DDoS nedir, VDS’i nasıl etkiler?
DDoS (Distributed Denial of Service), çok sayıda kaynaktan gelen sahte veya aşırı trafik ile hedefin bant genişliğini, bağlantı tablolarını veya uygulama kaynaklarını tüketerek hizmeti düşürmeyi amaçlar. Oyun sunucuları, popüler API’ler ve e-ticaret ödeme anları sık hedeftir.
VDS’te etki iki yoldan görünür: (1) ağ hattı veya upstream doygunluğu — meşru paketler bile geçemez; (2) sunucu içi kaynak tükenmesi — CPU, RAM, dosya tanımlayıcıları veya uygulama thread havuzu dolar. İkinci durumda “saldırı yok” sanıp yalnızca uygulamanızı büyütmek yetmez; trafik profilini ayırmak gerekir.
Ölçülebilir eşikler işinize göre değişir. Küçük bir VDS’te saniyede birkaç bin SYN paketi veya yüzlerce Mbps anlamsız UDP bile hizmeti bozabilir. Büyük volumetrik saldırılar Gbps–yüzlerce Gbps ölçeğine çıkabilir; bunları tek bir VDS firewall’u ile “durdurmak” gerçekçi değildir — üst katman mitigasyon gerekir.
Saldırı türleri (kısa harita)
Volumetrik (L3/L4): UDP flood, amplification (DNS/NTP/CLDAP benzeri yansımalar), ICMP flood. Amaç hattı doldurmaktır.
Protokol / durum tüketimi: SYN flood, ACK flood, yavaş bağlantı açma. Amaç firewall ve çekirdek bağlantı tablolarını şişirmektir.
Uygulama katmanı (L7): HTTP GET/POST flood, slowloris tarzı yavaş istekler, pahalı arama uçlarına yoğun istek. Bant genişliği düşük olsa bile origin CPU ve DB’yi kilitleyebilir. Web için WAF/CDN; oyun için rate-limit ve protokol doğrulama öne çıkar.
| Tür | Tipik belirti | İlk savunma katmanı | Kim ağırlıklı sorumlu? |
|---|---|---|---|
| Volumetrik L3/L4 | Hat doygun, ping kaybı | Upstream scrubbing / null-route politikası | Sağlayıcı + ISP |
| SYN / bağlantı tablosu | Yeni TCP açılamıyor | SYN cookie, edge filtre, rate-limit | Sağlayıcı + OS ayarı (müşteri) |
| L7 HTTP flood | CPU/DB yüksek, 5xx artışı | CDN/WAF, cache, uygulama limiti | Müşteri (app) + isteğe bağlı WAF |
| Oyun protokol flood | Oyuncu drop, tick bozulması | Query koruması, allowlist, anti-cheat ağ kuralları | Müşteri + oyun ağı politikası |
Mitigasyon katmanları
Savunma tek ürün değildir; katmanlıdır. En dışta sağlayıcı / taşıyıcı ağı ve scrubbing merkezi vardır. Ortada DNS, anycast veya CDN ile trafik dağıtımı yer alır. İçeride VDS işletim sistemi firewall’u (nftables/firewalld/ufw veya Windows Firewall), servis bazlı rate-limit ve uygulama doğrulaması vardır.
Web iş yüklerinde: yalnızca gerekli portları açın (80/443), SSH’yi anahtar + non-default port veya allowlist ile sıkılaştırın, TLS’i güncel tutun, statik içeriği CDN’e alın. DNS ve SSL ayarları doğru değilse mitigasyon cihazına trafik bile yönlenmez — ilgili rehbere bakın.
Oyun ve özel protokoller CDN ile her zaman uyumlu değildir. Bu durumda query portunu ayırmak, source rate-limit, bağlantı başına maliyetli işlemleri ertelemek ve yedek IP / ikinci lokasyon planı işe yarar. “Sınırsız DDoS koruması” vaatlerini somut kapasite (Gbps) ve kapsam (hangi protokoller) sorarak sınayın.
VDS müşterisi vs sağlayıcı: kim neyi üstlenir?
Sağlayıcı genelde: veri merkezi uplink kapasitesi, üst katman filtreleme politikaları, anormal trafik tespitinde null-route veya scrubbing’e yönlendirme, altyapı izleme. Bunlar paket ve sözleşme diline bağlıdır; her “korumalı VDS” aynı Gbps seviyesini vermez.
Müşteri genelde: işletim sistemi güncellemeleri, açık port envanteri, zayıf şifre / açık RDP, uygulama bug’ları, yedekleme ve felaket planı. Zayıf bırakılmış bir panel veya açık Elasticsearch, DDoS olmasa da hizmeti düşürür. Saldırı sırasında log toplamak, gereksiz servisleri kapatmak ve destek ile net trafik saati/IP paylaşmak sizin işinizdir.
Gri alan: L7 saldırılarda sağlayıcı ağı “temiz” görünürken origin çöker. Bu durumda WAF, uygulama limiti ve ölçekleme müşteri tarafındadır. Büyük volumetrik olayda ise müşteri firewall kuralları yetmez; sağlayıcı ile birlikte çalışılır.
Pratik kontrol listesi
1) Dinleyen portları listeleyin (ss -tulpn / netstat). 2) Fail2ban veya eşdeğeri ile kaba kuvveti sınırlayın. 3) Uygulama ve DB için bağlantı tavanı koyun. 4) Yedekleme stratejinizi saldırı gününden bağımsız çalışır tutun. 5) DNS TTL’yi kriz senaryosuna göre bilinçli seçin (çok düşük TTL hızlı yönlendirme, çok yüksek TTL cache inatçılığı getirir).
6) Oyun/web için ayrı IP veya hostname düşünün. 7) İzleme: bant genişliği, paket/saniye, 5xx oranı, CPU steal. Ani sıçramada önce “bu meşru trafik mi?” diye sorun; black Friday ile DDoS aynı grafikte görünebilir.
Emriva altyapı notu
Emriva altyapısında ağ ve güvenlik yaklaşımı ürün/paket bağlamında yönetilir; senaryonuzu (web, oyun, API) destek ile paylaşmanız doğru yönlendirme için önemlidir. Bu makale hukuki taahhüt veya garanti metni değildir; teknik çerçeve sunar.
Saldırı anında panikle rastgele iptables kuralları yazmak yerine: zaman damgası, örnek kaynak IP’ler, etkilenen port ve trafik grafiğiyle ticket açın. Paralel olarak yedeklerinizi doğrulayın — DDoS bazen fidye veya yan saldırının perdesidir. Detaylı yedekleme için sunucu yedekleme stratejisi rehberine bakın.