DDoS Koruma Kapasitesi (Gbps) Ne Anlama Gelir?

Bir hosting firmasının "DDoS korumalıdır" demesi tek başına hiçbir şey ifade etmez. Asıl soru şudur: bu koruma hangi kapasiteye kadar dayanır, hangi katmanda çalışır ve saldırı sırasında meşru trafiğinize ne olur? Sektörde herkesin öne çıkardığı DDoS koruma kapasitesi rakamı — yani Gbps cinsinden ifade edilen sayı — bu sorunun sadece bir parçasını yanıtlar. Bu rehberde Gbps'nin teknik olarak ne ölçtüğünü, neyi ölçmediğini, Mpps ile arasındaki kritik farkı ve bir sunucu satın alırken bu rakamı nasıl doğru yorumlayacağınızı adım adım açıklıyoruz.

Gbps Tam Olarak Neyi Ölçer?

Gbps, "gigabit per second" yani saniyede gigabit anlamına gelir ve bir ağ bağlantısından geçen veri hacmini ölçer. DDoS koruma bağlamında kullanıldığında, koruma altyapısının saniyede en fazla kaç gigabitlik saldırı trafiğini yutup temizleyebileceğini ifade eder.

Somutlaştıralım. Standart bir sunucu portu genellikle 1 Gbps kapasitededir. Yani o sunucu, saniyede 1 gigabitten fazla veriyi fiziksel olarak alamaz. Saldırgan size saniyede 10 gigabitlik çöp trafik gönderirse, sunucunuzun portu daha ilk saniyede tamamen dolar. Bu noktada sunucunun içindeki güvenlik duvarının, iptables kurallarının veya uygulama seviyesindeki korumaların hiçbir önemi kalmaz — trafik sunucuya ulaşmadan önce hattı tıkamıştır. Tıpkı iki şeritli bir yola aynı anda on şeritlik araç akışı boşaltmak gibi: yolun sonundaki gişenin ne kadar hızlı çalıştığı önemsizdir, kuyruk çoktan oluşmuştur.

İşte bu yüzden hacimsel (volumetrik) DDoS saldırılarına karşı korumanın sunucuda değil, ağın üst katmanında yapılması gerekir. Koruma sistemi, trafiği sunucunun portuna varmadan önce karşılar, ayıklar ve yalnızca temiz olanı içeri alır. Gbps rakamı da tam olarak bu ayıklama katmanının kapasitesini anlatır.

Saldırı Büyüklükleri Neden Sürekli Artıyor?

Volumetrik saldırıların büyüklüğü yıllar içinde katlanarak arttı. Bunun üç temel nedeni var:

• Genişleyen bant genişliği: Ev ve mobil internet hızları arttıkça, ele geçirilmiş her cihazın saldırıya katabileceği trafik miktarı da arttı.
• IoT cihaz patlaması: Güvenlik kamerası, router, akıllı TV, DVR gibi milyonlarca zayıf parolalı cihaz botnet'lere katılıyor. Konuyu derinlemesine incelemek isterseniz UDP Flood, SYN Flood ve Amplification saldırılarının nasıl çalıştığını anlattığımız yazımıza göz atabilirsiniz.
• Amplification tekniği: Saldırgan küçük bir istek gönderir, yanlış yapılandırılmış bir sunucu (DNS, NTP, memcached vb.) çok daha büyük bir yanıtı kurbana yollar. Böylece saldırgan kendi bant genişliğinin onlarca katı hacim üretebilir.

Gbps Tek Başına Yeterli Değil: Mpps Faktörü

Sektörde en sık gözden kaçan nokta budur. Gbps veri hacmini ölçerken, Mpps (million packets per second — saniyede milyon paket) veri parça sayısını ölçer. Bunlar tamamen farklı iki yük tipidir.

Bir örnekle bakalım. Aynı 10 Gbps'lik trafiği iki farklı şekilde üretebilirsiniz:

1. Büyük paketlerle: 1500 bayt boyutunda paketler kullanırsanız, 10 Gbps için yaklaşık 0,83 milyon paket/saniye gerekir.
2. Küçük paketlerle: 64 bayt boyutunda paketler kullanırsanız, aynı 10 Gbps için yaklaşık 19,5 milyon paket/saniye gerekir.

Ağ ekipmanları için asıl maliyet paketin boyutu değil, sayısıdır. Her paket için ayrı bir başlık okuma, yönlendirme tablosu sorgusu ve kural eşleştirmesi yapılır. Bu yüzden 19,5 Mpps'lik küçük paket seli, 0,83 Mpps'lik büyük paket akışından çok daha yıkıcıdır — hacim aynı olsa bile. Yönlendiriciler ve güvenlik duvarları paket işleme kapasitelerini aştığında CPU'ları tükenir ve meşru paketleri de düşürmeye başlarlar.

Saldırganlar bunu bilir. Bu nedenle modern volumetrik saldırılar sıklıkla minimum boyutlu UDP paketleriyle yapılır: aynı bant genişliğiyle çok daha fazla hasar verirler. Dolayısıyla bir koruma altyapısını değerlendirirken yalnızca "kaç Gbps" değil, "kaç Mpps" sorusunun da yanıtlanması gerekir.

Katman Farkı: Gbps Hangi Saldırıyı Durdurur?

Gbps rakamı yalnızca Layer 3/4 (ağ ve taşıma katmanı) saldırılarına karşı anlamlıdır. UDP flood, SYN flood, ICMP flood, DNS/NTP amplification gibi saldırılar bu kategoridedir ve hepsi hattı doldurma mantığıyla çalışır.

Buna karşılık Layer 7 (uygulama katmanı) saldırıları tamamen farklı bir mantıkla ilerler. HTTP flood, slowloris veya arama motoru sayfalarına yapılan pahalı sorgu yağmurları saniyede sadece birkaç megabit trafik üretebilir — ancak sunucunuzun CPU'sunu, veritabanı bağlantı havuzunu veya PHP işçi süreçlerini tüketerek siteyi çökertir. 500 Gbps'lik bir koruma altyapısı, saniyede 2 Mbps üreten ama her isteği ağır bir veritabanı sorgusuna dönüştüren bir Layer 7 saldırısına karşı hiçbir şey yapmaz.

Bu ayrımı daha ayrıntılı ele aldığımız Layer 4 vs Layer 7 DDoS saldırıları rehberimizde her iki türün savunma stratejileri karşılaştırmalı olarak anlatılıyor. Kısaca: Layer 3/4 için ağ kapasitesi, Layer 7 için istek analizi ve hız sınırlama gerekir. İkisi birbirinin yerine geçmez.

Kapasite Nasıl Paylaşılır? "Toplam" ile "Müşteri Başına" Farkı

Bir sağlayıcı belirli bir Gbps kapasitesi belirttiğinde, bunun genellikle tüm veri merkezinin toplam kapasitesi olduğunu unutmayın. Bu kapasite aynı anda saldırıya uğrayan tüm müşteriler arasında paylaşılır. Sorulması gereken sorular şunlardır:

• Kapasite tek bir müşteriye mi tahsis edilir, yoksa havuz olarak mı paylaşılır?
• Saldırı kapasiteyi aşarsa ne olur — trafik temizlenmeye devam mı eder, yoksa IP'niz null route'a mı alınır?
• Null route uygulanıyorsa süresi ne kadardır ve kim karar verir?

Son madde özellikle kritiktir. Null route (blackhole), saldırıya uğrayan IP adresine gelen tüm trafiğin — meşru ziyaretçileriniz dahil — ağ girişinde düşürülmesidir. Bu, veri merkezinin geri kalanını korur ama sizin açınızdan saldırının başarıya ulaşması anlamına gelir. Sunucunuz ayaktadır, ancak kimse ulaşamaz. Bir sağlayıcının koruma politikasında null route eşiğinin ne olduğunu bilmek, ilan edilen Gbps rakamını bilmekten çok daha değerlidir.

Gecikme ve Yanlış Pozitif: Görünmeyen Maliyetler

Koruma bedava gelmez. Trafiğinizin bir temizleme merkezinden (scrubbing center) geçmesi iki yan etki üretir:

Ek gecikme. Trafik coğrafi olarak uzak bir temizleme merkezine yönlendiriliyorsa, her paket fazladan yol kat eder. Bir web sitesi için 20-30 ms fark hissedilmez. Ancak MTA:SA, FiveM veya rekabetçi FPS gibi gerçek zamanlı oyun sunucularında bu fark doğrudan oyun deneyimini bozar. Bu nedenle oyun sunucularında korumanın yerinde (on-premise, veri merkezinin kendi ağında) yapılması, uzak bir merkeze yönlendirilmesinden çok daha iyidir. Türkiye'deki oyuncu kitlesine hizmet veriyorsanız, İstanbul lokasyonlu MTA sunucu seçeneklerimiz hem düşük ping hem de ağ seviyesinde DDoS korumalı altyapı sağlar.

Yanlış pozitifler. Agresif filtreleme kuralları bazen meşru kullanıcıları da engeller. Özellikle VPN üzerinden bağlanan, ortak IP arkasındaki veya alışılmadık bir istemci kullanan oyuncular filtreye takılabilir. İyi bir koruma sistemi, saldırı olmadığı zamanlarda öğrenme modunda çalışıp sizin normal trafik profilinizi çıkarır ve sapmaları buna göre değerlendirir. "Her zaman en agresif ayar" iyi bir strateji değildir.

Satın Alırken Nelere Bakmalısınız?

İlan edilen Gbps rakamını bir kenara bırakıp şu kontrol listesini uygulayın:

1. Koruma nerede yapılıyor? Sunucunun kendisinde mi, yoksa ağ girişinde mi? Sunucu içi yazılım güvenlik duvarı volumetrik saldırıya karşı işe yaramaz.
2. UDP korunuyor mu? Oyun ve ses sunucuları UDP kullanır. Birçok koruma çözümü yalnızca TCP/HTTP odaklıdır. Bu konuyu Cloudflare'in oyun sunucularını koruyup korumadığını incelediğimiz yazıda ayrıntılı ele aldık.
3. Mpps kapasitesi nedir? Sadece Gbps sorulmakla yetinilmemeli.
4. Null route politikası ne? Eşik, süre ve bildirim süreci netleştirilmeli.
5. Saldırı anında destek nasıl çalışıyor? 7/24 ulaşılabilir bir ekip, ilan edilen kapasiteden daha kıymetlidir.
6. Lokasyon neresi? Hedef kitleniz Türkiye'deyse yurt dışı temizleme merkezi ek gecikme demektir.

Sıkça Sorulan Sorular

Kaç Gbps koruma benim için yeterli?

Bu, hedeflenme olasılığınıza bağlıdır. Kişisel bir blog veya kurumsal tanıtım sitesi nadiren büyük volumetrik saldırı görür. Buna karşılık rekabetçi oyun sunucuları, kripto ile ilgili projeler, forum ve topluluk siteleri ile e-ticaret siteleri düzenli hedeftir. Genel kural: sunucunuzun kendi port kapasitesinin çok üzerinde bir ağ seviyesi koruması olmalıdır, çünkü 1 Gbps'lik port 1 Gbps'lik saldırıda dolar.

Sunucumun içine güvenlik duvarı kurarsam DDoS'tan korunur muyum?

Hayır — en azından volumetrik saldırılara karşı korunmazsınız. iptables, nftables veya Windows Güvenlik Duvarı paketleri ancak sunucuya ulaştıktan sonra inceleyebilir. Hat zaten dolduysa iş işten geçmiştir. Sunucu içi güvenlik duvarı, uygulama seviyesindeki kötüye kullanımlara ve tarama girişimlerine karşı faydalıdır, hacimsel saldırıya karşı değil.

Gbps ile Mpps arasındaki fark neden bu kadar önemli?

Çünkü ağ donanımı paket başına iş yapar. 64 baytlık paketlerle üretilen 10 Gbps, 1500 baytlık paketlerle üretilen 10 Gbps'ten yaklaşık 23 kat daha fazla paket içerir ve yönlendiriciler için çok daha ağır bir yüktür. Sadece Gbps'ye bakmak, yükün yarısını görmezden gelmektir.

Saldırı sırasında sunucum kapanır mı?

Sunucu donanımı genellikle kapanmaz; sorun erişilebilirliktir. Hat dolduğunda veya IP null route'a alındığında sunucu çalışmaya devam eder ama dışarıdan ulaşılamaz. Bu yüzden "sunucum ayakta" ile "hizmetim erişilebilir" aynı şey değildir.

DDoS korumasının gecikmeye etkisi ne kadar olur?

Koruma veri merkezinin kendi ağında yapılıyorsa etki ihmal edilebilir düzeydedir. Trafik uzak bir temizleme merkezine yönlendiriliyorsa mesafeye bağlı olarak onlarca milisaniye eklenebilir. Oyun ve ses sunucuları için bu fark belirleyici olabilir.

Yeni bir sunucu kurarken güvenlik için ilk ne yapmalıyım?

Ağ seviyesi koruma sağlayıcınızın işidir; sunucu içi sıkılaştırma sizin işinizdir. SSH port değişikliği ve anahtar tabanlı kimlik doğrulama, gereksiz servislerin kapatılması, düzenli güncelleme ve otomatik yedekleme ilk adımlardır. Ağ katmanı ile sunucu katmanı korumaları birbirini tamamlar.

Özet

• Gbps, koruma altyapısının saniyede yutabileceği saldırı hacmini ölçer ve yalnızca Layer 3/4 volumetrik saldırılar için anlamlıdır.
• Mpps en az Gbps kadar önemlidir; küçük paketlerle yapılan saldırılar aynı hacimde çok daha fazla yük üretir.
• Layer 7 saldırıları düşük hacimlidir ve Gbps kapasitesiyle durdurulamaz; istek analizi ve hız sınırlama gerekir.
• İlan edilen kapasite genelde toplam kapasitedir; müşteri başına tahsis ve null route politikası daha belirleyicidir.
• Koruma sunucunun içinde değil, ağ girişinde yapılmalıdır. Sunucu içi güvenlik duvarı volumetrik saldırıyı durduramaz.
• Oyun ve ses sunucularında UDP koruması ve düşük gecikme şarttır; uzak temizleme merkezi ping'i bozar.

Kısacası: bir sağlayıcıyı yalnızca ilan ettiği rakamla değil, korumanın nerede, hangi katmanda ve hangi politikayla uygulandığıyla değerlendirin. Nubitro'nun İstanbul lokasyonlu altyapısı AMD Ryzen 9 9950X işlemciler, DDR5 RAM ve NVMe M2 SSD depolama ile birlikte DDoS korumalı ağ üzerinde çalışır. Projeniz için doğru yapılandırmayı belirlemek isterseniz Türkiye lokasyon VDS/VPS seçeneklerimizi veya daha yüksek kaynak ihtiyacı için fiziksel sunucu çözümlerimizi inceleyebilir, kararsız kaldığınız noktada 7/24 destek ekibimize iletişim sayfamızdan ulaşabilirsiniz.