Özel sunucuda DDoS korumasına ihtiyacım var mı?

DDoS koruması nedir ve hangi saldırıları durdurur?

DDoS koruması, sunucunuzun üst akışına yerleştirilen filtrelemedir: saldırı trafiğini o trafik ağ portunuza ulaşmadan düşürür. Dağıtık hizmet engelleme (DDoS) saldırısı, bir bağlantıyı, güvenlik duvarını veya uygulamayı tüketmek için birçok makineden aynı anda trafik gönderir. Saldırılar iki gruba ayrılır:

• Ağ katmanı saldırıları (katman 3 ve 4). Paket selleri: SYN selleri, ACK selleri, UDP ve ICMP selleri ve DNS veya memcached amplifikasyonu gibi yansıma saldırıları. Hacimsel seller bağlantının kendisini doldurmaya çalışır, bu yüzden yalnızca bağlantıdan önce yapılan filtreleme yardımcı olur.
• Uygulama katmanı saldırıları (katman 7). Gerçek görünen HTTP istekleri, önbelleği atlatan istekler veya Slowloris gibi yavaş bağlantı selleri. Az bant genişliği gerektirirler. Bunun yerine CPU'yu, web worker'larını veya veritabanını tüketirler.

Cloudflare'in dokümantasyonu bu vektörleri iki yönetilen kural setinde listeler: biri ağ katmanı, diğeri HTTP için. Bir sunucu bazı katman 7 selleriyle kendi başına mücadele edebilir, ancak yukarı bağlantısından daha büyük bir sel ile asla.

Her zaman açık ve talep üzerine koruma arasındaki fark nedir?

Her zaman açık koruma trafiğinizi sürekli denetler; talep üzerine koruma ise trafiğinizi yalnızca bir saldırı başladığında bir temizleme ağına yönlendirir. Temizleme, trafiği saldırı paketlerini düşüren ve geri kalan temiz kısmı size ileten bir filtreleme ağı üzerinden göndermek anlamına gelir.

• Her zaman açık. Geçiş gecikmesi yoktur, ancak her paket filtrenin yolundan geçer. Bir web sitesinin önündeki CDN veya reverse proxy bu şekilde çalışır.
• Talep üzerine. Trafik bir saldırıya kadar doğrudan size akar, ardından sağlayıcı IP önekinizi kendi ağından duyurur. Cloudflare'in Magic Transit talep üzerine modu bu duyuruyu saldırı sırasında açar, sonrasında kapatır. Geçişe kadar saldırı size ulaşır.

Kiralık tek bir sunucu için her herkese açık hizmetin önünde her zaman açık filtreleme pratik seçimdir.

Özel sunucuda DDoS korumasına kimler ihtiyaç duyar, kimler duymaz?

Yabancılar IP adresinizi biliyor ve hizmeti çevrimdışı bırakmak için bir nedenleri varsa buna ihtiyaç duyarsınız. Makineye genellikle yalnızca siz ve güvendiğiniz kişiler bağlanıyorsa çoğunlukla atlayabilirsiniz.

Ironatoll özel sunucumu DDoS saldırılarına karşı korur mu?

Ironatoll filtrelenmiş bir ağ değil, bare metal satar. Kural, kelimesi kelimesine: DDoS saldırılarına karşı, veri merkezi ağının varsayılan işleyişinin ötesinde hiçbir şey taahhüt etmiyoruz.. Hiçbir mitigation kapasitesi, filtreleme kapsamı ve yanıt süresi yayınlamıyoruz, çünkü hiçbirini vaat etmiyoruz.

Bu, planları ucuz tutar ve genel bir UDP hizmetini korumayı sizin projeniz haline getirir. Filtrelenmiş oyun trafiği için sunucunun önüne bir filtreleme hizmeti koyun. Ya da mitigation'ı yazılı rakamlarla satan bir sağlayıcı seçin. Offshore dedicated server sağlayıcıları sıralamamız, sağlayıcıları aynı kriterlerle karşılaştırıyor.

Ironatoll'nin 30 October 2026 kontrolüne göre, Atoll 64 ile karşılaştırılabilir bir dedicated server, kimlik istemeden kripto kabul eden 14 sunucu sağlayıcılarında medyan $337.49 tutarındaydı; Ironatoll ise $72.62 alıyor. Bu 78% fark, bir CDN planına veya filtrelenmiş bir proxy'ye yer bırakıyor. Tüm planlar bir Ironatoll dedicated server'ın ne kadara mal olduğu sayfasında listeleniyor.

Dedicated server'daki bir web sitesini DDoS'tan nasıl korurum?

Web sitesinin önüne bir reverse proxy veya CDN koyun, ardından sunucunun gerçek IP adresini gizleyin. Cloudflare bir seçenektir. Bu noktalar 30 Ekim 2026'da okunan belgelerinden geliyor:

• DDoS koruması, ücretsiz plan dahil her Cloudflare planıyla birlikte gelir. Cloudflare bunu katman 3'ten 7'ye kadar standart, ölçülmeyen koruma olarak listeliyor.
• Yalnızca proxied kayıtlar korunur. Proxy, A, AAAA ve CNAME kayıtlarında çalışır ve HTTP ile HTTPS trafiğini kapsar. Yalnızca DNS kaydı, sorgulayan herkese origin IP'nizi gösterir.
• Proxied web trafiği sabit portlar kullanır. HTTP: 80, 8080, 8880, 2052, 2082, 2086 ve 2095. HTTPS: 443, 2053, 2083, 2087, 2096 ve 8443.
• Web trafiğini yalnızca Cloudflare'den kabul edin. Cloudflare aralıklarını cloudflare.com/ips adresinde yayınlıyor ve origin'de geri kalan her şeyi engellemenizi öneriyor. Eski DNS kayıtlarında veya posta ayarlarında gerçek IP'yi bulan bir saldırgan sunucuya doğrudan vurabilir.
• Diğer protokoller Spectrum gerektirir. SSH, oyun portları ve diğer TCP veya UDP hizmetleri proxied bir kayıtla kapsanmaz. Her TCP ve UDP portu için Spectrum yalnızca Enterprise planında bulunur.

Her Ironatoll sunucusunun tek bir IPv4 adresi vardır; bu yüzden ona işaret eden yalnızca DNS kaydı, örneğin bir posta kaydı, origin'i açığa çıkarır.

nftables ile bağlantıları nasıl rate-limit ederim?

nftables, kaynak adres başına yeni bağlantıları sınırlayabilir; bu küçük flood'ları ve brute-force denemelerini köreltir, ancak bağlantı hattınızı dolduran bir flood'u durduramaz. nftables bir paketi gördüğünde, paket zaten bant genişliğinizi kullanmıştır.

nftables wiki, kaynak IP başına bir rate limiter'ı dinamik bir kümede tutar. Her giriş, trafik olmadan 60 saniye sonra süresi dolar. Aşağıdaki ruleset bu fikri SSH'e uygular, web trafiğini kabul eder ve geri kalanı düşürür. Cloudflare arkasında, 80 ve 443 portlarını yalnızca onun yayınladığı aralıklardan oluşan bir kümeden kabul edin. Bunu nft -f /etc/nftables.conf ile yükleyin, ikinci bir SSH oturumu açık tutun, ardından systemctl enable nftables çalıştırın. SSH limiti IPv4'ü kapsar; IPv6 için ip6 saddr ile bir ipv6_addr kümesi ekleyin.

#!/usr/sbin/nft -f
flush ruleset

table inet filter {
  set ssh_meter {
    type ipv4_addr
    timeout 60s
    flags dynamic
  }

  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif "lo" accept
    meta l4proto ipv6-icmp accept
    icmp type echo-request limit rate 10/second accept
    tcp dport 22 ct state new update @ssh_meter { ip saddr limit rate 10/minute } accept
    tcp dport { 80, 443 } accept
  }
}

# http block
limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;

server {
    location / {
        limit_req zone=perip burst=20 nodelay;
    }
}

Hiçbir şey satın almadan riski azaltan başka ne var?

Saldırganların göreceğini azaltın:

• Hizmet vermediğiniz her portu kapatın. Bir Proxmox web arayüzü, bir veritabanı veya bir LLM API'si SSH tünelinin arkasına aittir.
• Özel hizmetleri genel hizmetleri çalıştıran makineden uzak tutun. Bir oyun sunucusuna yönelik flood, bağlantı hattını paylaşan her şeyi düşürür.
• Proxied bir web sitesinin origin IP'sini asla yayınlamayın, DNS geçmişinde veya posta başlıklarında.

Dedicated server veya VPS karşılaştırmamız, genel bir hizmet için bare metal'in ne zaman değerli olduğunu açıklıyor.