ve bağlantı zaman aşımı olarak başlar.

Tükenen kaynak üç noktadan biridir. Birincisi hattın bant genişliğidir: gelen trafik kapasiteyi aşınca meşru paketler sıraya bile giremez. İkincisi işletim sistemindeki bağlantı tablosudur; tamamlanmamış bağlantılar tabloyu doldurur. Üçüncüsü uygulama katmanıdır: web sunucusu ve veritabanı işlem havuzu dolar, yanıt süresi saniyelerle ölçülmeye başlar.

Korumasız bir sunucuda en can sıkıcı sonuç üst sağlayıcının devreye girmesidir. Saldırı hacmi veri merkezinin kapasitesini tehdit edince ilgili IP adresi karadeliğe (null route) alınır. Bu işlem çoğunlukla 1-24 saat sürer ve saldırı bitse bile sunucu erişilemez kalır. DDoS korumalı VDS’te amaç tam olarak bunu önlemektir: trafik filtrelenir, IP kapatılmaz. Kesintinin maliyeti de satış kaybıyla sınırlı kalmaz; arama motoru botları art arda 5xx hatası aldığında tarama sıklığı düşer. Saldırı türlerinin genel mantığını DDoS saldırısının ne olduğunu anlatan yazımızda bulabilirsiniz.

DDoS korumalı VDS ne demek?

DDoS korumalı VDS, standart bir sanal sunucuya ek olarak sağlayıcının ağ seviyesinde trafik temizleme (scrubbing) hizmeti sunduğu pakettir. Sunucunun donanımı ve yönetim şekli değişmez; değişen tek şey trafiğin izlediği yoldur.

Bu yapıda tüm trafik önce filtreleme merkezine girer, zararlı paketler düşürülür, yalnızca temiz trafik sunucuya iletilir. Koruma iki şekilde çalıştırılır. Sürekli açık (always-on) modda trafik her zaman filtreden geçer ve tepki süresi neredeyse sıfırdır. İstek üzerine (on-demand) modda trafik normalde doğrudan akar; saldırı tespit edilince yönlendirme yapılır ve bu geçiş genellikle 30-180 saniye sürer.

DDoS korumalı VDS’in neyi kapsamadığını bilmek de önemlidir. Hizmet, hacimsel ve protokol tabanlı erişim engelleme girişimlerine karşıdır. Uygulama açıkları, parola denemeleri ve içerik kazıma kapsam dışındadır; bunlar için güncel yazılım, güçlü kimlik doğrulama ve ayrı bir web uygulama güvenlik duvarı gerekir.

DDoS koruması nasıl çalışır?

DDoS koruması dört aşamalı bir döngüdür: izleme, tespit, yönlendirme ve temizleme. Döngü otomatik işler; operatör ekibi yalnızca alışılmadık durumlarda devreye girer.

İzleme aşamasında yönlendiriciler akış verisi üretir ve trafiğin normal profili çıkarılır. Profil paket/saniye, bit/saniye, kaynak ülke dağılımı ve protokol oranlarından oluşur. Tespit aşamasında anlık değerler bu profille karşılaştırılır ve sapma alarm üretir. Yönlendirme aşamasında trafik, BGP anonsu veya DNS yönlendirmesiyle temizleme merkezine çekilir.

Filtreleme basitten karmaşığa ilerler. Önce geçersiz veya sahte kaynaklı paketler atılır, sonra oran sınırlama (rate limiting) uygulanır. Ardından protokol doğrulaması yapılır ve el sıkışmayı tamamlamayan bağlantılar elenir. Son adımda davranışsal analiz devreye girer. DDoS korumalı VDS kullanırken bu zincirin ne kadarının otomatik çalıştığını sağlayıcıya sormanız gerekir. Yanlış pozitif riski her zaman vardır; iyi bir sağlayıcı kural setini trafiğinize göre ayarlamanıza izin verir.

Katman 3/4 ve katman 7 saldırıları arasındaki fark nedir?

Katman 3/4 saldırıları ağ ve taşıma katmanını hedefler ve hacimle ölçülür; katman 7 saldırıları uygulama katmanını hedefler ve istek sayısıyla ölçülür. Bu ayrım hem savunma yöntemini hem gereken kapasiteyi belirler.

Katman 3/4 girişimlerinde amaç hattı veya bağlantı tablosunu doldurmaktır; birim Gbps ve Mpps’tir. Bu trafik içerik açısından anlamsızdır, bu yüzden ağ kenarında görece kolay ayıklanır. Katman 7 girişimlerinde ise her istek teknik olarak geçerli bir HTTP isteğidir; birim istek/saniyedir (RPS). Ayırt etmek için TLS bağlantısının sonlandırılması ve istek içeriğinin incelenmesi gerekir.

Önemli bir ayrıntı var: küçük paketlerle üretilen 1 Gbps trafik, büyük paketlerle üretilen 10 Gbps trafikten daha zorlayıcı olabilir. Yönlendiriciyi yoran şey saniyedeki paket sayısıdır. Bu nedenle DDoS korumalı VDS paketlerinde yalnızca Gbps değerine bakmak yanıltıcıdır; pps sınırını da sorun.

Kaç Gbps koruma kapasitesi yeterlidir?

Çoğu kurumsal site ve e-ticaret projesi için 10-20 Gbps aralığındaki bir koruma eşiği pratikte yeterlidir. Yine de doğru soru kaç Gbps değil, eşik aşılınca ne oluyor sorusudur.

Sağlayıcı ilanlarında iki rakam birbirine karışır. Birincisi toplam ağ veya temizleme merkezi kapasitesidir; yüzlerce Gbps olabilir ama tüm müşteriler arasında paylaşılır. İkincisi hesabınız için garanti edilen eşiktir. Sözleşmede bağlayıcı olan ikincisidir. DDoS korumalı VDS alırken bu iki değeri ayrı ayrı ve yazılı isteyin.

Eşik aşıldığında üç davranış görülür: sağlayıcı en iyi çaba ilkesiyle filtrelemeye devam eder, trafiği sınırlar ya da IP adresini karadeliğe alır. Üçüncü senaryo, koruma satın almış olmanıza rağmen kesinti yaşamanız demektir. Aylık saldırı sayısı limitini ve kapasite yükseltmenin ne kadar sürdüğünü de sorun.

DDoS korumalı VDS ile CDN tabanlı koruma arasındaki fark nedir?

Temel fark kapsamdır: CDN tabanlı koruma yalnızca HTTP ve HTTPS trafiğini kapsar, DDoS korumalı VDS ise sunucuya gelen tüm protokolleri IP seviyesinde korur. İkisi rakip değil, farklı katmanlarda çalışan tamamlayıcı çözümlerdir.

CDN yaklaşımında alan adınız CDN sağlayıcısına yönlendirilir ve ziyaretçiler önce onun ağına gelir. Model, statik içerik önbelleği ve katman 7 filtrelemesi için güçlüdür. Zayıf noktası kaynak sunucunun IP adresidir. Bu adres eski DNS kayıtları veya sertifika kayıtları üzerinden görünür hale gelirse koruma tamamen atlanabilir. Önlemek için sunucu güvenlik duvarı yalnızca CDN IP bloklarına izin vermelidir.

Oyun sunucusu, VoIP, e-posta veya özel bir TCP/UDP servisi çalıştırıyorsanız CDN tek başına yetmez. En sağlam kurgu, ağ katmanında DDoS korumalı VDS ile uygulama katmanında CDN ve WAF’ın birlikte kullanılmasıdır.

Hangi projeler DDoS korumalı sunucuya ihtiyaç duyar?

Erişilebilirliği doğrudan gelire dönüşen ve daha önce hedef olmuş projeler DDoS korumalı sunucuya ihtiyaç duyar. Ölçüt trafik büyüklüğü değil, bir saatlik kesintinin maliyetidir.

• E-ticaret siteleri: Kampanya dönemlerinde kesinti hem satış hem itibar kaybıdır.
• Oyun ve gerçek zamanlı uygulamalar: UDP tabanlı servisler klasik web korumasının dışında kalır, gecikmeye çok duyarlıdır.
• Finans ve ödeme aracıları: Hedef olma olasılığı ve düzenleyici beklentiler yüksektir.
• Haber ve medya siteleri: Gündem yoğunluğuyla saldırı riski aynı anda artar.
• SaaS ve genel erişime açık API’ler: Tek bir uç noktanın yavaşlaması tüm müşterileri etkiler.
• Forum ve topluluk platformları: Kullanıcı anlaşmazlıkları sık şekilde altyapıya yönelir.

İç kullanıma açık paneller ve düşük trafikli tanıtım siteleri için DDoS korumalı VDS çoğu zaman gereksizdir; IP bazlı erişim kısıtı ve temel güvenlik duvarı yeterli olur. Yine de aynı ağ segmentini paylaştığınız bir komşu hedef alındığında sizin de etkilenebileceğinizi unutmayın.

Saldırı anında hangi adımlar izlenmeli?

Saldırı anında ilk adım teşhistir: durumun gerçekten saldırı mı, yoksa trafik artışı ya da uygulama hatası mı olduğu doğrulanmalıdır. Yanlış teşhis saatlerin boşa gitmesine yol açar.

1. Metrikleri karşılaştırın. Bant genişliği, saniyedeki paket sayısı, açık bağlantı sayısı ve uygulama istek sayısını aynı anda inceleyin. Hat doluysa ağ katmanı, CPU doluysa uygulama katmanı öndedir.
2. Kayıt alın. Grafikleri, erişim kayıtlarını ve zaman damgalarını saklayın; bu veriler hem analizde hem hukuki süreçte gerekir.
3. Sağlayıcıya bildirin. Talebi IP adresi, başlangıç saati ve gözlenen belirtilerle açın; kritik durumda acil kanalı kullanın.
4. Uygulama tarafını hafifletin. Tam sayfa önbelleğini açın, ağır sorgu üreten uç noktaları geçici kapatın, oturum başına oran sınırı uygulayın.
5. DNS TTL değerini düşürün. 300 saniye gibi kısa bir değer, yönlendirme gerekirse geçişi hızlandırır.
6. Ani kararlardan kaçının. IP değiştirmek kalıcı çözüm değildir; sunucuyu kapatmak ise kayıtları yok eder.
7. Tehdit mesajlarına yanıt vermeyin. Ödeme veya pazarlık talebi içeren mesajları sağlayıcınıza ve yetkili birimlere iletin.

Saldırı bittikten sonra değerlendirme yapın: hangi katman hedef alındı, tepki kaç dakikada verildi, hangi eşik yetersiz kaldı? DDoS korumalı VDS kullanıyorsanız sağlayıcıdan saldırı raporu isteyin ve filtre eşiklerini bu rapora göre güncelleyin.

DDoS korumalı VDS seçerken nelere dikkat edilmeli?

DDoS korumalı VDS seçiminde belirleyici olan reklamdaki Gbps rakamı değil, sözleşmedeki taahhütlerdir. Karar vermeden önce aşağıdaki başlıklara yazılı yanıt alın.

Koruma modeli ve kapsam. Koruma sürekli açık mı, istek üzerine mi? Yalnızca katman 3/4 mü kapsanıyor, katman 7 filtrelemesi dahil mi ve ayrı mı ücretlendiriliyor?

Eşikler ve aşım davranışı. Garanti edilen Gbps ve pps değerleri nedir? Eşik aşılınca filtreleme sürüyor mu, IP karadeliğe mi alınıyor? Karadelik süresi kaç saat ve elle kaldırılabiliyor mu?

Tespit ve müdahale. Otomatik tespit kaç saniyede devreye giriyor? 7/24 destek gerçekten insan desteği mi, yoksa yalnızca bilet sistemi mi?

Lokasyon ve gecikme. Kullanıcılarınız Türkiye’deyse yurt içi bir veri merkezi tipik olarak 10-30 ms gecikme sağlar. Kaynak ve lokasyon seçenekleri için Verimin sanal sunucu paketlerini inceleyebilirsiniz.

Sunucu kaynakları. Katman 7 baskısında dayanıklılığı vCPU, RAM ve disk hızı belirler. Yetersiz kaynaklı bir DDoS korumalı VDS, filtreden geçen meşru yoğunluk altında bile zorlanır.

Özet

• DDoS korumalı VDS, trafiği sunucuya ulaşmadan ağ kenarında filtreleyen sanal sunucudur; koruma sunucunun içinde değil, sağlayıcının altyapısındadır.
• Katman 3/4 saldırıları Gbps ve Mpps ile, katman 7 saldırıları istek/saniye ile ölçülür; ikisi farklı savunma araçları gerektirir.
• Kapasitede kritik soru kaç Gbps değil, eşik aşıldığında filtrelemenin sürüp sürmediğidir.
• CDN tabanlı koruma yalnızca HTTP/HTTPS trafiğini kapsar; web dışı servisler için ağ seviyesinde koruma şarttır.
• Saldırı anında sıra teşhis, kayıt alma, sağlayıcıya bildirim ve uygulama tarafını hafifletmedir; IP değiştirmek kalıcı çözüm değildir.